Приказ ФСБ №77: как теперь нужно сообщать об инцидентах с ПДн
Сбылся один из прогнозов, озвученных на недавнем вебинаре по новым правилам работы с персональными данными. ФСБ России выпустила приказ №77 об утверждении порядка взаимодействия операторов ПДн с ГосСОПКА.
Вышедший приказ утверждает порядок взаимодействия операторов ПДн с ГосСОПКА: операторы, которые взаимодействуют с НКЦКИ (в частности, субъекты КИИ), должны отправлять информацию об инцидентах через его техническую инфраструктуру (то есть через саму систему ГосСОПКА), остальные — через сайт Роскомнадзора.
«Обратимся к тексту приказа, — прокомментировал Роман Писарев, руководитель департамента аудита и консалтинга iTPROTECT. — Там говорится, что через НКЦКИ данные об инцидентах должны отправлять операторы, попадающие под действие подпункта 4.8 пункта 4 положения о НКЦКИ. Обращаемся к этому документу и видим, что это субъекты критической информационной инфраструктуры и сама ФСБ».
Очень важное изменение для таких организаций состоит в том, что раньше требование по отправке данных касалось только инцидентов с элементами КИИ. Теперь же регулятор требует сообщать еще и о проблемах с ПДн — вне зависимости от того, связаны они непосредственно с КИИ или нет.
Таким образом, если организация попадает под действие подпункта 4.8 пункта 4 положения о НКЦКИ, то ей необходимо интегрировать свои ИСПДн с ГосСОПКА?
«Но тут стоит помнить о том, что закон предусматривает несколько способов сообщения об инцидентах, — отметил Роман Писарев. — В том числе по телефону и электронной почте. Формулировки закона не требуют напрямую интегрировать ИСПДн с НКЦКИ, поэтому организация сможет использовать указанные альтернативные способы связи. Однако нужно будет посмотреть на практику реального правоприменения новых требований».
И напоследок ещё раз подчеркнём: всё это касается только субъектов КИИ, остальным же необходимо для уведомления об инцидентах с ПДн использовать сайт Роскомнадзора.
Обо всех изменениях законодательства в области ПДн за 2022 и прогнозах на 2023 год Роман Писарев подробно рассказывал на вебинаре «Год персональных данных: что, как и когда делать». Полную запись смотрите на нашем YouTube-канале, а ключевые мысли можно прочитать в обзоре на портале CISOCLUB.