​​❌ Штрафная неделя

Прошедшая рабочая неделя отметилась двумя важными событиями:

1. ГосДума приняла в третьем (окончательном) чтении поправки в Кодекс Российской Федерации об административных правонарушениях в части установления административной ответственности за нарушение законодательства в области обеспечения безопасности критической информационной инфраструктуры Российской Федерации, которые практически сразу были одобрены Советом Федерации.
Раскладка по размерам будущих штрафов приводилась здесь.

2. ГосДума приняла в третьем (окончательном) чтении поправки в Кодекс Российской Федерации об административных правонарушениях, которыми предусматривается увеличение сумм штрафов за разглашение информации с ограниченным доступом (а не только персональных данных, как трубили в новостях), а также вводится административная ответственность за получение информации с ограниченным доступом (по аналогии, как с ответственностью за дачу и получение взятки).
Раскладка по размерам будущих штрафов (для физических лиц и должностных лиц) за разглашение приводилась здесь, размеры штрафов за незаконное получение такие же.

"КоммерсантЪ" взял интервью у главы Роскомнадзора Липова. Вот немного о ПД (по ссылке больше).
— Закон о сборе согласий пользователей на обработку персональных данных принимался для этих же целей?

— В этом законе идет речь о новом, особенном виде согласия, и это согласие у пользователя нужно брать, только когда происходит распространение персональных данных. Раньше пользователь сам должен был доказывать в суде, что не давал согласия на их обработку.
Теперь доказательство лежит на сильном — площадка должна доказать, что у нее есть право публиковать мои персональные данные, это более справедливая ситуация.
Пользователь получает возможность контролировать, где его данные распространяются.
Например, если я регистрируюсь в соцсети и не против того, чтобы мои данные собирались с этой площадки и обрабатывались где угодно третьими лицами, я даю на это согласие. Но если я не хочу, есть возможность не давать такое дополнительное согласие. У пользователя появляется возможность самому принимать решение, контролировать местоположение, актуальность и достоверность своих персональных данных.

— Минцифры сейчас тестирует идентификацию пользователей разных платформ с использованием «Госуслуг» (ЕСИА) и предлагает там же собирать согласия. Зачем дублировать, если можно все сделать на платформе Минцифры?

— Это не дублирование. Цель проекта Минцифры в том, чтобы идентифицировать пользователей разных платформ с использованием «Госуслуг» (ЕСИА). Нам нужно иметь данные только о согласиях, персональная информация будет храниться в ЕСИА. Эти данные нужны, чтобы мы могли отстаивать интересы пользователей, когда они приходят с жалобами, что не давали согласий на обработку данных. Система позволит это оперативно проверить. Одна из основных задач нашей системы как раз в том, чтобы был независимый от площадки источник сведений о предоставленном согласии. Иначе получается — и база персональных данных у площадки, и согласия учитывает она, а это значит, что площадка контролирует весь цикл обработки данных, а значит, может и изменять их.

Почему Минцифры считает избыточной передачу данных пользователей, которые размещены на портале госуслуг, в систему Роскомнадзора
Наша цель в том, чтобы гражданин имел возможность предоставить согласие платформе. Порядок предоставления согласия предусматривает возможность регистрации в информационной системе Роскомнадзора с использованием «Госуслуг».

— Но согласие будет привязано к конкретному человеку, как вы сможете проверить без персональных данных?

— ФИО будет храниться в ЕСИА, мы будем видеть только некий идентификатор пользователя, привязанный к согласию. Этого достаточно для защиты прав человека, поскольку ЕСИА — доверенная государственная система с достоверными сведениями.

— По закону интернет-площадка сможет подключиться к вашей системе для сбора согласий пользователей либо внедрить собственную. Как будет в итоге?

— Сейчас мы с соцсетями тестируем разные варианты, смотрим, какое технологическое решение будет проще и выгодней. Пока окончательного решения нет.

⚡️Административная ответственность за нарушения в области обеспечения безопасности КИИ - реальность!

Зеркало для чтения на другой платформе.

Источник: Федеральный закон от 26.05.2021 № 141-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях».

Требования по безопасности информации к средствам обеспечения безопасной дистанционной работы в информационных системах утверждены приказом ФСТЭК N32 от 16 февраля 2021 года.

Хорошо, что не 31-й, коих по ИБ у ФСТЭК уже два (2014-го и 2017-го годов)— Alexey Lukatsky (@alukatsky) May 26, 2021

Ждём официального опубликования.

​​📯 Государственный контроль в сфере электронной подписи

Минцфиры подготовило и представило для общественного обсуждения проект постановления Правительства Российской Федерации «Об утверждении Положения о государственном контроле (надзоре) в сфере электронной подписи».

​​​​🗃Система нормативных правовых актов, методических и информационных документов в области обеспечения безопасности критической информационной инфраструктуры

Давно не актуализировалась, поэтому пришло время обновить систему нормативных правовых актов, методических и информационных документах в области обеспечения безопасности критической информационной инфраструктуры (система в формате pdf ниже).

Бонус: аналогичный документ для ПДн также ниже в формате pdf.

​​Правила подтверждения владения ключом ЭП

Официально опубликован приказ ФСБ России от 20.04.2021 № 154 «Об утверждении Правил подтверждения владения ключом электронной подписи».

​​🖥 Видеолекции для специалистов в области информационной безопасности

ФСТЭК России информирует о публикации видеолекций для специалистов в области информационной безопасности. Представленные материалы посвящены следующим темам:
▪️особенности фаззинг-тестирования при проведении сертификационных испытаний;
▪️подходы к фаззинг-тестированию управляемого кода;
▪️основы динамического символьного выполнения. Поиск ошибок при помощи динамического символьного выполнения;
▪️инструментальная и технологическая поддержка проведения фаззинг-тестирования программного обеспечения.

Лекции опубликованы на сайте банка данных угроз безопасности информации ФСТЭК России.

​​Минцифры определило угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных, эксплуатируемых в сферах деятельности, нормативно-правовое регулирование которых осуществляется Министерством цифрового развития, связи и массовых коммуникаций Российской Федерации

Официально опубликован приказ Минцифры от 21.12.2020 № 734 «Об определении угроз безопасности персональных данных, актуальных при обработке персональных данных в информационных системах персональных данных, эксплуатируемых в сферах деятельности, нормативно-правовое регулирование которых осуществляется Министерством цифрового развития, связи и массовых коммуникаций Российской Федерации».

​​​​Сроки согласования технических заданий на создание ГИС и моделей угроз безопасности информации

Правительство Российской Федерации с подачи Минцифры увеличило сроки согласования технических заданий на создание государственных информационных систем и моделей угроз безопасности информации с 10 до 20 рабочих дней.

Официально опубликовано постановление Правительства Российской Федерации от 31.05.2021 № 837 «О внесении изменения в требования к порядку создания, развития, ввода в эксплуатацию, эксплуатации и вывода из эксплуатации государственных информационных систем и дальнейшего хранения содержащейся в их базах данных информации».

​​Организационно-технические требования в области информационной безопасности к доверенным лицам удостоверяющего центра федерального органа исполнительной власти, уполномоченного на осуществление государственной регистрации юридических лиц

Официально опубликован приказ ФСБ России от 01.05.2021 № 171 «Об утверждении организационно-технических требований в области информационной безопасности к доверенным лицам удостоверяющего центра федерального органа исполнительной власти, уполномоченного на осуществление государственной регистрации юридических лиц».

​​На злобу дня о биометрии и изображении лица

Минцифры представило для общественного обсуждения проект ведомственного приказа «Об утверждении порядка обработки, включая сбор и хранение, параметров биометрических персональных данных, порядка размещения и обновления биометрических персональных данных в единой биометрической системе
‎и в иных информационных системах, обеспечивающих идентификацию
‎и (или) аутентификацию с использованием биометрических персональных данных физических лиц, а также требований к информационным технологиям и техническим средствам, предназначенным для обработки биометрических персональных данных в целях проведения идентификации» (фактически заменяет приказ Минцифры от 25 июня 2018 г. № 321).

Подход Министерства не меняется, чтобы получить биометрические образцы данных изображения лица необходимо соблюсти следующие условия:
🔘 цвета пикселей изображений фронтального типа должны быть представлены в 24-битовом цветовом пространстве RGB, в котором на каждый пиксель приходится по 8 битов на каждый компонент цвета: красный, зеленый и синий;
🔘 поворот головы должен быть не более 5° от фронтального положения;
🔘 наклон головы должен быть не более 5° от фронтального положения;
🔘 отклонение головы должно быть не более 8° от фронтального положения;
🔘 расстояние между центрами глаз должно составлять не менее 60 пикселей;
🔘 изображение должно содержать полное изображение головы человека в анфас, включая левое и правое ухо (при их наличии), верхнюю точку лобной области головы и подбородок;
🔘 не допускается перекрытие волосами или посторонними предметами изображения лица по всей ширине от бровей до нижней губы;
🔘 на изображении должно присутствовать только одно лицо, наличие других лиц, фрагментов других лиц не допускается;
🔘 выражение лица должно быть нейтральным, рот закрыт, оба глаза открыты нормально для соответствующего субъекта (с учетом поведенческих факторов и (или) медицинских заболеваний);
🔘 лицо должно быть равномерно освещено, чтобы на изображении лица отсутствовали тени и блики;
🔘 не допускается использование ретуши и редактирования изображения;
🔘 допускается кадрирование изображения;
🔘 в случае фотографирования человека в очках не допускается наличие солнцезащитных очков и ярких световых артефактов или отражения вспышки
‎от очков;
🔘 изображение лица должно быть сохранено в формате .jpeg или .png; код сжатия: JPEG (0 x 00), PNG (0 x 03);
🔘 для регистрации изображения лица необходимо использовать фото- или видеокамеру, эквивалентное фокусное расстояние которой должно составлять от 26,7 до 100 мм при расположении субъекта на расстоянии 0,3 - 1,0 м от камеры;
🔘 применяемые фото- или видеокамеры должны удовлетворять следующими характеристиками:
🔻 разрешение получаемого изображения: не менее 1280 x 720 пикселей;
🔻 наличие режима автоматической корректировки баланса белого цвета;
🔘 используемые источники освещения должны создавать в области лица освещенность:
🔻 для фото-, видеокамер без автоматической коррекции освещенности не менее - 300 лк;
🔻 для фото-, видеокамер с автоматической коррекцией освещенности не менее - 100 лк.

❓Так любое изображение лица человека будет именно биометрическими персональными данными или нет?..

Мысли на этот счёт ещё можно посмотреть здесь и здесь.

​​⚡️Штрафы за разглашение и за незаконное получение ИОД

Официально опубликованы изменения в Кодекс Российской Федерации об административных правонарушениях, которыми предусматривается усиление административной ответственности за разглашение информации с ограниченным доступом. Точнее, это планировалось на стадии представления законопроекта, но на стадии рассмотрения в Государственной Думе депутатами было предложено внести в этот пакет поправок ещё ряд положений. В результате получилось не только увеличить размеры штрафов за разглашение информации с ограниченным доступом, но и добавить новый состав административного правонарушения, которым устанавливается ответственность за незаконное получение информации с ограниченным доступом.

Наглядная раскладка по размерам штрафов прилагается в форме изображения ниже.

Источник: Федеральный закон от 11.06.2021 № 206-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях».

​​Законодательное закрепление понятия ЦОД. Продолжение

Правительством Российской Федерации в Государственную Думу Российской Федерации внесён законопроект, предусматривающий внесение изменений в Федеральный закон от 7 июля 2003 г. № 126-ФЗ «О связи». Представленными изменениями предлагается, в частности, законодательно закрепить понятие ЦОД, под которым предлагается понимать сооружение связи с комплексом систем инженерно-технического обеспечения, спроектированное и используемое для размещения оборудования, обеспечивающего обработку и (или) хранение данных, и соответствующее утверждённой классификации.
————————————————————
Очень интересная тенденция намечается, что если какой-то законопроект не получается пропустить через процедуру общественного обсуждения и критику Минэкономразвития (напомню, что с аналогичными предложениями выступало Минцифры, но Минэкономразвития дало отрицательное заключение), то можно попробовать зайти через ГосДуму, где мало тех, кто может помешать, например, как случилось с введение административной ответственности за нарушение законодательства о безопасности критической информационной инфраструктуры Российской Федерации.
—————————————————————
Напомню, что, на мой взгляд, этот законопроект может иметь значение для практики взаимодействия субъектов КИИ с ЦОД.

​​Министерство
труда и социальной защиты Российской Федерации представило для общественного обсуждения проект профессионального стандарта «Специалист по информационной безопасности в кредитно-финансовой сфере».

​​Контроль и надзор за выполнением организационных и технических мер по обеспечению безопасности персональных данных и использования средств защиты информации при использовании ЕБС

ФСБ России представила для общественного обсуждения проект постановления Правительства Российской Федерации «О порядке осуществления федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации, контроля и надзора за выполнением органами, организациями, индивидуальными предпринимателями, нотариусами, указанными в части 18.2 статьи 14.1 Федерального закона
‎от 27 июля 2006 г. № 149-ФЗ, организационных и технических мер по обеспечению безопасности персональных данных и использованием средств защиты информации, указанных в части 18.3 статьи 14.1 Федерального закона от 27 июля 2006 г. № 149-ФЗ».