Как вот спрятаться от них?.. Видно, так уж суждено, Ты их в дверь,-- они в окно...ГосСОПКА снова на пороге.

  В декабре 2020 года была предпринята первая охватить ГосСОПКА все организации страны без исключения. Писал про это - здесь . Тогда мы этого избежали, но недавно последовала очередная и более жесткая по своим требованиям. И так, апрельская версия 2022 года "О внесении изменений в Федеральный закон "О персональных данных" и иные законодательные акты Российской Федерации по вопросам защиты прав субъектов персональных данных"

  Посмотрим что интересного нас ждет в законопроекте с точки зрения информационной безопасности.

  1.  лицо, осуществляющее обработку персональных данных - государственный орган, муниципальный орган, юридическое или физическое лицо, осуществляющее обработку персональных данных по поручению оператора персональных данных с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, но не определяющее цели обработки указанных персональных данных, состав персональных данных, действия, совершаемые с персональными данными.

 Таким "обработчикам ПДн" необходимо получать лицензию ФСТЭК на ТЗКИ и лицензию на ФСБ на СКЗИ.

https://fstec.ru/litsenzionnaya-deyatelnost/tekhnicheskaya-zashchita-informatsii/76-inye/1651-informatsionnoe-soobshchenie-fstek-rossii-ot-31-iyulya-2018-g-n-240-13-3330

В пункте 3 Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119, установлено, что безопасность персональных данных при их обработке в информационный системе обеспечивает оператор этой системы, который обрабатывает персональные данные, или лицо, осуществляющее обработку персональных данных по поручению оператора на основании заключенного с этим лицом договора. Договор между оператором и уполномоченным лицом должен предусматривать обязанность уполномоченного лица обеспечить безопасность персональных данных при их обработке в информационной системе. 

Оператору не требуется получать лицензию на деятельность по технической защите конфиденциальной информации при обработке персональных данных в информационной системе персональных данных для собственных нужд.

Оператору необходимо иметь указанную лицензию при оказании другому оператору услуг по обработке персональных данных по его поручению в собственной информационной системе персональных данных на основании заключенного между ними договора при наличии в таком договоре хотя бы одной из услуг, предусмотренных в пункте 4 Положения о лицензировании деятельности по технической защите конфиденциальной информации, утвержденного постановлением Правительства Российской Федерации от 3 февраля 2012 г. N 79.

Или как штрафуют за отсутствие лицензии ФСБ на СКЗИ

"Таким образом, ООО <данные изъяты>» по существу оказывает возмездные услуги по организации и обеспечению безопасности хранения и обработки с использованием СКЗИ конфиденциальной информации, передаваемой вне сетей конфиденциальной связи, т.е. предоставляя услуги по шифрованию информации фактически осуществляет функции оператора.

Вместе с этим, согласно Положения, утвержденного постановлением Правительства Российской Федерации от 16 апреля 2012 г. N 313 в перечень выполняемых работ и оказываемых услуг, составляющих лицензируемую деятельность, в отношении шифровальных (криптографических) средств относится в том числе, предоставление услуг по шифрованию информации, не содержащей сведений, составляющих государственную тайну, с использованием шифровальных (криптографических) средств в интересах юридических и физических лиц, а также индивидуальных предпринимателей."

 2. Вред субъектам ПДн теперь будем оценивать по методике РКН "оценка вреда в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов персональных данных, который может быть причинен субъектам персональных данных в случае нарушения настоящего Федерального закона, соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом".

  А это может повлечь за собой пересмотр классов защиты для ГИС, обрабатывающих ПДн.

  3. Ключевой пункт законопроекта! Законодательное наделение ФСБ и ФСТЭК правом приходить с проверкой выполнения 21/378 приказов в коммерческие организации.