Внесены изменения в перечень угроз безопасности, актуальных при обработке и передаче биометрических персональных данных организациями финансового рынка

Банк России указанием от 03 июня 2026 года № 7362-У внес изменения в пункт 1 Указания Банка России от 25 сентября 2023 года № 6540-У «О перечне угроз безопасности, актуальных при обработке биометрических персональных данных, векторов единой биометрической системы, проверке и передаче информации о степени соответствия векторов единой биометрической системы предоставленным биометрическим персональным данным физического лица при взаимодействии информационных систем организаций финансового рынка с единой биометрической системой», которые вступили в силу 25 июля 2026 года.

Подпункт 1.1 «Угрозы безопасности, актуальные при сборе биометрических персональных данных и их передаче в целях размещения или обновления биометрических персональных данных в единой биометрической системе» дополнен абзацем следующего содержания:

«…работниками банков с использованием портативного средства вычислительной техники, указанного в пункте 1 раздела 2 национального стандарта Российской Федерации ГОСТ Р 71174-2024 «Ноутбуки. Термины и определения», утвержденного и введенного в действие приказом Росстандарта от 7 ноября 2024 года № 1609-ст, и при передаче собранных биометрических персональных данных между указанным портативным средством вычислительной техники и информационной инфраструктурой внутренних структурных подразделений банков - угроза нарушения целостности (подмены, удаления), нарушения конфиденциальности (компрометации), нарушения достоверности биометрических персональных данных (внесения фиктивных биометрических персональных данных), в том числе путем реализации целенаправленных действий с использованием возможностей, указанных в пункте 12 Состава и содержания организационных и технических мер.»

Подпункт 1.3 «Угрозы безопасности, актуальные при обработке (за исключением сбора) биометрических персональных данных, при проверке и передаче информации о степени соответствия предоставленных биометрических персональных данных физического лица векторам единой биометрической системы, содержащимся в единой биометрической системе (далее - информация о степени соответствия), при взаимодействии информационных систем организаций финансового рынка с единой биометрической системой в целях идентификации физического лица в соответствии с частью 1 статьи 9 Федерального закона от 29 декабря 2022 года № 572-ФЗ и аутентификации физического лица в соответствии с частью 1 статьи 10 Федерального закона от 29 декабря 2022 года № 572-ФЗ» дополнен подпунктом 1.3.5(1) следующего содержания:

1.3.5(1). При обработке информации о степени соответствия в микрофинансовых организациях в целях идентификации физического лица в соответствии с частью 1 статьи 9 Федерального закона от 29 декабря 2022 года N 572-ФЗ:

• угроза нарушения целостности (подмены, удаления) информации о степени соответствия, в том числе путем реализации целенаправленных действий с использованием возможностей, указанных в пункте 12 Состава и содержания организационных и технических мер;
  
  
• угроза нарушения конфиденциальности (компрометации) информации о степени соответствия, в том числе путем реализации целенаправленных действий с использованием возможностей, указанных в пункте 12 Состава и содержания организационных и технических мер.

Мой комментарий: В перечень угроз введен конкретный физический объект - ноутбук (со ссылкой на определение, данное в ГОСТ Р 71174-2024) и конкретные субъекты - работники банков. Регулятор смещает фокус с защиты «облачной» Единой биометрической системы (ЕБС) на «последнюю милю» - точку сбора данных. Слабо защищенное звено (мобильный ноутбук сотрудника банка в отделении) теперь признается источником угроз.

Введена отдельная угроза для микрофинансовых организаций (МФО). МФО традиционно считаются зоной повышенного риска мошенничества и слабой ИТ-инфраструктуры. Указание прямо говорит, что при идентификации через ЕБС в МФО угрозы компрометации и подмены результата проверки (информации о степени соответствия) столь же критичны, как и в крупных банках, и требуют отдельного внимания.

Банк России признает наличие у злоумышленников (внешних или инсайдеров) квалифицированных средств для атак именно на промежуточные узлы (ноутбук сотрудника, сервер МФО).

Источник: Консультант Плюс
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=539451

Всесторонняя способность пройти аудит: Забытое требование к искусственному интеллекту при его применении для управления документами (1)

Данный пост колумбийского специалиста Джона Александра Гонсалеса Флореса (Jhon Alexander González Flórez, или Jhon A. Gonzalez F. – на фото), сотрудника управления проектов электронного документооборота в компании Grupo IB Consulting SAS, был опубликован 25 июля 2026 года в социальной сети LinkedIn.

Сейчас всё чаще можно услышать предложения об использовании искусственного интеллекта (ИИ) в архивно-документационных процессах: говорят об автоматической классификации, описании документов, извлечении метаданных, идентификация серий документов, экспертизе ценности документов и даже о рекомендациях, касающихся окончательной судьбы документов – их уничтожения либо передаче на постоянное архивное хранение.

Уже не стоит вопрос о том, способен ли ИИ это сделать. Настоящий вопрос заключается теперь в том, сможем ли мы через двадцать лет продемонстрировать и объяснить, почему ИИ принял именно такое решение. Именно этому аспекту в дискуссиях часто уделяется недостаточное внимание.

Обычно обсуждаются два аспекта. Первый из них - объяснимость: почему система приняла то или иное решение? Второй аспект - алгоритмическая воспроизводимость: возможно ли повторно применить модель при тех же условиях, и получить тот же результат?

Оба эти аспекта важны, однако с точки зрения архивно-документационной науки существует третий аспект, который редко упоминается в дискуссиях.

Воспроизводимость на основе документальных доказательств

Недостаточно иметь возможность просто повторно запустить алгоритм - необходимо обеспечить возможность полной реконструкции доказательств, на основании которых было принято решение.

Это подразумевает сохранение гораздо большего, чем одной лишь модели искусственного интеллекта. Необходимо сохранить, среди прочего: точную версию использованной модели, входные данные, исходные документы, взаимосвязанные метаданные, текущие бизнес-правила, сведения о выполненных над информацией преобразованиях, административный контекст, дату выполнения, а также доказательства утверждения решения и выполнения последующих действий.

Если какой-либо из этих элементов исчезнет, решение всё ещё может быть технически воспроизводимым, но будет утрачена часть его способности пройти аудит и быть защитимым. И именно здесь лежат реальные риски.

Хорошим примером является проведение экспертизы ценности документов.

Представьте себе организацию, которая использует ИИ для поддержки экспертизы ценности документов. Предположим, что система ИИ рекомендует удалить серию документов (в западной терминологии «серия документов» примерно соответствует документам за ряд лет, подпадающим под одну статью номенклатуры дел или перечня – Н.Х.), - поскольку, согласно тому, как система была обучена, эти документы не имеют вторичной ценности (т.е. деловой, правовой, исторической и/или иной ценности по завершении их использования по прямому назначению – Н.Х.).

Спустя годы возникает судебный иск, и у организации появляется необходимость доказать, почему данное решение было правильным.

Будет ли достаточно просто повторно запустить модель ИИ? Скорее всего, нет. К этому времени модель уже обновилась, изменились обучающие данные, эволюционировали бизнес-правила; могла также измениться таксономия (система классификации – Н.Х.) документов. Даже применимые законодательно-нормативные требования могут уже отличаться.

На деле реконструировать придётся не только алгоритм, но и все обстоятельства принятия решения.

Юридическая фикция, которую мы сейчас создаём

Когда я опубликовал первую версию этих размышлений (см. https://www.linkedin.com/pulse/la-inteligencia-artificial-necesita-algo-m%25C3%25A1s-que-jhon-a-gonzalez-f--kqlye/ ), мой колумбийский друг Оскар Мендес Агирре (Oscar Méndez Aguirre) - главный инженер компании Tangelo Latam и профессор регионального университета им. Франсиско Хосе де Кальдаса (Universidad Distrital Francisco José de Caldas) - оставил комментарий, который со временем стал настоящей отправной точкой для данного поста. Он указал на то, что архивно-документационная наука не может позволить себе игнорировать:

«До тех пор, пока наличие сертифицированной технической воспроизводимости не станет обязательным требованием для систем высокого риска, мы будем создавать юридическую фикцию: мы будем исходить из предположения о возможности проведения аудита того, что на самом деле не в состоянии «пересчитать».»

Это утверждение вызывает дискомфорт, поскольку бьёт «не в бровь, а в глаз». Сертификация технической воспроизводимости - это не какое-то внутреннее упражнение в рамках обеспечения качества программного обеспечения; это необходимое условие, без которого любой последующий аудит является, в буквальном смысле слова, актом веры в организацию. Если система, классифицированная как система высокого риска, не способна продемонстрировать, что её вычисления воспроизводимы в контролируемых условиях, то всё, что мы на ней строим - прослеживаемость документов, цепочка ответственного хранения, доказательства утверждения решений - покоится на фундаменте, который никогда не был проверен.

Это предупреждение технического характера отражает, по своей сути, ту же проблему, которую дисциплина управления документами решает десятилетиями, подходя к этому вопросу с другой стороны: недостаточно, чтобы нечто было объяснимым; необходимо иметь возможность это нечто реконструировать со всеми подтверждающими доказательствами для любого, кто этого потребует и когда бы он этого ни потребовал.

(Окончание следует)

Джон Гонсалес (Jhon Alexander González Flórez)

Источник: LinkedIn
https://www.linkedin.com/pulse/la-auditabilidad-integral-el-requisito-olvidado-de-gonzalez-f--it0ce/ 

Уточнены Правила предоставления сведений, из единого федерального информационного регистра о населении РФ

Федеральный закон от 28 ноября 2025 года № 442-ФЗ «О внесении изменений в статью 13 Федерального закона «О кредитных историях» и статьи 4 и 11 Федерального закона «О едином федеральном информационном регистре, содержащем сведения о населении Российской Федерации»» дополнил статью 4 «Цели формирования и ведения федерального регистра сведений о населении, использования содержащихся в нем сведений» положением, согласно которому сведения, содержащиеся в федеральном регистре сведений о населении, используются в том числе в целях:

9) поддержания актуальности содержащейся в информационных ресурсах Центрального банка Российской Федерации информации о лицах, подлежащих идентификации и оценке в рамках реализации Центральным банком Российской Федерации функций и полномочий …  а также осуществления проверки информации, составляющей титульные части кредитных историй физического лица, содержащейся в Центральном каталоге кредитных историй, для выполнения функций, возложенных на Центральный банк Российской Федерации …

Постановлением Правительства РФ от 28 мая 2026 года № 612 были внесены изменения в постановление Правительства Российской Федерации от 9 октября 2021 г. № 1723 «Об утверждении Правил предоставления сведений, содержащихся в едином федеральном информационном регистре, содержащем сведения о населении Российской Федерации, в том числе перечня указанных сведений и сроков их предоставления, и перечня обезличенных персональных данных, содержащихся в едином федеральном информационном регистре, содержащем сведения о населении Российской Федерации».

Предоставление сведений будет осуществляться в том числе с использованием подсистемы «Портала управления данными» федеральной государственной информационной системы «Единая информационная платформа национальной системы управления данными» ( https://lkuv.gosuslugi.ru ) (п.9).

В качестве нормативно-правового обоснования предоставления содержащихся в регистре сведений Банк России (он же Центральный банк РФ), вместе с запросом о предоставлении доступа, должен будет предоставить следующие сведения и документы (п.12, пп. а(1)):

• нормативный правовой акт Российской Федерации с указанием положений, определяющих полномочия Центрального банка РФ, в целях реализации которых используются сведения, содержащиеся в федеральном регистре сведений о населении;
  
  
• нормативный акт Центрального банка РФ, определяющий порядок реализации полномочий Центрального банка РФ, указанных в абзаце втором настоящего подпункта (при наличии);

Предоставление Банку России сведений осуществляется оператором системы с учетом наличия доступа к сведениям в режиме «запрос – ответ» не позднее 5 рабочих дней со дня направления запроса о предоставлении сведений в порядке, определенном пунктами 19 и 20 настоящих Правил (17(1)).

Для решения практической проблемы идентификации малолетних детей, у которых может не быть собственной регистрации, в правила введен новый механизм (п.18), который устанавливает порядок определения территориальной принадлежности сведений о ребенке, не достигшем 14 лет, если в регистре нет данных о его адресе регистрации.

18. В случае отсутствия в федеральном регистре сведений о населении в отношении физического лица, не достигшего возраста 14 лет, сведений об адресе регистрации по месту жительства и месту пребывания гражданина Российской Федерации, а также сведений об адресе постановки на миграционный учет иностранного гражданина и лица без гражданства, временно или постоянно проживающих в Российской Федерации, принадлежность сведений о таком лице к территории определяется на основании сведений о месте рождения такого физического лица или на основании сведений об адресе регистрации по месту жительства и месту пребывания граждан Российской Федерации, а также сведений об адресе постановки на миграционный учет иностранного гражданина и лица без гражданства, временно или постоянно проживающих в Российской Федерации, иностранных граждан, временно пребывающих в Российской Федерации и осуществляющих в установленном порядке трудовую деятельность, содержащихся в федеральном регистре сведений о населении в отношении его родителей (одного из родителей). 

Основание определения принадлежности сведений, содержащихся в федеральном регистре сведений о населении, указывается при предоставлении сведений, содержащихся в федеральном регистре сведений о населении, в режиме рассылки органам государственной власти субъектов Российской Федерации, органам местного самоуправления в соответствии с пунктом 2 части 1 статьи 11 Федерального закона посредством использования директивных видов сведений.

Правила дополнены пунктом 18(1) который дает органам власти, получающим данные в режиме рассылки, право запрашивать «полный объем сведений». Это означает, что они могут получить все имеющиеся данные по интересующим их категориям на конкретную дату, включая исторические записи.
  
Условия для выполнения такого запроса:

• Направление официального мотивированного запроса в уполномоченный орган;
  
  
• Подтверждение того, что запрашиваемый объем данных соответствует полномочиям органа;
  
  
• Такой «полный объем» предоставляется однократно через единую систему межведомственного электронного взаимодействия (СМЭВ).
  
  18(1). «Органы и организации …, которым предоставляются сведения, содержащиеся в федеральном регистре сведений о населении в режиме рассылки, вправе обратиться в уполномоченный орган с официальным мотивированным запросом о предоставлении объема всех сведений, содержащихся в федеральном регистре сведений о населении на дату соответствующего запроса, включая сведения, внесенные в записи федерального регистра сведений о населении ранее, по перечням сведений, предоставляемых таким органу или организации в режиме рассылки …, при условии подтвержденного уполномоченным органом соответствия объема сведений, необходимого для реализации установленных нормативными правовыми актами Российской Федерации, нормативными правовыми актами субъектов Российской Федерации полномочий такого органа или организации запрашиваемому объему сведений (далее - полный объем сведений). Полный объем сведений такому органу или организации, направившим такой официальный мотивированный запрос, предоставляется оператором системы однократно посредством единой системы межведомственного электронного взаимодействия.
  
  Полный объем сведений органам … предоставляется с учетом определения принадлежности сведений к территории соответствующего субъекта Российской Федерации в соответствии с пунктом 18 настоящих Правил.»

Существенно переработан раздел III «Порядок предоставления сведений, содержащихся в федеральном регистре сведений о населении, физическому лицу или его законному представителю».
 
Также установлены сроки хранения сведений, предоставленных физическому лицу:

41. Оператор системы с использованием государственной информационной системы обеспечивает хранение, просмотр и возможность анализа сведений, предоставленных физическому лицу или его законному представителю, а также сведений о запросах, указанных в части 4 статьи 11 Федерального закона, в течение 3 лет со дня предоставления таких сведений.

Для справки: Раннее в документе были установлены следующие сроки хранения предоставленных по запросам сведений:

30. Оператор системы обеспечивает в государственной информационной системе:

а) статистический учет сведений, предоставленных с использованием единой системы межведомственного электронного взаимодействия, с указанием органов, организаций и лиц, которым предоставлены сведения, а также цели предоставления сведений;

б) хранение, просмотр и возможность анализа сведений, предоставленных с использованием единой системы межведомственного электронного взаимодействия, за исключением сведений, предоставленных в режиме «запрос – ответ», с указанием органов, организаций и лиц, которым предоставлены сведения, в течение 180 дней со дня предоставления сведений;

б(1)) хранение, просмотр и возможность анализа сведений, предоставленных с использованием единой системы межведомственного электронного взаимодействия в режиме «запрос – ответ», с указанием органов, организаций и лиц, которым предоставлены сведения, в течение 3 лет со дня предоставления сведений;

Мой комментарий: Движение от разрозненных ведомственных систем к единой, централизованной системе данных - общемировая тенденция. В России этот переход осуществляется уже в течение многих лет, в том числе посредством создания таких инструментов, как Федеральный регистр населения.

Использование сведений из регистра Банком России позволит повысить достоверность банковских данных и собственных информационных ресурсов, а также усилить работу по борьбе с мошенничеством в финансовой сфере.

Новый пункт 41 устанавливает отдельный срок хранения для сведений, запрошенных самим физическим лицом или его законным представителем - 3 года со дня предоставления. Это усиливает контроль гражданина за историей обращения к его данным.

Источник: Консультант Плюс 
https://www.consultant.ru/cons/cgi/online.cgi?req=doc&base=LAW&n=535299 

Принят Федеральный закон «О поддержке развития технологий искусственного интеллекта в Российской Федерации»

Принят федеральный закон от 26 июля 2026 года №243-ФЗ «О поддержке развития технологий искусственного интеллекта в Российской Федерации», который, в соответствии со статьей 13, вступает в силу с 1 сентября 2026 года (за исключением отдельных положений, вступающих в силу в иные сроки).

Содержание закона следующее: 

Статья 1. Предмет регулирования настоящего Федерального закона

Статья 2. Цели настоящего Федерального закона

Статья 3. Основные понятия, используемые в настоящем Федеральном законе

Статья 4. Общие принципы правового регулирования отношений в сфере разработки, внедрения и применения больших фундаментальных моделей искусственного интеллекта

Статья 5. Полномочия Президента Российской Федерации, Правительства Российской Федерации, федеральных органов исполнительной власти, иных государственных органов, государственных корпораций, Центрального банка Российской Федерации в сфере разработки, внедрения и применения больших фундаментальных моделей искусственного интеллекта

Статья 6. Обеспечение развития суверенных и национальных больших фундаментальных моделей искусственного интеллекта

Статья 7. Меры поддержки разработчиков суверенных и (или) национальных больших фундаментальных моделей искусственного интеллекта

Статья 8. Обязанности разработчиков суверенных и (или) национальных больших фундаментальных моделей искусственного интеллекта

Статья 9. Маркировка информационного материала, созданного с применением больших фундаментальных моделей искусственного интеллекта

Статья 10. Требования к использованию результатов интеллектуальной деятельности при разработке и применении больших фундаментальных моделей искусственного интеллекта

Статья 11. Ответственность за правонарушения в сфере разработки, внедрения и применения больших фундаментальных моделей искусственного интеллекта

Статья 12. Международное сотрудничество в сфере разработки, внедрения и применения больших фундаментальных моделей искусственного интеллекта

Статья 13. Порядок вступления в силу настоящего Федерального закона

Закон впервые на федеральном уровне закрепляет ряд базовых понятий, в том числе даёт определение термина «искусственного интеллект», - а также вводит категории «больших фундаментальных моделей ИИ». 

Для справки: Статья 3 «Основные понятия, используемые в настоящем Федеральном законе»

Для целей настоящего Федерального закона используются следующие основные понятия:

1) искусственный интеллект - комплекс технологических решений, позволяющий имитировать когнитивные функции человека (включая способность самостоятельно совершенствовать свои функции, повышать точность решений за счет анализа новых данных и выполнять поиск решений без заранее заданного алгоритма) и получать при выполнении конкретных задач результаты, сопоставимые с результатами интеллектуальной деятельности человека или превосходящие их. Комплекс технологических решений включает в себя информационно-коммуникационную инфраструктуру, программное обеспечение (в том числе такое, в котором используются методы машинного обучения), процессы и сервисы по обработке данных и поиску решений;

2) большая фундаментальная модель искусственного интеллекта - программа для электронных вычислительных машин (их составных частей), предназначенная для выполнения интеллектуальных задач на уровне, сопоставимом с результатами интеллектуальной деятельности человека или превосходящем их, использующая алгоритмы и обучающаяся (ранее обученная) на составах данных для выведения (распознавания) закономерностей, предоставления информации, принятия решений или прогнозирования результатов по определенным человеком целям, одновременно являющаяся основой для создания и доработки различных видов программного обеспечения, содержащая не менее 1 миллиарда параметров и применяемая для выполнения большого количества различных задач;

В соответствии с документом устанавливаются две категории моделей ИИ:

• Суверенные модели – модели, полностью разрабатываемые и эксплуатируемые под контролем российских юридических лиц с размещением всех процессов в российских центрах обработки данных;
  
  
• Национальные модели – модели, допускающие использование отдельных зарубежных компонентов с открытой лицензией.

Закон предусматривает меры государственной поддержки для разработчиков отечественных моделей, включая возможный доступ к данным государственных информационных систем для обучения нейросетей.

Также устанавливаются правила в отношении авторских прав на сгенерированный контент: сервисы должны информировать пользователей о правообладателях и условиях использования материалов. Разработчикам разрешается использовать объекты авторского права для обучения нейросетей при условии правомерного доступа к ним.

Основным регулятором в данной области становится Правительство РФ, которое должно в кратчайшие сроки (ст.5):

• Определить список критических сфер для обязательного применения суверенных моделей;
  
  
• Утвердить порядок доступа к государственным данным;
  
  
• Сформулировать правила подтверждения соответствия моделей российским духовно-нравственным ценностям;
  
  
• Разработать инфраструктурный план.

По мнению разработчиков законопроекта, «реализация положений, предусмотренных законопроектом, создаст основу для дальнейшего развития отрасли и ускоренного внедрения ИИ в экономику и государственное управление, повышая эффективность и качество жизни населения, при сохранении национальных интересов».

Источник: Консультант Плюс / сайт Государственной Думы
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=540336
https://sozd.duma.gov.ru/bill/1271570-8