Требования регуляторов по информационной безопасности что это
Ликбез по Compliance: разбираемся в требованиях регуляторов в области ИБ
И у карантина есть плюсы — у нас появилось время подготовить еще несколько учебных вебинаров по информационной безопасности (вебинары по основам ИБ смотрите тут). Хакеры и сетевые атаки — это, конечно, захватывающе, но почти любой безопасник сталкивается и с другой стороной ИБ — требованиями регуляторов. Поэтому этот цикл вебинаров мы сделали по теме Compliance ИБ. Полезно будет и студенту, и опытному безопаснику, который хочет освежить память и узнать о последних изменениях в нормативке.
Мы уже провели два ликбеза и планируем еще как минимум два онлайн-мероприятия. Под катом — подробности предстоящих онлайн-встреч и записи прошедших вебинаров.
О чем пойдет речь?
Практические советы по категорированию объектов КИИ
После выхода в июле 2017 года 187-ФЗ «О безопасности критической информационной инфраструктуры РФ» регулярно актуализируются подзаконные акты, а в последнее время обсуждается ужесточение штрафных санкций за невыполнение требований по обеспечению безопасности КИИ. Все говорит о том, что нужно «держать руку на пульсе» для своевременного и корректного выполнения требований регуляторов.
В первой части ликбеза мы поможем разобраться со структурой нормативных документов в части КИИ, поделимся практическим опытом по категорированию объектов и заполнению форм по Приказу ФСТЭК России №236. Во второй части мы расскажем про дальнейшие шаги после категорирования – создание систем безопасности. Онлайн-мероприятие будет интересно тем, кто только планирует приступить к категорированию объектов КИИ или уже занимается этим вопросом и столкнулся с рядом сложностей. Итак, что мы обсудим:
Как учесть все требования ЦБ РФ и пройти аудит
За последнее время Банк России разработал большое количество нормативных требований в области ИБ (672-П, 683-П и не только), «ядром» которых является стандарт ГОСТ Р 57580. Плюс со стороны регулятора сейчас планируется ряд изменений в Положении 382-П, которые также будут ссылаться на «ГОСТовый» стандарт. Ликбез будет посвящен как раз всем изменениям в области информационной безопасности, связанным с этими требованиями. Расскажем и о том, на какие информационные системы распространяются положения регулятора.
Разберем типовые нарушения, которые выявляются при проведении аудитов, и подскажем, как их избежать. Структура встречи будет примерно такой:
Анализ уязвимостей по требованиям к ОУД4
Недавно мы провели ликбез, где обсуждали новые требования Банка России к проверке программного обеспечения на уязвимости по оценочному уровню доверия (ОУД 4) в рамках ГОСТ Р ИСО/МЭК 15408-3-2013. Запись вебинара>>
Разбирали также практические рекомендации о том, как оптимально подойти к выполнению проекта по анализу уязвимостей ПО, а именно:
Готовимся к проверке Роскомнадзора
Еще один ликбез касался актуальных нормативно-правовых актов в области ИБ, защиты персональных данных и всех этапов подготовки к проверке Роскомнадзора:
Если вам интересны другие темы в области Compliance, пишите в комментариях. Если интересующихся наберется, сделаем!
Документы по сертификации средств защиты информации и аттестации объектов информатизации по требованиям безопасности информации
Выписка из Требований по безопасности информации, утвержденных приказом ФСТЭК России от 30 июля 2018 г. N 131
| 196 КБ | 9070 | |
| 459 КБ | 2055 |
приказом ФСТЭК России
от 30 июля 2018 г. N 131
Требования по безопасности информации, устанавливающие уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий
(выписка)
I. Общие положения
1. Настоящие Требования являются обязательными требованиями в области технического регулирования к продукции (работам, услугам), используемой в целях защиты сведений, составляющих государственную тайну или относимых к охраняемой в соответствии с законодательством Российской Федерации иной информации ограниченного доступа (далее – требования по безопасности информации), применяются к программным и программно-техническим средствам технической защиты информации, средствам обеспечения безопасности информационных технологий, включая защищенные средства обработки информации (далее – средства), и устанавливают уровни, характеризующие безопасность применения средств для обработки и защиты информации, содержащей сведения, составляющие государственную тайну, иной информации ограниченного доступа (далее – уровни доверия).
2. Настоящие Требования разработаны в соответствии с постановлением Правительства Российской Федерации от 26 июня 1995 г. N 608 «О сертификации средств защиты информации» (Собрание законодательства Российской Федерации, 1995, N 27, ст. 2579; 1996, N 18, ст. 2142; 1999, N 14, ст. 1722; 2004, N 52, ст. 5480; 2010, N 18, ст. 2238), постановлением Правительства Российской Федерации от 15 мая 2010 г. N 330 «Об особенностях оценки соответствия продукции (работ, услуг), используемой в целях защиты сведений, относимых к охраняемой в соответствии с законодательством Российской Федерации информации ограниченного доступа, не содержащей сведения, составляющие государственную тайну, а также процессов ее проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации, утилизации и захоронения», приказом ФСТЭК России от 3 апреля 2018 г. N 55 «Об утверждении Положения о системе сертификации средств защиты информации» (зарегистрирован Минюстом России 11 мая 2018 г., регистрационный N 51063; официальный интернет-портал правовой информации http://www.pravo.gov.ru, 14 мая 2018 г.).
Настоящие требования предназначены для организаций, осуществляющих в соответствии с законодательством Российской Федерации работы по созданию средств, заявителей на осуществление сертификации, а также для испытательных лабораторий и органов по сертификации, выполняющих работы по сертификации средств на соответствие обязательным требованиям по безопасности информации.
3. Выполнение настоящих Требований является обязательным при проведении работ по оценке соответствия (включая работы по сертификации) средств технической защиты информации и средств обеспечения безопасности информационных технологий, организуемых ФСТЭК России в пределах своих полномочий в соответствии с Положением о системе сертификации средств защиты информации, утвержденным приказом ФСТЭК России от 3 апреля 2018 г. N 55.
II. Общие требования
4. Для дифференциации требований по безопасности информации к средствам устанавливается 6 уровней доверия. Самый низкий уровень – шестой, самый высокий – первый.
Средства, соответствующие 6 уровню доверия, применяются в значимых объектах критической информационной инфраструктуры 3 категории*, в государственных информационных системах 3 класса защищенности**, в автоматизированных системах управления производственными и технологическими процессами 3 класса защищенности***, в информационных системах персональных данных при необходимости обеспечения 3 и 4 уровня защищенности персональных данных****.
5. Средства защиты информации, в том числе средства вычислительной техники, при проведении сертификационных испытаний на соответствие требованиям по безопасности информации к функциям безопасности должны проходить сертификационные испытания на соответствие настоящим Требованиям.
Устанавливается следующее соответствие классов средств защиты информации и средств вычислительной техники уровням доверия:
средства защиты информации 6 класса должны соответствовать 6 уровню доверия;
средства защиты информации 5 класса должны соответствовать 5 уровню доверия;
средства защиты информации 4 класса и средства вычислительной техники 5 класса должны соответствовать 4 уровню доверия.
6. Средство соответствует уровню доверия, если оно удовлетворяет соответствующим требованиям к разработке и производству средства, проведению испытаний средства, поддержке безопасности средства, приведенным в таблице 1.
Защита информации и информационная безопасность ФСТЭК
ГК «Интегрус» помогает реализовать требования защиты информации ФСТЭК с учетом последних реальных моделей угроз. Сегодня информация является ценнейшим товаром, а множество массивов данных охраняются на законодательном уровне. На рынке информационной безопасности представлено большое количество программных и аппаратно-программных средств защиты данных (СЗИ) – отечественного и зарубежного производства.
Вопросы в области технической защиты информации в России регулирует Федеральная служба по техническому и экспортному контролю (ФСТЭК). Служба определяет классы защиты информации, разрабатывает рекомендации и требования по защите данных от несанкционированного доступа, проводит сертификацию средств по обеспечению безопасности сведений в информационных системах.
Ведется государственный реестр сертифицированных средств защиты информации ФСТЭК России за № РОСС RU.0001.01БИ00. Также существует добровольная сертификация средств технической защиты информации, например, Certified by AM Test Lab, сертификатами которых отмечены такие продукты как Kaspersky Industrial CyberSecurity for Networks, Solar Dozor UBA, Indeed PAM, DLP-система СёрчИнформ КИБ и многие другие.
Требования ФСТЭК по защите информации
Документация государственного регулирования устанавливает минимальные требования защиты от несанкционированного доступа к данным. Для противодействия киберугрозам ФСТЭК регулярно обновляет базу уязвимостей, вносит новые рекомендации в аттестацию, сертификацию оборудования, программного обеспечения.
Выполнение требований регулятора по технической защите информации обязательно при:
Требования ФСТЭК по технической защите информации распространяются на:
Так, в состав мер по защите персональных данных согласно требованиям ФСТЭК входят:
Также требованиями ФСТЭК России по защите персональных данных предусмотрено наличие возможности управления конфигурацией ИС, своевременного выявления инцидентов, способных привести к сбоям в работе ИС, возникновению угроз безопасности ПНд.
Требования ФСТЭК к специалистам по защите информации включают в себя понимание:
К профессиональным знаниям специалистов относится:
С полным перечнем требований к профессиональной подготовке специалистов в сфере защиты информации можно ознакомиться здесь.
Требования ФСТЭК по защите конфиденциальной информации направлены на исключение неправомерного доступа, копирования, передачи или распространения сведений. Для обеспечения требований по безопасности конфиденциальной информации проводится оценка возможных уязвимостей ИС для внешних и внутренних нарушителей, возможных средств реализации этих уязвимостей.
Меры по защите информации ФСТЭК
Меры защиты информации в информационных системах согласно требованиям ФСТЭК должны обеспечивать необходимый уровень безопасности при взаимодействии защищаемых ИС с другими ИС, при обработке и хранении информации. При этом предлагаемые на этапе проектирования меры должны быть реализуемы в конкретной ИС.
Методы и средства технической защиты информации подбираются с учетом структуры СЗИ, состава и мест размещения ее элементов. Если защищаемая ИС проектируется в составе центра обработки данных (ЦОД) рекомендуется использовать уже имеющиеся в ЦОД средства, меры защиты данных.
Выстраивание защиты в государственных информационных системах (ГИС) предполагает ряд нюансов:
Организационные мероприятия предотвращают неправомерные:
Существует регламентация разработки систем и введения их в эксплуатацию, разграничения уровней доступности, проведения проверок и анализ реакций, ответственных за организацию защиты специалистов. Лишь после проведения совокупности мероприятий информационная система аттестуется, вводясь в эксплуатацию.
Технические меры защиты обязывают госструктуры использовать сертифицированные средства, соответствующие классу защиты с функциями:
Для частных компаний это допустимо с более урезанным функционалом, используемым при обработке массива персональных данных.
Рекомендации ФСТЭК по защите информации
Методические рекомендации ФСТЭК по защите данных предусматривают использование:
ФСТЭК рекомендует использовать такие методы по защите информации как контроль доступа к носителям данных и ИС (физический, аппаратный, программный и т.д.), шифрование передаваемых сведений.
Методические документы и приказы ФСТЭК по защите информации
Существует огромный перечень подзаконных актов и документов, определяющих порядок организации информационной защиты и позволяющих эффективно применять разработанную систему информационной безопасности.
Так, положения о защите технической информации разрабатываются организациями самостоятельно. Отдельные положения выносятся местными органами власти. ФСТЭК выпускает приказы, уточняющие требования в сфере защиты информации, например, Приказ ФСТЭК России от 23 марта 2017 г. N 49, от 15 февраля 2017 г. N 27 и т.д. – полный перечень документов ФСТЭК по технической защите информации можно уточнить здесь. Детальнее:
Техническая защита информации затрагивает вопросы сбора, обработки, передачи, хранения, распространения информации с соответствующим классу защищенности обеспечением ее безопасности на предприятиях. Система документов по технической защите информации строится на основополагающих элементах:
Документы ФСТЭК по технической защите информации ложатся в основу проектирования и исполнения информсистем, защищенных от проникновения на любых уровнях. Вся документация размещается по мере обновления на официальном сайте и является обязательной к исполнению.
В нормативных руководящих документах ФСТЭК по защите информации содержатся принципы разноуровневой защиты по шкале важности сведений, степени конфиденциальности, предписаний по оценке защищенности от несанкционированных действий злоумышленников, регламенты работ для сотрудников сферы защиты данных.
Сертифицированные средства защиты ФСТЭК
Функции ФСТЭК в области сертификации средств защиты информации заключаются в:
Также ФСТЭК исполняет функции центрального органа системы сертификации средств защиты информации (либо может делегировать их другой организации по необходимости). ФСТЭК может приостанавливать или отменять действие сертификатов.
Система сертификации средств защиты информации ФСТЭК включает в себя органы по сертификации (работающие с определенными видом продукции), испытательные лаборатории. В структуру системы сертификации ФСТЭК также входят заявители (предприятия, организации, компании) и центральный орган, в роли которой выступает сама ФСТЭК.
Классы средств защиты информации ФСТЭК
Регулятор выделил семь классов защищенности, где первый класс соответствует наивысшей степени защиты, а седьмой (для госструктур – третий) является низшей. Комплекс требований по защите средств вычислительной техники и автоматизированных систем формируют градацию классов.
Сертификаты соответствия ФСТЭК России на средства защиты информации подтверждают, что организация соответствует действующим нормативно-правовым актам РФ и имеет высокий уровень защищенности от кибер-угроз. Выбор оптимального защитного средства зависит напрямую от класса системы. В ситуациях значительного превышения стоимости программного обеспечения нужного класса допустимо, согласовав с территориальным органом ФСТЭК, устанавливать иные средства защиты.
Госреестр средств защиты информации ФСТЭК России
Государственный реестр сертифицированных средств защиты информации ФСТЭК постоянно обновляется, находясь в открытом доступе. В нем содержится информация об аккредитациях, сертификатах (в т.ч. двойного назначения), лицензиях, разрешениях. Программы и средства информационной защиты в обязательном порядке проходят обязательную регистрацию, с занесением в реестр и выдачей сертификата.
Лицензирование деятельности по технической защите информации ФСТЭК
Лицензия ФСТЭК на техническую защиту конфиденциальной информации включает средства информационной защиты, их установку и эксплуатацию. Выдача предприятию лицензии для работы с конфиденциальными сведениями и по оказанию телематических услуг означает корректную работу системы безопасности данных на основе рекомендаций, требований, положений и приказов ФСТЭК.
Отказ от получения допуска чреват жесткими проверками с возможной приостановкой работы, отзывом разрешительных документов и административным наказанием.
Виды лицензий, связанных с деятельностью:
При оформлении лицензии используются только некриптографические методы.
Срок оформления лицензии составляет 30 дней, хотя зачастую готовое разрешение удается получить только спустя два месяца. Действие лицензии бессрочное.
Требования ФСТЭК по защите информации
ИБ-аутсорсинг
на базе DLP-системы
Контроль исполнения документов
Мониторинг ИТ инфраструктуры
Защита бизнеса от мошенничества
Разработка требований к защите информации
Управление системами фильтрации электронной почты и веб-трафика
АУТСОРСИНГ DLP ДЛЯ ЗАЩИТЫ БИЗНЕСА
И нформация – товар, который иногда стоит дороже акций или недвижимости. Некоторые массивы данных подлежат охране на уровне закона, это, например, персональные данные граждан, банковская тайна, государственная тайна. Требования по защите информации, используемые организационные и технические средства, определяются Федеральной службой по таможенному и экспортному контролю.
Цель регулирования
Государство наделило ведомство правом определять стратегические направления в сфере информационной безопасности, разрабатывать концепции и методики, утверждать руководящие документы, обязательные для применения участниками процесса защиты информации. Организации, приступающие к проектированию информационных систем, берут за основу не только международные стандарты и ГОСТы, в первую очередь они ориентируются на методики ФСТЭК России и используют одобренные ведомством программные и технические средства.
Такой подход позволяет решать задачи единообразия государственного регулирования в сфере защиты информации различных классов. Но рекомендации ведомства не всегда успевают за современными моделями угроз. Уровень атак растет быстрее, чем ведомство вносит изменения в руководящие документы, но минимальные требования оно все же устанавливает.
Выполнение рекомендаций регулятора обязательно в случаях:
В каждом из этих случаев необходимо соблюдение требований ведомства. Отказ от этого приведет к проверкам, приостановке и отзыву лицензии, административным штрафам.
Нормативно-правовая база
Федеральный орган исполнительной власти опирается на Конституцию РФ и федеральные законы, регулирующие защиту информации. Ведомство действует на основании Указа Президента № 1085, определяющего его полномочия. Служба издает собственные нормативно-правовые акты, имеющие как обязательный, так и рекомендательный характер. Найти весь перечень нормативных актов, действующих, и утративших силу, можно на официальном сайте.
Полномочия ведомства распространяются на частные и государственные организации. Приказ № 17 устанавливает требования к защите информации, находящейся в государственных информационных системах (ИС), если она не содержит государственную тайну. Методика определения актуальных угроз безопасности персональных данных, предложенная ведомством, и Рекомендации по защите ПД (Приказ № 21) распространяются на операторов ПД. Некоторые документы имеют гриф «Для служебного пользования», но с большинства он снят. Гриф «ДСП» традиционно сохраняется на документах, регламентирующих требования к программным и аппаратным средствам, которые предназначены для систем с повышенным классом безопасности. Это связано с тем, что информация о том, каким способом защищаются особо важные сведения, может быть доступна только лицензированным организациям.
Нормы ФСТЭК в целом регламентируют:
Некоторые документы вызывают недопонимание в профессиональном сообществе, так как вынуждают изменить защитные схемы и расходовать большие бюджеты на новые программные и технические средства. В большинстве случаев в ходе обсуждения достигается консенсус. Так, в результате взаимодействия с бизнесом ведомство инициировало внесение изменений в Постановление Правительства № 127, касающееся защиты объектов критической информационной инфраструктуры.
Полномочия ведомства
Все действия регулятора, ранее именуемого Ростехкомиссией и созданного впервые еще в СССР для борьбы с иностранными техническими разведками, регламентированы на уровне закона и указов президента.
Указ № 1085 устанавливает функции ФСТЭК РФ в сфере защиты информации:
Для реализации этих функций ведомству предоставлен ряд полномочий:
Подчиняется служба непосредственно президенту.
Организационные требования
Говоря об организационных требованиях, интересно в сравнении рассмотреть требования по защите данных в государственных ИС (Приказ № 17) и у операторов ПД (Приказ № 21). Оба документа предусматривают, что организационные меры должны обеспечивать защиту от:
Объектом защиты признаются не только данные, содержащиеся в ИС, но и оборудование, съемные носители, средства связи, средства расшифровки информации, программное обеспечение всех типов, операционные системы, технологии сохранения безопасности сведений и технические средства их защиты. Организационные меры призваны ограничить несанкционированное проникновение к этим объектам и разграничить доступ пользователей разных категорий компетентности, а также определить регламенты взаимодействия всех участников процесса защиты информации.
Существенные различия между моделями регулирования
От того, насколько федеральная служба может повлиять на владельца информационной системы, зависит глубина контроля.
Среди основных различий в системе организационных мер для государственных организаций и частных компаний – операторов ПД:
Организационные меры для государственного органа
Одной из основных организационных мер для всех участников процесса защиты информации ФСТЭК РФ признает разработку пакета организационно-распорядительной документации.
Для государственной организации это документы:
Для государственных ИС существуют свои правила внедрения системы и введения ее в эксплуатацию, осуществляется разграничение уровня доступа пользователей, проверка, насколько полно в регламентах описаны все нюансы работы с обеспечением безопасности данных. В обязательном порядке проводится отработка действий должностных лиц, отвечающих за организацию процесса защиты информации. Далее информационная система официально аттестуется, лишь после этого возможен ее ввод в эксплуатацию.
В ходе аттестации применяются следующие методы проверки:
При положительном результате всех тестов возможно начало работы.
Управление работой состоит из нескольких этапов:
Вся документация по управлению системой, в том числе о наделении полномочиями лиц, допущенных к ее обслуживанию, утверждается правовым актом ответственного руководителя органа исполнительной власти.
Организационные меры у операторов ПД
Существенно проще организационные требования к созданию и функционированию информационной системы, в которой хранятся персональные данные, у частных компаний – операторов ПД. Первой задачей юридического лица, которое собирается начать деятельность по обработке персональных данных, является уведомление об этом Роскомнадзор. Далее предстоит определить класс защищенности системы и оборудовать ее согласно требованиям ФСТЭК РФ.
Класс определяется исходя из двух параметров:
Установив категорию, необходимо принять основополагающие документы, определяющие порядок работы с ПД. Согласовывать их ни с кем не требуется, достаточно наличия на предприятии и в доступе в Интернете, если получение данных осуществляется по каналам телекоммуникационной связи.
Необходимо разработать и утвердить:
Документальное обеспечение организационных мер согласно требованиям федеральной службы на этом заканчивается. Конкретные методики защиты помещений, разграничения уровней допуска пользователей, определения архитектуры системы остаются на усмотрение юридического лица.
Ему необходимо решить задачи:
Для решения этих задач используются программные средства, и они должны быть сертифицированы ФСТЭК РФ по классу, соответствующему классу системы оператора. Потребуется раз в три года проводить переоценку работы системы безопасности, но оператор может делать это самостоятельно, если не желает привлечь специализированные организации, имеющие лицензию.
Требования к программным продуктам
Для защиты информации, содержащейся в государственных ИС, согласно нормам Приказа № 17, могут применяться только сертифицированные программные средства. На частные компании эти нормы распространяются только при обработке ими персональных данных определенных категорий.
Государственные ИС
Даже несмотря на то, что обрабатываемая в государственных органах информация не является государственной тайной, она интересует злоумышленников.
Для сохранности необходимо внедрять только сертифицированные по требуемому классу защиты программные продукты со следующими функциями:
Выбор сертифицированных защитных средств определяется классом системы. Но если на конкретный временной период бюджетные требования не позволяют установить программное обеспечение нужного класса и уровня сертификации, по согласованию с территориальным органом ведомства допустимы временные отступления и установка иных сертифицированных средств.
Программные и технические средства для операторов ПД
Перечень программных средств для операторов ПД аналогичен тому, который предлагается для государственных систем, но от них требуется меньший функционал.
Если использование какого-то средства невозможно, то ведомство предлагает компенсирующие меры, также устраняющие риски утраты данных. Финансовая целесообразность остается базовым принципом при выстраивании архитектуры системы. Дополнительно ведомство рекомендует операторам своевременно тестировать систему на проникновения и на качество защиты. В большинстве случаев операторы при формировании своих систем ограничиваются антивирусной защитой, межсетевыми экранами и регулярным мониторингом.
Требования к файрволам
Брандмауэры или файрволы для защиты информации применяют многие компании, вне зависимости от необходимости защиты ПД, поэтому интересно рассмотреть требования ФСТЭК РФ к ним. Ведомство открыло для общего доступа нормы, регламентирующие только профили файрволов 4-6 классов защиты, то есть не предназначенных для систем, в которых обрабатываются сведения, содержащие государственную тайну.
Согласно утвержденному ведомством профилю защиты межсетевых экранов, под межсетевым экраном понимается ПО, реализующее функции контроля и фильтрации проходящих через него информационных потоков в соответствии с изначально заданными правилами.
Файрвол должен обеспечивать защиту от угроз:
Функциями межсетевого экрана, согласно ФСТЭК РФ, являются:
Рассмотренные в документе типы межсетевых экранов применимы только к рабочим станциям, ведомство не интересует регулирование средств защиты информации в рамках мобильных устройств, объектов Интернета вещей, автомобильной электроники. Выбор программного обеспечения для этих целей остается на усмотрение пользователей.
Актуальные вопросы защиты информации
Общественность интересует, насколько эффективно ведомство выполняет свои функции. Отчитываясь о результатах реализации требований в сфере защиты информации, ФСТЭК применительно к разработчикам ПО, критически важным объектам инфраструктуры и частично к операторам ПД отмечает:
Деятельность ФСТЭК РФ показывает ее готовность успевать за требованиями времени и предлагать рынку новые инструменты защиты информации.
Проверки
Ведомство регулярно проводит плановые и внеплановые проверки деятельности организаций в сфере защиты информации. Плановые проводятся раз в три года. О том, что компания попала в список на проверку, можно узнать в конце предыдущего перед проверкой года в реестре на сайте Генпрокуратуры. Внеплановые проводятся в критических случаях, когда выявлена реальная угроза безопасности данных.
Результатами проверки становятся:
На практике нехватка документов, отсутствие контроля за машинными носителями информации или использование несертифицированного программного обеспечения для оператора ПД, если он не является, например, банком или крупным провайдером, приводит к небольшим штрафам.
Тем не менее не стоит пренебрегать рекомендациями и требованиями ФСТЭК по защите информации, утечка персональных данных и иных сведений из-за беспечности может привести к крупным убыткам.