Как вот спрятаться от них?.. Видно, так уж суждено, Ты их в дверь,— они в окно…ГосСОПКА снова на пороге.

В декабре 2020 года была предпринята первая охватить ГосСОПКА все организации страны без исключения. Писал про это — здесь. Тогда мы этого избежали, но недавно последовала очередная и более жесткая по своим требованиям. И так, апрельская версия 2022 года О внесении изменений в Федеральный закон О персональных данных и иные законодательные акты Российской Федерации по вопросам защиты прав субъектов персональных данных

Посмотрим что интересного нас ждет в законопроекте с точки зрения информационной безопасности.

1. лицо, осуществляющее обработку персональных данных — государственный орган, муниципальный орган, юридическое или физическое лицо, осуществляющее обработку персональных данных по поручению оператора персональных данных с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, но не определяющее цели обработки указанных персональных данных, состав персональных данных, действия, совершаемые с персональными данными.

Таким обработчикам ПДн необходимо получать лицензию ФСТЭК на ТЗКИ и лицензию на ФСБ на СКЗИ.

https://fstec.ru/litsenzionnaya-deyatelnost/tekhnicheskaya-zashchita-informatsii/76-inye/1651-informatsionnoe-soobshchenie-fstek-rossii-ot-31-iyulya-2018-g-n-240-13-3330

В пункте 3 Требований к защите персональных данных при их обработке в информационных системах персональных данных, утвержденных постановлением Правительства Российской Федерации от 1 ноября 2012 г. N 1119, установлено, что безопасность персональных данных при их обработке в информационный системе обеспечивает оператор этой системы, который обрабатывает персональные данные, или лицо, осуществляющее обработку персональных данных по поручению оператора на основании заключенного с этим лицом договора. Договор между оператором и уполномоченным лицом должен предусматривать обязанность уполномоченного лица обеспечить безопасность персональных данных при их обработке в информационной системе.

Оператору не требуется получать лицензию на деятельность по технической защите конфиденциальной информации при обработке персональных данных в информационной системе персональных данных для собственных нужд.

Оператору необходимо иметь указанную лицензию при оказании другому оператору услуг по обработке персональных данных по его поручению в собственной информационной системе персональных данных на основании заключенного между ними договора при наличии в таком договоре хотя бы одной из услуг, предусмотренных в пункте 4 Положения о лицензировании деятельности по технической защите конфиденциальной информации, утвержденного постановлением Правительства Российской Федерации от 3 февраля 2012 г. N 79.

Или как штрафуют за отсутствие лицензии ФСБ на СКЗИ

Таким образом, ООО <данные изъяты>» по существу оказывает возмездные услуги по организации и обеспечению безопасности хранения и обработки с использованием СКЗИ конфиденциальной информации, передаваемой вне сетей конфиденциальной связи, т.е. предоставляя услуги по шифрованию информации фактически осуществляет функции оператора.

Вместе с этим, согласно Положения, утвержденного постановлением Правительства Российской Федерации от 16 апреля 2012 г. N 313 в перечень выполняемых работ и оказываемых услуг, составляющих лицензируемую деятельность, в отношении шифровальных (криптографических) средств относится в том числе, предоставление услуг по шифрованию информации, не содержащей сведений, составляющих государственную тайну, с использованием шифровальных (криптографических) средств в интересах юридических и физических лиц, а также индивидуальных предпринимателей.

2. Вред субъектам ПДн теперь будем оценивать по методике РКН оценка вреда в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов персональных данных, который может быть причинен субъектам персональных данных в случае нарушения настоящего Федерального закона, соотношение указанного вреда и принимаемых оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных настоящим Федеральным законом.

А это может повлечь за собой пересмотр классов защиты для ГИС, обрабатывающих ПДн.

3. Ключевой пункт законопроекта! Законодательное наделение ФСБ и ФСТЭК правом приходить с проверкой выполнения 21/378 приказов в коммерческие организации.

Источник — Блог о нюансах и особенностях законодательства в области информационной безопасности Валерия Комарова “Рупор бумажной безопасности”.