Минцифры определило угрозы безопасности персональных данных в информационных системах, нормативно-правовое регулирование которых оно осуществляет

Приказом Минцифры России от 21 декабря 2020 №734 определены «Угрозы безопасности персональных данных, актуальных при обработке персональных данных в информационных системах персональных данных, эксплуатируемых в сферах деятельности, нормативно-правовое регулирование которых осуществляется Министерством цифрового развития, связи и массовых коммуникаций Российской Федерации». Документ вступает в силу 12 июня 2021 года.

Для справки: Федеральный закон от 27.07.2006 №152-ФЗ «О персональных данных»

Статья 19. Меры по обеспечению безопасности персональных данных при их обработке

5. Федеральные органы исполнительной власти, осуществляющие функции по выработке государственной политики и нормативно-правовому регулированию в установленной сфере деятельности, органы государственной власти субъектов Российской Федерации, Банк России, органы государственных внебюджетных фондов, иные государственные органы в пределах своих полномочий принимают нормативные правовые акты, в которых определяют угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных, эксплуатируемых при осуществлении соответствующих видов деятельности, с учетом содержания персональных данных, характера и способов их обработки.

Угрозами безопасности персональных данных (ПДн), актуальными при их обработке в информационных системах ПДн, эксплуатируемых в сферах деятельности, нормативно-правовое регулирование которых осуществляется Министерством цифрового развития, связи и массовых коммуникаций РФ, являются угрозы:

• Связанные с особенностями функционирования технических, программно-технических и программных средств, обеспечивающих хранение, обработку и передачу информации;
  
  
• Несанкционированного доступа (воздействия) к отчуждаемым носителям ПДн, включая переносные персональные компьютеры пользователей информационных систем;
  
  
• Воздействия вредоносного кода и (или) вредоносной программы, внешних по отношению к информационным системам;
  
  
• Несанкционированного доступа (воздействия) к ПДн лицами, обладающими полномочиями в ИС, в том числе в ходе создания, развития, ввода в эксплуатацию, эксплуатации и вывода из эксплуатации информационных систем, и дальнейшего хранения содержащейся в их базах данных информации;
  
  
• Использования методов воздействия на лиц, обладающих полномочиями в ИС;
  
  
• Несанкционированного доступа (воздействия) к ПДн лицами, не обладающими полномочиями в ИС, с использованием уязвимостей в организации защиты ПДн;
  
  
• Несанкционированного доступа (воздействия) к ПДн лицами, не обладающими полномочиями в ИС, с использованием уязвимостей в программном обеспечении ИС;
  
  
• Угрозы несанкционированного доступа (воздействия) к персональным данным лицами, не обладающими полномочиями в информационных системах, с использованием уязвимостей в обеспечении защиты сетевого взаимодействия и каналов передачи данных;
  
  
• Несанкционированного доступа (воздействия) к персональным данным лицами, не обладающими полномочиями в информационных системах, с использованием уязвимостей в обеспечении защиты вычислительных сетей информационных систем;
  
  
• Несанкционированного доступа (воздействия) к ПДн лицами, не обладающими полномочиями в ИС, с использованием уязвимостей, вызванных несоблюдением требований по эксплуатации средств защиты информации;
  
  
• Целенаправленных действий с использованием аппаратных и (или) программных средств с целью нарушения безопасности защищаемых с использованием средств криптографической защиты информации ПДн или создания условий для этого, определяемые операторами ИС в соответствии с Составом и содержанием организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством РФ требований к защите персональных данных для каждого из уровней защищенности, утвержденным приказом Федеральной службы безопасности РФ от 10 июля 2014 г. №378.

Источник: Консультант Плюс
http://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=385466