Downloaded 20 times
More Related Content
Similar to лукацкий алексей. обзор последних законодательных инициатив в области информационной безопасности
лукацкий алексей. обзор последних законодательных инициатив в области информационной безопасности
- 1. Обзор последних законодательных инициативв области информационной безопасности Лукацкий Алексей, консультант по безопасности
- 2.
- 3.
- 4. Недавние и планируемыеизменения по направлению ПДн • Приказ ФСТЭК №21 по защите ПДн и ИСПДн • Приказ об отмене «приказа трех» по классификации ИСПДн • Приказ и методичка РКН по обезличиванию • Проект приказа ФСБ по использованию СКЗИ для защиты ПДн • Законопроект Совета Федерации по внесению изменений в ФЗ-152 • Законопроект по внесению изменений в КоАП • Законопроекты РКН по внесению изменений в КоАП, ФЗ-152 и ФЗ-294 • Новая версия стандарта Банка России (СТО БР ИББС) • Работа Межведомственного экспертного совета при Минкомсвязи по совершенствованию законодательства в области регулирования отношений, связанных с обработкой ПДн • Изменение списка «адекватных» стран
- 5. Законопроект по штрафам • В новом законопроекте меняется текст статьи 13.11, которая устанавливает два состава правонарушений – Нарушение требований к письменному согласию субъекта – Обработка ПДн без согласия или иных законных оснований • Также вводится еще 3 новых статьи: – 13.11.1 - незаконная обработка спецкатегорий ПДн (<=300K) – 13.11.2 - непредоставление оператором информации и (или) доступа к сведениям, предусмотренным законодательством о ПДн. Данная статья наказывает в т.ч. и за отсутствие политики в отношении обработки ПДн (<=40K) – 13.11.3 - несоблюдение требований по обеспечению безопасности ПДн (<=200K)
- 6. Законопроект РГ СоветаФедерации • Вводится понятия «обработчика» • Защита ПДн в составе профессиональной тайны – В соответствие с требованиями по защите тайны • Условия обработки ПДн обработчиком – Наличие договора = согласие • Новые условия необеспечения конфиденциальности ПДн • Электронная, в т.ч. дистанционная форма согласия на обработку ПДн • Биометрические ПДн – Только при автоматической идентификации субъекта • Трансграничная обработка ПДн – Также при наличии договора – Не распространять требование за пределами РФ
- 7. Законопроект РГ СоветаФедерации • Государственные и муниципальные организации заменяются на организации, обрабатывающие ПДн в целях оказания государственных и муниципальных услуг • Защита ПДн – Гармонизация формулировок • Уведомление РКН – Гармонизация формулировок • Возможность самостоятельной разработки модели угроз – До принятия соответствующих актов ФОИВами
- 8. Законопроект о внеплановыхпроверках • Законопроект «О внесении изменения в статью 10 Федерального закона «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля» • Поступление в органы государственного контроля (надзора) обращений и заявлений граждан, в том числе индивидуальных предпринимателей, юридических лиц, информации от органов государственной власти, органов местного самоуправления, из средств массовой информации о следующих фактах: – г) нарушение прав субъектов персональных данных (в случае обращения граждан, права которых нарушены)
- 9. Законопроект о новыхнарушениях • Новая статья КоАП 14.8.1 «Отказ продавца (исполнителя) в предоставлении товара (работы, услуги) при отсутствии согласия субъекта персональных данных на обработку персональных данных» – До 10 тысяч рублей • Новый пункт в статье 19.7 «Непредставление или несвоевременное представление в уполномоченный государственный орган сведений (информации) о допущенном незаконном распространении сведений о частной и личной жизни (персональные данные) лица (неопределенного круга лиц), а равно представление в уполномоченный государственный орган таких сведений (информации) в неполном объеме или в искаженном виде» – До 50 тысяч рублей
- 10. Законопроект об отдельномрегулировании надзора за ПДн • Особенности организации и проведения проверок в части, касающейся вида, предмета, оснований проведения проверок, сроков и периодичности их проведения, уведомлений о проведении внеплановых выездных проверок и согласования проведения внеплановых выездных проверок с органами прокуратуры, могут устанавливаться другими федеральными законами при осуществлении следующих видов государственного контроля (надзора): – государственный контроль (надзор) за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных
- 11. Законопроект с новымиопределениями в ФЗ-152 • Согласие субъекта персональных данных – волеизъявление субъекта персональных данных, оформленное в письменной форме или подписанное электронной цифровой подписью, а равно действия субъекта персональных данных, выражающие волю и согласие на обработку его персональных данных • Минимальный перечень персональных данных – допустимая совокупность персональных данных, обрабатываемая оператором в соответствии с целями деятельности – Минимальный перечень персональных данных включает в себя: фамилию, имя, отчество, год, месяц и дату рождения, адрес места жительства (регистрации) или места пребывания, реквизиты документа, удостоверяющего личность субъекта персональных данных, идентификационный номер налогоплательщика (ИНН), страховой номер индивидуального лицевого счёта (СНИЛС) субъекта персональных данных
- 12. Законопроект с новымиопределениями в ФЗ-152 • В случае отказа субъекта персональных данных в предоставлении согласия на обработку персональных данных, когда данное согласие не предусмотрено федеральными законами для получения соответствующего товара (работы, услуги), оператор не вправе отказать субъекту персональных данных в предоставлении товара (работы, услуги), а равно не должен препятствовать доступу субъекта персональных данных к месту (местам) продажи товара (выполнения работы, оказания услуги)
- 13. Проект приказа ФСБ– «ацкий ад» • Настоящий документ устанавливает состав и содержание необходимых для выполнения установленных Правительством Российской Федерации требований к защите ПДн для каждого из уровней защищенности организационных и технических мер по обеспечению безопасности ПДн при их обработке в ИСПДн • Существенно осложняет жизнь операторам ПДн • Требует повсеместного использования только сертифицированной криптографии
- 14. Что еще планируется • Письмо 42-Т Банка России по усилению контроля за деятельностью кредитных организаций в части обработки ПДн • Изменения в ФЗ «О лицензировании отдельных видов деятельности» (рабочая группа экспертного совета Минкомсвязи) – В части определения лицензий на ТЗКИ и шифрования – Введение термина «собственные нужды» – Замена термина «конфиденциальная информация» • Отраслевые модели угроз ПДн – Банка России (уже год ждет согласования с ФСБ) – для банков – Минкомсвязи – для операторов связи
- 15.
- 16. Недавние и планируемыеизменения по направлению критически важных объектов • Реализация Основных направления государственной политики в области обеспечения безопасности автоматизированных систем управления производственными и технологическими процессами критически важных объектов инфраструктуры Российской Федерации • Указ Президента №31с «О создании государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ» • Законопроект по безопасности критических информационных инфраструктур – Будет вноситься в ГД в апреле 2014 • Постановление Правительства №861 от 02.10.2013 • Приказ ФСТЭК по защите АСУ ТП Данная тема будет одной из основных в 2014-м
- 17.
- 18. Недавние и планируемыеизменения по направлению ГИС • Приказ ФСТЭК по защите информации в ГИС • Методический документ по мерам защиты информации в государственных информационных системах • Порядок моделирования угроз безопасности информации в информационных системах • Методические документы, регламентирующие – Порядок аттестации распределенных информационных систем – Порядок обновления программного обеспечения в аттестованных информационных системах – Порядок выявления и устранения уязвимостей в информационных системах – Порядок реагирования на инциденты, которые могут привести к сбоям или нарушению функционирования информационной системы и (или) к возникновению угроз безопасности информации
- 19. У ФСТЭК большиепланы по регулированию госорганов
- 20. ФСТЭК унифицирует требованияпо защите информации Особенность Приказ по защите ПДн Приказ по защите ГИС/МИС Проект приказа по АСУ ТП Требования по защите привязаны к 4 уровням защищенности ПДн 4 классам защищенности ГИС/МИС 3 классам защищенности АСУ ТП Порядок в триаде КЦД КЦД ДЦК Возможность гибкого выбора защитных мер Да Да Да Проверка на отсутствие «закладок» Требуется для угроз 1-2 типа (актуальность определяется заказчиком) Требуется для 1-2 класса защищенности ГИС/МИС Требуется только при выборе сертифицированных средств защиты
- 21. Но разница междутребованиями ФСТЭК все-таки есть Особенность Приказ по защите ПДн Приказ по защите ГИС/ МИС Проект приказа по АСУ ТП Оценка соответствия В любой форме (нечеткость формулировки и непонятное ПП-330) Только сертификация В любой форме (в соответствии с ФЗ-184) Аттестация Коммерческий оператор - на выбор оператора Госоператор - аттестация Обязательна Возможна, но не обязательна Контроль и надзор Прокуратура – все ФСТЭК/ФСБ – только госоператоры (РКН не имеет полномочий проверять коммерческих операторов) ФСТЭК ФСБ и ФОИВ, ответственный за безопасность КИИ (определяется в настоящий момент)
- 22. ФСТЭК планирует установитьновые требования к средствам защиты • ФСТЭК (2013-2015) – Требования к средствам доверенной загрузки – Требования к средствам контроля съемных носителей – Требования к средствам контроля утечек информации (DLP) – Требования к средствам аутентификации – Требования к средствам разграничения доступа – Требования к средствам контроля целостности – Требования к средствам очистки памяти – Требования к средствам ограничения программной среды – Требования к средствам управления потоками информации (МСЭ, однонаправленные МСЭ, коммутаторы…) – Требования к средствам защиты виртуализации – ГОСТы по защите виртуализации и облачных вычислений
- 23.
- 24. Планы Банка России • Развитие ИБ в финансовой отрасли Банк России видит за счет тематик ПДн и банковской тайны, банковского CERT, ИБ виртуализации и облаков • ЦБ планирует расширить действие СТО на все отрасли, которые попали под ЦБ после слияния с ФСФР • Постепенном идет сдвиг в сторону реального управления рисками – Обязательные требования по ИБ могут исчезнуть (исключая базовый минимум) и банки будут сами выбирать меры защиты (как в 379-П и т.п.) • Новая версия СТО 1.0 гармонизирована с 382-П, ПП-1119, ФЗ-261 и 21-м приказом ФСТЭК • Предположительно с 01.05.14 новые версии СТО и РС будут введены в действие
- 25. Недавние и планируемыеизменения по направлению НПС • Изменения в 382-П (3007-У) – Новые требования по защите банкоматов/платежных терминалов, платежных карт, Интернет и мобильного банкинга • Отчетность по инцидентам (3024-У) • Защита банкоматов и платежных терминалов (34-Т и др.) • Рекомендации по повышению уровня безопасности при предоставлении розничных платежных услуг с использованием информационно-телекоммуникационной сети «Интернет» (146-Т) • Требования по борьбе с вредоносным кодом (49-Т) • Изменение ст.9 ФЗ-161 • Обязательные нормативы управления операционными рисками • Национальная система фрод-мониторинга • Официальный перевод и признание PCI DSS и PA DSS 2.0 и 3.0
- 26. Планируемые изменения понаправлению банковской тайны • Новая редакция СТО БР ИББС 1.0 «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Общие положения» • Новая редакция СТО БР ИББС 1.2 «Методика оценки соответствия СТО БР ИББС 1.0» • РС «Ресурсное обеспечение информационной безопасности» • РС «Требования по к обеспечению информационной безопасности на стадиях жизненного цикла банковских приложений» • РС «Менеджмент инцидентов информационной безопасности» • РС по виртуализации • РС по системам контроля утечек информации и мониторинга социальных сетей 26
- 27.
- 28. Недавние и планируемыеизменения по направлению ССОП • Закон «О внесении изменений в отдельные законодательные акты Российской Федерации по вопросам регулирования отношений при использовании информационно-телекоммуникационной сети Интернет» и ФЗ-139 «О защите детей от негативной информации» • Постановление Правительства №611 от 15.04.2013 «Об утверждении перечня нарушений целостности, устойчивости функционирования и безопасности единой сети электросвязи РФ» • Иных требований по информационной безопасности на операторов связи пока не планируется • Все изменения касаются контроля Интернет – Антипиратский закон, контроль социальных сетей, Единая система аутентификации (ЕСИА), запрет анонимайзеров, регулирование Интернет-компаний как организаторов распространения информации, регулирование облачных вычислений и т.п.
- 29.
- 30. Что еще планируется? • Законопроект о запрете использования чиновниками и госслужащими несертифицированных мобильных устройств – Фактически эти нормы уже установлены действующими НПА • Законопроект о запрете размещения сайтов государственных органов за пределами Российской Федерации – Фактически эти нормы уже установлены действующими НПА • Стратегия кибербезопасности РФ – Статус подвис в воздухе • Новая статья в КоАП за препятствование доступу к сайтам в Интернет – Из антитеррористического законопроекта • Законопроект по борьбе с SMS-спамом
- 31. © Cisco и(или) дочерние компании, 2011 г. Все права защищены. Общедоступная информация CiscoBRKSEC-1065 31 Благодарю вас за внимание security-request@cisco.com