Опубликован «Технический отчет по стандартам аутентификации в сфере ИИ и мультимедиа - Анализ ландшафта стандартизации»

Данный небольшой пост ведущего мирового эксперта в области управления контентом и документных файловых форматов (особенно PDF), председателя технического подкомитета ИСО TC171/SC2 Леонарда Розентоля (Leonard Rosenthol – на фото) был опубликован 13 июля 2026 года в социальной сети LinkedIn.

На прошлой неделе инициатива «Сотрудничество в области стандартов аутентичности ИИ и мультимедиа» (AI and Multimedia Authenticity Standards Collaboration, AMAS), в рамках которой сотрудничают международные органы по стандартизации ИСО, МЭК и МСЭ, опубликовала второе издание своего технического документа. В нём представлена информация об обновлении ландшафта стандартов в этом секторе – появилось множество дополнений, а также проведена определённая консолидация материалов и отмечены новые направления исследований.

Как со-руководитель направления AMAS по технико-технологическим вопросам, я работал над этим документом в течение года. Пожалуйста, ознакомьтесь с ним!

Леонард Розентоль (Leonard Rosenthol)

Мой комментарий: Речь идёт о 2-й редакции Технической публикации (Technical Paper) под названием «Технический отчет по стандартам аутентификации в сфере ИИ и мультимедиа - Анализ ландшафта стандартизации» (Technical report on AI and multimedia authenticity standards - Mapping the standardisation landscape) объёмом 36 страниц, см. https://s41721.pcdn.co/wp-content/uploads/2022/06/IEC-ISO-ITU-Technical-Report-on-AI-and-Multimedia-Authenticity-Standards_Edition2.pdf 

Об инициативе «Сотрудничество в области стандартов аутентичности ИИ и мультимедиа» (AI and Multimedia Authenticity Standards Collaboration, AMAS) говорится, что эта крупная глобальная инициатива, которая выполняется под руководством Всемирной кооперации органов по стандартизации (World Standards Cooperation), участниками которой являются ИСО, МЭК и МСЭ. Инициатива объединяет технологических лидеров (таких, например, как компании Adobe и Microsoft), разработчиков стандартов и разработчиков политик в борьбе с высокотехнологичными фальшивками-дипфейками и дезинформацией посредством глобальной технической интеоперабельности и согласования политик. Она продвигает стандартизацию в быстро развивающейся области медиаконтента, создаваемого и изменяемого с помощью ИИ. Выявляя пробелы и стимулируя разработку новых стандартов, инициатива поддерживает прозрачные практики, принимающие во внимание защиту персональных данных и уважающие права человека.

Во вводной части документа отмечается:

«Данная техническая публикация является обновленной версией оригинального документа, опубликованного в 2025 году. Она представляет собой всесторонний обзор текущего ландшафта стандартов и спецификаций, относящихся к аутентичности цифровых медиа-материалов и искусственному интеллекту. 

Стандарты классифицируются по пяти ключевым группам: происхождение контента, доверие и подлинность, идентификаторы активов, декларации прав и водяные знаки. 

В документе для каждого стандарта приводится его краткое описание, а также даётся ссылка на более подробную информацию. В нем также указаны пробелы в экосистеме, которые по-прежнему требуют усилий в плане стандартизации.

Сопоставляя разработки различных организаций и групп по стандартизации (Standard Development Organizations, SDO), мы стремимся выявить пробелы и возможности для дальнейшей стандартизации. Эти результаты могут стать ценным ресурсом для заинтересованных сторон, стремящихся сориентироваться в сложной экосистеме стандартов на стыке искусственного интеллекта и аутентичности цифровых медиа-материалов, а также внедрять передовые методы для защиты аутентичности цифровых активов и связанных с ними прав. 

В выводах подчеркивается критически-важная роль надёжных спецификаций и стандартов для укрепления доверия и подотчетности в контексте эволюционирующего цифрового ландшафта.»

Содержание документа следующее:

Резюме для руководства
Об инициативе «Сотрудничество в области стандартов аутентичности ИИ и мультимедиа» (AI and Multimedia Authenticity Standards Collaboration, AMAS)
1. Введение
2. Категории стандартов
3. Обзор спецификаций
4. Карта стандартизации
5. Взаимосвязанные стандарты
6. Анализ пробелов
7. Выводы и дальнейшие шаги
Приложение A: Таблица категоризации стандартов и спецификаций
Приложение B: Таблица поддержки типов мультимедиа

Источник: сайт LinkedIn
https://www.linkedin.com/posts/lrosenthol_last-week-the-ai-and-multimedia-standards-share-7482408230464356352-5A_4/ 
https://s41721.pcdn.co/wp-content/uploads/2022/06/IEC-ISO-ITU-Technical-Report-on-AI-and-Multimedia-Authenticity-Standards_Edition2.pdf 

Правила проверки и обновления сведений, размещаемых в «Единой системе идентификации и аутентификации»

Правительство Российской Федерации постановлением от 03 апреля 2026 года №372 утвердило «Правила проверки и обновления сведений, размещаемых в федеральной государственной информационной системе «Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме», с использованием государственных информационных систем (Правила проверки и обновления сведений)».

Положения Правил в части обновления с использованием государственной информационной системы «Единая централизованная цифровая платформа в социальной сфере» сведений из документов, подтверждающих полномочия физических лиц, являющихся законными представителями физических лиц, не достигших возраста 14 лет, и физических лиц, признанных недееспособными в порядке, установленном гражданским процессуальным законодательством, применяются при наличии технической возможности (п.3).

Размещение в электронной форме в ЕСИА сведений, необходимых для регистрации физического лица в ней, и иных сведений, если такие сведения предусмотрены федеральными законами, осуществляется после проведения идентификации при личном присутствии физического лица с его согласия и на безвозмездной основе (п.2):

• Банками; 
  
  
• Многофункциональными центрами предоставления государственных и муниципальных услуг, и
  
  
• Иными организациями в случаях, определенных федеральными законами, 

Проверка сведений проводится в ходе регистрации в автоматическом режиме путем запроса, направляемого посредством ЕСИА в соответствующую государственную информационную систему с использованием единой системы межведомственного электронного взаимодействия (п.3).

Срок проверки сведений, размещаемых в ЕСИА, с использованием государственных информационных систем не может превышать один календарный день с момента направления в соответствующую ГИС запроса.

Федеральный орган исполнительной власти, осуществляющий функции по выработке и реализации государственной политики и нормативно-правовому регулированию в сфере внутренних дел, иные государственные органы, органы государственных внебюджетных фондов направляют в ЕСИА сведения о физических лицах в целях их обновления (п.4).

Обновление сведений в регистрах ЕСИА с использованием ГИС осуществляется автоматически на основании сведений, полученных из соответствующих государственных информационных систем (п.5).

МВД, иные государственные органы, органы государственных внебюджетных фондов в случае изменения уникальных сведений о физическом лице, в том числе сведений о наличии у него полномочий выступать законным представителем физического лица, не достигшего возраста 14 лет, или физического лица, признанного недееспособным в порядке, установленном гражданским процессуальным законодательством, в ГИС, на ведение которых указанные органы уполномочены в соответствии с федеральными законами, актами Президента РФ и актами Правительства РФ, направляют посредством СМЭВ сведения о физических лицах в целях их обновления в регистрах ЕСИА (п.6).

Срок направления сведений, указанных в абзаце первом настоящего пункта, в ЕСИА не может превышать один календарный день с момента изменения таких сведений в соответствующей ГИС.

После обновления сведений о физическом лице в ЕСИА осуществляется уведомление соответствующего физического лица путем направления информации об обновлении сведений в личном кабинете в федеральной ГИС «Единый портал государственных и муниципальных услуг (функций)» (п.7).

В случае если нормативными правовыми актами Российской Федерации предусмотрено полномочие оператора ЕСИА обрабатывать сведения из государственных и муниципальных информационных систем, обеспечение актуальности и достоверности таких сведений может также осуществляться с использованием сведений из единого федерального информационного регистра, содержащего сведения о населении Российской Федерации, предоставляемых в ЕСИА в порядке, установленном Правилами предоставления сведений, содержащихся в едином федеральном информационном регистре, содержащем сведения о населении Российской Федерации, в том числе перечнем указанных сведений и сроками их предоставления, утвержденными постановлением Правительства Российской Федерации от 9 октября 2021 г. №1723 (п.8)

Мой комментарий: Постановление направлено на повышение актуальности и достоверности учетных записей граждан в ЕСИА путем решения двух взаимосвязанных задач:

• Обеспечение достоверности сведений в ЕСИА (проверка);
  
  
• Поддержание их актуальности в условиях, когда данные о гражданах меняются (обновление).

Ключевая идея - переход от ручного или полуавтоматического подтверждения данных к полностью автоматизированному межведомственному взаимодействию государственных информационных систем (ГИС)с использованием системы межведомственного электронного взаимодействия (СМЭВ).

Обязанность направлять сведения для обновления возложена на МВД, иные государственные органы и на органы государственных внебюджетных фондов.

Отсутствует обязанность информировать об изменениях для:

• органов ЗАГС (записи актов гражданского состояния), 
  
  
• судебных органов (решения о лишении/восстановлении родительских прав, отмене недееспособности), 
  
  
• нотариата (удостоверение полномочий). 

Источник: Консультант Плюс 
https://www.consultant.ru/cons/cgi/online.cgi?req=doc&base=LAW&n=531115

Правила регистрации физического лица в «Единой системе идентификации и аутентификации» (ЕСИА)

Правительство Российской Федерации постановлением от 03 апреля 2026 года №372 утвердило «Правила регистрации физического лица в федеральной государственной информационной системе «Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме». 

Содержание Правил следующее:

I. Общие положения

II. Порядок регистрации физических лиц, достигших возраста 14 лет, в единой системе

III. Порядок регистрации малолетних в единой системе

IV. Порядок регистрации недееспособных в единой системе

V. Порядок регистрации индивидуальных предпринимателей в единой системе

В «Единой системе идентификации и аутентификации» (ЕСИА) осуществляется регистрация следующих категорий физических лиц (п.2):

• Физические лица, достигшие возраста 14 лет; 
  
  
• Физические лица, не достигшие возраста 14 лет (малолетние);
  
  
• Граждане Российской Федерации, признанные недееспособными в порядке, установленном гражданским процессуальным законодательством (далее - недееспособные) (вступает в силу с 01.10.2026);
  
  
• Физические лица, зарегистрированные в соответствии с законодательством Российской Федерации о государственной регистрации юридических лиц и индивидуальных предпринимателей в качестве индивидуальных предпринимателей (индивидуальные предприниматели).

Регистрация физических лиц в единой системе осуществляется (п.3):

• Самостоятельно физическими лицами, достигшими возраста 14 лет, и индивидуальными предпринимателями - в случае регистрации в единой системе физических лиц, достигших возраста 14 лет, и индивидуальных предпринимателей соответственно;
  
  
• Физическими лицами, являющимися законными представителями (законный представитель) малолетних и недееспособных, - в случае регистрации в единой системе малолетних и недееспособных соответственно;
  
  
• Уполномоченными должностными лицами органов и организаций, имеющих в соответствии с Правилами использования простой электронной подписи при оказании государственных и муниципальных услуг, утвержденными постановлением Правительства Российской Федерации от 25 января 2013 г. №33, право выдачи ключей простых электронных подписей - в случае регистрации в единой системе физических лиц, достигших возраста 14 лет, с согласия таких физических лиц.

Мой комментарий: Постановление вносит правовую определённость в процессы регистрации в ЕСИА для всех категорий граждан, включая уязвимые группы (малолетние, недееспособные). Теперь система обязана также различать объём прав граждан.

Некоторые вопросы, однако, с моей точки зрения, не урегулированы до конца:

• Нет механизма контроля за действиями представителя малолетних и недееспособных;
  
  
• Не определён порядок действий при признании человека дееспособным. Как переводить учётную запись из категории «недееспособный» в «дееспособный»?
  
  
• Не определён порядок действий при совершеннолетии гражданина. Как переводить учётную запись из категории «несовершеннолетний» в «совершеннолетний»?

Возможность использовать при регистрации помощь уполномоченных должностных лиц органов и организаций - важная социальная опция, поскольку не все граждане по тем или иным причинам способны самостоятельно пройти регистрацию. Отмечу при этом вопрос, который в Правилах не решён - в какой форме должно фиксироваться согласие гражданина на эту помощь? От ответа на данный вопрос зависит, в том числе, защищённость от мошеннических действий при регистрации.

Источник: Консультант Плюс 
https://www.consultant.ru/cons/cgi/online.cgi?req=doc&base=LAW&n=531115

Некоммерческие организации смогут аутентифицировать свои персональные страницы в социальных сетях

Федеральный закон от 9 апреля 2026 года №92-ФЗ «О внесении изменения в статью 3 Федерального закона «О некоммерческих организациях»» дополнил статью 3 закона пунктом 6 следующего содержания:

6. Некоммерческая организация, имеющая персональную страницу для размещения информации о своей деятельности в определенных Правительством Российской Федерации информационных системах и (или) программах для электронных вычислительных машин, соответствующих требованиям, предусмотренным статьей 10.6 Федерального закона от 27 июля 2006 года №149-ФЗ «Об информации, информационных технологиях и о защите информации», может пройти процедуру подтверждения указанной персональной страницы в качестве официальной страницы некоммерческой организации с использованием федеральной государственной информационной системы «Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме» (ЕСИА) в порядке, определяемом Правительством Российской Федерации.

Данное изменение вступит в силу с 1 сентября 2026 года.

В пояснительной записке к законопроекту говорится, что в «Рекомендациях Общественной палаты Российской Федерации по итогам общественных слушаний на тему «Интернет-мошенничество в сфере благотворительности: способы борьбы и проблемы привлечения к ответственности» отмечается, что «доступность для злоумышленников современных Интернет-технологий и платформ, а также пробелы в системе контроля за ними сформировали благоприятные условия для совершения обманных действий и злоупотребления доверием в сфере благотворительности». 

Авторы законопроекта отметили, что многие некоммерческие организации (НК) для достижения целей своей деятельности создают персональные страницы в социальных сетях. Помимо положительного влияния на некоммерческий сектор, это приводит и к проблеме появления ненастоящих персональных страниц НК, создаваемых мошенниками для сбора денежных средств под видом той или иной организации. Кроме того, увеличиваются рассылки сообщений мошенниками, которые призывают участвовать в ненастоящих благотворительных программах.

Для решения указанных проблем некоторые операторы социальных сетей стали предоставлять опцию по идентификации и аутентификации персональных страниц НК. При этом рядом операторов социальных сетей предъявляются жесткие требования к НК для прохождения ими процедуры подтверждения принадлежности страницы. Например, социальная сеть «ВКонтакте» к таким требованиям относит: многочисленные упоминания в федеральных или общегосударственных СМИ; заметное присутствие на других площадках в Интернете; не менее десяти сообществ, выдающих себя за подлинные, с численностью от пяти тысяч участников; качественное администрирование и ведение страницы. Однако единой практики профилактики создания ненастоящих страниц некоммерческих организаций путем их подтверждения в настоящее время не выработано. 

По мнению авторов законопроекта, возможность получения достоверной информации о деятельности некоммерческого сектора – это важное условие развития гражданского общества. 

Принятие законопроекта, как предполагается, позволит обезопасить граждан и организации от мошенничества в социальных сетях и обеспечит повышение доверия  к некоммерческим организациям в обществе, так как, по данным ВЦИОМ, главным условием, способным повысить активность россиян в сфере благотворительности, признается уверенность граждан в том, что все перечисленные денежные средства будут направлены на цели, предусмотренные деятельностью некоммерческих организаций. 

Мой комментарий: Закон создаёт правовую основу для защиты граждан от мошенничества в сфере онлайн-благотворительности и одновременно предоставляет добросовестным НКО инструмент для подтверждения своей легитимности в цифровом пространстве. Важная особенность закона - отсутствие обязательности: НКО могут пройти процедуру подтверждения по своему желанию.

Успех реализации нового положения будет зависеть от качества подзаконного регулирования, эффективности взаимодействия между ЕСИА и социальными сетями, а также от информированности граждан о новых возможностях проверки информации.

Источник: Консультант Плюс / сайт Государственной Думы
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=531299
https://sozd.duma.gov.ru/download/1efbbb0f-5619-67ea-8c2f-9be717a2a4f6 

За отказ в предоставлении услуг в сфере государственного кадастрового учета и регистрации прав в связи с отказом от прохождения идентификации и/или аутентификации с использованием биометрических персональных данных будут штрафовать

Статья 5.63 «Нарушение законодательства об организации предоставления государственных и муниципальных услуг» была введена в Кодекс Российской Федерации об административных правонарушениях в 2011 году (федеральный закон от 03.12.2011 №383-ФЗ), и в неё давно не вносились изменения.

Федеральный закон от 30 ноября 2024 года №420-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях» дополнил статью 5.63. частью 2.1 следующего содержания:

2.1. Отказ должностного лица органа государственной власти, органа местного самоуправления или органа государственного внебюджетного фонда Российской Федерации, работника многофункционального центра, работника иной организации, осуществляющей в соответствии с законодательством Российской Федерации функции многофункционального центра, или работника публично-правовой компании, осуществляющей оказание государственных услуг в сфере государственного кадастрового учета и государственной регистрации прав, в предоставлении государственной услуги или муниципальной услуги либо в выполнении государственной или муниципальной функции в связи с отказом заявителя от прохождения идентификации и/или аутентификации с использованием его биометрических персональных данных - влечет наложение административного штрафа:

• На должностных лиц органов государственной власти, органов местного самоуправления или органов государственных внебюджетных фондов Российской Федерации - в размере от 20 до 25 тысяч рублей либо дисквалификацию сроком на шесть месяцев;
  
  
• На работников многофункциональных центров, работников иных организаций, осуществляющих в соответствии с законодательством Российской Федерации функции многофункционального центра, работников публично-правовой компании, осуществляющей оказание государственных услуг в сфере государственного кадастрового учета и государственной регистрации прав, - от 5 до 10 тысяч рублей либо дисквалификацию сроком на шесть месяцев.

Для справки: Федеральный закон от 27.07.2006 №152-ФЗ «О персональных данных» в статье 11 «Биометрические персональные данные» определяет данное понятие следующим образом - это «сведения, которые характеризуют физиологические и биологические особенности человека и на основании которых можно установить его личность (биометрические персональные данные)».

Напомню, что использование биометрии для идентификации граждан регламентируется федеральным законом от 29 декабря 2022 года №572-ФЗ «Об осуществлении идентификации и/или аутентификации физических лиц с использованием биометрических персональных данных».

Источник: Консультант Плюс
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=491932

Способы авторизации пользователей на территории Российской Федерации

Федеральный закон от 12 декабря 2023 года №588-ФЗ «О внесении изменения в статью 8 Федерального закона «Об информации, информационных технологиях и о защите информации» уточнил пункт 1 части 10 статьи 8.

Для справки: Федеральный закон от 27.07.2006 N 149-ФЗ (ред. от 12.12.2023) «Об информации, информационных технологиях и о защите информации»

Статья 8. Право на доступ к информации

10. Владелец сайта и (или) страницы сайта в сети "Интернет", и (или) информационной системы, и (или) программы для электронных вычислительных машин, являющийся российским юридическим лицом или гражданином Российской Федерации и осуществляющий свою деятельность в сети "Интернет" на территории Российской Федерации, в случае, если доступ к информации, размещенной на его сайте и (или) странице сайта в сети "Интернет", и (или) в его информационной системе, и (или) программе для электронных вычислительных машин, предоставляется пользователям, прошедшим авторизацию, обязан проводить ее в отношении пользователей, находящихся на территории Российской Федерации, одним из следующих способов:

Было:

1) с использованием абонентского номера оператора подвижной радиотелефонной связи в порядке, установленном Правительством Российской Федерации, на основании договора об идентификации, заключенного владельцем сайта и (или) страницы сайта в сети «Интернет», и (или) информационной системы, и (или) программы для электронных вычислительных машин с оператором подвижной радиотелефонной связи, за исключением случаев, предусмотренных настоящим Федеральным законом;

Стало:

1) с использованием абонентского номера оператора подвижной радиотелефонной связи

В пояснительной записке к законопроекту отмечалось, что «один из способов проведения авторизации предусматривает использование информационной системы, владельцем которой является гражданин Российской Федерации, не имеющий другого гражданства, или российское юридическое лицо, находится под контролем Российской Федерации, и (или) субъекта Российской Федерации, и (или) муниципального образования, и (или) гражданина Российской Федерации, не имеющего гражданства другого государства, и (или) контролируемых ими совместно или по отдельности лиц. При этом под контролем понимается возможность определять решения, принимаемые владельцем информационной системы, в силу наличия права прямо или косвенно распоряжаться более чем 50% общего количества голосов, приходящихся на голосующие акции (доли), составляющие уставный капитал владельца информационной системы».

Авторы законопроекта также отметили, что «в настоящее время ряд крупных российских ИТ-компаний завершают мероприятия, направленные на соответствие вышеуказанным требованиям о российском контроле (т.е., говоря простым языком, никто не успел исполнить требования закона – Н.Х.), поэтому в целях обеспечения стабильного функционирования российских информационных ресурсов до завершения мероприятий по переводу под российский контроль указанных ИТ-компаний проектом федерального закона «предусматривается установление переходного периода до 1 января 2025 года, в течение которого данные российские ИТ-компании могут продолжить использование своих информационных систем для проведения авторизации пользователей».

По мнению авторов законопроекта «реализация законопроекта позволит сохранить для российских пользователей привычные способы авторизации на информационных ресурсах как в переходный период, так и после его завершения».

Согласно положениям закона до 1 января 2025 года, в случае, если доступ к информации, размещенной на сайте и (или) странице сайта в сети «Интернет», и (или) в информационной системе, и (или) программе для электронных вычислительных машин, предоставляется пользователям, прошедшим авторизацию, владелец информационного ресурса может проводить её в отношении пользователей, находящихся на территории Российской Федерации, наряду со способами, предусмотренными частью 10 статьи 8 закона, также с использованием информационной системы, обеспечивающей авторизацию пользователей сайтов и (или) страниц сайтов в сети «Интернет», и (или) информационных систем, и (или) программ для электронных вычислительных машин владельцем которой является одно из следующих лиц:

• Владелец информационного ресурса;
  
  
• Российское юридическое лицо, находящееся под контролем владельца информационного ресурса;
  
  
• Российское юридическое лицо, под контролем которого находится владелец информационного ресурса;
  
  
• Российское юридическое лицо, находящееся под контролем того же юридического лица, что и владелец информационного ресурса;
  
  
• Российское юридическое лицо, находящееся под контролем юридического лица, участником (одним из участников) которого является международный фонд, созданный в соответствии со статьями 12.1 и 12.2 федерального закона от 3 августа 2018 года N 290-ФЗ «О международных компаниях и международных фондах»;
  
  
• Российское хозяйственное общество, признанное экономически значимой организацией или его дочернее общество.

Под контролем понимается возможность определять решения, принимаемые российским юридическим лицом, в силу наличия права прямо или косвенно распоряжаться более чем пятьюдесятью процентами общего количества голосов, приходящихся на голосующие акции (доли), составляющие уставный капитал данного российского юридического лица (ч. 3).

Закон вступил в силу со дня его официального опубликования 12 декабря 2023 года.

Источник: Консультант Плюс
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=464079
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;rnd=rlsqdA;base=PRJ;n=241051

Правительство определило допустимые и недопустимые случаи аутентификации граждан на основе биометрических персональных данных

Постановлением Правительства РФ от 25 мая 2023 г. №815 утверждены:

• Перечень случаев, при которых аутентификация с использованием информационных систем организаций, осуществляющих аутентификацию на основе биометрических персональных данных физических лиц, не допускается, согласованный с ФСБ и Центральным банком РФ;
  
  
• Перечень случаев, при которых допускается использование биометрических персональных данных, согласие физического лица на обработку которых подписано простой электронной подписью, правом создания (замены) и выдачи ключа которой в порядке, предусмотренном законодательством РФ в области использования электронных подписей, обладает организация, осуществляющая аутентификацию на основе биометрических персональных данных физических лиц, согласованный с ФСБ.

Не допускается аутентификация с использованием информационных систем организаций, осуществляющих аутентификацию на основе биометрических персональных данных физических лиц в случаях:

• Проведения вступительных испытаний при приеме на обучение, промежуточной и итоговой аттестации в организации, осуществляющей образовательную деятельность;
  
  
• Оказания медицинской помощи, а также проведение консилиумов, консультаций, дистанционного медицинского наблюдения за состоянием здоровья пациента с применением телемедицинских технологий;
  
  
• Отпуска, в том числе дистанционного, лекарственных препаратов для медицинского применения по рецепту на лекарственный препарат, оформленному медицинскими работниками;
  
  
• Предоставления государственных и муниципальных услуг, осуществление государственных и муниципальных функций;
  
  
• Предоставления доступа к государственным информационным системам.
  
  
• Установления личности физического лица в случаях, когда в соответствии с законодательством Российской Федерации требуется предъявление документа, удостоверяющего личность такого физического лица;
  
  
• Получения информированного добровольного согласия на медицинское вмешательство или отказ от медицинского вмешательства, а также отражающих состояние здоровья пациента медицинских документов (их копий) и выписок из них;
  
  
• Проведения медицинских осмотров с использованием медицинских изделий, обеспечивающих автоматизированную дистанционную передачу информации о состоянии здоровья работников и дистанционный контроль состояния их здоровья.

Допускается использование биометрических персональных данных, согласие физического лица на обработку которых подписано простой электронной подписью в случаях:

• Осуществления безналичных расчетов в сумме, не превышающей 5000 рублей, включая налог на добавленную стоимость;
  
  
• Осуществления кредитными организациями, некредитными финансовыми организациями дополнительной аутентификации клиента - физического лица при его дистанционном обслуживании, при условии, что такой клиент ранее был идентифицирован этой организацией финансового рынка;
  
  
• Осуществления организациями финансового рынка аутентификации клиента - физического лица при его обслуживании при личном присутствии, при условии, что такой клиент ранее был идентифицирован;
  
  
• Осуществления аутентификации физического лица при взаимодействии с помощью телефонной связи (использовании контакт-центров);
  
  
• Осуществления аутентификации при проходе посредством использования информационных систем, обеспечивающих функционирование контрольно-пропускных пунктов, на территории организаций;
  
  
• Вручения простых почтовых отправлений, адресованных до востребования, регистрируемых почтовых отправлений, выплата почтовых переводов денежных средств адресатам (уполномоченным представителям) в отделениях почтовой связи акционерного общества «Почта России» в случаях, если объявленная ценность таких почтовых отправлений (сумма почтовых переводов денежных средств) не превышает 2500 рублей.

Источник: Консультант Плюс
http://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=448019

Порядок обжалования решений, принятых в ходе осуществления аккредитации на право владения информационными системами, обеспечивающими аутентификацию физических лиц

В «Правилах осуществления аккредитации на право владения информационными системами, обеспечивающими аутентификацию физических лиц с использованием векторов единой биометрической системы, и/или осуществления функций их операторов», утвержденных постановлением Правительства РФ от 28 апреля 2023 года №670, отдельный раздел регламентирует порядок обжалования действий (бездействия) и/или решений уполномоченного федерального органа или его должностных лиц.
 
Заявитель вправе обжаловать в досудебном порядке действия (бездействие) и/или решения, принятые в ходе осуществления аккредитации, подав соответствующую жалобу, в том числе в следующих случаях (п.24):

• Нарушение срока осуществления аккредитации;
  
  
• Отказ в приеме документов, представление которых предусмотрено пунктом 7 настоящих Правил;
  
  
• Отказ в осуществлении аккредитации, если основания для отказа не предусмотрены пунктом 15 настоящих Правил;
  
  
• Несогласие с решением об отказе в аккредитации в связи с несоответствием заявителя требованиям для аккредитации.

Действия должностных лиц, а также решения, принятые ими в рамках осуществления аккредитации, могут быть обжалованы руководителю (заместителю руководителя) уполномоченного федерального органа (п.25).

Жалоба может быть подана в течение 20 рабочих дней со дня, когда заявитель узнал или должен был узнать о нарушении своих прав (п.26).

В случае пропуска по уважительной причине срока подачи жалобы этот срок может быть восстановлен уполномоченным федеральным органом.

Мой комментарий: Я впервые встречаю такую норму в документах, регламентирующих поярок рассмотрения жалоб!

Жалоба (п.28):

• Представляется заявителем в уполномоченный федеральный орган непосредственно;
  
  
• Направляется почтовым отправлением (с описью вложения) с уведомлением о вручении на почтовый адрес уполномоченного федерального органа или на адрес электронной почты уполномоченного федерального органа либо посредством системы межведомственного электронного документооборота.

Жалоба о несогласии с решением об отказе в аккредитации в связи с несоответствием заявителя требованиям для аккредитации представляется заявителем в уполномоченный федеральный орган непосредственно.

Уполномоченный федеральный орган принимает решение об отказе в рассмотрении жалобы в течение 5 рабочих дней со дня регистрации жалобы в системе электронного документооборота уполномоченного федерального органа в следующих случаях (п.29):

• Жалоба подана после истечения срока подачи, установленного настоящими Правилами, и не содержит ходатайства о его восстановлении, или в восстановлении пропущенного срока подачи жалобы отказано;
  
  
• До принятия решения поступило заявление об отзыве жалобы;
  
  
• Имеется решение суда по вопросам, поставленным в жалобе;
  
  
• Ранее в уполномоченный федеральный орган была подана другая жалоба от того же заявителя по тем же основаниям.

Уполномоченный федеральный орган вправе вручить представителю заявителя, подавшему жалобу, непосредственно под расписку запрос дополнительной информации и документов, относящихся к предмету жалобы. Заявитель обязан представить указанные информацию и документы в течение 5 рабочих дней со дня вручения запроса (п.30).

Течение срока рассмотрения жалобы приостанавливается со дня вручения запроса о представлении дополнительных документов и информации, относящихся к предмету жалобы, до дня получения их уполномоченным федеральным органом, но не более чем на 5 рабочих дней со дня вручения запроса. Неполучение от заявителя дополнительных документов и информации, относящихся к предмету жалобы, не является основанием для отказа в рассмотрении жалобы (п.31).

Мой комментарий: Приостановление срока рассмотрения жалобы после запроса о предоставлении дополнительной информации - весьма редко встречающееся положение.

По итогам рассмотрения жалобы уполномоченный федеральный орган в срок, не превышающий 30 рабочих дней со дня регистрации жалобы в системе электронного документооборота (п.32):

• Оставляет жалобу без удовлетворения;
  
  
• Отменяет решение полностью или частично;
  
  
• Отменяет решение полностью и принимает новое решение;
  
  
• Признает действия (бездействие) должностных лиц уполномоченного федерального органа незаконными и выносит решение по существу, в том числе об осуществлении при необходимости определенных действий.

Решение уполномоченного федерального органа, содержащее обоснование принятого решения, в срок, не превышающий 3 рабочих дней со дня его принятия, вручается уполномоченному заявителем лицу непосредственно (п.33).

Источник: Консультант Плюс
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=446473

Правила аккредитации на право владения информационными системами, обеспечивающими аутентификацию физических лиц

Постановлением Правительства РФ от 28 апреля 2023 года №670 утверждены согласованные с Федеральной службой безопасности РФ:

• Требования к государственным органам, Центральному банку РФ для прохождения ими аккредитации на право владения информационными системами, обеспечивающими аутентификацию физических лиц с использованием векторов единой биометрической системы, и (или) осуществления функций их операторов;
  
  
• Требования к организациям, привлекаемым государственными органами, Центральным банком РФ для осуществления функций операторов информационных систем, обеспечивающих аутентификацию физических лиц с использованием векторов единой биометрической системы;
  
  
• Правила осуществления аккредитации на право владения информационными системами, обеспечивающими аутентификацию физических лиц с использованием векторов единой биометрической системы, и (или) осуществления функций их операторов.

Постановление вступает в силу с 1 июня 2023 года и действует до 1 июня 2029 года.  Содержание правил следующее:

I. Общие положения

II. Порядок аккредитации государственных органов, Центрального банка Российской Федерации

III. Основания приостановления и прекращения действия аккредитации, внесения изменений в перечень аккредитованных государственных органов

IV. Обжалование действий (бездействия) и (или) решения уполномоченного федерального органа или должностных лиц уполномоченного федерального органа

Согласно правилам, аккредитация государственных органов, Центрального банка РФ проводится Министерством цифрового развития, связи и массовых коммуникаций РФ (п.2), которая действует без ограничения срока (п.4).

В целях аккредитации заявитель представляет в уполномоченный федеральный орган заявление об аккредитации, подписанное руководителем или его уполномоченным заместителем (заявление об аккредитации), с приложением документов, подтверждающих выполнение требований для аккредитации (п.5).

Заявление представляется уполномоченным заявителем лицом в уполномоченный федеральный орган непосредственно. Заявление считается поданным со дня его регистрации в системе электронного документооборота уполномоченного федерального органа.

Решение об аккредитации государственного органа, Центрального банка Российской Федерации либо мотивированное решение об отказе в аккредитации уполномоченный федеральный орган в течение 5 рабочих дней со дня его принятия вручает представителю заявителя непосредственно под расписку или направляет почтовым отправлением (с описью вложения) с уведомлением о вручении на почтовый адрес заявителя или на адрес электронной почты заявителя либо посредством системы межведомственного электронного документооборота (п.13).

Решения, составленные в форме электронного документа, подписываются усиленной квалифицированной электронной подписью уполномоченного должностного лица уполномоченного федерального органа.

Основаниями для отказа в аккредитации являются (п.15):

• Несоответствие заявителя требованиям для аккредитации;
  
  
• Непредставление заявителем документов, подтверждающих соответствие государственного органа, Центрального банка Российской Федерации требованиям для аккредитации;
  
  
• Наличие в документах, представленных заявителем, недостоверной информации;
  
  
• Подача заявления об аккредитации не уполномоченным заявителем лицом.

Источник: Консультант Плюс
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=446473

Правила получения согласия на размещение, получение и обработку биометрических персональных данных

Правительство РФ постановлением от 17 марта 2023 года №405 утвердило «Правила получения согласия, указанного в пункте 6 части 5 статьи 26 Федерального закона «Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных, о внесении изменений в отдельные законодательные акты Российской Федерации и признании утратившими силу отдельных положений законодательных актов Российской Федерации», и формы согласия физического лица на размещение его биометрических персональных данных в региональном сегменте единой биометрической системы».

Постановление вступает в силу с 1 июня 2023 г. и действует до 1 января 2027 г., за исключением абзаца пятого пункта 6 Правил, утвержденных настоящим постановлением, который действует до 1 января 2025 г.

Правила устанавливают порядок получения согласия физического лица (п.1):

• На размещение его биометрических ПДн в региональном сегменте единой биометрической системы;
  
  
• На передачу его биометрических ПДн в единую биометрическую систему из региональных сегментов единой системы;
  
  
• На обработку таких биометрических ПДн в единой системе;
  
  
• На обработку ПДн и биометрических ПДн в целях проведения его аутентификации.

Согласие физического лица предоставляется оператору регионального сегмента в форме электронного документа с использованием регионального мобильного приложения единой биометрической системы с применением пользовательского оборудования (оконечного оборудования), имеющего в своем составе идентификационный модуль, при размещении биометрических ПДн в региональном сегменте (п.2)

Согласие физического лица на размещение его биометрических ПДн в региональном сегменте предоставляется физическим лицом оператору регионального сегмента единой биометрической системы по установленной форме (п.3).

Согласие на обработку персональных данных и биометрических ПДн в целях аутентификации предоставляется физическим лицом (п.4):

• Органам государственной власти соответствующего субъекта РФ, подведомственным им организациям;
  
  
• Органам местного самоуправления указанного субъекта РФ, подведомственным им организациям;
  
  
• Иным организациям, предоставляющим услуги, организация оказания которых регулируется нормативными правовыми актами субъекта РФ…

Согласие на обработку персональных данных и биометрических ПДн в целях аутентификации предоставляется физическим лицом в письменной форме, в том числе в форме электронного документа, с учетом требований к содержанию согласия (п.5)

Согласие физического лица в форме электронного документа могут быть подписаны (п.6):

• УКЭП, сертификат ключа проверки которой создан и используется в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме …;
  
  
• Простой электронной подписью, правом создания (замены) и выдачи ключа которой в порядке обладают органы и организации, указанные в пунктах 11 и 12 части 5 статьи 26 Федерального закона "Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных …» ключ которой получен физическим лицом при личной явке …

Согласие физического лица передается оператором регионального сегмента единой биометрической системы оператору единой биометрической системы в том числе при наличии технической возможности с использованием единой системы межведомственного электронного взаимодействия (п.8).

Источник: Консультант Плюс
http://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=442497

АО «Центр биометрических технологий» будет заниматься развитием цифровых технологий идентификации и аутентификации

Президент РФ указом от 30 сентября 2022 года №693 «в целях развития в Российской Федерации цифровых технологий идентификации и аутентификации, в том числе на основе биометрических персональных данных, а также сервисов подписания и хранения документов» определил акционерное общество «Центр Биометрических Технологий» организацией, обеспечивающей развитие цифровых технологий идентификации и аутентификации, в том числе на основе биометрических персональных данных, а также сервисов подписания и хранения документов, включая создание, развитие и эксплуатацию коммерческих сервисов и типовых решений.

Доля публичного акционерного общества «Ростелеком» в уставном капитале АО «Центр Биометрических Технологий» будет составлять 49 процентов, доля Российской Федерации - 26 процентов (п.2).

Центральному банку РФ рекомендовано войти в состав акционеров АО с долей в его уставном капитале 25 процентов (п.3).

Правительству Российской Федерации при участии Центрального банка Российской Федерации в 3-месячный срок поручено в том числе (п.4):

• Возложить на АО функции оператора единой информационной системы персональных данных, обеспечивающей обработку, включая сбор и хранение, биометрических персональных данных, их проверку и передачу информации о степени их соответствия предоставленным биометрическим ПДн физического лица (далее - единая информационная система);
  
  
• Образовать Координационный совет по развитию цифровых технологий идентификации и аутентификации на основе биометрических ПДн утвердить его состав и полномочия, в том числе в целях обеспечения недискриминационного доступа к сервисам единой информационной системы и определения стратегических направлений развития указанных технологий.

Источник: Консультант Плюс
http://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=427930

Росстандарт: Опубликован ГОСТ Р 70262.1-2022 «Идентификация и аутентификация. Уровни доверия идентификации»

На сайте Федерального агентства по техническому регулированию и метрологии ( http://www.gost.ru/ ) в августовском 2022 года разделе ( https://protect.gost.ru/default.aspx?control=6&month=8&year=2022 ) выложен новый стандарт ГОСТ Р 70262.1-2022 «Защита информации. Идентификация и аутентификация. Уровни доверия идентификации» объёмом 24 страницы, вступающий в силу 01.01.2023 года, см. https://protect.gost.ru/v.aspx?control=8&baseC=6&id=234255

Стандарт разработан Федеральной службой по техническому и экспортному контролю (ФСТЭК России), ЗАО «Аладдин РД» и ООО «Научно-производственная фирма «Кристалл»; внесён Техническим комитетом по стандартизации ТК 362 «Защита информации».

Во вводной части документа, в частности, отмечается:

«Настоящий стандарт устанавливает единообразную организацию процесса идентификации субъектов и объектов доступа в средствах защиты информации, средствах вычислительной техники и автоматизированных (информационных) системах, а также определяет общие правила идентификации, обеспечивающие необходимую уверенность в ее результатах.

Настоящий стандарт определяет состав участников и основное содержание процесса идентификации, рекомендуемые к реализации при разработке, внедрении и совершенствовании правил, механизмов и технологий управления доступом. Положения настоящего стандарта могут использоваться при управлении доступом к информационным ресурсам, вычислительным ресурсам средств вычислительной техники, ресурсам автоматизированных (информационных) систем, средствам вычислительной техники и автоматизированным (информационным) системам в целом.

Положения настоящего стандарта применяются совместно с документами по стандартизации, регламентирующими вопросы идентификации и аутентификации.

Настоящий стандарт предназначен для применения путем включения нормативных ссылок на него в соответствии с действующим законодательством и (или) прямого использования устанавливаемых в нем положений.»

Содержание стандарта следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Общие положения
5. Первичная идентификация
6. Вторичная идентификация
7. Уровни доверия идентификации
Приложение А (справочное) Общая характеристика уровней доверия первичной идентификации
Библиография

Источник: сайт Росстандарта
https://protect.gost.ru/v.aspx?control=8&baseC=6&id=234255

ИСО и МЭК: Опубликован стандарт ISO/IEC 27551:2021 «Требования к основанной на атрибутах несвязываемой аутентификации объектов»

Как сообщил сайт Международной организации по стандартизации (ИСО), в сентябре 2021 года был опубликован новый стандарт ISO/IEC 27551:2021 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни - Требования к основанной на атрибутах несвязываемой аутентификации объектов» (ISO/IEC 27551:2021 Information security, cybersecurity and privacy protection - Requirements for attribute-based unlinkable entity authentication) объёмом 42 страницы, см. https://www.iso.org/standard/72018.html и https://www.iso.org/obp/ui/#!iso:std:72018:en .

Документ подготовлен техническим подкомитетом SC27 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни» (Information security, cybersecurity and privacy protection) Объединённого технического комитета Международной организации по стандартизации (ИСО) и Международной электротехнической комиссии (МЭК) JTC1 «Информационные технологии». О работе над ним я упоминала здесь: https://rusrim.blogspot.com/2017/12/2_13.html .

Во вводной части документа, в частности, отмечается:

«Стандарт ISO/IEC 29100 устанавливает одиннадцать принципов обеспечения неприкосновенности частной жизни, которые применяются ко всем действующим лицам, которые могут быть вовлечены в обработку персональных данных (ПДн). Второй из этих принципов – принцип ограничение сбора персональных данных. Несмотря на эту рекомендацию, текущее положение дел таково, что интернет-сайты во время доступа субъекта персональных данных к сервису собирают больше информации, чем это необходимо. Например, если сайту требуется лишь подтверждение того, что субъект ПДн старше определенного возраста, только эта информация и должна быть необходима для получения услуги. Однако часто бывает так, что предоставляется иная информация, - такая как постоянный идентификатор пользователя, - что позволяет объединить сведения о посещении одним и тем же субъектом ПДн различных сайтов или же сведения о нескольких посещениях им одного и того же сайта.

Мой комментарий: Здесь упомянут международный стандарт ISO/IEC 29100:2011 «Информационная технология. Методы и средства обеспечения безопасности. Концепция защиты персональных данных» (Information technology - Security techniques - Privacy framework, см. http://standards.iso.org/ittf/PubliclyAvailableStandards/c045123_ISO_IEC_29100_2011.zip ). В России данный стандарт адаптирован дважды, как:

• ГОСТ ISO/IEC 29100-2021 «Информационные технологии. Методы и средства обеспечения безопасности. Основы защиты персональных данных», см. http://protect.gost.ru/v.aspx?control=8&baseC=6&id=230564
  
  
• ГОСТ Р ИСО/МЭК 29100-2013 «Информационная технология. Методы и средства обеспечения безопасности. Основы обеспечения приватности», см. http://protect.gost.ru/v.aspx?control=8&baseC=6&id=178307

Чтобы соответствовать принципу ограничения сбора персональных данных, сайт в приведенном выше примере должен вместо этого использовать тип идентификатора объекта, который не позволяет ему связать друг с другом два или более посещения сайта субъектом ПДн. Это означает, что при выполнении двух транзакций трудно различить, были ли транзакции выполнены одним и тем же пользователем или двумя разными пользователями. Это один из видов несвязываемости (unlinkability). Несколько других типов несвязываемости также могут быть приняты во внимание и могут быть желательны в приложениях.

Основанная на атрибутах несвязываемая аутентификация объектов (attribute-based unlinkable entity authentication, ABUEA) предоставляет субъектам ПДн средства для установления аутентичности избранного подмножества атрибутов из их идентификационного профиля, без раскрытия большего подмножества. Особое внимание уделяется обеспечению несвязываемости, и вводится метрика, которая измеряет силу этого свойства в реализациях ABUEA. В данном документе особое внимание обращается на ситуации, когда как минимум бы один атрибут подтверждается третьей стороной. В данном документе также выделяются свойства безопасности, которые необходимо реализовать для обеспечения защиты различного рода, а также свойства несвязываемости.

Разработанная в данном документе методология может быть адаптирована и применена в отношении других принципов обеспечения неприкосновенности частной жизни. Сформулированные в данном документе требования применяются на уровне информационного обмена с приложением (application communication layer). Однако некоторые свойства, реализованные в протоколе прикладного уровня, могут быть нарушены протоколом более низкого уровня (например, сетевого), - и это означает, что свойства протоколов нижних уровней, связанные с обеспечением безопасности и неприкосновенности частной жизни, также должны быть приняты во внимание для того, чтобы обеспечить, чтобы свойства реализованные на уровне информационного обмена с приложением сохранялись при рассмотрении характеристик нижележащих коммуникационных уровней, касающихся обеспечения безопасности и неприкосновенности частной жизни.

Данный документ описывает концепцию и устанавливает требования к основанной на атрибутах несвязываемой аутентификации объектов (attribute-based unlinkable entity authentication, ABUEA).»

Содержание стандарта следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Обозначения и сокращения
5. Общие цели аутентификации объектов на основе атрибутов
6. Свойства протоколов аутентификации объектов на основе атрибутов
7. Свойства несвязываемости протоколов аутентификации объектов на основе атрибутов
8. Атрибуты
9. Требования к основанной на атрибутах несвязываемой аутентификации объектов уровня N
Приложение A: Формальные определения понятий безопасности и несвязываемости
Приложение B: Примеры протоколов аутентификации объектов на основе атрибутов
Приложение C: Реализация основанной на атрибутах несвязываемой аутентификации объектов (ABUEA) в протоколах OpenID Connect и FIDO
Приложение D: Варианты использования для основанной на атрибутах несвязываемой аутентификации объектов
Библиография

Источник: сайт ИСО
https://www.iso.org/standard/72018.html
https://www.iso.org/obp/ui/#!iso:std:72018:en

Правила аккредитации организаций, обладающих биометрическими системами идентификации и аутентификации

Правительство РФ постановлением от 20 октября 2021 года №1799 утвердило «Правила аккредитации организаций, владеющих информационными системами, обеспечивающими идентификацию и (или) аутентификацию с использованием биометрических персональных данных физических лиц, и (или) оказывающих услуги по идентификации и (или) аутентификации с использованием биометрических персональных данных физических лиц».

Содержание документа следующее:

I. Общие положения

II. Порядок аккредитации организаций, осуществляющих идентификацию и (или) аутентификацию

III. Порядок приостановления и прекращения действия аккредитации, внесения изменений в перечень аккредитованных организаций и изменения области аккредитации

IV. Обжалование решений уполномоченного федерального органа, действий (бездействия) его должностных лиц

V. Дополнительные требования к аккредитации организаций, являющихся иностранными юридическими лицами

Аккредитация организаций проводится Министерством цифрового развития, связи и массовых коммуникаций Российской Федерации (п.2) и действует без ограничения срока (п.4).

В целях аккредитации организации представляют в уполномоченный федеральный орган заявление, подписанное ее руководителем или уполномоченным представителем (заявление), с приложением документов, подтверждающих выполнение требований для аккредитации (п.5).

Заявление представляется заявителем в уполномоченный федеральный орган непосредственно или направляется почтовым отправлением с описью вложения с уведомлением о вручении или в форме электронного документа, подписанного УКЭП, через федеральную государственную информационную систему «Единый портал государственных и муниципальных услуг (функций)».

Заявление считается поданным со дня его регистрации в системе электронного документооборота уполномоченного федерального органа.

К заявлению прилагаются документы:

• Подтверждающие соблюдение требований для аккредитации заявителем, осуществляющим аутентификацию (п.7);
  
  
• Подтверждающие соблюдение требований для аккредитации заявителем, осуществляющим идентификацию либо идентификацию и аутентификацию (п.8);
  
  
• Подтверждающие соблюдение дополнительных требований для аккредитации заявителем, являющимся иностранным юридическим лицом (п.9):

Все документы, составленные на иностранном языке, должны быть представлены в уполномоченный федеральный орган с переводом на русский язык. Правильность перевода должна быть нотариально удостоверена в соответствии с законодательством Российской Федерации о нотариате (п10).

Уполномоченный федеральный орган (п.11):

• Осуществляет проверку документов, представленных заявителем, на предмет комплектности, полноты и достоверности содержащихся в них сведений в срок, не превышающий 10 рабочих дней со дня регистрации заявления в системе электронного документооборота уполномоченного федерального органа;
  
  
• Запрашивает в отношении заявителя на основании межведомственных запросов с использованием единой системы межведомственного электронного взаимодействия у федеральных органов исполнительной власти сведения:
  
  
• Содержащиеся в Едином государственном реестре юридических лиц;
  
  
• О лицензии, выданной заявителю, а также сведения о его подключении (доступе) к государственной системе обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ;
  
  
• О достоверности сведений о гражданстве единоличного исполнительного органа заявителя, указанных в заявлении, сведения, подтверждающие отсутствие у него или членов коллегиального исполнительного органа неснятой или непогашенной судимости за совершение преступления, а также сведения о том, что единоличный исполнительный орган заявителя не привлекался в течение 5 лет, предшествующих дню подачи заявления, к уголовной ответственности в соответствии со статьями 183 и 283 Уголовного кодекса РФ за незаконные получение и разглашение сведений, составляющих государственную, коммерческую, налоговую или банковскую тайну;
  
  
• Подтверждающие отсутствие единоличного исполнительного органа заявителя в перечне организаций и физических лиц, в отношении которых имеются сведения об их причастности к экстремистской деятельности или терроризму, или перечне организаций и физических лиц, в отношении которых имеются сведения об их причастности к распространению оружия массового уничтожения:
  
  
• Осуществляет оценку соответствия заявителя требованиям к деловой репутации единоличного исполнительного органа или членов коллегиального исполнительного органа, установленным уполномоченным федеральным органом;
  
  
• Принимает решение об аккредитации или об отказе в аккредитации в срок, не превышающий 25 рабочих дней со дня регистрации заявления в системе электронного документооборота уполномоченного федерального органа, на основании документарной оценки соответствия заявителя требованиям для аккредитации.

Подтверждением наличия у организации аккредитации является соответствующая запись в перечне аккредитованных организаций (п.13).

Уполномоченный федеральный орган в срок не позднее 2 рабочих дней со дня принятия решения об аккредитации вносит соответствующую запись в перечень аккредитованных организаций.

Заказным почтовым отправлением с уведомлением о вручении или по адресу электронной почты в форме электронного документа, подписанного электронной подписью в течение 5 рабочих дней со дня принятия направляется (п.15):

• Решение об аккредитации организации;
  
  
• Мотивированное решение об отказе в аккредитации.

В случае получения решения об отказе в аккредитации заявитель вправе повторно направить в уполномоченный федеральный орган заявление после устранения причин отказа (п.16).

Источник: Консультант Плюс
http://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=398845

Утверждён перечень случаев осуществления сбора и обработки биометрических персональных данных, используемых для идентификации и аутентификации

Правительствj РФ постановлением от 23 октября 2021 года № 1815 утвердило «Перечень случаев осуществления сбора и обработки используемых для идентификации либо идентификации и аутентификации биометрических персональных данных в информационных системах организаций, осуществляющих идентификацию и (или) аутентификацию с использованием биометрических персональных данных физических лиц, а также случаев использования организациями, за исключением кредитных организаций, некредитных финансовых организаций, которые осуществляют указанные в части первой статьи 761 Федерального закона «О Центральном банке Российской Федерации (Банке России)» виды деятельности, субъектами национальной платежной системы, индивидуальными предпринимателями указанных информационных систем для идентификации либо идентификации и аутентификации физического лица, выразившего согласие на их проведение».

Постановление вступит в силу с 1 марта 2022 года и будет действовать до 1 марта 2028 года.

Сбор биометрии разрешен для идентификации либо идентификации и аутентификации:

• Водителей легкового такси;
  
  
• Водителей транспортных средств, предоставленных в краткосрочную (до 24 часов) аренду на основе поминутной тарификации физическим лицам для целей, не связанных с осуществлением такими физическими лицами предпринимательской деятельности (каршеринг);
  
  
• При проходе на территорию организаций посредством системы контроля и управления доступом на территории данных организаций, объектов, совершение террористического акта на территории которых может привести к возникновению чрезвычайных ситуаций с опасными социально-экономическими последствиями, дошкольных образовательных организаций и общеобразовательных организаций.
  
  Исключения: Организации оборонно-промышленного, атомного энергопромышленного, ядерного оружейного, химического, топливно-энергетического комплексов, организации, относящиеся к объектам транспортной инфраструктуры, субъектам критической информационной инфраструктуры;
  
  
• При участии в собрании участников гражданско-правового сообщества.
  
  Исключения: Кредитные организации, некредитные финансовые организации, которые осуществляют указанные в части первой статьи 761 Федерального закона «О Центральном банке Российской Федерации (Банке России)» виды деятельности, субъекты национальной платежной системы, эмитенты ценных бумаг.

Источник: Консультант Плюс
http://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=399187

Правила обеспечения взаимодействия «Единой системы идентификации и аутентификации» и иных государственных информационных систем

Правительство РФ постановлением от 7 сентября 2021 года №1516 утвердило «Правила обеспечения взаимодействия ФГИС «Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме» с иными государственными информационными системами, используемыми исполнительными органами государственной власти субъектов Российской Федерации, органами местного самоуправления при идентификации и аутентификации в рамках предоставления государственных и муниципальных услуг».

Возможность взаимодействия ФГИС «Единая система идентификации и аутентификации ...» в целях реализации настоящего постановления обеспечивается в отношении информационных систем исполнительных органов государственной власти субъектов РФ, органов местного самоуправления, обеспечивающих идентификацию и аутентификацию физических или юридических лиц в рамках предоставления государственных и муниципальных услуг территориальными органами государственных внебюджетных фондов, исполнительными органами государственной власти субъектов РФ, органами местного самоуправления, созданных до вступления в силу настоящего постановления.

Взаимодействие единой системы идентификации и аутентификации (ЕСИА) и региональной системы идентификации и аутентификации осуществляется путем их интеграции посредством технологий прикладного программного интерфейса и/или единой системы межведомственного электронного взаимодействия (п.2).

Возможность санкционированного доступа к единому порталу с использованием региональной системы идентификации и аутентификации предоставляется исключительно физическим или юридическим лицам либо их уполномоченным представителям, обращающимся за предоставлением государственной или муниципальной услуги (далее - заявители), завершившим регистрацию в ЕСИА и в региональной системе идентификации и аутентификации и удостоверившим свою личность при регистрации одним из следующих способов (п.3):

• Путем подтверждения введенной при регистрации информации своей усиленной квалифицированной электронной подписью (для заявителей - юридических лиц);
  
  
• Путем личной явки в организацию, имеющую право удостоверять личность заявителя в целях регистрации в ЕСИА и в региональной системе идентификации и аутентификации, с предъявлением документа, удостоверяющего личность, реквизиты которого указаны при регистрации в соответствующей системе (для заявителей - физических лиц);
  
  
• Путем самостоятельного формирования и направления запроса с использованием информационной системы банков в ЕСИА или в региональную систему идентификации и аутентификации о внесении в указанные системы необходимых для регистрации сведений (для заявителей - физических лиц).

При этом в ЕСИА и в региональной системе идентификации и аутентификации заявителем должны быть указаны следующие сведения, в автоматическом режиме проверяемые на предмет достоверности с использованием государственных информационных систем:

• Для физических лиц - фамилия, имя, отчество (при наличии), страховой номер индивидуального лицевого счета застрахованного лица в системе персонифицированного учета Пенсионного фонда Российской Федерации, пол, дата рождения, реквизиты документа, удостоверяющего личность (серия, номер, кем выдан, дата выдачи, код подразделения);
  
  
• Для юридических лиц - сведения применительно к единоличному исполнительному органу такого юридического лица, наименование и место нахождения юридического лица, идентификационный номер налогоплательщика, основной государственный регистрационный номер юридического лица.

Предоставление заявителям возможности санкционированного доступа к единому порталу с использованием региональной системы идентификации и аутентификации осуществляется после проведения процедуры сопоставления идентификатора (идентификаторов) заявителя, содержащегося в ЕСИА, с идентификатором (идентификаторами) заявителя, содержащимся в региональной системе идентификации и аутентификации, в порядке, определяемом оператором ЕСИА (п.4).

В рамках процедуры сопоставления идентификатора (идентификаторов) между ЕСИА и региональной системой идентификации и аутентификации сопоставляются следующие идентификаторы (п.5):

• Для физических лиц - фамилия, имя, отчество (при наличии), страховой номер индивидуального лицевого счета застрахованного лица в системе персонифицированного учета Пенсионного фонда РФ, дата рождения, реквизиты документа, удостоверяющего личность (серия, номер, кем выдан, дата выдачи, код подразделения);
  
  
• Для юридических лиц - наименование и место нахождения юридического лица, идентификационный номер налогоплательщика, основной государственный регистрационный номер юридического лица.

Процедура сопоставления идентификатора (идентификаторов) заявителя осуществляется с согласия заявителя, выраженного в ЕСИА (п.6).

При выражении согласия на сопоставление идентификатора (идентификаторов) заявитель также соглашается на обработку персональных данных оператором ЕСИА и региональной системой идентификации и аутентификации в соответствии с федеральным законом «О персональных данных».

Процедура сопоставления идентификатора (идентификаторов) инициируется заявителем с использованием соответствующего функционала личного кабинета на едином портале или личного кабинета на региональном портале государственных и муниципальных услуг, оператором которого является исполнительный орган государственной власти того же субъекта РФ, исполнительный орган государственной власти которого является оператором региональной системы идентификации и аутентификации (п.7).

В случае изменения в ЕСИА или в региональной системе идентификации и аутентификации идентификаторов, соответствующая система в режиме реального времени направляет в другую информационную систему уведомление об их изменении и измененные идентификаторы (п.8).

После прохождения процедур идентификации и аутентификации с использованием региональной системы идентификации и аутентификации заявитель считается осуществившим вход на единый портал с использованием ЕСИА и получает доступ к личному кабинету на едином портале, интегрированному с ЕСИА в том числе к сведениям, документам и информации, содержащейся в личном кабинете на едином портале(п.9).

Если заявитель прошел процедуру получения санкционированного доступа к единому порталу с использованием региональной системы идентификации и аутентификации, то при подаче заявителем заявлений на предоставление государственных или муниципальных услуг, в том числе с использованием усиленной неквалифицированной электронной подписи физического лица, сертификат ключа проверки которой создан и используется в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме, в установленном Правительством РФ порядке и при совершении иных действий посредством единого портала используются данные, содержащиеся в единой системе идентификации и аутентификации и в личном кабинете на едином портале (п.10).

С согласия заявителя, выражаемого в ЕСИА, сведения о нем (помимо идентификаторов, направление которых обязательно) могут быть переданы из ЕСИА и личного кабинета на едином портале в региональную систему идентификации и аутентификации и из региональной системы и личного кабинета на региональном портале в ЕСИА (п.11).

Порядок подключения региональных систем к ЕСИА в целях их взаимодействия для обеспечения возможности санкционированного доступа к единому порталу с использованием региональной системы, технические требования к такому взаимодействию, а также организационно-технические требования устанавливаются Министерством цифрового развития, связи и массовых коммуникаций РФ (п.12).

Источник: Консультант Плюс
http://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=395207

Порядок идентификации и аутентификации в рамках предоставления государственных и муниципальных услуг

Правительство РФ постановлением от 7 сентября 2021 года №1516 утвердило «Требования по обеспечению использования при идентификации и аутентификации в рамках предоставления государственных и муниципальных услуг федеральными органами исполнительной власти, органами государственных внебюджетных фондов, исполнительными органами государственной власти субъектов Российской Федерации, органами местного самоуправления федеральной государственной информационной системы(ФГИС) «Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме» и региональных государственных информационных систем, обеспечивающих идентификацию и аутентификацию».

Территориальным органам государственных внебюджетных фондов, исполнительным органам государственной власти субъектов РФ, органам местного самоуправления, не имеющим собственных информационных систем, обеспечивающих идентификацию и аутентификацию физических или юридических лиц в рамках предоставления государственных и муниципальных услуг, рекомендуется использовать ФГИС «Единая система идентификации и аутентификации».

Требования по обеспечению использования при идентификации и аутентификации

Федеральные органы исполнительной власти, органы государственных внебюджетных фондов, исполнительные органы государственной власти субъектов РФ, органы местного самоуправления, являющиеся операторами информационных систем, обязаны проводить идентификацию и аутентификацию физических или юридических лиц либо их уполномоченных представителей, обращающихся за предоставлением государственной или муниципальной услуги (заявители) (п.2) с использованием:

• Единой системы идентификации и аутентификации, или
  
  
• Региональных ГИС, обеспечивающих идентификацию и аутентификацию.

Использование иных ИС, в том числе интегрированных с ЕСИА или региональными ГИС, обеспечивающими идентификацию и аутентификацию, не допускается.

Идентификация и аутентификация заявителя в ФГИС «Единый портал государственных и муниципальных услуг (функций)» осуществляются с использованием (п.3):

• Единой системы идентификации и аутентификации;
  
  
• Региональных ГИС, обеспечивающих идентификацию и аутентификацию, при условии обеспечения их взаимодействия с ЕАИС в порядке, установленном Правительством РФ.

Идентификация и аутентификация заявителя на региональных порталах государственных и муниципальных услуг осуществляются с использованием (п.4):

• Единой системы идентификации и аутентификации;
  
  
• Региональной ГИС, обеспечивающей идентификацию и аутентификацию, при условии, что оператором такой системы и оператором регионального портала государственных и муниципальных услуг является исполнительный орган государственной власти одного субъекта РФ, а также при условии обеспечения взаимодействия региональной ГИС, обеспечивающей идентификацию и аутентификацию, с ЕСИА в порядке, установленном Правительством РФ.

Источник: Консультант Плюс
http://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=395207

Положение о проведении эксперимента по осуществлению идентификации и аутентификации

Постановлением Правительства РФ от 27 марта 2021 года № 453  утверждено «Положение о проведении эксперимента по осуществлению идентификации и аутентификации с использованием федеральной государственной информационной системы «Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме» пользователей социальных сетей, потребителей (заказчиков) и продавцов (исполнителей), иных сторон договоров при использовании ими информационных ресурсов в информационно-телекоммуникационной сети "Интернет", предоставляющих возможность ознакомиться с предложением о заключении договора купли-продажи товара (выполнения работ, оказания услуг), заключить такой договор, в том числе агрегаторов информации о товарах (услугах), а также пользователей информационных ресурсов поиска сотрудников и работы».

Эксперимент будет проводиться с 1 апреля 2021 года по 1 июля 2022 года.

Участникам эксперимента рекомендовано обеспечить готовность своих информационных систем к взаимодействию с единой системой идентификации и аутентификации посредством их подключения к инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг и исполнения государственных и муниципальных функций в электронной форме (п.3).

По завершении перехода единой системы идентификации и аутентификации с 1 января 2022 года на использование российских криптографических алгоритмов и средств шифрования идентификация и аутентификация пользователей в целях эксперимента должны обеспечиваться путем выполнения требований к средствам информационных технологий, содержащим российские криптографические алгоритмы и средства шифрования (п.4).

В рамках эксперимента предоставляется возможность прохождения процедуры идентификации и аутентификации при использовании информационных ресурсов в сети «Интернет»:

• Предоставляющих возможность ознакомиться с предложением о заключении договора купли-продажи товара (выполнения работ, оказания услуг), заключить такой договор;
  
  
• При использовании агрегаторов информации в целях совершения в соответствии с законодательством Российской Федерации сделок купли-продажи товаров (выполнения работ, оказания услуг), заключения договоров аренды имущества и иных юридически значимых действий;
  
  
• В целях поиска работы и трудоустройства посредством информационных ресурсов поиска сотрудников и работы.

Участниками эксперимента являются (п.3):

• Семь министерств и ведомств РФ;
  
  
• Владельцы программ для электронных вычислительных машин и (или) сайтов в сети «Интернет», используемых для функционирования социальных сетей (далее - владельцы социальных сетей) - на добровольной основе по согласованию с Министерством цифрового развития, связи и массовых коммуникаций РФ;
  
  
• Владельцы агрегаторов информации и владельцы информационных ресурсов поиска сотрудников и работы - на добровольной основе по согласованию с Министерством цифрового развития, связи и массовых коммуникаций РФ;
  
  
• Граждане, юридические лица и индивидуальные предприниматели - на добровольной основе.

Среди прочего задачами эксперимента является апробация возможности использования функционала единой системы идентификации и аутентификации путем идентификации и аутентификации пользователей в целях (п.5):

• Регистрации в социальных сетях и их последующего использования;
  
  
• Заключения договоров купли-продажи товаров (выполнения работ, оказания услуг);
  
  
• Заключения договоров аренды имущества;
  
  
• Заключения договоров купли-продажи транспортных средств;
  
  
• Совершения иных юридически значимых действий посредством агрегаторов информации (за исключением юридически значимых действий в целях трудоустройства);
  
  
• Поиска работы и трудоустройства.

Условия участия в эксперименте и его проведения (п.6):

• Цена заключаемых в рамках эксперимента договоров не должна превышать 10 млн. рублей;
  
  
• Информационное взаимодействие между информационными системами и единой системой идентификации и аутентификации должно осуществляться с использованием средств криптографической защиты информации, имеющих подтверждение соответствия требованиям, установленным в соответствии со статьей 19 Федерального закона «О персональных данных» по классу защиты.

Источник: Консультант Плюс
http://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=381406

Эксперимент по авторизации в социальных сетях с использованием Единой системы идентификации и аутентификации

Постановлением Правительства Российской Федерации от 27 марта 2021 года №453 утверждено «Положение о проведении эксперимента по осуществлению идентификации и аутентификации с использованием федеральной государственной информационной системы «Единая система идентификации и аутентификации в инфраструктуре, обеспечивающей информационно-технологическое взаимодействие информационных систем, используемых для предоставления государственных и муниципальных услуг в электронной форме» пользователей социальных сетей, потребителей (заказчиков) и продавцов (исполнителей), иных сторон договоров при использовании ими информационных ресурсов в информационно-телекоммуникационной сети «Интернет», предоставляющих возможность ознакомиться с предложением о заключении договора купли-продажи товара (выполнения работ, оказания услуг), заключить такой договор, в том числе агрегаторов информации о товарах (услугах), а также пользователей информационных ресурсов поиска сотрудников и работы»

Положение устанавливает порядок проведения эксперимента по осуществлению идентификации и аутентификации:

• пользователей социальных сетей;
  
  
• потребителей (заказчиков) и продавцов (исполнителей), иных сторон договоров;
  
  
• агрегаторов информации о товарах (услугах);
  
  
• пользователей информационных ресурсов поиска сотрудников и работы.

при использовании ими информационных ресурсов в сети «Интернет», предоставляющих возможность:

• ознакомиться с предложением о заключении договора купли-продажи товара (выполнения работ, оказания услуг);
  
  
• заключить договор.

Задачами эксперимента являются обеспечение возможности присоединения к единой системе идентификации и аутентификации, а также использования ее функционала в целях осуществления идентификации и аутентификации пользователей, зарегистрированных в ней пользователей и получивших ключ простой электронной подписи при личной явке в соответствии с Правилами использования простой электронной подписи(п.5):

• владельцев агрегаторов информации и владельцев информационных ресурсов поиска сотрудников и работы;
  
  
• владельцев социальных сетей.

а также обеспечение возможности для пользователей, зарегистрированных в ЕСИА и получивших ключ простой электронной подписи, при личной явке предоставлять необходимые сведения о себе в целях регистрации в социальных сетях и их использования.

В ходе эксперимента будет проведена апробация возможности использования функционала ЕСИА путем идентификации и аутентификации пользователей в целях:

• регистрации в социальных сетях и их последующего использования;
  
  
• заключения договоров купли-продажи товаров (выполнения работ, оказания услуг);
  
  
• заключения договоров аренды имущества;
  
  
• заключения договоров купли-продажи транспортных средств;
  
  
• совершения иных юридически значимых действий посредством агрегаторов информации (за исключением юридически значимых действий в целях трудоустройства);
  
  
• поиска работы и трудоустройства.

Условия участия в эксперименте и его проведения (п.6):

• Цена заключаемых в рамках эксперимента договоров не должна превышать 10 млн. рублей;
  
  
• Информационное взаимодействие должно осуществляться с использованием средств криптографической защиты информации между единой системой идентификации и аутентификации и между
  
  
• информационными системами владельцев социальных сетей;
  
  
• информационными системами владельцев агрегаторов информации;
  
  
• информационными системами владельцев информационных ресурсов поиска сотрудников и работы.

Источник: Консультант Плюс
http://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=381406

ИСО: Опубликован стандарт ISO 22383:2020 «Руководство по выбору и оценке эффективности решений для аутентификации материальных товаров»

Как сообщил сайт Международной организации по стандартизации (ИСО), в сентябре 2020 года был опубликован стандарт ISO 22383:2020 «Безопасность и жизнестойкость – Аутентичность, целостность и доверие к продуктам и документам – Руководство по выбору и оценке эффективности решений для аутентификации материальных товаров» (Security and resilience - Authenticity, integrity and trust for products and documents - Guidelines for the selection and performance evaluation of authentication solutions for material goods) объёмом 34 страницы, см. https://www.iso.org/standard/50285.html и https://www.iso.org/obp/ui/#!iso:std:50285:en

Стандарт разработан техническим комитетом TC292 «Безопасность и жизнестойкость» (Security and resilience).

Во вводной части документа отмечается:

«Настоящий документ дает рекомендации в отношении критериев эффективности и методологии оценки решений для аутентификации, которые направлены на однозначное установление аутентичности и целостности материальных товаров на протяжении всего жизненного цикла этих товаров. Основное внимание уделяется аутентификации материального товара; и, где это уместно, его компоненты, части и взаимосвязанные данные:

• Защищены правами интеллектуальной собственности;
  
  
• Подпадают под действие соответствующего международного, регионального или национального законодательства;
  
  
• С последствиями, связанными с контрафакцией;
  
  
• Или с определенной идентичностью.

Настоящий документ применим в организациях любого типа и размера, которым нужно уметь подтверждать аутентичность и целостность материальных товаров. Стандарт поможет организациям определить категории элементов аутентификации, которые им необходимы для противодействия связанными с контрафактом рискам, а также критерии выбора элементов аутентификации после проведения оценки риска фальсификации.

Решения для аутентификации могут использоваться в таких областях, как борьба с контрафактом, предотвращение мошенничества с продуктами и предотвращение перенаправления грузов.

Настоящий документ не устанавливает экономические критерии, позволяющие сопоставить производительность и стоимость решений для аутентификации.»

Содержание стандарта следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Принципы
5. Установление критериев эффективности на основе анализа риска
6. Оценка эффективности решений для аутентификации
Приложения
Библиография

Источник: сайт ИСО
https://www.iso.org/standard/50285.html
https://www.iso.org/obp/ui/#!iso:std:50285:en