Обзор изменений в законодательстве за июль 2023 года

В обзоре изменений за июль 2023 года рассмотрим: изменения в 187-ФЗ и подзаконные акты, требования к защите информации на платформе цифрового рубля, образовательные программы и проект по расширению полномочий ФСТЭК России, требования по безопасности к многофункциональным межсетевым экранам уровня сети и к системам управления базами данных, результаты работ ТК 362, а также изменения в федеральные законы об информации (149-ФЗ) и о связи (126-ФЗ).

 

Изменения в законы об информации и о связи

Официально опубликованы федеральные законы, вносящие изменения в Федеральный закон «Об информации, информационных технологиях и о защите информации» от 27.07.2006 №149-ФЗ и Федеральный закон «О связи» от 07.07.2003 № 126-ФЗ. Законы вносят изменения в ряд формулировок, а также дополняют новыми требованиями.

В соответствии с Федеральным законом от 31.07.2023 №406-ФЗ вступают в силу следующие требования:

1.      С 01.12.2023 владельцы информационных ресурсов, являющиеся российскими юридическими лицами или гражданами Российской Федерации (далее – РФ) и осуществляющие деятельность на территории РФ для пользователей РФ, проходящих процедуру авторизации, должны реализовать процедуру с помощью:

•  номера мобильного телефона;
•  Федеральной государственной информационной системы «Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем (далее – ИС), используемых для предоставления государственных и муниципальных услуг в электронной форме» (ЕСИА);
• Единой биометрической системы (ЕБС);
• иных информационных систем, соответствующих требованиям защиты информации, владельцами которых являются граждане РФ или российские юридические лица.

2.      С 01.12.2023 провайдеры хостингов обязаны направить в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (далее ‑ Роскомнадзор) уведомление об осуществлении деятельности по предоставлению вычислительной мощности для размещения информации в ИС, подключенной к сети «Интернет» (далее – провайдеры).

3.      С 01.12.2023 Роскомнадзор будет вести реестр провайдеров, включение в реестр осуществляется на основании уведомления от провайдера. С 01.02.24 не допускается осуществление деятельности по предоставлению вычислительных мощностей провайдерами, не включенными в реестр.

4.      С 01.09.2024 операторы государственных и муниципальных ИС, ИС государственных и муниципальных унитарных предприятий, государственных и муниципальных учреждений обязаны использовать вычислительные мощности провайдера хостинга, включенного в реестр провайдеров и не вправе использовать вычислительные мощности, принадлежащие иностранным юридическим и физическим лицам и т.д.

  

В соответствии с Федеральным законом от 31.07.2023 №408-ФЗ владельцы информационных ресурсов в сети «Интернет» с 01.10.2023 обязаны:

• не допускать применение технологий предоставления информации на основе сбора, систематизации и анализа сведений, относящихся к предпочтениям пользователей сети «Интернет» (далее ‑ рекомендательных технологий), которые нарушают права и интересы граждан и организаций, а также в целях предоставления информации с нарушением законодательства РФ;
• не допускать предоставление информации с применением рекомендательных технологий без информирования пользователей о применении таких технологий;
• разместить на информационном ресурсе документ, устанавливающий правила применения рекомендательных технологий на русском языке;
• разместить на информационном ресурсе контакты для направления юридически значимых сообщений и т.д.

В случае нарушения правил Роскомнадзор вправе запросить доступ к проверке применяемых рекомендательных технологий, потребовать устранения выявленных нарушений или прекратить использование рекомендательных технологий. При не устранении нарушения Роскомнадзор вправе ограничить доступ к ресурсу.

Изменения в 187-ФЗ

Официально опубликован Федеральный закон от 10.07.2023 № 312-ФЗ «О внесении изменения в статью 2 Федерального закона «О безопасности критической информационной инфраструктуры Российской Федерации», в соответствии с которым понятие субъекта критической информационной инфраструктуры (далее ‑ КИИ) теперь также включает сферу государственной регистрации прав на недвижимое имущество и сделок с ним.

Отметим, что регистрация прав на недвижимое имущество и сделок с ним регулируется Федеральным законом от 13.07.2015 № 218-ФЗ «О государственной регистрации недвижимости». К объектам КИИ в сфере государственной регистрации прав на недвижимое имущество и сделок с ним относится информационная система Единого государственного реестра недвижимости (ЕГРН). Соответствующая система эксплуатируется органами государственной власти в рамках межведомственного взаимодействия, а также двумя основными типами субъектов (субъектами КИИ):

• Федеральная служба государственной регистрации, кадастра и картографии (Росреестр) и региональные управления Росреестра;
• публично-правовая компания «Роскадастр».

Изменения в Указ № 166 и постановление Правительства РФ № 1478

Для общественного обсуждения представлен проект Указа Президента Российской Федерации «О внесении изменений в Указ Президента Российской Федерации от 30 марта 2022 г. № 166 «О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации».

Проектом предлагается дополнить необходимость согласования закупок иностранного программного обеспечения (далее – ПО) или услуг, необходимых для использования иностранного ПО на значимых объектах КИИ, Центральным Банком Российской Федерации (далее ‑ Банком России) (для банковской сферы и иных сфер финансового рынка).

Для общественного обсуждения также опубликован проект постановления Правительства Российской Федерации, которым предлагается внести соответствующие изменения в Постановление Правительства Российской Федерации от 22.08.2022 № 1478.

Общественное обсуждение проектов завершилось 17 июля. Согласно текстам проектов, изменения вступят в силу с 12.09.2023.

Индикаторы риска нарушения требований по защите персональных данных

Министерством цифрового развития, связи и массовых коммуникаций Российской Федерации (Минцифры России) опубликован проект приказа «О внесении изменения в перечень индикаторов риска нарушения обязательных требований при осуществлении федерального государственного контроля (надзора) за обработкой персональных данных, утвержденный приказом Министерства цифрового развития, связи и массовых коммуникаций Российской Федерации от 15.11.2021 № 1187».

Перечень индикаторов предлагается дополнить следующим пунктом: «3. Установление контролирующим органом трех и более фактов несоответствия информации, указанной контролируемым лицом в уведомлениях, подлежащих направлению в соответствии с Федеральным законом «О персональных данных», сведениям, размещенным на принадлежащем такому контролируемому лицу сайте в информационно-телекоммуникационной сети «Интернет».

Согласно пояснительной записке к проекту, предлагаемое дополнение направлено на проведение операторами персональных данных (далее ‑ ПДн) процедур внутреннего контроля (аудита), поддержания в актуальном виде документов по ПДн, которые размещаются в открытом доступе.

Общественное обсуждение проекта завершится 10 августа.

Платформа цифрового рубля: требования к обеспечению защиты информации

Банк России представил для общественного обсуждения проект положения «О требованиях к обеспечению защиты информации для участников платформы цифрового рубля».

Предлагаемые требования распространяются на объекты информационной инфраструктуры, которые используются участниками платформы цифрового рубля (кредитными финансовыми организациями) при формировании, обработке, передаче и хранении защищаемой информации.

Согласно проекту положения, участники платформы цифрового рубля должны обеспечить:

• размещение объектов информационной инфраструктуры в выделенных сегментах (группах сегментов);
• стандартный уровень защиты выделенных сегментов (групп сегментов) согласно ГОСТ Р 57580.1-2017 (системно значимые кредитные организации – усиленный уровень защиты), а также уровень соответствия не ниже третьего уровня соответствия (для системно значимых кредитных организаций – не ниже четвертого), предусмотренного разделом 6 ГОСТ Р 57580.2-2018;
• проведение оценки соответствия выполнения мер ГОСТ Р 57580.1-2017 в соответствии с ГОСТ Р 57580.2-2018 не реже одного раза в два года, а также проведение ежегодного тестирования на проникновение и анализа уязвимостей;
• защиту информации с использованием средств криптографической защиты (далее ‑ СКЗИ) в соответствии с Положением о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005);
• применение электронной подписи, сертификат ключа проверки которой выдан удостоверяющим центром Банка России и т.д.

Общественное обсуждение проекта завершилось 4 августа.

Программы повышения квалификации и профессиональной переподготовки ФСТЭК России

На сайте ФСТЭК России опубликованы информационные сообщения:

• О разработанных ФСТЭК России примерных дополнительных профессиональных программах в области обеспечения безопасности критической информационной инфраструктуры;
• О разработанной ФСТЭК России примерной программе профессиональной переподготовки «Информационная безопасность. Техническая защита конфиденциальной информации»;
• О разработанных ФСТЭК России новых редакциях примерных программах профессиональной переподготовки и повышения квалификации специалистов в области противодействия иностранным техническим разведкам, технической защиты информации и обеспечения безопасности значимых объектов критической информационной инфраструктуры.

На сайте также обновлена выписка из перечня примерных программ профессиональной переподготовки и повышения квалификации специалистов. Обеспечение полным перечнем примерных программ и примерными программами производится только на основании обращений:

• федеральных органов исполнительной власти в центральный аппарат ФСТЭК России;
• органов и организаций, осуществляющих образовательную деятельность, в территориальные органы ФСТЭК России.

Полномочия ФСТЭК России

Для общественного обсуждения опубликован проект указа Президента Российской Федерации «О внесении изменений в Указ Президента Российской Федерации от 16 августа 2004 г. № 1085 «Вопросы Федеральной службы по техническому и экспортному контролю» и в Положение, утвержденное этим Указом».

Проектом предлагается:

1.      Увеличить количество штатных единиц ФСТЭК России.

2.      Добавить к основным задачам ФСТЭК России оперативное управление деятельностью по обеспечению безопасности значимых объектов КИИ, технической защите информации.

3.      Добавить в полномочия ФСТЭК России:

• централизованный учет и организацию мониторинга текущего состояния защищенности защищаемых объектов информатизации государственных органов, органов местного самоуправления и организаций (далее – органов и организаций) с учетом отраслей экономики и дифференциации по уровню их критичности;
• оперативное информирование органов и организаций об угрозах безопасности и уязвимостях в объектах информатизации, а также мерах по защите;
• разработку и организацию внедрения совместно с органами и организациями процессов управления защитой информации и безопасностью значимых объектов КИИ;
• организацию взаимодействия органов и организаций при реализации ими мер по повышению защищенности объектов информатизации от угроз безопасности информации;
• организационно-методическое сопровождение и руководство деятельностью по защите информации и обеспечению безопасности значимых объектов КИИ органов и организаций, оценку эффективности такой деятельности и реализованных ими мер.

Согласно пояснительной записке, закрепление указанных полномочий и зон ответственности позволит повысить уровень защищенности информационных систем государственных органов и организаций, а также значимых объектов КИИ. Потребность в повышении уровня защищенности, обусловлена усилением информационно-технического воздействия на информационные ресурсы Российской Федерации в период проведения специальной военной операции.

Общественное обсуждение проекта завершится 14 августа.

Требования по безопасности ФСТЭК России

ФСТЭК России информирует об утверждении Требований по безопасности информации к многофункциональным межсетевым экранам уровня сети (далее – МЭ). В том числе, требования применимы к Next-Generation Firewall (NGFW).

Требования по безопасности информации предъявляются к:

• уровню доверия МЭ;
• управлению доступом в МЭ;
• идентификации и аутентификации пользователей МЭ;
• фильтрации сетевого трафика;
• обнаружению и блокированию компьютерных атак;
• обнаружению и блокированию вредоносного программного обеспечения;
• доверенной загрузке МЭ;
• тестированию и контролю целостности МЭ;
• производительности МЭ;
• аппаратной платформе МЭ;
• режимам работы МЭ;
• регистрации событий безопасности в МЭ;
• обеспечению бесперебойного функционирования и восстановления МЭ;
• взаимодействию с иными средствами защиты информации;
• централизованному и удаленному управлению МЭ.

На сайте ФСТЭК России опубликована выписка из утвержденных требований.

Также ФСТЭК России информирует об утверждении Требований по безопасности информации к системам управления базами данных (далее – СУБД).

Требования по безопасности информации предъявляются к:

• уровню доверия СУБД;
• операционной системе, в среде которой функционирует СУБД;
• управлению доступом в СУБД;
• идентификации и аутентификации пользователей в СУБД;
• контролю целостности в СУБД;
• регистрации событий безопасности в СУБД;
• резервному копированию и восстановлению в СУБД;
• обеспечению доступности СУБД;
• очистке памяти в СУБД;
• производительности СУБД;
• ограничению программной среды в СУБД.

На сайте ФСТЭК России опубликована выписка из утвержденных требований.

Выполнение требований по безопасности к МЭ и СУБД обязательно при проведении работ по оценке соответствия (включая работы по сертификации) согласно Положению о системе сертификации средств защиты информации. При этом устанавливается соответствие классов защиты МЭ и СУБД и уровней доверия, установленных приказом ФСТЭК России от 02.06.2020 №76.

ТК 362

Справка-доклад на 28.06

На сайте ФСТЭК России опубликована традиционная справка-доклад о ходе работ по плану технического комитета по стандартизации «Защита информации» (далее – ТК 362) (по состоянию на 28.06.2023).

Согласно справке в июне 2023 года проведены следующие работы:

• Представлены председателю ТК 362 для принятия решения об организации его публичного обсуждения проекты национальных стандартов:

o   ГОСТ Р «Защита информации. Защита информации от утечки из программной среды информационных и автоматизированных систем. Общие положения»;

o   ГОСТ Р ИСО/МЭК 27005 «Информационная безопасность, кибербезопасность и защита частной жизни. Руководство по управлению рисками информационной безопасности. Требования и руководства» (идентичный на основе ISO/IEC 27005:2022);

o   ГОСТ Р 52447 «Защита информации. Техника защиты информации. Классификация средств защиты информации от несанкционированного доступа и номенклатура показателей качества» (пересмотр ГОСТ Р 52447-2005);

• По результатам публичного обсуждения доработаны и подготовлены для принятия решения об организации голосования по вопросу их представления в Федеральное агентство по техническому регулированию и метрологии (далее – Росстандарт) на утверждение проекты национальных стандартов:
  

o   ГОСТ Р ИСО/МЭК 15408-1-20ХХ «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель» (идентичный на основе ISO/IEC 15408-1:2022);

o   ГОСТ Р ИСО/МЭК 15408-2-20ХХ «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности» (идентичный на основе ISO/IEC 15408-2:2022);

• Принято решение подготовить и рассмотреть на заседании рабочей группы 5 (РГ 5) первую редакцию проекта национального стандарта ГОСТ Р 56939 «Защита информации. Разработка безопасного программного обеспечения. Общие требования»;
• Принято решение организовать голосование по вопросу представления в Росстандарт на утверждение окончательной редакции проектов национальных стандартов:

o   ГОСТ Р «Защита информации. Разработка безопасного программного обеспечения. Руководство по проведению статического анализа программного обеспечения. Требования»;

o   ГОСТ Р «Защита информации. Разработка безопасного программного обеспечения. Безопасный компилятор языков С/С++. Общие требования»;

• Проводятся работы по обсуждению и подготовке редакций, доработке проектов национальных стандартов:

o   ГОСТ Р «Защита информации. Разработка безопасного программного обеспечения. Управление безопасностью программного обеспечения при использовании заимствованных и привлекаемых компонентов»;

o   ГОСТ Р «Защита информации. Разработка безопасного программного обеспечения. Руководство по проведению динамического анализа программного обеспечения»;

o   ГОСТ Р «Защита информации. Доверенная среда исполнения. Общие требования»;

• Разосланы на рассмотрение в организации-члены ТК 362 проекты предварительных национальных стандартов:

o   ПНСТ «Обеспечение безопасности искусственного интеллекта. Роль аппаратного обеспечения в безопасности искусственного интеллекта»;

o   ПНСТ «Обеспечение безопасности искусственного интеллекта. Постановка задачи»;

o   ПНСТ «Обеспечение безопасности искусственного интеллекта. Безопасность цепочки поставок данных»;

o   ПНСТ «Обеспечение безопасности искусственного интеллекта. Онтология угроз искусственного интеллекта».

    

Анализ работы ТК 362

На сайте ФСТЭК России также опубликованы результаты анализа работы ТК 362 и активности организаций-членов ТК 362 во II квартале 2023 года.

Справка содержит перечень проектов национальных стандартов, разработка и согласование которых проводились в рамках работы ТК 362 во II квартале 2023 года, результаты планирования работ ТК 362, анализа активности членов ТК 362 и отчет о проведении заседания с рабочими группами и подкомитетами.