Об утверждении требований к функционированию технических и программных средств (в том числе средств связи), используемым в целях выявления в информационно-телекоммуникационной сети «Интернет» сетевых адресов, соответствующих доменным именам

Проект приказа формально имеет технический характер, но фактически затрагивает один из ключевых уровней функционирования интернета — DNS. Поэтому его последствия могут выходить далеко за пределы технического администрирования.

Основные риски связаны с тем, что проект может создать инфраструктуру для:

централизованного контроля доступа к доменам;
скрытой фильтрации и блокировки ресурсов;
накопления данных о действиях пользователей;
профилирования граждан;
административного давления на операторов и хостинг-провайдеров;
ограничения доступа к информации;
деградации или блокировки VPN-сервисов;
нарушения работы корпоративных защищённых каналов.
С учётом VPN риски усиливаются, поскольку VPN является не только инструментом обхода ограничений, но и важным средством кибербезопасности, защиты персональных данных, удалённой работы и корпоративной инфраструктуры.

Наиболее уязвимые места проекта:

обязательное взаимодействие с национальной системой доменных имён;
широкая формулировка о фиксации действий пользователей;
отсутствие точного перечня собираемых данных;
хранение сведений в течение одного года;
отсутствие порядка доступа государства к этим данным;
отсутствие прямых гарантий от цензуры;
отсутствие специальных исключений и гарантий для VPN и корпоративных защищённых каналов;
риск давления на хостинг-провайдеров;
риск overblocking;
риск ухудшения кибербезопасности.

Ключевой тезис для возможных замечаний:
технические требования к DNS-инфраструктуре не должны превращаться в инструмент непрозрачного ограничения доступа к информации, массового наблюдения за пользователями, контроля за VPN-сервисами и вмешательства в законную деятельность бизнеса.