Axxtel | Кибербезопасность
Камень преткновения – проект N 169583
Если посмотреть на изменения законодательства в области ИБ, в них можно увидеть определенную цикличность.
Сначала изменения касаются требований для ГИС и иных информационных систем органов государственной власти и ФОИВ. Затем тенденция затрагивает процессы обработки персональных данных. После этого регулятор обращает внимание на производственный сектор — ОПК, КИИ. ЦБ при этом стоит несколько обособленно, но учитывает опыт коллег и формирует нормативную базу уже для финансового сектора.
В 2025 году начался новый виток развития.
И если изменения, касающиеся ГИС и иных ИС ОГВ и ФОИВ, прошли достаточно спокойно, то второй шаг этого цикла уже идет со скрипом.
Речь о проекте № 169583 — проекте приказа «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».
Документ должен заменить действующий приказ ФСТЭК № 21 и расширить требования к защите персональных данных.
Сам проект размещен на Федеральном портале проектов нормативных правовых актов.
Что же пошло не так?
На определенных этапах разработки проект нормативного правового акта размещается на regulation.gov.ru и проходит предусмотренные процедуры обсуждения и экспертизы.
В общем виде цепочка выглядит так:
уведомление о подготовке проекта → разработка проекта и публичное обсуждение → независимая антикоррупционная экспертиза → доработка с учетом замечаний → дальнейший внутренний маршрут.
И именно публичное обсуждение стало здесь стоп-фактором.
Основная проблема документа в том, что он затрагивает очень широкую тему — безопасность персональных данных. И мести всех под одну гребенку здесь не стоит.
Нет явной привязки к уровням защищенности, установленным ПП РФ № 1119, что усложняет практическую реализацию мер защиты информации.
Снова возникают неоднозначные формулировки.
Например:
«При использовании в информационных системах сертифицированных по требованиям безопасности информации средств защиты информации...»
В российском инфобезе такую конструкцию легко прочитать примерно так:
«Несертифицированные СЗИ использовать можно, но сертифицированные приветствуются больше».
Ну и, конечно, остается мало конкретики в части формирования требований по ИБ для операторов персональных данных.
И в этот виток развития ИБ-комьюнити молчать не стало.
Какой здесь видим плюс?
Документ ушел на переработку. А значит, замечания профессионального сообщества как минимум услышаны.
И это, на наш взгляд, хорошая тенденция: между регулятором и отраслью появляется диалог.
Ну что, продолжаем наблюдать.
#ПрактикаИБ #ИБвзаконе #ЭкспертизаAxxtel Если у вас установлено приложение,
вы можете сразу перейти в канал