Список НПА по ИБ, принятых в 2016-м году

1. С 1-го января вступил в силу так называемый «закон о забвении» или официально Федеральный закон от 13 июля 2015 г. N 264-ФЗ «О внесении изменений в Федеральный закон «Об информации, информационных технологиях и о защите информации» и статьи 29 и 402 Гражданского процессуального кодекса Российской Федерации». С этим законом вообще странная ситуация — такая норма уже заложена в закон о персданных и КоАП. Правда сумма штрафов там смешная была, в отличие от дополняющего закон о забвении Федерального закона от 30 декабря 2015 г. N 439-ФЗ «О внесении изменений в Кодекс Российской Федерации об административных правонарушениях», который устанавливает ответственность за данный вид нарушения в размере до 100 тысяч рублей.
2. В последний день 2015-го года была утверждена новая Стратегия национальной безопасности. В Стратегии говорится и про киберугрозы, но не могу сказать, что много. Материал в этой части изложен несистемно — основное внимание уделяется традиционным угрозам.
3. Постановление Правительства №399 от 6 мая 2016-го года «Об организации повышения квалификации специалистов по защите информации и должностных лиц, ответственных за организацию защиты информации в органах государственной власти, органах местного самоуправления, организациях с государственным участием и организациях оборонно-промышленного комплекса», которое утверждает соответствующие правила организации повышения квалификации. 
4. В июле 2015-го года был принят новый закон №162-ФЗ «О стандартизации в Российской Федерации«. Этот закон вступил в силу 29-го сентября 2015-го года, но в полной мере он заработал с 1-го июля 2016-го года. Именно с этой даты стала действовать статья 6-я, которая определяет, что ГОСТы в области защиты информации могут быть обязательными к применению, чем первым, скорее всего, воспользуется Банк России, который свой СТО БР ИББС уже переводит в статус ГОСТа и, согласно заседанию ТК122 в конце декабря 2016-го года, планируется, что это произойдет уже в 2017-м году. Хотя в такую оперативность я не верю — обычно с момента внесения текста стандарта в Ростехрегулирование до его принятия проходит не менее года-двух. Так что по моей оценке СТО БР ИББС (в модифицированном варианте) станет обязательным в 2018-м году.
5. В июне было подписано Постановление Правительства РФ от 15.06.2016 №541 «О внесении изменений в некоторые акты Правительства Российской Федерации по вопросам лицензирования отдельных видов деятельности», которое вступает в силу 17 июня 2017-го года и которое вносит изменения в правила лицензирования деятельности по технической защите конфиденциальной информации и по разработке средства защиты конфиденциальной информации.
6. В марте Минюст утвердил долгожданное Указание Банка России от 10.12.2015 N 3889-У «Об определении угроз безопасности персональных данных, актуальных при обработке персональных данных в информационных системах персональных данных».
7. Также в марте Минюст утвердил и другое Указание Банка России №3893-У от 11.12.2015 «О порядке направления запросов и получения информации из Центрального каталога кредитных историй посредством обращения в кредитную организацию». В 4-м приложении к нему утвержден порядок использования СКЗИ при обмене электронными сообщениями между ЦБ и кредитными организациями в целях направления запросов и получения информации из Центрального каталога кредитных историй. Приложение 5 к этому Указанию определяет порядок обеспечения ИБ при использовании СКЗИ. 
8. Банк России ввел в действие с 1-го мая 2016 года новые рекомендации по стандартизации, посвященные выявлению и предотвращению утечек информации (РС БР ИББС-2.9-2016).
9. В декабре Банка России принял новый стандарт по сбору и анализу технических данных при реагировании на инциденты (СТО БР ИББС-1.3-2016), которые вступают с 1-го января 2017-го года.
10. В июле был принят нашумевший законопроект Яровой (Федеральный закон от 6 июля 2016 г. №374-ФЗ «О внесении изменений в Федеральный закон «О противодействии терроризму» и отдельные законодательные акты Российской Федерации в части установления дополнительных мер противодействия терроризму и обеспечения общественной безопасности» и Федеральный закон от 6 июля 2016 г. №375-ФЗ «О внесении изменений в Уголовный кодекс Российской Федерации и Уголовно-процессуальный кодекс Российской Федерации в части установления дополнительных мер противодействия терроризму и обеспечения общественной безопасности»), который ввел новые правила к операторам связи в части хранении всех данных по всем пользователям на территории России в течение длительного периода времени. Помимо этого он установил невыполнимые требования к передаче ключей шифрования для мессенджеров спецслужбам России.
11. Президент в течение года выпустил несколько поручений, касающихся ИБ:
• по итогам форума «Интернет экономика» — там много всего — импортозамещение, Интернет вещей, образование, мониторинг информационных угроз (до сих пор непонятно, что это такое), «личные данные» (хрень, которую до сих пор разгребают эксперты), шифрование данных (следствием этого стал в т.ч. и «закон Яровой»)  
• об обеспечении разработки и реализации комплекса мероприятий, необходимых для перехода органов власти на использование российских криптографических алгоритмов и средств шифрования (нужно завершить к 1-му декабря 2017 года)
• по вопросам отдельных мер государственного регулирования в сфере противодействия терроризму и обеспечения общественной безопасности — ответственность за несертифицированные средства шифрования, порядок сертификации средств шифрования в Интернет, передача ключей шифрования в ФСБ. Ответ ФСБ не заставил себя долго ждать.
• о преимущественном использовании госорганами единой инфраструктуры электронного правительства.
12. PCI Council 28 апреля принял новую версию стандарта PCI DSS 3.2, которая вступила в силу с 1-го ноября 2016-го года.
13. ФСБ России 23.03.2016 утвердила два новых административных регламента — №182 «Об утверждении Административного регламента Федеральной службы безопасности Российской Федерации по исполнению государственной функции по осуществлению лицензионного контроля деятельности по разработке, производству, распространению шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, выполнению работ, оказанию услуг в области шифрования информации, техническому обслуживанию шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств (за исключением случая, если техническое обслуживание шифровальных (криптографических) средств, информационных систем и телекоммуникационных систем, защищенных с использованием шифровальных (криптографических) средств, осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя)» и №185 «Об утверждении Административного регламента Федеральной службы безопасности Российской Федерации по исполнению государственной функции по осуществлению лицензионного контроля деятельности по разработке и производству средств защиты конфиденциальной информации».
14. ТК26 (читаем 8-й Центр ФСБ) выпустил давно обещанный документ с принципами разработки и модернизации шифровальных (криптографических) средств защиты информации.
15. Приказом ФСТЭК России от 9 февраля 2016 г. №9 были утверждены Требования к межсетевым экранам, которые вступают в силу с 1 декабря 2016 г.
16. Банк России выпустил Положение от 24.08.2016 №552-П «Положение о требованиях к защите информации в платежной системе Банка России». Несколько раз подступался к этому документу, но все как-то неполучается сформулировать свои мысли по нему. Думаю, до конца года все-таки допишу заметку про него.
17. 5 декабря Президент подписал новую Доктрину информационной безопасности России, которой я еще посвящу отдельную заметку (документ этот непростой — с бухты барахты о нем писать не хочется).
18. Федеральная служба охраны утвердила приказ от 7 сентября 2016 г. №443 г. Москва «Об утверждении Положения о российском государственном сегменте информационно-телекоммуникационной сети «Интернет», в котором, среди прочего требуется подключение RSNet к ГосСОПКЕ.
19. Постановление Правительства от 13 августа 2016 года №789 установило порядок использования простой электронной подписи при обращении за получением государственных и муниципальных услуг в электронной форме с помощью мобильного телефона, смартфона, планшета и порядок передачи результатов оказания государственных и муниципальных услуг в электронном виде третьим лицам.

1. Правительство, как и обещало, внесло в Госдуму законопроект «О внесении изменений в федеральные законы в части наделения федерального органа исполнительной власти полномочием по установлению порядка осуществления государственного контроля за соответствием обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных».
2. Банк России начал процедуру рассмотрения новых рекомендаций по стандартизации «Квалификационные требования к специалистам по информационной безопасности организаций кредитно-финансовой сферы Российской Федерации», а также по аутсорсингу ИБ, включая и предоставление услуг по ИБ из облаков.
3. Также Банк России начал и практически завершил разработку ГОСТа «Базовый состав организационных и технических мер защиты информации», на который будут ссылаться многие из положений и указаний Банка России.
4. Неожиданно в Госдуму был внесен законопроект «О безопасности критических информационных инфраструктур», который, если будет принят в текущей редакции (а такая вероятность есть, так как авторы законопроекта на встрече с экспертами не высказали энтузиазма и желания вносить поправки), сильно ограничит конкуренцию в этой сфере и отбросит сегмент ИБ КИИ назад. Помимо него были внесены еще два законопроекта — «О внесении изменений в законодательные акты РоссийскойФедерациивсвязиспринятием Федерального закона «О безопасности критической информационной инфраструктуры Российской Федерации» и «О внесении изменений в Уголовный кодекс Российской Федерации и Уголовно-процессуальный кодекс Российской Федерации в связи с принятием Федерального закона «О безопасности критической информационной инфраструктуры Российской Федерации».
5. Начата работа на проектом Стратегии развития информационного общества Российской Федерации на 2017 — 2030 годы, в которой есть фрагменты и про критическую инфраструктуру.
6. Минкомсвязь подготовил проект приказа «О внесении изменений в Административный регламент Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по предоставлению государственной услуги «Ведение реестра операторов, осуществляющих обработку персональных данных», утвержденный приказом Министерства связи и массовых коммуникаций Российской Федерации от 21.12.2011 № 346», который уточняет процедуру исключения оператора ПДн из соответствующего реестра операторов ПДн.
7. Министерство связи и массовых коммуникаций РФ опубликовало проект постановления правительства «О внесении изменений в Требования к порядку создания, развития, ввода в эксплуатацию, эксплуатации и вывода из эксплуатации государственных информационных систем и дальнейшего хранения содержащейся в их базах данных информации».
8. Минкомсвязь выложило проект Указа Президента «О создании и функционировании специального сегмента системы межведомственного электронного взаимодействия в целях обеспечения обмена между органами власти, государственными внебюджетными фондами и организациями информацией, доступ к которой ограничен», суть которого понятна из названия.
9. ЦБ подготовил проект требований к работе сайтов страховщиков и Российского союза автостраховщиков (РСА), направленных на обеспечение бесперебойности работы при продажах электронных полисов ОСАГО.
10. поправки в закон о связи
11. Проект федерального закона «О внесении изменений в статью 16 Федерального закона «Об информации, информационных технологиях и о защите информации» в части расширения сферы действия требований ФСТЭК не только на ГИС, а также обязательность уведомления ФСБ и ФСТЭК об инцидентах ИБ. За принятием законопроекта последует и принятие новой редакции 17-го приказа ФСТЭК.
12. Законопроект «О мерах по обеспечению информационной безопасности Российской Федерации», похоже, так и не взлетит. 
13. Законопроект «О внесении изменений в Федеральный закон «О связи», наделяющий российский сегмент Интернет статусом критической инфраструктуры, вызвал большое количество споров и, думаю, подвергнется критике еще не раз.
14. И напоследок 4 проекта Постановлений Правительства под «закон Яровой» — тут, тут, тут и тут.

Вот так выглядит картина основного нормотворчества по информационной безопасности в уходящем году.