На связи Катя, консультант «Solar Интеграция», с ежемесячной подборкой новостей из мира комплаенса ИБ. В этом посте вы узнаете об основных изменениях законодательства в области кибербезопасности за март. Все новости разбиты на тематические блоки: изменения в области защиты информации, безопасность объектов КИИ, рекомендации регуляторов и отраслевые изменения.
Изменения в области защиты информации
1. На рассмотрение в Госдуму внесен , согласно которому коммерческие организации, работающие с государственными органами, могут обязать соблюдать требования о защите информации, устанавливаемые ФСБ России и ФСТЭК России. Предполагается, что нововведения вступят в силу через год с момента принятия закона. Для применения новшества на практике в случае принятия закона ФСТЭК России внесет поправки в приказ №17 от 11 февраля 2013 года, а ФСБ России разработает приказ, в котором определит соответствующие требования о защите информации, содержащейся в ГИС, с использованием средств криптографической защиты информации.
Безопасность объектов КИИ
2. Для общественного обсуждения представлен Правительства РФ, предполагающий внесение изменений в правила категорирования объектов критической информационной инфраструктуры (ОКИИ). Согласно проекту, отраслевые ведомства могут получить право привлекать по согласованию со ФСТЭК России специализированные организации для дополнительной проверки актуальности и достоверности сведений об объектах КИИ. Предполагается, что такие проверки могут проводиться в рамках отраслевого мониторинга, предусмотренного пунктом 19.2 действующих правил категорирования ОКИИ. В качестве специализированных организаций предлагается рассматривать организации, подведомственные соответствующим отраслевым ведомствам и имеющие компетенции в соответствующих сферах (областях), а также в области безопасности КИИ.
3. Президент России Владимир Путин своим утвердил меры по обеспечению технологической независимости и безопасности критической информационной инфраструктуры страны. В частности, с 31 марта 2022 года запрещено приобретать иностранное программное обеспечение для значимых объектов критической информационной инфраструктуры (ЗОКИИ) России, а с 1 января 2025 года его также запрещается использовать в ЗОКИИ. Согласно указу, Правительству РФ поручено утвердить требования к программному обеспечению, используемому в ЗОКИИ, и правила согласования закупок иностранного ПО для применения в ЗОКИИ до 30 апреля, а также установить сроки и порядок перехода на преимущественно отечественные программно-аппаратные комплексы для всех ЗОКИИ до конца сентября этого года.
Рекомендации регуляторов в сфере информационной безопасности
4. Минцифры России выпустило для госкорпораций, компаний с госучастием, а также для их дочерних организаций и зависимых обществ по противодействию компьютерным атакам и другим угрозам в сфере информационной безопасности.
5. ФСТЭК России опубликовала «О мерах по повышению защищённости информационной инфраструктуры». Данные меры направлены на обеспечение безопасности информации информационных инфраструктур организаций, которые используются для разработки, поставки, распространения и технической поддержки ПО и оборудования АСУ ТП.
6. Национальный координационный центр по компьютерным инцидентам (НКЦКИ) подготовил перечень рекомендаций, направленных на:
Отраслевые изменения
7. Банк России утвердил , который предусматривает выпуск следующих документов по информационной безопасности:
Нормативный акт Банка России о требованиях к обеспечению защиты информации при осуществлении деятельности в сфере оказания профессиональных услуг на финансовом рынке в целях противодействия осуществлению незаконных финансовых операций;
Положение Банка России «О требованиях к защите информации в платежной системе Банка России»;
Нормативный акт Банка России об управлении рисками информационной безопасности в платежной системе Банка России;
Указание Банка России «О внесении изменений в Положение Банка России от 17.10.2014 № 437-П «О деятельности по проведению организованных торгов».
8. Для общественного обсуждения представлен Правительства РФ «О внесении изменений в Положение о Министерстве цифрового развития, связи и массовых коммуникаций Российской Федерации». Согласно документу, Минцифры России может получить полномочия, позволяющие осуществлять мероприятия, направленные на повышение грамотности населения страны по вопросам кибербезопасности.
9. Официально опубликован , который внес изменения в перечень угроз нарушения целостности (подмены) квалифицированного сертификата.
