Da Digest de Regulamentação de Segurança da Informação: Abril-Junho de 2026
Este artigo detalha as mudanças e novas iniciativas na regulamentação de segurança da informação na Rússia entre abril e junho de 2026. Abrange novas diretrizes da FSTEC, alterações em leis administrativas e criminais, e projetos futuros para controle de segurança.
MundiX News·08 de julho de 2026·10 min de leitura·👁 1 views
A FSTEC da Rússia lançou um documento metodológico crucial em 12 de abril, intitulado "Medidas e Ações para a Proteção de Informações Contidas em Sistemas de Informação". Este documento é particularmente relevante para organizações do setor público e entidades de infraestrutura crítica de informação (КИИ), delineando um conjunto abrangente de tarefas de segurança da informação (SI) aplicáveis em todas as fases do ciclo de vida dos sistemas de informação (SI). Ele introduz mais de 30 novas medidas técnicas e procedimentos de proteção, além de definir requisitos obrigatórios para o trabalho com fornecedores terceirizados. A publicação deste documento reflete um esforço contínuo para fortalecer a postura de segurança cibernética em setores vitais.
Paralelamente, entraram em vigor as leis federais nº 77-FZ e nº 76-FZ, que introduzem penalidades mais rigorosas para violações das regras de operação, armazenamento, processamento e acesso a objetos de КИИ e às informações neles contidas. Entidades de КИИ agora enfrentam multas de 100.000 a 500.000 rublos, enquanto funcionários responsáveis podem ser multados de 10.000 a 50.000 rublos. É importante notar que essas penalidades podem ser aplicadas mesmo na ausência de um incidente de segurança concreto, sublinhando a importância da conformidade proativa. No entanto, a legislação também oferece isenções para especialistas que trabalham em objetos de КИИ, desde que cumpram certas condições, como a preservação de evidências de incidentes e a cooperação com investigações, e que a atividade maliciosa não esteja associada a outros crimes.
Olhando para o futuro, a FSTEC da Rússia está preparando projetos de decretos que visam aprimorar o controle de segurança. Um projeto de decreto presidencial e um decreto do governo russo detalham a necessidade de atingir e manter níveis de segurança definidos, com avaliações regulares. Para entidades de КИИ e organizações do setor público, isso significa que 80% dos objetos de TI devem ser protegidos contra ameaças de SI. As organizações serão obrigadas a realizar avaliações semestrais de seus níveis de segurança e reportar os resultados à FSTEC. Projetos de ordens da FSTEC também exigirão que as organizações realizem cálculos semestrais de indicadores de segurança (КЗИ) e avaliações bienais de maturidade de SI (ПЗИ). Se os níveis de segurança ou maturidade estiverem abaixo do estabelecido, os líderes das entidades de КИИ deverão implementar medidas adicionais de proteção. Além disso, entidades de КИИ com objetos significativos deverão garantir suporte técnico para seus meios de proteção de informação, uma mudança em relação ao modelo anterior que permitia apenas serviço de garantia. Essas emendas visam garantir que as soluções de SI não sejam apenas adquiridas, mas ativamente utilizadas e mantidas, elevando o nível de proteção e a influência dos departamentos de SI dentro das organizações.
Outra iniciativa significativa é a revisão do decreto nº 117 da FSTEC, que abrange a proteção de informações em sistemas estatais. As emendas expandirão o escopo dos objetos protegidos para incluir software, bancos de dados e infraestrutura de telecomunicações usados na criação e operação de sistemas de informação governamentais. A infraestrutura de TI de sistemas de informação governamentais (ГИС) deverá ser certificada com um nível de segurança não inferior ao do próprio ГИС. O requisito de acesso obrigatório à internet para dispositivos finais será removido, e a autenticação multifatorial será permitida para dispositivos móveis. Operadores de ГИС e outros sistemas governamentais deverão reportar os resultados da avaliação de segurança (КЗИ) à FSTEC, que usará esses dados para determinar a suficiência das medidas de SI implementadas. A avaliação de maturidade de SI (ПЗИ) será realizada por contratados de TI antes da interação técnica com sistemas governamentais. Essas mudanças exigirão que as organizações governamentais e seus contratados de TI revisem e planejem proativamente suas estratégias de proteção de informações para garantir a conformidade e a segurança cibernética eficaz.
A Rússia também está integrando o sistema ГосСОПКА para detecção, prevenção e resposta a ataques cibernéticos. Um projeto de ordem do FSB da Rússia detalha o procedimento de interação entre operadores de sistemas de informação governamentais e o ГосСОПКА, incluindo a notificação de incidentes de segurança. Operadores de ГИС e outros sistemas governamentais serão obrigados a relatar ciberataques e incidentes de SI ao Centro Nacional de Coordenação de Cibersegurança (НКЦКИ) dentro de 24 horas após a detecção. Esse prazo também se aplica às respostas às notificações do НКЦКИ. Embora isso alinhe as obrigações das organizações governamentais com as das entidades de КИИ, a falta de recursos e pessoal qualificado em muitas organizações governamentais pode apresentar desafios. A automação do monitoramento de eventos de segurança e a detecção de incidentes, através de soluções como SIEM (Security Information and Event Management), tornam-se essenciais. Soluções como o "СерчИнформ Мониторинг безопасности" são apresentadas como alternativas eficazes e acessíveis para organizações menores ou com infraestrutura limitada.
Finalmente, a FSTEC publicou a ordem nº 60, que altera o procedimento de certificação de objetos de informação. As mudanças incluem a especificação de requisitos para controle periódico de segurança, a ser realizado por comissões internas a cada três anos, e a inclusão de testes de penetração e análise de vulnerabilidades como parte dos procedimentos de teste e controle. Isso aumenta o foco na detecção proativa de ameaças externas. No entanto, o artigo também destaca a importância contínua de mitigar ameaças internas, que não são abordadas por testes de penetração ou correção de vulnerabilidades. A avaliação de eventos de segurança, incluindo aqueles relacionados a ameaças internas, será crucial durante a certificação e o controle periódico. Em resumo, o segundo trimestre de 2026 viu um foco regulatório em avaliação e controle de segurança, impulsionando as organizações a adotar uma abordagem mais abrangente e integrada à proteção de informações.
🛡️⚡
Pare de pesquisar. Comece a hackear.
O MundiX é seu copiloto de pentest com IA: comandos exatos, análise de outputs e próximo passo na kill chain — em segundos.
Sem cartão para começar · Planos a partir de R$49/mês
A FSTEC da Rússia lançou um documento metodológico crucial em 12 de abril, intitulado "Medidas e Ações para a Proteção de Informações Contidas em Sistemas de Informação". Este documento é particularmente relevante para organizações do setor público e entidades de infraestrutura crítica de informação (КИИ), delineando um conjunto abrangente de tarefas de segurança da informação (SI) aplicáveis em todas as fases do ciclo de vida dos sistemas de informação (SI). Ele introduz mais de 30 novas medidas técnicas e procedimentos de proteção, além de definir requisitos obrigatórios para o trabalho com fornecedores terceirizados. A publicação deste documento reflete um esforço contínuo para fortalecer a postura de segurança cibernética em setores vitais.
Paralelamente, entraram em vigor as leis federais nº 77-FZ e nº 76-FZ, que introduzem penalidades mais rigorosas para violações das regras de operação, armazenamento, processamento e acesso a objetos de КИИ e às informações neles contidas. Entidades de КИИ agora enfrentam multas de 100.000 a 500.000 rublos, enquanto funcionários responsáveis podem ser multados de 10.000 a 50.000 rublos. É importante notar que essas penalidades podem ser aplicadas mesmo na ausência de um incidente de segurança concreto, sublinhando a importância da conformidade proativa. No entanto, a legislação também oferece isenções para especialistas que trabalham em objetos de КИИ, desde que cumpram certas condições, como a preservação de evidências de incidentes e a cooperação com investigações, e que a atividade maliciosa não esteja associada a outros crimes.
Olhando para o futuro, a FSTEC da Rússia está preparando projetos de decretos que visam aprimorar o controle de segurança. Um projeto de decreto presidencial e um decreto do governo russo detalham a necessidade de atingir e manter níveis de segurança definidos, com avaliações regulares. Para entidades de КИИ e organizações do setor público, isso significa que 80% dos objetos de TI devem ser protegidos contra ameaças de SI. As organizações serão obrigadas a realizar avaliações semestrais de seus níveis de segurança e reportar os resultados à FSTEC. Projetos de ordens da FSTEC também exigirão que as organizações realizem cálculos semestrais de indicadores de segurança (КЗИ) e avaliações bienais de maturidade de SI (ПЗИ). Se os níveis de segurança ou maturidade estiverem abaixo do estabelecido, os líderes das entidades de КИИ deverão implementar medidas adicionais de proteção. Além disso, entidades de КИИ com objetos significativos deverão garantir suporte técnico para seus meios de proteção de informação, uma mudança em relação ao modelo anterior que permitia apenas serviço de garantia. Essas emendas visam garantir que as soluções de SI não sejam apenas adquiridas, mas ativamente utilizadas e mantidas, elevando o nível de proteção e a influência dos departamentos de SI dentro das organizações.
Outra iniciativa significativa é a revisão do decreto nº 117 da FSTEC, que abrange a proteção de informações em sistemas estatais. As emendas expandirão o escopo dos objetos protegidos para incluir software, bancos de dados e infraestrutura de telecomunicações usados na criação e operação de sistemas de informação governamentais. A infraestrutura de TI de sistemas de informação governamentais (ГИС) deverá ser certificada com um nível de segurança não inferior ao do próprio ГИС. O requisito de acesso obrigatório à internet para dispositivos finais será removido, e a autenticação multifatorial será permitida para dispositivos móveis. Operadores de ГИС e outros sistemas governamentais deverão reportar os resultados da avaliação de segurança (КЗИ) à FSTEC, que usará esses dados para determinar a suficiência das medidas de SI implementadas. A avaliação de maturidade de SI (ПЗИ) será realizada por contratados de TI antes da interação técnica com sistemas governamentais. Essas mudanças exigirão que as organizações governamentais e seus contratados de TI revisem e planejem proativamente suas estratégias de proteção de informações para garantir a conformidade e a segurança cibernética eficaz.
A Rússia também está integrando o sistema ГосСОПКА para detecção, prevenção e resposta a ataques cibernéticos. Um projeto de ordem do FSB da Rússia detalha o procedimento de interação entre operadores de sistemas de informação governamentais e o ГосСОПКА, incluindo a notificação de incidentes de segurança. Operadores de ГИС e outros sistemas governamentais serão obrigados a relatar ciberataques e incidentes de SI ao Centro Nacional de Coordenação de Cibersegurança (НКЦКИ) dentro de 24 horas após a detecção. Esse prazo também se aplica às respostas às notificações do НКЦКИ. Embora isso alinhe as obrigações das organizações governamentais com as das entidades de КИИ, a falta de recursos e pessoal qualificado em muitas organizações governamentais pode apresentar desafios. A automação do monitoramento de eventos de segurança e a detecção de incidentes, através de soluções como SIEM (Security Information and Event Management), tornam-se essenciais. Soluções como o "СерчИнформ Мониторинг безопасности" são apresentadas como alternativas eficazes e acessíveis para organizações menores ou com infraestrutura limitada.
Finalmente, a FSTEC publicou a ordem nº 60, que altera o procedimento de certificação de objetos de informação. As mudanças incluem a especificação de requisitos para controle periódico de segurança, a ser realizado por comissões internas a cada três anos, e a inclusão de testes de penetração e análise de vulnerabilidades como parte dos procedimentos de teste e controle. Isso aumenta o foco na detecção proativa de ameaças externas. No entanto, o artigo também destaca a importância contínua de mitigar ameaças internas, que não são abordadas por testes de penetração ou correção de vulnerabilidades. A avaliação de eventos de segurança, incluindo aqueles relacionados a ameaças internas, será crucial durante a certificação e o controle periódico. Em resumo, o segundo trimestre de 2026 viu um foco regulatório em avaliação e controle de segurança, impulsionando as organizações a adotar uma abordagem mais abrangente e integrada à proteção de informações.
📤 Compartilhar & Baixar
🧰 Ferramentas recomendadas
Divulgação: alguns links são patrocinados. Podemos receber comissão se você comprar — sem custo extra para você. Só indicamos o que faz sentido para a comunidade.
