Вы просили — мы сделали!

Первая новость: мы запустили наш официальный публичный канал в отечественном (национальном) мессенджере MAX (Мах) от VK.

Теперь у нас есть уютное пространство, где можно не только читать статьи, но и активно комментировать материалы, делиться мнением и дискутировать. На самом сайте нашей Базы знаний мы этого делать не можем, так как строго соблюдаем требования закона по защите персональных данных. Там комментирование закрыто.

Новость номер два: наш умный ИИ-бот «Цифрик» теперь тоже живёт в Махе! 🤖 Скорее переходите и пробуйте задавать ему свои вопросы по информационной безопасности. Цифрик — это путеводный клубочек, который помогает вам идти к цели более коротким путём, а не заставляет вас блуждать по дремучему лесу требований по информационной безопасности 🧶✨

И новость номер три: Цифрик теперь есть и в Телеграм. Где его найти? Ищите в конце постов в телеграм-канале «ЦифраБез на линии».

🚀 Хотите большего?

Из-за ограниченности наших серверных мощностей, Цифрик иногда отвечает с задержкой. Хотите, чтобы он работал для вас быстрее? Оформляйте платную поддержку на этой платформе! И вас ждет:

🔹 приоритетный, самый быстрый доступ к ИИ-боту;

🔹 получаете доступ к нашим материалам на 1–2 месяца раньше, чем они появляются в других наших социальных сетях и на сайте Базы знаний;

🔹 получаете возможность на профессиональные консультации по вопросам информационной безопасности не ИИ-бота, а живого специалиста.

🎯 Что делать бизнесу прямо сейчас? Практические шаги:

Подписывайтесь на наш канал в MAX и приглашайте коллег. Безопасность начинается с подписки ;)

Позадавайте вопросы ИИ-боту Цифрику по своим рабочим задачам — пусть он станет вашим консультантом. Это вы можете сделать в Махе или Телеграм.

Проанализируйте потребности вашей компании: если вам нужна поддержка, переходите на платную подписку на Спонсоре (этой платформе).

Поделитесь этим постом со своим руководителем и отделом ИТ — ИБ сегодня это командная работа!

Краткое содержание

Данный Федеральный закон направлен на регулирование разработки, внедрения и применения больших фундаментальных моделей искусственного интеллекта (ИИ) в России. Закон устанавливает правовые, экономические и организационные основы поддержки исследований, обеспечения технологической независимости, безопасности личности, общества и государства, а также развития цифровой экономики и эффективности государственного управления. Особое внимание уделяется суверенным и национальным моделям ИИ, их критериям, мерам поддержки разработчиков и правилам эксплуатации. Закон регулирует вопросы международного сотрудничества, ответственности за нарушение законодательства и устанавливает требования к маркировке и прозрачности материалов, созданных с помощью ИИ. Действие закона вступает в силу с 1 сентября 2026 года с некоторыми положениями, переходящими на 2027 год.

Основные положения закона:

• Закон регулирует отношения, связанные с большими фундаментальными моделями искусственного интеллекта, применяемыми в ключевых сферах экономики и госуправления.
• Определяются понятия искусственного интеллекта, большой фундаментальной модели, состава данных, разработки и обучения таких моделей.
• Правовое регулирование строится на принципах технологической независимости, обеспечения безопасности, уважения прав и свобод человека, поддержки российских разработчиков, и учёта традиционных духовно-нравственных ценностей.
• Президент, Правительство, федеральные органы исполнительной власти, государственные корпорации и Центральный банк имеют чётко распределённые полномочия при координации и контроле в данной сфере.
• Суверенные и национальные модели ИИ должны соответствовать требованиям по разработке, технической воспроизводимости, хранению данных на территории РФ и соответствию традиционным ценностям.
• Предусматриваются меры поддержки разработчиков, включая доступ к государственной поддержке, страхование и участие в формировании этических правил.
• Обязательства разработчиков включают обеспечение безопасности моделей, документирование ключевых параметров, а также установление правил эксплуатации.
• Введена маркировка информационных материалов, созданных с применением больших фундаментальных моделей ИИ.
• Закон адресует вопросы прав интеллектуальной собственности и требования по информированию пользователей.
• Международное сотрудничество предусматривается в рамках соответствующих международных договоров, с ограничениями на обмен в определённых стратегических направлениях.
• Закон предусматривает ответственность за нарушения и регулирует порядок вступления в силу отдельных положений.

Основные даты

• Вступление в силу большинства положений — 1 сентября 2026 года.
• Отдельные положения (статьи 5(2-5), 6(2-5), 8-10) — с 1 марта 2027 года.
• Переходные положения для исключений по применению суверенных и национальных моделей — до 1 сентября 2032 года.

Основные термины

• Искусственный интеллект (ИИ): совокупность технологических решений, имитирующих когнитивные функции человека, способных к самообучению и выполнению интеллектуальных задач.
• Большая фундаментальная модель ИИ: программное обеспечение на основе ИИ с объёмом параметров не менее 1 млрд., способное решать широкий спектр задач на уровне равной или превышающей человеческую интеллектуальную деятельность.
• Состав данных: структурированная информация, используемая для разработки и обучения моделей ИИ.
• Обучение модели: процесс подбора параметров модели для достижения заданных функций и результатов.
• Разработчик модели: юридическое или физическое лицо, занимающееся созданием, обучением и модификацией моделей ИИ.

Особенности регулирования

• Закон предусматривает риск-ориентированный подход к регулированию, учитывающий потенциальный вред от применения моделей ИИ.
• Особое значение придаётся защите национального суверенитета и независимости технологической базы.
• Уважение традиционных российских духовно-нравственных ценностей является обязательной составляющей.
• Поддержка разработчиков реализуется через меры финансовой, имущественной и информационной поддержки, а также стимулирующие меры.

Международное сотрудничество

• Осуществляется на основе международных договоров РФ.
• Не допускаются ограничения в отношении российских граждан и юридических лиц, кроме случаев с особыми технологическими направлениями, определяемыми Правительством РФ.

Ответственность и контроль

• Участники отношений в сфере ИИ несут ответственность за нарушения закона в соответствии с российским законодательством.
• Правительство устанавливает порядок признания моделей суверенными и национальными.
• Вводится обязательная маркировка информационных материалов, созданных с применением больших моделей ИИ, при значительном охвате аудитории.

Ключевые выводы

О чём:

Утверждает перечень типовых отраслевых объектов критической информационной инфраструктуры (КИИ). Документ служит практическим «справочником»: помогает субъектам КИИ идентифицировать свои объекты, чтобы далее провести их категорирование и организовать защиту в соответствии с законом. Перечень структурирован по сферам деятельности (здравоохранение, наука, транспорт, энергетика, финансы и др.), внутри каждой — нумерованный список объектов с описанием их функций и соответствующих кодов ОКВЭД.

Направление нормативного акта:

Критическая информационная инфраструктура

Категория:

Акты Правительства РФ

Отрасль:

• Государственные (бюджетные) органы.

Орган, принявший акт:

Правительство РФ.

Наименование нормативного акта:

Нет данных.

Реквизиты нормативного акта:

• Дата принятия: 26 февраля 2026 года;
• Номер акта: № 360-р;
• Регистрация в Минюсте — не требуется.

Статус нормативного акта:

О чём:

Постановление регулирует отраслевые особенности категорирования объектов критической информационной инфраструктуры (КИИ) в области оборонной промышленности — устанавливает специфику определения категорий значимости объектов КИИ с учётом отраслевой специфики оборонно‑промышленного комплекса.

Ключевые положения:

• отраслевые критерии и особенности категорирования объектов КИИ для сферы оборонной промышленности;
• учёт специфических факторов значимости (технологические, производственные, кооперационные риски и т. п.) при отнесении объектов к той или иной категории;
• требования к субъектам КИИ оборонной отрасли по проведению категорирования с учётом отраслевых особенностей;
• порядок применения отраслевых особенностей при актуализации сведений об объектах КИИ и при проверках регуляторов.

Направление нормативного акта:

Критическая информационная инфраструктура.

Категория:

Акты Правительства РФ.

Отрасль:

Оборонная промышленность, государственные учреждения.

Орган, принявший акт:

Правительство РФ.

Наименование нормативного акта:

Об утверждении отраслевых особенностей категорирования объектов критической информационной инфраструктуры Российской Федерации в области оборонной промышленности.

Реквизиты нормативного акта:

1. Введение и актуальность задачи

В современной цифровой экономике информация и устройства, на которых она обрабатывается, храниться, являются ключевыми активами для любой организации. Тем, кто, находится на нулевом этапе построения системы информационной безопасности (уровень обеспечения информационной безопасности 0 по методологии «Волга-27001*»), инвентаризация активов становится не просто технической процедурой, а критически важным первым шагом.

Без точного знания того, что именно нужно защищать, невозможно выстроить эффективную оборону, так как невозможно защитить то, о существовании чего вы не знаете. Управление активами (Asset management) закладывает фундамент для всех последующих мер защиты: от управления уязвимостями до реагирования на инциденты.

2. Что такое информационные активы и зачем их инвентаризировать

Под информационными активами в контексте информационной безопасности понимается любое устройство или программное обеспечение, способное хранить, обрабатывать или передавать данные (информацию) организации. Это понятие гораздо шире, чем просто «ноутбук», «компьютер» или «флешка».

2.1. Категории активов

Согласно международным стандартам, список категорий активов составляет:

1. Устройства (Devices): Ноутбуки, настольные ПК, серверы, сетевое оборудование (роутеры, коммутаторы), принтеры, сканеры.
2. Программное обеспечение (Software) (ПО): Операционные системы, прикладные программы, облачные сервисы (SaaS), базы данных.
3. Данные (Data): Финансовые отчеты, базы клиентов, персональные данные сотрудников, интеллектуальная собственность.
4. Пользователи (Users): Сотрудники, подрядчики, администраторы.
5. Сеть (Network): Локальные сети, VPN-каналы, Wi-Fi точки доступа.
6. Документация (Documentation): Политики ИБ, регламенты, схемы сети и т. п.

По тому как определяет активы ФСТЭК России к их типам или по другому — объектам воздействия, относятся:

1. Автоматизированное рабочее место.
2. Сервер.
3. Периферийное оборудование.
4. Устройство хранения данных.
5. Устройство интернета-вещей.
6. Активное сетевое оборудование.
7. Обеспечивающие системы.
8. Телефония (VoIP, GSM).
9. Средства защиты информации.
10. Мобильное устройство.
11. Информация (данные), содержащаяся в системах и сетях.
12. Физические линии связи.

Дополнительно, методология предусматривает ещё несколько типов информационных активов:

1. Программное обеспечение.
2. Персонал (сотрудник).
3. Криптографические средства.
4. Процесс.
5. Бизнес-актив.
6. Облака.
7. АСУ ТП.

2.2. Цели инвентаризации

Проведение инвентаризации преследует несколько целей:

• Обнаружение «теневых» информационных активов: Выявление устройств и ПО, которые сотрудники используют без ведома ИТ-отдела.
• Управление уязвимостями: Нельзя обновить ПО или закрыть уязвимость на устройстве, которого нет в списке.
• Соблюдение требований: Законодательство РФ (например, ФЗ-152 о персональных данных) требует знать, где хранятся данные.
• Оптимизация лицензирования: Понимание реального использования ПО для экономии бюджета.

В 2026 году работа с персональными данными перестала быть технической формальностью и превратилась в зону повышенного правового риска.

Роскомнадзор ужесточает проверки, а штрафы по статье 13.11 КоАП РФ достигают значительных сумм: для индивидуальных предпринимателей они варьируются от 100 до 300 тысяч рублей, для юридических лиц — от 300 до 700 тысяч. При повторных нарушениях суммы растут. В этих условиях единственным надёжным основанием для легальной работы с информацией клиентов, партнёров или сотрудников остаётся грамотно оформленное согласие на обработку персональных данных. Разберёмся, как подготовить документ, который выдержит проверку регулятора и защитит ваш бизнес.

Когда согласие действительно необходимо

Федеральный закон 152-ФЗ «О персональных данных» рассматривает согласие субъекта как базовое правовое основание для обработки его данных, однако это не означает, что оно требуется постоянно. Вы вправе работать без такого документа, если исполняете договор, где гражданин является стороной (выгодоприобретателем), ведёте кадровый учёт в рамках Трудового договора, передаёте сведения по требованию государственных органов, защищаете его жизнь или здоровье, а также используете данные в личных, семейных или обезличенных статистических целях.

Всё меняется, когда обработка выходит за эти рамки. Сбор информации «на будущее», использование адресов электронной почты для рассылок, передача сведений контрагентам или публикация фотографий сотрудников на корпоративном сайте требуют прямого, добровольного согласия. Причём для любого распространения данных в открытом доступе закон обязывает оформлять отдельное согласие по правилам статьи 10.1 152-ФЗ. Например, если у вас в организации есть телефонные справочники, доски объявлений, то наличие данных сотрудников в них, требует отдельного письменного согласия.

Составляющие юридически значимого документа

Чтобы согласие имело юридическую силу, оно должно соответствовать требованиям части 4 статьи 9 152-ФЗ. Отсутствие даже одного из десяти обязательных элементов делает документ ничтожным.

В первую очередь необходимо однозначно идентифицировать субъекта: указать полное ФИО, адрес регистрации или проживания, а также реквизиты документа, которым удостоверяется его личность. Следом идут сведения об операторе: полное наименование организации, ОГРН или ОГРНИП, ИНН и юридический адрес. Центральная часть документа посвящена цели и объёму обработки. Формулировки вроде «для улучшения сервиса» уже не подходят. Регулятор ждёт конкретики: «для доставки заказа клиенту» или «для отправки информационных писем на контактный адрес электронной почты». Параллельно необходимо перечислить все категории собираемых данных и исчерпывающий список действий с ними: сбор, запись, хранение, уточнение, передача, блокирование, удаление или уничтожение.

Важно зафиксировать способ обработки (автоматизированный или нет), срок действия документа и процедуру отзыва. Закон не допускает бессрочных согласий: период должен быть привязан к дате или конкретному событию. Наконец, документ должен содержать порядок отзыва согласия, гарантию прекращения обработки в срок не более 30 дней, а также собственноручную подпись. Если согласие подписывается электронной подписью, то нужно иметь ввиду, что если у вас простая подпись, то перед этим нужно в письменной форме оформить соглашение с клиентом или сотрудником, а уже после подписывать документ. Исключение — если используется усиленная квалифицированная электронная подпись выданная через МФЦ или аккредитованный удостоверяющий центр.

Контекст имеет значение

Универсального бланка не существует, и форма согласия напрямую зависит от того, как и у кого вы собираете данные.

На сайтах и в мобильных приложениях бумажные подписи заменяются цифровым акцептом. С 1 сентября 2025 года предустановленные галочки запрещены, поэтому пользователь должен самостоятельно отметить пустой чек-бокс рядом с формулировкой: «Нажимая кнопку, я даю согласие на обработку персональных данных». Рядом обязательно размещается прямая ссылка на полный текст документа. Технически момент принятия следует фиксировать: логировать IP-адрес, точное время, состояние поля чек-бокса, чтобы при необходимости доказать добровольность выбора и представить доказательства по базе данных сайта.

В отношениях с сотрудниками распространена ошибка — требовать согласие на всё подряд. На практике данные, необходимые для исполнения трудового договора (ФИО, СНИЛС, ИНН, адрес для корреспонденции, банковские реквизиты), обрабатываются без дополнительного разрешения. Отдельное согласие потребуется только в случаях, выходящих за рамки трудового законодательства: персональные данные родственников, оформление добровольного медицинского страхования на них и себя, проведение проверок службой безопасности, передача сведений в негосударственные пенсионные фонды, использование биометрии или публикация фотографий на ресурсах компании. Срок действия таких соглашений обычно привязывают к периоду действия трудового договора плюс пять лет, что соответствует срокам хранения кадровой документации.

Работа с несовершеннолетними требует особой аккуратности. За детей до 14 лет согласие дают родители или иные законные представители, прикладывая документ, подтверждающий полномочия. Подростки старше 14 лет могут соглашаться самостоятельно, но лишь в случаях, прямо предусмотренных законом. При обработке специальных категорий данных (сведения о здоровье, биометрия) даже после достижения 14 лет требуется подтверждение от родителей и отдельное письменное согласие.

Срок действия и право на отзыв

О чём:

Постановление регулирует использование программного обеспечения (ПО) на значимых объектах критической информационной инфраструктуры (КИИ) Российской Федерации.

Ключевые положения:

1. Требования к ПО на объектах КИИ.
2. Правила согласования закупок иностранного ПО.
3. Правила перехода на российское ПО.

Направление нормативного акта:

Критическая информационная инфраструктура.

Категория:

Акты Правительства РФ.

Отрасль:

Государственный (муниципальный) орган.

Орган, принявший акт:

Правительство Российской Федерации.

Наименование нормативного акта:

«Об утверждении требований к программному обеспечению, в том числе в составе программно‑аппаратных комплексов, используемому органами государственной власти, заказчиками, осуществляющими закупки в соответствии с Федеральным законом „О закупках товаров, работ, услуг отдельными видами юридических лиц“ (за исключением организаций с муниципальным участием), на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации, Правил согласования закупок иностранного программного обеспечения, в том числе в составе программно‑аппаратных комплексов, в целях его использования заказчиками, осуществляющими закупки в соответствии с Федеральным законом „О закупках товаров, работ, услуг отдельными видами юридических лиц“ (за исключением организаций с муниципальным участием), на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации, а также закупок услуг, необходимых для использования этого программного обеспечения на таких объектах, и Правил перехода на преимущественное использование российского программного обеспечения, в том числе в составе программно‑аппаратных комплексов, заказчиками, осуществляющими закупки в соответствии с Федеральным законом „О закупках товаров, работ, услуг отдельными видами юридических лиц“ (за исключением организаций с муниципальным участием), на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации».

Реквизиты нормативного акта:

О чём:

Стандарт описывает систему мер защиты информации при удалённом подтверждении личности клиента в финансовых сервисах. Ключевое нововведение — введение уровней доверия идентификации (УДИ) и аутентификации (УДА). Документ носит рекомендательный характер и направлен на повышение защищённости граждан от мошенничества при дистанционных операциях.

Направление нормативного акта:

Информационная безопасность в финансовой сфере; защита персональных данных и финансовых операций при удалённой идентификации клиентов.

Вид нормативного акта:

Стандарт Банка России (СТО — стандарт организации).

Наименование нормативного акта:

Безопасность финансовых (банковских) операций. Обеспечение безопасности финансовых сервисов при проведении дистанционной идентификации и аутентификации. Состав мер защиты информации.

Реквизиты нормативного акта:

Обозначение стандарта: СТО БР БФБО‑1.8‑2024.

Дата утверждения: 21.03.2024.

Дата вступления в силу: 01.07.2024.

Регулятор: Банк России.

Статус нормативного акта:

Действует (с датой вступления в силу 01.07.2024); носит рекомендательный характер для финансовых организаций.