Новый приказ ФСТЭК для операторов ПДн: что меняется в требованиях
Меры защиты выбирает сам оператор – по методике ФСТЭК
Главное изменение – привязка требований к методическому документу ФСТЭК от 12.04.2026. Этот документ уже применяют органы власти и госучреждения для выполнения 117-го приказа. Теперь его действие распространится и на операторов ПДн вне госсектора.
Порядок будет такой: оператор определяет актуальные для себя угрозы и уровень защищенности, а затем по методологии ФСТЭК сам подбирает нужные меры. Процедура определения уровня защищенности уже закреплена постановлением Правительства № 1119, так что эта часть работы для многих не новая.
Появляются и новые разделы прикладных мер. Операторам предстоит защищать данные при использовании ИИ и контейнерных сред, а также глубже проработать контроль передачи данных.
Защита должна появиться раньше самой системы
Второе изменение – обязанность реализовывать конструктивную защиту информации, при которой безопасность закладывается в продукт с самого начала, а не добавляется после релиза (secure-by-design). Меры ИБ нужно отражать в политике обработки ПДн, а уровень зрелости ИБ рассчитывать до начала обработки данных.
При создании и модернизации систем предписано руководствоваться ГОСТ Р 51583-2014, который регламентирует проектирование защищенных информационных систем. Действующие ИСПДн тоже придется приводить в соответствие: модернизировать с учетом конструктивной ИБ и провести оценку достаточности и эффективности принятых мер.
Требования дойдут до подрядчиков
Третье изменение перекликается с 117-м приказом. Операторы, которые поручают обработку ПДн другим лицам, должны будут зафиксировать в договорах обязанность соблюдать уровень зрелости ИБ. То есть обработчик под контролем заказчика принимает сопоставимые меры защиты. Для бизнеса это означает пересмотр договоров с подрядчиками и рост стоимости их услуг.
Кого изменения коснутся сильнее всего?
Основная нагрузка ляжет на потребительские секторы: ритейл, туризм, сферу развлечений, ЖКХ, строительство. Эти компании оперируют крупными массивами персональных данных, но до недавнего времени требования, привычные для КИИ и госсектора, на них не распространялись.
Подход дает операторам больше самостоятельности, но расширяет круг задач и увеличивает расходы на всех стадиях работы с ПДн. Вкладываться в защиту придется еще до ввода системы в эксплуатацию.
Что будут искать заказчики?
В среднем бизнесе и традиционно незарегулированных отраслях вырастет спрос на четыре класса решений:
- Система контроля событий ИБ (SIEM) и система оркестрации, автоматизации ИБ и реагирования на них (SOAR) – выявление событий ИБ на разных объектах инфраструктуры, поиск инцидентов и автоматизированное взаимодействие с ГосСОПКА;
- Система защиты от утечек информации (DLP) – контроль действий пользователей и передачи защищаемой информации;
- Система аудита и защиты файловых хранилищ (DCAP/DAG) – защищенное хранение персональных данных на серверах и рабочих станциях, разграничение доступа к файлам с ПДн;
- Межсетевые экраны нового поколения (NGFW) и средства обнаружения вторжений (IDS) – защита ИСПДн от внешних атак.
Требований много, а времени на подготовку мало. Поэтому при выборе средств защиты на первый план выйдут скорость развертывания, многофункциональность, простота освоения и наличие интеграций с разнородными ОС, СУБД и прикладным ПО. Такие решения закрывают максимум требований минимумом инструментов. Пригодится и готовность самого разработчика помочь с развертыванием, обслуживанием и масштабированием защиты.
