Обзор изменений в законодательстве за январь 2023

В обзоре изменений за январь 2023 года рассмотрим: положение о государственной системе защиты информации, порядок запрещения или ограничения трансграничной передачи персональных данных, государственный контроль в единой биометрической системе, порядок оформления отказа от предоставления биометрических данных, аккредитация на право владения информационными системами с использованием векторов единой биометрической системы, изменения в рамках стандартизации в области информационной безопасности и другое.

Для общественного обсуждения представлен проект Указа Президента Российской Федерации «Об утверждении Положения о государственной системе защиты информации в Российской Федерации».

Государственная система защиты информации (далее – ГСЗИ) создается в целях организации равнопрочной защиты информации, являющейся государственным ресурсом, а также с целью формирования единой организационной системы, функционирующей на общих правилах на федеральном, межрегиональном, региональном, ведомственном и объектовом уровнях на основе уже существующих структурных единиц, таких как:

Среди основных направлений деятельности ГСЗИ:

ГСЗИ создается как комплексная организационная структура с распределенными зонами ответственности. Так, деятельность ГСЗИ организует ФСТЭК России во взаимодействии с ФСБ России.

В свою очередь, органы и организации реализуют общие политики защиты информации в ГСЗИ в зоне своей ответственности (в т.ч. в подведомственных организациях).

В формировании предложений по разработке и внедрению новых способов защиты, исследовании и прогнозировании угроз безопасности информации, формировании требований к средствам защиты и прочих исследовательских направлениях ГСЗИ активное участие принимают научные организации.

Уполномоченные федеральные органы исполнительной власти в пределах полномочий осуществляют методическое руководство деятельностью по подготовке, профессиональной переподготовке, повышению квалификации специалистов в области защиты информации.

Устанавливается также ответственность за координацию деятельности в области защиты информации на каждом уровне. Так на федеральном уровне координацию осуществляет Межведомственная комиссия Совета безопасности РФ.

Согласно проекту, ГСЗИ функционирует во взаимодействии с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (далее – ГосСОПКА).

В область действия положения входят только организации, получившие на законных основаниях право доступа к информации, являющейся государственным ресурсом.

Согласно пояснительной записке, проект согласован с ФСБ России, Министерством обороны РФ и Службой внешней разведки РФ. Обсуждение проекта завершилось 6 февраля.

Опубликован проект постановления Правительства Российской Федерации «О внесении изменений в Положение о федеральном государственном контроле (надзоре) в сфере идентификации и (или) аутентификации, утвержденное постановлением Правительства Российской Федерации от 11 октября 2021 г. № 1729», который разработан в целях приведения в соответствие требованиям Федерального закона от 29.12.2022 № 572-ФЗ «Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных, о внесении изменений в отдельные законодательные акты Российской Федерации и признании утратившими силу отдельных положений законодательных актов Российской Федерации» (далее – 572-ФЗ).

Проектом предлагаются следующие изменения:

Обсуждение проекта завершилось 3 февраля.

Напомним, что в соответствии с 572-ФЗ Министерство цифрового развития, связи и массовых коммуникаций Российской Федерации (далее – Минцифры России) наделено полномочием по осуществлению контроля и надзора в сфере идентификации и (или) аутентификации не только в отношении аккредитованных организаций, осуществляющих аутентификацию на основе биометрических персональных данных (далее – ПДн) физических лиц, и аккредитованных государственных органов, но и в отношении Центрального банка Российской Федерации в случае прохождения им аккредитации. Кроме того, в 572-ФЗ установлен запрет на осуществление идентификации с использованием любых иных информационных систем, помимо единой биометрической системы (далее – ЕБС).

На основании уведомлений операторов ПДн

Официально опубликовано постановление Правительства Российской Федерации от 16.01.2023 № 24 «Об утверждении Правил принятия решения уполномоченным органом по защите прав субъектов персональных данных о запрещении или об ограничении трансграничной передачи персональных данных в целях защиты нравственности, здоровья, прав и законных интересов граждан».

Постановлением утверждается порядок рассмотрения уведомлений операторов о намерении осуществлять трансграничную передачу ПДн и принятия решения о запрещении или об ограничении такой передачи в целях защиты нравственности, здоровья, прав и законных интересов граждан (ч.8 ст.12 152-ФЗ, редакция с 01.03.2023). Общий порядок и сроки взаимодействия операторов ПДн с Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (далее – Роскомнадзором) в рамках принятия решения приведен на схеме.

Общий срок рассмотрения уведомлений не должен превышать 10 рабочих дней. В этот срок не входит время, в течение которого рассмотрение уведомления может быть приостановлено (при необходимости запроса дополнительных или недостающих сведений).

Если уточнение оператором уведомления требует направления запроса органам власти иностранного государства, иностранным физическим или юридическим лицам – срок корректировки уведомления оператором может быть продлен не более, чем на 5 рабочих дней.

Роскомнадзор вправе принять решение о запрещении трансграничной передачи ПДн в случаях, если:

Роскомнадзор вправе принять решение об ограничении трансграничной передачи ПДн в случаях, если содержание и объем передаваемых ПДн или состав категорий субъектов ПДн не соответствуют заявленным целям обработки.

До получения такого решения или до истечения срока рассмотрения уведомления оператор вправе осуществлять трансграничную передачу в иностранные государства, обеспечивающие адекватную защиту ПДн (ч.10 ст.12 152-ФЗ, редакция с 01.03.2023). В остальных случаях оператор не вправе осуществлять трансграничную передачу до окончания рассмотрения уведомления.

Решение о запрещении или об ограничении трансграничной передачи может быть обжаловано в судебном порядке или вышестоящему должностному лицу Роскомнадзора.

Действие такого запрета распространяется только на трансграничную передачу, описанную в решении (ту, о которой уведомляет оператор). В случае получения решения о запрещении или об ограничении трансграничной передачи ПДн оператор вправе устранить выявленные недостатки и отправить повторное уведомление не ранее, чем через 10 рабочих дней.

Постановление вступает в силу с 1 марта.

По представлению федеральных органов исполнительной власти

Официально опубликовано постановление Правительства Российской Федерации от 10.01.2023 № 6 «Об утверждении Правил принятия решения о запрещении или об ограничении трансграничной передачи персональных данных уполномоченным органом по защите прав субъектов персональных данных и информирования операторов о принятом решении».

Постановление утверждает правила принятия решения о запрещении или об ограничении трансграничной передачи ПДн на основании представлений уполномоченных федеральных органов исполнительной власти в рамках их полномочий (далее – уполномоченных органов) в целях:

Представления направляются уполномоченными органами в случаях выявления оснований, свидетельствующих о необходимости запрещения или ограничения трансграничной передачи ПДн.

Порядок принятия решения о запрещении или об ограничении трансграничной передачи ПДн и оповещения о принятых решениях указан на схеме.

Оператор, получивший уведомление о принятом решении, вправе устранить выявленные недостатки и направить обращение в уполномоченный орган, вынесший представление, о снятии запрета или ограничения, приложив подтверждающие материалы. Такое обращение рассматривается уполномоченным органом до 20 рабочих дней. При принятии положительного решения уполномоченный орган выносит представление о прекращении действия запретов или ограничений на трансграничную передачу ПДн и направляет соответствующее уведомление в Роскомнадзор.

Постановление вступает в силу с 1 марта.

Президент РФ Владимир Путин утвердил перечень поручений по итогам конференции «Путешествие в мир искусственного интеллекта», состоявшейся 23–24 ноября 2022 года. Одно из поручений включает рекомендацию Государственной Думе Федерального Собрания РФ ускорить рассмотрение проекта федерального закона, устанавливающего порядок обезличивания ПДн.

Срок исполнения поручения – 15 июля.

Для общественного обсуждения представлен проект постановления Правительства Российской Федерации «Об утверждении правил представления физическим лицом отказа ‎от сбора и размещения биометрических персональных данных в целях проведения идентификации и (или) аутентификации, отзыва такого отказа, а также письменного подтверждения многофункциональным центром предоставления государственных и муниципальных услуг представления физическим лицом такого отказа и отзыва такого отказа, форм отказа от сбора и размещения биометрических персональных данных в целях проведения идентификации и (или) аутентификации, отзыва такого отказа, а также письменного подтверждения многофункциональным центром предоставления государственных и муниципальных услуг представления физическим лицом такого отказа и отзыва такого отказа».

Физическое лицо может представить отказ от предоставления данных или отзыв такого отказа при личном присутствии в многофункциональном центре предоставления государственных и муниципальных услуг (далее – МФЦ). Отказ или отзыв оформляются в письменном виде и подписываются физическим лицом собственноручно. Отказ или отзыв отказа в предоставлении ПДн несовершеннолетнего представляет его законный представитель. При этом необходимо предъявить документы:

Подтверждение представления отказа или отзыва отказа от МФЦ выдается физическому лицу также в письменном виде, документ подписывается сотрудником МФЦ собственноручно. Далее в течение одного календарного дня МФЦ передает оператору ЕБС СНИЛС физического лица, представившего отказ или отзыв отказа, или несовершеннолетнего, в отношении которого представлен отказ или отзыв отказа. В свою очередь оператор ЕБС, получивший от МФЦ подтверждение представленного субъектом ПДн отказа в предоставлении биометрических данных в соответствии с ч.18 ст.3 572-ФЗ блокирует, удаляет, уничтожает биометрические ПДн и (или) векторы ЕБС и вправе продолжить обработку данных только после получения подтверждения об отзыве физическим лицом своего отказа.

Постановление утверждает формы отказа, отзыва отказа физических лиц, а также подтверждения МФЦ отказа или отзыва отказа в предоставлении данных.

После утверждения постановление вступит в силу с 1 июня. Общественное обсуждение проекта завершилось 2 февраля.

Для общественного обсуждения размещен проект постановления Правительства РФ «Об утверждении требований к государственным органам, Центральному банку Российской Федерации для прохождения ими аккредитации на право владения информационными системами, обеспечивающими аутентификацию физических лиц с использованием векторов единой биометрической системы, и (или) осуществления функций их операторов, правил прохождения такой аккредитации, основаниях ее приостановления и прекращения, а также требований к организациям, привлекаемым государственными органами, Центральным банком Российской Федерации для осуществления функций операторов информационных систем, обеспечивающих аутентификацию физических лиц с использованием векторов единой биометрической системы, и о признании утратившим силу постановления правительства Российской Федерации от 26 августа 2022 г. № 1498».

Для прохождения аккредитации государственные органы и Центральный Банк РФ (далее – ЦБ РФ) должны соответствовать ряду требований, среди которых:

Проектом также предлагается ряд требований к организациям, привлекаемым государственными органами и ЦБ РФ в качестве операторов информационных систем, обеспечивающих аутентификацию физических лиц с использованием векторов ЕБС. Частично требования пересекаются с требованиями к государственным органам и ЦБ РФ для аккредитации, однако помимо прочего содержат:

1. наличие лицензии на деятельность по разработке, производству, распространению шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, выполнению работ, оказанию услуг в области шифрования информации, техническому обслуживанию шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств;

2. организация не является иностранным юридическим лицом, а также юридическим лицом, в уставном (складочном) капитале которого доля участия иностранных юридических лиц превышает 49%;

3. соответствие требованиям к деловой репутации единоличного исполнительного органа, а также членов коллегиального исполнительного органа и (или) физических лиц;

4. отсутствие записи о недостоверности сведений о юридическом лице в едином государственном реестре юридических лиц;

5. в течение последних 3 лет отсутствует досрочное прекращение аккредитации;

6. а также требования к единоличному исполнительному органу:

Проектом также предлагается утвердить порядок прохождения государственными органами и ЦБ РФ аккредитации. Напомним, что такую аккредитацию осуществляет Минцифры России.

После утверждения постановление вступит в силу с 1 июня. Публичное обсуждение проекта завершилось 13 февраля.

ФСБ России опубликовала ряд проектов приказов об отмене своих административных регламентов:

Проектом 01/02/01-23/00135148 предлагается отменить Административный регламент Федеральной службы безопасности Российской Федерации по исполнению государственной функции по осуществлению федерального государственного контроля за обеспечением защиты государственной тайны;

Проектом 01/02/01-23/00135151 предлагается отменить:

Проектом 01/02/01-23/00135067 предлагается отменить:

Общественное обсуждение проектов завершилось 1 февраля.

На сайте ФСТЭК России опубликован Методический документ «Рекомендации по обеспечению безопасной настройки операционных систем Linux».

Документ содержит рекомендации по настройке операционных систем Linux. Рекомендации направлены на повышение защищенности информационных (автоматизированных) систем, построенных с использованием операционных систем Linux и включают описание выполнения процедур:

Криптографическая защита

С 1 января 2023 года введен в действие предварительный национальный стандарт Российской Федерации ПНСТ 799-2022 «Информационные технологии. Криптографическая защита информации. Термины и определения». Стандарт устанавливает термины и определения, применяемые при проведении работ по стандартизации в области криптографической защиты информации.

Также с 1 января 2023 года введены в действие рекомендации по стандартизации Р 1323565.1.043–2022 «Информационная технология. Криптографическая защита информации. Контрольные примеры использования российских криптографических алгоритмов в протоколе безопасности транспортного уровня (TLS 1.3)».

Рекомендации предназначены для проверки корректности реализации протокола безопасности транспортного уровня TLS 1.3, описанного в Р 1323565.1.030, с алгоритмами, определяемыми российскими государственными криптографическими стандартами. Документ содержит описание сценариев работы протокола, необходимых для проверки возможных режимов работы протокола, а также соответствующие данным сценариям контрольные примеры.

Документы разработаны в рамках работы технического комитета по стандартизации «Криптографическая защита информации» (ТК 26).

Уровни доверия идентификации

С 1 января вступил в действие ГОСТ Р 70262.1-2022 «Защита информации. Идентификация и аутентификация. Уровни доверия идентификации».

Стандарт устанавливает единообразную организацию процесса и правила идентификации и аутентификации субъектов и объектов доступа в средствах защиты информации, средствах вычислительной техники и автоматизированных (информационных) системах.

Согласно стандарту идентификация должна включать:

Под уровнем доверия понимается соответствующая установленной шкале степень уверенности в том, что оцениваемый объект соответствует целям безопасности. Стандартом устанавливаются три уровня доверия: низкий, средний и высокий. При низком уровне доверия имеется некоторая уверенность в том, что идентификационные данные действительно принадлежат субъекту доступа, при среднем – умеренная, а при высоком – значительная уверенность. При этом для каждого уровня стандартом уточняются критерии к существованию и достоверности идентификационных сведений.

Стандарт также устанавливает состав участников процесса идентификации, состав идентификационной информации, присваиваемой и проверяемой на каждом этапе идентификации, и требования к ее подтверждению.

Требования по безопасности информации к средствам виртуализации

ФСТЭК России сообщением №240/24/169 от 20.01.2023 информирует об утверждении Требований по безопасности информации к средствам виртуализации (утв. приказом ФСТЭК России от 27.10.2022 № 187).

Документ предназначен для организаций, осуществляющих разработку средств виртуализации, заявителей на осуществление сертификации, а также для испытательных лабораторий и органов по сертификации, выполняющих работы по сертификации средств защиты информации на соответствие обязательным требованиям по безопасности информации.

Требования применяются к средствам виртуализации, реализующим функциональные возможности по созданию образов виртуальных машин, формированию среды выполнения виртуальных машин, запуску виртуальных машин и управлению ими, по идентификации и аутентификации пользователей в средстве виртуализации и централизованному управлению образами виртуальных машин, виртуальными машинами и организацией взаимодействия между виртуальными машинами. Документ включает требования по безопасности информации, предъявляемые к:

На сайте ФСТЭК России опубликована выписка из требований, полный текст документа можно получить по обращению в установленном ФСТЭК России порядке.

Деятельность ТК 362

Опубликована справка-доклад о ходе работ по плану Технического комитета по стандартизации «Защита информации» (ТК 362) по состоянию на 31.01.2023. Справка содержит отчетность по организационным вопросам комитета. Согласно справке в январе 2023 года подготовлены проекты:

Также согласно выписке из Программы национальной стандартизации на 2023 год планируется разработка следующих национальных стандартов, связанных с информационной безопасностью: