Перечень информации ограниченного доступа в сфере топливно-энергетического комплекса и порядок её использования

Президент Российской Федерации В.В.Путин указом от 28 сентября 2026 года №686 утвердил «Перечень информации в сфере топливно-энергетического комплекса, доступ к которой ограничен, и порядок ее использования».

Указ принят «в связи с необходимостью принятия безотлагательных мер в ответ на недружественные и противоречащие международному праву действия Соединенных Штатов Америки и примкнувших к ним иностранных государств и международных организаций и в соответствии с частями 1 и 2 статьи 9 Федерального закона от 27 июля 2006 г. №149-ФЗ «Об информации, информационных технологиях и о защите информации» и со статьей 4.2 Федерального закона от 4 июня 2018 г. №127-ФЗ «О мерах воздействия (противодействия) на недружественные действия Соединенных Штатов Америки и иных иностранных государств», и устанавливает:

• перечень информации в сфере топливно-энергетического комплекса, доступ к которой ограничен;
  
  
• обязательное соблюдение конфиденциальности информации, включенной в перечень, и реализацию необходимых для этого мер, предусмотренных законодательством РФ;
  
  
• порядок использования информации, включенной в перечень:

а) Распространение информации, в том числе с использованием средств массовой информации или информационно-телекоммуникационных сетей, включая сеть «Интернет», не допускается, за исключением раскрываемой юридическим лицом информации о своей деятельности;

б) Предоставление информации осуществляется на основаниях и в порядке, предусмотренных соглашением, заключенным между обладателем этой информации и лицом (лицами), получающим к ней доступ, за исключением случаев, указанных в подпункте «в» настоящего пункта;

в) Предоставление информации федеральными органами исполнительной власти, иными федеральными государственными органами, государственными органами субъектов РФ в рамках их компетенции и предоставление такой информации указанным органам осуществляются на основаниях и в порядке, предусмотренных законодательством Российской Федерации;

г) Доступ к информации содержащейся в государственных информационных системах федеральных органов исполнительной власти, осуществляется в порядке, предусмотренном законодательством РФ;

д) Предоставление информации и полученной с учетом установленных законодательством РФ требований к информационной безопасности из ГИС федеральных органов исполнительной власти, осуществляется в соответствии с утверждаемым Правительством РФ типовым регламентом автоматизированной обработки информации, полученной из ГИС федеральных органов исполнительной власти, если иное не предусмотрено законодательством РФ.

Правительству Российской Федерации поручено (п.4):

• В 10-дневный срок определить перечень кодов товаров в соответствии с единой Товарной номенклатурой внешнеэкономической деятельности Евразийского экономического союза и Общероссийским классификатором продукции по видам экономической деятельности, в отношении которых применяются положения настоящего Указа;
  
  
• Утвердить типовой регламент автоматизированной обработки информации, полученной из ГИС федеральных органов исполнительной власти;
  
  
• Привести свои акты в соответствие с настоящим Указом.

Перечень информации в сфере топливно-энергетического комплекса, доступ к которой ограничен

В перечень входят:

1. Информация об экспорте товаров юридическим лицом,

2. Агрегированная информация таможенной статистики об экспорте товаров юридическим лицом,

3. Информация об объемах переработки и производства товаров юридическим лицом - российским нефтеперерабатывающим заводом,

4. Информация о планируемых объемах реализации товаров и об объемах заключенных юридическим лицом и/или юридическим лицом, входящим с ним в одну группу лиц в соответствии с антимонопольным законодательством РФ, на биржевых торгах в основные торговые сессии каждого торгового дня соответствующего налогового периода сделок по продаже отдельных видов нефтепродуктов (высокооктанового (по исследовательскому методу 92 и более) автомобильного бензина и дизельного топлива, выпуск в обращение и обращение которых разрешены на территории РФ), выработанных юридическим лицом из нефтяного сырья, добытого и/или реализуемого хозяйствующим субъектом, занимающим доминирующее положение на соответствующем товарном рынке, в том числе лицами, входящими в одну группу лиц с таким хозяйствующим субъектом, и/или участниками биржевых торгов, которые действуют в интересах и за счет такого хозяйствующего субъекта или указанных лиц.

Мой комментарий: Данный указ Президента - это не просто техническое ограничение доступа к данным, а инструмент перестройки всего информационного пространства вокруг топливно-энергетического комплекса. По сути дела, создается «информационный вакуум» для внешних наблюдателей с тем, чтобы лишить их «информации для принятия решений», ввиду того, что:

• Санкционный контроль и отслеживание «теневого флота» строились на коммерческих данных - ценах, покупателях, маршрутах, страховщиках. Указ закрывает именно эти каналы;
  
  
• Ограничение агрегированной таможенной статистики «бьёт» по данным, которые использовались международными организациями и аналитическими центрами для оценки объёмов российского экспорта.

Второй уровень контроля – это управление информацией внутри страны.

• Биржевые данные о планируемых объёмах продаж бензина и дизеля крупными игроками теперь закрыты;
  
  
• Указ оставляет лазейку - компания может сама раскрыть информацию о своей деятельности. Это означает, что поток данных переходит под полный контроль организаций. 

Указ ссылается на ФЗ №149 «Об информации» и ФЗ №127 «О мерах воздействия». С августа 2024 года в законе появилась норма, позволяющая ограничивать доступ к информации актами Президента РФ.  В самом указе не установлено конкретных наказаний за нарушение его положений. 

Источник: Консультант Плюс
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=545416

США: Новое руководство ISOO предписывает федеральным органам предоставлять подрядчикам более подробные разъяснения по вопросам работы с контролируемой несекретной информацией

Данная заметка была опубликована 11 сентября 2026 года на сайте юридической фирмы Crowell.

Мой комментарий: Здесь речь идёт о руководстве, выпущенном Офисом по контролю над информационной безопасностью (Information Security Oversight Office, ISOO, https://www.archives.gov/isoo ), входящим в структуру Национальных Архивов США. Речь идёт о «контролируемой несекретной информации» (Controlled Unclassified Information, CUI), которая примерно соответствует российским грифам «для служебного использования» и «служебная тайна». Подробнее о CUI см. подборку моих постов на блоге https://rusrim.blogspot.com/search/label/CUI.

2 сентября 2026 года Офис по контролю над информационной безопасностью (Information Security Oversight Office, ISOO) Национальных Архивов США (NARA) выпустил два новых уведомления (страница уведомлений располагается по адресу https://www.archives.gov/isoo/notices ), касающихся «контролируемой несекретной информации» (Controlled Unclassified Information, CUI): 

• уведомление ISOO № 2026-07 «Руководство для агентов федерального правительства по внедрению программы управления контролируемой несекретной информацией» (Executive Agent Guidance for Implementation of the Controlled Unclassified Information Program, см. https://www.archives.gov/files/isoo/notices/isoo-notice-2026-07-executive-agent-guidance-on-implementation-of-cui-program-508.pdf ); и 
  
  
• уведомление ISOO № 2026-08 «Программа управления контролируемой несекретной информации (CUI): Пересмотренные требования к исключениям» (Controlled Unclassified Information (CUI) Program Revised Requirements for Waivers, https://www.archives.gov/files/isoo/notices/isoo-notice-2026-08-cui-program-revised-requirements-for-waivers-508.pdf ).

«Контролируемая несекретная информация» (CUI) - это, согласно определению, данному в разделе 2002.4(h) части 32 Свода федеральных нормативных актов США (CFR, см. https://www.ecfr.gov/current/title-32/part-2002#p-2002.4(h) ) - категория информации, создаваемой или находящейся во владении федерального правительства (либо создаваемой или находящейся во владении сторонней организации по поручению или от имени федерального правительства), которая требует защиты или контроля распространения, но не относится к категории секретной информации. 

Контракты с федеральным правительством часто обязывают подрядчиков применять повышенные меры кибербезопасности и физической защиты для обеспечения сохранности CUI. Предполагается, что федеральные органы исполнительной власти должны информировать подрядчиков о том, какая именно относящаяся к контракту информация имеет статус CUI. Однако на практике подрядчикам зачастую сложно определить, что относится к «контролируемой несекретной информации». Кроме того, положения контрактов о защите и порядке обращения с CUI часто различаются в зависимости от конкретных программ и ведомств, а процессы выявления CUI-информации не унифицированы и порой недостаточно ясны.

Уведомление ISOO № 2026-07 «Руководство для агентов федерального правительства по внедрению программы управления контролируемой несекретной информацией» стремится решить некоторые из этих проблем. Ни данное уведомление, ни сопутствующее ему уведомление, касающееся исключений из требований к CUI (№ 2026-08), не адресованы и не применимы непосредственно к подрядчикам (оба документа предназначены для федеральных органов исполнительной власти), - однако они, тем не менее, может быть полезны и для подрядчиков. 

Важно отметить, что в уведомлении ISOO № 2026-07 федеральным органам исполнительной власти предписывается, в рамках «всех контрактов, требующих доступа к контролируемой несекретной информации», предоставлять генеральным подрядчикам как минимум следующие разъяснения:

• Выявление / идентификация конкретной информации, предоставленной государственным органом и отнесенной к категории CUI;
  
  
• Порядок отнесения созданной подрядчиком информации к категории CUI;
  
  
• Порядок оспаривания отнесения информации к категории CUI;
  
  
• Требования к обучению и соответствующие ресурсы;
  
  
• Требования к доступу;
  
  
• Требования к маркировке;
  
  
• Требования к обеспечению защиты;
  
  
• Требования к снятию с контроля и к проведению уничтожения CUI-информации;
  
  
• Требования к отчетности;
  
  
• Требования к проведению самопроверок;
  
  
• Порядок информирования о случаях ненадлежащего использования CUI; и
  
  
• Санкции за ненадлежащее использование CUI.

В уведомлении ISOO № 2026-07 содержатся дополнительные подробности по ряду указанных вопросов. Например, уведомление предписывает федеральным органам своевременно снимать статус CUI, когда информация более не требует защиты, а также «для всех видов CUI-информации указывать конкретную дату или событие, при наступлении которых снимается статус CUI». Кроме того, данный документ обязывает федеральные органы исполнительной власти внедрить процессы своевременного доведения до сведения заинтересованных сторон решений, принятых в случае оспаривания статуса CUI (т.е. решений, принятых по результатам рассмотрения возражений относительно отнесения информации к категории CUI).

Ключевые выводы для подрядчиков федеральных органов власти

Данное руководство служит очередным свидетельством того, что федеральной правительство США стремится более четко доводить до подрядчиков требования по обращению с CUI-информацией (контролируемой несекретной информацией). 

Ранее этим летом Совет по правилам федеральных закупок (Federal Acquisition Regulatory Council, FAR Council) опубликовал обновленный проект долгожданного «правила FAR в отношении CUI» (см. https://www.crowell.com/en/insights/client-alerts/last-call-far-cui-rule-draft-language-provides-an-opportunity-for-contractors-to-weigh-in-by-this-week ), предусматривающий введение новой стандартной формы, в которой будут перечислены все виды CUI, с которыми предполагается работать в ходе исполнения контракта. 

В то время. пока идет рассмотрение замечаний и предложений, поступивших на предложенный проект правилу, новые уведомления ISOO могут стать первым шагом к обеспечению большей ясности в отношении требований к работе с CUI в рамках контрактов. 

По мере того как федеральные ведомства начнут применять эти рекомендации, подрядчикам, со своей стороны, следует рассмотреть возможность инициативного запроса предусмотренной данным документом информации. Получение таких четких разъяснений в письменном виде на начальном этапе договорных отношений поможет четко определить обязательства по исполнению существующих требований и минимизировать риски, связанные как с избыточной, так и с недостаточной защитой CUI-информации.

Источник: сайт фирмы Crowell
https://www.crowell.com/en/insights/client-alerts/new-isoo-guidance-directs-federal-agencies-to-provide-more-cui-guidance-to-contractors  

Великобритания: Сохранение электронной почты увольняющихся сотрудников

На форумах для специалистов по управлению документами коллеги временами задают интересные вопросы и получают заслуживающие внимания ответы от специалистов с богатым практическим опытом. 

В листе рассылки RECORDS-MANAGEMENT-UK@JISCMAIL.AC.UK 1 сентября 2026 года был задан следующий вопрос:

Лорен Кук (Lauren Cook): Когда сотрудник покидает Вашу компанию, его учётная запись, вероятно, блокируется или удаляется. В течение какого срока после увольнения сотрудника сохраняются его сообщения электронной почты? Есть ли у Вас процедура продления или сокращения этого срока?

На вопрос ответила Рейчел Митчелл (Rachel Mitchell – на фото), специалист шотландской консалтинговой компании Risio Solutions Ltd, специализирующейся на управлении информацией, защите данных и управлении документами.

Рейчел Митчелл: Как все мы знаем в сфере управления документами, электронная почта - это одновременно и благословение, и проклятие. 11 лет назад я написала магистерскую диссертацию по теме управления электронной почтой, - и как мне кажется, с тех пор немногое изменилось! Проблемные вопросы, судя по всему, остались прежними.

В настоящее время я не работаю на какую-либо конкретную организацию; я стараюсь помогать организациям ориентироваться в проблемах работы с электронной почтой в более широких рамках управления внутренними и внешними коммуникациями (поощряя, например, использование чатов в каналах Teams для внутренних обсуждений вместо электронной почты) …

Вот моё текущее понимание и наилучший, с моей точки зрения, подход к работе с электронной почтой в случае, если она хранится в Outlook:

Когда сотрудник увольняется, его учетная запись в Microsoft 365 обычно блокируется, а его лицензия Exchange Online удаляется в рамках процедуры увольнения. Если не применяется политика в отношении сроков хранения, временный запрет на уничтожение (legal hold – такие запреты обычно связаны с идущими или ожидаемыми судебными спорами – Н.Х.)  или иной механизм обеспечения сохранности, то Microsoft 365 сохраняет почтовый ящик в течение 30 дней после отзыва лицензии или удаления учётной записи. В течение этого периода почтовый ящик можно восстановить, заново прикрепив лицензию или восстановив учётную запись пользователя. По истечении 30-дневного периода почтовый ящик и всё его содержимое безвозвратно удаляются. 

С учётом этого, у организации должен быть документированный процесс определения того, как следует поступить с почтовым ящиком увольняющегося сотрудника - например:

• разрешить удаление почтового ящика по истечении 30 дней;
  
  
• преобразовать его в общий почтовый ящик для обеспечения дальнейшего доступа к данным в ходе деловой деятельности;
  
  
• сохранять и после истечения 30 дней с использованием политик хранения Microsoft Purview;
  
  
• сохранять в течение срока действия временного запрета на уничтожение; или
  
  
• сохранять в течение более длительного периода в соответствии с подходом вроде метода «Верхушка пирамиды» (Capstone), применяемого в отношении переписки старших должностных лиц и ключевых лиц, принимающих решения.

На мой взгляд, электронная почта в индивидуальных учётных записях должна управляться на протяжении всего её жизненного цикла в соответствии с установленной политикой в отношении сроков хранения, - не полагаясь на стандартные сроки Microsoft проведения уничтожения по окончании срока действия учётной записи. 

Организации следует рассмотреть вопрос о целесообразности использования подхода типа «Верхушка пирамиды» (Capstone), при котором сроки хранения привязаны к роли и связанным с принятием решений должностным обязанностям конкретного сотрудника. Например, почтовые ящики, принадлежащие руководителю службы внутреннего аудита, руководителям служб, директорам по направлениям деятельности и другим высокопоставленным лицам, принимающим решения, могут потребовать более длительных сроков хранения, чем почтовые ящики рядовых сотрудников, - что отражает большую доказательную, историческую ценность и ценность для подотчетности создаваемых ими документов.

Организация также должен обеспечить, чтобы в рамках процедуры увольнения все увольняющиеся сотрудники были обязаны проанализировать содержимое своих почтовых ящиков и разделов OneDrive, и перенести всю деловую информацию, все материалы и документы, которые следует сохранить, в соответствующие корпоративные хранилища. Важная информация не должна оставаться исключительно в личном почтовом ящике или личном хранилище сотрудника. Такой подход помогает обеспечить сохранение доступности документов, возможности поиска по ним и применение к ним установленных организацией сроков хранения и мер управления и после увольнения сотрудника.

Таким образом, решения в отношении сроков хранения должны приниматься на основе политики организации в сфере управления документами и указаний по срокам хранения и действиям по их истечении, - а не на основе статуса занятости сотрудника. Организация также должна быть в состоянии объяснить, как обеспечивается доступность подлежащей сохранению электронной почты после отключения учётной записи, и каким образом существующие системы резервного копирования поддерживают (но не заменяют!) формально установленные правила обеспечения сохранности и управления документами.

Я всегда говорю: сначала определите свои деловые требования, а затем найдите наилучший способ их удовлетворения с помощью технологий - но не наоборот.

Рейчел Митчелл (Rachel Mitchell)

Источник: Новостная рассылка RECORDS-MANAGEMENT-UK@JISCMAIL.AC.UK 

Грифы конфиденциальности / секретности - недостающее звено в управлении информационной безопасностью, часть 2

(Окончание, начало см. https://rusrim.blogspot.com/2026/10/1_01189602972.html )

Использование облачных вычислений делает классификацию по степени конфиденциальности и грифы ещё более важными

Современные рабочие места в значительной степени полагаются на облачные платформы для совместной работы, такие как Microsoft 365, SharePoint Online, OneDrive, Google Workspace, Dropbox, Box, AWS и другие облачные сервисы.

Информация теперь беспрепятственно перемещается между ноутбуками, смартфонами, планшетами, рабочими пространствами для совместной работы и приложениями на базе искусственного интеллекта. В отсутствие единой системы классификации организации теряют возможность видеть и контролировать то, как обрабатывается информация.

Использование грифов позволяют облачным платформам автоматизировать такие меры и средства контроля и управления, как:

• грифы конфиденциальности;
  
  
• шифрование;
  
  
• ограничения доступа;
  
  
• водяные знаки;
  
  
• предотвращение утраты данных (Data Loss Prevention, DLP);
  
  
• политики установления и отслеживания сроков хранения;
  
  
• контроль обмена данными с внешними сторонами; и
  
  
• управление правами доступа.

Вместо того чтобы при принятии связанных с безопасностью решений полагаться исключительно на пользователей, организации могут встроить обработку грифов в автоматизированные процессы управления, что снижает количество человеческих ошибок и повышает степень соответствия законодательно-нормативным требованиям.

Электронная почта остаётся одним из самых больших источников риска

Несмотря на достижения в области кибербезопасности, электронная почта по-прежнему остается одним из тех мест, откуда чаще всего идут утечки информации.

Конфиденциальные документы регулярно пересылаются за пределы организации, загружаются в личные облачные хранилища и передаются другим сторонам без использования надлежащих мер защиты.

Надежная программа установления и использования грифов обеспечивает наследование, электронными письмами и их вложениями соответствующей классификации по степени конфиденциальности (секретности), давая возможность организациям автоматически применять шифрование, предотвращать несанкционированную пересылку, ограничивать скачивание, а также предупреждать пользователей до того, как конфиденциальная информация покинет организацию.

Использование грифов трансформирует усилия по обеспечению безопасности электронной почты из ретроспективно проводимого мониторинга в опережающее, профилактическое управление информацией.

Внедрение искусственного интеллекта повышает ставки

Быстрое внедрение генеративного ИИ создает новые проблемы для стратегического и оперативного управления информацией.

Сотрудники могут непреднамеренно раскрыть конфиденциальную или регламентируемую информацию, отправляя свои подсказки (запросы) в общедоступные сервисы ИИ, - не понимая при этом, как эта информация может быть обработана или сохранена.

Использование грифов обеспечивает практический механизм управления для ИИ посредством определения того, какие категории информации могут:

• вводиться в системы ИИ;
  
  
• храниться в одобренных внутренних ИИ-средах;
  
  
• требовать анонимизации перед использованием; или
  
  
• полностью запрещаться для обработки с помощью ИИ.

По мере того, как организации разрабатывают и внедряют концепции ответственного использованию ИИ, классификация информации станет одним из основных механизмов контроля и управления, поддерживающих безопасное и этичное внедрение ИИ.

Обеспечение информационной безопасности - ответственность каждого

Грифы эффективны только тогда, когда их использование поддерживается культурой ответственности за информацию.

Сотрудники должны понимать не только то, как классифицировать информацию, но и почему классификация важна. Регулярно проводимые программы повышения осведомленности должны закреплять надлежащие методы обработки информации - в системах электронной почты, на платформах для совместной работы, в облачных хранилищах, на мобильных устройствах и в бумажных документах.

Если сотрудники понимают деловую ценность информации и последствия ненадлежащего обращения с ней, то грифы становятся повседневно используемым инструментом принятия решений, а не просто бюрократическим упражнением.

Создание зрелой программы информационной безопасности

Грифы не должны существовать изолированно; они должны быть частью интегрированной программы управления информационной безопасностью, в рамках которой обеспечивается согласованность деятельности в сферах информационной безопасности, управления документами, защиты персональных данных, кибербезопасности, управление рисками и обеспечение непрерывности деловой деятельности.

При поддержке признанных в мировом масштабе стандартов, таких как ISO/IEC 27001, ISO/IEC 27002, ISO 15489, ISO 30301 и ISO 31000, грифы становится стратегическим механизмом управления, позволяющим организациям защищать свой самый ценный актив - информацию.

Технологические решения сами по себе не могут определить, какая информация важна. Это делают люди и система управления.

Грифы представляют собой «общий язык», связывающий управление информацией с кибербезопасностью, который позволяет организациям применять правильные меры контроля и управления, к правильной информации и в нужное время.

В современной цифровой среде использование грифов уже не является опциональным – они становятся ключевым по важности элементом.

А как Ваша организация интегрировала грифы конфиденциальности (секретности) в свою программу управления информационной безопасностью? Определяют ли грифы то, как и какие меры безопасности применяются - или же это просто пометки на документах? Я буду рад узнать Ваши мысли и познакомиться с Вашим опытом.

Эмерсон Брайан (Emerson Bryan)

Источник: LinkedIn
https://www.linkedin.com/pulse/protective-markings-missing-link-information-security-emerson-fghbe/ 

Грифы конфиденциальности / секретности - недостающее звено в управлении информационной безопасностью, часть 1

Данный пост специалиста по управлению информацией и знаниями из Барбадоса Эмерсона Брайана (Emerson Bryan - на фото) был опубликован 19 августа 2026 года в социальной сети LinkedIn.

По мере того, как организации ускоряют своё движение по пути цифровой трансформации, огромные инвестиции вкладываются в технологии кибербезопасности - межсетевые экраны, защиту конечных точек, многофакторную аутентификацию, архитектуры нулевого доверия и облачные платформы безопасности. Однако в то же время многие организации продолжают упускать из виду один из самых фундаментальных элементов эффективной программы менеджмента информационной безопасности – грифы конфиденциальности / секретности (protective markings).

Технологические меры могут защитить информацию только в том случае, если известно, что именно нуждается в защите. Грифы как раз и предоставляют эти сведения.

Грифы классифицируют информацию в соответствии со степенью её конфиденциальности (секретности) и потенциальными последствиями её несанкционированного раскрытия, изменения или уничтожения. Они способствуют применению организациями соразмерных организационных, физических и технических меры контроля и управления на протяжении всего жизненного цикла информации - от создания до уничтожения.

По сути, грифы дают ответ на простой, но критически важный вопрос: «Как следует обращаться с этой информацией?»

Не просто отметки

Грифы нередко ошибочно воспринимают просто как проставленные пометки «Конфиденциально» или «Секретно». На самом же деле они формирует концептуальную структуру стратегического управления, которая влияет на каждый аспект информационной безопасности.

Эффективный режим использования грифов определяет:

• кто может получить доступ к информации;
  
  
• где информация может храниться;
  
  
• требуется ли шифрование;
  
  
• каким образом может осуществляться передача информации;
  
  
• можно ли информацию передавать внешним сторонам;
  
  
• как долго информация должна храниться; и
  
  
• каким образом следует проводить безопасное уничтожение информации.

Эти требования в равной степени применимы к бумажным документам, электронной почте, платформам для совместной работы, облачным хранилищам, базам данных, мобильным устройствам, приложениям искусственного интеллекта и электронным архивам.

В отсутствие последовательного установления грифов, организации часто используют либо чрезмерные меры контроля, которые снижают производительность, либо недостаточные меры, которые подвергают конфиденциальную информацию ненужным рискам.

Фундамент обеспечения информационной безопасности на базе стандартов ИСО

Важность классификации информации по степени секретности / конфиденциальности признается всеми соответствующими стандарта ми Международной организации по стандартизации (ИСО).

Стандарт ISO/IEC 27001:2022 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни – Система менеджмента информационной безопасности – Требования» (Information security, cybersecurity and privacy protection - Information security management systems – Requirements, см. https://www.iso.org/standard/82875.html и https://www.iso.org/obp/ui/#iso:std:iso-iec:27001:ed-3:v1:en , а также мой пост https://rusrim.blogspot.com/2022/11/isoiec-270012022.html . В России стандарт адаптирован как ГОСТ Р ИСО/МЭК 27001-2021 «Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования», см. https://protect.gost.ru/gost/details/5e4acc56-cecf-41d4-a64f-95b3bac0d54f  - Н.Х.). 

Это международный стандарт для систем менеджмента информационной безопасности (СМИБ), который требует от организаций устанавливать меры контроля и управления информационной безопасности на основе оценки рисков. Грифы позволяют принимать решения на основе оценки рисков посредством указания уровня защиты, необходимого для каждого информационного актива.

Стандарт ISO/IEC 27002:2022 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни - Меры и средства обеспечения информационной безопасности» (Information security, cybersecurity and privacy protection - Information security controls, см. https://www.iso.org/standard/75652.html и https://www.iso.org/obp/ui/en/#!iso:std:75652:en , а также мой пост http://rusrim.blogspot.com/2023/06/isoiec-270022022.html . В России стандарт адаптирован как ГОСТ Р ИСО/МЭК 27002-2021 «Информационные технологии. Методы и средства обеспечения безопасности. Свод норм и правил применения мер обеспечения информационной безопасности», см. https://protect.gost.ru/gost/details/be00167c-6e26-4042-ac31-36be8a9d6b2e , на основе редакции международного стандарта ISO/IEC 27002, выпущенной в 2013 году – Н.Х.).

Данный стандарт, содержащий рекомендации по внедрению мер безопасности, подчеркивает важность классификации информации, установления грифов, процедур обработки и соответствующих мер управления доступом для обеспечения того, чтобы меры защиты информации были соизмеримы с ее ценностью и конфиденциальностью.

Грифы также дополняют меры, предусмотренные стандартом ISO 31000:2018 «Менеджмент риска - Руководство» (Risk management – Guidelines, https://www.iso.org/standard/65694.html , см. также мой пост о нём https://rusrim.blogspot.com/2018/02/iso-310002018.html . В России стандарт адаптирован как ГОСТ Р ИСО 31000-2019 «Менеджмент риска. Принципы и руководство», см. https://protect.gost.ru/gost/details/6a383140-61f9-458c-8663-e919a5782434 и мой пост https://rusrim.blogspot.com/2020/03/31000-2019.html - Н.Х.) – поддерживая структурированный подход к оценке влияния компрометации информации на деловую деятельность и к выбору соразмерных мер.

С точки зрения управления документами и информацией, стандарт ISO 15489-1:2016 «Информация и документация - Управление документами - Часть 1: Понятия и принципы» (Information and documentation - Records management - Part 1: Concepts and principles, см. https://www.iso.org/standard/62542.html и https://www.iso.org/obp/ui/en/#!iso:std:62542:en ; данный стандарт был адаптирован в России как ГОСТ Р ИСО 15489-1-2019 (ISO 15489-1:2016) «Система стандартов по информации, библиотечному и издательскому делу. Информация и документация. Управление документами. Часть 1. Понятия и принципы», см. https://protect.gost.ru/gost/details/2497916a-b91d-4248-a025-f898920fa001 - Н.Х.). - подчеркивает необходимость захвата документов вместе с достаточным количеством метаданных с целью обеспечения аутентичности, надежности, целостности, пригодности к использованию и контролируемого доступа. Грифы являются важным компонентом этих метаданных, обеспечивая надлежащую защиту документов на протяжении всего их жизненного цикла.

Организации, внедряющие стандарт ISO 30301:2019 «Информация и документация - Системы менеджмента документов - Требования» (Information and documentation - Management systems for records – Requirements, см. https://www.iso.org/standard/74292.html и https://www.iso.org/obp/ui/en/#!iso:std:74292:en , а также мой пост https://rusrim.blogspot.com/2019/02/iso-30301.html . Стандарт адаптирован в России дважды - как ГОСТ Р 7.0.101-2018 / ИСО 30301:2011 «Система стандартов по информации, библиотечному и издательскому делу. Информация и документация. Системы управления документами. Требования». см. https://protect.gost.ru/gost/details/a2fe605e-7c73-428b-b519-4fa57f633907 (мой пост о нём: https://rusrim.blogspot.com/2018/03/iso-30301.html ); и как ГОСТ Р ИСО 30301-2014 «Информация и документация. Системы менеджмента записей. Требования», см. https://protect.gost.ru/gost/details/326cfa1c-9701-4bf2-bb00-4d01e65f38d3 и мой пост https://rusrim.blogspot.com/2015/03/blog-post_98.html - Н.Х.)  - аналогичным образом выигрывают от интеграции грифов в управление документами, обеспечивая встраивание защиты информации в процессы организации, вместо того, чтобы рассматривать её как отдельное направление деятельности по обеспечению безопасности.

Мой комментарий: С моей точки зрения, автор незаслуженно забыл ещё один международный стандарт в двух частях:

• стандарт ISO 4669-1:2023 «Управление контентом - Установление грифов конфиденциальности информации, её маркировка и обработка – Часть 1: Требования» (Document management — Information classification, marking and handling - Part 1: Requirements), см. https://www.iso.org/standard/80233.html и https://www.iso.org/obp/ui/#!iso:std:80233:en, а также мой пост https://rusrim.blogspot.com/2023/06/iso-4669-12023-1.html 
  
  
• стандарт ISO 4669-2:2025 «Управление контентом - Установление грифов конфиденциальности информации, её маркировка и обработка – Часть 2: Функциональные и технические требования для ICMH-решений» (Document management - Information classification, marking and handling - Part 2: Functional and technical requirements for ICMH solutions), см. https://www.iso.org/standard/83478.html и https://www.iso.org/obp/ui/en/#!iso:std:83478:en , а также мой пост https://rusrim.blogspot.com/2025/05/iso-4669-22025-icmh.html .

(Окончание следует, см. http://rusrim.blogspot.com/2026/10/2_01773863656.html )

Эмерсон Брайан (Emerson Bryan)

Источник: LinkedIn
https://www.linkedin.com/pulse/protective-markings-missing-link-information-security-emerson-fghbe/ 

Порядок взаимодействия с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ

ФСБ России приказом от 6 августа 2026 года №297 утвердила «Порядок взаимодействия операторов государственных информационных систем, иных информационных систем государственных органов, государственных унитарных предприятий, государственных учреждений с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование ФСБ России о компьютерных инцидентах, повлекших неправомерную передачу содержащейся в указанных информационных системах информации», вступивший в силу с 1 сентября 2026 года.

Взаимодействие операторов государственных информационных систем, иных информационных систем государственных органов, государственных унитарных предприятий, государственных учреждений с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (ГосСОПКА), включая информирование ФСБ России о компьютерных инцидентах, повлекших неправомерную передачу содержащейся в информационных системах информации, осуществляется через Национальный координационный центр по компьютерным инцидентам (НКЦКИ ) посредством подключения к технической инфраструктуре НКЦКИ, предназначенной для отправки, получения, обработки и хранения уведомлений и запросов в рамках информационного взаимодействия с субъектами критической информационной инфраструктуры, а также с иными не являющимися субъектами критической информационной инфраструктуры органами и организациями, в том числе иностранными и международными (п.1).

Взаимодействие операторов ИС с ГосСОПКА, включая информирование ФСБ России о компьютерных инцидентах, повлекших неправомерную передачу содержащейся в ИС информации, осуществляется в целях (п.2):

• Направления операторами в НКЦКИ информации о компьютерных инцидентах, связанных с нарушением функционирования принадлежащих им на праве собственности, аренды или ином законном основании технических средств ИС, используемых для обработки содержащейся в базах данных ИС информации, и реагирования на компьютерные инциденты;
  
  
• Информирования НКЦКИ операторов об угрозах безопасности информации, в том числе о готовящихся компьютерных атаках и признаках компьютерных инцидентов и необходимых мерах по противодействию им.

Операторы обязаны направлять информацию о компьютерных инцидентах и получать информацию об угрозах безопасности информации, в том числе о готовящихся компьютерных атаках и признаках компьютерных инцидентов, связанных с функционированием принадлежащих им на праве собственности, аренды или ином законном основании технических средств информационных систем, используемых для обработки содержащейся в базах данных ИС информации, и необходимых мерах по противодействию им с использованием персональной страницы, зарегистрированной в технической инфраструктуре НКЦКИ (личного кабинета), в соответствии с определенными НКЦКИ форматами представления информации о компьютерных атаках и компьютерных инцидентах в ГосСОПКА (п.3).

В случаях технических сбоев и (или) отсутствия связи с личным кабинетом информация о компьютерных инцидентах должна быть направлена в НКЦКИ с использованием резервных каналов связи (почтового адреса и (или) адреса электронной почты), указанных операторами в личном кабинете, в соответствии с определенными НКЦКИ форматами представления информации о компьютерных атаках и инцидентах в ГосСОПКА.

Подключение к личному кабинету, осуществляемое в целях взаимодействия, организуется после заключения регламента взаимодействия НКЦКИ и владельцев информационных ресурсов РФ при информировании ФСБ России о компьютерных атаках и инцидентах, реагировании на компьютерные инциденты и принятии мер по ликвидации последствий компьютерных атак в отношении значимых объектов критической информационной инфраструктуры и иных информационных ресурсов РФ принадлежащих органам и организациям (п.4).

Информация о компьютерных инцидентах направляется в НКЦКИ операторами в срок не позднее 24 часов с момента их обнаружения (п.5).

Передача операторами в НКЦКИ информации о компьютерных инцидентах подтверждается посредством присвоения НКЦКИ компьютерному инциденту идентификатора (п.6). Идентификатор присваивается в личном кабинете в течение 24 часов с момента получения информации о нём.

Операторы вправе посредством личного кабинета обратиться в НКЦКИ для оказания им содействия в реагировании на компьютерные инциденты и привлечения сил ГосСОПКА (п.7).

НКЦКИ в целях информирования операторов и оказания им содействия в реагировании на компьютерные инциденты осуществляется (п.8):

• Доведение до операторов информации об угрозах безопасности информации, в том числе о готовящихся компьютерных атаках и признаках компьютерных инцидентов и необходимых мерах по противодействию им;
  
  
• Доведение до операторов информации о средствах и способах проведения компьютерных атак и методах их обнаружения и предупреждения;
  
  
• Направление операторам запросов о представлении дополнительных сведений об угрозах безопасности информации, в том числе о признаках компьютерных инцидентов;
  
  
• Реагирование на компьютерные инциденты при наличии такой необходимости;
  
  
• Обеспечение методической и экспертной поддержки по вопросам реагирования на компьютерные инциденты.

Операторы в течение 24 часов с момента получения от НКЦКИ информации о готовящихся компьютерных атаках и признаках компьютерных инцидентов обязаны направить в НКЦКИ информацию о проводимых мероприятиях по их предупреждению (п.9).

В случае получения запроса операторы в течение 24 часов с момента его получения обязаны направить в НКЦКИ запрашиваемые сведения или уведомление о невозможности их представления в обозначенный срок, с указанием причин и срока, в который данные сведения будут представлены (п.10).

Мой комментарий: В условиях нарастания угроз в цифровой сфере и ужесточения государственного контроля за объектами критической информационной инфраструктуры (КИИ), документирование компьютерных инцидентов перестаёт быть вспомогательной учётной функцией.

В рамках взаимодействия операторов с НКЦКИ обязательному документированию подлежат следующие факты и действия: 

• Обнаружение компьютерного инцидента - Электронное уведомление по установленному формату;
  
  
• Передача информации об инциденте в НКЦКИ - Отправка через личный кабинет или резервный канал;
  
  
• Присвоение инциденту идентификатора - Запись в личном кабинете оператора;
  
  
• Получение информации об угрозах и готовящихся атаках - Автоматическая отметка о доставке и прочтении;
  
  
• Мероприятия по предупреждению атак - Отчет о принятых мерах;
  
  
• Ответы на запросы НКЦКИ - Направление запрашиваемых сведений или обоснование невозможности ответа в срок;
  
  
• Сбои в работе личного кабинета - Фиксация сбоя и направление уведомления по резервным каналам.

Для организации документирования операторам потребуется:

• Разработать и утвердить внутренний регламент взаимодействия с НКЦКИ, включающий все этапы документирования;
  
  
• Обеспечить техническую интеграцию систем мониторинга с личным кабинетом для автоматического формирования уведомлений;
  
  
• Назначить ответственных лиц с правом подписи (УКЭП) и обязанностью круглосуточного контроля;
  
  
• Проводить регулярные учения по процедуре документирования при сбоях системы;
  
  
• Создать архив электронных документов с возможностью быстрого поиска и предоставления по запросу контролирующих органов.

Источник: Консультант Плюс
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=542523

Установлен порядок цензурирования на публичной кадастровой карте сведений о важных и опасных объектах

Федеральный закон от 26.07.2026 №263-ФЗ «О внесении изменений в статью 12 Федерального закона «О государственной регистрации недвижимости»» дополнил статью 12 федерального закона от 13 июля 2015 года №218-ФЗ «О государственной регистрации недвижимости» частями 6-11.

В пояснительной записке к законопроекту отмечалось, что «с учетом значительно возросших угроз в отношении оборонных объектов, а также гражданских объектов, законопроектом предлагается предусмотреть возможность исключения с публичной кадастровой карты сведений о зданиях, сооружениях, объектах незавершенного строительства и связанных с такими объектами иных сведений, содержащихся в ЕГРН, в том числе в отношении земельных участков, на которых расположены данные объекты недвижимости, а также возможность возобновления отображения таких сведений на публичной кадастровой карте». 

В целях защиты важных государственных, особо важных, особо режимных, режимных, критически важных и потенциально опасных объектов, включая объекты топливно-энергетического комплекса и объекты транспортной инфраструктуры, может быть прекращено воспроизведение отображенных на публичной кадастровой карте сведений о зданиях, сооружениях, об объектах незавершенного строительства и связанных с данными объектами иных сведений, содержащихся в Едином государственном реестре недвижимости, в том числе в отношении земельных участков, на которых расположены данные объекты (за исключением сведений о местоположении границ этих земельных участков), и (или) сведений о зонах с особыми условиями использования территорий, установленных в отношении данных объектов (за исключением сведений о границах указанных зон и об установленных ограничениях в них) (ч.6).

Прекращение воспроизведения или его возобновление осуществляется на основании представляемого в орган регистрации прав заявления (ч.7):

• Федеральных органов исполнительной власти, Государственной корпорации по атомной энергии «Росатом», Государственной корпорации по содействию разработке, производству и экспорту высокотехнологичной промышленной продукции «Ростех» или Государственной корпорации по космической деятельности «Роскосмос»;
  
  
• Правообладателя объекта недвижимости, не являющегося лицом, указанным в пункте 1 настоящей части.

Форма заявления и требования к его заполнению, а также требования к формату этого заявления и прилагаемых к нему документов в электронной форме, способ подачи этого заявления утверждаются органом нормативно-правового регулирования (ч.8).

Для рассмотрения вопроса о прекращении воспроизведения или вопроса о его возобновлении по заявлению в органе регистрации прав создается комиссия по проведению оценки сведений, отображенных на публичной кадастровой карте (далее - оценочная комиссия) (п.10).

Федеральный закон вступает в силу по истечении девяноста дней после дня его официального опубликования.
 
Мой комментарий: Государство официально признало, что:

• Кадастровые данные являются не только объектом гражданского оборота, но и ресурсом стратегического значения;
  
  
• Открытость сведений в отношении объектов КИИ, ТЭК и транспорта может представлять собой угрозу национальной безопасности;

Поскольку полная открытость кадастра несовместима с задачами безопасности в новых геополитических условиях, была скорректирована прежняя модель доступности «все данные – всем гражданам».

Источник: Консультант Плюс
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=540342
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=PRJ;n=272362

Режим налоговой тайны сохраняется при передаче сведений в федеральные органы исполнительной власти, уполномоченные Правительством РФ

Федеральный закон от 4 августа 2026 года №281-ФЗ «О внесении изменения в статью 102 части первой Налогового кодекса Российской Федерации» дополнил статью 102 части первой Налогового кодекса пунктом 15.2 следующего содержания:

15.2. Положения настоящей статьи в части запрета на разглашение сведений, составляющих налоговую тайну, требований к специальному режиму хранения указанных сведений и доступа к ним, ответственности за утрату документов, содержащих указанные сведения, или за разглашение указанных сведений распространяются на сведения, составляющие налоговую тайну, передаваемые налоговыми органами в соответствии с Федеральным законом от 28 декабря 2009 года №381-ФЗ «Об основах государственного регулирования торговой деятельности в Российской Федерации» в федеральные органы исполнительной власти, уполномоченные Правительством Российской Федерации.

Доступ к предусмотренным настоящим пунктом сведениям, составляющим налоговую тайну, имеют должностные лица указанных в настоящем пункте федеральных органов исполнительной власти, определяемые руководителями этих органов.

Федеральный закон вступает в силу с 1 января 2027 года.

В пояснительной записке к законопроекту отмечается, что он был разработан «в целях внесения корреспондирующих изменений в Налоговый кодекс РФ (НК РФ) в связи с предусмотренными проектом федерального закона «О внесении изменений в статьи 5 и 20 Федерального закона «Об основах государственного регулирования торговой деятельности в Российской Федерации» изменениями в целях обеспечения возможности обмена информацией между заинтересованными федеральными органами исполнительной власти, в том числе в части раскрытия данных, составляющих налоговую тайну, о ценах на товары продовольственной корзины, а также отдельных финансовых показателей участников оборота указанных товаров».

По мнению авторов законопроекта «реализация положений законопроекта обеспечит возможность обмена между налоговым органом и заинтересованными федеральными органами исполнительной власти информацией, составляющей налоговую тайну, для осуществления ими полноценного мониторинга цен по всей цепочке движения товаров, анализа причин роста цен и, при необходимости, принятия федеральными органами исполнительной власти соответствующих мер реагирования».

Мой комментарий: Если налоговая служба передаёт составляющие налоговую тайну, сведения в другие федеральные органы власти (по закону о торговле №381-ФЗ), то в отношении переданных сведений продолжает действовать режим налоговой тайны и соответствующие ограничения: их нельзя разглашать, нужно соблюдать соответствующие меры защиты при хранении, а их утечка или утрата влекут за собой соответствующие наказания.

Также закон устанавливает, что доступ к этим данным получат только конкретные должностные лица, которых уполномочат руководители этих ведомств. 

Источник: Консультант Плюс / сайт Государственной Думы
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=540930
https://sozd.duma.gov.ru/download/1f160c97-9906-6cbc-b827-1d7c48829f23 

ИСО и МЭК: Опубликована вторая редакция стандарта ISO/IEC 27017:2026 «Меры и средства обеспечения информационной безопасности для сервисов облачных вычислений, основанные на стандарте ISO/IEC 27002»

В начале августа 2026 года сайт Международной организации по стандартизации (ИСО) сообщил о публикации новой, второй редакции стандарта ISO/IEC 27017:2026 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни – Меры и средства обеспечения информационной безопасности для сервисов облачных вычислений, основанные на стандарте ISO/IEC 27002» (Information security, cybersecurity and privacy protection — Information security controls based on ISO/IEC 27002 for cloud services) объёмом 48 страниц, см. https://www.iso.org/standard/27017 .

Документ подготовлен техническим подкомитетом ISO/IEC JTC1/SC27 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни» (Information security, cybersecurity and privacy protection). Новая, существенно переработанная редакция заменила предыдущую редакцию ISO/IEC 27017:2015.

О работе над новой редакцией я уже рассказывала здесь: https://rusrim.blogspot.com/2025/04/isoiec-dis-27017-isoiec-27002.html и http://rusrim.blogspot.com/2026/05/isoiec-fdis-27017-isoiec-27002.html .

Во вводной части стандарта отмечается:

«Настоящий документ содержит рекомендации по основанным на стандарте ISO/IEC 27002 мерам обеспечения информационной безопасности, применимым при предоставлении и использовании облачных услуг. Данный документ включает:

• Дополнительные рекомендации по релевантным мерам контроля и управления, перечисленным в стандарте ISO/IEC 27002;
  
  Мой комментарий: Речь идёт о стандарте ISO/IEC 27002:2022 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни - Меры и средства обеспечения информационной безопасности» (Information security, cybersecurity and privacy protection - Information security controls, см. https://www.iso.org/standard/75652.html и https://www.iso.org/obp/ui/en/#!iso:std:75652:en , а также мой пост http://rusrim.blogspot.com/2023/06/isoiec-270022022.html . 
  
  В России стандарт адаптирован как ГОСТ Р ИСО/МЭК 27002-2021 «Информационные технологии. Методы и средства обеспечения безопасности. Свод норм и правил применения мер обеспечения информационной безопасности», см. http://protect.gost.ru/v.aspx?control=8&baseC=6&id=230363 , на основе редакции международного стандарта ISO/IEC 27002, выпущенной в 2013 году.
  
  
• Дополнительные меры контроля и управления, специфические для облачных сервисов, а также рекомендации в их отношении.

Данный документ предлагает меры контроля и управления, а также соответствующие рекомендации, как поставщикам облачных услуг (cloud service provider, CSP), так и их клиентам (cloud service customer, CSC).

Данный документ считается «горизонтальным» (универсально применимым для различных областей применения – Н.Х.), поскольку он закладывает основу и обеспечивает общее понимание вопросов безопасности, касающихся предоставления и использования облачных сервисов.

Примечание: Данный документ применим ко всем типам моделей развертывания облачных услуг, включая частное облако. При применении данного документа в контексте частного облака, предлагаемые в нём меры контроля и управления и рекомендации остаются применимыми, хотя могут потребоваться корректировки для их адаптации к взаимоотношениям и возможностям внутренних подразделений организации.»

Содержание стандарта следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины, определения и сокращения
4. Рекомендации по использованию настоящего документа
5. Специфические для облачных сервисов рекомендации, касающиеся организационных мер и средств контроля и управления
6. Специфические для облачных сервисов рекомендации, касающиеся кадровых мер и средств контроля и управления
7. Специфические для облачных сервисов рекомендации, касающиеся физических мер и средств контроля и управления
8. Специфические для облачных сервисов рекомендации, касающиеся технологических мер и средств контроля и управления
Приложение A: Соответствие мер и средств контроля и управления настоящей документа и первой редакции стандарта (ISO/IEC 27017:2015 – Н.Х.)
Приложение B: Мониторинг облачных сервисов
Библиография

Источник: сайт ИСО
https://www.iso.org/standard/82878.html 

Внесены изменения в перечень угроз безопасности, актуальных при обработке и передаче биометрических персональных данных организациями финансового рынка

Банк России указанием от 03 июня 2026 года № 7362-У внес изменения в пункт 1 Указания Банка России от 25 сентября 2023 года № 6540-У «О перечне угроз безопасности, актуальных при обработке биометрических персональных данных, векторов единой биометрической системы, проверке и передаче информации о степени соответствия векторов единой биометрической системы предоставленным биометрическим персональным данным физического лица при взаимодействии информационных систем организаций финансового рынка с единой биометрической системой», которые вступили в силу 25 июля 2026 года.

Подпункт 1.1 «Угрозы безопасности, актуальные при сборе биометрических персональных данных и их передаче в целях размещения или обновления биометрических персональных данных в единой биометрической системе» дополнен абзацем следующего содержания:

«…работниками банков с использованием портативного средства вычислительной техники, указанного в пункте 1 раздела 2 национального стандарта Российской Федерации ГОСТ Р 71174-2024 «Ноутбуки. Термины и определения», утвержденного и введенного в действие приказом Росстандарта от 7 ноября 2024 года № 1609-ст, и при передаче собранных биометрических персональных данных между указанным портативным средством вычислительной техники и информационной инфраструктурой внутренних структурных подразделений банков - угроза нарушения целостности (подмены, удаления), нарушения конфиденциальности (компрометации), нарушения достоверности биометрических персональных данных (внесения фиктивных биометрических персональных данных), в том числе путем реализации целенаправленных действий с использованием возможностей, указанных в пункте 12 Состава и содержания организационных и технических мер.»

Подпункт 1.3 «Угрозы безопасности, актуальные при обработке (за исключением сбора) биометрических персональных данных, при проверке и передаче информации о степени соответствия предоставленных биометрических персональных данных физического лица векторам единой биометрической системы, содержащимся в единой биометрической системе (далее - информация о степени соответствия), при взаимодействии информационных систем организаций финансового рынка с единой биометрической системой в целях идентификации физического лица в соответствии с частью 1 статьи 9 Федерального закона от 29 декабря 2022 года № 572-ФЗ и аутентификации физического лица в соответствии с частью 1 статьи 10 Федерального закона от 29 декабря 2022 года № 572-ФЗ» дополнен подпунктом 1.3.5(1) следующего содержания:

1.3.5(1). При обработке информации о степени соответствия в микрофинансовых организациях в целях идентификации физического лица в соответствии с частью 1 статьи 9 Федерального закона от 29 декабря 2022 года N 572-ФЗ:

• угроза нарушения целостности (подмены, удаления) информации о степени соответствия, в том числе путем реализации целенаправленных действий с использованием возможностей, указанных в пункте 12 Состава и содержания организационных и технических мер;
  
  
• угроза нарушения конфиденциальности (компрометации) информации о степени соответствия, в том числе путем реализации целенаправленных действий с использованием возможностей, указанных в пункте 12 Состава и содержания организационных и технических мер.

Мой комментарий: В перечень угроз введен конкретный физический объект - ноутбук (со ссылкой на определение, данное в ГОСТ Р 71174-2024) и конкретные субъекты - работники банков. Регулятор смещает фокус с защиты «облачной» Единой биометрической системы (ЕБС) на «последнюю милю» - точку сбора данных. Слабо защищенное звено (мобильный ноутбук сотрудника банка в отделении) теперь признается источником угроз.

Введена отдельная угроза для микрофинансовых организаций (МФО). МФО традиционно считаются зоной повышенного риска мошенничества и слабой ИТ-инфраструктуры. Указание прямо говорит, что при идентификации через ЕБС в МФО угрозы компрометации и подмены результата проверки (информации о степени соответствия) столь же критичны, как и в крупных банках, и требуют отдельного внимания.

Банк России признает наличие у злоумышленников (внешних или инсайдеров) квалифицированных средств для атак именно на промежуточные узлы (ноутбук сотрудника, сервер МФО).

Источник: Консультант Плюс
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=539451

ИСО и МЭК: Опубликована новая, вторая редакция стандарта ISO/IEC 29151:2026 «Меры и средства контроля и управления, требования и рекомендации по защите персональных данных»

В конце июня 2026 года сайт Международной организации по стандартизации (ИСО) сообщил о публикации новой, второй редакции стандарта ISO/IEC 29151:2026 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни - Меры и средства контроля и управления. требования и рекомендации по защите персональных данных» (Information security, cybersecurity and privacy protection - Controls, requirements, and guidance for personally identifiable information protection) объёмом 54 страницы, см. https://www.iso.org/standard/88151.html .

О работе над этим документом я уже рассказывала на блоге здесь: http://rusrim.blogspot.com/2025/02/isoiec-dis-29151.html .

Документ подготовлен техническим подкомитетом ISO/IEC JTC1/SC27 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни» (Information security, cybersecurity and privacy protection), на основе свободно доступной одноимённой Рекомендации ITU-T X.1058 (02/26), см. https://www.itu.int/rec/T-REC-X.1058-202602-I/en , которая доступна по адресу https://www.itu.int/rec/dologin_pub.asp?lang=e&id=T-REC-X.1058-202602-I!!PDF-E&type=items 

Стандарт ISO/IEC 29151:2026 и Рекомендация ITU-T X.1058 (02/26)

Данный документ заменил предыдущую редакцию стандарта ISO/IEC 29151:2017 «Информационные технологии – Методы обеспечения безопасности – Свод практики по защите персональных данных» (Information technology - Security techniques - Code of practice for personally identifiable information protection, см. https://www.iso.org/standard/62726.html и https://www.iso.org/obp/ui/#!iso:std:62726:en – я также писала об этом документе на блоге в постах: https://rusrim.blogspot.ru/2016/10/2.html и http://rusrim.blogspot.com/2017/12/isoiec-29151.html ). Эта редакция была подготовлена на основе свободно доступной Рекомендации ITU-T X.1058 (03/2017) Международного союза электросвязи «Информационные технологии – Методы обеспечения безопасности – Свод практики по защите персональных данных» (Information technology - Security techniques - Code of practice for personally identifiable information protection), см. https://www.itu.int/rec/dologin_pub.asp?lang=e&id=T-REC-X.1058-201703-I!!PDF-E&type=items . Существует официальная версия этой Рекомендации на русском языке: Рекомендация МСЭ-T X.1058 (03/2017) «Информационные технологии – Методы обеспечения безопасности – Свод правил и норм для защиты информации, позволяющей установить личность», см. https://www.itu.int/rec/dologin_pub.asp?lang=e&id=T-REC-X.1058-201703-I!!PDF-R&type=items 

Во вводной части стандарта отмечается:

«Настоящий документ специфицирует меры и средства контроля и управления, цели, а также содержит рекомендации по реализации мер контроля и управления для исполнения требований, выявленных в ходе оценки рисков и воздействия, связанных с защитой персональных данных.

В частности, данный документ специфицирует требования и содержит рекомендации на основе стандарта ISO/IEC 27002, принимая во внимание меры контроля и управления при обработке персональных данных, которые могут быть применимы в контексте существующей в организации среды риска для неприкосновенности частной жизни (персональных данных).

Данный документ может применяться в организациях любого типа и размера, которые действуют в качестве операторов ПДн (в соответствии с определением, данным в стандарте ISO/IEC 29100), - включая обрабатывающие ПДн государственные и частные компании, государственные органы и учреждения и некоммерческие организации, и, в частности, организации, которые не создают и не используют систему менеджмента персональных данных.»

Содержание стандарта следующее:

Аннотация
Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины, определения и сокращения
4. Обзор
5. Организационные меры
6. Кадровые меры
7. Физические меры
8. Технологические меры
Приложение A (нормативное): Расширенный набор мер контроля и управления для защиты персональных данных
Приложение B (справочное): Сопоставление настоящего документа и стандарта  ISO/IEC 29151:2017
Библиография

Источник: сайт ИСО
https://www.iso.org/standard/88151.html

США: Национальный институт стандартов и технологий начал публичное обсуждение новой редакции специальной публикации NIST SP 800-209r1 «Рекомендации по безопасности для инфраструктуры хранения»

Данная новость была опубликована на сайте ив новостной рассылке американского Национального института стандартов и технологий (National Institute of Standards and Technology, NIST) 22 июля 2026 года.

Американский Национальный институт стандартов и технологий (National Institute of Standards and Technology, NIST) 22 июля 2026 года выложил для публичного обсуждения первоначальный проект (initial public draft, IPD) новой, второй редакции специальной публикации NIST SP 800-209r1 «Рекомендации по безопасности для инфраструктуры хранения» (Security Guidelines for Storage Infrastructure) объёмом 98 страниц, см. https://csrc.nist.gov/pubs/sp/800/209/r1/ipd (прямая ссылка на PDF-файл: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-209r1.ipd.pdf  ). Публичное обсуждение продлится до 8 сентября 2025 года.

Мой комментарий: О первой редакции документа я рассказывала на блоге здесь: http://rusrim.blogspot.com/2020/08/nist-sp-800-209.html и http://rusrim.blogspot.com/2020/11/nist-sp-800-209.html .

Во вводной части документа отмечается:

«Технологии хранения данных эволюционировали в двух основных направлениях: увеличение ёмкости носителей информации и архитектурные изменения, обеспечивающие абстрагирование на основе ПО от всех форм используемых технологий хранения. 

Этот архитектурный сдвиг, однако, привёл к увеличению сложности управления и к росту вероятности ошибок конфигурирования, а также связанных с этим угроз безопасности. 

В настоящем документе представлен обзор эволюции ландшафта технологий хранения данных, текущих угроз безопасности и вытекающих из этого рисков – с целью предложить всесторонний набор рекомендаций по безопасности в виде мер контроля и управления безопасностью хранения данных. 

Эти рекомендации охватывают области управления безопасностью, являющиеся общими для всей ИТ-инфраструктуры, а также области, специфичные для инфраструктуры хранения данных.»

В числе важных обновлений, сделанных в данной редакции специальной публикации SP 800-209, называются следующие:

• В разделе 2: Удалён контент, связанный с устаревшими и/или проприетарными технологиями;
  
  
• В разделе 3: Раздел полностью переработан с целью сфокусировать первоочередное внимание на угрозах и рисках, специфических для систем и экосистем хранения данных. Что касается угроз и рисков в сфере ИКТ общего характера, то приводятся ссылки на другие публикации NIST. Также добавлены две важные области:
  
  
• «Компрометация безопасности платформы» - фокусирует внимание на угрозах, связанных с базовой / поддерживающей инфраструктурой для хранения данных;
  
  
• «Компрометация жизнестойкости/защиты данных» - фокусирует внимание на угрозах вторичным активам данных и процессу генерации вторичных активов данных (т.е. речь идёт о резервных копиях).
  
  
• В разделе 4: Раздел переименован в «Меры и средства контроля и управления безопасностью хранения». Рекомендации по безопасности были реорганизованы: вместо девяти категорий теперь используются семь формализованных семейств мер контроля и управления со стандартизированными аббревиатурами.
  
  
• Добавлено несколько новых семейств мер контроля и управления, а некоторые существующие меры контроля и управления объединены в новые семейства, чтобы охватить все угрозы и риски, рассмотренные в предыдущих разделах.
  
  
• Приложение C: Данное приложение добавлено с целью дать полный перечень мер контроля и управления безопасностью хранения данных, описанных в разделе 4, а также схему мер по смягчению рисков, соответствующих угрозам для хранения данных, выявленным в разделе 3.

Содержание документа следующее:

Резюме для руководства
1. Введение
2. Базовые сведения о технологиях хранения данных: 
3. Угрозы и риски 
4. Меры и средства контроля и управления безопасностью хранения
5. Итоги и выводы
Литература
Приложение A: Обозначения, сокращения и аббревиатуры
Приложение B: Глоссарий
Приложение C: Перечень мер контроля и управления, а меры по смягчению рисков, соответствующие угрозам для хранения данных.
Приложение D: История изменений

Источник: сайт NIST
https://csrc.nist.gov/pubs/sp/800/209/r1/ipd 

ИСО и МЭК: Опубликовано очередная, шестая редакция стандарта ISO/IEC 27000:2026 «Системы менеджмента информационной безопасности – Обзор»

В июле 2026 года сайт Международной организации по стандартизации (ИСО) сообщил о публикации очередной, шестой редакции стандарта ISO/IEC 27000:2026 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни - Системы менеджмента информационной безопасности – Обзор» (Information security, cybersecurity and privacy protection - Information security management systems – Overview) объёмом 18 страниц, см. https://www.iso.org/standard/27000 .

Документ подготовлен техническим подкомитетом ISO/IEC JTC1/SC27 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни» (Information security, cybersecurity and privacy protection).

В России стандарт был адаптирован как ГОСТ Р ИСО/МЭК 27000-2021 «Информационные технологии. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Общий обзор и терминология» на основе редакции ISO/IEC 27000:2018, см. 
https://protect.gost.ru/gost/details/7953a549-28c8-4d1b-bd37-8476bb27853c , а также мой пост https://rusrim.blogspot.com/2021/06/blog-post_222.html .

В аннотации на стандарт на сайте ИСО поясняется:

Что представляет собой стандарт ISO/IEC 27000?

Стандарт ISO/IEC 27000 объясняет основные понятия и принципы, лежащие в основе систем менеджмента информационной безопасности (СМИБ). В нем представлен обзор семейства стандартов ISO/IEC 27000 (включая ISO/IEC 27001), и разъясняются взаимосвязи между этими документами.

Данный стандарт помогает организациям разобраться в основах менеджмента информационной безопасностью, прежде чем приступать к отбору, внедрению и/или применению более специализированных стандартов СМИБ. В пересмотренной шестой редакции документа акцент был сделан на общем обзоре, ключевых понятиях и взаимосвязях, а не на использовании документа в качестве терминологического справочника.

Чем важен стандарт ISO/IEC 27000?

Стандарт ISO/IEC 27000 помогает организациям с большей уверенностью ориентироваться в ландшафте стандартов СМИБ. Заказчикам, специалистам по внедрению и принимающим решения лицам стандарт предоставляет контекст, необходимый для понимания того, как стандарт ISO/IEC 27001 и взаимосвязанные с ним стандарты соотносятся друг с другом.

Это особенно ценно при создании или совершенствовании системы менеджмента информационной безопасностью, позволяя обеспечить согласованность действий различных групп на основе общих принципов, - а также при планировании мероприятий по сертификации и стратегическому управлению.

Преимущества стандарта ISO/IEC 27000 заключаются в том, что он:

• Формирует чёткое понимание концепций и принципов СМИБ;
  
  
• Помогает организациям ориентироваться в ландшафте стандартов семейства ISO/IEC 27000;
  
  
• Разъясняет роль стандарта ISO/IEC 27001 в рамках более широкой концепции обеспечения информационной безопасности;
  
  
• Способствует более качественному планированию стратегического управления информационной безопасностью и его внедрения;
  
  
• Устраняет неопределенность при выборе взаимосвязанных стандартов СМИБ.

Во вводной части стандарта отмечается:

«В настоящем документе представлен обзор концепций и принципов, используемых в документах, касающихся систем менеджмента информационной безопасности (СМИБ), включая стандарт ISO/IEC 27001.

Данный документ считается «горизонтальным», поскольку в нем разъясняются концепции и принципы, лежащие в основе информационной безопасности и СМИБ.»

Содержание стандарта следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Концепции и принципы
5. Документы, относящиеся к СМИБ, включая стандарт ISO/IEC 27001
Библиография

Источник: сайт ИСО
https://www.iso.org/standard/27000 

Обеспечение защиты информации при использовании искусственного интеллекта (ИИ), часть 2

(Окончание, начало см. http://rusrim.blogspot.com/2026/08/1_0609704074.html )

В отношении программного обеспечения, реализующего технологию ИИ, оператор совместно с разработчиком системы ИИ должен проводить анализ уязвимостей программного обеспечения на основании данных, получаемых из внешних источников (базы данных известных уязвимостей, официальные ресурсы разработчиков программных средств, специализированные публикации, форумы, иные источники), и принимать меры по их устранению.

При предоставлении подрядной организации систем ИИ в качестве внешнего сервиса в информационной инфраструктуре подрядной организации, с использованием которой функционирует указанный сервис, должны быть реализованы мероприятия и меры по защите информации, установленные требованиями по защите информации (обеспечению безопасности) по классу защищенности не ниже класса защищенности информационной системы оператора (обладателя информации).

Взаимодействие информационной системы оператора (обладателя информации) с информационной инфраструктурой подрядной организации, используемой для предоставления системы искусственного интеллекта в качестве сервиса, должно осуществляться с учетом требований по защите информации (обеспечению безопасности).

В случае если в системе ИИ осуществляется обработка персональных данных граждан Российской Федерации, иной информации ограниченного доступа и (или) с применением системы ИИ обеспечивается реализация значимых функций оператора, необходимо:

• Обеспечить реализацию мероприятий по безопасной разработке программного обеспечения, обеспечивающего реализацию системы искусственного интеллекта, предусмотренных национальными стандартами в области разработки безопасного программного обеспечения;
  
  
• Провести сертификацию программного обеспечения, обеспечивающего реализацию системы искусственного интеллекта, по требованиям безопасности информации, утвержденным ФСТЭК России в соответствии с подпунктом 4 пункта 8 Положения о Федеральной службе по техническому и экспортному контролю, утвержденного Указом Президента Российской Федерации от 16 августа 2004 г. № 1085.

Дополнительные требования:

• Должно быть обеспечено выделение информационной инфраструктуры разработки от иной инфраструктуры разработчика, не связанной с разработкой данной системы, в отдельный физически изолированный сегмент;
  
  
• Должно быть обеспечено хранение наборов обучающих данных в зашифрованном виде с использованием шифровальных (криптографических) средств защиты информации;
  
  
• В отношении выходной модели ИИ и ее параметров (весов) должны быть обеспечены:
  
  
• ­    Применение методов состязательного обучения (включение состязательных примеров в обучающую выборку);
  
  
• ­    Внедрение механизмов ограничения допустимых диапазонов данных, санитизации входных данных;
  
  
• Должно быть реализовано тестирование на устойчивость к промпт-атакам;
  
  
• Должно быть обеспечено выделение системы ИИ в информационной системе в отдельный изолированный сегмент информационной системы;
  
  
• Должна быть обеспечена целостность модели ИИ с использованием шифровальных (криптографических) средств защиты информации.

Мой комментарий: Системы ИИ выделены из общего класса ПО в обособленный объект защиты со своим уникальным набором рисков и угроз.

Однако ключевые требования (сертификация ПО ИИ при работе с ПД, обеспечение класса защищенности в инфраструктуре разработки, физическая изоляция) на практике могут быть выполнены только крупными игроками (госкорпорациями, ИТ-гигантами с собственной лицензируемой инфраструктурой). Для среднего бизнеса и госорганов со сторонними разработчиками это создаст дополнительные барьеры.

Фраза «в приоритетном порядке наборы из доверенных источников (например, госорганы, КИИ)» с моей точки декларативна. По каким критериям признавать «доверенные источники» и как действовать в случаях, если таких данных недостаточно для обучения узкоспециализированной модели.

Документ устанавливает требования к документированию на всех этапах жизненного цикла системы ИИ. Обязательные документы (согласно тексту методического документа):

• Техническое задание (ТЗ): Должно быть разработано по результатам оценки угроз безопасности информации и содержать требования к реализации мер защиты информации в системе ИИ;
  
  
• Результаты оценки угроз: Сведения об угрозах должны быть включены в банк данных угроз ФСТЭК России. Документирование проведенной оценки является обязательным;
  
  
• Результаты анализа уязвимостей: В отношении входной модели ИИ и ПО, обеспечивающего разработку и эксплуатацию, должен проводиться анализ уязвимостей на основании данных из внешних источников. Результаты анализа должны быть зафиксированы.

Требование хранить обучающие данные в обособленном хранилище и обеспечивать их целостность призвано предотвратить «отравление» обучающих выборок - одну из серьезных угроз в условиях их постоянного обновления, и это сложная техническая задача. Ошибки здесь могут привести к тому, что модель будет обучена на скомпрометированных данных, что поставит под угрозу всю систему.

Несмотря на все меры, полностью исключить уязвимости, характерные для ИИ (галлюцинации, промпт-инъекции, отравление данных), пока невозможно. Требования ФСТЭК должны рассматриваться как первый, но не последний шаг в долгом пути обеспечения безопасности ИИ. 

Источник: Консультант Плюс
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=531896

Обеспечение защиты информации при использовании искусственного интеллекта (ИИ), часть 1

Методический документ «Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах» был утвержден ФСТЭК России 12 апреля 2026 года.

В раздел III «Мероприятия (процессы) по защите информации, содержащейся в информационных системах органов (организаций)» включён п.3.18 «Обеспечение защиты информации при использовании искусственного интеллекта (ИИ)».

Главная цель - исключение возможности несанкционированного доступа к информационным системам и информации при использовании систем искусственного интеллекта (систем ИИ). 

Посредством проведения мероприятий по обеспечению защиты информации при использовании систем ИИ должна быть исключена возможность нарушения конфиденциальности, целостности и доступности информации, обрабатываемой в системе, за счет действий внешних и внутренних нарушителей.

При создании систем ИИ оператором (обладателем информации) должна быть проведена оценка угроз безопасности информации, связанных с разработкой и эксплуатацией системы. Сведения об угрозах безопасности информации систем ИИ содержатся в банке данных угроз безопасности информации ФСТЭК России.

По результатам оценки угроз безопасности информации должно быть разработано техническое задание, содержащее требования к реализации мер защиты информации в системе ИИ.

При разработке системы ИИ должна быть обеспечена защита следующих объектов:

• Объекты информационной инфраструктуры разработки системы ИИ;
  
  
• Программное обеспечение, обеспечивающее разработку системы ИИ (подготовка наборов обучающих данных, обучение и тестирование моделей ИИ), в том числе входящие в его состав фреймворки, библиотеки, иные инструменты;
  
  
• Программное обеспечение, обеспечивающее разработку API-интерфейсов, агентов, системы фильтрации входных и выходных данных;
  
  
• Входная модель ИИ, используемая для разработки (обучения) выходной модели ИИ (при наличии);
  
  
• Наборы обучающих данных;
  
  
• Выходная модель искусственного интеллекта и ее параметры (веса);
  
  
• Программное обеспечение, обеспечивающее реализацию технологий ИИ (модели ИИ), а также агентов ИИ, API-интерфейсов, систем фильтрации (контроля) входных и выходных данных.

В информационной инфраструктуре разработки системы ИИ должны быть реализованы меры по защите информации по классу защищенности не ниже класса защищенности информационной системы оператора (обладателя информации).

Дополнительно в информационной инфраструктуре разработки должны быть обеспечены:

• Выделение информационной инфраструктуры разработки системы ИИ от иной инфраструктуры разработчика, не связанной с разработкой данной системы, в отдельный изолированный сегмент;
  
  
• Отказ от использования небезопасных форматов обработки и хранения данных (например, pickle) и применение безопасных форматов данных (ONNX, protobuf и другие форматы);
  
  
• Целостность программного обеспечения, реализующего разработку системы ИИ.

В информационной инфраструктуре разработки системы ИИ не допускается решение задач, не связанных с разработкой системы ИИ.

В отношении наборов обучающих данных должны быть обеспечены:

• Применение в приоритетном порядке наборов обучающих данных из доверенных источников (например, информационные системы государственных органов, организаций и учреждений, значимые объекты критической информационной инфраструктуры Российской Федерации);
  
  
• Антивирусная проверка обучающих данных на предмет наличия в них вредоносного программного обеспечения;
  
  
• Хранение обучающих данных в обособленном хранилище;
  
  
• Целостность обучающих данных.

При использовании входной модели ИИ должен быть проведен анализ сведений об уязвимостях указанной модели, получаемых из внешних источников (базы данных известных уязвимостей, официальные ресурсы разработчиков программных средств, специализированные публикации, форумы, иные источники). В отношении выявленных уязвимостей разработчиков системы искусственного интеллекта должны быть приняты меры, направленные на нейтрализацию выявленных уязвимостей.

В отношении программного обеспечения, обеспечивающего разработку и эксплуатацию системы ИИ, должен быть проведен анализ уязвимостей программного обеспечения на основании данных, получаемых из внешних источников (базы данных известных уязвимостей, официальные ресурсы разработчиков программных средств, специализированные публикации, форумы, иные источники), и приняты меры по их устранению.

При эксплуатации системы ИИ в информационной системе должна быть обеспечена защита следующих объектов:

• Объекты информационной инфраструктуры, обеспечивающей эксплуатацию системы ИИ;
  
  
• Программное обеспечение, обеспечивающее реализацию технологий ИИ (модели ИИ), а также агентов искусственного интеллекта, API-интерфейсов, систем фильтрации (контроля) входных и выходных данных;
  
  
• Обученная и готовая к использованию модель ИИ, ее расширения (LoRA, RAG и другие расширения (при необходимости).

В случае если для эксплуатации системы ИИ используется инфраструктура, не входящая в информационную систему оператора, то в такой инфраструктуре должны быть реализованы меры по защите информации по классу защищенности не ниже класса защищенности информационной системы оператора (обладателя информации).

В случае применения технологии ИИ в составе информационной системы оператором (обладателем информации) должны быть приняты меры защиты информации, направленные на предотвращение несанкционированного доступа или воздействия на систему ИИ, в соответствии с требованиями по защите информации (обеспечению безопасности), в том числе меры по:

• Идентификации и аутентификации пользователей системы ИИ;
  
  
• Управлению доступом пользователей системы ИИ;
  
  
• Контролю (фильтрации) входных и выходных данных;
  
  
• Обеспечению изоляции системы ИИ;
  
  
• Защите данных системы ИИ;
  
  
• Защите от вредоносного программного обеспечения;
  
  
• Выявлению уязвимостей в системе ИИ;
  
  
• Ограничению и контролю функциональности системы ИИ.

В информационной системе при эксплуатации системы ИИ дополнительно должны быть реализованы следующие меры защиты информации:

• Обеспечение фильтрации (контроля) входных данных (запросов) системы ИИ;
  
  
• Обеспечение фильтрации (контроля) выходных данных (ответов) системы ИИ;
  
  
• Мониторинг и квотирование количества запросов к системе искусственного интеллекта;
  
  
• Обеспечение регистрации событий безопасности, связанных с запросами к системе ИИ и ее ответами;
  
  
• Обеспечение целостности параметров (весов) модели ИИ и конфигурации системы ИИ.

(Окончание следует, см. http://rusrim.blogspot.com/2026/08/2_01253187978.html )

Источник: Консультант Плюс
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=531896