США: Новое руководство ISOO предписывает федеральным органам предоставлять подрядчикам более подробные разъяснения по вопросам работы с контролируемой несекретной информацией

Данная заметка была опубликована 11 сентября 2026 года на сайте юридической фирмы Crowell.

Мой комментарий: Здесь речь идёт о руководстве, выпущенном Офисом по контролю над информационной безопасностью (Information Security Oversight Office, ISOO, https://www.archives.gov/isoo ), входящим в структуру Национальных Архивов США. Речь идёт о «контролируемой несекретной информации» (Controlled Unclassified Information, CUI), которая примерно соответствует российским грифам «для служебного использования» и «служебная тайна». Подробнее о CUI см. подборку моих постов на блоге https://rusrim.blogspot.com/search/label/CUI.

2 сентября 2026 года Офис по контролю над информационной безопасностью (Information Security Oversight Office, ISOO) Национальных Архивов США (NARA) выпустил два новых уведомления (страница уведомлений располагается по адресу https://www.archives.gov/isoo/notices ), касающихся «контролируемой несекретной информации» (Controlled Unclassified Information, CUI): 

• уведомление ISOO № 2026-07 «Руководство для агентов федерального правительства по внедрению программы управления контролируемой несекретной информацией» (Executive Agent Guidance for Implementation of the Controlled Unclassified Information Program, см. https://www.archives.gov/files/isoo/notices/isoo-notice-2026-07-executive-agent-guidance-on-implementation-of-cui-program-508.pdf ); и 
  
  
• уведомление ISOO № 2026-08 «Программа управления контролируемой несекретной информации (CUI): Пересмотренные требования к исключениям» (Controlled Unclassified Information (CUI) Program Revised Requirements for Waivers, https://www.archives.gov/files/isoo/notices/isoo-notice-2026-08-cui-program-revised-requirements-for-waivers-508.pdf ).

«Контролируемая несекретная информация» (CUI) - это, согласно определению, данному в разделе 2002.4(h) части 32 Свода федеральных нормативных актов США (CFR, см. https://www.ecfr.gov/current/title-32/part-2002#p-2002.4(h) ) - категория информации, создаваемой или находящейся во владении федерального правительства (либо создаваемой или находящейся во владении сторонней организации по поручению или от имени федерального правительства), которая требует защиты или контроля распространения, но не относится к категории секретной информации. 

Контракты с федеральным правительством часто обязывают подрядчиков применять повышенные меры кибербезопасности и физической защиты для обеспечения сохранности CUI. Предполагается, что федеральные органы исполнительной власти должны информировать подрядчиков о том, какая именно относящаяся к контракту информация имеет статус CUI. Однако на практике подрядчикам зачастую сложно определить, что относится к «контролируемой несекретной информации». Кроме того, положения контрактов о защите и порядке обращения с CUI часто различаются в зависимости от конкретных программ и ведомств, а процессы выявления CUI-информации не унифицированы и порой недостаточно ясны.

Уведомление ISOO № 2026-07 «Руководство для агентов федерального правительства по внедрению программы управления контролируемой несекретной информацией» стремится решить некоторые из этих проблем. Ни данное уведомление, ни сопутствующее ему уведомление, касающееся исключений из требований к CUI (№ 2026-08), не адресованы и не применимы непосредственно к подрядчикам (оба документа предназначены для федеральных органов исполнительной власти), - однако они, тем не менее, может быть полезны и для подрядчиков. 

Важно отметить, что в уведомлении ISOO № 2026-07 федеральным органам исполнительной власти предписывается, в рамках «всех контрактов, требующих доступа к контролируемой несекретной информации», предоставлять генеральным подрядчикам как минимум следующие разъяснения:

• Выявление / идентификация конкретной информации, предоставленной государственным органом и отнесенной к категории CUI;
  
  
• Порядок отнесения созданной подрядчиком информации к категории CUI;
  
  
• Порядок оспаривания отнесения информации к категории CUI;
  
  
• Требования к обучению и соответствующие ресурсы;
  
  
• Требования к доступу;
  
  
• Требования к маркировке;
  
  
• Требования к обеспечению защиты;
  
  
• Требования к снятию с контроля и к проведению уничтожения CUI-информации;
  
  
• Требования к отчетности;
  
  
• Требования к проведению самопроверок;
  
  
• Порядок информирования о случаях ненадлежащего использования CUI; и
  
  
• Санкции за ненадлежащее использование CUI.

В уведомлении ISOO № 2026-07 содержатся дополнительные подробности по ряду указанных вопросов. Например, уведомление предписывает федеральным органам своевременно снимать статус CUI, когда информация более не требует защиты, а также «для всех видов CUI-информации указывать конкретную дату или событие, при наступлении которых снимается статус CUI». Кроме того, данный документ обязывает федеральные органы исполнительной власти внедрить процессы своевременного доведения до сведения заинтересованных сторон решений, принятых в случае оспаривания статуса CUI (т.е. решений, принятых по результатам рассмотрения возражений относительно отнесения информации к категории CUI).

Ключевые выводы для подрядчиков федеральных органов власти

Данное руководство служит очередным свидетельством того, что федеральной правительство США стремится более четко доводить до подрядчиков требования по обращению с CUI-информацией (контролируемой несекретной информацией). 

Ранее этим летом Совет по правилам федеральных закупок (Federal Acquisition Regulatory Council, FAR Council) опубликовал обновленный проект долгожданного «правила FAR в отношении CUI» (см. https://www.crowell.com/en/insights/client-alerts/last-call-far-cui-rule-draft-language-provides-an-opportunity-for-contractors-to-weigh-in-by-this-week ), предусматривающий введение новой стандартной формы, в которой будут перечислены все виды CUI, с которыми предполагается работать в ходе исполнения контракта. 

В то время. пока идет рассмотрение замечаний и предложений, поступивших на предложенный проект правилу, новые уведомления ISOO могут стать первым шагом к обеспечению большей ясности в отношении требований к работе с CUI в рамках контрактов. 

По мере того как федеральные ведомства начнут применять эти рекомендации, подрядчикам, со своей стороны, следует рассмотреть возможность инициативного запроса предусмотренной данным документом информации. Получение таких четких разъяснений в письменном виде на начальном этапе договорных отношений поможет четко определить обязательства по исполнению существующих требований и минимизировать риски, связанные как с избыточной, так и с недостаточной защитой CUI-информации.

Источник: сайт фирмы Crowell
https://www.crowell.com/en/insights/client-alerts/new-isoo-guidance-directs-federal-agencies-to-provide-more-cui-guidance-to-contractors  

Великобритания: Сохранение электронной почты увольняющихся сотрудников

На форумах для специалистов по управлению документами коллеги временами задают интересные вопросы и получают заслуживающие внимания ответы от специалистов с богатым практическим опытом. 

В листе рассылки RECORDS-MANAGEMENT-UK@JISCMAIL.AC.UK 1 сентября 2026 года был задан следующий вопрос:

Лорен Кук (Lauren Cook): Когда сотрудник покидает Вашу компанию, его учётная запись, вероятно, блокируется или удаляется. В течение какого срока после увольнения сотрудника сохраняются его сообщения электронной почты? Есть ли у Вас процедура продления или сокращения этого срока?

На вопрос ответила Рейчел Митчелл (Rachel Mitchell – на фото), специалист шотландской консалтинговой компании Risio Solutions Ltd, специализирующейся на управлении информацией, защите данных и управлении документами.

Рейчел Митчелл: Как все мы знаем в сфере управления документами, электронная почта - это одновременно и благословение, и проклятие. 11 лет назад я написала магистерскую диссертацию по теме управления электронной почтой, - и как мне кажется, с тех пор немногое изменилось! Проблемные вопросы, судя по всему, остались прежними.

В настоящее время я не работаю на какую-либо конкретную организацию; я стараюсь помогать организациям ориентироваться в проблемах работы с электронной почтой в более широких рамках управления внутренними и внешними коммуникациями (поощряя, например, использование чатов в каналах Teams для внутренних обсуждений вместо электронной почты) …

Вот моё текущее понимание и наилучший, с моей точки зрения, подход к работе с электронной почтой в случае, если она хранится в Outlook:

Когда сотрудник увольняется, его учетная запись в Microsoft 365 обычно блокируется, а его лицензия Exchange Online удаляется в рамках процедуры увольнения. Если не применяется политика в отношении сроков хранения, временный запрет на уничтожение (legal hold – такие запреты обычно связаны с идущими или ожидаемыми судебными спорами – Н.Х.)  или иной механизм обеспечения сохранности, то Microsoft 365 сохраняет почтовый ящик в течение 30 дней после отзыва лицензии или удаления учётной записи. В течение этого периода почтовый ящик можно восстановить, заново прикрепив лицензию или восстановив учётную запись пользователя. По истечении 30-дневного периода почтовый ящик и всё его содержимое безвозвратно удаляются. 

С учётом этого, у организации должен быть документированный процесс определения того, как следует поступить с почтовым ящиком увольняющегося сотрудника - например:

• разрешить удаление почтового ящика по истечении 30 дней;
  
  
• преобразовать его в общий почтовый ящик для обеспечения дальнейшего доступа к данным в ходе деловой деятельности;
  
  
• сохранять и после истечения 30 дней с использованием политик хранения Microsoft Purview;
  
  
• сохранять в течение срока действия временного запрета на уничтожение; или
  
  
• сохранять в течение более длительного периода в соответствии с подходом вроде метода «Верхушка пирамиды» (Capstone), применяемого в отношении переписки старших должностных лиц и ключевых лиц, принимающих решения.

На мой взгляд, электронная почта в индивидуальных учётных записях должна управляться на протяжении всего её жизненного цикла в соответствии с установленной политикой в отношении сроков хранения, - не полагаясь на стандартные сроки Microsoft проведения уничтожения по окончании срока действия учётной записи. 

Организации следует рассмотреть вопрос о целесообразности использования подхода типа «Верхушка пирамиды» (Capstone), при котором сроки хранения привязаны к роли и связанным с принятием решений должностным обязанностям конкретного сотрудника. Например, почтовые ящики, принадлежащие руководителю службы внутреннего аудита, руководителям служб, директорам по направлениям деятельности и другим высокопоставленным лицам, принимающим решения, могут потребовать более длительных сроков хранения, чем почтовые ящики рядовых сотрудников, - что отражает большую доказательную, историческую ценность и ценность для подотчетности создаваемых ими документов.

Организация также должен обеспечить, чтобы в рамках процедуры увольнения все увольняющиеся сотрудники были обязаны проанализировать содержимое своих почтовых ящиков и разделов OneDrive, и перенести всю деловую информацию, все материалы и документы, которые следует сохранить, в соответствующие корпоративные хранилища. Важная информация не должна оставаться исключительно в личном почтовом ящике или личном хранилище сотрудника. Такой подход помогает обеспечить сохранение доступности документов, возможности поиска по ним и применение к ним установленных организацией сроков хранения и мер управления и после увольнения сотрудника.

Таким образом, решения в отношении сроков хранения должны приниматься на основе политики организации в сфере управления документами и указаний по срокам хранения и действиям по их истечении, - а не на основе статуса занятости сотрудника. Организация также должна быть в состоянии объяснить, как обеспечивается доступность подлежащей сохранению электронной почты после отключения учётной записи, и каким образом существующие системы резервного копирования поддерживают (но не заменяют!) формально установленные правила обеспечения сохранности и управления документами.

Я всегда говорю: сначала определите свои деловые требования, а затем найдите наилучший способ их удовлетворения с помощью технологий - но не наоборот.

Рейчел Митчелл (Rachel Mitchell)

Источник: Новостная рассылка RECORDS-MANAGEMENT-UK@JISCMAIL.AC.UK 

Порядок уничтожения по истечении сроков хранения документов, связанных с подготовкой и проведением выборов депутатов Государственной Думы

Центральная избирательная комиссия России (ЦИК) постановлением от 26 августа 2026 года № 44/312-9 утвердила «Порядок уничтожения по истечении сроков хранения документов, связанных с подготовкой и проведением выборов депутатов Государственной Думы Федерального Собрания Российской Федерации девятого созыва», документ был согласован с Федеральным архивным агентством (Росархив) (письмо от 17 августа 2026 г. № 12/3573-Ю). Содержание документа следующее:

1. Общие положения

2. Оформление уничтожения документов и других носителей информации

3. Уничтожение документов, созданных на бумажном носителе и в машиночитаемом виде

Порядок устанавливает требования к уничтожению документов, сроки хранения которых истекли, не имеющих научно-исторической ценности, утративших свое практическое значение и не подлежащих архивному хранению, созданных как на бумажном носителе, так и в машиночитаемом виде (1.1).

Уничтожение документов производится по истечении сроков их хранения только после проведения экспертизы их ценности и утверждения описей дел постоянного хранения Экспертно-проверочной комиссией Государственного архива Российской Федерации или соответствующих уполномоченных исполнительных органов субъектов Российской Федерации в сфере архивного дела (п.1.3), за исключением документов, указанных в пунктах 5, 9, 12, 15 «Порядка».
 
Оформление уничтожения документов и носителей информации

Экспертная комиссия (центральная экспертная комиссия), образованная в соответствующей избирательной комиссии для проведения экспертизы ценности документов, осуществляет отбор на уничтожение документов, сроки хранения которых истекли (п.2.1).

Для подтверждения факта уничтожения на отобранные к уничтожению документы и носители информации составляется «Акт о выделении к уничтожению архивных документов, не подлежащих хранению» (2.2). Акт составляется раздельно на каждый способ уничтожения документов / носителей информации (п.2.3).

Акт подписывается членами экспертной комиссии (центральной экспертной комиссии), а также руководителем архива (лицом, ответственным за архив), и утверждается председателем или секретарем соответствующей избирательной комиссии (п.2.4). 

При уничтожении документов должна быть исключена возможность ознакомления с ними посторонних лиц, неполного их уничтожения, восстановления текста документа (п.2.5).

Уничтожение производится специализированной организацией в присутствии представителя (представителей) соответствующей избирательной комиссии либо избирательной комиссией (п.2.6).
 
Уничтожение документов, созданных на бумажном носителе и в машиночитаемом виде
 
Для документов, созданных на бумажном носителе, в том числе содержащих конфиденциальную информацию, основными методами уничтожения являются (п.3.1):

• сжигание;
  
  
• измельчение на фрагменты (шредирование), исключающее прочтение текста;
  
  
• химическая обработка.

Срок хранения документов в машиночитаемом виде соответствует сроку хранения соответствующих документов на бумажном носителе (п.3.2).

Мой комментарий: В общем случае правильно то, что срок хранения документов не зависит от вида носителя. Однако сейчас достаточно часто встречаются ситуации, когда по объективным причинам ценность документов (или их копий) в электронном виде может намного превышать ценность бумажных оригиналов – например, если на основе массовых документов небольшого срока хранения формируется полезный информационный ресурс с мощными средствами поиска и аналитики, помогающий организации в ведении её деловой деятельности. Ввиду этого формально решать вопрос о сроках хранения неправильно, и полезно оценивать реальную ценность документов на носителях разных видов.

Для документов в машиночитаемом виде основным методом уничтожения является механический, связанный с повреждением основы - физического носителя информации (п.3.3). Уничтожение производится путем:

• механического нарушения целостности внешнего носителя, не позволяющего произвести считывание или восстановление информации, содержавшейся на данном носителе (надлом, физическое деформирование, разрезание, сжигание, механическое уничтожение, сдача предприятию по утилизации вторичного сырья);
  
  
• с предварительным удалением содержавшейся на носителе информации путем стирания на устройстве гарантированного уничтожения информации либо иным способом, обеспечивающим полное удаление данных с электронных носителей.

Уничтожение документов (данных), связанных с проведением дистанционного электронного голосования на выборах депутатов, сохраненных на внешних носителях информации и (или) в программно-техническом комплексе дистанционного электронного голосования, осуществляется по истечении срока их хранения и в соответствии с требованиями, установленными «Порядком дистанционного электронного голосования на выборах», назначенных на 20 сентября 2026 года, утвержденным постановлением Центральной избирательной комиссии Российской Федерации от 24 июня 2026 года № 10/98-9 (п.3.4).

Мой комментарий: Процедура уничтожения избирательной документации - это строго регламентированный законом завершающий этап избирательного процесса. Основное значение данной процедуры заключается в следующем:

• Окончательное завершение выборов: Процедура уничтожения представляет собой логическое завершение всех мероприятий по подготовке и проведению голосования. После того как все возможные судебные споры урегулированы, а установленные сроки хранения истекли, документы (бюллетени, списки избирателей, подписные листы) подлежат уничтожению, поскольку они утратили свою ценность;
  
  
• Гарантия конфиденциальности: Главная задача уничтожения - сделать восстановление информации невозможным. Документы строгой отчетности (в частности, избирательные бюллетени) уничтожаются таким образом, чтобы исключить возможность ознакомления с ними посторонних лиц. Для этого используется промышленное оборудование (например, шредеры с высокой степенью измельчения), а процесс происходит в присутствии членов избирательной комиссии.

Источник: Консультант Плюс
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=542938

ИСО и МЭК: Идёт публичное обсуждение новых технических спецификаций ISO/IEC DTS 22443 «Искусственный интеллект – Рекомендации по учёту социальных вопросов и этических соображений»

В августе 2026 года сайт Международной организации по стандартизации (ИСО) сообщил о начале публичного обсуждения новых технических спецификаций ISO/IEC DTS 22443 «Информационные технологии – Искусственный интеллект – Рекомендации по учёту социальных вопросов и этических соображений» (Information technology - Artificial intelligence - Guidance on addressing societal concerns and ethical considerations) объёмом 44 страницы основного текста, см. https://www.iso.org/standard/87119.html . Публичное обсуждение завершится 21 октября 2026 года.

Документ подготовлен подкомитетом SC42 «Искусственный интеллект» (Artificial intelligence), входящим в состав Объединенного технического комитета JTC1 «Информационные технологии» Международной организации по стандартизации (ИСО) и Международной электротехнической комиссии (МЭК).

Во вводной части документа отмечается:

«Искусственный интеллект (ИИ) всё больше становится ключевым компонентом в различных секторах, стимулируя инновации и повышая эффективность. В то же время внедрение ИИ порождает множество вопросов, связанных с обеспокоенностью общественности и этическими аспектами, которые требуют тщательного анализа и управления.

Этические аспекты могут быть явными или неявными в зависимости от того, насколько чётко они сформулированы и поняты в конкретном контексте, в рамках конкретных культурных норм и политик организаций.

Настоящий документ содержит рекомендации по учёту обеспокоенности общественности и этических аспектов (не предлагая каких-либо оценочных суждений) при разработке и внедрении систем ИИ.

Системы ИИ потенциально способны оказать существенное влияние на отдельных людей и на общество в целом, которое может быть как положительным, так и негативным. В документе подчеркивается важность интеграции учёта обеспокоенности общественности и этических аспектов в процессы и механизмы принятия решений организации, тем самым способствуя укреплению доверия и обеспечению подотчётности. Кроме того, документ стремится помочь организациям ответственно управлять системами ИИ, предлагая концепцию выявления и принятия во внимание обеспокоенности общественности и этических аспектов на всех этапах жизненного цикла таких систем.

Уникальные особенности систем ИИ могут вызывать дополнительную обеспокоенность по сравнению с традиционными системами. Сюда входят проблемы обеспечения прозрачности и справедливости, а также вопросы потенциального социального воздействия систем ИИ. Принимая эти факторы во внимание, организации могут добиться того, чтобы их системы ИИ не только отвечали техническим и эксплуатационным требованиям, но и соответствовали более широким общественным интересам и этическим нормам.

Таким образом, настоящий документ выполняет роль всестороннего руководства для организаций, стремящихся ориентироваться в сложном этическом ландшафте искусственного интеллекта, - предлагая им стратегии и практики, обеспечивающие положительный вклад систем ИИ в развитие общества при одновременной минимизации возможных негативных последствий.

… В настоящем документе содержатся рекомендации о том, каким образом организация может выявлять и учитывать озабоченность общественности и этические аспекты на протяжении жизненного цикла систем ИИ, потенциально способных нанести вред отдельным людям и обществу в целом.

Документ дополняет существующие стандарты по вопросам стратегического управления ИИ, системы менеджмента ИИ и оценки воздействия ИИ. Он применим в разрабатывающих или использующих системы ИИ организациях любого типа, вне зависимости от их размера, типа или характера деятельности.»

Содержание документа следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Стратегии выявления общественных опасений и этических аспектов, связанных с системами ИИ
5. Практические подходы к учету общественных опасений и этических аспектов, связанных с системами ИИ
6. Жизненный цикл системы ИИ
Приложение A (справочное): Варианты применения (для сведения)
Приложение B (справочное): Рекомендации по учету общественных опасений и этических аспектов на каждом этапе жизненного цикла системы ИИ
Библиография

Источник: сайт ИСО 
https://www.iso.org/standard/87119.html 
https://standards.iteh.ai/catalog/standards/iso/79baf995-46df-4f29-a958-a6df6feef7dd/iso-iec-dts-22443