Федеральная служба по техническому и экспортному контролю (ФСТЭК) опубликовала проект приказа с обновленными требованиями к защите персональных данных в информационных системах.
Документ должен вступить в силу с 1 сентября 2026 года.
Проект впервые распространяет единые требования на все информационные системы, которые обрабатывают персональные данные. Вместо фиксированного перечня мер, действовавшего с 2013 года, предлагается трехуровневая модель защиты.
Для каждого уровня предусмотрен базовый набор мер, который операторы смогут адаптировать под архитектуру своих IT-систем и используемые технологии. После этого потребуется подтвердить, что выбранные меры действительно защищают систему от актуальных угроз.
Отдельные требования впервые вводятся для систем, использующих искусственный интеллект, интернет вещей, виртуализацию, облачные технологии, а также мобильные устройства и удаленный доступ.
Кроме того, документ вводит обязательную оценку эффективности защиты по показателю «уровень зрелости». Ее необходимо проводить до начала обработки персональных данных, затем не реже одного раза в три года и после каждого компьютерного «инцидента». Для значимых объектов критической информационной инфраструктуры также сохранится требование о постоянном взаимодействии с ГосСОПКА.
По данным реестра Роскомнадзора, сейчас в России зарегистрировано более 2,6 млн операторов персональных данных. Новые требования затронут все организации, работающие с такими сведениями.
Эксперты отмечают, что отдельные требования к защите ИИ появились из-за растущего использования персональных данных при обучении и эксплуатации моделей. Также они считают, что новая трехуровневая система даст компаниям больше гибкости, однако потребует документально обосновывать выбор каждой меры защиты и регулярно подтверждать ее эффективность. [Коммерсантъ]
Будь первым, оставь комментарий