IaaS 152-FZ: значи имате нужда от сигурност

Колкото и да подреждате митовете и легендите, които обграждат съответствието с 152-FZ, нещо винаги остава зад кулисите. Днес искаме да обсъдим някои не винаги очевидни нюанси, с които могат да се сблъскат както големите компании, така и много малките предприятия:

• тънкости на класификацията на PD в категории - когато малък онлайн магазин събира данни, свързани със специална категория, без дори да знае за това;

• където можете да съхранявате резервни копия на събраните PD и да извършвате операции върху тях;

• каква е разликата между сертификат и заключение за съответствие, какви документи трябва да поискате от доставчика и други подобни.

И накрая, ще споделим с вас нашия собствен опит от преминаването на сертифицирането. Отивам!

Експертът в днешната статия ще бъде Алексей Афанасиев, IS специалист за облачни доставчици IT-GRAD и #CloudMTS (част от групата MTS).

Тънкостите на класификацията

Често се сблъскваме с желанието на клиента бързо, без одит на IS, да определи необходимото ниво на сигурност за ISPD. Някои материали в интернет по тази тема създават погрешното впечатление, че това е проста задача и е доста трудно да се направи грешка.

За да се определи KM, е необходимо да се разбере какви данни ще се събират и обработват от IS на клиента. Понякога може да е трудно да се определят недвусмислено изискванията за защита и категорията на личните данни, с които работи даден бизнес. Едни и същи видове лични данни могат да бъдат оценени и класифицирани по напълно различни начини. Следователно в някои случаи мнението на бизнеса може да се различава от мнението на одитора или дори инспектора. Нека да разгледаме няколко примера.

Паркинг. Изглежда като доста традиционен вид бизнес. Много автомобилни паркове работят от десетилетия, а техните собственици наемат индивидуални предприемачи и физически лица. По правило данните за служителите попадат в изискванията на UZ-4. За работа с шофьорите обаче е необходимо не само събиране на лични данни, но и извършване на медицински контрол на територията на автопарка преди постъпване на смяна, като събраната в процеса информация веднага попада в категорията медицински данни - а това са лични данни от специална категория. Освен това автопаркът може да поиска сертификати, които след това ще се съхраняват в досието на водача. Сканиране на такова удостоверение в електронен вид - здравни данни, лични данни от специална категория. Това означава, че UZ-4 вече не е достатъчен; изисква се поне UZ-3.

Онлайн магазин. Изглежда, че събраните имена, имейли и телефонни номера се вписват в публичната категория. Въпреки това, ако вашите клиенти посочат диетични предпочитания, като халал или кошер, такава информация може да се счита за данни за религиозна принадлежност или вярвания. Поради това, при проверка или извършване на други контролни дейности, инспекторът може да класифицира данните, които събирате, като специална категория лични данни. Сега, ако онлайн магазин събира информация за това дали купувачът му предпочита месо или риба, данните могат да бъдат класифицирани като други лични данни. Между другото, какво да кажем за вегетарианците? В крайна сметка това може да се отдаде и на философските вярвания, които също принадлежат към специална категория. Но от друга страна, това може просто да е отношението на човек, който е премахнал месото от диетата си. Уви, няма знак, който недвусмислено да определя категорията на PD в такива „фини“ ситуации.

Рекламна агенция С помощта на западна облачна услуга обработва публично достъпни данни на своите клиенти – три имена, имейл адреси и телефонни номера. Тези лични данни, разбира се, се отнасят до лични данни. Възниква въпросът: законно ли е извършването на такава обработка? Възможно ли е дори да преместите такива данни без деперсонализация извън Руската федерация, например, за да съхранявате резервни копия в някои чужди облаци? Разбира се можете да. Агенцията има право да съхранява тези данни извън Русия, но първоначалното събиране, съгласно нашето законодателство, трябва да се извърши на територията на Руската федерация. Ако направите резервно копие на такава информация, изчислите някаква статистика въз основа на нея, проведете проучване или извършите някакви други операции с нея - всичко това може да се направи на западни ресурси. Ключовият момент от правна гледна точка е къде се събират личните данни. Ето защо е важно да не се бърка първоначалното събиране и обработката.

Както следва от тези кратки примери, работата с лични данни не винаги е ясна и проста. Трябва не само да знаете, че работите с тях, но и да можете правилно да ги класифицирате, да разберете как работи IP, за да определите правилно необходимото ниво на сигурност. В някои случаи може да възникне въпросът колко лични данни всъщност са необходими на организацията, за да работи. Възможно ли е да откажете най-сериозните или просто ненужни данни? Освен това регулаторът препоръчва деперсонализиране на личните данни, когато е възможно. 

Както в примерите по-горе, понякога може да се сблъскате с факта, че контролните органи интерпретират събраните лични данни малко по-различно, отколкото вие самите сте ги оценили.

Разбира се, можете да наемете одитор или системен интегратор като асистент, но дали „асистентът“ ще отговаря за избраните решения в случай на одит? Струва си да се отбележи, че отговорността винаги е на собственика на ISPD – операторът на лични данни. Ето защо, когато една компания извършва такава работа, е важно да се обърнете към сериозни играчи на пазара за такива услуги, например компании, извършващи сертификационна работа. Сертифициращите компании имат богат опит в извършването на такава работа.

Опции за изграждане на ISPD

Изграждането на ISPD е не само технически, но и до голяма степен правен въпрос. ИТ директорът или директорът по сигурността трябва винаги да се консултира с правен съветник. Тъй като компанията не винаги разполага със специалист с необходимия профил, струва си да се обърнете към одитори-консултанти. Много хлъзгави точки може изобщо да не са очевидни.

Консултацията ще Ви позволи да определите с какви лични данни работите и какво ниво на защита изискват. Съответно ще получите представа за IP, който трябва да бъде създаден или допълнен със сигурност и оперативни мерки за сигурност.

Често изборът за една компания е между две възможности:

1. Изградете съответния IS върху вашите собствени хардуерни и софтуерни решения, евентуално във вашата собствена сървърна стая.

2. Свържете се с облачен доставчик и изберете еластично решение, вече сертифицирана „виртуална сървърна стая“.

Повечето информационни системи, обработващи лични данни, използват традиционен подход, който от бизнес гледна точка трудно може да се нарече лесен и успешен. При избора на тази опция е необходимо да се разбере, че техническият проект ще включва описание на оборудването, включително софтуерни и хардуерни решения и платформи. Това означава, че ще трябва да се сблъскате със следните трудности и ограничения:

• трудност при мащабиране;

• дълъг период на изпълнение на проекта: необходимо е да се избере, закупи, инсталира, конфигурира и опише системата;

• много „хартиена“ работа, като пример - разработването на пълен пакет от документация за целия ISPD.

В допълнение, бизнесът, като правило, разбира само „най-високото“ ниво на своя IP - бизнес приложенията, които използва. С други думи, ИТ персоналът е квалифициран в своята специфична област. Няма разбиране как работят всички „по-ниски нива“: софтуерна и хардуерна защита, системи за съхранение, архивиране и, разбира се, как да конфигурирате средства за защита в съответствие с всички изисквания, да изградите „хардуерната“ част от конфигурацията. Важно е да разберете: това е огромен слой от знания, който се намира извън бизнеса на клиента. Тук опитът на облачен доставчик, предоставящ сертифицирана „виртуална сървърна стая“, може да бъде полезен.

От своя страна облачните доставчици имат редица предимства, които без преувеличение могат да покрият 99% от нуждите на бизнеса в областта на защитата на личните данни:

• капиталовите разходи се превръщат в оперативни разходи;

• доставчикът от своя страна гарантира осигуряването на необходимото ниво на сигурност и достъпност на базата на доказано стандартно решение;

• не е необходимо да се поддържа персонал от специалисти, които да осигурят работата на ISPD на хардуерно ниво;

• доставчиците предлагат много по-гъвкави и еластични решения;

• специалистите на доставчика имат всички необходими сертификати;

• съответствието не е по-ниско, отколкото при изграждането на собствена архитектура, като се вземат предвид изискванията и препоръките на регулаторите.

Старият мит, че личните данни не могат да се съхраняват в облака, все още е изключително популярен. Вярно е само отчасти: PD наистина не може да се публикува в първия наличен облак. Изисква се спазване на определени технически мерки и използването на определени сертифицирани решения. Ако доставчикът спазва всички законови изисквания, рисковете, свързани с изтичане на лични данни, са сведени до минимум. Много доставчици имат отделна инфраструктура за обработка на лични данни в съответствие с 152-FZ. Изборът на доставчик обаче трябва да се подхожда и с познаване на определени критерии, ние със сигурност ще ги разгледаме по-долу. 

Клиентите често идват при нас с някои опасения относно разполагането на лични данни в облака на доставчика. Е, нека ги обсъдим веднага.

• Данните могат да бъдат откраднати по време на предаване или мигриране

Няма нужда да се страхувате от това - доставчикът предлага на клиента създаването на защитен канал за предаване на данни, изграден върху сертифицирани решения, подобрени мерки за удостоверяване на изпълнители и служители. Остава само да изберете подходящите методи за защита и да ги приложите като част от работата си с клиента.

• Шоу маските ще дойдат и ще отнемат/запечатат/прекъснат захранването на сървъра

Съвсем разбираемо е за клиентите, които се опасяват, че бизнес процесите им ще бъдат нарушени поради недостатъчен контрол върху инфраструктурата. По правило онези клиенти, чийто хардуер преди това е бил разположен в малки сървърни стаи, а не в специализирани центрове за данни, мислят за това. Реално центровете за данни са оборудвани със съвременни средства за физическа и информационна защита. В такъв център за данни е почти невъзможно да се извършват каквито и да било операции без достатъчно основания и документи, а подобни дейности изискват спазването на редица процедури. Освен това „издърпването“ на вашия сървър от центъра за данни може да засегне други клиенти на доставчика и това определено не е необходимо за никого. Освен това никой няма да може да посочи с пръст конкретно „вашия“ виртуален сървър, така че ако някой иска да го открадне или да организира шоу с маски, първо ще трябва да се справи с много бюрократични забавяния. През това време най-вероятно ще имате време да мигрирате към друг сайт няколко пъти.

• Хакерите ще хакнат облака и ще откраднат данни

Интернет и печатната преса са пълни със заглавия за това как още един облак е станал жертва на киберпрестъпници и милиони записи на лични данни са изтекли онлайн. В по-голямата част от случаите уязвимостите изобщо не бяха открити от страна на доставчика, а в информационните системи на жертвите: слаби или дори пароли по подразбиране, „дупки“ в двигателите на уебсайтовете и базите данни и банална бизнес небрежност при избора на мерки за сигурност и организиране на процедури за достъп до данни. Всички сертифицирани решения се проверяват за уязвимости. Ние също така редовно провеждаме „контролни“ пентестове и одити на сигурността, както независимо, така и чрез външни организации. За доставчика това е въпрос на репутация и бизнес като цяло.

• Доставчикът/служителите на доставчика ще откраднат лични данни за лична изгода

Това е доста чувствителен момент. Редица компании от света на информационната сигурност „плашат“ своите клиенти и настояват, че „вътрешните служители са по-опасни от външните хакери“. Това може да е вярно в някои случаи, но бизнес не може да се изгради без доверие. От време на време се появяват новини, че служителите на организацията изтичат клиентски данни на нападателите, а вътрешната сигурност понякога е организирана много по-зле от външната сигурност. Тук е важно да се разбере, че всеки голям доставчик е изключително незаинтересован от отрицателни случаи. Действията на служителите на доставчика са добре регламентирани, ролите и зоните на отговорност са разделени. Всички бизнес процеси са структурирани по такъв начин, че случаите на изтичане на данни са изключително малко вероятни и винаги са забележими за вътрешните услуги, така че клиентите не трябва да се страхуват от проблеми от тази страна.

• Плащате малко, защото плащате за услуги с вашите бизнес данни.

Друг мит: клиент, който наема сигурна инфраструктура на удобна цена, всъщност плаща за нея с данните си - това често се смята от експерти, които нямат нищо против да прочетат няколко теории на конспирацията, преди да си легнат. Първо, възможността за извършване на каквито и да било операции с вашите данни, различни от посочените в поръчката, по същество е нулева. Второ, адекватният доставчик цени връзката с вас и неговата репутация - освен вас, той има много повече клиенти. По-вероятен е обратният сценарий, при който доставчикът ревностно ще защитава данните на своите клиенти, на които се крепи неговият бизнес.

Избор на облачен доставчик за ISPD

Днес пазарът предлага много решения за компании, които са PD оператори. По-долу е даден общ списък с препоръки за избор на правилния.

• Доставчикът трябва да е готов да сключи официално споразумение, описващо отговорностите на страните, SLA и областите на отговорност в ключа за обработка на лични данни. Всъщност между вас и доставчика, освен договора за услуга, трябва да бъде подписана и поръчка за обработка на PD. Във всеки случай си струва да ги проучите внимателно. Важно е да разберете разделението на отговорностите между вас и доставчика.

• Моля, обърнете внимание, че сегментът трябва да отговаря на изискванията, което означава, че трябва да има сертификат, указващ ниво на сигурност не по-ниско от изискваното от вашия IP. Случва се доставчиците да публикуват само първата страница на сертификата, от която не става много ясно, или да се позовават на одити или процедури за съответствие, без да публикуват самия сертификат („имаше ли момче?“). Струва си да го поискате - това е публичен документ, който показва кой е извършил сертифицирането, срок на валидност, местоположение в облака и т.н.

• Доставчикът трябва да предостави информация за това къде се намират неговите сайтове (защитени обекти), за да можете да контролирате разположението на вашите данни. Нека ви напомним, че първоначалното събиране на лични данни трябва да се извърши на територията на Руската федерация; съответно е препоръчително да видите адресите на центъра за данни в договора/сертификата.

• Доставчикът трябва да използва сертифицирани системи за информационна сигурност и защита на информацията. Разбира се, повечето доставчици не рекламират техническите мерки за сигурност и архитектурата на решенията, които използват. Но вие като клиент няма как да не знаете за това. Например, за да се свържете дистанционно със система за управление (портал за управление), е необходимо да използвате мерки за сигурност. Доставчикът няма да може да заобиколи това изискване и ще ви предостави (или ще изисква от вас да използвате) сертифицирани решения. Вземете ресурсите за тест и веднага ще разберете как и какво работи. 

• Силно желателно е облачният доставчик да предоставя допълнителни услуги в областта на информационната сигурност. Това могат да бъдат различни услуги: защита срещу DDoS атаки и WAF, антивирусна услуга или пясъчник и др. Всичко това ще ви позволи да получите защита като услуга, да не се разсейвате от изграждането на системи за защита, а да работите върху бизнес приложения.

• Доставчикът трябва да е лицензиант на FSTEC и FSB. По правило такава информация се публикува директно на уебсайта. Задължително изискайте тези документи и проверете дали адресите за предоставяне на услуги, името на фирмата доставчик и др. 

Нека да обобщим. Наемането на инфраструктура ще ви позволи да се откажете от CAPEX и да запазите само вашите бизнес приложения и самите данни във вашата зона на отговорност и да прехвърлите тежкото бреме на сертифицирането на хардуера и софтуера и хардуера на доставчика.

Как преминахме сертифицирането

Съвсем наскоро успешно преминахме ресертификацията на инфраструктурата на „Secure Cloud FZ-152“ за съответствие с изискванията за работа с лични данни. Работата е извършена от Националния удостоверителен център.

В момента „FZ-152 Secure Cloud“ е сертифициран за хостване на информационни системи, участващи в обработката, съхранението или предаването на лични данни (ISPDn) в съответствие с изискванията на ниво UZ-3.

Процедурата по сертифициране включва проверка на съответствието на инфраструктурата на доставчика на облак с нивото на защита. Самият доставчик предоставя услугата IaaS и не е оператор на лични данни. Процесът включва оценка както на организационни (документация, заповеди и др.), така и на технически мерки (настройване на защитно оборудване и др.).

Не може да се нарече тривиално. Въпреки факта, че GOST за програми и методи за провеждане на сертификационни дейности се появи още през 2013 г., все още не съществуват строги програми за облачни обекти. Сертификационните центрове разработват тези програми въз основа на собствения си опит. С навлизането на новите технологии програмите стават по-сложни и модернизирани, съответно сертификаторът трябва да има опит в работата с облачни решения и да разбира спецификата.

В нашия случай защитеният обект се състои от две локации.

• Облачните ресурси (сървъри, системи за съхранение, мрежова инфраструктура, инструменти за сигурност и др.) се намират директно в центъра за данни. Разбира се, такъв виртуален център за данни е свързан с обществени мрежи и съответно трябва да бъдат изпълнени определени изисквания за защитна стена, например използването на сертифицирани защитни стени.

• Втората част от обекта са инструменти за управление на облак. Това са работни станции (работни станции на администратор), от които се управлява защитения сегмент.

Локациите комуникират чрез VPN канал, изграден на CIPF.

Тъй като технологиите за виртуализация създават предпоставки за възникване на заплахи, ние използваме и допълнителни сертифицирани средства за защита.

Блокова схема „през очите на оценителя“

Ако клиентът изисква сертифициране на своя ISPD, след като наеме IaaS, той ще трябва само да оцени информационната система над нивото на виртуалния център за данни. Тази процедура включва проверка на използваната в нея инфраструктура и софтуер. Тъй като можете да се обърнете към сертификата на доставчика за всички инфраструктурни проблеми, всичко, което трябва да направите, е да работите със софтуера.

Разделяне на ниво абстракция

В заключение, ето малък контролен списък за компании, които вече работят с лични данни или тепърва планират. И така, как да се справите, без да се изгорите.

1. За одит и разработване на модели на заплахи и нарушители поканете опитен консултант от сертифициращите лаборатории, който ще ви помогне да разработите необходимите документи и да ви доведе до етапа на технически решения.

2. Когато избирате облачен доставчик, обърнете внимание на наличието на сертификат. Би било добре, ако компанията публично го публикува директно на уебсайта. Доставчикът трябва да е лицензиант на FSTEC и FSB, а услугата, която предлага, трябва да е сертифицирана.

3. Уверете се, че имате официално споразумение и подписана инструкция за обработка на лични данни. Въз основа на това ще можете да извършите както проверка за съответствие, така и сертифициране по ISPD.Ако тази работа на етапа на техническия проект и създаването на проектна и техническа документация изглежда обременителна за вас, трябва да се свържете с консултантски компании на трети страни от сертифициращите лаборатории.

Ако въпросите за обработката на лични данни са от значение за вас, на 18 септември, този петък, ще се радваме да ви видим на уебинара „Характеристики на изграждане на сертифицирани облаци“.

Източник: www.habr.com