NIST учел конфиденциальность в фреймворке управления киберрисками

NIST учел конфиденциальность в фреймворке управления киберрисками

NIST учел конфиденциальность в фреймворке управления киберрисками

С целью усиления защиты важнейших государственных активов от угроз кибербезопасности, а также защиты частной жизни, Национальный институт стандартов и технологий (National Institute of Standards and Technology (NIST) опубликовал проект обновления своей структуры управления рисками (Risk Management Framework (RMF) для того чтобы помочь организациям достичь своих целей.

Обновление RMF, формально озаглавленное  Draft NIST Special Publication (SP) 800-37 Revision 2 – документ, призванный помочь организациям оценить риски, связанные с их информацией. Предыдущие версии RMF в первую очередь касались защиты кибербезопасности от внешних угроз. Обновленная версия раскрывает общую проблему конфиденциальности частных лиц, что помогает организациям лучше выявлять и реагировать на эти риски, в том числе связанные с использованием персональной информации.

Обновление соединяет RMF с Cybersecurity Framework (CSF) NIST .

По заявлению одного из авторов публикации, Рональда Росса из NIST, до сих пор федеральные агентства использовали RMF и CSF отдельно. В свою очередь, обновление предоставляет перекрестные ссылки, чтобы организации, использующие RMF, могли видеть, где и как CSF выравнивается с текущими изменениями в RMF. И наоборот, если вы используете CSF, вы можете привлечь RMF и дать своей организации надежную методологию для управления рисками безопасности и конфиденциальности.

Кроме того, достижение соответствия RMF-CSF преследует несколько важных целей, в том числе:

  • Интеграция безопасности и конфиденциальности в развитие систем. Обеспечение безопасности и конфиденциальности в информационных системах на начальном этапе проектирования является серьезной проблемой. RMF также ссылается на рекомендации по проектированию систем безопасности NIST в соответствующих точках, включая SP 800-160 NIST, предназначенной для разработки надежных защищенных систем.
  • Подключение руководителей к операциям. RMF дает рекомендации о том, как руководители организации могут лучше подготовиться к выполнению RMF, а также как сообщить свои планы защиты и стратегии управления рисками для разработчиков и операторов систем.
  • Включение вопросов управления рисками цепи поставок. RMF обращает внимание на растущую обеспокоенность в отношении цепочки поставок в области контрафактных компонентов, фальсификацию, кражу, внедрение вредоносных программ и оборудования, плохую практику производства и разработки и другие потенциально опасные действия, которые могут повлиять на компоненты и системы организации.
  • Поддержка безопасности и конфиденциальности. Обновление RMF предоставит организациям дисциплинированный и структурированный процесс выбора элементов управления из недавно созданного объединенного каталога управления безопасностью и конфиденциальности в пакете SP 800-53 NIST , редакция 5.

Хотя соблюдение CSF является добровольным для частных компаний, его использование для федерального правительства является обязательным в соответствии с приказом 13800. Соблюдение RMF является обязательным для федеральных агентств в соответствии с Федеральным законом о модернизации информационной безопасности (FISMA).

Комментарии по проекту RMF принимаются до 22 июня 2018 года. Окончательная версия будет выпущена в октябре 2018 года.

 

Минюст раскритиковал идею тюрьмы до 15 лет за мошенничество с ИИ

Минюст усомнился в законопроекте Минцифры, который предлагает считать использование искусственного интеллекта отягчающим обстоятельством при совершении мошенничества и других ИТ-преступлений. Основная претензия — слишком размытое определение ИИ, которое может привести к путанице и противоречивой судебной практике.

Это следует из заключения на законопроект, направленного замминистра юстиции Вадимом Федоровым в Минцифры.

Документ есть в распоряжении «Ведомостей». В Минюсте подтвердили, что провели правовую и антикоррупционную экспертизу и направили свои замечания разработчикам.

В Минцифры, в свою очередь, заявили, что законопроект уже доработан с учётом комментариев других ведомств, однако уточнять, какие именно изменения были внесены, не стали.

Несмотря на позицию Минюста, 12 января 2026 года законопроект был одобрен правительственной комиссией по законопроектной деятельности. По данным источников «Ведомостей», документ может быть внесён в Госдуму уже в ближайшие дни.

О планах ввести уголовную ответственность за преступления с использованием ИИ Минцифры говорило ещё летом 2025 года. Во втором пакете антимошеннических инициатив, например, говорилось о штрафах до 2 млн рублей или лишении свободы на срок до 15 лет. Теперь эти идеи оформлены в конкретные поправки в Уголовный кодекс.

Законопроект предлагает внести изменения сразу в несколько статей УК РФ — о краже, мошенничестве, вымогательстве и преступлениях в сфере компьютерной информации. В них появляется отдельный квалифицирующий признак: совершение преступления с использованием искусственного интеллекта.

Авторы инициативы объясняют её ростом дистанционных преступлений. В пояснительной записке указано, что в 2024 году было зарегистрировано более 485 тысяч преступлений по статьям о краже и мошенничестве, а ущерб от «дистанционных хищений» превысил 197 млрд рублей.

Главная претензия Минюста — в самом определении искусственного интеллекта. В законопроекте ИИ описывается как «комплекс технологических решений», способных имитировать когнитивные функции человека и выдавать сопоставимые результаты.

По мнению ведомства, такое определение слишком широкое. Его применение потребует обязательных экспертиз практически по каждому делу, что:

  • увеличит нагрузку на экспертные учреждения;
  • повысит расходы;
  • затянет сроки расследований и судебных процессов.

Кроме того, Минюст указывает на возможную конкуренцию новых норм с уже существующими статьями УК, регулирующими преступления в сфере компьютерной информации.

Юристы и специалисты по ИБ в целом разделяют опасения Минюста. По словам экспертов, под предлагаемое определение потенциально могут попасть не только нейросети и дипфейки, но и любые инструменты анализа данных — вплоть до обычного ПО, браузеров и даже антивирусов, если они используются преступником.

При этом эксперты признают: мошенники действительно всё активнее применяют ИИ — для создания реалистичных дипфейков, массового фишинга и автоматизированных звонков. Такие атаки становятся масштабнее, незаметнее и психологически опаснее для жертв.

Минцифры продолжает активно продвигать антифрод-инициативы — это уже второй пакет мер за год. Однако история с «ИИ как отягчающим обстоятельством» показывает, что регулирование новых технологий упирается не только в желание ужесточить наказание, но и в отсутствие чётких юридических рамок.

Если закон примут в текущем виде, ключевым вопросом станет не только борьба с мошенниками, но и то, как именно следствие и суды будут понимать, что считать искусственным интеллектом.

RSS: Новости на портале Anti-Malware.ru