Федеральная служба безопасности поддержала вопросы изучения безопасности систем мониторинга граждан в период самоизоляции и напомнила о необходимости согласовывать с ней подобные разработки. Об этом пишет «Ъ» со ссылкой на письмо руководителя научно-технической службы ФСБ Эдуарда Черновольцева в Минцифры. Служба готова рассматривать подобные антикризисные информационные системы на предмет наличия угроз безопасности в недельный срок, указано в документе.
Черновольцев уточнил, что при разработке таких систем надо согласовывать со службой техзадания и модели угроз безопасности информации.
Все информационные системы для мониторинга граждан должны соответствовать требованиям ФСБ и Федеральной службы по техническому и экспортному контролю (ФСТЭК) по защите от несанкционированного доступа, изменения или уничтожения информации, так как ценность и чувствительность для граждан собираемых данных крайне высока, указывало ранее МО АЮР в обращении в правительство, мэрию Москвы, Минцифры и ФСБ.
Вследствие высокой социальной значимости подобные информационные системы могут подпадать под регулирование федерального закона «О безопасности критической информационной инфраструктуры (КИИ)» со всеми вытекающими требованиями по обеспечению безопасности, которые утверждены ФСБ, отмечало МО АЮР, выражая сомнения в соответствии их указанным требованиям. До сих пор неизвестно, например, готовила ли мэрия Москвы модели угроз и техническое задание на создание информационной системы и были ли эти данные направлены на рассмотрение в ФСБ, отмечает председатель комиссии АЮР по новым технологиям Станислав Пугинский. В департаменте информационных технологий (ДИТ) Москвы не смогли оперативно ответить на запрос.
К объектам КИИ относятся системы мониторинга, которые принадлежат госорганам, учреждениям или лицам, которые осуществляют деятельность в областях, указанных в законе «О безопасности КИИ», напоминает и ФСТЭК в своем ответе Минкомсвязи на запрос позиции по поводу письма МО АЮР. Речь идет, в частности, об информационных системах в сфере здравоохранения и транспорта, напоминает директор Deloitte Legal в СНГ Екатерина Портман. При этом внедрение и эксплуатация систем мониторинга граждан в период пандемии связаны именно с поддержанием общественного здоровья, что и может распространять на них требования к КИИ, считает она, соглашаясь, что быстрое внедрение систем в связи с пандемией могло привести к несоответствию в части соблюдения безопасности и защиты данных.
Роскомнадзор после заключения Ассоциации юристов направил запрос в департамент информационных технологий Москвы об условиях обработки и использования полученных через приложение «Социальный мониторинг» персональных данных. В ведомстве напомнили, что их после достижения целей обработки нужно уничтожить.
В Минцифры не видят необходимости принимать дополнительные меры для защиты информационных систем и обработки данных россиян.
Некоторые регионы, например, Татарстан, уже объявляют, что начали удалять собранные информационными системами мониторинга данные о гражданах, отмечает доцент факультета права НИУ ВШЭ Александр Савельев. В Москве своя ситуация — здесь официально действует экспериментальный режим для развития искусственного интеллекта, напоминает он, но «остается надеяться», что, несмотря на это, Роскомнадзор проследит за соблюдением закона.