ФСТЭК кардинально обновляет требования к защите персональных данных

Проект нового приказа ФСТЭК кардинально меняет подход к защите персональных данных: вместо жесткой привязки к уровням защищенности (УЗ-1 – УЗ-4) вводится риск-ориентированная модель, где оператор сам определяет актуальные угрозы и обосновывает выбор мер из двух закрепленных перечней (21 организационная и 17 групп технических), при этом впервые на нормативном уровне прописываются требования к безопасности при использовании искусственного интеллекта, интернета вещей, облачных сред, контейнеризации, API, мобильных устройств, а также к безопасной разработке ПО; дополнительно вводится обязательный расчет показателя «уровень зрелости» для оценки эффективности защиты (перед обработкой, раз в три года и после каждого инцидента) с утверждением специальной методики, а также устанавливается требование непрерывного взаимодействия с ГосСОПКА; новые правила затронут все 2,6 млн российских операторов, причем эксперты подчеркивают, что переход потребует не просто точечной настройки средств, а построения полноценной системы управления информационной безопасностью с детальным документированием каждого этапа.