Опубликован проект нового приказа ФСТЭК по безопасности ПДн

Опубликован Проект приказа ФСТЭК России «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных». Согласно тексту проекта, документ отменит действие 21 Приказа и фактически станет его заменой.

На текущий момент текст проекта определяет состав подсистем защиты и состав мероприятий по защите персональных данных, обязательных для реализации. Проект документа планирует значительное расширение актуальных требований по защите, примерно также как 117 Приказ ФСТЭК расширил требования 17 Приказа ФСТЭК. Дополнительно стоит учесть, что большинство обновленных требований уже определены в рамках 117 Приказа ФСТЭК.

Среди нововведений можно выделить:

1. Изменение состава обязательных для реализации мероприятий по защите персональных данных, включая добавление требований по защите информации при взаимодействии с подрядными организациями, при использовании ИИ, защите от DDoS, взаимодействию с ГОССопка и т. д.
2. Изменение состава подсистем защиты информации, включая выделение отдельных подсистем, в том числе защиты конечных устройств, технологий интернета вещей, веб-технологий, сервисов электронной почты, точек беспроводного доступа и т. д.
3. Определение необходимости моделирования угроз в составе обязательных мероприятий в явном виде
4. Соблюдению требований к РБПО
5. Определение необходимости отражения актуальных мер защиты персональных данных на уровне политики обработки персональных данных

Также проектом вводится показатель уровня зрелости (УЗИ), расчет которого необходим для оценки эффективности реализованных мер по защите персональных данных. Оценка необходима перед началом обработки персональных данных, после инцидентов, а также не реже 1 раза в 3 года по планируемой к утверждению методике.

Сейчас проект находится на стадии общественного обсуждения. Предварительная дата вступления нового приказа в силу пока неизвестна.