SlideShare una empresa de Scribd logo
1 de 48
Descargar para leer sin conexión
Что нас ждет в отечественном
законодательстве по ИБ?
Лукацкий Алексей, консультант по безопасности
Куда движется законодательство?
ИБПерсональные
данные
Критические
инфраструктуры
Национальная
платежная
система
Государственные
ИС
Субъекты
Интернет-
отношений
Облачные
технологии
ПЕРСОНАЛЬНЫЕ ДАННЫЕ
Недавние и планируемые изменения по направлению ПДн
Что было
•  Приказ ФСТЭК №21 по защите ПДн в
ИСПДн
•  Приказ об отмене «приказа трех» по
классификации ИСПДн
•  Приказ и методичка РКН по
обезличиванию
•  Новая версия стандарта Банка
России (СТО БР ИББС)
•  Закон 242-ФЗ о запрете хранения
ПДн россиян за границей
•  Письмо Банка России 42-Т
Что будет
•  Проект приказа ФСБ по
использованию СКЗИ для защиты
ПДн
•  Законопроект Совета Федерации по
внесению изменений в ФЗ-152
•  Законопроект по внесению
изменений в КоАП
•  Работа Межведомственного
экспертного совета при Минкомсвязи
по совершенствованию
законодательства в области
регулирования отношений,
связанных с обработкой ПДн
•  Отраслевые модели угроз
•  Ратификация дополнительного
протокола Евроконвенции (181)
Что рекомендует письмо 42-Т
•  В целях снижения операционного, правового и репутационного
рисков кредитным организациям целесообразно
актуализировать внутренние документы, определяющие:
–  Порядок хранения и уничтожения документов, в том числе на
бумажных носителях, содержащих персональные данные
клиентов
–  Персональную ответственность работников кредитных
организаций, осуществляющих непосредственную обработку
персональных данных, за сохранение и обеспечение
конфиденциальности информации, образующейся в процессе
обслуживания клиентов
–  Условия, обеспечивающие конфиденциальность и сохранность
материальных носителей персональных данных, исключающие
несанкционированный доступ к ним с момента создания данных
документов до истечения сроков их хранения и уничтожения
На что намекает письмо 42-Т
•  Недостатки в деятельности, связанные с исполнением норм
ФЗ-152 должны рассматриваться как негативный фактор при
оценке качества управления кредитной организацией, в том
числе при оценке организации системы внутреннего контроля в
соответствии с положением 242-П
•  Согласно ст.48 177-ФЗ от 23.12.2003 «О страховании вкладов
физических лиц в банках Российской Федерации» такой
недостаток может послужить причиной прекращения права банка
на привлечение во вклады денежных средств физлиц и на
открытие и ведение банковских счетов физлиц
–  По сути плохая обработка персональных данных может стать
причиной невозможности заниматься основной деятельностью
кредитной организации
Законопроект по штрафам
•  В новом законопроекте меняется текст статьи 13.11, которая
устанавливает два состава правонарушений
–  Нарушение требований к письменному согласию субъекта
–  Обработка ПДн без согласия или иных законных оснований
•  Также вводится еще 3 новых статьи:
–  13.11.1 - незаконная обработка спецкатегорий ПДн (<=300K)
–  13.11.2 - непредоставление оператором информации и (или)
доступа к сведениям, предусмотренным законодательством о
ПДн. Данная статья наказывает в т.ч. и за отсутствие политики в
отношении обработки ПДн (<=40K)
–  13.11.3 - несоблюдение требований по обеспечению
безопасности ПДн (<=200K)
Законопроект РГ Совета Федерации
•  Вводится понятия «обработчика»
•  Защита ПДн в составе профессиональной тайны
–  В соответствие с требованиями по защите тайны
•  Условия обработки ПДн обработчиком
–  Наличие договора = согласие
•  Новые условия необеспечения конфиденциальности ПДн
•  Электронная, в т.ч. дистанционная форма согласия на обработку
ПДн
•  Биометрические ПДн
–  Только при автоматической идентификации субъекта
•  Трансграничная обработка ПДн
–  Также при наличии договора
–  Не распространять требование за пределами РФ
Законопроект РГ Совета Федерации
•  Государственные и муниципальные организации заменяются на
организации, обрабатывающие ПДн в целях оказания
государственных и муниципальных услуг
•  Защита ПДн
–  Гармонизация формулировок
•  Уведомление РКН
–  Гармонизация формулировок
•  Возможность самостоятельной разработки модели угроз
–  До принятия соответствующих актов ФОИВами
Проект приказа ФСБ
•  Настоящий документ устанавливает
состав и содержание необходимых
для выполнения установленных
Правительством Российской
Федерации требований к защите ПДн
для каждого из уровней защищенности
организационных и технических мер
по обеспечению безопасности ПДн
при их обработке в ИСПДн
Проект приказа ФСБ
•  Даны разъяснения (имеющие характер обязательных) положений
ПП-1119
–  Например, что такое «организация режима обеспечения
безопасности помещений», «сохранность персональных данных»,
«электронный журнал сообщений» и т.п.
•  Средства криптографической защиты персональных данных
могут быть ТОЛЬКО сертифицированными
•  8-й Центр сознательно или несознательно, но ограничил
применение для защиты ПДн СКЗИ классом КС3 (!) и выше
–  Если вы считаете, что потенциальный нарушитель может
получить доступ к средствам вычислительной техники, на
которых установлены СКЗИ, то необходимо применять СКЗИ не
ниже КС3
Проект приказа ФСБ
•  Если вдуматься чуть глубже, то вы обязаны будете применять
СКЗИ класса КВ1, если вы опасаетесь, что нарушитель может
привлечь специалистов, имеющих опыт разработки и анализа
СКЗИ
–  А сейчас нет ограничений на таких специалистов - криптографию
преподают в 100 с лишним ВУЗах России
•  СКЗИ КВ2 применяются, когда могут быть использованы
недекларированные возможности в прикладном ПО или у
нарушителя есть исходные коды прикладного ПО
–  Прощай open source
•  СКЗИ КА1 применяются, когда могут быть использованы
недекларированные возможности в системном ПО
Соответствие уровней защищенности классам СКЗИ
Уровень
защищенности
3-й тип угроз 2-й тип угроз 1-й тип угроз
4 КС1+ КС1+ КС1+
3 КС1+ КВ2+ -
2 КС1+ КВ2+
1 - КВ2+ КА1
•  В зависимости от совокупности предположений о возможностях,
которые могут использоваться при создании способов, подготовке
и проведении атак СКЗИ подразделяются на классы
Проект приказа ФСБ
•  Все помещения, в
которых ведется
обработка ПДн, должны
по окончании рабочего
дня не просто закрываться, а
опечатываться (!)
–  Это минимум требований
для 4-го уровня
защищенности
•  На 1-м уровне от вас
потребуют на первых и последних этажах зданий установки
решеток или ставень (!)
•  Все носители персональных данных должна учитываться
поэкземплярно
Что еще планируется
•  Изменения в ФЗ «О лицензировании отдельных видов
деятельности» (рабочая группа экспертного совета Минкомсвязи)
–  В части определения лицензий на ТЗКИ и шифрования
–  Введение термина «собственные нужды»
–  Замена термина «конфиденциальная информация»
•  Уведомление оператором ПДн субъекта о несанкционированном
доступе третьих лиц к ПДн субъекта
–  Поправки в ФЗ-152 и, возможно, КоАП
•  Отраслевые модели угроз ПДн
–  Банка России (уже год ждет согласования с ФСБ) – для банков
–  Минкомсвязи – для операторов связи
Банковская модель угроз
•  Проект Указания Банка России «Об
определении угроз безопасности
персональных данных, актуальных
при обработке персональных
данных в информационных
системах персональных данных»
•  Согласована с ФСТЭК
•  Практически согласована с ФСБ
Закон о запрете хранения ПДн россиян за границей
•  Реализация положения ФЗ-242 «о
запрете хранения ПДн россиян за
границей»
–  Запрет хранения
–  Наказание за нарушение
–  Выведение РКН из под действия
294-ФЗ
•  Вступает в силу с 1 сентября 2016
года
•  Будут вноситься изменения
–  По части «независимого органа»
–  По части контроля/надзора
–  По части хранения за пределами
РФ
Вы не забыли про Конвенцию?
•  Ратификация дополнительного протокола к конвенции о защите
частных лиц в отношении автоматизированной обработки данных
личного характера, о наблюдательных органах и трансграничной
передаче информации (ETS N 181)
•  В 2015-м (возможно) будет принята новая редакция
Евроконвенции
–  со всеми вытекающими
КРИТИЧЕСКИ ВАЖНЫЕ
ОБЪЕКТЫ
Недавние и планируемые изменения по направлению
КИИ/КСИИ/КВО/АСУ ТП
Что было
•  Постановление
Правительства №861 от
02.10.2013
•  Приказ ФСТЭК №31 по
защите АСУ ТП
Что будет
•  Законопроект по
безопасности критических
информационных
инфраструктур
•  Законопроект о внесении
изменений в связи с
принятием закона о
безопасности КИИ
•  Подзаконные акты
•  Методические документы
ФСТЭК
Новый приказ ФСТЭК №31
•  «Об утверждении Требований к
обеспечению защиты информации в
автоматизированных системах
управления производственными и
технологическими процессами на
критически важных объектах,
потенциально опасных объектах, а
также объектах, представляющих
повышенную опасность для жизни и
здоровья людей и для окружающей
природной среды»
–  Ориентация на объекты ТЭК,
транспортной безопасности,
использования атомной энергии,
опасных производственных объектов,
гидротехнических сооружений
Ключевые отличия требований по ИБ КСИИ и АСУ ТП
•  Объект защиты
•  Классификация АСУ ТП / КСИИ
•  Уровень открытости циркулируемой в АСУ ТП / КСИИ
информации
•  Парадигма
•  Требования по защите
•  Требования по оценке соответствия
•  Участники процесса защиты информации
Меры по защите информации
•  Организационные и технические меры защиты информации,
реализуемые в АСУ ТП
–  идентификация и аутентификация субъектов доступа и объектов
доступа
–  управление доступом субъектов доступа к объектам доступа
–  ограничение программной среды
–  защита машинных носителей информации
–  регистрация событий безопасности
–  антивирусная защита
–  обнаружение (предотвращение) вторжений
–  контроль (анализ) защищенности
–  целостность АСУ ТП
–  доступность технических средств и информации
–  защита среды виртуализации
Меры по защите информации
•  продолжение:
–  защита технических средств и оборудования
–  защита АСУ ТП и ее компонентов
–  безопасная разработка прикладного и специального
программного обеспечения разработчиком
–  управление обновлениями программного обеспечения
–  планирование мероприятий по обеспечению защиты информации
–  обеспечение действий в нештатных (непредвиденных) ситуациях
–  информирование и обучение пользователей
–  анализ угроз безопасности информации и рисков от их
реализации
–  выявление инцидентов и реагирование на них
–  управление конфигурацией информационной системы и ее
системы защиты
Меры по защите информации: общее
Защитная мера ПДн ГИС АСУ ТП
Идентификация и аутентификация субъектов доступа и объектов доступа
+ + +
Управление доступом субъектов доступа к объектам доступа
+ + +
Ограничение программной среды
+ + +
Защита машинных носителей информации, на которых хранятся и (или) обрабатывается КИ
+ + +
Регистрация событий безопасности
+ + +
Антивирусная защита
+ + +
Обнаружение (предотвращение) вторжений
+ + +
Контроль (анализ) защищенности персональных данных
+ + +
Обеспечение целостности информационной системы и КИ
+ + +
Обеспечение доступности персональных данных
+ + +
Защита среды виртуализации
+ + +
Защита технических средств
+ + +
Защита информационной системы, ее средств, систем связи и передачи данных
+ + +
Меры по защите информации: различия
Защитная мера ПДн ГИС АСУ ТП
Управление инцидентами
+ +
Управление конфигурацией информационной системы и системы защиты КИ
+ +
Безопасная разработка прикладного и специального программного обеспечения
разработчиком +
Управление обновлениями программного обеспечения
+
Планирование мероприятий по обеспечению защиты информации
+
Обеспечение действий в нештатных (непредвиденных) ситуациях
+
Информирование и обучение пользователей
+
Анализ угроз безопасности информации и рисков от их реализации
+
ФСТЭК унифицирует требования по защите информации
Особенность Приказ по
защите ПДн
Приказ по
защите ГИС/МИС
Проект приказа по
АСУ ТП
Требования по
защите
привязаны к
4 уровням
защищенности
ПДн
4 классам
защищенности
ГИС/МИС
3 классам
защищенности АСУ
ТП
Порядок в
триаде КЦД КЦД ДЦК
Возможность
гибкого выбора
защитных мер
Да Да Да
Проверка на
отсутствие
«закладок»
Требуется для
угроз 1-2 типа
(актуальность
определяется
заказчиком)
Требуется для 1-2
класса
защищенности
ГИС/МИС
Требуется только
при выборе
сертифицированных
средств защиты
Но разница между требованиями ФСТЭК все-таки есть
Особенность Приказ по защите
ПДн
Приказ по
защите ГИС/
МИС
Проект приказа по
АСУ ТП
Оценка
соответствия
В любой форме
(нечеткость
формулировки и
непонятное ПП-330)
Только
сертификация
В любой форме (в
соответствии с ФЗ-184)
Аттестация Коммерческий
оператор - на выбор
оператора
Госоператор -
аттестация
Обязательна Возможна, но не
обязательна
Контроль и
надзор
Прокуратура – все
ФСТЭК/ФСБ –
только
госоператоры (РКН не
имеет полномочий
проверять коммерческих
операторов ПДн)
ФСТЭК ФСБ и ФОИВ,
ответственный за
безопасность КИИ
(определяется в
настоящий момент)
Поправки в связи с принятием закона о безопасности КИИ
•  Поправки в УК РФ и УПК РФ
–  Внесение изменений в статьи 272, 274, 151 (УПК)
•  Поправки в закон «О государственной тайне»
–  Сведения о степени защищенности и мерах безопасности
объектов средней и высокой степени опасности
•  Поправки в 294-ФЗ
–  Выведение из под порядка проведения проверок КИИ
•  Поправки в 184-ФЗ
–  Исключение двойного регулирования
Что еще готовится в связи с законопроектом о
безопасности КИИ?
•  Определение ФОИВ, уполномоченного в области безопасности
КИИ
–  Через 6 месяцев после принятия закона
•  Постановления Правительства «Об утверждении показателей
критериев категорирования элементов критической
информационной инфраструктуры»
–  Принятие в течение 6 месяцев после определения ФОИВ,
уполномоченного в области безопасности КИИ
•  Постановление Правительства «Об утверждении порядка
подготовки и использования ресурсов единой сети связи
электросвязи для обеспечения функционирования и
взаимодействия объектов КИИ»
•  Приказ уполномоченного ФОИВ об утверждении требований по
безопасности КИИ
–  Это не 31-й приказ!!!
Что еще готовится в связи с законопроектом о
безопасности КИИ?
•  Приказы уполномоченного ФОИВ об аккредитации, о
представлении сведений для категорирования, о контроле/
надзоре, о реестре объектов КИИ
•  Приказ ФСБ об утверждении порядка реагирования на
компьютерные инциденты и ликвидации последствий
компьютерных атак на объектах КИИ
•  Приказ ФСБ о перечне и порядке предоставлений сведений в
СОПКА
•  Приказ ФСБ о порядке доступа к информации в СОПКА
•  Приказ ФСБ об утверждении требований к техсредствам СОПКА
•  Приказ ФСБ об установке и эксплуатации техсредств СОПКА
Приказ ФСБ о национальном CERT
•  Приказ Минкомсвязи об условиях установки СОВ на сетях
электросвязи
Планируемые методические документы ФСТЭК
•  Применение «старых» документов ФСТЭК по КСИИ в качестве
рекомендательных и методических
–  «Рекомендации…» и «Методика определения актуальных угроз…»
•  Методичка по реагированию на инциденты (в разработке)
•  Методичка по анализу уязвимостей (в разработке)
•  Методичка по управлению конфигурацией (в разработке)
•  Методичка по аттестации (в разработке)
•  Методичка по мерам защиты в АСУ ТП (в разработке)
–  По аналогии с «Мерами защиты в ГИС»
ГОСУДАРСТВЕННЫЕ
ИНФОРМАЦИОННЫЕ
СИСТЕМЫ
Недавние и планируемые изменения по направлению ГИС
Что было
•  Приказ ФСТЭК №17 по
защите информации в ГИС
•  Методический документ по
мерам защиты информации
в государственных
информационных системах
Что будет
•  Порядок моделирования
угроз безопасности
информации в
информационных системах
•  Новая редакция приказа
№17 и «мер защиты в ГИС»
•  Методические и
руководящие документы
ФСТЭК
•  Законопроекты о запрете
хостинга ГИС за пределами
РФ, о служебной тайне, по
импортозамещению…
Что еще планируется?
•  Законопроект о запрете использования чиновниками и
госслужащими несертифицированных мобильных устройств
–  Фактически эти нормы уже установлены действующими НПА
•  Законопроект о запрете размещения сайтов государственных
органов за пределами Российской Федерации
–  Фактически эти нормы уже установлены действующими НПА
•  Законопроект о регулировании облачных вычислений
–  Установление особых требований по ИБ к облакам для госорганов
•  Новая статья в КоАП за препятствование доступу к сайтам в
Интернет (уже принято)
–  Из антитеррористического пакета законов
ФСТЭК планирует установить новые требования к
средствам защиты
•  ФСТЭК (2013-2015)
–  Требования к средствам доверенной загрузки
–  Требования к средствам контроля съемных носителей
–  Требования к средствам контроля утечек информации (DLP)
–  Требования к средствам аутентификации
–  Требования к средствам разграничения доступа
–  Требования к средствам контроля целостности
–  Требования к средствам очистки памяти
–  Требования к средствам ограничения программной среды
–  Требования к средствам управления потоками информации
(МСЭ, однонаправленные МСЭ, коммутаторы…)
–  Требования к средствам защиты виртуализации
–  ГОСТы по защите виртуализации и облачных вычислений
У ФСТЭК большие планы по регулированию госорганов и
муниципалов
Планируемые методические документы ФСТЭК
•  Порядок аттестации распределенных информационных систем
•  Порядок обновления программного обеспечения в аттестованных
информационных системах
•  Порядок выявления и устранения уязвимостей в
информационных системах
•  Порядок реагирования на инциденты, которые могут привести к
сбоям или нарушению функционирования информационной
системы и (или) к возникновению угроз безопасности
информации
•  …
НАЦИОНАЛЬНАЯ
ПЛАТЕЖНАЯ СИСТЕМА
Недавние и планируемые изменения по направлению
НПС/банковской тайны
Что было
•  382-П (3007-У)
•  2831-У (3024-У)
•  55-Т
•  42-Т
•  49-Т
•  242-П
•  СТО БР ИББС 1.0 и 1.2
•  Отмена РС 2.3 и 2.4
•  Принятие новых РС 2.5
и 2.6
Что будет
•  Новая редакция 382-П
•  Новые РС
•  Требования для
организаций
финансового рынка
(ФСФР)
•  Банковский CERT
•  Отраслевая модель
угроз ПДн
Планируемые изменения по направлению СТО БР ИББС
•  Проекты новых РС
–  Проект РС по ресурсному обеспечению информационной
безопасности
–  Проект РС по виртуализации
–  Проект РС по предотвращению утечек информации
•  Пересмотр «старых» документов СТО (возможно)
–  СТО 1.1, РС 2.0, 2.1 и 2.2
•  Разработка новых РС (возможно)
–  Противодействие мошенничеству
–  Облачные технологии и аутсорсинг
–  Распределение ролей
41
ОПЕРАТОРЫ СВЯЗИ
Недавние и планируемые изменения по направлению
ССОП
•  Закон «О внесении изменений в отдельные законодательные акты
Российской Федерации по вопросам регулирования отношений при
использовании информационно-телекоммуникационной сети
Интернет» и ФЗ-139 «О защите детей от негативной информации»
•  Постановление Правительства №611 от 15.04.2013 «Об
утверждении перечня нарушений целостности, устойчивости
функционирования и безопасности единой сети электросвязи РФ»
•  Иных требований по информационной безопасности на
операторов связи пока не планируется
•  Все изменения касаются контроля Интернет
–  Антипиратский закон, контроль социальных сетей, Единая система
аутентификации (ЕСИА), запрет анонимайзеров, регулирование
Интернет-компаний как организаторов распространения
информации, регулирование облачных вычислений и т.п.
В КАЧЕСТВЕ ЗАКЛЮЧЕНИЯ
Бешеный принтер
Что может повлиять на законодательное регулирование в
худшую сторону?
Нас ждут непростой конец года и начало следующего!
© Cisco и (или) дочерние компании, 2011 г. Все права защищены. Общедоступная информация CiscoBRKSEC-1065 48
Благодарю вас
за внимание
security-request@cisco.com

Más contenido relacionado

La actualidad más candente

Текущий статус законодательства по безопасности критической инфраструктуры
Текущий статус законодательства по безопасности критической инфраструктурыТекущий статус законодательства по безопасности критической инфраструктуры
Текущий статус законодательства по безопасности критической инфраструктурыAleksey Lukatskiy
 
Последние изменения в законодательстве о персональных данных
Последние изменения в законодательстве о персональных данныхПоследние изменения в законодательстве о персональных данных
Последние изменения в законодательстве о персональных данныхAleksey Lukatskiy
 
Аттестация объектов информатизации по требованиям безопасности информаци
Аттестация объектов информатизации по требованиям безопасности информациАттестация объектов информатизации по требованиям безопасности информаци
Аттестация объектов информатизации по требованиям безопасности информациSoftline
 
Алексей Лукацкий. (Cisco). "Последние изменения законодательства о персональн...
Алексей Лукацкий. (Cisco). "Последние изменения законодательства о персональн...Алексей Лукацкий. (Cisco). "Последние изменения законодательства о персональн...
Алексей Лукацкий. (Cisco). "Последние изменения законодательства о персональн...Expolink
 
Основные направления регулирования ИБ в России
Основные направления регулирования ИБ в РоссииОсновные направления регулирования ИБ в России
Основные направления регулирования ИБ в РоссииAleksey Lukatskiy
 
CISCO. Алексей Лукацкий: "Последние изменения законодательства о персональных...
CISCO. Алексей Лукацкий: "Последние изменения законодательства о персональных...CISCO. Алексей Лукацкий: "Последние изменения законодательства о персональных...
CISCO. Алексей Лукацкий: "Последние изменения законодательства о персональных...Expolink
 
Применение криптографии для обезличивания персональных данных
Применение криптографии для обезличивания персональных данныхПрименение криптографии для обезличивания персональных данных
Применение криптографии для обезличивания персональных данныхAleksey Lukatskiy
 
Какие виды информационных систем бывают в России?
Какие виды информационных систем бывают в России?Какие виды информационных систем бывают в России?
Какие виды информационных систем бывают в России?Aleksey Lukatskiy
 
Russia security regulations update
Russia security regulations updateRussia security regulations update
Russia security regulations updateCisco Russia
 
Мифы обработки персональных данных и их безопасность / Станислав Ярошевский (...
Мифы обработки персональных данных и их безопасность / Станислав Ярошевский (...Мифы обработки персональных данных и их безопасность / Станислав Ярошевский (...
Мифы обработки персональных данных и их безопасность / Станислав Ярошевский (...Ontico
 
пр Особенности обработки и защиты ПДн в медицине
пр Особенности обработки и защиты ПДн в медицинепр Особенности обработки и защиты ПДн в медицине
пр Особенности обработки и защиты ПДн в медицинеAndrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
Уральский форум по информационной безопасности финансовых организаций за 15 м...
Уральский форум по информационной безопасности финансовых организаций за 15 м...Уральский форум по информационной безопасности финансовых организаций за 15 м...
Уральский форум по информационной безопасности финансовых организаций за 15 м...Aleksey Lukatskiy
 
Категорирование критических инфраструктур в разных странах мира
Категорирование критических инфраструктур в разных странах мираКатегорирование критических инфраструктур в разных странах мира
Категорирование критических инфраструктур в разных странах мираAleksey Lukatskiy
 
Что нас ждет в отечественном законодательстве по ИБ?
Что нас ждет в отечественном законодательстве по ИБ?Что нас ждет в отечественном законодательстве по ИБ?
Что нас ждет в отечественном законодательстве по ИБ?Cisco Russia
 
Что нам ждать от законодательства по безопасности критической инфраструктуры
Что нам ждать от законодательства по безопасности критической инфраструктурыЧто нам ждать от законодательства по безопасности критической инфраструктуры
Что нам ждать от законодательства по безопасности критической инфраструктурыAleksey Lukatskiy
 
Какими требованиями регулируется защита унитарных предприятий?
Какими требованиями регулируется защита унитарных предприятий?Какими требованиями регулируется защита унитарных предприятий?
Какими требованиями регулируется защита унитарных предприятий?Aleksey Lukatskiy
 
Риск-ориентированный подход к выполнению требований 152-ФЗ
Риск-ориентированный подход к выполнению требований 152-ФЗРиск-ориентированный подход к выполнению требований 152-ФЗ
Риск-ориентированный подход к выполнению требований 152-ФЗAndrew Fadeev
 

La actualidad más candente (20)

Текущий статус законодательства по безопасности критической инфраструктуры
Текущий статус законодательства по безопасности критической инфраструктурыТекущий статус законодательства по безопасности критической инфраструктуры
Текущий статус законодательства по безопасности критической инфраструктуры
 
Последние изменения в законодательстве о персональных данных
Последние изменения в законодательстве о персональных данныхПоследние изменения в законодательстве о персональных данных
Последние изменения в законодательстве о персональных данных
 
Аттестация объектов информатизации по требованиям безопасности информаци
Аттестация объектов информатизации по требованиям безопасности информациАттестация объектов информатизации по требованиям безопасности информаци
Аттестация объектов информатизации по требованиям безопасности информаци
 
Алексей Лукацкий. (Cisco). "Последние изменения законодательства о персональн...
Алексей Лукацкий. (Cisco). "Последние изменения законодательства о персональн...Алексей Лукацкий. (Cisco). "Последние изменения законодательства о персональн...
Алексей Лукацкий. (Cisco). "Последние изменения законодательства о персональн...
 
Основные направления регулирования ИБ в России
Основные направления регулирования ИБ в РоссииОсновные направления регулирования ИБ в России
Основные направления регулирования ИБ в России
 
CISCO. Алексей Лукацкий: "Последние изменения законодательства о персональных...
CISCO. Алексей Лукацкий: "Последние изменения законодательства о персональных...CISCO. Алексей Лукацкий: "Последние изменения законодательства о персональных...
CISCO. Алексей Лукацкий: "Последние изменения законодательства о персональных...
 
Применение криптографии для обезличивания персональных данных
Применение криптографии для обезличивания персональных данныхПрименение криптографии для обезличивания персональных данных
Применение криптографии для обезличивания персональных данных
 
Какие виды информационных систем бывают в России?
Какие виды информационных систем бывают в России?Какие виды информационных систем бывают в России?
Какие виды информационных систем бывают в России?
 
Russia security regulations update
Russia security regulations updateRussia security regulations update
Russia security regulations update
 
Мифы обработки персональных данных и их безопасность / Станислав Ярошевский (...
Мифы обработки персональных данных и их безопасность / Станислав Ярошевский (...Мифы обработки персональных данных и их безопасность / Станислав Ярошевский (...
Мифы обработки персональных данных и их безопасность / Станислав Ярошевский (...
 
пр Особенности обработки и защиты ПДн в медицине
пр Особенности обработки и защиты ПДн в медицинепр Особенности обработки и защиты ПДн в медицине
пр Особенности обработки и защиты ПДн в медицине
 
Уральский форум по информационной безопасности финансовых организаций за 15 м...
Уральский форум по информационной безопасности финансовых организаций за 15 м...Уральский форум по информационной безопасности финансовых организаций за 15 м...
Уральский форум по информационной безопасности финансовых организаций за 15 м...
 
Категорирование критических инфраструктур в разных странах мира
Категорирование критических инфраструктур в разных странах мираКатегорирование критических инфраструктур в разных странах мира
Категорирование критических инфраструктур в разных странах мира
 
Что нас ждет в отечественном законодательстве по ИБ?
Что нас ждет в отечественном законодательстве по ИБ?Что нас ждет в отечественном законодательстве по ИБ?
Что нас ждет в отечественном законодательстве по ИБ?
 
Что нам ждать от законодательства по безопасности критической инфраструктуры
Что нам ждать от законодательства по безопасности критической инфраструктурыЧто нам ждать от законодательства по безопасности критической инфраструктуры
Что нам ждать от законодательства по безопасности критической инфраструктуры
 
пр мастер класс по пдн 2014-04
пр мастер класс по пдн 2014-04пр мастер класс по пдн 2014-04
пр мастер класс по пдн 2014-04
 
Security apocalypse
Security apocalypseSecurity apocalypse
Security apocalypse
 
пр Правила легализации DLP
пр Правила легализации DLPпр Правила легализации DLP
пр Правила легализации DLP
 
Какими требованиями регулируется защита унитарных предприятий?
Какими требованиями регулируется защита унитарных предприятий?Какими требованиями регулируется защита унитарных предприятий?
Какими требованиями регулируется защита унитарных предприятий?
 
Риск-ориентированный подход к выполнению требований 152-ФЗ
Риск-ориентированный подход к выполнению требований 152-ФЗРиск-ориентированный подход к выполнению требований 152-ФЗ
Риск-ориентированный подход к выполнению требований 152-ФЗ
 

Destacado

Оценка отдачи вложений в ИБ
Оценка отдачи вложений в ИБОценка отдачи вложений в ИБ
Оценка отдачи вложений в ИБAleksey Lukatskiy
 
Приказ ФСТЭК №31 по защите АСУ ТП и решения Cisco
Приказ ФСТЭК №31 по защите АСУ ТП и решения CiscoПриказ ФСТЭК №31 по защите АСУ ТП и решения Cisco
Приказ ФСТЭК №31 по защите АСУ ТП и решения CiscoCisco Russia
 
Security finance measurement
Security finance measurementSecurity finance measurement
Security finance measurementAleksey Lukatskiy
 
Ключевые планируемые изменения законодательства по персональным данным
Ключевые планируемые изменения законодательства по персональным даннымКлючевые планируемые изменения законодательства по персональным данным
Ключевые планируемые изменения законодательства по персональным даннымAleksey Lukatskiy
 
Business model of cybercrime
Business model of cybercrimeBusiness model of cybercrime
Business model of cybercrimeAleksey Lukatskiy
 
Защищенный мобильный офис. Опыт Cisco
Защищенный мобильный офис. Опыт CiscoЗащищенный мобильный офис. Опыт Cisco
Защищенный мобильный офис. Опыт CiscoAleksey Lukatskiy
 
Безопасность различных архитектур облачных вычислений
Безопасность различных архитектур облачных вычисленийБезопасность различных архитектур облачных вычислений
Безопасность различных архитектур облачных вычисленийAleksey Lukatskiy
 
Security trends for Russian CISO in 2012-2013
Security trends for Russian CISO in 2012-2013Security trends for Russian CISO in 2012-2013
Security trends for Russian CISO in 2012-2013Aleksey Lukatskiy
 
Весь магнитогорск за 15 минут
Весь магнитогорск за 15 минутВесь магнитогорск за 15 минут
Весь магнитогорск за 15 минутAleksey Lukatskiy
 
Перспективы сотрудничества России и АСЕАН в области кибербезопасности
Перспективы сотрудничества России и АСЕАН в области кибербезопасностиПерспективы сотрудничества России и АСЕАН в области кибербезопасности
Перспективы сотрудничества России и АСЕАН в области кибербезопасностиAleksey Lukatskiy
 
Security Effectivness and Efficiency
Security Effectivness and EfficiencySecurity Effectivness and Efficiency
Security Effectivness and EfficiencyAleksey Lukatskiy
 
Регулирование ИБ в России во второй половине 2012 года
Регулирование ИБ в России во второй половине 2012 годаРегулирование ИБ в России во второй половине 2012 года
Регулирование ИБ в России во второй половине 2012 годаAleksey Lukatskiy
 

Destacado (20)

Как писать?
Как писать?Как писать?
Как писать?
 
Оценка отдачи вложений в ИБ
Оценка отдачи вложений в ИБОценка отдачи вложений в ИБ
Оценка отдачи вложений в ИБ
 
Приказ ФСТЭК №31 по защите АСУ ТП и решения Cisco
Приказ ФСТЭК №31 по защите АСУ ТП и решения CiscoПриказ ФСТЭК №31 по защите АСУ ТП и решения Cisco
Приказ ФСТЭК №31 по защите АСУ ТП и решения Cisco
 
Security finance measurement
Security finance measurementSecurity finance measurement
Security finance measurement
 
Security And Crisis
Security And CrisisSecurity And Crisis
Security And Crisis
 
Security and Crisis
Security and CrisisSecurity and Crisis
Security and Crisis
 
Ключевые планируемые изменения законодательства по персональным данным
Ключевые планируемые изменения законодательства по персональным даннымКлючевые планируемые изменения законодательства по персональным данным
Ключевые планируемые изменения законодательства по персональным данным
 
Secure Mobile Office
Secure Mobile OfficeSecure Mobile Office
Secure Mobile Office
 
Cisco Security and Crisis
Cisco Security and CrisisCisco Security and Crisis
Cisco Security and Crisis
 
Business model of cybercrime
Business model of cybercrimeBusiness model of cybercrime
Business model of cybercrime
 
New security threats
New security threatsNew security threats
New security threats
 
Защищенный мобильный офис. Опыт Cisco
Защищенный мобильный офис. Опыт CiscoЗащищенный мобильный офис. Опыт Cisco
Защищенный мобильный офис. Опыт Cisco
 
Безопасность различных архитектур облачных вычислений
Безопасность различных архитектур облачных вычисленийБезопасность различных архитектур облачных вычислений
Безопасность различных архитектур облачных вычислений
 
Security trends for Russian CISO in 2012-2013
Security trends for Russian CISO in 2012-2013Security trends for Russian CISO in 2012-2013
Security trends for Russian CISO in 2012-2013
 
Весь магнитогорск за 15 минут
Весь магнитогорск за 15 минутВесь магнитогорск за 15 минут
Весь магнитогорск за 15 минут
 
Перспективы сотрудничества России и АСЕАН в области кибербезопасности
Перспективы сотрудничества России и АСЕАН в области кибербезопасностиПерспективы сотрудничества России и АСЕАН в области кибербезопасности
Перспективы сотрудничества России и АСЕАН в области кибербезопасности
 
Security Effectivness and Efficiency
Security Effectivness and EfficiencySecurity Effectivness and Efficiency
Security Effectivness and Efficiency
 
Регулирование ИБ в России во второй половине 2012 года
Регулирование ИБ в России во второй половине 2012 годаРегулирование ИБ в России во второй половине 2012 года
Регулирование ИБ в России во второй половине 2012 года
 
Cyberwarfare examples
Cyberwarfare examplesCyberwarfare examples
Cyberwarfare examples
 
Information Security Trends
Information Security TrendsInformation Security Trends
Information Security Trends
 

Similar a Планируемые изменения законодательства по ИБ в России

лукацкий алексей. обзор последних законодательных инициатив в области информа...
лукацкий алексей. обзор последних законодательных инициатив в области информа...лукацкий алексей. обзор последних законодательных инициатив в области информа...
лукацкий алексей. обзор последних законодательных инициатив в области информа...elenae00
 
Ключевые тенденции законодательства России по защите данных
Ключевые тенденции законодательства России по защите данныхКлючевые тенденции законодательства России по защите данных
Ключевые тенденции законодательства России по защите данныхAleksey Lukatskiy
 
Что ждет Россию с точки зрения законодательства по ИБ в ближайшие полгода?
Что ждет Россию с точки зрения законодательства по ИБ в ближайшие полгода?Что ждет Россию с точки зрения законодательства по ИБ в ближайшие полгода?
Что ждет Россию с точки зрения законодательства по ИБ в ближайшие полгода?Cisco Russia
 
Защита персональных данных в информационных системах
Защита персональных данных в  информационных системахЗащита персональных данных в  информационных системах
Защита персональных данных в информационных системахDimOK AD
 
Алексей Лукацкий (Cisco) "Изменения законодательства по ИБ в банковской сфере"
Алексей Лукацкий (Cisco) "Изменения законодательства по ИБ в банковской сфере"Алексей Лукацкий (Cisco) "Изменения законодательства по ИБ в банковской сфере"
Алексей Лукацкий (Cisco) "Изменения законодательства по ИБ в банковской сфере"Expolink
 
Последние изменения в законодательстве по персональным данным
Последние изменения в законодательстве по персональным даннымПоследние изменения в законодательстве по персональным данным
Последние изменения в законодательстве по персональным даннымAleksey Lukatskiy
 
Ключевые планируемые изменения законодательства по информационной безопасности
Ключевые планируемые изменения законодательства по информационной безопасностиКлючевые планируемые изменения законодательства по информационной безопасности
Ключевые планируемые изменения законодательства по информационной безопасностиAleksey Lukatskiy
 
Как выборы Президента России влияют на рынок информационной безопасности и...
Как выборы Президента России  влияют на рынок информационной  безопасности  и...Как выборы Президента России  влияют на рынок информационной  безопасности  и...
Как выборы Президента России влияют на рынок информационной безопасности и...Positive Hack Days
 
Security regulations public
Security regulations publicSecurity regulations public
Security regulations publicExpolink
 
Oracle. Олег Файницкий. "Безопасность в публичном облаке. Юридические аспекты"
Oracle. Олег Файницкий. "Безопасность в публичном облаке. Юридические аспекты"Oracle. Олег Файницкий. "Безопасность в публичном облаке. Юридические аспекты"
Oracle. Олег Файницкий. "Безопасность в публичном облаке. Юридические аспекты"Expolink
 
закон и облака
закон и облаказакон и облака
закон и облакаExpolink
 
Cloud and Russian regulation
Cloud and Russian regulationCloud and Russian regulation
Cloud and Russian regulationCisco Russia
 
Хостеры и регистраторы - операторы персональных данных
Хостеры и регистраторы - операторы персональных данныхХостеры и регистраторы - операторы персональных данных
Хостеры и регистраторы - операторы персональных данныхwebdrv
 
Михаил Яценко Закон «О персональных данных». Практика применения
Михаил Яценко Закон «О персональных данных». Практика примененияМихаил Яценко Закон «О персональных данных». Практика применения
Михаил Яценко Закон «О персональных данных». Практика примененияНадт Ассоциация
 
MSSP - услуги безопасности. Есть ли место VPN услугам?
MSSP - услуги безопасности. Есть ли место VPN услугам?MSSP - услуги безопасности. Есть ли место VPN услугам?
MSSP - услуги безопасности. Есть ли место VPN услугам?LETA IT-company
 

Similar a Планируемые изменения законодательства по ИБ в России (20)

лукацкий алексей. обзор последних законодательных инициатив в области информа...
лукацкий алексей. обзор последних законодательных инициатив в области информа...лукацкий алексей. обзор последних законодательных инициатив в области информа...
лукацкий алексей. обзор последних законодательных инициатив в области информа...
 
Ключевые тенденции законодательства России по защите данных
Ключевые тенденции законодательства России по защите данныхКлючевые тенденции законодательства России по защите данных
Ключевые тенденции законодательства России по защите данных
 
Что ждет Россию с точки зрения законодательства по ИБ в ближайшие полгода?
Что ждет Россию с точки зрения законодательства по ИБ в ближайшие полгода?Что ждет Россию с точки зрения законодательства по ИБ в ближайшие полгода?
Что ждет Россию с точки зрения законодательства по ИБ в ближайшие полгода?
 
Защита персональных данных в информационных системах
Защита персональных данных в  информационных системахЗащита персональных данных в  информационных системах
Защита персональных данных в информационных системах
 
пр про законодательство в области иб для нн в.2
пр про законодательство в области иб для нн в.2пр про законодательство в области иб для нн в.2
пр про законодательство в области иб для нн в.2
 
Алексей Лукацкий (Cisco) "Изменения законодательства по ИБ в банковской сфере"
Алексей Лукацкий (Cisco) "Изменения законодательства по ИБ в банковской сфере"Алексей Лукацкий (Cisco) "Изменения законодательства по ИБ в банковской сфере"
Алексей Лукацкий (Cisco) "Изменения законодательства по ИБ в банковской сфере"
 
Последние изменения в законодательстве по персональным данным
Последние изменения в законодательстве по персональным даннымПоследние изменения в законодательстве по персональным данным
Последние изменения в законодательстве по персональным данным
 
Ключевые планируемые изменения законодательства по информационной безопасности
Ключевые планируемые изменения законодательства по информационной безопасностиКлючевые планируемые изменения законодательства по информационной безопасности
Ключевые планируемые изменения законодательства по информационной безопасности
 
Как выборы Президента России влияют на рынок информационной безопасности и...
Как выборы Президента России  влияют на рынок информационной  безопасности  и...Как выборы Президента России  влияют на рынок информационной  безопасности  и...
Как выборы Президента России влияют на рынок информационной безопасности и...
 
Security regulations public
Security regulations publicSecurity regulations public
Security regulations public
 
Oracle. Олег Файницкий. "Безопасность в публичном облаке. Юридические аспекты"
Oracle. Олег Файницкий. "Безопасность в публичном облаке. Юридические аспекты"Oracle. Олег Файницкий. "Безопасность в публичном облаке. Юридические аспекты"
Oracle. Олег Файницкий. "Безопасность в публичном облаке. Юридические аспекты"
 
закон и облака
закон и облаказакон и облака
закон и облака
 
Cloud and Russian regulation
Cloud and Russian regulationCloud and Russian regulation
Cloud and Russian regulation
 
Хостеры и регистраторы - операторы персональных данных
Хостеры и регистраторы - операторы персональных данныхХостеры и регистраторы - операторы персональных данных
Хостеры и регистраторы - операторы персональных данных
 
яценко 20 21 сентября
яценко 20 21 сентябряяценко 20 21 сентября
яценко 20 21 сентября
 
Vbяценко 20 21 сентября
Vbяценко 20 21 сентябряVbяценко 20 21 сентября
Vbяценко 20 21 сентября
 
Михаил Яценко Закон «О персональных данных». Практика применения
Михаил Яценко Закон «О персональных данных». Практика примененияМихаил Яценко Закон «О персональных данных». Практика применения
Михаил Яценко Закон «О персональных данных». Практика применения
 
MSSP - услуги безопасности. Есть ли место VPN услугам?
MSSP - услуги безопасности. Есть ли место VPN услугам?MSSP - услуги безопасности. Есть ли место VPN услугам?
MSSP - услуги безопасности. Есть ли место VPN услугам?
 
пр1 про пп1119 и soiso 2013 03-14
пр1 про пп1119 и soiso 2013 03-14пр1 про пп1119 и soiso 2013 03-14
пр1 про пп1119 и soiso 2013 03-14
 
News in FZ-152
News in FZ-152News in FZ-152
News in FZ-152
 

Más de Aleksey Lukatskiy

4 сценария мониторинга ИБ изолированных промышленных площадок
4 сценария мониторинга ИБ изолированных промышленных площадок4 сценария мониторинга ИБ изолированных промышленных площадок
4 сценария мониторинга ИБ изолированных промышленных площадокAleksey Lukatskiy
 
Аутсорсинг. Управление рисками информационной безопасности
Аутсорсинг. Управление рисками информационной безопасностиАутсорсинг. Управление рисками информационной безопасности
Аутсорсинг. Управление рисками информационной безопасностиAleksey Lukatskiy
 
Чеклист организации, выстраивающей стратегию безопасного удаленного доступа
Чеклист организации, выстраивающей стратегию безопасного удаленного доступаЧеклист организации, выстраивающей стратегию безопасного удаленного доступа
Чеклист организации, выстраивающей стратегию безопасного удаленного доступаAleksey Lukatskiy
 
Как ловить кибермафию с помощью DNS
Как ловить кибермафию с помощью DNSКак ловить кибермафию с помощью DNS
Как ловить кибермафию с помощью DNSAleksey Lukatskiy
 
Презентация по ИБ для руководства компании
Презентация по ИБ для руководства компанииПрезентация по ИБ для руководства компании
Презентация по ИБ для руководства компанииAleksey Lukatskiy
 
13 советов, от которых зависит успешность вашего SOC
13 советов, от которых зависит успешность вашего SOC13 советов, от которых зависит успешность вашего SOC
13 советов, от которых зависит успешность вашего SOCAleksey Lukatskiy
 
От разрозненных фидов к целостной программе Threat intelligence
От разрозненных фидов к целостной программе Threat intelligenceОт разрозненных фидов к целостной программе Threat intelligence
От разрозненных фидов к целостной программе Threat intelligenceAleksey Lukatskiy
 
Дашборды по ИБ АСУ ТП
Дашборды по ИБ АСУ ТПДашборды по ИБ АСУ ТП
Дашборды по ИБ АСУ ТПAleksey Lukatskiy
 
Техническая защита персональных данных в соответствие с GDPR и ФЗ-152
Техническая защита персональных данных в соответствие с GDPR и ФЗ-152Техническая защита персональных данных в соответствие с GDPR и ФЗ-152
Техническая защита персональных данных в соответствие с GDPR и ФЗ-152Aleksey Lukatskiy
 
17 способов проникновения во внутреннюю сеть компании
17 способов проникновения во внутреннюю сеть компании17 способов проникновения во внутреннюю сеть компании
17 способов проникновения во внутреннюю сеть компанииAleksey Lukatskiy
 
Бизнес-метрики ИБ для руководства финансовой организации
Бизнес-метрики ИБ для руководства финансовой организацииБизнес-метрики ИБ для руководства финансовой организации
Бизнес-метрики ИБ для руководства финансовой организацииAleksey Lukatskiy
 
Уральский форум 2020 за 15 минут
Уральский форум 2020 за 15 минутУральский форум 2020 за 15 минут
Уральский форум 2020 за 15 минутAleksey Lukatskiy
 
Кибербезопасность прорывных технологий
Кибербезопасность прорывных технологийКибербезопасность прорывных технологий
Кибербезопасность прорывных технологийAleksey Lukatskiy
 
Тенденции киберугроз. Что необходимо знать?
Тенденции киберугроз. Что необходимо знать?Тенденции киберугроз. Что необходимо знать?
Тенденции киберугроз. Что необходимо знать?Aleksey Lukatskiy
 
Новая концепция кибербезопасности Zero Trust
Новая концепция кибербезопасности Zero TrustНовая концепция кибербезопасности Zero Trust
Новая концепция кибербезопасности Zero TrustAleksey Lukatskiy
 
Измерение эффективности SOC. 3 года спустя
Измерение эффективности SOC. 3 года спустяИзмерение эффективности SOC. 3 года спустя
Измерение эффективности SOC. 3 года спустяAleksey Lukatskiy
 
Как правильно выборать аутсорсингового партнера
Как правильно выборать аутсорсингового партнераКак правильно выборать аутсорсингового партнера
Как правильно выборать аутсорсингового партнераAleksey Lukatskiy
 
ICS Cyber Security Effectiveness Measurement
ICS Cyber Security Effectiveness MeasurementICS Cyber Security Effectiveness Measurement
ICS Cyber Security Effectiveness MeasurementAleksey Lukatskiy
 
Измерение эффективности ИБ промышленных систем
Измерение эффективности ИБ промышленных системИзмерение эффективности ИБ промышленных систем
Измерение эффективности ИБ промышленных системAleksey Lukatskiy
 
Один зеродей и тысяча ночей без сна
Один зеродей и тысяча ночей без снаОдин зеродей и тысяча ночей без сна
Один зеродей и тысяча ночей без снаAleksey Lukatskiy
 

Más de Aleksey Lukatskiy (20)

4 сценария мониторинга ИБ изолированных промышленных площадок
4 сценария мониторинга ИБ изолированных промышленных площадок4 сценария мониторинга ИБ изолированных промышленных площадок
4 сценария мониторинга ИБ изолированных промышленных площадок
 
Аутсорсинг. Управление рисками информационной безопасности
Аутсорсинг. Управление рисками информационной безопасностиАутсорсинг. Управление рисками информационной безопасности
Аутсорсинг. Управление рисками информационной безопасности
 
Чеклист организации, выстраивающей стратегию безопасного удаленного доступа
Чеклист организации, выстраивающей стратегию безопасного удаленного доступаЧеклист организации, выстраивающей стратегию безопасного удаленного доступа
Чеклист организации, выстраивающей стратегию безопасного удаленного доступа
 
Как ловить кибермафию с помощью DNS
Как ловить кибермафию с помощью DNSКак ловить кибермафию с помощью DNS
Как ловить кибермафию с помощью DNS
 
Презентация по ИБ для руководства компании
Презентация по ИБ для руководства компанииПрезентация по ИБ для руководства компании
Презентация по ИБ для руководства компании
 
13 советов, от которых зависит успешность вашего SOC
13 советов, от которых зависит успешность вашего SOC13 советов, от которых зависит успешность вашего SOC
13 советов, от которых зависит успешность вашего SOC
 
От разрозненных фидов к целостной программе Threat intelligence
От разрозненных фидов к целостной программе Threat intelligenceОт разрозненных фидов к целостной программе Threat intelligence
От разрозненных фидов к целостной программе Threat intelligence
 
Дашборды по ИБ АСУ ТП
Дашборды по ИБ АСУ ТПДашборды по ИБ АСУ ТП
Дашборды по ИБ АСУ ТП
 
Техническая защита персональных данных в соответствие с GDPR и ФЗ-152
Техническая защита персональных данных в соответствие с GDPR и ФЗ-152Техническая защита персональных данных в соответствие с GDPR и ФЗ-152
Техническая защита персональных данных в соответствие с GDPR и ФЗ-152
 
17 способов проникновения во внутреннюю сеть компании
17 способов проникновения во внутреннюю сеть компании17 способов проникновения во внутреннюю сеть компании
17 способов проникновения во внутреннюю сеть компании
 
Бизнес-метрики ИБ для руководства финансовой организации
Бизнес-метрики ИБ для руководства финансовой организацииБизнес-метрики ИБ для руководства финансовой организации
Бизнес-метрики ИБ для руководства финансовой организации
 
Уральский форум 2020 за 15 минут
Уральский форум 2020 за 15 минутУральский форум 2020 за 15 минут
Уральский форум 2020 за 15 минут
 
Кибербезопасность прорывных технологий
Кибербезопасность прорывных технологийКибербезопасность прорывных технологий
Кибербезопасность прорывных технологий
 
Тенденции киберугроз. Что необходимо знать?
Тенденции киберугроз. Что необходимо знать?Тенденции киберугроз. Что необходимо знать?
Тенденции киберугроз. Что необходимо знать?
 
Новая концепция кибербезопасности Zero Trust
Новая концепция кибербезопасности Zero TrustНовая концепция кибербезопасности Zero Trust
Новая концепция кибербезопасности Zero Trust
 
Измерение эффективности SOC. 3 года спустя
Измерение эффективности SOC. 3 года спустяИзмерение эффективности SOC. 3 года спустя
Измерение эффективности SOC. 3 года спустя
 
Как правильно выборать аутсорсингового партнера
Как правильно выборать аутсорсингового партнераКак правильно выборать аутсорсингового партнера
Как правильно выборать аутсорсингового партнера
 
ICS Cyber Security Effectiveness Measurement
ICS Cyber Security Effectiveness MeasurementICS Cyber Security Effectiveness Measurement
ICS Cyber Security Effectiveness Measurement
 
Измерение эффективности ИБ промышленных систем
Измерение эффективности ИБ промышленных системИзмерение эффективности ИБ промышленных систем
Измерение эффективности ИБ промышленных систем
 
Один зеродей и тысяча ночей без сна
Один зеродей и тысяча ночей без снаОдин зеродей и тысяча ночей без сна
Один зеродей и тысяча ночей без сна
 

Планируемые изменения законодательства по ИБ в России

  • 1. Что нас ждет в отечественном законодательстве по ИБ? Лукацкий Алексей, консультант по безопасности
  • 4. Недавние и планируемые изменения по направлению ПДн Что было •  Приказ ФСТЭК №21 по защите ПДн в ИСПДн •  Приказ об отмене «приказа трех» по классификации ИСПДн •  Приказ и методичка РКН по обезличиванию •  Новая версия стандарта Банка России (СТО БР ИББС) •  Закон 242-ФЗ о запрете хранения ПДн россиян за границей •  Письмо Банка России 42-Т Что будет •  Проект приказа ФСБ по использованию СКЗИ для защиты ПДн •  Законопроект Совета Федерации по внесению изменений в ФЗ-152 •  Законопроект по внесению изменений в КоАП •  Работа Межведомственного экспертного совета при Минкомсвязи по совершенствованию законодательства в области регулирования отношений, связанных с обработкой ПДн •  Отраслевые модели угроз •  Ратификация дополнительного протокола Евроконвенции (181)
  • 5. Что рекомендует письмо 42-Т •  В целях снижения операционного, правового и репутационного рисков кредитным организациям целесообразно актуализировать внутренние документы, определяющие: –  Порядок хранения и уничтожения документов, в том числе на бумажных носителях, содержащих персональные данные клиентов –  Персональную ответственность работников кредитных организаций, осуществляющих непосредственную обработку персональных данных, за сохранение и обеспечение конфиденциальности информации, образующейся в процессе обслуживания клиентов –  Условия, обеспечивающие конфиденциальность и сохранность материальных носителей персональных данных, исключающие несанкционированный доступ к ним с момента создания данных документов до истечения сроков их хранения и уничтожения
  • 6. На что намекает письмо 42-Т •  Недостатки в деятельности, связанные с исполнением норм ФЗ-152 должны рассматриваться как негативный фактор при оценке качества управления кредитной организацией, в том числе при оценке организации системы внутреннего контроля в соответствии с положением 242-П •  Согласно ст.48 177-ФЗ от 23.12.2003 «О страховании вкладов физических лиц в банках Российской Федерации» такой недостаток может послужить причиной прекращения права банка на привлечение во вклады денежных средств физлиц и на открытие и ведение банковских счетов физлиц –  По сути плохая обработка персональных данных может стать причиной невозможности заниматься основной деятельностью кредитной организации
  • 7. Законопроект по штрафам •  В новом законопроекте меняется текст статьи 13.11, которая устанавливает два состава правонарушений –  Нарушение требований к письменному согласию субъекта –  Обработка ПДн без согласия или иных законных оснований •  Также вводится еще 3 новых статьи: –  13.11.1 - незаконная обработка спецкатегорий ПДн (<=300K) –  13.11.2 - непредоставление оператором информации и (или) доступа к сведениям, предусмотренным законодательством о ПДн. Данная статья наказывает в т.ч. и за отсутствие политики в отношении обработки ПДн (<=40K) –  13.11.3 - несоблюдение требований по обеспечению безопасности ПДн (<=200K)
  • 8. Законопроект РГ Совета Федерации •  Вводится понятия «обработчика» •  Защита ПДн в составе профессиональной тайны –  В соответствие с требованиями по защите тайны •  Условия обработки ПДн обработчиком –  Наличие договора = согласие •  Новые условия необеспечения конфиденциальности ПДн •  Электронная, в т.ч. дистанционная форма согласия на обработку ПДн •  Биометрические ПДн –  Только при автоматической идентификации субъекта •  Трансграничная обработка ПДн –  Также при наличии договора –  Не распространять требование за пределами РФ
  • 9. Законопроект РГ Совета Федерации •  Государственные и муниципальные организации заменяются на организации, обрабатывающие ПДн в целях оказания государственных и муниципальных услуг •  Защита ПДн –  Гармонизация формулировок •  Уведомление РКН –  Гармонизация формулировок •  Возможность самостоятельной разработки модели угроз –  До принятия соответствующих актов ФОИВами
  • 10. Проект приказа ФСБ •  Настоящий документ устанавливает состав и содержание необходимых для выполнения установленных Правительством Российской Федерации требований к защите ПДн для каждого из уровней защищенности организационных и технических мер по обеспечению безопасности ПДн при их обработке в ИСПДн
  • 11. Проект приказа ФСБ •  Даны разъяснения (имеющие характер обязательных) положений ПП-1119 –  Например, что такое «организация режима обеспечения безопасности помещений», «сохранность персональных данных», «электронный журнал сообщений» и т.п. •  Средства криптографической защиты персональных данных могут быть ТОЛЬКО сертифицированными •  8-й Центр сознательно или несознательно, но ограничил применение для защиты ПДн СКЗИ классом КС3 (!) и выше –  Если вы считаете, что потенциальный нарушитель может получить доступ к средствам вычислительной техники, на которых установлены СКЗИ, то необходимо применять СКЗИ не ниже КС3
  • 12. Проект приказа ФСБ •  Если вдуматься чуть глубже, то вы обязаны будете применять СКЗИ класса КВ1, если вы опасаетесь, что нарушитель может привлечь специалистов, имеющих опыт разработки и анализа СКЗИ –  А сейчас нет ограничений на таких специалистов - криптографию преподают в 100 с лишним ВУЗах России •  СКЗИ КВ2 применяются, когда могут быть использованы недекларированные возможности в прикладном ПО или у нарушителя есть исходные коды прикладного ПО –  Прощай open source •  СКЗИ КА1 применяются, когда могут быть использованы недекларированные возможности в системном ПО
  • 13. Соответствие уровней защищенности классам СКЗИ Уровень защищенности 3-й тип угроз 2-й тип угроз 1-й тип угроз 4 КС1+ КС1+ КС1+ 3 КС1+ КВ2+ - 2 КС1+ КВ2+ 1 - КВ2+ КА1 •  В зависимости от совокупности предположений о возможностях, которые могут использоваться при создании способов, подготовке и проведении атак СКЗИ подразделяются на классы
  • 14. Проект приказа ФСБ •  Все помещения, в которых ведется обработка ПДн, должны по окончании рабочего дня не просто закрываться, а опечатываться (!) –  Это минимум требований для 4-го уровня защищенности •  На 1-м уровне от вас потребуют на первых и последних этажах зданий установки решеток или ставень (!) •  Все носители персональных данных должна учитываться поэкземплярно
  • 15. Что еще планируется •  Изменения в ФЗ «О лицензировании отдельных видов деятельности» (рабочая группа экспертного совета Минкомсвязи) –  В части определения лицензий на ТЗКИ и шифрования –  Введение термина «собственные нужды» –  Замена термина «конфиденциальная информация» •  Уведомление оператором ПДн субъекта о несанкционированном доступе третьих лиц к ПДн субъекта –  Поправки в ФЗ-152 и, возможно, КоАП •  Отраслевые модели угроз ПДн –  Банка России (уже год ждет согласования с ФСБ) – для банков –  Минкомсвязи – для операторов связи
  • 16. Банковская модель угроз •  Проект Указания Банка России «Об определении угроз безопасности персональных данных, актуальных при обработке персональных данных в информационных системах персональных данных» •  Согласована с ФСТЭК •  Практически согласована с ФСБ
  • 17. Закон о запрете хранения ПДн россиян за границей •  Реализация положения ФЗ-242 «о запрете хранения ПДн россиян за границей» –  Запрет хранения –  Наказание за нарушение –  Выведение РКН из под действия 294-ФЗ •  Вступает в силу с 1 сентября 2016 года •  Будут вноситься изменения –  По части «независимого органа» –  По части контроля/надзора –  По части хранения за пределами РФ
  • 18. Вы не забыли про Конвенцию? •  Ратификация дополнительного протокола к конвенции о защите частных лиц в отношении автоматизированной обработки данных личного характера, о наблюдательных органах и трансграничной передаче информации (ETS N 181) •  В 2015-м (возможно) будет принята новая редакция Евроконвенции –  со всеми вытекающими
  • 20. Недавние и планируемые изменения по направлению КИИ/КСИИ/КВО/АСУ ТП Что было •  Постановление Правительства №861 от 02.10.2013 •  Приказ ФСТЭК №31 по защите АСУ ТП Что будет •  Законопроект по безопасности критических информационных инфраструктур •  Законопроект о внесении изменений в связи с принятием закона о безопасности КИИ •  Подзаконные акты •  Методические документы ФСТЭК
  • 21. Новый приказ ФСТЭК №31 •  «Об утверждении Требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды» –  Ориентация на объекты ТЭК, транспортной безопасности, использования атомной энергии, опасных производственных объектов, гидротехнических сооружений
  • 22. Ключевые отличия требований по ИБ КСИИ и АСУ ТП •  Объект защиты •  Классификация АСУ ТП / КСИИ •  Уровень открытости циркулируемой в АСУ ТП / КСИИ информации •  Парадигма •  Требования по защите •  Требования по оценке соответствия •  Участники процесса защиты информации
  • 23. Меры по защите информации •  Организационные и технические меры защиты информации, реализуемые в АСУ ТП –  идентификация и аутентификация субъектов доступа и объектов доступа –  управление доступом субъектов доступа к объектам доступа –  ограничение программной среды –  защита машинных носителей информации –  регистрация событий безопасности –  антивирусная защита –  обнаружение (предотвращение) вторжений –  контроль (анализ) защищенности –  целостность АСУ ТП –  доступность технических средств и информации –  защита среды виртуализации
  • 24. Меры по защите информации •  продолжение: –  защита технических средств и оборудования –  защита АСУ ТП и ее компонентов –  безопасная разработка прикладного и специального программного обеспечения разработчиком –  управление обновлениями программного обеспечения –  планирование мероприятий по обеспечению защиты информации –  обеспечение действий в нештатных (непредвиденных) ситуациях –  информирование и обучение пользователей –  анализ угроз безопасности информации и рисков от их реализации –  выявление инцидентов и реагирование на них –  управление конфигурацией информационной системы и ее системы защиты
  • 25. Меры по защите информации: общее Защитная мера ПДн ГИС АСУ ТП Идентификация и аутентификация субъектов доступа и объектов доступа + + + Управление доступом субъектов доступа к объектам доступа + + + Ограничение программной среды + + + Защита машинных носителей информации, на которых хранятся и (или) обрабатывается КИ + + + Регистрация событий безопасности + + + Антивирусная защита + + + Обнаружение (предотвращение) вторжений + + + Контроль (анализ) защищенности персональных данных + + + Обеспечение целостности информационной системы и КИ + + + Обеспечение доступности персональных данных + + + Защита среды виртуализации + + + Защита технических средств + + + Защита информационной системы, ее средств, систем связи и передачи данных + + +
  • 26. Меры по защите информации: различия Защитная мера ПДн ГИС АСУ ТП Управление инцидентами + + Управление конфигурацией информационной системы и системы защиты КИ + + Безопасная разработка прикладного и специального программного обеспечения разработчиком + Управление обновлениями программного обеспечения + Планирование мероприятий по обеспечению защиты информации + Обеспечение действий в нештатных (непредвиденных) ситуациях + Информирование и обучение пользователей + Анализ угроз безопасности информации и рисков от их реализации +
  • 27. ФСТЭК унифицирует требования по защите информации Особенность Приказ по защите ПДн Приказ по защите ГИС/МИС Проект приказа по АСУ ТП Требования по защите привязаны к 4 уровням защищенности ПДн 4 классам защищенности ГИС/МИС 3 классам защищенности АСУ ТП Порядок в триаде КЦД КЦД ДЦК Возможность гибкого выбора защитных мер Да Да Да Проверка на отсутствие «закладок» Требуется для угроз 1-2 типа (актуальность определяется заказчиком) Требуется для 1-2 класса защищенности ГИС/МИС Требуется только при выборе сертифицированных средств защиты
  • 28. Но разница между требованиями ФСТЭК все-таки есть Особенность Приказ по защите ПДн Приказ по защите ГИС/ МИС Проект приказа по АСУ ТП Оценка соответствия В любой форме (нечеткость формулировки и непонятное ПП-330) Только сертификация В любой форме (в соответствии с ФЗ-184) Аттестация Коммерческий оператор - на выбор оператора Госоператор - аттестация Обязательна Возможна, но не обязательна Контроль и надзор Прокуратура – все ФСТЭК/ФСБ – только госоператоры (РКН не имеет полномочий проверять коммерческих операторов ПДн) ФСТЭК ФСБ и ФОИВ, ответственный за безопасность КИИ (определяется в настоящий момент)
  • 29. Поправки в связи с принятием закона о безопасности КИИ •  Поправки в УК РФ и УПК РФ –  Внесение изменений в статьи 272, 274, 151 (УПК) •  Поправки в закон «О государственной тайне» –  Сведения о степени защищенности и мерах безопасности объектов средней и высокой степени опасности •  Поправки в 294-ФЗ –  Выведение из под порядка проведения проверок КИИ •  Поправки в 184-ФЗ –  Исключение двойного регулирования
  • 30. Что еще готовится в связи с законопроектом о безопасности КИИ? •  Определение ФОИВ, уполномоченного в области безопасности КИИ –  Через 6 месяцев после принятия закона •  Постановления Правительства «Об утверждении показателей критериев категорирования элементов критической информационной инфраструктуры» –  Принятие в течение 6 месяцев после определения ФОИВ, уполномоченного в области безопасности КИИ •  Постановление Правительства «Об утверждении порядка подготовки и использования ресурсов единой сети связи электросвязи для обеспечения функционирования и взаимодействия объектов КИИ» •  Приказ уполномоченного ФОИВ об утверждении требований по безопасности КИИ –  Это не 31-й приказ!!!
  • 31. Что еще готовится в связи с законопроектом о безопасности КИИ? •  Приказы уполномоченного ФОИВ об аккредитации, о представлении сведений для категорирования, о контроле/ надзоре, о реестре объектов КИИ •  Приказ ФСБ об утверждении порядка реагирования на компьютерные инциденты и ликвидации последствий компьютерных атак на объектах КИИ •  Приказ ФСБ о перечне и порядке предоставлений сведений в СОПКА •  Приказ ФСБ о порядке доступа к информации в СОПКА •  Приказ ФСБ об утверждении требований к техсредствам СОПКА •  Приказ ФСБ об установке и эксплуатации техсредств СОПКА Приказ ФСБ о национальном CERT •  Приказ Минкомсвязи об условиях установки СОВ на сетях электросвязи
  • 32. Планируемые методические документы ФСТЭК •  Применение «старых» документов ФСТЭК по КСИИ в качестве рекомендательных и методических –  «Рекомендации…» и «Методика определения актуальных угроз…» •  Методичка по реагированию на инциденты (в разработке) •  Методичка по анализу уязвимостей (в разработке) •  Методичка по управлению конфигурацией (в разработке) •  Методичка по аттестации (в разработке) •  Методичка по мерам защиты в АСУ ТП (в разработке) –  По аналогии с «Мерами защиты в ГИС»
  • 34. Недавние и планируемые изменения по направлению ГИС Что было •  Приказ ФСТЭК №17 по защите информации в ГИС •  Методический документ по мерам защиты информации в государственных информационных системах Что будет •  Порядок моделирования угроз безопасности информации в информационных системах •  Новая редакция приказа №17 и «мер защиты в ГИС» •  Методические и руководящие документы ФСТЭК •  Законопроекты о запрете хостинга ГИС за пределами РФ, о служебной тайне, по импортозамещению…
  • 35. Что еще планируется? •  Законопроект о запрете использования чиновниками и госслужащими несертифицированных мобильных устройств –  Фактически эти нормы уже установлены действующими НПА •  Законопроект о запрете размещения сайтов государственных органов за пределами Российской Федерации –  Фактически эти нормы уже установлены действующими НПА •  Законопроект о регулировании облачных вычислений –  Установление особых требований по ИБ к облакам для госорганов •  Новая статья в КоАП за препятствование доступу к сайтам в Интернет (уже принято) –  Из антитеррористического пакета законов
  • 36. ФСТЭК планирует установить новые требования к средствам защиты •  ФСТЭК (2013-2015) –  Требования к средствам доверенной загрузки –  Требования к средствам контроля съемных носителей –  Требования к средствам контроля утечек информации (DLP) –  Требования к средствам аутентификации –  Требования к средствам разграничения доступа –  Требования к средствам контроля целостности –  Требования к средствам очистки памяти –  Требования к средствам ограничения программной среды –  Требования к средствам управления потоками информации (МСЭ, однонаправленные МСЭ, коммутаторы…) –  Требования к средствам защиты виртуализации –  ГОСТы по защите виртуализации и облачных вычислений
  • 37. У ФСТЭК большие планы по регулированию госорганов и муниципалов
  • 38. Планируемые методические документы ФСТЭК •  Порядок аттестации распределенных информационных систем •  Порядок обновления программного обеспечения в аттестованных информационных системах •  Порядок выявления и устранения уязвимостей в информационных системах •  Порядок реагирования на инциденты, которые могут привести к сбоям или нарушению функционирования информационной системы и (или) к возникновению угроз безопасности информации •  …
  • 40. Недавние и планируемые изменения по направлению НПС/банковской тайны Что было •  382-П (3007-У) •  2831-У (3024-У) •  55-Т •  42-Т •  49-Т •  242-П •  СТО БР ИББС 1.0 и 1.2 •  Отмена РС 2.3 и 2.4 •  Принятие новых РС 2.5 и 2.6 Что будет •  Новая редакция 382-П •  Новые РС •  Требования для организаций финансового рынка (ФСФР) •  Банковский CERT •  Отраслевая модель угроз ПДн
  • 41. Планируемые изменения по направлению СТО БР ИББС •  Проекты новых РС –  Проект РС по ресурсному обеспечению информационной безопасности –  Проект РС по виртуализации –  Проект РС по предотвращению утечек информации •  Пересмотр «старых» документов СТО (возможно) –  СТО 1.1, РС 2.0, 2.1 и 2.2 •  Разработка новых РС (возможно) –  Противодействие мошенничеству –  Облачные технологии и аутсорсинг –  Распределение ролей 41
  • 43. Недавние и планируемые изменения по направлению ССОП •  Закон «О внесении изменений в отдельные законодательные акты Российской Федерации по вопросам регулирования отношений при использовании информационно-телекоммуникационной сети Интернет» и ФЗ-139 «О защите детей от негативной информации» •  Постановление Правительства №611 от 15.04.2013 «Об утверждении перечня нарушений целостности, устойчивости функционирования и безопасности единой сети электросвязи РФ» •  Иных требований по информационной безопасности на операторов связи пока не планируется •  Все изменения касаются контроля Интернет –  Антипиратский закон, контроль социальных сетей, Единая система аутентификации (ЕСИА), запрет анонимайзеров, регулирование Интернет-компаний как организаторов распространения информации, регулирование облачных вычислений и т.п.
  • 46. Что может повлиять на законодательное регулирование в худшую сторону?
  • 47. Нас ждут непростой конец года и начало следующего!
  • 48. © Cisco и (или) дочерние компании, 2011 г. Все права защищены. Общедоступная информация CiscoBRKSEC-1065 48 Благодарю вас за внимание security-request@cisco.com