Законодательство в IT

Facebook* грозит рекордный штраф в 40 млрд долларов

Суд штата Нью-Мексико (США) выдвинул к Facebook* претензии на 40 млрд долларов за многочисленные нарушения закона штата о защите персональных данных. Это на порядок больше всех предыдущих штрафов техногигантов. Как это повлияет на индустрию?

Это не просто сумма в исковом заявлении — они часто бывают заоблачными. В данном случае штат Нью-Мексико поднял вопрос десятилетней давности о работе Facebook* с Cambridge Analytica. Считается, что глубокая аналитика профилей пользователей позволила команде Дональда Трампа выстроить эффективную рекламную кампанию в соцсети и принесла ему победу и первый президентский срок.

Присяжные разобрали 29 заявлений компании о защите данных и пришли к выводу, что в 26 случаях соцсеть вводила пользователей в заблуждение относительно защиты персональных данных. Всего насчитали 43 млн нарушений — 1,3 млн пользователей соцсети в штате, на каждого — 26 нарушений, штраф за каждое — 5000 долларов по законам штата. Формально максимальный штраф мог составить более 200 млрд долларов — больше годовой выручки Facebook*. Штат остановился на 40 млрд. Всё справедливо?

Facebook* не отрицает нарушения, но соцсеть готова уплатить 3,5 млрд долларов. Однако штат считает, что такие штрафы уже не останавливают техногигантов — он считает, что штраф, сравнимый с годовой чистой прибылью (примерно 60 млрд долларов), ударит по акциям компании и заставит её заботиться о данных пользователей.

С одной стороны, техногиганты уже давно являются «дойной коровой» для США и ЕС, закрывая гигантскими штрафами дыры в бюджете. Так, Apple по решению 2024 года должна выплатить 13 млрд евро Евросоюзу. У Facebook* уже был штраф на 5 млрд долларов в пользу FTC (аналог Антимонопольной службы), как раз за нарушение постановления о конфиденциальности, а Google получал штрафы примерно на те же суммы за использование монопольного положения на рынке поиска и мобильных ОС.

Полагаем, что важно учитывать сложность технологических решений. Далеко не любое желание законодателей можно выполнить. Например, информационная безопасность в принципе не бывает абсолютной — ни одно тестирование не обнаружит все возможные уязвимости архитектуры. Нормально создавать штрафы, которые сподвигают компании тратиться на защиту данных. Но гигантские штрафы по законам, оторванным от ИТ-практики, скорее мотивируют потратиться на юристов.

Однако в данной ситуации важно, что Facebook* нарушил собственные заявления. И тут невозможно переложить ответственность за кривые законы. Если штрафы в 5 млрд долларов не заставляют выполнять собственные обещания, возможно, подействует переход на следующий уровень. Или вернуться к вопросам о разделении компаний-нарушителей, как это было когда-то с AT&T, и мы получили быстрое развитие телекоммуникаций.

* Принадлежит Meta, чья деятельность признана экстремистской и запрещена в России.

Как защищать инфраструктуру, если требования меняются быстрее, чем вы успеваете читать приказы

Ответ: использовать готовую аттестованную инфраструктуру вместо самостоятельного выстраивания сложного контура защиты.

КИИ или не КИИ? Вот в чем вопрос. С этого года регулятор дает четкие ориентиры что и как защищать: появились отраслевые перечни какие системы относятся к КИИ (Распоряжение Правительства № 360-р). Если система попадает под типовое описание — она в контуре КИИ, если нет — не нужно проводить аттестацию.

Три шага, которые помогут определить, что аттестовывать, а что нет:

1. Сверьте активы с отраслевым перечнем. Это займет меньше времени, чем кажется.

2. Определите категорию значимости. От этого зависит набор мер защиты.

3. Рассмотрите готовые аттестованные решения. Привести инфраструктуру в соответствие с требованиями регуляторов, а также обеспечить непрерывный мониторинг ее безопасности — это месяцы работы. Готовая инфраструктура экономит время и снижает риски.

Этим летом мы аттестовали «Облако для КИИ» по максимальным требованиям Приказов ФСТЭК России № 117, 21, 239 и подтвердили возможность размещения ЗОКИИ 1-й категории, ГИС класса К1, ИСПДн УЗ-1. Благодаря этому заказчики могут выбрать уже проверенную регулятором инфраструктуру для своих критичных систем. Аттестация потребуется только для самих информационных систем, а не для платформы под ними.

Например, крупнейший в России научно-исследовательский дорожный Институт размещает федеральную ГИС у нас в облаке, с нашей стороны обеспечиваются ее бесперебойная работа и сертифицированные средства защиты. Вам тоже не обязательно проходить путь соответствия регуляторам в одиночку. 

Трамп изобрёл Суперинтеллект. И провернул многоходовочку

29 сентября президент США Дональд Трамп встретился с руководителями ведущих ИИ-компаний — OpenAI, Anthropic, Nvidia, Google и Meta* (*признана в России экстремистской и запрещена). Они заключили соглашение о защите безопасности ИИ и дальнейшем развитии индустрии.

В тот же день Трамп издал указ о переименовании ИИ (AI, Artificial Intelligence) в Супер Интеллект (SI, Super Intelligence) в государственных документах, насколько это возможно. Специалисты могут быть недовольны, так как это одно из названий универсального искусственного интеллекта (AGI), который превзойдёт человека по своим способностям.

Мы уже знаем, что президент США — мастер по переименованиям. Кроме честолюбия и эгоизма — это часть политической игры. Например, на встрече с главами ИИ-разработчиков (давайте подождём использовать название SI) было принято соглашение о борьбе за безопасность искусственного интеллекта. Мы уже говорили, что поставить под строгий контроль развитие технологии мечтают и сенаторы, и главы ведущих ИИ-компаний. Трамп же был за развитие нейросетей и нашёл отличный выход.

Кажется, Трамп отвлёк всех очередным эпатажным заявлением про ИИ, а сам добился своего. Он изначально был против ограничения этой технологии, но теперь для общества принял меры — подписал с ведущими компаниями соглашение о контроле ИИ. При этом документ не содержит ни штрафов, ни наказаний. И меры весьма общие: контроль безопасности моделей и комитет по мерам безопасности. Также один из пунктов соглашения — компенсирующие выплаты территориям для уменьшения недовольства населения строительством дата-центров.

При этом настоящий контроль будут осуществлять «Силы суперинтеллекта» (Super Intelligence Force, SIF), которые в выходные анонсировал Трамп по образу и подобию Космических сил. Руководить ими будет директор Национальной разведки США Джей Клейтон.

В итоге Трамп не дал затормозить развитие ИИ чрезмерным контролем со стороны сенаторов, а сам усилил контроль за компаниями. Выглядит как mnogohodovochka, посмотрим, сможет ли он довести её до конца.

Источник фото: REUTERS/Kevin Lamarque.

💁‍♂️Здесь еще один кейс, когда получилось отменить через суд штраф Роскомнадзора насчет отсутствия идентификатора рекламы (erid) при публикации поста в соцсети.

Юрлицо обратилось в Арбитражный суд Челябинской области с заявлением о признании незаконным постановления Управления Роскомнадзора по Челябинской области о назначении штрафа в размере 200 000 рублей за распространение рекламы в интернете без идентификатора рекламы. Реклама была размещена в социальной сети ВКонтакте.

Решение суда (А76-18744/2024): Постановление Роскомнадзора изменено: административный штраф в размере 200 000 рублей заменён на предупреждение. Суд пришёл к выводу, что правонарушение совершено впервые и не повлекло вреда или угрозы вреда, поэтому возможно применение статьи 4.1.1 КоАП РФ, которая позволяет заменить штраф на предупреждение.

Красотища✌️

И так далеко не впервой

Здесь кейс про очень интересное решение арбитражного суда, когда Роскомнадзор откровенно поставили в угол.

В чем суть?

Имело место оспаривание решения Роскомнадзора о привлечении Рекламодателя к ответственности за размещение рекламы с помощью платформы Telegram Ads в телеграм-канале "Автомобили *** " без наличия маркировки по двум публикациям.

Согласно правоприменительной практике, при отсутствии маркировки рекламы ФАС и Роскомнадзор всегда наказывают Рекламораспространителя (владельца интернет-площадки, где имело место размещение рекламы). Однако в случае размещения публикации через Telegram Ads делается исключение и привлекают Рекламодателя, так как специфика такова, что никто у Рекламораспространителя разрешения не спрашивает при размещении рекламы и платформа Telegram Ads тупо втыкает рекламную публикацию в ленту владельца телеграм-канала.

Так вот, в публикации фигурировали координаты сервиса по продаже автомобилей ООО "*****" как якобы Рекламодателя по мнению Роскомнадзора.

Изначально Роскомнадзор по факту нарушений обозначил свое решение по админпротоколу:

"- постановление № ПО-77/01/495 от 2 октября 2025 г. о назначении административного наказания в виде штрафа в размере 100 000 рублей,
- постановление № ПО-77/29/510 от 9 октября 2025 г. о назначении административного наказания в виде штрафа в размере 100 000 рублей..."

Как мы видим, по каждому нарушению имел место отдельный админпротокол. Роскомнадзор поступил достаточно жестко и объединять нарушения не стали в рамках единого административного протокола😠. В итоге штраф удвоился.

ООО "******" не согласилось с решением Роскомнадзора и подала в суд (дело А62-8924/2025)

"В рассматриваемых заявлениях ООО «*****» указывает на то, что:
- никогда не размещало никаких рекламных сообщений ни в приложении Telegram, ни на иных ресурсах в сети Интернет,
- никогда не заключало и не оплачивало каких-либо договоров на производство и размещение рекламных материалов с третьими лицами, сведения о которых указаны в ИС ЕРИР,
- никогда не регистрировало в приложении Telegram никаких Telegram-каналов, в том числе и канал под названием «Автомобили ***» по адресу: ..."

Ушли в полную несознанку, а Роскомнадзор упрямо гнул свою линию

👉 В итоге суд полностью оправдал ООО "*****" и посадил Роскомнадзор в лужу первый раз:

"Управлением Роскомнадзора указанные требования закона не выполнены: вывод ... сделан при неполно выясненных обстоятельствах"

второй раз

"Суд отмечает, что в представленной ФГУП «ГРЧЦ» информации отсутствуют сведения о лице, разместившим рекламное объявление по адресу ...."

и напоследок третий раз

"При этом административный орган не установил и не предпринял попыток установить лиц, разместивших рекламные объявления, сведения о заключенных договорах, способах оплаты и лицах, которыми произведена оплата за оказанные услуги по изготовлению и размещению указанных рекламных объявлений, ограничившись формальными сведениями о лице, от имени которого размещены рекламные объявления, - ООО «******»"

Такие дела)

Было замечено, что Роскомнадзор иногда делает слишком вольготные выводы по отдельным кейсам, надеясь, что в суд не пойдут. Ан нет...Не все такие покорные

😬 Мораль сей басни такова: всегда есть суд, чтобы обрубать аппетиты регулирующих органов, а то порой их заносит на поворотах

Акт подписан, но система не работает:  суд вернул 185 млн 

В IT-проектах бытует мнение: если промежуточный акт подписан, деньги за этап не надо возвращать. Арбитражное дело, дошедшее до Верховного суда России, показало обратное.

Заказчик оплатил первый этап работ на 185,9 млн рублей, но программное обеспечение (ПО)  так  и не заработала в нужных режимах. Суд расторг контракт и взыскал всю сумму с Исполнителя, указав на отсутствие потребительской ценности результата. Разбираем, почему подписанные промежуточные акты не гарантируют оплату и какие выводы должны сделать заказчики и исполнители, чтобы не повторить эту историю.

Суть дела

Между Заказчиком и Исполнителем был заключён контракт на создание сложной информационной системы. За первый этап работ Заказчик оплатил Исполнителю 185,9 млн руб. Однако в ходе дальнейшей реализации проекта выяснилось, что система не обеспечивает требуемый функционал и не может использоваться по назначению.

Проблема

Ключевой вопрос: можно ли взыскать обратно деньги с Исполнителя, перечисленные за этап, если промежуточные акты по этому этапу были подписаны, но итоговый результат оказался бесполезен для Заказчика? Исполнитель ссылался на то, что промежуточные акты приняты и оплачены Заказчиком, значит, работы считаются сданными.

Решение суда

Апелляционный суд расторг  контракт и взыскал с Исполнителя 185,9 млн руб. неосновательного обогащения и почти 4 млн руб. неустойки. Кассационный суд  и Верховный Суд РФ поддержали этот вывод. Суды указали на отсутствие для Заказчика потребительской ценности результата работ и недоказанность полноценного встречного предоставления на перечисленную сумму.

Что делать, чтобы не повторилась ситуация

Для Заказчика:

· Включайте в контракт условие о потребительской ценности как критерии приёмки: не просто «акт подписан», а «система работает в заданных режимах, согласно ТЗ».

· Прописывайте право не подписывать финальный акт до подтверждения работоспособности системы в реальных условиях.

· Фиксируйте в договоре конкретные сценарии использования и метрики, по которым будет проверяться результат.

· Проводите независимую экспертизу до подписания итогового акта.

Для Исполнителя:

· Не полагайтесь на подписанные промежуточные акты как на гарантию оплаты — суд смотрит на итоговый результат.

· Перед сдачей этапа убеждайтесь, что функционал соответствует технической документации и может быть проверен Заказчиком.

· Фиксируйте письменное согласование изменений и уточнений, чтобы избежать споров о несоответствии результата ожиданиям.

· Включайте в договор ограничение ответственности по объёму и срокам, если это возможно.

Если проект зашёл в тупик, а Исполнитель ссылается на подписанные акты — это не приговор.

Провожу анализ ситуации на стыке IT, права и финансов.

Пишите @RRSadykov

Московский суд признал основным доказательством переписку в Telegram по делу о принудительном возврате долга.

Мужчина попросил у знакомого 365 тыс. рублей и пообещал в мессенджере вернуть деньги в срок с процентами в размере 91 тыс. рублей. Когда заёмщик отказался возвращать средства, мужчина пошёл в суд. Московский суд подтвердил, что аккаунты в мессенджере привязаны к номерам телефонов истца и ответчика и проверил банковские выписки, свидетельствующие о переводе денег. Переписку, подлинность которой была удостоверил нотариус, судья счёл договором. В итоге должника обязали вернуть почти полмиллиона рублей с учётом судебных расходов.

«Между истцом и ответчиком в соответствии со статьёй 434 ГК РФ фактически были установлены заёмные правоотношения… Указанная переписка, подтверждающая условия займа и срок возврата, является надлежащим доказательством в суде», — говорится в решении суда.

Несмотря на то, что нормативному определению термина «искусственный интеллект» уже сто лет в обед (извините, не удержался, в рифму получилось), а на самом деле уже почти семь лет как (Национальная стратегия развития искусственного интеллекта на период до 2030 года утверждена Указом Президента РФ № 490 от 10.10.2019г. и с этой же даты вступила в силу), на текущий момент в судебные акты высших судов РФ ИИ попал только дважды:

Во-первых, это п. 42 Постановления Пленума Верховного суда РФ «О подготовке гражданских дел к судебному разбирательству» от 21.05.2026г. № 15:

…Участвующие в деле лица, представившие в суд сведения о фактах, полученных с использованием технологий искусственного интеллекта, должны сообщать об этом суду.

Во-вторых, это п. 5.1 Тематического обзора Верховного суда РФ № 2/2026 «О рассмотрении судами административных дел о защите избирательных прав», утв. Постановлением Президиума Верховного Суда РФ от 25.03.2026г. № 3А/2026 (в Обзор этот случай попал из Кассационного определения Судебной коллегии по административным делам Верховного Суда РФ от 04.02.2026г. № 48-ИКАД26-1-А2):

Использование в агитационных печатных материалах изображений физических лиц, включая лиц, не достигших на день голосования возраста 18 лет, не допускается и в том случае, если такие изображения созданы с применением компьютерных технологий.

На этом пока все. Однако вот-вот уже скоро вступает в силу закон «О поддержке развития технологий искусственного интеллекта в Российской Федерации» от 26.07.2026г. № 243-ФЗ, в котором снова присутствует термин «искусственный интеллект», поэтому судебная практика должна будет неизбежно пополниться новыми случаями.

Пчёлы против меда или зачем ставить на паузу развитие ИИ

Один из самых влиятельных конгрессменов США Берни Сандерс призвал технологические компании OpenAI, Anthropic и Meta* поставить на паузу развитие ИИ из соображений безопасности. В противном случае он пригрозил добиться этого законодательным путем.

Опасность развития ИИ он обосновал потерей контроля за моделями, которые стали слишком «умными» и слишком хорошо находят уязвимости в системах. В последнее время много событий, связанных со способностями ИИ. Правительство США запретило доступ иностранцам к новой версии ИИ-модели Fable 5, из-за чего Anthropic пришлось просто отключить доступ к ней. OpenAI заявила, что её новая модель смогла «сбежать» из песочницы, найдя уязвимости в системах, с которыми работала. А ведущий венчурный инвестор Марк Андриссен и глава NVIDIA Дженсен Хуанг ещё в начале года говорили о достижении AGI — универсального ИИ, который может всё. Так может, правда, пора остановиться?

Не думаем, что в развитии ИИ можно сделать паузу. Напомним, что ядерные арсеналы ограничили только после того, как они позволяли СССР и США кратно уничтожить друг друга. В случае же с ИИ — это не только военный инструмент, но ещё и прикладная технология, которая используется каждый день. И если одна страна остановится, то другая её обгонит — как Тайвань опередил США в литографии. Выход LLM Kimi K3, которая обыграла в тестах новейшие модели Anthropic и OpenAI, показал, что любое промедление в разработке ИИ в США просто отдаст лидерство Китаю. Неужели американские разработчики не могут этого разъяснить своим политикам? Сомневаемся.

Показательно, что в один день с заявлением Берни Сандерса глава Meta* Марк Цукерберг выступил с манифестом об опасности ИИ. Главные риски он увидел во власти, которую он может дать технологиям одной стране или компании. Читаем между строк — Meta* отчаянно отстаёт в разработке ИИ: не помогли ни найм гуру технологии лично Марком, ни миллиардные вливания. Компания потихоньку умерила амбиции и даже планирует сдавать собственные GPU-мощности — чтобы получить деньги здесь и сейчас, а не когда-то в будущем от более совершенного ИИ. И вот тут опасения Марка Цукерберга и Берни Сандерса становятся понятны — технология уровня атомной бомбы или изобретения транзисторов есть, а контролируют её какие-то «мутные» стартапы с ненадёжными гендирами. Надо их приструнить. И повод есть отличный. Безопасность. На неё можно будет списать любые меры.

*Деятельность Meta запрещена в России как экстремистская.

ФСТЭК опубликовала методику оценки уровня зрелости в области технической защиты информации, которая затрагивает в том числе значимые объекты КИИ. Документ вводит пять уровней зрелости (от «нулевого» до «верифицируемого») и 21 направление оценки — от управления защитой до применения ИИ. Эксперты отмечают, что методика призвана бороться с недобросовестными подрядчиками и перевести ИБ из разрозненных задач в стратегию, однако её реализацию могут осложнить неясность с проведением оценки и отсутствие должного контроля со стороны регулятора.

Чудный маразм прислали мне вчера под видом трудового договора...

Речь о заказной разработке/развитии кастомной CRM с замашкой на ERP, но это не суть важно. Оцените, как гритца, масштаб разрушений:

Я не подписал, попытался рассказать о лицензиях и о софте, уже установленном на сервере заказчика, но тщетно. "Работодаватель" в ответ фыркнул и сообщил в моих услугах больше не нуждается.

Надеюсь, он обязательно найдет себе согласного...

5–10 минут на масштабирование: как Agentic Lab строит ИИ‑продукты без собственной GPU‑инфраструктуры

🏢 Что за компания
Agentic Lab — продуктово-сервисная компания, которая разрабатывает ИИ-решения для автоматизации бизнес-процессов и помогает крупным организациям внедрять технологии искусственного интеллекта. Флагманский продукт — ИИ‑помощник «Агата» для работы с документами: он помогает юридическим командам анализировать большие массивы данных и быстро находить нужные сведения в тысячах файлов.

⚡ Задача
При развитии «Агаты» разработчики столкнулись с типичной проблемой рынка: традиционные подходы к GPU‑инфраструктуре требуют либо крупных капитальных затрат, либо аренды выделенных ресурсов с оплатой независимо от фактической загрузки. Дополнительным условием стало соблюдение требований 152‑ФЗ и ФСТЭК — это критично для клиентов из юридической сферы, ведь они часто имеют дело с персональными данными и тайной судопроизводства. 

☁️ Что сделали
«Агату» развернули на ресурсах Cloud.ru: языковые модели работают на Evolution ML Inference с оплатой по мере потребления, фронтенд, бэкенд и бизнес-логика — на Evolution Compute.

Под капотом решения несколько LLM: Mistral извлекает метаданные, выделяет сущности и структурирует документы; Gemma обеспечивает интеллектуальный поиск, суммаризацию и диалоговый интерфейс. После загрузки документов система автоматически строит хронологию событий дела со ссылками на первоисточники и формирует единую базу знаний, к которой юристы могут обращаться на естественном языке.

🦾 Что получили в итоге
Agentic Lab может подключать дополнительные GPU‑ресурсы за 5–10 минут вместо одного-двух дней при выделенной инфраструктуре, а капитальные затраты на собственное оборудование (несколько миллионов рублей за карту) полностью исключены. Юридические команды выполняют административные и документарные задачи примерно вдвое быстрее: рутину берет на себя «Агата» со средним временем ответа 15–20 секунд.

Читайте подробнее на сайте.

РБПО по ГОСТ Р 56939—2024: вебинар №30 из 30 — Сертификация процессов РБПО: требования ФСТЭК России, новые стандарты и практика

Предлагаю вашему вниманию запись вебинара, где мы разбираем безопасную разработку ПО. Мы добрались до дополнительных (бонусных) вебинаров цикла. Рассмотрим "Сертификация процессов РБПО: требования ФСТЭК России, новые стандарты и практика". На YouTube. Слайды.

Финальный дополнительный вебинар прошёл при участии ведущих экспертов: Дмитрия Шмойлова, Алексея Щербакова и Виталия Вареницы. Участники обсудили практику сертификации, новые национальные стандарты и методику подготовки, опыт компаний, а также подводные камни аудита и преимущества внедрения РБПО.

Общее количество вебинаров — 30. Каждому из 25 процессов ГОСТа посвящён отдельный вебинар и ещё 5 записано дополнительно на смежные темы. Запись всех вебинаров и подборка дополнительной информации доступна по ссылке: ГОСТ56939.РФ.

Методика ВУ и НДВ в ПО приведена в соответствие с ГОСТ Р 56939—2024

Материалы будут полезны всем, кто знакомится с темой РБПО и заинтересован во внедрении зрелых подходов в работу по созданию и сопровождению качественных программных продуктов. Материал по ГОСТ Р 56939—2024 весьма актуален, так как 12 мая 2026 утверждена обновлённая "Методика ВУ и НДВ в ПО". См. заметку "Методика выявления уязвимостей и недекларированных возможностей — 2026".

НЕкурс про РБПО

Суммарное время предлагаемых к изучению вебинаров составляет около 50 часов. Это достаточно большая задача, поэтому мы решили помочь и разбили материалы на отдельные уроки по РБПО. Возможно, так вам будет проще усваивать материал, а интерфейс позволяет отмечать, с чем вы уже ознакомились.

Пришел ответ от Роскомнадзора на мой вопрос: можно ли у себя на сайте либо у себя в соцсетях размещать ссылку на чужую интернет-страницу с количеством подписчиков более 10 000, которая не занесена в реестр Роскомнадзора по теме 10 000+ для блогеров

Вердикт однозначен - нельзя 🤦‍♂️

Узнайте, как использовать новые требования к КИИ как конкурентное преимущество

Работаете с ГИС или объектами КИИ и ищете способ выполнить регуляторные требования, не теряя в гибкости и скорости? Эксперты Cloud.ru разберут, как облачная инфраструктура закрывает вопросы защиты и при этом становится реальным инструментом развития.

На вебинаре разберем:

• Актуальные изменения в требованиях к ГИС и КИИ — что важно учесть прямо сейчас.

• Какие сценарии возможны с решением «Облако для КИИ» и что оно дает.

• Способы применения: от защищенной инфраструктуры до ускорения цифровых сервисов.

Будет полезно инженерам инфраструктуры, руководителям ИБ-направлений, менеджерам цифровой трансформации и всем, кто планирует работать с ГИС и КИИ.

📅 Когда? 7 июля в 11:00 мск.

📍 Где? Онлайн. Зарегистрируйтесь, чтобы задать вопросы спикеру в прямом эфире.

РБПО по ГОСТ Р 56939—2024: вебинар №26 из 30 — Сертификация ПО согласно требованиям ФСТЭК и МО

Предлагаю вашему вниманию запись вебинара, где мы разбираем безопасную разработку ПО. Мы добрались до дополнительных (бонусных) вебинаров цикла. Рассмотрим "Сертификация ПО согласно требованиям ФСТЭК и Минобороны". На YouTube. Слайды.

В вебинаре обсуждается, что на самом деле даёт сертификат и почему он не гарантирует безопасность ПО. Какие программы обязаны проходить проверку, а какие — нет. Чем отличается сертификация от аттестации, и что происходит после получения сертификата. На эти и другие вопросы ответили в бонусном вебинаре цикла с Виталием Вареницей, ведущим специалистом ЗАО "НПО "Эшелон" по сертификации и тестированию на проникновение ПО

Общее количество вебинаров — 30. Каждому из 25 процессов ГОСТа посвящён отдельный вебинар и ещё 5 записано дополнительно на смежные темы. Запись всех вебинаров и подборка дополнительной информации доступна по ссылке: ГОСТ56939.РФ.

Методика ВУ и НДВ в ПО приведена в соответствие с ГОСТ Р 56939—2024

Материалы будут полезны всем, кто знакомится с темой РБПО и заинтересован во внедрении зрелых подходов в работу по созданию и сопровождению качественных программных продуктов. Материал по ГОСТ Р 56939—2024 весьма актуален, так как 12 мая 2026 утверждена обновлённая "Методика ВУ и НДВ в ПО". См. заметку "Методика выявления уязвимостей и недекларированных возможностей — 2026".

НЕкурс про РБПО

Суммарное время предлагаемых к изучению вебинаров составляет около 50 часов. Это достаточно большая задача, поэтому мы решили помочь и разбили материалы на отдельные уроки по РБПО. Возможно, так вам будет проще усваивать материал, а интерфейс позволяет отмечать, с чем вы уже ознакомились.

Приятная новость для маркировки рекламы при дистанционной (удаленной) продажи товаров (интернет-торговля)

В Госдуму внесен законопроект, который позволяет упростить дисклеймеры, которые требуются по статье 8 закона о рекламе 38-ФЗ

На данный момент классическй вариант маркировки рекламы, согласно стати 18.1 закона о рекламе 38-ФЗ выглядит так с указанием ИНН либо ОГРН либо ОГРНИП для точной идентификации рекламодателя, помимо его названия:

Реклама. ООО «Ромашка». ОГРН 123456789. erid: xxxxxxx

Однако для исполнения статьи 8 закона о рекламе 38-ФЗ при удаленной торговле (например, интернет-магазин) требуется в маркировке также указывать местонахождение продавца товара (рекламодателя):

Реклама. ООО «Ромашка». 191186, г. Санкт-Петербург, ул. Большая Конюшенная, д. 5. ОГРН 123456789. erid: xxxxxxx

Здесь дела ФАС по нарушению статьи 8 закона о рекламе 38-ФЗ

Если поправки будут внесены, то можно будет так маркировать рекламу при удаленной торговле (самое главное, чтобы на посадочной странице можно было найти информацию о продавце: наименование, место нахождения и государственный регистрационный номер записи о создании юридического лица):

Реклама. ООО «Ромашка». site.ru. erid: xxxxxxx

Либо вообще достаточно так (варианты):

Реклама. Рекламодатель. erid: xxxxxxx (в гиперссылке зашита посадочная страница site.ru)

Реклама. ООО «Ромашка». erid: xxxxxxx (в гиперссылке зашита посадочная страница site.ru)

Более того, даже так: Реклама. erid: xxxxxxx (в гиперссылке зашита посадочная страница site.ru)

Скрывать слово Реклама запрещено, а все остальное можно прятать по ссылке

Особо сведущие могут использовать даже такие варианты, указывая только так: Реклама (в гиперссылке зашита посадочная страница и к ней прикреплен идентификатор рекламы (токен): site.ru/?erid=123456789)

Вкратце так)

Оружие или зависть? Правительство США заставило Anthropic отключить доступ к новым ИИ-моделям

Приятно пользоваться нейросетью, которая помогает написать код или деловое письмо. Но долго ли эта возможность будет доступна бесплатно или за относительно небольшие деньги? Когда технология становится стратегической, доступ к ней пропадает. Например, начало разработки ядерной бомбы в СССР связывают с письмом ополченца Георгия Флёрова Иосифу Сталину — он отметил, что в научных журналах пропали работы по изучению распада атома, а значит, использование радиоактивного излучения перешло из научной стадии в промышленную. Флёров был отозван с фронта и стал одним из отцов советской ядерной программы. Не по той же ли схеме правительство США приказало Anthropic убрать доступ к двум новым ИИ-моделям — Fable 5 и Mythos 5?

9 июня Anthropic выпустила новые самые мощные ИИ-модели Fable 5 и Mythos 5, а уже 12 июня сообщила об отключении доступа к ним для всех по требованию правительства США. Формально требование касалось только неграждан США, но, видимо, разработчик пока не имеет надёжной системы определения гражданства пользователя. Отметим, что для любой ИИ-модели крайне важно её использование как можно большим числом пользователей — модель дообучается, а разработчик исправляет её недостатки. Поэтому Anthropic крайне невыгоден текущий запрет, и компания старается его оспорить.

Формальная причина запрета — потенциальная возможность использовать Fable 5 для взлома веб-сервисов. Опасность применения злоумышленниками актуальна для любой системы, и поэтому разработчики применяют меры предосторожности. Причём в случае Anthropic моделей две как раз из соображений безопасности: Mythos 5 — мощная ИИ-модель без ограничений для узкого круга специалистов, а Fable 5 доступна широкому кругу пользователей, но имеет массу ограничений.

Специалисты по кибербезопасности считают, что ограничения в любой ИИ-модели можно обойти, и в этом плане Fable 5 не опаснее предшественников: потребуется слишком много усилий, чтобы применить её для взлома. Многие из них просят вернуть доступ к новым моделям Anthropic.

Возможно, дело в том, что использование ИИ с целью взлома систем стало трендом в этом году: современные модели обнаруживают уязвимости пачками. И, возможно, правительство США решило, что пришло время отобрать у других стран доступ к потенциальному оружию.

Есть более человеческая версия. Anthropic готовится к IPO и вслед за SpaceX (включающей xAI) может стать одной из самых дорогих компаний мира. Это вызывает зависть, тем более мы уже рассказывали, что компания ссорилась с правительством США. Добавляет интриги сообщение о том, что правительству на Anthropic настучал — внезапно — её крупнейший инвестор, компания Amazon. Деньги деньгами, но кому-то очень не нравится отдавать рычаги управления миром молодой компании.

А за беспилотные авто в России ответит пользователь

Когда говорят об ИИ, обычно обсуждают вычислительные мощности и размеры ИИ-модели, но есть ещё одно направление, которое может кардинально изменить применение технологии, — это регуляторика, законы и, если хотите, философия применения. По сообщению «Коммерсанта», Минтранс подготовил новую редакцию законопроекта о правилах движения и эксплуатации беспилотных автомобилей, в которой указано, что при ДТП с участием автономного транспортного средства (ТС) возмещать ущерб здоровью потерпевших и их имуществу будут владельцы высокоавтоматизированных транспортных средств (ВАТС). О чём это говорит?

1. Вступление закона в силу планируется уже осенью 2027 года. Видимо, мы уже близки к применению беспилотников на дорогах по всей России. Сейчас они действуют только в экспериментальных зонах.

2. Регионы смогут ограничивать применение беспилотников как в регионе в целом, так и в отдельных локациях, в определённые дни или при проведении мероприятий. Это логичное решение после хаоса в Китае из-за внезапно вставших на прикол беспилотных авто.

3. Оплачивать ущерб за ДТП с участием ВАТС (беспилотника) будет его владелец. Но потом он может предъявить регрессный иск создателю софта, если авария произошла по причине сбоев в программно-аппаратной части. Вот это третье нововведение тянет на глобальное решение, которое может помочь или затормозить распространение беспилотных машин. Похожей по значимости была ситуация с софтом для первых персональных ПК — регуляторы разрешили продавать софт по принципу «плати как есть» без ответственности разработчика за сохранность пользовательской информации. С одной стороны, это привело к многочисленным случаям потери данных — разработчики заботились о надёжности софта, пока это не мешало получать прибыль. Зато это позволило разрабатывать софт быстрее и большему количеству компаний. И в итоге привело к расцвету ИТ.

Если Минтранс примет новые правила с ответственностью владельца ВАТС за ущерб в ДТП, то, видимо, это потянет рост бизнеса на сдаче беспилотников в аренду (тогда едущий или перевозящий грузы не будет нести ответственность за ДТП), страхование (никто не знает, насколько беспилотники будут хорошо ездить при массовом выходе на дороги, и наверняка владельцы захотят подстраховаться), а главное — развяжет руки создателям программно-аппаратных систем для беспилотных авто. С одной стороны, они могут отнестись к новым ИИ-системам менее ответственно, зато получат больше возможностей для экспериментов, так как меньше ресурсов придётся резервировать, чтобы возместить ущерб пострадавшим при ДТП.

РБПО по ГОСТ Р 56939—2024: вебинар №23 из 30 — Реагирование на информацию об уязвимостях

Предлагаю вашему вниманию запись вебинара, где мы разбираем безопасную разработку ПО. Вебинар посвящен процессу из раздела 5.23. — «Реагирование на информацию об уязвимостях». На YouTube. Слайды.

Цели 23-го процесса по ГОСТ Р 56939—2024:

Обеспечение выявления и устранения уязвимостей при эксплуатации ПО.

Общее количество вебинаров — 30. Каждому из 25 процессов ГОСТа посвящён отдельный вебинар и ещё 5 записано дополнительно на смежные темы. Запись всех вебинаров и подборка дополнительной информации доступна по ссылке: ГОСТ56939.РФ.

Методика ВУ и НДВ в ПО приведена в соответствие с ГОСТ Р 56939—2024

Материалы будут полезны всем, кто знакомится с темой РБПО и заинтересован во внедрении зрелых подходов в работу по созданию и сопровождению качественных программных продуктов. Материал по ГОСТ Р 56939–2024 весьма актуален, так как 12 мая 2026 утверждена обновлённая «Методика ВУ и НДВ в ПО». См. заметку «Методика выявления уязвимостей и недекларированных возможностей — 2026».

НЕкурс про РБПО

Суммарное время предлагаемых к изучению вебинаров составляет около 50 часов. Это достаточно большая задача, поэтому мы решили помочь и разбили материалы на отдельные уроки по РБПО. Возможно, так вам будет проще усваивать материал, а интерфейс позволяет отмечать, с чем вы уже ознакомились.