В свежем выпуске дайджеста вас ждет подборка основных изменений из мира комплаенса ИБ за прошедший октябрь. Как развивается нормативная база для защиты персональных данных? Какие новшества предусматривает законопроект, устанавливающий правовые основы обработки биометрических персональных данных? О чем говорится в проекте положения о платформе «ГосТех», предназначенной для создания государственных информационных систем? Сроки каких процедур по сертификации средств защиты сократила ФСТЭК России своим приказом? Об этом и многом другом расскажу в сегодняшнем посте.
Персональные данные
1. Президент России Правительству проработать изменения в законодательство, позволяющие обеспечить гражданам возможность управлять согласиями на обработку персональных данных на портале Госуслуг. В частности, планируется разработать поправки, которые позволят:
размещать на едином портале Госуслуг перечень согласий на обработку персональных данных, предоставленных гражданами органам и организациям, в том числе при получении государственных, муниципальных и коммерческих услуг;
давать согласие на обработку персональных данных и отзывать такое согласие с использованием портала Госуслуг.
2. Для общественного обсуждения представлен , устанавливающий порядок взаимодействия регулятора с операторами в рамках ведения реестра учета инцидентов в области персональных данных.
В случае утечки персональных данных операторы ПДн должны направить в Роскомнадзор два документа: первичное уведомление с информацией об инциденте и дополнительное уведомление с результатами внутреннего расследования.
Первый документ должен содержать следующие сведения:
дата и время выявления инцидента;
содержание скомпрометированной базы данных, количество содержащихся в ней записей, ее актуальность, период, в течение которого собраны ПДн;
возможные причины инцидента;
предполагаемый вред, нанесенный субъектам ПДн;
принятые меры по устранению последствий инцидента.
Дополнительное уведомление должно содержать итоговую информацию внутреннего расследования выявленного инцидента: причины инцидента, вред, нанесенный субъектам ПДн, дополнительно принятые меры по устранению последствий, информация о лицах, действия которых стали причиной инцидента.
3. Для общественного обсуждения представлен совместный «Об утверждении Порядка передачи информации о компьютерных инцидентах, повлекших неправомерную или случайную передачу (предоставление, распространение, доступ) персональных данных».
ФСБ России и Роскомнадзор передают друг другу полученную от операторов информацию о компьютерных инцидентах, а именно:
факт произошедшего компьютерного инцидента;
предполагаемые причины компьютерного инцидента;
предполагаемый вред, нанесенный правам субъектов персональных данных;
принятые оператором меры по устранению последствий соответствующего компьютерного инцидента;
информация о лице, уполномоченном оператором на взаимодействие с уполномоченными органами;
результаты внутреннего расследования выявленного компьютерного инцидента;
информация о лицах, действия которых стали причиной произошедшего компьютерного инцидента (при наличии).
4. Для общественного обсуждения представлен , в котором определяется порядок обработки персональных данных непосредственно в ведомстве. Также предлагается утвердить перечень внутренней организационно-распорядительной документации службы по обработке и защите ПДн.
Биометрические персональные данные
5. Президент России своим указом от 30.09.2022 определил АО «Центр Биометрических Технологий» организацией, обеспечивающей развитие цифровых технологий идентификации и аутентификации, в том числе на основе биометрических персональных данных.
Правительству РФ, согласно документу, поручено в течение трех месяцев:
возложить на АО «Центр Биометрических Технологий» функции оператора Единой биометрической системы (ЕБС);
образовать Координационный совет по развитию цифровых технологий идентификации и аутентификации на основе биометрических ПДн, утвердить его состав и полномочия.
6. Государственная Дума представила о государственной информационной системе «Единая информационная система персональных данных, обеспечивающая обработку, включая сбор и хранение биометрических персональных данных, их проверку и передачу информации о степени их соответствия предоставленным биометрическим персональным данным физического лица». Проект устанавливает правовые основы обработки биометрических персональных данных для идентификации и (или) аутентификации с применением ЕБС и иных, в том числе государственных, информационных систем.
Законопроект предполагает возможность образования в составе ЕБС региональных сегментов. Предусматривается переходный период до 1 января 2027 года, в течение которого допускается хранить биометрические данные в региональном сегменте и использовать отдельное мобильное приложение для сбора биометрии. С 1 января 2027 года, согласно законопроекту, государственные органы перейдут на «векторную модель»: это значит, что они больше не смогут хранить биометрические персональные данные, а должны будут использовать «векторы» Единой биометрической системы.
Законопроект также предусматривает расширение способов саморегистрации физических лиц в Единой биометрической системе. Подписание согласий на сбор и обработку биометрических данных будет возможно с использованием усиленной неквалифицированной электронной подписи портала Госуслуг.
7. Минцифры России представило для общественного обсуждения о создании Координационного совета по развитию цифровых технологий идентификации и аутентификации на основе биометрических персональных данных.
Основные задачи Координационного совета будут следующими:
рассмотрение перспективных направлений для совершенствования и развития биометрических технологий в РФ;
консультирование и взаимодействие с органами государственной власти РФ;
рассмотрение вопросов и разработка предложений по развитию биометрических технологий, по унификации требований к инфраструктуре обработки данных с применением биометрических технологий в целях предоставления государственных и муниципальных услуг, в том числе в дистанционном формате, а также по развитию ЕБС.
Государственные информационные системы
8. Минцифры России представило для общественного обсуждения «Об утверждении Положения о единой цифровой платформе Российской Федерации "ГосТех"».
Платформа «ГосТех» представляет собой набор сквозных технологических решений, развернутых в облачной инфраструктуре и предназначенных для создания, развития и эксплуатации государственных информационных систем (ГИС).
Опубликованный проект определяет функции и основные принципы функционирования платформы «ГосТех», состав участников и их полномочия, порядок включения поставщиков и цифровых продуктов, а также общие требования к защите информации государственных информационных систем на платформе «ГосТех».
Угрозы информационной безопасности, связанные с использованием облачных вычислений, будут решаться совместно ФСБ России и ФСТЭК России.
Для предотвращения деструктивного информационно-технического воздействия на российские информационные ресурсы, включая объекты критической информационной инфраструктуры, проект устанавливает необходимость реализации унифицированных механизмов управления информационной безопасностью платформы «ГосТех» в национальных интересах.
Критическая информационная инфраструктура
9. ФСТЭК России опубликовала , которым предусматривается внесение изменений в правила категорирования объектов КИИ, перечень показателей критериев значимости таких объектов и их значений.
Например, в перечне показателей критериев значимости предлагается уточнить показатели, характеризующие прекращение или нарушение функционирования критических процессов на территории одного муниципального образования численностью менее 10 тысяч человек. Это позволит исключить из значимых объекты КИИ, обеспечивающие функционирование мелких сельских поселений.
Сертификация средств защиты информации
10. Официально опубликован от 19.09.2022 № 172 «О внесении изменений в Положение о системе сертификации средств защиты информации, утвержденное приказом Федеральной службы по техническому и экспортному контролю от 3 апреля 2018 г. № 55».
Приказом предусматривается сокращение сроков для следующих процедур по сертификации средств защиты информации:
рассмотрение регулятором заявки на сертификацию средства защиты информации;
разработка, рассмотрение и утверждение программы и методик сертификационных испытаний средства защиты информации;
рассмотрение ФСТЭК России материалов по сертификации средства защиты информации;
устранение недостатков, выявленных ФСТЭК России при рассмотрении материалов по сертификации средства защиты информации.
Разработчики средств защиты информации, имеющие сертификат соответствия процедур безопасной разработки программного обеспечения требованиям национальных стандартов в области защиты информации, в случае внесения изменений в сертифицированное средство защиты информации могут самостоятельно проводить сертификационные испытания.
Государственная тайна
11. Официально опубликовано от 29.10.2022 № 1932 «О внесении изменений в Инструкцию о порядке допуска должностных лиц и граждан РФ к государственной тайне».
Допуск к государственной тайне (ГТ) по третьей форме с проведением проверочных мероприятий обязателен для:
руководителей территориально обособленных подразделений организаций, осуществляющих работу с ГТ;
заместителей руководителей по режиму (безопасности);
работников структурных подразделение по защите ГТ;
лиц, которые назначаются уполномоченными режимно-секретного подразделения или на которых возлагается исполнение функций структурных подразделений по защите ГТ.
Деятельность ФСТЭК России
12. ФСТЭК России представила для общественного обсуждения , в котором предусматривается наделение уполномоченных федеральных органов исполнительной власти правами по установлению порядка оценки знаний экспертов органов по сертификации и специалистов испытательных лабораторий в форме их аттестации.
13. ФСТЭК России опубликовала методики по безопасности программных и программно-аппаратных средств:
;
.
14. ФСТЭК России опубликовала приказ .
Новости в области стандартизации
15. Официально опубликованы профессиональные стандарты для специалистов по информационной безопасности:
;
;
;
.
16. Технический комитет по стандартизации «Криптографическая защита информации» (ТК 26) представил для общественного обсуждения «Информационная технология. Криптографическая защита информации. Режимы работы блочных шифров».
17. ФСТЭК России опубликовала о результатах деятельности Технического комитета по стандартизации «Защита информации» (ТК 362) по состоянию на 31.10.2022 г.
Отраслевые изменения
18. Опубликовано от 30.09.2022 № 1729 «Об утверждении Положения о государственной аккредитации российских организаций, осуществляющих деятельность в области информационных технологий».
Государственная аккредитация организаций проводится в целях оказания им мер государственной поддержки.
В документе приведен перечень видов экономической деятельности, в соответствии с которыми организация вправе получить государственную аккредитацию, а также перечень документов (сведений), необходимых для получения государственной аккредитации.
19. Официально опубликован от 22.08.2022 № 676 «Об утверждении требований к информационным системам контроля доступа».
В части защиты информации устанавливаются следующие требования:
в системах контроля доступа (СКД) должна обеспечиваться защита обрабатываемой и хранящейся информации в соответствии с 152-ФЗ, ПП РФ № 1119, приказами ФСТЭК № 21 и 77, а также приказом ФСБ № 378.
в СКД должны применяться сертифицированные средства защиты информации;
технические и проектные решения должны ограничивать возможность несанкционированного доступа к стационарным техническим средствам, обрабатывающим ПДн, средствам, обеспечивающим функционирование СКД, и в помещения, в которых они постоянно расположены;
в СКД должен обеспечиваться уровень защищенности ПДн в соответствии с моделью угроз безопасности информации для каждого объекта спорта.
Автор дайджеста: Екатерина Борисенкова, консультант по информационной безопасности направления «Solar Интеграция» компании «РТК-Солар»
