ФСТЭК пересмотрит правила защиты персональных данных в РФ

Регулятор планирует заменить действующий с 2013 года приказ более адаптивными правилами. Вместо соблюдения стандартного списка формальных мер компании будут обязаны самостоятельно подбирать защиту под нужды своей инфраструктуры. Если стандартное решение окажется технически невыполнимым, оператор сможет внедрить компенсирующие меры при условии, что докажет их эффективность.

Ключевым нововведением станет обязательная оценка «уровня зрелости» системы защиты. Компании будут проводить её перед началом обработки данных, регулярно раз в три года и после каждого компьютерного инцидента. Впервые проект документа фиксирует специфические меры безопасности для работы с искусственным интеллектом, интернетом вещей и облачными вычислениями. По мнению экспертов, это продиктовано тем, что запросы пользователей и ответы ИИ-моделей стали привлекательными целями для кибератак.