Документирование создания и эксплуатации информационных систем государственными органами, часть 2

(Окончание, начало см. http://rusrim.blogspot.com/2026/09/1_01166488281.html )

Технико-экономическое обоснование (ТЭО) (п. 10)

Отдельного внимания заслуживает документ, который создается в исключительных случаях - когда отсутствует стандарт для фасета или нет подходящего реестрового ПО.

10. … В этом случае для создания информационных систем государственными органами по форме, утверждаемой президиумом Комиссии, осуществляется подготовка технико-экономического обоснования создания информационных систем посредством разработки в указанных целях программ для электронных вычислительных машин и баз данных (программно-аппаратных комплексов) (далее - технико-экономическое обоснование). 

Технико-экономическое обоснование подлежит согласованию государственными органами с уполномоченным органом на предмет целесообразности создания информационных систем. 

Реализация мероприятий по созданию информационных систем осуществляется государственными органами при наличии положительного заключения уполномоченного органа по результатам согласования технико-экономического обоснования.

Особенности ТЭО:

• Форма ТЭО утверждается президиумом Комиссии (то есть задана сверху, государственный орган не может разработать ее самостоятельно);
  
  
• ТЭО подлежит согласованию с уполномоченным органом (Минцифры);
  
  
• Срок согласования - 20 рабочих дней;
  
  
• Без положительного заключения уполномоченного органа запрещено начинать реализацию мероприятий по созданию ИС.

ТЭО должно обосновать экономическую целесообразность разработки ПО «с нуля» вместо использования готовых решений из реестров, а также доказать, что создаваемая система технически и функционально необходима.

Отсутствие ТЭО или отрицательное заключение на него делает создание ИС в данном формате невозможным – государственный орган должен либо найти готовое решение, либо дождаться утверждения соответствующего стандарта.

Правовой акт о вводе ИС в эксплуатацию (п. 18)

Основанием для начала эксплуатации ИС является правовой акт государственного органа о вводе информационной системы в эксплуатацию, которым (п.18):

• Установлен срок ввода информационной системы в эксплуатацию, 
  
  
• Определены должностное лицо государственного органа и структурное подразделение государственного органа, ответственные за обеспечение функционирования информационной системы, а также
  
  
•  Определен порядок эксплуатации информационной системы.

Это финальный документ, завершающий этап создания и открывающий этап эксплуатации. В отсутствие такого акта система не может считаться введенной в эксплуатацию даже при наличии технической готовности - соответственно, нельзя начинать использование системы в рабочем режиме.

Документирование изменений функций ИС (п. 21)

При реализации мероприятий по изменению функций уже введенной в эксплуатацию ИС, эти мероприятия должны осуществляться и документироваться в соответствии с положениями Постановления. Это означает, что:

• Изменения могут потребовать принятия нового нормативно-правового акта (как п.8);
  
  
• Может потребоваться обновление ТЗ и эксплуатационной документации;
  
  
• Если изменения затрагивают классификационные признаки (фасет), то может понадобиться повторная оценка соответствия стандартам;
  
  
• Необходимость внесения изменений в учетные сведения системы координации.

Таким образом, при модификации функционала ИС выполняются те же процедуры документирования, что и при её создании.

Каждый этап создания ИС - от первоначальной концепции до внесения изменений - жестко связан к конкретным документом (документами), имеющим юридическую силу и порождающим права и обязанности для должностных лиц.

Система документирования выстроена как последовательность: правовой акт о создании - ТЗ - эксплуатационная документация - правовой акт о вводе - изменения - обновление документации. Отсутствие надлежащего документирования на любом этапе этой последовательности делает ИС юридически уязвимой и создает риски для руководителей государственных органов, которые несут персональную ответственность за достоверность учетных данных (п. 14).

Источник: Консультант Плюс
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=541976

Документирование создания и эксплуатации информационных систем государственными органами, часть 1

Правительство Российской Федерации постановлением от 13 августа 2026 № 1007 утвердило «Требования к порядку создания и эксплуатации государственными органами информационных систем, не являющихся государственными информационными системами», в которых установлены требования к документированию создания и эксплуатации таких информационных систем (ИС).

Государственными органами при создании и эксплуатации ИС осуществляется их учет в соответствии с «Положением об учете ИТ-активов, используемых для осуществления деятельности по цифровой трансформации системы государственного (муниципального) управления», утвержденным постановлением Правительства Российской Федерации от 1 июля 2024 г. № 900 (п.7). 

Положение закрепляет принцип, согласно которому информационная система не может считаться легитимно существующей и тем более эксплуатироваться без надлежащего документального оформления на всех этапах её жизненного цикла. 
Документ вводит требование к созданию несколько основных видов документации, обязательных в общем случае, а также устанавливает специальный режим документирования для исключительных ситуаций. Упоминаются:

• Правовой акт государственного органа о создании ИС (п. 8)
  
  
• Техническое задание на создание ИС (п. 11)
  
  
• Эксплуатационная документация (п. 19)
  
  
• Документы о правах на интеллектуальную собственность (п. 20)
  
  
• Документы учета в системе координации (п. 7, п. 13)
  
  
• Технико-экономическое обоснование (ТЭО) (п. 10)
  
  
• Правовой акт о вводе ИС в эксплуатацию (п. 18)

Правовой акт государственного органа о создании ИС (п. 8)

Правовой акт самого государственного органа, на основании которого создается информационная система. Требования к форме документа не установлены (это может быть приказ, распоряжение, постановление), - но акт должен иметь нормативный или распорядительный характер в соответствии с регламентом конкретного органа.

Именно этот акт запускает процесс создания ИС и служит юридическим основанием для всех последующих действий, включая финансирование, заключение контрактов и приемку работ.

Отсутствие такого акта делает создание ИС нелегитимным. Это особенно важно для бюджетного планирования и контрольных мероприятий, поскольку для любых затрат на ИС должно иметься правовое основание.

Техническое задание на создание ИС (п. 11)

Техническое задание (ТЗ) - ключевой документ на этапе проектирования и разработки, и его разработка является обязательной для всех государственных органов (п. 22).

Установлены следующие требования к содержанию ТЗ:

• «ТЗ разрабатывается с учетом модели угроз безопасности информации» - это означает, что заказчик (государственный орган) обязан предварительно провести анализ возможных угроз и отразить в ТЗ соответствующие меры защиты.
  
  
• ТЗ должно учитывать уровни защищенности персональных данных, определенные в соответствии с Федеральным законом «О персональных данных», в зависимости от конкретных угроз.

Техническое задание включает в себя требования по обеспечению информационной безопасности. Сметная стоимость работ и сроки должны быть увязаны с задачами обеспечения защищённости.

Эксплуатационная документация (п. 19) разрабатывается, начиная с этапа создания ИС, и предназначена для использования на этапе её эксплуатации. 

Документы о правах на интеллектуальную собственность (п. 20)

Постановление устанавливает запрет на эксплуатацию ИС без надлежащего оформления прав на использование её компонентов, являющихся объектами интеллектуальной собственности:

20. Эксплуатация государственным органом ИС без надлежащего оформления прав на использование ее компонентов, являющихся объектами интеллектуальной собственности, а также без ведения учета ИС в системе координации не допускается.

Это означает, что государственный орган обязан, в частности, располагать:

• Лицензионными договорами или сублицензиями на все используемое ПО;
  
  
• Актами передачи исключительных прав (для заказного ПО);
  
  
• Документами, подтверждающими наличие прав на открытое ПО с учетом его лицензий (GPL, MIT и т.п.), если такие компоненты используются.

Отсутствие таких документов делает эксплуатацию ИС не вполне нелегитимной, даже если технически всё работает. Также в таком случае нельзя будет зарегистрировать ИС  как «соответствующую стандартам».

Документы учета в системе координации информатизации (п. 7, п. 13)

Речь идет о сведениях об информационной системе, которые размещаются государственным органом в Федеральной государственной информационной системе координации информатизации (ФГИС КИ).

Для справки: Федеральная государственная информационная система координации информатизации (ФГИС КИ) предназначена для технического обеспечения учёта и мониторинга мероприятий по информатизации государственных органов и учреждений. Помимо этого, в её функции входят: проектное управление ведомственными программами цифровой трансформации, информационно-аналитическая и методическая поддержка пользователей, формирование статистической отчётности и распространение общедоступной информации см.: https://digital.gov.ru/activity/czifrovizacziya-gosudarstva/czifrovaya-transformacziya/federalnaya-gosudarstvennaya-informaczionnaya-sistema-koordinaczii-informatizaczii-fgis-ki?ysclid=mtpy4vger8242705463 .

п.7. Государственными органами при создании и эксплуатации ИС осуществляется их учет в соответствии с «Положением об учете ИТ-активов, используемых для осуществления деятельности по цифровой трансформации системы государственного (муниципального) управления», утвержденным постановлением Правительства Российской Федерации от 1 июля 2024 г. № 900. 

п.13. Оценка информационных систем осуществляется посредством обработки системой координации сведений, размещенных государственными органами при ведении учета информационных систем.

Учёту и фиксации подлежат:

• Сведения о самой ИС (наименование, назначение, фасет, используемое ПО);
  
  
• Результаты оценки соответствия стандартам (п. 12–13);
  
  
• Статус системы (соответствует/не соответствует);
  
  
• Информация о компонентах ИС для простановки специального признака в реестрах ПО.

Ответственность за достоверность и актуальность этих сведений несут руководитель и уполномоченные лица государственного органа (п. 14). Это персональная ответственность, закрепленная законодательством РФ.

(Окончание следует, см. http://rusrim.blogspot.com/2026/10/2_01223017110.html )

Источник: Консультант Плюс
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=541976

Обязательные стандарты Минцифры для ведомственных информационных систем

В условиях цифровой трансформации государственного управления особое значение приобретает правовое и технологическое регулирование информационных систем (ИС), используемых органами власти для обеспечения собственных организационных, информационных, документационных, финансовых и технических нужд. При этом значительная часть таких систем не относится к категории «государственных информационных систем» (ГИС), однако их функционирование напрямую влияет на эффективность государственного управления.

Правительство Российской Федерации постановлением от 13 августа 2026 № 1007 утвердило «Требования к порядку создания и эксплуатации государственными органами информационных систем, не являющихся государственными информационными системами», которое вступило в силу 1 сентября 2026 года.

Документ устанавливает требования к порядку создания и эксплуатации государственными органами информационных систем, не являющихся государственными информационными системами (они упоминаются в части 1.1 статьи 13 федерального закона «Об информации, информационных технологиях и о защите информации»), в целях организационного, информационного, документационного, финансового и технического обеспечения деятельности этих органов.

Следует отметить введённые в документе определения (п.2):

• «стандарт» - документ, устанавливающий минимальные требования к информационным системам в части состава осуществляемых функций, реализуемых процессов, к иным характеристикам, которым должны соответствовать ИС, относящиеся к соответствующему фасету информационной системы (фасетам);
  
  
• «фасет информационной системы» - группа уникальных классификационных признаков ИС, объединенных на основе их характеристик и иных параметров.

Стандарты разрабатываются Министерством цифрового развития, связи и массовых коммуникаций Российской Федерации (Минцифры России) и утверждаются президиумом Правительственной комиссии по цифровому развитию, использованию информационных технологий для улучшения качества жизни и условий ведения предпринимательской деятельности (п.3).

Для справки: Комиссия является координационным органом, образованным в целях обеспечения взаимодействия федеральных органов исполнительной власти и органов исполнительной власти субъектов РФ по вопросам развития экосистем цифровой экономики и повышения уровня использования информационных технологий и связи в целях формирования в РФ информационного общества и электронного правительства. 

Интересно, что, согласно информации на сайте Правительства РФ, последнее заседании Президиума комиссии состоялось в ноябре 2022 года (см: http://government.ru/news/47127/ )

Стандарты размещаются в течение 2 рабочих дней со дня их утверждения президиумом Комиссии в интернете на портале федеральной государственной информационной системы (ФГИС) координации информатизации, функционирование которой осуществляется в соответствии с «Положением о федеральной государственной информационной системе координации информатизации», утвержденным постановлением Правительства Российской Федерации от 14 ноября 2015 г. №1235 (п.4).

Государственные органы представляют в уполномоченный орган (Минцифры) предложения по разработке стандартов, содержащие обоснования необходимости их разработки (п.5).

Уполномоченный орган по результатам рассмотрения предложений принимает решение о разработке стандарта с указанием сроков его разработки либо направляет мотивированный отказ с установлением требований применения действующих стандартов в следующих случаях (п.6):

• Предложение государственного органа по разработке стандарта не содержит обоснования необходимости его разработки;
  
  
• Имеется утвержденный президиумом Комиссии стандарт (стандарты), которым установлены требования для соответствующего фасета ИС (фасетов);
  
  
• Предложение государственного органа по разработке стандарта предусматривает цели создания ИС, не соответствующие целям, установленным частью 1.1 статьи 13 Федерального закона «Об информации, информационных технологиях и о защите информации».
  
  Мой комментарий: Данный пункт вводит «фильтр», позволяющий отклонять инициативы, выходящие за рамки «обеспечения деятельности органов власти» (в их число потенциально могут попасть проекты, связанные с оказанием услуг населению или созданием общедоступных сервисов). 

Мой комментарий: Следует отметить, что в Постановлении под «стандартом» понимается документ, устанавливающий минимальные требования к информационным системам государственных органов. Этот стандарт не является национальным стандартом (ГОСТом) в смысле Закона о стандартизации; он разрабатывается не Росстандартом в рамках программы национальной стандартизации, а Минцифры и утверждается президиумом Правительственной комиссии.

Для сравнения: Федеральный закон от 29.06.2015 № 162-ФЗ «О стандартизации в Российской Федерации»

5) национальный стандарт - документ по стандартизации, который разработан участником или участниками работ по стандартизации, в отношении которого проведена экспертиза в техническом комитете по стандартизации или проектном техническом комитете по стандартизации и в котором для всеобщего применения устанавливаются общие характеристики объекта стандартизации, а также правила и общие принципы в отношении объекта стандартизации

В отличие от национальных стандартов, «стандарт» в смысле данного Постановления представляет собой ведомственный или межведомственный документ, имеющий обязательную силу для государственных органов (п. 3).

Источник: Консультант Плюс
https://www.consultant.ru/cons/cgi/online.cgi?req=doc;base=LAW;n=541976

CEN: Завершается работа над европейским стандартом prEN 18235-2 «Доверенные транзакции с данными - Часть 2: Требования к обеспечению доверия» (2)

(Окончание, начало см. http://rusrim.blogspot.com/2026/06/cen-pren-18235-2-2-1.html )

Более подробная информация о проекте стандарта prEN 18235-2 «Доверенные транзакции с данными - Часть 2: Требования к обеспечению доверия» (Trusted data transactions - Part 2: Trustworthiness requirements) размещена на сайте о стандартах iTeh Standards ( https://standards.iteh.ai/ ), который компания iTeh Inc., занимающаяся разработкой программного обеспечения и консультационными услугами, ведёт совместно со Словенским институтом стандартизации (Slovenian Institute of Standardization, SIST):

Обзор

Стандарт prEN 18235-2, озаглавленный «Доверенные транзакции с данными - Часть 2: Требования к обеспечению доверия», разработан Европейским комитетом по стандартизации CEN для установления требований к участникам пространств данных в отношении обеспечения доверия. Он устанавливает основополагающие принципы и содержит практические рекомендации, призванные поддерживать доверенные транзакции с данными между организациями любого типа и размера. Определяя общие и поэтапные требования, данный стандарт направлен на обеспечение безопасности, прозрачности, надежности транзакций с данными и их соответствия законодательно-нормативным требованиям.

Данный стандарт подчеркивает ключевую роль доверия в деятельности по распространению данных, и предлагает вовлечённым в транзакции с данными организациям структурированный подход для обеспечения целостности, подотчетности и интероперабельности. Стандарт может использоваться любом участником пространств данных, способствуя эффективному и ответственному стратегическому управлению данными.

Ключевые вопросы

Основополагающие принципы доверенных транзакций с данными

• Этапы транзакций с данными: Выделены шесть ключевых этапов: предоставление прав (grant rights), публикация, поиск и извлечение (discovery), переговоры, предоставление данных (data sharing) и доступ к данным и их использование.
  
  
• Права на данные и качество данных: Установлены требования, гарантирующие законные права на распространение и использование данных, а также высокое качество данных.
  
  
• Происхождение и «родословная» данных: Акцентируется внимание на отслеживании происхождения данных, их преобразований и прав собственности на данные для обеспечения их аутентичности и отслеживаемости.
  
  
• Наблюдаемость и отслеживаемость: Установлены требования к обеспечению возможности мониторинга и протоколирования транзакций на протяжении всего их жизненного цикла для обеспечения подотчетности и разрешения споров.
  
  
• Концепции обеспечения доверия: Стандарт определяет наборы правил, ролей и обязанностей, способствующие обеспечению доверия в экосистемах данных.
  
  
• Интероперабельность: Стандарт способствует беспрепятственному обмену данными, которые охватывает различные пространства данных, посредством обеспечения согласованности стандартов и протоколов.
  
  
• Стратегическое управление пространством данных: Данный принцип делает акцент на сводах правил и органах стратегического управления, которые управляют политиками решения правовых вопросов, ведения оперативной деятельности и обеспечения доверия в пространствах данных.

Требования в отношении обеспечения доверия

Стандарт содержит детальные требования, применимые ко всем этапам транзакций с данных, включая следующие: 

• Идентификация участников: Защищённые, верифицируемые механизмы для идентификации и аутентификации сторон;
  
  
• Политики, заявления и доказательства: Разработка четких и ясных политик и представление проверяемых заявлений, подкрепленных доказательствами; 
  
  
• Верификация и согласование: Приведение заявлений и доказательств в соответствие с требованиями политики для обеспечения доверия;
  
  
• Элементы договоров: Документирование и регистрация договоров об использовании данных, включая соответствующие условия и положения;
  
  
• Управление доступом и авторизация: Обеспечение того, что только авторизованные пользователи имеют возможность доступа к данным и их использования в соответствии с предоставленными правами;
  
  
• Наблюдаемость: Ведение непрерывного мониторинга состояния транзакций с данными с целью выявления любых отклонений и/или несанкционированной активности.

Применение

Требования к обеспечению доверия, установленные в стандарте prEN 18235-2, имеют множество практических применений, включая:

• Рынки данных, на которых множество организаций осуществляют транзакции с чувствительными данными на основе установленных права и политик использования.
  
  
• Межотраслевое сотрудничество в области данных, обеспечивающее безопасный и прозрачный обмен данными в таких секторах, как здравоохранение, финансы, интеллектуальное производство и государственное управление.
  
  
• Органы стратегического управления пространства данных, ответственные за надзор над соблюдением политики, механизмами доверия и разрешением споров между участниками.
  
  
• Поставщики технологий, разрабатывающие платформы для обмена данными, которым необходимо внедрять механизмы обеспечения доверия и обеспечивать соответствие признанным международным требованиям.
  
  
• Обеспечение соответствия законодательно-нормативным требованиям для организаций, которые приводят свою практику обмена данными в соответствие с европейским законодательством и стандартами для снижения рисков, связанных с защитой персональных данных и безопасностью данных.

Внедрение этого стандарта способствует созданию доверенных цифровых экосистем, повышает интероперабельности данных и укрепляет доверие между поставщиками и потребителями данных.

Мой комментарий: В настоящее время также продолжается работа над третьей частью этого стандарта prEN 18235-3 «Доверенные транзакции с данными – Часть 3: Требования к интероперабельности» (Trusted data transactions - Part 3: Interoperability requirements), https://standards.cencenelec.eu/... 

В аннотации на этот документ отмечается:

«Настоящий документ устанавливает требования и содержит рекомендации по интероперабельности данных, механизмам обмена и распространения данных, а также по сервисам в рамках пространств данных.

Он охватывает требования, критерии и рекомендации по внедрению в отношении:

• Контента наборов данных, ограничений на использование, лицензий, методологий сбора данных, качества данных и неопределенности в них, а также машиночитаемых форматов для поиска, доступа и использования данных;
  
  
• Структур данных, форматов данных, словарей, классификационных схем, таксономий и перечней кодов, а также способов описания этих элементов общедоступным и согласованным образом;
  
  
• Технических средств доступа к данным, таких как интерфейсы прикладного программирования, и условий их использования и качества обслуживания, которые обеспечивают возможность автоматического доступа и передачи данных между сторонами;
  
  
• Средств обеспечения интероперабельности инструментов для автоматизации выполнения договоров об обмене данными (где это применимо).

Данный документ применим в любых организациях, участвующим в пространствах данных, независимо от их размера или типа.»

Источник: сайт iTeh Standards / сайт CEN / сайт BSI / сайт DIN
https://standards.iteh.ai/catalog/standards/cen/a784b8bb-9965-4812-a666-7abafcccf467/pren-18235-2?srsltid=AfmBOopCrANzqIw3YKIlf80bhwEqYqgiDOpeFa-O85EMQp6xBKf31wpi 
https://standards.cencenelec.eu/ords/f?p=CEN:110:::::FSP_PROJECT,FSP_ORG_ID:81918,3485479&cs=1C1EB61312912B8E7B7A8EAFDED9D339A 
https://standardsdevelopment.bsigroup.com/projects/2026-01215 
https://www.din.de/en/getting-involved/standards-committees/nia/projects/wdc-proj:din21:393892958 

CEN: Завершается работа над европейским стандартом prEN 18235-2 «Доверенные транзакции с данными - Часть 2: Требования к обеспечению доверия» (1)

(Продолжение)

Сайт Европейского комитета по стандартизации CEN (от фр. Comité Européen de Normalisation) в феврале 2026 года сообщил о завершении публичного обсуждения европейского стандарта prEN 18235-2 «Доверенные транзакции с данными – Часть 2: Требования к обеспечению доверия» (Trusted data transactions - Part 2: Trustworthiness requirements) объёмом 25 страниц, см. https://standards.cencenelec.eu/... 

Над стандартом работает европейский комитет по стандартизации CEN/CLC/JTC 25 «Управление данными, пространства данных, облачные технологии и периферийные вычисления» (Data management, Dataspaces, Cloud and Edge).
 

Во вводной части стандарта отмечается:

«Настоящий документ содержит требования и рекомендации по обеспечению доверия для участников информационного пространства, поддерживающие доверенные транзакции с данными.

В частности, он устанавливает набор основополагающих принципов для доверенных транзакций с данными; общие требования и рекомендации, применимые ко всем этапам доверенной транзакции с данными; а также специфические требования для каждого этапа доверенной транзакции с данными.

Данный документ применим в участвующих в пространствах данных организациях всех видов, вне зависимости от их типа и размера.»

Содержание документа следующее:

Европейское предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения 
4. Принципы доверенных транзакций с данными
5. Требования к обеспечению доверия

5.1. Введение
5.2. Общие требования
5.3. Предоставляемые права 
5.4. Публикация
5.5. Поиск и извлечение
5.6. Переговоры
5.7. Предоставление данных
5.8. Доступ к данным и их использование

Приложение A (справочное): Концепции обеспечения доверия (trust frameworks)
Приложение ZA (справочное): Взаимосвязь между данным европейским стандартом и требованиями к интероперабельности Регламента (ЕС) 2023/2854 Европейского парламента и Совета от 13 декабря 2023 года о гармонизированных правилах справедливого доступа к данным и их использования, также вносящий поправки в Регламент (ЕС) 2017/2394 и Директиву (ЕС) 2020/1828 («Закон о данных») (Regulation (EU) 2023/2854 of the European Parliament and of the Council of 13 December 2023 on harmonised rules on fair access to and use of data and amending Regulation (EU) 2017/2394 and Directive (EU) 2020/1828 (Data Act)), которые планируется охватить.
Библиография

(Окончание следует, см. http://rusrim.blogspot.com/2026/06/cen-pren-18235-2-2-2.html )

Источник: сайт CEN / сайт BSI / сайт DIN
https://standards.cencenelec.eu/ords/f?p=CEN:110:::::FSP_PROJECT,FSP_ORG_ID:82007,3485479&cs=1070928C2E39633009E24B400A15D7B4A 
https://standardsdevelopment.bsigroup.com/projects/2025-03860 
https://www.din.de/en/getting-involved/standards-committees/nia/drafts/wdc-beuth:din21:398257912 

ИСО и МЭК: Опубликована новая, вторая редакция стандарта ISO/IEC 15408-5:2026 «Критерии оценки безопасности информационных технологий - Часть 5: Предопределенные пакеты требований по безопасности»

Сайт Международной организации по стандартизации (ИСО) в апреле 2026 года сообщил о публикации новой, второй редакции стандарта ISO/IEC 15408-5:2026 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни - Критерии оценки безопасности информационных технологий - Часть 5: Предопределенные пакеты требований по безопасности» (Information security, cybersecurity and privacy protection - Evaluation criteria for IT security - Part 5: Pre-defined packages of security requirements) объёмом 36 страниц, см. https://www.iso.org/standard/15408-5 и https://www.iso.org/obp/ui/en/#!iso:std:88140:en  

Стандарт подготовлен техническим подкомитетом ISO/IEC JTC1/SC27 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни» (Information security, cybersecurity and privacy protection). Документ заменил ранее действовавшую редакцию ISO/IEC 15408-5:2022 (о ней см. мой пост http://rusrim.blogspot.com/2024/03/isoiec-15408-1.html ).

Во вводной части стандарта отмечается:

«В настоящем документе представлены пакеты требований для обеспечения уверенности в безопасности и функциональных требований к безопасности, которые, как предполагается, будут полезны для поддержки типичного применения заинтересованными сторонами.

Пользователями данного документа могут быть потребители, разработчики и эксперты, проводящие оценку безопасных ИТ-продуктов.»

Содержание стандарта следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Уровни обеспечении уверенности при оценке (evaluation assurance levels, EAL)
5. Составные пакеты для обеспечения уверенности (composed assurance packages, CAP)
6. Пакеты требований для комплексных продуктов (composite product packages, COMP)
7. Обеспечение уверенности в профиле защиты (protection profile assurances, PPA)
8. Уверенность в целевых показателях безопасности (security target assurances, STA)

Источник: сайт ИСО
https://www.iso.org/standard/15408-5 
https://www.iso.org/obp/ui/en/#!iso:std:88140:en 

Австралия: Технический стандарт для использования искусственного интеллекта в государственных органах Австралии, часть 2-2

(Окончание, начало см. https://rusrim.blogspot.com/2026/02/2-1_0356766755.html )

Этап 1: Проектирование

Этап проектирования включает разработку концепции, формулирование требований к решению и проектирование решения.

• Требование 9: Проведение предварительной работы
  
  
• Требование 10: Применение человеко-ориентированного подхода
  
  
• Требование 11: Систематическое проектирование мер безопасности
  
  
• Требование 12: Определение критериев успеха

Этап 2: Данные

Этап работы с данными включает в себя реализацию процессов и распределение ответственности и обязанностей по управлению данными на протяжении всего жизненного цикла ИИ. Это этап охватывает данные, используемые в экспериментах, обучении, тестировании и в ходе эксплуатации систем ИИ.

• Требование 13: Создание процессов управления цепочкой поставок данных
  
  
• Требование 14: Внедрение процессов оркестровки данных
  
  
• Требование 15: Внедрение методов и практик трансформации данных и инженерии признаков
  
  
• Требование 16: Обеспечение приемлемого качества данных
  
  
• Требование 17: Валидация и отбор данных
  
  
• Требование 18: Обеспечение возможности слияния, интеграции и обмена данными
  
  
• Требование 19: Создание модели и набора контекстуальных данных

Этап 3: Обучение

Этап обучения включает создание и выбор моделей и алгоритмов. Ключевые действия на этом этапе включают разработку моделей, предварительную и постобработку, уточнение моделей и тонкую настройку. Также рассматривается использование предварительно обученных моделей и соответствующая тонкая настройка их для использования в среде эксплуатации.

• Требование 20: Планирование архитектуры модели
  
  
• Требование 21: Создание среды обучения
  
  
• Требование 22: Выполнение создания, настройки и привязки модели
  
  
• Требование 23: Валидация, оценка и доработка модели
  
  
• Требование 24: Выбор обученных моделей
  
  
• Требование 25: Внедрение механизмов непрерывного совершенствования

Этап 4: Оценка

Этап оценки включает тестирование, верификацию и валидацию системы ИИ в целом. Предполагается, что государственные органы уже располагают необходимыми возможностями для менеджмента тестирования, а также для тестирования традиционного программного обеспечения и систем.

• Требование 26: Адаптация стратегий и практик для систем ИИ
  
  
• Требование 27: Тестирование на заданное поведение
  
  
• Требование 28: Тестирование на безопасность, устойчивость и надёжность
  
  
• Требование 29: Тестирование на соответствие и соблюдение установленных требований
  
  
• Требование 30: Тестирование на предмет ожидаемых и непреднамеренных последствий

Этап 5: Интеграция

На этапе интеграции в рамках жизненного цикла ИИ внимание фокусируется на внедрении и тестировании системы ИИ во внутренней организационной среде государственного органа, включая интеграцию с её системами и данными.

• Требование 31: Планирование интеграции
  
  
• Требование 32: Управление интеграцией как непрерывным процессом

Этап 6: Развертывание

Этап развертывания включает в себя размещение всех технических компонентов ИИ, наборов данных и соответствующего кода в среде промышленной эксплуатации, где система ИИ может начать обработку реальных данных.

• Требование 33: Создание планов обеспечения непрерывности деловой деятельности
  
  
• Требование 34: Конфигурирование среды тестирования
  
  
• Требование 35: Развертывание в среде промышленной эксплуатации
  
  
• Требование 36: Реализация механизмов развертывания и безопасного отката

Этап 7: Мониторинг

Этап мониторинга в рамках жизненного цикла ИИ включает в себя эксплуатацию и техническое обслуживание системы ИИ. Мониторинг имеет критически-важное значение для обеспечения надежности, доступности, производительности, безопасности, защищённости системы ИИ и её соответствия законодательно-нормативным требованиям после её развертывания.

• Требование 37: Создание механизма мониторинга
  
  
• Требование 38: Регулярное проведение тестирования и мониторинга
  
  
• Требование 39: Создание процессов разрешения инцидентов

Этап 8: Вывод из эксплуатации

На этапе вывода из эксплуатации в рамках жизненного цикла ИИ внимание фокусируется на планировании, выполнении и документировании мероприятий по выводу из эксплуатации.

• Требование 40: Разработка плана вывода из эксплуатации
  
  
• Требование 41: Остановка системы ИИ
  
  
• Требование 42: Завершение подготовки документации и отчетности

Содержание стандарта следующее:

Ключевые термины
Введение
Область применения
Целевая аудитория
Жизненный цикл системы ИИ
Краткая сводка требований стандарта
Оценка вариантов использования
Весь жизненный цикл ИИ

Проектирование
Данные
Обучение
Оценка
Интеграция
Развертывание
Мониторинг
Вывод из эксплуатации

Источник: сайт Агентства цифровой трансформации Австралии
https://architecture.digital.gov.au/standard/government-use-ai 
https://www.digital.gov.au/policy/ai/AI-technical-standard 

Австралия: Технический стандарт для использования искусственного интеллекта в государственных органах Австралии, часть 2-1

Как я уже рассказывала (см. https://rusrim.blogspot.com/2025/08/blog-post_31.html ), в июле 2025 года на сайте Агентства цифровой трансформации Австралии (Digital Transformation Agency, DTA см. https://www.dta.gov.au/ ) в виде веб-документа был опубликован «Технический стандарт по использованию искусственного интеллекта в государственных органах» (Technical standard for government’s use of artificial intelligence, см. https://www.digital.gov.au/policy/ai/AI-technical-standard ). 

В конце августа в документ были внесены некоторые изменения, и он был опубликован в виде 102-страничного PDF-файла под названием «Технический стандарт для ИИ правительства Австралии, версия 1» (Australian Government AI technical standard - Version 1), см. https://www.digital.gov.au/sites/default/files/documents/2025-08/Australian%20Government%20AI%20technical%20standard.pdf

В аннотации на документ отмечается:

«С целью поддержки безопасного и ответственного использования искусственного интеллекта, Агентство цифровой трансформации (Digital Transformation Agency, DTA, https://www.dta.gov.au/ ) разработало «Технический стандарт для ИИ правительства Австралии». Данный стандарт служит практическим руководством для технических специалистов и владельцев видов деловой деятельности, внедряющих ИИ в государственные системы, позволяя федеральным органам исполнительной власти Австралии уверенно экспериментировать и разрабатывать сценарии использования ИИ.

Стандарт описывает передовые методы сквозного процесса проектирования, разработки, развертывания и использования систем ИИ. Он подтверждает приверженность правительства Австралии принципам этичного использования ИИ.

Закладывая базовую техническую основу, стандарт укрепляет более широкую экосистему политик, концепций, руководств и рекомендаций. Он является ключевым инструментом, способствующим наращиванию соответствующих возможностей органов федерального правительства, - обеспечивая органам исполнительной власти возможность внедрять инновации на основе ИИ, поддерживая при этом доверие общественности и предоставление австралийцам более качественных государственных услуг.»

Использование стандарта

Стандарт использует эталонную модель жизненного цикла ИИ для обеспечения всестороннего охвата системы ИИ от момента её создания до вывода из эксплуатации.

В последующих [за описанием эталонной модели – Н.Х.] разделах представлен обзор требований к федеральным органам исполнительной власти, развёртывающим и эксплуатирующим решения на основе ИИ, представленный в виде набора формулировок требований и упорядоченный по этапам модели жизненного цикла.

Для каждого требования в полный текст технического стандарта по использованию искусственного интеллекта в государственном секторе включены критерии, а также рекомендации о том, каким образом государственные органы обеспечить соответствие этим требованиям.

Всего стандарт содержит 42 требования и 148 критериев.

Таким образом, описанные в данном стандарте методы и практики представлены в виде стандартных формулировок требований (statements), критериев и поясняющих примечаний:

• Требования: Стандартные формулировки требований описывают, «что» именно необходимо сделать.
  
  
• Критерии: Каждое требование сопровождается как минимум одним критерием, позволяющим судить о том, удовлетворено ли требование. Каждый критерий является «обязательным» или же «рекомендуемым».
  
  
• Обязательные критерии: Чтобы соответствовать стандарту в целом, государственные органы обязаны соответствовать критериям, которые отмечены как «обязательные». Обязательные критерии установлены на основе законодательства Австралии, нормативных актов, политик, а также этических принципов.
  
  
• Рекомендуемые критерии: Весьма желательно, чтобы государственные органы соответствовали критериям, отмеченным как «рекомендуемые».
  
  
• Поясняющие примечания: Для каждого критерия даны поясняющие примечания (пояснения). Эти пояснения приводятся больше в качестве рекомендаций, а не в качестве исчерпывающего контрольного списка. Если не указано иное, пояснения не являются обязательными, а предназначены для облегчения понимания, описания возможных способов удовлетворения критерия, а также примеров, сценариев и концепций в качестве рекомендаций по внедрению.

Жизненный цикл системы ИИ в целом

Данные требования охватывают проблемы и соображения, относящиеся к всем или нескольким этапам жизненного цикла ИИ.

• Требование 1: Нужно разработать модель оперативного использования
  
  
• Требование 2: Нужно разработать эталонную архитектуру
  
  
• Требование 3: Нужно выявить потребности и развить возможности персонала
  
  
• Требование 4: Нужно обеспечить возможность аудита ИИ
  
  
• Требование 5: Нужно обеспечить объяснимость с учётом конкретных вариантов использования
  
  
• Требование 6: Нужно наладить менеджмент предвзятости системы ИИ
  
  
• Требование 7: Следует использовать практики контроля версий
  
  
• Требование 8: Следует применять методы использования «водяных знаков»

Далее следуют требования к отдельным этапам жизненного цикла системы ИИ

(Окончание следует, см. https://rusrim.blogspot.com/2026/02/2-2_01828064527.html )

Источник: сайт Агентства цифровой трансформации Австралии
https://architecture.digital.gov.au/standard/government-use-ai 
https://www.digital.gov.au/policy/ai/AI-technical-standard 

Требования к техническим и программным средствам, применяемым при использовании систем видео-конференц-связи и веб-конференций

Правительство Российской Федерации постановлением от 30 июня 2025 года №984 утвердило «Требования к техническим и программным средствам, используемым федеральными органами исполнительной власти и их должностными лицами при организации применения систем видео-конференц-связи и веб-конференции», которые вступили в силу с 1 июля 2025 г.

Документ устанавливает требования к техническим (электронные вычислительные машины или другая компьютерная техника, в том числе серверное оборудование) и программным (операционные системы) средствам, используемым федеральными органами исполнительной власти и их должностными лицами при организации применения систем видео-конференц-связи и веб-конференции, предусмотренных статьей 6.3 федерального закона «О введении в действие Кодекса Российской Федерации об административных правонарушениях» (см. мой пост https://rusrim.blogspot.com/2025/04/blog-post_25.html )

Технические средства, используемые федеральными органами исполнительной власти и их должностными лицами при организации применения систем видео-конференц-связи и веб-конференции должны быть оснащены (п.2):

• Монитором (встроенным или внешним) с разрешением экрана не менее 1280 x 720 пикселей;
  
  
• Веб-камерой (встроенной или внешней) с разрешающей способностью не менее 1280 x 720 пикселей и углом обзора горизонтальным и вертикальным не менее 60 градусов;
  
  
• Микрофоном (встроенным или внешним), позволяющим передавать речь участников сеансов видео-конференц-связи и веб-конференции отчетливо и без искажений;
  
  
• Звуковоспроизводящим устройством (встроенным или внешним), позволяющим воспроизводить речь участников сеансов видео-конференц-связи и веб-конференции отчетливо и без искажений.

Технические средства (серверное оборудование) должны быть размещены на территории Российской Федерации (п.3).

Программные средства должны обеспечивать возможность использования средств просмотра страниц сайта в сети «Интернет» (браузер) с поддержкой сертификатов безопасности национального удостоверяющего центра и технологии коммуникации в режиме реального времени (WebRTC) (п.4).

На программные средства, используемые при организации применения системы веб-конференции, должны быть установлены средства антивирусной защиты (п.5).

Технические средства и программные средства должны быть обеспечены доступом к сети «Интернет» (п.6).

Технические средства и программные средства должны соответствовать требованиям о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений, установленным ФСБ и Федеральной службой по техническому и экспортному контролю (п.7).

При использовании технических средств и программных средств должны применяться средства защиты информации, обеспечивающие безопасность персональных данных и иной информации от угроз безопасности, определенных в модели угроз безопасности информации (п.8).

Технические средства и программные средства, используемые при организации применения системы веб-конференции, должны обеспечивать идентификацию лиц без их личного присутствия с использованием единой системы идентификации и аутентификации, единой биометрической системы в соответствии со статьей 9 федерального закона «Об осуществлении идентификации и (или) аутентификации физических лиц с использованием биометрических персональных данных, о внесении изменений в отдельные законодательные акты Российской Федерации и признании утратившими силу отдельных положений законодательных актов Российской Федерации» (п.9).

Мой комментарий: С моей точки зрения, ключевым здесь является требование о том, что используемые системы должны обеспечить «идентификацию лиц без их личного присутствия с использованием единой системы идентификации и аутентификации, единой биометрической системы». Это означает, что все желающие участвовать в организованных федеральными органами исполнительной власти и их должностными лицами видеоконференциях при рассмотрении дел об административных правонарушениях должны будут передать свою биометрию в единую биометрическую систему…

Источник: Консультант Плюс
https://www.consultant.ru/cons/cgi/online.cgi?req=doc&base=LAW&n=509012