Cтандарт ЦБ РФ ранее был основополагающим для банков при обеспечении безопасности не только персональных данных, но и всех информационных систем. При этом банк мог либо принять его, и тогда строить свои системы в соответствии с ним, либо отказаться, и «иметь дело» напрямую с требованиями ФСТЭК и ФСБ.
В новой, принятой депутатами, редакции статья 19 «Меры по обеспечению безопасности персональных данных при их обработке», претерпевшая наибольшие изменения, была существенно расширена. Но «демократичнее» не стала. Эксперты в области информационной безопасности оценили ее весьма критично. Инициативной группой было в срочном порядке, уже в 11 утра 6 июля, написано открытое письмо к президенту Дмитрию Медведеву с просьбой не принимать законопроект в данной редакции.
Одной из причин стало отсутствие поддержки в законопроекте отраслевых стандартов — требования могут формировать только ФСТЭК и ФСБ. Банк России в статье упоминается, но трактуют его роль эксперты неоднозначно. Одни говорят, что в случае вступления законопроекта в силу она никак не изменится, другие считают, что он сможет лишь дополнять требования ФСТЭК и ФСБ, но никак не влиять на них.
Пункт 5 статьи 19 в новой редакции гласит:
«Федеральные органы исполнительной власти, осуществляющие функции по выработке государственной политики и нормативно-правовому регулированию в установленной сфере деятельности, органы государственной власти субъектов Российской Федерации, Банк России, органы государственных внебюджетных фондов, иные государственные органы в пределах своих полномочий принимают нормативные правовые акты, в которых определяют угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных, эксплуатируемых при осуществлении соответствующих видов деятельности, с учетом содержания персональных данных, характера и способов их обработки».
То есть угрозы Центробанк все же может именно определять, а не дополнять. А вот требования к защите персональных данных, организационные и технические меры по обеспечению безопасности персональных данных при их обработке устанавливаются уже «федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, и федеральным органом исполнительной власти, уполномоченным в области противодействия техническим разведкам и технической защиты информации». С ними же, согласно п. 7, Центробанку нужно будет согласовывать и нормативные акты, определяющие угрозы безопасности персональных данных.
Получается, что ФСТЭК и ФСБ играют все-таки определяющую роль и для банковской сферы. Однако однозначно трактовать закон пока сложно, и что делать банкам со стандартом ЦБ РФ, тоже не понятно. Посмотрим, прислушается ли к мнению профессионального сообщества президент РФ.