Дайджест изменений в российское законодательство по ИБ №25

Персональные данные

1. Подготовлен законопроект об отнесении контактных данных (номер телефона, адрес электронной почты или почтовый адрес) к специальной категории персональных данных, что нарушает не только здравый смысл, но и Евроконвенцию №108. Про ужесточение требований, в том числе и по защите ИСПДн с такой информацией, и говорить не приходится.
2. В законопроект по внесению изменений в ФЗ-152 будет внесен ряд важных изменений, среди которых:
   • исключение слова «непрерывное» в фразе про подключение операторов ПДн к ГосСОПКЕ (не могу сказать, что это как-то сильно повлияет на ситуацию в сторону улучшения — все равно подключение остается),
   • уведомление РКН об утечке в течение 24 часов будет требования не с момента утечки, а с момента ее обнаружения,
   • уведомлять Роскомнадзор о трансграничной передаче ПДн надо будет только при первом взаимодействии оператора ПДн с новой для себя страной.

Подзаконники для 250-го Указа Президента

1. Минцифры подготовило типовое техническое задание на выполнение работ по оценке уровня защищенности информационной инфраструктуры, упомянутой в 250-м Указе Президента, а также типовую форму отчета и пример заполненной типовой формы отчета.
2. Дмитрий Чернышенко поручил направить в регионы единые методики работы штабов по кибербезопасности. Вице-премьер отметил, что на данный момент штабы созданы в 78 регионах. Соответствующего штаба или структурного подразделения пока не появилось в 7 субъектах. Что касается федеральных органов власти, то штабы созданы в 61 из 73 ведомств.
3. Правительство уточнило список крупнейших компаний, которые должны до 1 июля провести оценку уровня защищенности своих информационных систем. В перечень вошли 58 организаций. Мероприятия проводятся в рамках указа президента Владимира Путина от 1 мая, но в самом указе не было отмечено, кто именно должен пройти проверку. В список Минцифры вошли, например, «Почта России», «Газпром-медиа холдинг» (ГПМ), «Росатом», СИБУР, Сбербанк и другие.

Электронная подпись

1. Комитетом Госдумы по государственному строительству и законодательству согласовал проект федерального закона №952003-7 «О внесении изменений в отдельные законодательные акты Российской Федерации», вносящий в Федеральный закон №63-ФЗ изменения в части передоверия с использованием машинночитаемых доверенностей (МЧД), возможность выдачи МЧД не только физическому лицу, но и ИП или ЮЛ, выдачи сертификатов автоподписи для индивидуальных предпринимателей и др.

2. Минцифры подготовило проект Постановления Правительства, которое предлагает продлить срок проведения эксперимента по использованию технологии мобильной электронной подписи при получения государственных, муниципальных и коммерческих услуг (мобильного приложения «Госключ») до 31 декабря 2023 г, а также расширить круг участников эксперимента лицами, замещающими государственные должности, а также Удостоверяющим центром Федерального казначейства.

3. Минэкономики готовит поправки ко второму чтению законопроекта об электронных архивах. В частности, планируется разрешить визирование цифровой версии документа физлицом не только усиленной квалифицированной электронной подписью (УКЭП), но и с помощью ее неквалифицированной версии.

Стандартизация

1. ФСТЭК России опубликовала отчет о ходе работ по плану технического комитета по стандартизации «Защита информации» (ТК 362) (по состоянию на 31.05.2022). Отчет покрывает следующие направление стандартизации:
   • Интеллектуальные транспортные системы.
   • Защита информации. Идентификация и аутентификация. Уровни доверия идентификации.
   • Защита информации. Идентификация и аутентификация. Управление идентификацией и аутентификацией.
   • Защита информации. Система организации и управления защитой информации. Общие положения.
   • Защита информации. Управление компьютерными инцидентами. Термины и определения.
   • Защита информации. Управление компьютерными инцидентами. Общие положения.
   • Защита информации. Управление компьютерными инцидентами. Организация деятельности по управлению компьютерными инцидентами.
   • Защита информации. Управление компьютерными инцидентами. Руководство по реагированию на компьютерные инциденты.
2. ФСТЭК России планирует отменить ГОСТ Р 58189-2018 «Защита информации. Требования к органам по аттестации объектов информатизации».

Разное

1. Минцифры опубликовало приказ от 02.03.2022 №156 «Об утверждении Порядка защиты сетей связи и информационных систем операторов связи от несанкционированного доступа к ним и передаваемой по ним информации при функционировании системы обеспечения вызова экстренных оперативных служб по единому номеру «112«.
2. Минпросвещения подготовило изменения в федеральный государственный образовательный стандарт среднего общего образования (ФГОС для преподавания в 10-11-х классах), уточняющий требования к знаниям выпускников старшей школы. Помимо умения выявлять фальсификацию истории России (не зря же в ФГОС добавили про включение Крыма в состав России и спецоперацию). По нашей с вами тематике ФГОС требует от выпускника старшей школы понимания угроз информационной безопасности, использования методов и средств противодействия этим угрозам, а также соблюдения мер, которые могут предотвратить незаконное распространения персональных данных.
3. Минфин решил ограничить («засекретить«) распространение бюджетной отчетности из-за западных санкций. В Минфине указали, что это поможет минимизировать риск введения дополнительных санкций.
4. Минцифры опубликовало проект приказа, которым предлагается внести изменения в порядок сбора данных абонентов, собираемых в соответствии с «законом Яровой», через систему технических средств для обеспечения проведения оперативно-разыскных мероприятий (ОРМ). Проект приказа корректирует требования к параметрам кодирования информации между пультом управления оборудованием, который находится у ФСБ, и техническими средствами, установленными у операторов. Документ также регламентирует параметры сбора и формат хранения информации, взаимную аутентификацию техсредств и пульта управления, резервирование пропускной способности каналов между ними. Первоначальная версия «закона Яровой», по которому велась запись всего трафика пользователей оказалась бесполезной для анализа. Разбивка на категории позволит предварительно обрабатывать информацию перед хранением, чтобы затем ее было проще анализировать.
5. ФСТЭК выпустила информационное сообщение от 11 апреля 2022 года №240/24/1950 «О порядке представления документов по аттестации объектов информатизации, обрабатывающих информацию ограниченного доступа, не составляющих государственную тайну».
6. Минцифры по рекомендации ФСБ готовится к разработке единой базы кодов IMEI, присваиваемых мобильным телефонам. Спецслужбы выступают за создание такого реестра для «повышения эффективности оперативно-разыскных мероприятий».
7. Банк России выпустил новую версию «Условий по защите информации».