Требования к защите данных могут изменить — компании смогут адаптировать меры безопасности под свои ИТ-системы

ФСТЭК намерена отказаться от универсального подхода к защите данных

Документ ФСТЭК утверждает новый состав организационных и технических мер по защите персональных данных в информационных системах. Новый порядок должен заменить приказ ФСТЭК от 2013 года.

Вместо одинакового набора требований для всех систем регулятор предлагает учитывать особенности конкретной инфраструктуры: архитектуру IT-систем, используемые технологии и актуальные угрозы.

Документ определяет меры защиты для каждого из уровней защищённости персональных данных, установленных правительственными требованиями. Всего в действующих требованиях установлено четыре уровня защищённости персональных данных: от 1-го (самые строгие требования) до 4-го (наименее строгие).

Главная цель — уйти от «формального» выполнения требований

Согласно проекту, оператор должен обязан будет совершить несколько действий для защиты ИТ-систем:

• определить базовые меры защиты для установленного уровня защищённости,
• адаптировать их под особенности своей информационной системы,
• проверить соответствие актуальным угрозам.

Если выбранные меры нельзя реализовать технически или их применение нецелесообразно, компания сможет использовать компенсирующие меры. При этом оператор должен будет обосновать, почему они обеспечивают необходимый уровень защиты.

Новый подход должен заменить формальное выполнение требований на оценку того, насколько выбранные меры действительно защищают данные.

Требования затронут более 2,6 млн операторов персональных данных

Новые правила будут распространяться на информационные системы, в которых обрабатываются персональные данные. Сейчас, по данным «Коммерсанта», в реестре операторов персональных данных содержатся сведения о более чем 2,6 млн операторов.

ФСТЭК также вводит обязательную оценку эффективности реализованных мер. Для этого компании должны будут определять показатель «уровень зрелости» системы защиты информации.

Оценку нужно будет проводить перед началом обработки персональных данных, затем не реже одного раза в три года, а также после компьютерных инцидентов.

ФСТЭК впервые добавила отдельные требования для ИИ

В проекте приказа впервые появились отдельные меры защиты информации при использовании искусственного интеллекта, интернета вещей, виртуализации и облачных вычислений.

Также регулятор выделил защиту мобильных устройств и удалённого доступа пользователей. Для значимых объектов критической информационной инфраструктуры дополнительно устанавливается требование постоянного взаимодействия с ГосСОПКА.

Руководитель направления по взаимодействию с регуляторами Swordfish Security Альбина Аскерова рассказала «Коммерсанту», что появление требований к ИИ связано с тем, что модели всё чаще работают с персональными данными. По её словам, сами данные, запросы пользователей и ответы моделей становятся новыми целями для взлома.