Новости инфобезопасности - ФСТЭК

📚ФСТЭК обновляет правила защиты персональных данных: бизнесу придется перейти от формальных мер к постоянному контролю 27 июля. / КИБЕР МЕДИА /. ФСТЭК России приняла новый нормативный акт, который меняет требования к защите персональных данных в информационных системах. Новые правила вступят в силу с 1 сентября 2026 года и заменят требования 2013 года. Главное изменение - защита персональных данных должна стать не разовой настройкой перед запуском системы, а непрерывным процессом контроля, оценки и обновления мер безопасности. Ключевое новшество - показатель уровня зрелости защитных мер, обозначенный как Узи. Операторы персональных данных должны будут оценивать его перед началом обработки данных, затем не реже одного раза в три года, а также после каждого компьютерного инцидента. Это означает, что после атаки или утечки компания не сможет ограничиться расследованием: ей придется заново проверить достаточность и эффективность защиты. Обновленные требования сохраняют четыре уровня защищенности ИСПДн, но детализируют меры для каждого из них. Первый уровень рассчитан на наиболее критичные системы, например федеральные медицинские платформы и банковские реестры. Третий уровень, как отмечает «Инфобезопасность», остается наиболее распространенным для корпоративных систем, включая кадровые базы и внутренние порталы. Отдельно ФСТЭК вводит меры, которых не было в прежнем регулировании: защиту при использовании искусственного интеллекта, требования к безопасной разработке ПО для систем первого и второго уровней, контроль контейнерных сред и оркестрации, а также защиту API. Для интерфейсов приложений предполагается контроль схем запросов и автоматическая блокировка отклонений. Для бизнеса это означает пересмотр политик обработки персональных данных, внедрение дополнительных средств контроля конечных устройств и привилегированного доступа, а также более жесткую работу с подрядчиками. В новых требованиях отдельно указано, что оператор должен задавать требования по защите информации для подрядных организаций и исключать несанкционированный доступ к своим системам.