На стадии обсуждения

✍️ Отметка "учтено" в сводке и правка в тексте проекта: два проекта Минцифры и Минздрава с разным итогом

28 сентября по двум проектам с ОРВ, где я подавал предложения, вышли сводки и доработанные тексты. В обоих случаях разработчик отметил учтённым большинство моих пунктов. Я сравнил доработанные тексты с исходными редакциями.

Минцифры, соглашения ИТ-организаций об образовании (ID 171017, приказ № 270, о нём был пост 26). Три предложения отмечены учтёнными, и все три есть в тексте. Три термина для одного действия заменены одним: "обезличенный". Появился закрытый состав сведений о цифровом следе учащихся:

Состав сведений, передаваемых в целях подтверждения "цифрового следа" учащихся, ограничивается обезличенным идентификатором учащегося, наименованием образовательной платформы, периодом (месяцем) доступа и количеством совершенных попыток.

Там же цель использования и уничтожение после утверждения итогового отчёта. И третий новый абзац: месяц доступа без единой попытки решить задание не учитывается в стоимости. Два неучтённых пункта, переходное положение и перечень документов, остались как были.

Минздрав, уведомительный порядок дистанционной продажи лекарств (ID 170976, изменения в статью 15.1 закона 149-ФЗ). Из шести моих строк в сводке пять отмечены учтёнными, в том числе строка со всеми шестью предложениями к тексту. Доработанный текст совпадает с редакцией 10 сентября до знака, 9 439 знаков в обоих. Комментарии сводки это объясняют. Срок внесения уведомления в реестр и передачу сведений в Роскомнадзор, снятие ограничения доступа и переходный период для ранее выданных разрешений разработчик относит к будущему постановлению Правительства о порядке ведения реестра. Форму размещения реестра и синхронизацию сроков закрывает ссылками на действующие законы: о лицензировании и об обязательных требованиях. В законопроект не вошло ничего.

Оба ответа честные, просто означают разное. В первом случае правка уже в тексте. Во втором разработчик согласен, что вопрос есть, и переносит его в другой акт, проекта которого я пока не видел.

Практический вывод для тех, кто подаёт замечания: после сводки открывать доработанный текст в "Рабочем столе" портала под входом. В открытой карточке проекта его не видно. И если "учтено" означает перенос в другой акт, следить за этим актом и подавать туда то же самое. По 170976 я так и сделаю, когда выйдет проект постановления.

Проекты: 171017, 170976

#подал_ответили

Кто отвечает, если ИИ-агент ошибся, не выходя за выданные ему полномочия? Об этом 14 октября на форуме "Интеллектуальное предприятие 2026" спорили юристы, бизнес и безопасность.

Я был на сессии со стороны информационной безопасности. Модератор дал кейс: агент сам провёл закупку и уложился в лимит, а на следующий день поставщик оказался однодневкой. Кто отвечает и что надо было предусмотреть заранее?
Мой ответ: список допустимых контрагентов и лимиты утверждает бизнес, конкретный человек, например директор по закупкам. Специалист, который ведёт агента, переводит это в настройки и следит, чтобы агент из них не выходил. Лимит сам по себе не спасает: он ограничивает сумму, но не выбор поставщика.

В конце модератор попросил дать советы руководителям. Мои три:
1. Опишите всех агентов: что делает каждый и за что отвечает.
2. Поставьте жёсткие границы, где агент обязан остановиться и позвать человека. Прежде всего на действиях, которые нельзя отменить.
3. Ведите журнал действий агента и закрепите за каждым агентом ответственного.

Проверка простая: любой инцидент должен разбираться за час.
Для канала важно другое: это уже записано требованиями. В первой редакции предварительного национального стандарта по многоагентным системам, который обсуждается в ТК 164, оператор ведёт реестр агентов. Агент работает по мандату с перечнем операций, ресурсов и сроком, мандат можно отозвать немедленно. Логины и пароли человека агенту передавать нельзя. Платёж, удаление данных и изменение критических прав допускаются только при явном подтверждении в мандате для этого класса операций. Каждое взаимодействие пишется в журнал аудита с идентификатором мандата.

Оговорка: стандарт пока в первой редакции, это обсуждение, а не действующее требование. Подробнее про мандаты я писал в "Директоре информационной службы": Мандат вместо пароля: что стандарты потребуют от ИИ-агентов

Спасибо Владимиру Анисимову за модерацию и издательству "Открытые системы" за площадку.

#разбор #регуляторика

✍️ С 1 марта 2027 года медзаключения водителей пойдут в Госавтоинспекцию автоматически. Состав передаваемых сведений приказ не определяет

Минздрав и МВД выложили совместный приказ о порядке обмена между ЕГИСЗ и ФИС Госавтоинспекции через СМЭВ (ID 171576). Это подзаконка к закону 200-ФЗ, который с 1 марта 2027 года меняет закон о безопасности дорожного движения: медзаключение становится электронным документом с УКЭП, информация о нём уходит в МВД, а уведомление о внеочередном освидетельствовании направляется водителю и в МВД.

Проект короткий, шесть пунктов. Из ЕГИСЗ автоматически передаются информация о сформированных медзаключениях и уведомления. Обратно по запросу идут сведения о водительском удостоверении. Запрос содержит ФИО, СНИЛС при наличии и дату рождения. Пояснительной записки на портале нет. Я подал шесть предложений, три главных.

Состав без диагнозов. Для запроса состав сведений определён, для медзаключения нет. Сведения о здоровье относятся к специальным категориям персональных данных, и по частям 2 и 5 статьи 5 закона 152-ФЗ объём должен соответствовать цели. Госавтоинспекции по сути нужен один ответ: допущен водитель к управлению или нет. Предложил закрытый перечень: реквизиты заключения, результат по категориям и подкатегориям, медицинские ограничения. Диагноз в нём не нужен.

Дата уведомления водителя. По 200-ФЗ водитель обязан пройти внеочередное освидетельствование в течение трёх месяцев после получения уведомления, а неисполнение становится основанием прекращения права управления по статье 28. Приказ передаёт в МВД само уведомление, но не дату и способ его направления водителю. Без них нельзя установить, когда водитель уведомление получил, а значит, и когда истекает срок, после которого он теряет права.

Идентификация без СНИЛС. По ФИО и дате рождения человек однозначно не определяется, совпадения у полных тёзок бывают. Предложил в этом случае реквизиты документа, удостоверяющего личность, и отдельный ответ при неоднозначном результате. Иначе при ошибке сопоставления в ЕГИСЗ придут сведения об удостоверении другого человека.

Ещё три предложения касаются сроков передачи, состава ответа об удостоверении и наименования ЕГИСЗ.

Кого касается: медицинские организации, которые будут формировать заключения, и операторы обеих систем. Следующая точка контроля: ответ разработчика в личном кабинете или принятый приказ.

Проект: regulation.gov.ru/projects/171576

#подал_ответили

✍️ Центр мониторинга и управления сетью связи будет управлять сетью по требованию Генпрокурора. Сообщать ли адресатам об окончании управления, проект не говорит

Роскомнадзор выложил изменения в Положение о Центре мониторинга и управления сетью связи общего пользования (ID 171557). Это подзаконная часть статьи 65.2 закона "О связи": управление сетью по требованию Генерального прокурора. Обсуждение до 17 октября, моё замечание в нём первое.

Что меняется. У Центра появляется новая задача, управление сетью по статье 65.2. Вводится новый круг адресатов, "лица, участвующие в управлении ССОП": операторы связи, владельцы технологических сетей, точек обмена трафиком и линий связи через границу, обладатели номера автономной системы, а также лица по статье 10.2-1 закона 149-ФЗ, то есть провайдеры хостинга. Новый пункт 11¹ даёт Центру три функции: доводить информацию об управлении, передавать указания и следить за их исполнением, управлять ТСПУ.

Я предложил четыре правки.

Период, территория и прекращение. Требование Генпрокурора по пункту 3 статьи 65.2 содержит период и территорию управления. Пункт 11¹ доводит до адресатов только сам факт управления. Без сообщения о прекращении оператор и хостинг не знают, когда указания перестают действовать.

Адресаты указаний. Новый круг введён, но пункт 22 по-прежнему направляет указания "лицам, участвующим в централизованном управлении". Провайдер хостинга в этот круг не входит, и указания по пункту 22 к нему не обращены. Предложил назвать в пункте 22 оба круга.

ГосСОПКА. У субъекта КИИ ограничения на сети могут проявиться как нарушение доступности его систем, а о компьютерных инцидентах он обязан сообщать по 187-ФЗ. Пункт 5 Положения уже предусматривает взаимодействие Центра с ГосСОПКА. Предложил использовать этот канал и сообщать о периоде и территории управления, чтобы субъект мог отличить ограничение от атаки.

Наименование раздела IV. Раздел называется по статье 65.1, а проект вносит в него указания по 65.2.

Что это значит для субъектов КИИ в связи и для хостинга: следить за итоговой редакцией пункта 22. От неё зависит, через какой канал до вас дойдёт указание.

Проект: regulation.gov.ru/projects/171557

#подал_ответили

✍️ Третий антифрод-пакет обязывает хостинг прекратить мощность по запросу НКЦКИ. Кому и на сколько, в норме не сказано

Минцифры выложило третий пакет мер против правонарушений с использованием ИКТ (ID 171465): правка девяти законов, вступление с 1 марта 2028 года. Срок обсуждения с 30 сентября по 15 октября, к 12 октября на портале было 29 замечаний. Я подал 10 предложений, разберу два самых тяжёлых.

Хостинг. Новая часть 12 статьи 10.2-1 закона 149-ФЗ:

Провайдер хостинга обязан прекратить предоставление вычислительной мощности при поступлении соответствующего запроса от органа, осуществляющего оперативно-разыскную деятельность, от организации, указанной в пункте 2 части 2 статьи 5 Федерального закона от 26 июля 2017 г. № 187-ФЗ ..., в случае необходимости противодействия компьютерным атакам.

Организация из 187-ФЗ это НКЦКИ. Сама возможность быстро снять ресурс, с которого идёт атака, нужна. Дефектов в редакции четыре. Не назван объект: буквально норма позволяет прекратить обслуживание всех клиентов площадки, среди которых бывают субъекты КИИ. Не определено основание: понятие компьютерной атаки дано в 187-ФЗ применительно к объектам КИИ и сетям связи для их взаимодействия, а в статье 10.2-1 отсылки к нему нет. Нет формы запроса и канала: провайдер обязан исполнить запрос, который не может проверить, и норма сама становится способом вывести из работы чужой ресурс письмом от имени органа. Нет срока и порядка возобновления.

Я предложил приостановление по сетевым адресам и ресурсам, названным в запросе, на указанный в нём срок, с возобновлением по истечении срока или при отзыве запроса. Форму запроса, порядок его проверки провайдером и уведомления клиента пусть установит Правительство.

Все номера абонента. Новый пункт 4¹ части 10 статьи 1 закона 41-ФЗ: получив от ФСБ или МВД через государственную информационную систему противодействия правонарушениям, совершаемым с использованием информационных и коммуникационных технологий, сведения об использовании номера в противоправных целях, оператор "прекращает (приостанавливает)" услуги по этому номеру и по всем номерам абонента, кроме случаев, которые установит Правительство. Действующий пункт 3 той же части ограничивает приостановление номерами физлица и сроком, который задаёт Правительство. Новый пункт обе границы снимает, а слова "прекращает (приостанавливает)" не говорят, когда что применять. Если абонент организация, один номер работника отключает связь всей организации, включая каналы межмашинного взаимодействия, через которые работает телеметрия. Я предложил вернуть обе границы действующей нормы.

Пояснительная записка про хостинг говорит одной общей фразой, про запрос НКЦКИ не говорит ничего. Это десятый пункт моей подачи: обосновать каждую норму.

Процедура раскрытия информации, сводки предложений по ней обычно нет. Следующая точка контроля: ответ в личном кабинете или новая редакция законопроекта.

Проект: regulation.gov.ru/projects/171465

#подал_ответили