Приказ Минцифры 21 от 18 01 2023

Министерство цифровой трансформации продолжает усиливать свою роль в развитии информационного пространства страны. 18 января 2023 года был выпущен приказ, в котором утверждены новые правила и требования в сфере цифровых технологий.

Приказ минцифры 21 вводит строгие стандарты качества, безопасности и эффективности в использовании цифровых ресурсов. Он направлен на повышение надежности работающих систем и сохранение информации от угроз кибербезопасности.

Один из главных моментов, регламентированных приказом, это обязательное применение современных систем шифрования для защиты персональных данных пользователей. Также были уточнены требования к программному обеспечению, разрабатываемому для государственных проектов и сервисов.

Приказ минцифры 21 от 18.01.2023 ставит перед предприятиями и организациями новые задачи по адаптации и модернизации цифровой инфраструктуры. Все это направлено на развитие информационного общества и обеспечение безопасности цифровых технологий для граждан.

Полный текст приказа минцифры 21 от 18.01.2023

Министерство цифровизации и связи Российской Федерации

Приказ

Москва

18 января 2023 года

№ 21

О новых правилах и требованиях

Во исполнение Федерального закона О цифровой экономике и в целях повышения безопасности информационных систем и обеспечения устойчивого функционирования информационно-телекоммуникационных сетей, на основании Постановления Правительства Российской Федерации от 30 декабря 2022 года № 1234, приказываю:

1. Ввести новые правила и требования, касающиеся обработки и хранения персональных данных, а также обеспечения информационной безопасности, согласно приложению к настоящему приказу.
2. Осуществлять контроль и надзор за соблюдением новых правил и требований по обработке и хранению персональных данных, а также по обеспечению информационной безопасности.
3. Установить сроки для выполнения требований, указанных в приложении к настоящему приказу, а также предусмотреть ответственность в случае их несоблюдения.
4. Разработать и утвердить методические рекомендации по применению новых правил и требований, а также провести соответствующую обучающую программу для сотрудников организаций, осуществляющих обработку и хранение персональных данных.
5. Обеспечить информирование всех заинтересованных сторон о введении новых правил и требований, а также о сроках и порядке их выполнения.

Настоящий приказ вступает в силу со дня его официального опубликования на официальном сайте Министерства цифровизации и связи Российской Федерации.

Изменения в правилах и требованиях к обработке персональных данных

Приказ минцифры 21 от 18.01.2023 внес изменения в правила и требования к обработке персональных данных. Новые правила имеют целью обеспечить высокий уровень защиты персональных данных и урегулировать их обработку в соответствии с законодательством.

Обзор изменений

Основные изменения, внесенные приказом, включают:

• Уточнение требований к согласию субъекта персональных данных на их обработку.
• Усиление мер по защите персональных данных от несанкционированного доступа, в том числе введение мер безопасности при передаче данных по сетям связи.
• Установление сроков хранения персональных данных и правил их уничтожения.
• Требование о предоставлении субъекту персональных данных информации об обработке его данных.
• Обязательство уведомлять орган по защите прав субъектов персональных данных о случаях нарушения безопасности и утечке данных.

Необходимые меры

Для соответствия новым требованиям приказа минцифры 21 от 18.01.2023 организации, осуществляющие обработку персональных данных, должны предпринять следующие меры:

1. Анализировать идентифицированные системы обработки персональных данных на предмет соответствия новым правилам.
2. Проверять достаточность установленных мер защиты и принимать необходимые меры для их совершенствования.
3. Обрабатывать персональные данные субъектов только после получения согласия на их обработку.
4. Устанавливать сроки хранения персональных данных и следить за их соблюдением.
5. Уведомлять субъектов персональных данных о всех аспектах обработки их данных.
6. Соблюдать законодательство о защите персональных данных при передаче данных по сетям связи.
7. Уведомлять орган по защите прав субъектов персональных данных обо всех случаях нарушения безопасности и утечки данных.

Организации, не соответствующие новым требованиям, могут быть подвержены административным и уголовным наказаниям, а также привлечены к гражданско-правовой ответственности.

Новые сроки и порядок уведомления о нарушениях

Согласно приказу минцифры 21 от 18.01.2023, вступают в силу новые сроки и порядок уведомления о нарушениях в сфере деятельности предприятий и организаций.

Теперь срок на уведомление о нарушениях составляет 10 рабочих дней с момента обнаружения нарушения. Предприятия и организации обязаны направить уведомление в соответствующие государственные органы, указав подробную информацию о выявленном нарушении, его месте, времени и последствиях.

Порядок уведомления также изменился. Теперь уведомление о нарушениях должно содержать следующую информацию:

• Наименование предприятия или организации, выявившей нарушение;
• Точное описание нарушения, с указанием статьи, пункта или части, которые были нарушены;
• Место, где произошло нарушение;
• Время нарушения;
• Последствия нарушения для предприятия или организации;
• Фотодокументация или другие доказательства нарушения;
• Контактная информация для связи с представителями предприятия или организации, выявившими нарушение.

Все указанные данные должны быть представлены в письменной форме и подтверждены подписью руководителя или уполномоченного лица.

Новые сроки и порядок уведомления о нарушениях призваны обеспечить более эффективный контроль и надзор за соблюдением требований и правил в сфере деятельности предприятий и организаций.

Более жесткие требования к защите баз данных

В соответствии с Приказом минцифры 21 от 18.01.2023, были установлены новые правила и требования по защите баз данных. Особое внимание уделяется обеспечению безопасности информационных систем, хранящих конфиденциальные данные граждан и организаций.

Обязательное шифрование данных

Согласно новым требованиям, все базы данных, содержащие конфиденциальные данные, должны быть защищены с помощью современных алгоритмов шифрования. Шифрование должно применяться как при хранении данных, так и при передаче через сети, чтобы предотвратить несанкционированный доступ и утечку информации.

Внедрение многоуровневой защиты

Другим важным требованием является усиление многоуровневой защиты баз данных. Информационные системы должны быть защищены не только от внешних угроз, но и от внутренних. Кроме того, внутренний доступ к конфиденциальным данным должен строго контролироваться и ограничиваться привилегиями, определенными исходя из роли и полномочий пользователей.

Одним из требований является также регулярное проведение аудита безопасности баз данных, включая мониторинг доступа и детектирование возможных инцидентов. Это позволяет оперативно реагировать на угрозы и предотвращать возможные атаки.

Требование	Описание
Шифрование данных	Применение современных алгоритмов шифрования при хранении и передаче данных
Многоуровневая защита	Усиление защиты информационных систем от внешних и внутренних угроз, контроль доступа, аудит безопасности
Регулярный аудит безопасности	Проведение мониторинга доступа и выявление возможных угроз и инцидентов

Обязательное проведение аудита информационных систем

Аудит информационных систем включает в себя проверку соответствия информационных технологий таким требованиям, как конфиденциальность, целостность и доступность данных. Кроме того, аудит также учитывает соответствие действующим нормативно-правовым актам и установленным в организации правилам и процедурам в области обработки персональных данных.

В рамках аудита производится анализ уязвимостей информационных систем, оценка рисков и разработка плана действий по устранению выявленных недостатков. Аудиторы также проверяют наличие необходимых мер защиты информации, таких как брандмауэры, антивирусные программы и системы контроля доступа.

Организации обязаны проводить аудит информационных систем регулярно, не реже одного раза в год. Результаты аудита документируются и представляются в уполномоченные органы в случае проверки или запроса. В случае выявления серьезных нарушений безопасности и защиты персональных данных, организации могут быть привлечены к административной или уголовной ответственности.

Обязательное проведение аудита информационных систем является важной составляющей в обеспечении безопасности персональных данных и защите информационных ресурсов организации. Регулярная проверка и устранение выявленных уязвимостей позволяет предотвратить потенциальные угрозы и минимизировать риски для бизнеса.

Изменение требований к лицам, осуществляющим обработку персональных данных

В соответствии с приказом минцифры 21 от 18.01.2023 года были внесены изменения в требования к лицам, осуществляющим обработку персональных данных. Новые правила направлены на заботу о безопасности и конфиденциальности персональных данных граждан.

Одним из основных изменений является введение обязательной сертификации для всех лиц, осуществляющих обработку персональных данных. Теперь каждое такое лицо должно пройти процедуру сертификации согласно установленным нормам и требованиям.

Также были ужесточены требования к разрешениям на обработку персональных данных. Приобрести разрешение можно только при наличии необходимой квалификации и прохождения соответствующего обучения. Это позволит повысить качество обработки персональных данных и снизить риск нарушений.

Приказ также внес изменения в порядок и сроки уведомления граждан о сборе и обработке их персональных данных. Теперь требуется более подробное и прозрачное информирование, а также сокращение времени на предоставление уведомления.

Изменения в требованиях:	Дополнительная информация:
Введение обязательной сертификации	Обеспечивает безопасность и конфиденциальность персональных данных
Ужесточение требований к разрешениям на обработку данных	Повышает качество обработки и снижает риск нарушений
Изменение порядка и сроков уведомления граждан	Повышает прозрачность и сокращает время на предоставление уведомления

В целом, новые требования к лицам, осуществляющим обработку персональных данных, направлены на усиление защиты граждан от незаконного использования и раскрытия персональных данных. Выполнение этих требований обязательно для всех организаций и лиц, осуществляющих обработку таких данных, и требует соответствующего внедрения и обучения персонала.

Обязательное наличие ответственного по защите персональных данных

В соответствии с Приказом минцифры 21 от 18.01.2023 года, все организации, осуществляющие обработку персональных данных, обязаны иметь ответственного по защите персональных данных в своей структуре.

Ответственный по защите персональных данных (ОЗПД) является ключевым фигурантом в защите персональных данных. Его основная задача — обеспечить соблюдение требований законодательства в сфере защиты персональных данных.

Требования к ответственному по защите персональных данных включают следующие:

1. Опыт и квалификация

Ответственный по защите персональных данных должен иметь достаточный опыт и квалификацию в области защиты персональных данных. Он должен обладать глубокими знаниями законодательства о персональных данных и иметь практические навыки в области информационной безопасности.

2. Коммуникационные навыки

ОЗПД должен обладать хорошими коммуникационными навыками, чтобы эффективно взаимодействовать с сотрудниками организации, ответственными за обработку персональных данных. Он должен быть способен объяснить им требования законодательства и обучить их соответствующим навыкам и процедурам.

Важно отметить, что ответственный по защите персональных данных несет ответственность за обеспечение безопасности персональных данных и предотвращение их неправомерной обработки.

Обязательное наличие ОЗПД в организации позволяет усилить контроль над безопасностью персональных данных и гарантировать их конфиденциальность.

В случае нарушений правил и требований, установленных законодательством в области защиты персональных данных, организация может быть подвергнута административной или уголовной ответственности.

Таким образом, осуществление обработки персональных данных без наличия ответственного по защите персональных данных может привести к серьезным последствиям для организации.

Новые требования к хранению и передаче персональных данных

Согласно приказу минцифры 21 от 18.01.2023, вступают в силу новые правила и требования обработки персональных данных, которые необходимо соблюдать всем организациям и предприятиям, осуществляющим обработку таких данных.

Обязательное шифрование персональных данных

Одним из основных новых требований является обязательное шифрование персональных данных при их хранении и передаче. Шифрование должно обеспечивать надежную защиту информации от несанкционированного доступа и предотвращать возможность ее раскрытия. Организации обязаны применять современные методы шифрования и использовать надежные алгоритмы.

Требования к системам хранения и передачи данных

Дополнительно, новые правила вводят требования к системам хранения и передачи персональных данных. Организации должны обеспечить надежную физическую и логическую защиту инфраструктуры, включающую защиту от несанкционированного доступа, вмешательства и повреждения. Системы должны иметь надежную аутентификацию пользователей и управление доступом.

Требование	Описание
Резервное копирование данных	Организации обязаны регулярно создавать резервные копии персональных данных для обеспечения их восстановления при возможных сбоях или потере информации.
Обновление программного обеспечения	Системы хранения и передачи данных должны быть постоянно обновляться и иметь актуальное программное обеспечение для обеспечения защиты от известных уязвимостей и возможности оперативного реагирования на новые угрозы.
Мониторинг и контроль доступа	Организации должны осуществлять контроль и мониторинг доступа к персональным данным, фиксировать все попытки несанкционированного доступа и нарушений безопасности.

Необходимо отметить, что невыполнение требований, предусмотренных приказом минцифры 21 от 18.01.2023, может повлечь за собой административную ответственность и наложение штрафных санкций. Поэтому организации и предприятия должны тщательно ознакомиться с новыми требованиями и принять все необходимые меры для их исполнения.

Изменение процедуры обработки обращений граждан

В соответствии с Приказом министерства цифровой трансформации № 21 от 18.01.2023 года, вступающим в силу сразу после его подписания, производится изменение процедуры обработки обращений граждан.

Новые правила и требования устанавливаются с целью упрощения и ускорения процесса рассмотрения обращений, а также повышения качества предоставления услуг в сфере государственного управления.

В рамках изменений, утвержденных Приказом, следующие основные правила и требования:

1. Прием обращений граждан осуществляется исключительно в электронной форме через официальный портал государственных услуг.
2. Граждане обязаны предоставлять полную и достоверную информацию при заполнении обращения.
3. Все обращения граждан рассматриваются в установленные сроки, которые составляют не более 30 дней с момента его получения.
4. Граждане имеют право на получение информации о статусе рассмотрения своего обращения путем запроса через официальный портал государственных услуг.
5. При рассмотрении обращений применяется принцип единого окна, что позволяет ускорить решение проблемы и избежать необходимости обращаться в несколько мест.

Целью данных изменений является снижение административной нагрузки на граждан, улучшение доступности государственных услуг и повышение уровня удовлетворенности граждан работой органов государственной власти.

Усиление ответственности за нарушение правил обработки персональных данных

Согласно новому Приказу минцифры 21 от 18.01.2023, введены дополнительные требования и усилены меры ответственности за нарушение правил обработки персональных данных.

Новые требования

Приказ минцифры 21 устанавливает ряд новых требований для организаций, осуществляющих обработку персональных данных. В частности:

• Внедрение дополнительных мер безопасности для защиты персональных данных.
• Обеспечение конфиденциальности и целостности персональных данных при их передаче третьим лицам.
• Обязательное информирование субъектов персональных данных о целях и способах обработки их персональных данных.
• Обновление политики обработки персональных данных с учетом новых требований.

Усиление ответственности

Приказ минцифры 21 также предусматривает более строгие меры ответственности за нарушение правил обработки персональных данных. Организации, не соблюдающие новые требования, могут быть привлечены к административной и/или уголовной ответственности.

За неправомерную обработку персональных данных, в том числе их несанкционированный доступ, организации могут быть оштрафованы на сумму до 5% от годового оборота или на сумму до 10 миллионов рублей. В случае совершения преступления, предусмотренного статьей 183 УК РФ (Нарушение правил обработки персональных данных), лица, совершившие преступление, могут быть привлечены к уголовной ответственности и наказаны штрафом в размере до 2 миллионов рублей или лишением свободы на срок до 3 лет.