Эксперт Трофимов: новый приказ ФСТЭК переводит защиту персональных данных от формального подхода к управлению рисками
Изображение: recraft
Антон Трофимов, ведущий специалист по информационной безопасности компании «МУЛЬТИФАКТОР», прокомментировал для CISOCLUB проект нового приказа ФСТЭК России, который должен заменить действующий приказ №21 и изменить подход к обеспечению защиты персональных данных. По словам эксперта, новый документ выглядит более гибким и соответствует современному риск-ориентированному подходу.
«Проект приказа по ПД выглядит логичным, по логике схожим с приказом №117, более гибким, но пока достаточно общим. Трудно сказать, что именно будет прописано в методиках, на которые он опирается», — отметил Антон Трофимов.
Эксперт обратил внимание, что регулятор постепенно отходит от требования использовать одинаковый набор защитных решений для всех организаций.
«Интересная перемена — для ФСТЭК важно не то, чтобы у всех стоял одинаковый набор коробок. Нужна ясность в понимании собственной инфраструктуры, осознание угроз и построение защиты, которая реально работает», — пояснил он.
По мнению специалиста, новый проект сохраняет основную идею действующего приказа №21, но делает ее более современной.
«В проекте приказа обозначены более крупные направления, а конкретное содержание мер оставлено за оператором с учетом методических документов ФСТЭК. По сути, это не революция по сравнению с философией приказа №21, а эволюция — доведение заложенной там риск-ориентированной идеи до более современного и менее формального вида», — рассказал Антон Трофимов.
Он также отметил, что подобный подход уже применяется в других стандартах информационной безопасности.
«Такой подход мы уже видели в приказе №117 и на что давно опирается PCI DSS (Payment Card Industry Data Security Standard — международный стандарт безопасности данных)», — заключил эксперт.
