Вьетнам: Опубликован Национальный технический регламент QCVN 12:2026/BCA по обеспечению кибербезопасности электронных систем хранения документов в партийных и государственных органах

В мае 2026 года сайт правительства Вьетнама сообщил о публикации циркуляра Министерства общественной безопасности 47/2026/TT-BCA от 12 мая 2026 года об утверждении национального технического стандарта по кибербезопасности информационных систем хранения документов в партийных и государственных органах (Thông tư số 47/2026/TT-BCA Ban hành Quy chuẩn kỹ thuật quốc gia về an ninh mạng cho hệ thống thông tin lưu trữ tài liệu điện tử trong các cơ quan Đảng, Nhà nước), см. https://chinhphu.vn/?pageid=27160&docid=218069 , прямая ссылка на PDF-файл: https://datafiles.chinhphu.vn/cpp/files/vbpq/2026/4/47-bca.pdf ).

Данным циркуляром был утверждён «Национальный технический регламент QCVN 12:2026/BCA по обеспечению кибербезопасности электронных информационных систем хранения документов в партийных и государственных органах» (Quy chuẩn kỹ thuật quốc gia về an ninh mạng cho hệ thống thông tin lưu trữ tài liệu điện tử trong các cơ quan Đảng, Nhà nước, самоназвание на английском языке: National technical regulation on Cybersecurity for Electronic document storage information systems in party and state agencies) объёмом 45 страниц, см. https://datafiles.chinhphu.vn/cpp/files/vbpq/2026/4/47-bca.pdf .

Во вводной части стандарта отмечается:

«Настоящий стандарт устанавливает требования к управлению, эксплуатации и обеспечению кибербезопасности информационных систем, хранящих электронные документы в органах и учреждениях партии и государства, которые не содержат информации, относимой к государственной тайне.

Настоящий стандарт распространяется на учреждения, организации и отдельных лиц, участвующих в управлении, эксплуатации и обеспечении кибербезопасности информационных систем, подпадающих под действие данного стандарта.

Настоящий стандарт не распространяется на учреждения, организации и отдельных лиц, участвующих в управлении, эксплуатации и обеспечении кибербезопасности информационных систем, хранящих электронные документы, содержащие государственную тайну, а также на решения по обеспечению безопасности и аутентификации в архивных операциях партийных и государственных учреждений, находящихся под государственным контролем, в отношении криптографии и специализированных цифровых подписей для официального использования.»

Документ содержит следующие нормативные ссылки:

• Национальный стандарт TCVN 14423:2025 «Кибербезопасность - Требования к критически важным информационным системам» (An ninh mạng - Yêu cầu đối với hệ thống thông tin quan trọng)
  
  
• Национальный стандарт TCVN 11930:2017 «Информационные технологии - Методы обеспечения безопасности - Основные требования к безопасности информационных систем по уровням» (Công nghệ thông tin - Các kỹ thuật an toàn - Yêu cầu cơ bản về an toàn hệ thống thông tin theo cấp độ)
  
  
• «Закон о кибербезопасности» (Luật An ninh mạng số) 116/2025/QH15, см. https://luatvietnam.vn/hanh-chinh/luat-luu-tru-2024-so-33-2024-qh15-360813-d1.html 
  
  
• Специальная публикация NIST SP 800-88 Rev. 2 «Руководство по очистке носителей информации» (Guidelines for Media Sanitization)

Здесь обращает на себя внимание ссылка на руководство, разработанное американским Национальным институтом стандартов и технологий (NIST).

Содержание стандарта следующее:

Предисловие
1. Общие положения
2. Технические требования
3. Методы оценки
4. Требования к управлению
5. Обязанности организаций и частных лиц
6. Организация внедрения

Источник: сайт правительства Вьетнама сообщил
https://chinhphu.vn/?pageid=27160&docid=218069 
https://datafiles.chinhphu.vn/cpp/files/vbpq/2026/4/47-bca.pdf

CEN: Завершается публичное обсуждение проекта нового европейского стандарта prEN 18282 «Спецификации кибербезопасности для систем ИИ»

Согласно информации на сайтах Европейского комитета по стандартизации CEN (от фр. Comité Européen de Normalisation) и Британского института стандартов (BSI), в конце июня завершается начатое в мае этого года публичное обсуждение проекта нового европейского стандарта prEN 18282 «Искусственный интеллект - Спецификации кибербезопасности для систем ИИ» (Artificial intelligence — Cybersecurity specifications for AI Systems) объёмом 55 страниц, см. https://standards.cencenelec.eu/... 

Над стандартом работает объединённый технический комитет CEN-CENELEC JTC21 «Искусственный интеллект» (Artificial Intelligence).

До 30 июня 2026 года есть возможность индивидуально принять участие в публичном обсуждении данного стандарта на сайте Британского института стандартов (BSI) по адресу https://standardsdevelopment.bsigroup.com/projects/2025-00486 (при условии регистрации на сайте). 

Веб-страница публичного обсуждения на сайте BSI

Во вводной части стандарта отмечается:

«В настоящем документе специфицированы требования и меры кибербезопасности, направленные на устранение уязвимостей, угроз и рисков кибербезопасности, являющихся специфическими для систем искусственного интеллекта.

Цель данного документа заключается в способствовании внедрению требований кибербезопасности для систем ИИ в соответствии со статьей 15(5) европейского Закона об ИИ (Регламент Евросоюза 2024/1689).

В данном документе основное внимание уделяется аспектам кибербезопасности, вытекающим из особенностей систем ИИ, включая модели ИИ, обучающие и выведенные данные, а также их взаимодействие со средой оперативной деятельности.

… Традиционные требования кибербезопасности для ИКТ-инфраструктуры, поддерживающей системы ИИ, остаются в силе, но в данном документе не рассматриваются.

Данный документ необходимо интерпретировать и применять в соответствии со следующими принципами:

• Принцип 1: Данный документ применим к системам ИИ, которые квалифицируются как системы ИИ высокого риска в соответствии с Законом Евросоюза об ИИ. Он также может применяться к системам ИИ, которые не классифицируются как системы высокого риска в соответствии с Регламентом Евросоюза 2024/1689 (Законом об ИИ).
  
  
• Принцип 2: В данном документе рассматриваются специфические для ИИ риски кибербезопасности. Он дополняет иные технические, организационные и правовые меры, требуемые для систем ИИ, включая традиционные требования кибербезопасности. Данный документ не заменяет не связанные с кибербезопасностью требования, такие как требования к стратегическому управлению данными, контролю и надзору со стороны человека или защите основных прав человека.
  
  
• Принцип 3: Методы, инструменты и практики кибербезопасности для ИИ эволюционируют и не могут быть одинаково зрелыми или доступными для всех типов систем ИИ и всех контекстов их применения. В тех случаях, когда конкретные методы не являются разумно реализуемыми, поставщик может применять альтернативные меры, при условии, что эти меры могут быть обоснованы поставщиком в технической документации.
  
  
• Принцип 4: Невозможно устранить все риски кибербезопасности. Данный документ описывает меры, направленные на достижение надлежащей устойчивости к киберугрозам, и не предоставляет гарантий от всех возможных атак. Его цель - содействовать соразмерному, основанному на доказательствах смягчению связанных с ИИ специфических рисков кибербезопасности, в соответствии с текущим положением дел.

…В настоящем документе рассматриваются соответствующие конкретным обстоятельствам и рискам организационные и технические решения, направленные на обеспечение кибербезопасности систем искусственного интеллекта высокого риска на протяжении всего их жизненного цикла.

Технические решения для устранения специфических уязвимостей ИИ включают, где это уместно, меры по предотвращению, обнаружению, реагированию, устранению и контролю атак, направленных на манипулирование обучающим набором данных (отравление данных) или предварительно обученными компонентами, используемыми в обучении (отравление модели), входными данными, предназначенными для того, чтобы заставить модель совершить ошибку (враждебные примеры или обход модели), атаками на конфиденциальность и/или недостатками модели.

Данный документ содержит объективные критерии, способствующие принятию решений о том, адекватно ли достигает данное техническое или организационное решение конкретной цели, связанной с уязвимостью.»

Содержание документа следующее:

Европейское предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения 
4. Сокращения
5. Концепция кибербезопасности для систем ИИ
6. Установление обстоятельств, имеющих значение для кибербезопасности ИИ
7. Выявление специфических для ИИ уязвимостей кибербезопасности 
8. Выявление соответствующих угроз кибербезопасности
9. Определение соответствующих рисков для кибербезопасности ИИ
10. Выбор и реализация мер
11. Требования к верификации и тестированию
12. Требования к документации, относящейся к кибербезопасности ИИ
Приложение A (справочное): Пояснения к разделам 5–12
Приложение B (справочное): Рекомендуемые организационные меры контроля и управления
Приложение C (справочное): Другие соответствующие стандарты
Приложение D (нормативное): Специфические для ИИ активы
Приложение ZA (справочное): Взаимосвязь между настоящим европейским стандартом и ключевыми требованиями Регламента Евросоюза 2024/1689 (Закона об ИИ – Н.Х.), которые предполагается охватить
Библиография

Источник: сайт CEN / сайт BSI
https://standards.cencenelec.eu/ords/f?p=CEN:110:::::FSP_PROJECT,FSP_ORG_ID:79708,2916257&cs=1D99676DE6B76D73E830D72B47EABA0B3
https://standardsdevelopment.bsigroup.com/projects/2025-00486 

ИСО и МЭК: Опубликованы новые редакции стандартов серии ISO/IEC 15408:2026 «Критерии оценки безопасности информационных технологий»

На сайте Международной организации по стандартизации (ИСО) сообщил, что в конце мая – начале июня 2026 года были публикованы новые редакции частей стандарта ISO/IEC 15408:2026 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни - Критерии оценки безопасности информационных технологий» (Information security, cybersecurity and privacy protection - Evaluation criteria for IT security).

Стандарт разработан и поддерживается подкомитетом SC 27 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни» (Information security, cybersecurity and privacy protection) Объединённого технического комитета Международной организации по стандартизации (ИСО) и Международной электротехнической комиссии (МЭК) JTC1 «Информационные технологии».

Стандарт бесплатно доступен через магазин сайта ИСО, для использования которого нужно пройти регистрацию на этом сайте.

О работе над новой редакцией я уже рассказывала здесь: http://rusrim.blogspot.com/2024/10/isoiec-dis-15408.html . Новые документы 5-й редакции заменили документы 4-й редакции, опубликованные в 2022 году (о них см. мой пост http://rusrim.blogspot.com/2024/03/isoiec-15408-1.html ).

Стандарт ISO/IEC 15408:2026 состоит из следующих 5 частей:

ISO/IEC 15408-1:2026 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни - Критерии оценки безопасности информационных технологий - Часть 1: Введение и общая модель» (Information security, cybersecurity and privacy protection - Evaluation criteria for IT security - Part 1: Introduction and general model) объёмом 150 страниц, см. https://www.iso.org/standard/15408-1 и https://www.iso.org/obp/ui/en/#!iso:std:88134:en .

В России данный документ адаптирован как ГОСТ Р ИСО/МЭК 15408-1-2012 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель», см. https://protect.gost.ru/gost/details/d8d02856-0bd5-43fd-a01e-aa99ea361702 

Во вводной части стандарта отмечается:

«Настоящий документ устанавливает общие понятия и принципы оценки безопасности информационных технологий (ИТ). Он специфицирует общую модель оценки, представленную в данном документе, которая в целом предназначена для использования в качестве основы при оценке характеристик безопасности ИТ-продуктов.

Данный документ содержит обзор всех частей стандарта ISO/IEC 15408. Он описывает части стандарта ISO/IEC 15408, а именно:

• определяет термины и сокращения, используемые во всех частях стандарта; вводит ключевое понятие объекта оценки (Target of Evaluation, TOE); 
  
  
• описывает контекст оценки; и 
  
  
• описывает аудиторию, которой адресованы критерии оценки. 

Кроме того, данный документ вводит основные понятия и концепции безопасности, необходимые для оценки ИТ-продуктов.»

Содержание документа следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Сокращения
5. Обзор
6. Общая модель
7. Специфицирование требований по безопасности.
8. Компоненты безопасности
9. Пакеты
10. Профили защиты
11. Модульная структура требований
12. Целевые показатели безопасности (Security Target, ST)
13. Оценка и её результаты
14. Формирование уверенности
Приложения
Библиография

ISO/IEC 15408-2:2026 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни - Критерии оценки безопасности информационных технологий - Часть 2:  Функциональные компоненты безопасности» (Information security, cybersecurity and privacy protection - Evaluation criteria for IT security - Part 2: Security functional components) объёмом 260 страниц, см. https://www.iso.org/standard/15408-2 и https://www.iso.org/obp/ui/en/#!iso:std:88135:en .

В России данный документ адаптирован как ГОСТ Р ИСО/МЭК 15408-2-2013 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности», см. https://protect.gost.ru/gost/details/202e8605-326e-4417-a979-abf7a2878a52 

Во вводной части стандарта отмечается:

«Настоящий документ устанавливает требования к требуемой структуре и к контенту функциональных компонентов безопасности для использования в ходе оценки безопасности. Он включает каталог функциональных компонентов, соответствующий общим для многих ИТ-продуктов функциональным требованиям по безопасности.»

Содержание документа следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Сокращения
5. Обзор
6. Парадигма функциональных требований
7. Функциональные компоненты безопасности
8. Класс FAU: Аудит безопасности
9. Класс FCO: Связь
10. Класс FCS: Криптографическая поддержка
11. Класс FDP: Защита данных пользователя
12. Класс FIA: Идентификация и аутентификация
13. Класс FMT: Управление безопасностью
14. Класс FPR: Защита персональных данных
15. Класс FPT: Защита функциональных возможностей обеспечения безопасности объекта оценки
16. Класс FRU: Использование ресурсов
17. Класс FTA: Доступ к объекту оценки
18. Класс FTP: Доверенные маршруты / каналы
Приложения
Библиография

ISO/IEC 15408-3:2026 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни - Критерии оценки безопасности информационных технологий - Часть 3: Компоненты обеспечения уверенности в безопасности» (Information security, cybersecurity and privacy protection - Evaluation criteria for IT security - Part 3: Security assurance components) объёмом 190 страниц, см. https://www.iso.org/standard/15408-3 и https://www.iso.org/obp/ui/en/#!iso:std:88136:en .

В России данный документ адаптирован как ГОСТ Р ИСО/МЭК 15408-3-2013 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Компоненты доверия к безопасности», см. https://protect.gost.ru/gost/details/5abff96a-179f-4819-8e30-9f8efdf4311e 

Во вводной части стандарта отмечается:

«Настоящий документ устанавливает требования по обеспечению уверенности для частей стандарта ISO/IEC 15408. Он включает в себя отдельные компоненты обеспечения уверенности, из которых формируются уровни обеспечения уверенности и другие пакеты, описанные в ISO/IEC 15408-5, а также критерии оценки профилей защиты (PP), их конфигураций и модулей, и целевых показателей безопасности (ST).»

Содержание документа следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Обзор
5. Парадигма обеспечения уверенности
6. Компоненты обеспечения уверенности в безопасности
7. Класс APE: Оценка профиля защиты
8. Класс ACE: Оценка конфигурации профиля защиты
9. Класс ASE: Оценка целевого показателя безопасности
10. Класс ADV: Разработка
11. Класс AGD: Руководства
12. Класс ALC: Поддержка жизненного цикла
13. Класс ATE: Тестирование
14. Класс AVA: Оценка уязвимостей
15. Класс ACO: Композиция
Приложения
Библиография

ISO/IEC 15408-4:2026 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни - Критерии оценки безопасности информационных технологий - Часть 4: Концепция спецификации методов и мероприятий оценки»  (Information security, cybersecurity and privacy protection — Evaluation criteria for IT security - Part 4: Framework for the specification of evaluation methods and activities) объёмом 24 страницы, см. https://www.iso.org/standard/15408-4 и https://www.iso.org/obp/ui/en/#!iso:std:88138:en .

Во вводной части стандарта отмечается:

«Настоящий документ устанавливает требования и описывает стандартизированную концепцию для специфицирования объективных, повторяемых и воспроизводимых методов оценки и оценочных действий.

В данном документе не устанавливается, как оценивать, внедрять или поддерживать методы и мероприятия по оценке. Эти аспекты являются прерогативой тех, кто разрабатывает методы и мероприятия по оценке для своей конкретной области интересов.»

Содержание документа следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины, определения и сокращения
4. Общая модель методов оценки и оценочной деятельности
5. Структура метода оценки
6. Структура оценочной деятельности
Библиография

ISO/IEC 15408-5:2026 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни - Критерии оценки безопасности информационных технологий - Часть 5: Предопределенные пакеты требований по безопасности» (Information security, cybersecurity and privacy protection — Evaluation criteria for IT security - Part 5: Pre-defined packages of security requirements) объёмом 36 страниц, см. https://www.iso.org/standard/15408-5 и https://www.iso.org/obp/ui/en/#!iso:std:88140:en .

Во вводной части стандарта отмечается:

«В настоящем документе представлены пакеты для обеспечения уверенности в безопасности и функциональные требования безопасности, которые, как предполагается, будут полезны для поддержки типичного применения заинтересованными сторонами.

В число пользователей данного документа могут входить потребители, разработчики и эксперты по оценке безопасных ИТ-продуктов».

Содержание документа следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Уровни обеспечении уверенности при оценке (Evaluation assurance levels, EAL)
5. Составные пакеты для обеспечения уверенности (Composed assurance packages, CAP)
6. Составные пакеты продуктов (Composite product packages, COMP)
7. Обеспечение уверенности в профилях защиты (Protection profile assurances, PPA)
8. Уверенность в целевых показателях безопасности (Security target assurances, STA)

Источник: сайт ИСО
https://www.iso.org/standard/15408-1 
https://www.iso.org/obp/ui/en/#!iso:std:88134:en 
https://www.iso.org/standard/15408-2 
https://www.iso.org/obp/ui/en/#!iso:std:88135:en 
https://www.iso.org/standard/15408-3 
https://www.iso.org/obp/ui/en/#!iso:std:88136:en 
https://www.iso.org/standard/15408-4 
https://www.iso.org/obp/ui/en/#!iso:std:88138:en 
https://www.iso.org/standard/15408-5 
https://www.iso.org/obp/ui/en/#!iso:std:88140:en 

ИСО и МЭК: Опубликованы технические спецификации ISO/IEC TS 27103:2026 «Рекомендации по использованию стандартов ИСО и МЭК в концепциях кибербезопасности»

В феврале 2026 года сайт Международной организации по стандартизации (ИСО) сообщил о публикации технических спецификаций ISO/IEC TS 27103:2026 «Кибербезопасность – Рекомендации по использованию стандартов ИСО и МЭК в концепциях кибербезопасности» (Cybersecurity - Guidance on using ISO and IEC standards in a cybersecurity framework) объёмом 26 страниц, см. https://www.iso.org/standard/27103 и https://www.iso.org/obp/ui/en/#!iso:std:85057:en .

Документ подготовлен техническим подкомитетом ИСО/МЭК JTC1/SC27 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни» (Information security, cybersecurity and privacy protection) взамен
 ранее действовавшего технического отчёта ISO/IEC TR 27103-2018.

Во вводной части документа отмечается: «В настоящем документе представлены рекомендации по использованию существующих стандартов ИСО и МЭК в рамках концепций кибербезопасности».

В основной части документа выделены 6 функций – «Выявление» (Identify), «Защита» (Protect), «Детектирование» (Detect), «Реагирование» (Respond) и «Восстановление» (Recover). Для каждой функции выделен ряд аспектов, для каждого из которых даны ссылки на соответствующие разделы в стандартах ИСО/МЭК.  

Содержание документа следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Структура документа
5. Предыстория
6. Концепции
Приложение А: Подкатегории
Приложение Б: Три принципа кибербезопасности для высшего руководства
Библиография

Источник: сайт ИСО
https://www.iso.org/standard/27103 
https://www.iso.org/obp/ui/en/#!iso:std:85057:en 

ИСО и МЭК: Начато публичное обсуждение проекта стандарта ISO/IEC DIS 27091 «Искусственный интеллект – Защита персональных данных»

В январе 2026 года сайт Международной организации по стандартизации (ИСО) сообщил о начале публичного обсуждения проекта нового стандарта ISO/IEC DIS 27091 «Кибербезопасность и защита неприкосновенности частной жизни (персональных данных) – Искусственный интеллект – Защита персональных данных» (Cybersecurity and Privacy - Artificial Intelligence - Privacy protection) объёмом 31 страница основного текста, см. https://www.iso.org/standard/56582.html и https://www.iso.org/obp/ui/en/#!iso:std:56582:en .

Над стандартом работает технический подкомитет ИСО/МЭК JTC1/SC27 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни» (Information security, cybersecurity and privacy protection). Я уже рассказывала о работе над этим документом здесь: https://rusrim.blogspot.com/2024/07/isoiec-27091.html 

В аннотации на документ отмечается:

«Настоящий документ содержит рекомендации для организаций по обработке рисков для неприкосновенности частной жизни (персональных данных), связанных с системами искусственного интеллекта (ИИ) и моделями машинного обучения (МО).

Приведенные в настоящем документе рекомендации помогают организациям выявлять риски для персональных данных на протяжении всего жизненного цикла систем ИИ и описывают механизмы для оценки последствий и для обработки таких рисков.

Данный документ применим в организациях любого типа и размера, включая государственные и частные компании, государственные учреждения и некоммерческие организации, которые разрабатывают или используют системы искусственного интеллекта.»

Содержание документа следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Сокращения
5. Концепция анализа систем ИИ на предмет защиты персональных данных
6. Защита персональных данных для моделей ИИ
7. Защита персональных данных в жизненном цикле системы ИИ
Приложение A: Дополнительная информация для анализа систем ИИ на предмет защиты персональных данных
Приложение B: Шаблон для описания вариантов использования
Библиография

Источник: сайт ИСО
https://www.iso.org/standard/56582.html 
https://www.iso.org/obp/ui/en/#!iso:std:56582:en 

CША: Национальный институт стандартов и технологий начал публичное обсуждений новой версии 1.2 «Концепции безопасной разработки программного обеспечения» (SSDF)

14 декабря 2025 американский Национальный институт стандартов и технологий (NIST) в своей новостной рассылке и на веб-сайте (см. https://csrc.nist.gov/pubs/sp/800/218/r1/ipd ) объявил о начале публичного обсуждения первоначального проекта новой версии публикации NIST SP 800-218 Rev.1 «Концепция безопасной разработки программного обеспечения (SSDF), версия 1.2: Рекомендации по смягчению рисков, связанных с уязвимостями программного обеспечения» (Secure Software Development Framework (SSDF) Version 1.2: Recommendations for Mitigating the Risk of Software Vulnerabilities) объёмом 57 страниц, см. https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-218r1.ipd.pdf .

Публичное обсуждение продлится до 30 января 2026 года; замечания предлагается направлять по адресу ssdf@nist.gov . Документ заменит действующую версию 1.1 (публикация NIST SP 800-218, февраль 2022 года, см. https://csrc.nist.gov/pubs/sp/800/218/final ).

В извещении о начале публичного обсуждения отмечается следующее:

«Национальный институт стандартов и технологий (NIST) опубликовал первоначальный проект для публичного обсуждения специальной публикации NIST SP 800-218 Rev.1 «Концепция безопасной разработки программного обеспечения (SSDF), версия 1.2: Рекомендации по смягчению рисков, связанных с уязвимостями программного обеспечения», - в соответствии с исполнительным приказом (executive order) Президента США № 14306 от 6 июня 2025 года «Об усилении отдельных мер по укреплению кибербезопасности страны и о внесении поправок в исполнительные приказы Президента США №13694 и № 14144» (Sustaining Select Efforts To Strengthen the Nation's Cybersecurity and Amending Executive Order 13694 and Executive Order 14144, см. https://www.federalregister.gov/documents/2025/06/11/2025-10804/sustaining-select-efforts-to-strengthen-the-nations-cybersecurity-and-amending-executive-order-13694 ).

В настоящем документе описываются новые и улучшенные методы (практики), задачи и примеры безопасной и надёжной разработки, поставки и совершенствования программного обеспечения.

Лишь немногие модели жизненного цикла разработки программного обеспечения (software development life cycle, SDLC) явным образом детально рассматривают вопросы безопасности программного обеспечения, поэтому обычно приходится добавлять методы безопасной разработки программного обеспечения в каждую модель SDLC-модель. Публикация NIST SP 800-218 рекомендует использовать «Концепцию безопасной разработки программного обеспечения» (Secure Software Development Framework, SSDF), представляющую собой базовый набор высокоуровневых методов (практик) безопасной разработки программного обеспечения, которые могут быть интегрированы в каждую реализацию жизненного цикла разработки программного обеспечения (SDLC).

Следование таким методам и практикам должно помочь производителям программного обеспечения сократить количество уязвимостей в выпущенном ими ПО, смягчить потенциальные последствия эксплуатации [враждебными сторонами – Н.Х.] необнаруженных или неустраненных уязвимостей, и устранить первопричины уязвимостей, чтобы предотвратить их повторное возникновение в будущем. Поскольку данная Концепция включает общую терминологию в области безопасной разработки программного обеспечения, то закупающие программное обеспечение стороны также могут использовать её как для укрепления информационного взаимодействия с поставщиками в ходе процессов проведения закупок, так и в рамках иной управленческой деятельности.»

Содержание документа следующее:

Резюме для руководства
1. Введение
2. Концепция разработки безопасного программного обеспечения
Литература
Приложение A: Перечень обозначений, сокращений и аббревиатур
Приложение B. История изменений 

Основное место в документе (стр. 7-38) занимает Таблица 1 «Концепция разработки безопасного программного обеспечения (SSDF), версия 1.2», содержащая графы «Методы (практики)», «Задачи», «Характерные примеры реализации» и «Ссылки».

Источник: сайт NIST
https://csrc.nist.gov/pubs/sp/800/218/r1/ipd 
https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-218r1.ipd.pdf 

ИСО и МЭК: Опубликована новая редакция стандарта ISO/IEC 27701:2025 «Системы менеджмента персональных данных - Требования и рекомендации»

В октябре 2025 года сайт Международной организации по стандартизации (ИСО) сообщил о публикации новой, второй редакции стандарта ISO/IEC 27701:2025 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни - Системы менеджмента персональных данных - Требования и рекомендации» (Information security, cybersecurity and privacy protection — Privacy information management systems — Requirements and guidance) объёмом 72 страницы, см. https://www.iso.org/standard/27701 и https://www.iso.org/obp/ui/en/#!iso:std:85819:en .

Документ подготовлен техническим подкомитетом ИСО/МЭК JTC1/SC27 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни» (Information security, cybersecurity and privacy protection). О работе над этим стандартом я уже рассказывала на блоге, см. http://rusrim.blogspot.com/2023/03/isoiec-dis-27701-isoiec-27001-isoiec.html , http://rusrim.blogspot.com/2024/08/isoiec-dis-27701.html и http://rusrim.blogspot.com/2024/09/isoiec-277012024.html .

Документ заменил первую редакцию стандарта ISO/IEC 27701:2019 «Меры и средства обеспечения безопасности - Расширение ISO/IEC 27001 и ISO/IEC 27002 в плане менеджмента информации, затрагивающей неприкосновенность частной жизни – Требования и рекомендации» (Security techniques - Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management - Requirements and guidelines), о которой я рассказывала здесь: http://rusrim.blogspot.com/2019/08/isoiec-277012019.html 

В извещении о публикации стандарта отмечается:

Что представляет собой стандарт ISO/IEC 27701?

Стандарт ISO/IEC 27701 — это международный стандарт, устанавливающий требования к созданию, внедрению, поддержанию и постоянному совершенствованию системы менеджмента персональных данных (Privacy Information Management System, PIMS).

В стандарте также содержатся рекомендации организациям по реализации этих требований на практике.

Стандарт разработан для операторов и обработчиков персональных данных (personally identifiable information, PII), которые несут ответственность и являются подотчётными за обработку ПДн.

Чем важен стандарт ISO/IEC 27701?

Персональные данные являются одним из самых наиболее и чувствительных (конфиденциальных) активов, с которыми сегодня работают организации. Ввиду растущих ожиданий со стороны физических лиц, регулирующих органов и деловых партнеров недостаточно просто заявлять о своём добросовестном отношении к защите персональных данных - его необходимо доказывать. 

Стандарт ISO/IEC 27701 предоставляет структурированную, признанную на международном уровне концептуальную структуру, которая помогает организациям демонстрировать подотчётность, управлять связанными с защиты персональных данных.

Преимущества стандарта

Стандарт ISO/IEC 27701:

• Укрепляет способность организации обеспечить защиту персональных данных, 
  
  
• Помогает продемонстрировать исполнение требований международных нормативно-правовых актов, таких как европейский закон о защите персональных данных GDPR,
  
  
• Способствует укреплению доверия со стороны партнеров, клиентов и регулирующих органов,
  
  
• Согласован с системой менеджмента информационной безопасности ISO/IEC 27001 для упрощения его внедрения,
  
  
• Способствует подотчетности и управлению защитой персональных данных на основе фактов.

Содержание документа следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины, определения и сокращения
4. Контекст (условия деятельности) организации
5. Лидерство
6. Планирование
7. Поддержка
8. Эксплуатация
9. Оценка эффективности
10. Совершенствование
11. Дополнительная информация о приложениях
Приложение A: Эталонные цели и меры управления PIMS для операторов и обработчиков персональных данных
Приложение B: Руководство по внедрению для операторов и обработчиков персональных данных
Приложение C: Сопоставление со стандартом ISO/IEC 29100
Приложение D: Сопоставление с положениями европейского закона о защите персональных данных GDPR
Приложение E: Сопоставление со стандартами ISO/IEC 27018 и ISO/IEC 29151
Приложение F: Сопоставление с предыдущей редакцией ISO/IEC 27701:2019
Библиография

Источник: сайт ИСО
https://www.iso.org/standard/27701 
https://www.iso.org/obp/ui/en/#!iso:std:85819:en 

Продолжается работа над европейским стандартом prEN 40000-1-2 «Требования по кибербезопасности к продуктам с цифровыми элементами - Часть 1-2: Принципы киберустойчивости»

Как сообщили сайты Европейского комитета по стандартизации CEN (от фр. Comité Européen de Normalisation) и Европейского комитета электротехнической стандартизации CENELEC (от фр. Comité Européen de Normalisation Électrotechnique), а также сайты органов по стандартизации стран Евросоюза, с 15 октября начато публичное обсуждение проекта нового европейского стандарта prEN 40000-1-2 «Требования по кибербезопасности к продуктам с цифровыми элементами - Часть 1-2: Принципы киберустойчивости» (Cybersecurity requirements for products with digital elements - Part 1-2: Principles for cyber resilience) объёмом 57 страниц, см. https://standards.cencenelec.eu/ords/f?p=CEN:110:::::FSP_PROJECT,FSP_ORG_ID:81335,2307986&cs=1D72BA048927BF4E6076BA309587EA01A 

Над стандартом работает технический комитет CEN/CLC/JTC 13 «Кибербезопасность и защита данных» (Cybersecurity and Data Protection),

Публичное обсуждение продлится до 13 декабря 2025 года. С текстом проекта можно ознакомиться на сайтах национальных органов по стандартизации стан Евросоюза, в т.ч. на эстонском сайте, см. https://komport.evs.ee/Default.aspx?s=standardCommenting&doc=19694 

Веб-страница публичного обсуждения на сайте эстонского органа по стандартизации

Во вводной части стандарта отмечается:

«В настоящем документе специфицированы общие принципы кибербезопасности и общие меры управления рисками для всех продуктов, имеющих цифровые элементы (далее именуемых «продуктами»). Данный документ охватывает все этапы жизненного цикла продукта с целью обеспечения и поддержания надлежащего уровня кибербезопасности на основе учёта рисков.

В настоящем документе также представлены типовые компоненты, поддерживающие разработку согласованных между собой стандартов, специфических для отдельных категорий продуктов (вертикальных стандартов).

Настоящий документ:

• Устанавливает общие принципы кибербезопасности, применимые ко всем этапам жизненного цикла продукта;
  
  
• Специфицирует требования к оценке и обработке рисков кибербезопасности;
  
  
• Специфицирует требования в отношении мер и действий, которые могут применяться для обеспечения надлежащего уровня кибербезопасности на каждом этапе жизненного цикла продукта;
  
  
• Предоставляет компоненты и соображения для использования в стандартах, специфических для отдельных категорий продуктов, с целью обеспечения гармонизированного подхода.

В настоящем документе не рассматриваются меры и компоненты, специфические для отдельных вертикальных категорий продуктов.»

В стандарте сформулированы четыре принципа:

• Риск-ориентированный подход к кибербезопасности: Риск-ориентированный подход к кибербезопасности продуктов обеспечивает то, что меры кибербезопасности основаны на выявленных рисках и соразмерны им, принимая во внимание масштаб потерь или перебоев, а также вероятность их возникновения. Такой подход способствует принятию обоснованных решений относительно обработки рисков, в конечном итоге направленных на снижение рисков кибербезопасности продукта на протяжении всего его жизненного цикла посредством приятия целенаправленных и адекватных мер.
  
  
• Запроектированная безопасность (security by design): Принцип «запроектированной безопасности» в отношении кибербезопасности означает, что продукт проектируется, разрабатывается и производится таким образом, чтобы интегрировать меры кибербезопасности на протяжении всего жизненного цикла продукта, начиная с этапа разработки концепции. Подход «запроектированной безопасности» обеспечивает то, что кибербезопасность рассматривается как фундаментальный аспект проектирования на всех его этапах, и подчеркивает, что кибербезопасность не должна рассматриваться как добавляемый позже элемент.
  
  
• Обеспечение безопасности по умолчанию (secure by default): Принцип обеспечения безопасности по умолчанию в отношении кибербезопасности означает, что поведение продукта по умолчанию является безопасным для его предполагаемого назначения при разумно предсказуемом использовании и в условиях целевой среды эксплуатации. Сюда входит обеспечение безопасной настройки продукта при установке или развертывании, а также установку доступных обновлений кибербезопасности без неоправданных задержек в интересах поддержания безопасного по умолчанию состояния.
  
  
• Прозрачность: Принцип прозрачности подразумевает распространение и предоставление необходимой информации о кибербезопасности заинтересованным сторонам для поддержки усилий по достижению и поддержанию кибербезопасности продуктов.

Содержание документа следующее:

Европейское предисловие
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Введение
5. Принципы кибербезопасности
5.1. Общие положения
5.2. Риск-ориентированный подход к кибербезопасности
5.3. Запроектированная безопасность
5.4. Обеспечение безопасность по умолчанию
5.5. Прозрачность
6. Элементы менеджмента риска
7. Меры и действия по обеспечению кибербезопасности
Приложение A (справочное): Согласованность с вертикальными стандартами
Приложение B (справочное): Пример соглашения с поставщиком услуг кибербезопасности (Cybersecurity Supplier Agreement, CSSA)
Приложение C (справочное): Взаимосвязь настоящего европейского стандарта с ключевыми требованиями к обеспечению кибербезопасности Регламента №2024/2847
Приложение D (справочное): Доступная и инклюзивная кибербезопасность
Библиография

Одновременно проходит публичное обсуждение части 1-1 данного стандарта - prEN 40000-1-1 «Требования по кибербезопасности к продуктам с цифровыми элементами - Часть 1-2: Словарь» (Cybersecurity requirements for products with digital elements – Vocabulary) объёмом 8 страниц, см. https://standards.cencenelec.eu/ords/f?p=CEN:110:::::FSP_PROJECT,FSP_ORG_ID:82349,2307986&cs=1233A32A252D91A47BFF714F1B8C1ED26 

Во вводной части отмечается, что «в настоящем документе приведены термины и определения, обычно используемые в требованиях к кибербезопасности, включаемых в стандарты для продуктов с цифровыми элементами».

Документ содержит 16 терминов. Его содержание следующее:

Европейское предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
Библиография

Источники: сайт CEN / сайт эстонского органа по стандартизации
https://standards.cencenelec.eu/ords/f?p=CEN:110:::::FSP_PROJECT,FSP_ORG_ID:81335,2307986&cs=1D72BA048927BF4E6076BA309587EA01A
https://komport.evs.ee/Default.aspx?s=standardCommenting&doc=19694 
https://standards.cencenelec.eu/ords/f?p=CEN:110:::::FSP_PROJECT,FSP_ORG_ID:82349,2307986&cs=1233A32A252D91A47BFF714F1B8C1ED26 
https://komport.evs.ee/Default.aspx?s=standardCommenting&doc=19689 

Китай: Опубликован стандарт GB/T 45652-2025 «Требования по безопасности в отношении данных для предварительного обучения и дообучения генеративного ИИ»

24 апреля 2025 года сайт Национальной платформы государственной службы КНР предоставления информации о стандартах (全国标准信息公共服务平, National public service platform for standards information, см. https://std.samr.gov.cn/ ) сообщил о публикации нового национального стандарта GB/T 45652-2025 «Технологии кибербезопасности – Требования по безопасности в отношении данных для предварительного обучения и дообучения (точной настройки) генеративного ИИ» (网络安全技术 生成式人工智能预训练和优化训练数据安全规范 , самоназвание на английском языке: Cybersecurity technology—Security specification for generative artificial intelligence pre-training and fine-tuning data) объёмом 23 страницы, см. https://std.samr.gov.cn/gb/search/gbDetailed?id=33D40F1160BE5D92E06397BE0A0A5B93 и  https://www.doc88.com/p-51871853599231.html . 

Документ подготовлен китайским техническим комитетом по стандартизации SAC/TC260 «Кибербезопасность».

Стандарт, о работе над которым я уже рассказывала на блоге (см. http://rusrim.blogspot.com/2024/05/gbt.html ), вступит в силу 1 ноября 2025 года.

Во вводной части документа отмечается:

«Данные для предварительного обучения и для дообучения (точной настройки) являются основой генеративного ИИ и напрямую определяют качество и уровень безопасности генерируемого контента. 

Однако, учитывая риски безопасности на стадиях сбора, предварительной обработки и использования обучающих данных для предварительного обучения идообучения, для повышения уровня безопасности таких данных крайне необходимы стандарты и спецификации.

… В настоящем документе специфицированы требования безопасности к обучающим данным для предварительного обучения и дообучения, и к процессам их обработки в интересах генеративного ИИ. В документе также описаны соответствующие методы оценки.

Настоящий документ может быть использован поставщиков услуг генеративного ИИ, осуществляющими обработку обучающих данных для предварительного обучения и дообучения, и проводящих самооценку безопасности. Стандарт также распространяется на третьи стороны, проводящие оценку безопасности обучающих данных для предварительного обучения и дообучения.»

Содержание стандарта следующее:

Предисловие 
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Общие требования безопасности
5. Требования безопасности в отношении обработки обучающих данных для предварительного обучения генеративного ИИ
6. Требования безопасности в отношении обработки обучающих данных для дообучения (точной настройки) генеративного ИИ
7. Методы оценки
Библиография

Отмечу, что в настоящее время в каталоге китайских стандартов уже около 200 документов и проектов (серий DB/T, SJ/T, YD/T. YY/T), у которых в названии упоминается «искусственный интеллект», в том числе 3 стандарта и два проекта по генеративному ИИ.

Также недавно были опубликованы следующие национальные стандарты:

• GB/T 45654-2025 «Технологии кибербезопасности - Базовые требования безопасности для сервисов генеративного искусственного интеллекта» (网络安全技术 生成式人工智能服务安全基本要求, самоназвание на английском языке: Cybersecurity technology - Basic security requirements for generative artificial intelligence service) объёмом 32 страницы, см. http://www.csres.com/detail/426999.html , https://std.samr.gov.cn/gb/search/gbDetailed?id=33D40F1160BF5D92E06397BE0A0A5B93 и https://www.doc88.com/p-89919789733521.html . Стандарт опубликован 25 апреля 2025 года и вступит в силу 1 ноября 2025 года.
  
  
• GB/T 45674-2025 «Технологии кибербезопасности - Спецификации безопасности для аннотирования (разметки) данных генеративного искусственного интеллекта» (网络安全技术 生成式人工智能数据标注安全规范, самоназвание на английском языке: Cybersecurity technology - Generative artificial intelligence data annotation security specification) объёмом 24 страницы, см. http://www.csres.com/detail/427001.html , https://std.samr.gov.cn/gb/search/gbDetailed?id=33D40F1160F95D92E06397BE0A0A5B93 и https://www.doc88.com/p-27043828130373.html . Стандарт опубликован 25 апреля 2025 года и вступит в силу 1 ноября 2025 года.
  
  
• GB/T 45958-2025 «Технологии кибербезопасности – Рамочная структура безопасности для вычислительной платформы ИИ» (网络安全技术 人工智能计算平台安全框架, самоназвание на английском языке: Cybersecurity technology - Security framework for artificial intelligence computing platform) объёмом 20 страниц, см. http://www.csres.com/detail/433281.html , https://std.samr.gov.cn/gb/search/gbDetailed?id=3B46A026CC68469CE06397BE0A0AEEB8 и https://www.doc88.com/p-39620517804585.html . Стандарт опубликован 1 августа 2025 года и вступит в силу 1 февраля 2026 года.

Источник: Национальной платформы государственной службы КНР предоставления информации о стандартах
https://std.samr.gov.cn/gb/search/gbDetailed?id=33D40F1160BE5D92E06397BE0A0A5B93 
https://www.doc88.com/p-51871853599231.html 

ETSI: Готовится к публикации стандарт ETSI EN 304 223 «Базовые требования к кибербезопасности для моделей и систем ИИ»

Данная заметка итальянского юриста Федерико Маренго (Federico Marengo – на фото), специализирующегося на тематике ИИ и защиты персональных данных, была опубликована 13 октября 2025 года в социальной сети LinkedIn.

Европейский институт телекоммуникационных стандартов (European Telecommunications Standards Institute, ETSI, http://www.etsi.org/ ) представил на публичное обсуждение проект базовых требований к кибербезопасности для моделей и систем искусственного интеллекта (ИИ).

Мой комментарий: Речь идёт о поступившем уже на утверждение проекте стандарта ETSI EN 304 223 V2.0.0 (2025-09) «Обеспечение безопасность искусственного интеллекта (ИИ); Базовые требования к кибербезопасности для моделей и систем ИИ» (Securing Artificial Intelligence (SAI); Baseline Cyber Security Requirements for AI Models and Systems) объёмом 16 страниц, см. https://portal.etsi.org/webapp/workprogram/Report_WorkItem.asp?WKI_ID=74952 , прямая ссылка на PDF-файл: https://www.etsi.org/deliver/etsi_en/304200_304299/304223/02.00.00_20/en_304223v020000a.pdf 

Данный стандарт предоставляет заинтересованным сторонам в цепочке поставок ИИ четкие базовые требования к безопасности, которые помогают защитить системы ИИ.

Хотя эти базовые требования к ИИ не являются обязательными для исполнения, они представляют собой критически важный аспект стратегического управления системами ИИ, поскольку обеспечивают соответствующим заинтересованным сторонам в цепочке поставок ИИ четкие ожидания относительно того, что будет требоваться и на соответствие чему будет проводиться оценка перед внедрением или интеграцией систем ИИ в их рабочие процессы.

Группам стратегического управления ИИ следует обратить внимание на следующие моменты:

• Данные базовые требования не являются исчерпывающими: они представляют собой отправную точку, к которой группы по стратегическому управлению ИИ должны стремиться и адаптироваться в соответствии с применимыми к деятельности организации законодательно-нормативными требованиями;
  
  
• Данные базовые требования перечисляют только «что» следует обеспечить (требования), но не «как» это сделать (методология или стандарт). В дальнейшем этим группам предстоит воплотить в жизнь данные требования, предоставив более подробную информацию о конкретной методологии или стандартах, которым должны следовать или которых должны придерживаться разработчики и операторы ИИ.
  
  
• Избегайте простого копирования этих требований в тендерную документацию. Группы по стратегическому управлению ИИ должны обеспечить согласованность требований со своими внутренними процессами стратегического управления и соответствующей документацией, в частности, с положениями договоров.

Федерико Маренго (Federico Marengo)

Источник: сайт LinkedIn
https://www.linkedin.com/feed/update/urn:li:activity:7383396207357837312/ 

Росстандарт: Начато публичное обсуждение проекта предстандарта ПНСТ «Информационные технологии. Кибербезопасность и защита конфиденциальности. Методы и технологии анонимизации данных»

На сайте NORMACS ( https://www.normacs.info ) с 28 июня по 17 августа 2025 года проходит открытое публичное обсуждение проекта российского предварительного стандарта ПНСТ «Информационные технологии. Кибербезопасность и защита конфиденциальности. Методы и технологии анонимизации данных» объёмом 92 страницы, см. https://www.normacs.info/projects/12308 . 

Стандарт разработан Ассоциацией участников рынка больших данных, внесён Техническим комитетом по стандартизации ТК 22 «Информационные технологии».

Текст проекта стандарта можно скачать по адресу https://www.normacs.info/project_files/13714 , а пояснительной записки к нему – по адресу  https://www.normacs.info/project_files/13713 . Принять участие в обсуждении документа можно здесь: https://www.normacs.info/discussions/9548#9548 .

В аннотации на проект говорится:

«Цель разработки стандарта состоит в закреплении риск-ориентированного подхода к защите данных, формализованных моделей анонимизации, псевдонимизации и подходов к методам обезличивания данных. Стандарт позволит повысить управляемость задач обезличивания с использованием моделей оценки рисков, обеспечить совместимость данных и будет способствовать развитию рынка высоких технологий.

Ключевым принципом, положенным в основу стандарта, является достижение оптимального баланса между уровнем защиты конфиденциальности и сохранением полезности данных для решения прикладных задач. Этот принцип реализуется через применение количественных метрик оценки риска повторной идентификации (включая k-анонимность, l-разнообразие, t-близость) и метрик качества преобразованных данных (статистическая близость, сохранение корреляций, пригодность для аналитики, потеря информации).»

Во вводной части документа отмечается:

«Настоящий стандарт устанавливает требования к методам и технологиям псевдонимизации и обезличивания (де-идентификации) данных, используемым для минимизации рисков повторной идентификации при обработке, хранении, передаче и публикации данных.

Стандарт определяет:

• требования к методам псевдонимизации как обратимого преобразования данных;
  
  
• требования к методам обезличивания (де-идентификации) как необратимого преобразования данных;
  
  
• процедуры оценки эффективности методов на основе риск-ориентированного подхода;
  
  
• критерии выбора методов для различных сценариев обработки данных.

Положения настоящего стандарта распространяются на:

• информационные системы различных классов и назначений, включая платформы обработки больших данных (Big Data), озера данных (Data Lake), потоковые системы, а также системы искусственного интеллекта и машинного обучения, обрабатывающие персональные или иные конфиденциальные данные;
  
  
• обработку структурированных (базы данных, таблицы, реестры), полу-структурированных (XML, JSON, логи), неструктурированных (тексты, изображения, аудио, видео) и бинарных данных специализированных форматов.

Рекомендации настоящего стандарта могут быть использованы:

• организациями и учреждениями при подготовке, публикации или обмене открытыми и ограниченными наборами данных;
  
  
• участниками отраслей здравоохранения, финансов, телекоммуникаций и других сфер при обработке и распространении чувствительной информации;
  
  
• разработчиками и интеграторами информационных систем при проектировании механизмов преобразования и анонимизации данных;
  
  
• организациями, осуществляющими трансграничную передачу информации, а также работающими с персональными и иными данными, требующими специальных мер защиты.

Стандарт не распространяется на:

• методы генерации полностью синтетических данных, которые регулируются отдельной серией стандартов (ПНСТ 1.11.164–1.363, 1.11.164–1.361.25, 1.11.164–1.362.25);
  
  
• криптографические методы защиты информации, регулируемые ГОСТ Р 34.10, ГОСТ Р 34.11 и другими стандартами криптографической защиты;
  
  
• организационные меры защиты информации, не связанные с техническим преобразованием данных, регулируемые ГОСТ Р ИСО/МЭК 27002–2021, ГОСТ Р 59336-2021, ГОСТ Р 59347—2021 и другими стандартами.

Применение настоящего стандарта способствует:

• реализации требований законодательства Российской Федерации в области защиты персональных и иных конфиденциальных данных;
  
  
• совместимости с международными стандартами;
  
  
• объективной оценке уровня защиты данных и воспроизводимости результатов применения методов анонимизации.»

В документе разъясняется соответствующая терминология (п.5.1.1):

Анонимизация — процесс необратимого преобразования, при котором персональные данные изменяются таким образом, что субъект персональных данных не может быть идентифицирован ни прямо, ни косвенно, в том числе с использованием дополнительной информации, разумно доступной для анализа с использованием ограниченных ресурсов и за ограниченное время.

Обезличивание — процесс, при котором становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту.

Псевдонимизация — один из видов обезличивания, представляющий собой замену идентифицирующей информации псевдонимом (ГОСТ Р 59407–2021). В результате такого преобразования персональные данные больше не могут быть отнесены к конкретному субъекту без использования дополнительной информации, которая хранится отдельно и подлежит специальным техническим и организационным мерам защиты.

Содержание документа следующее:

Предисловие
Введение
1. Область применения 
2. Нормативные ссылки 
3. Термины и определения
4. Сокращения 
5. Обзор методологии анонимизации 
6. Методы псевдонимизации 
7. Методы Обезличивания 
Приложение A (справочное): Модели обмена чувствительной информации и сопутствующие угрозы
Приложение Б (справочное): Оценка рисков анонимизации
Приложение В (справочное): Метрики качества и полезности для методов анонимизации

Источник: сайт NORMACS
https://www.normacs.info/projects/12308

ИСО и МЭК: Идёт публичное обсуждение нового стандарта ISO/IEC DIS 27090 «Руководство по устранению угроз безопасности для систем искусственного интеллекта»

В середине апреля 2025 года сайты Международной организации по стандартизации (ИСО) и Британского института стандартов (BSI) сообщили о начале публичного обсуждения нового стандарта ISO/IEC DIS 27090 «Кибербезопасность - Искусственный интеллект - Руководство по устранению угроз безопасности для систем искусственного интеллекта» (Cybersecurity - Artificial Intelligence - Guidance for addressing security threats to artificial intelligence systems) объёмом 46 страниц основного текста, см. https://www.iso.org/standard/56581.html и https://www.iso.org/obp/ui/en/#!iso:std:56581:en . Публичное обсуждение завершится в начале июля 2025 года.

Стандарт готовит технический подкомитет ISO/IEC JTC1/SC27 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни» (Information security, cybersecurity and privacy protection).

До 9 июня 2025 года желающие имеют возможность самостоятельно принять участие в публичном обсуждении стандарта на сайте Британского института стандартов (BSI) по адресу https://standardsdevelopment.bsigroup.com/projects/2022-02212 .

Страница публичного обсуждения на сайте BSI

 

Во вводной части стандарта отмечается следующее:

«Настоящий документ содержит рекомендации для организаций по принятию мер в отношении угроз безопасности и сбоев, характерных для систем искусственного интеллекта (ИИ). Целью рекомендаций данного документе является предоставление организациям информации, которая поможет им лучше понять последствия характерных для систем ИИ угроз безопасности на всём протяжении их жизненного цикла; а также предоставление сведений о том, как можно обнаруживать и смягчать такие угрозы.

Данный документ применим в организациях любого типа и размера, включая государственные и частные компании, государственные органы и учреждения, а также некоммерческие организации, - которые разрабатывают или используют системы ИИ.»

Содержание стандарта следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Сокращения
5. Применение информационной безопасности
6. Угрозы системам ИИ
7. Меры по смягчению и их воздействие на угрозы 
Приложение A: Сопоставление атак с жизненным циклом системы ИИ и активами
Приложение B: Специфичные для ИИ версии обычных атак, 
Библиография

Источники: сайт ИСО / сайт BSI
https://www.iso.org/standard/56581.html 
https://www.iso.org/obp/ui/en/#!iso:std:56581:en 
https://standardsdevelopment.bsigroup.com/projects/2022-02212 

США: Национальный институт стандартов и технологий (NIST) опубликовал проект новой версии 1.1 «Концепции защиты неприкосновенности частной жизни», увязав её с новыми руководствами по кибербезопасности

Данная новость была опубликована 14 апреля 2025 года на сайте американского Национального института стандартов и технологий (National Institute of Standards and Technology, NIST).

Мой комментарий: Мой пост о версии 1.0 «Концепции защиты неприкосновенности частной жизни» NIST см. по адресу https://rusrim.blogspot.com/2020/02/nist-10.html

Для справки: Документ для публичного обсуждения объёмом 51 страница был опубликован 14 апреля 2025 года по адресу https://doi.org/10.6028/NIST.CSWP.40.ipd . Обсуждение продлится до 13 июня 2025 года. Замечания и предложения предлагается направлять по адресу: privacyframework@nist.gov

Вместе с первоначальным проектом «Концепции» версии 1.1 выложены следующие материалы:

• Видео об основных особенностях «Концепции защиты неприкосновенности частной жизни» версии 1.1, доступное по адресу https://vimeo.com/1075421918/572caf1aa5?ts=0&share=copy . В нём кратко рассказывается о процессе разработки концепции и даётся анализ ключевых нововведений;
  
  
• Сопоставление ключевых положений версий 1.0 и 1.1 (см. https://www.nist.gov/document/pf-11-10-core-mapping ), помогающее организациям отследить изменения от версии к версии в основных категориях и подкатегориях.  

Как обществу получить пользу от использования персональных данных, одновременно защищая неприкосновенность частной жизни людей? Спустя пять лет после дебюта рекомендаций, задачей которых было оказание помочи организациям в нахождении правильно баланса этих целей, Национальный институт стандартов и технологий (NIST) разработал новую версию своей «Концепции защиты неприкосновенности частной жизни» (NIST Privacy Framework), призванную удовлетворить актуальные на сегодня потребности в управлении рисками защиты персональных данных (ПДн), поддержать согласованность с недавно обновленной «Концепцией кибербезопасности NIST» (Cybersecurity Framework), а также повысить удобство использования Концепции.

В целом первоначальный проект для публичного обсуждения (Initial Public Draft) «Концепции защиты неприкосновенности частной жизни» версии 1.1 (NIST Privacy Framework 1.1, см. https://doi.org/10.6028/NIST.CSWP.40.ipd ) призван помочь организациям управлять рисками защиты ПДн, возникающими вследствие перемещения персональных данных через сложные ИТ-системы. Неспособность эффективно управлять этими рисками может напрямую повлиять на отдельных лиц и на общество, потенциально нанося ущерб брендам организаций, их прибыли и перспективам роста.

Внесение изменений в «Концепцию защиты неприкосновенности частной жизни» (Privacy Framework, PFW) стало необходимым отчасти вследствие её взаимосвязи с широко используемой «Концепцией кибербезопасности NIST» (Cybersecurity Framework, CSF, https://www.nist.gov/cyberframework ), которая сама была обновлена в феврале 2024 года ( https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework ). Риски защиты ПДн тесно связаны с рисками кибербезопасности и часто пересекаются с ними. Ввиду этого обе концепции имеют одинаковую высокоуровневую структуру, что упрощает их совместное применение.

Одним из общих элементов обеих концепций является «Ядро» (Core) – становящийся всё более детализированным набор действий и результатов, который помогает организациям обсуждать управление рисками. Ядро проекта версии 1.1 «Концепции защиты неприкосновенности частной жизни» во многих местах заново согласовано с ядром версии 2.0 «Концепции кибербезопасности», что облегчает жизнь пользователям.

«Это скромное по масштабам, но важное обновление», - отмечает директор отдела прикладной кибербезопасности NIST Джули Чуа (Julie Chua). «Концепцию защиты неприкосновенности частной жизни можно использовать отдельно для управления рисками защиты ПДн, но мы также сохранили её совместимость с версией 2.0 «Концепции кибербезопасности», чтобы организации могли использовать обе концепции вместе для управления всем спектром рисков кибербезопасности и защиты ПДн».

В числе заметных изменений в проекте версии 1.1 «Концепции защиты неприкосновенности частной жизни» можно упомянуть:

• Нацеленные изменения в разделе «Ядро». При подготовке проекта новой версии «Концепции защиты неприкосновенности частной жизни» были внесены нацеленные изменения в его основную структуру и содержание. Некоторые изменения соответствуют положениям «Концепции кибербезопасности» 2.0, с упором на функцию «Стратегическое управление» (Govern Function - это стратегия и политики управления рисками) и функцию «Защита» (Protect Function - это меры кибербезопасности и защиты ПДн). Другие изменения вносят улучшения в качестве реакции ответ на отзывы заинтересованных сторон, собранные за последние пять лет по таким каналам, как рабочая группа NIST по вопросам защиты ПДн (NIST Privacy Workforce Public Working Group, см. https://www.nist.gov/privacy-framework/workforce-advancement/privacy-workforce-public-working-group ).
  
  
• Новый раздел об управлении рисками защиты ПДн в контексте технологий ИИ. Первоначальная версия «Концепции» появилась до того, как начали широко использоваться такие ИИ-инструменты, как чат-боты. В разделе 1.2.2 проекта «Концепции» кратко описано, как взаимосвязаны ИИ и риски защиты ПДн, и в также как версию 1.1 «Концепции» можно будет использовать для управления рисками защиты ПДн, связанными с ИИ.
  
  
• Перенос в интернет руководств по использованию Концепции. Те, кто ищет руководство по использованию «Концепцию защиты неприкосновенности частной жизни», могут теперь найти эту информацию в Интернете ( https://www.nist.gov/privacy-framework/using-privacy-framework-11 ), а не в разделе 3 документа, как прежде. Онлайн-материалы были структурированы как интерактивная страница ответов на часто задаваемые вопросы, что даёт пользователям возможность быстро находить нужные им ответы. Поддержание этого раздела в онлайн-режиме также позволит своевременно обновлять его в ответ на потребности пользователей.

В дополнение к интерактивным «Ответам на часто задаваемые вопросы» NIST также поддерживает Центр обучения PFW ( https://www.nist.gov/privacy-framework/getting-started-0/learning-center ), который включает руководства для начинающих на нескольких языках. На странице центра теперь выложено видео об основных особенностях «Концепции защиты неприкосновенности частной жизни» версии 1.1 (PFW 1.1 Highlights, https://vimeo.com/1075421918/572caf1aa5?ts=0&share=copy ), в котором содержатся более подробные сведения о нововведениях.

Национальный институт стандартов и технологий (NIST)  будет принимать замечания и предложения на проект до 13 июня 2025 года по адресу privacyframework@nist.gov . Форму для подачи замечаний можно найти на веб-сайте NIST по адресу https://www.nist.gov/privacy-framework . После завершении публичного обсуждения NIST рассмотрит возможность внесения дополнительных изменений и позднее выпустит в 2025 году окончательную версию Концепции.

Источник: сайт NIST
https://www.nist.gov/news-events/news/2025/04/nist-updates-privacy-framework-tying-it-recent-cybersecurity-guidelines
https://csrc.nist.gov/pubs/cswp/40/nist-privacy-framework-11/ipd