Просто бизнес. Через VPN о вас собирают информацию

— Руслан Анатольевич, сегодня для российских пользователей закрываются ранее популярные интернет-ресурсы. Многие для обхода ограничений и блокировок начинают использовать VPN (виртуальная частная сеть). В чем риски этой технологии для частных лиц?

— На мой взгляд, для частного пользователя VPN, с помощью которого можно обойти блокировки, практически не опасен. Хотя его и предлагают иностранные компании.

Основные риски технологии для частных лиц связаны с тем, что вы выходите в интернет не со своего компьютера, а фактически с компьютера организации, которая предоставляет сервис. Это означает, что все взаимодействие с интернетом, происходящее при включенном VPN, автоматически отправляется на сервер, к которому вы подключены. Далее оно расшифровывается и становится доступно для анализа. Но по стандартной схеме большинство сервисов, что мы сегодня и так используем, защищены с помощью шифрования по протоколу https. Если сервис его не поддерживает, то современные браузеры говорят, что подключение не безопасно. Для частного пользователя этого уровня защиты достаточно.

С точки зрения ответственности перед государством я не видел инициативы, предусматривающие наказание за использование иностранных виртуальных частных сетей. Технология VPN старая и чаще всего используется не для того, чтобы преодолевать какие-то защиты, а чтобы удаленные пользователи могли комфортно работать с корпоративной информацией при организации удаленного рабочего места.

Для снижения рисков я бы все-таки рекомендовал сконцентрироваться на платных VPN и не использовать бесплатные. Для бесплатных сбор персональных данных, аналитики по поводу того, кто куда ходит, и другой чувствительной информации — способ монетизации деятельности. Они точно будут это делать, так как им нужно на чем-то зарабатывать, обслуживать серверы, платить людям зарплату и т. д.

С точки зрения российского законодательства компания, которая предоставляет VPN, является распространителем информации и обязана соблюдать все требования Роскомнадзора, в том числе по блокировке нежелательного контента. Если VPN используется для получения доступа к условному Facebook, Instagram (Решением суда запрещены в России, корпорация Meta, которая управляет этими соцсетями, признана в России экстремистской организацией. — Ред.), то это всегда иностранная компания. Чаще всего она включена в международные товарные потоки, то есть собирает данные, которые обрабатываются и продаются. На данных в мире сегодня уже создан достаточно серьезный бизнес и сформирован рынок пользовательских данных, в первую очередь в интересах маркетинговых кампаний.

И еще один момент: когда вы выходите на какую-то площадку через иностранный сервер, то нужно понимать, что он находится в иностранной юрисдикции, у него нет значимых обязательств перед законами РФ — и вы становитесь объектом изучения.

— Для юрлиц технологии VPN более опасны?

— Здесь все зависит от юрлица. Если мы говорим о стандартной среднестатистической фирме малого и среднего бизнеса, который занимается тривиальными вещами, то он неинтересен, для него актуальна информация по физлицам.

Серьезным рискам могут подвергаться крупные компании среднего бизнеса и выше, а также компании, которые ведут разработки в актуальных мировых сферах. Это все, что связано с коронавирусом, информационными технологиями, информационной безопасностью и другими передовыми технологиями. Вот им лучше не использовать такого рода сервисы. Чем более известна компания, тем  выше вероятность, что информацию о ее деятельности можно монетизировать не только за счет перехвата и продажи данных, но и кражи производственных секретов, поэтому тем серьезнее будут последствия использования иностранного VPN.

— А если идет речь о директоре такой компании как частном лице? Его личные подключения через VPN также могут перехватывать? К примеру, в Новосибирске немало IT-компаний, компаний, которые занимаются биотехнологиями, научных институтов…

— Я пока не вижу простых способов отслеживать таких людей. Это достаточно сложный процесс, так как нужно сопоставить профиль в социальной сети с человеком, который выходит в интернет. Чаще всего на этом поле работают разные компании. Тот же Faсebook (запрещена в России) или «ВКонтакте» не предлагают услуг VPN. Более того, если мы говорим о VPN, который позволяет преодолевать заградительные меры, то его предлагают иностранные компании. Вероятность того, что они в ближайшее время установят взаимосвязь, практически нулевая. Именно поэтому я говорил, что если вы работает с зарубежными VPN-сервисами, то для частных пользователей больших рисков нет. Директор компании со своего личного ноутбука, который не подключен к сети компании, на котором нет информации о ее деятельности, либо со своего смартфона может спокойно цепляться к иностранным VPN. Риски здесь приемлемые. Если речь идет о российской компании с российским VPN, то эта история абсолютно безопасна.

Если фигура архипубличная и на слуху, то здесь может быть иная ситуация.

— Российские компании говорят о росте интереса бизнеса к отечественным VPN. Например, об этом сообщил ПАО «Ростелеком»…

— Если мы говорим о «Ростелекоме» или АО «Лаборатория Касперского», то это не тот VPN, который помогает обойти блокировки. У них есть сертифицированный, проверенный и заслуживающий доверия сервис с документами, подтверждающими его безопасность. Например, я использую сервис «Касперского», чтобы выходить в интернет, когда подключаюсь к общественной точке доступа, например в кафе. Эта технология защищает меня и мой трафик от перехвата на уровне кафе. Фактически я использую я его как транспорт, но до серверов «Касперского» с этим трафиком ничего сделать нельзя — он защищен. То же самое у «Ростелекома».

Если у меня есть предприятие, один из филиалов которого находится в Новосибирске, а второй в Барнауле, и мне нужно их объединить, то я бы заказал, к примеру, у «Ростелекома» услугу виртуальной частной сети. Тогда эти филиалы логически объединились бы в единую локальную сеть. Это очень удобно для бизнеса с точки зрения защиты коммерческой тайны, персональных данных.

Но еще раз подчеркиваю, в данном случае VPN — это история для бизнеса, а не для преодоления заградительных барьеров, которые сформулировал Роскомнадзор или которые врубили наши партнеры по планете. Это история про локальное взаимодействие внутри РФ. Для преодоления каких-то барьеров его использовать не получится.

Кстати, я ожидал, что спрос на VPN-сервисы отечественных компаний у бизнеса будет расти. Напомню, сейчас идут беспрецедентные атаки на инфраструктуру, и это очень хороший способ защитить локальную сеть при удаленном взаимодействии. В этом смысле я рекомендую бизнесу использовать отечественный VPN как одну из значимых мер безопасности для филиалов и удаленных сотрудников.