Сигурен облак на платформата DF Cloud 

Федерален закон-152 „За защита на личните данни“ се прилага за всички съществуващи субекти: физически и юридически лица, федерални държавни органи и местни власти. Всъщност този закон се прилага за всяка организация, която обработва информация и лични данни на граждани на Руската федерация, независимо от формата на собственост и размера на организацията.

Понякога една организация, съвсем неочаквано за себе си, може да открие първоначално имплицитни информационни системи за лични данни (PD). Например, една компания се счита за оператор на лични данни, ако нейният уебсайт има форми за обратна връзка, регистрация, оторизация и други форми за събиране на данни, чрез които субектът може да бъде идентифициран.

Контролът и надзорът по отношение на спазването на изискванията на федералния закон „За личните данни“ се извършва от регулаторите:

• Roskomnadzor относно защитата на правата на субектите на лични данни;
• ФСБ на Русия относно спазването на изискванията в областта на криптографията;
• FSTEC на Русия по отношение на спазването на изискванията за защита на информацията от неоторизиран достъп и изтичане по технически канали.

Тъй като Федералният закон „За личните данни“ е само основата за правна подкрепа за защита на личните данни, неговите изисквания впоследствие бяха посочени в актове на правителството на Руската федерация и Министерството на съобщенията и други регулаторни и методически документи на регулатори.

Федерални органи, регулиращи дейностите в областта на обработката на лични данни

• Roskomnadzor (Федерална служба за надзор на съобщенията и масовите комуникации) - упражнява контрол и надзор върху съответствието на обработката на PD със законовите изисквания.
• FSTEC на Русия (Федерална служба за технически и експортен контрол) - установява методи и средства за защита на информацията с помощта на технически средства.
• ФСБ на Русия (Федерална служба за сигурност на Руската федерация) - установява методи и средства за защита на информацията в рамките на своите правомощия (сфера на използване на криптографски средства за защита на информацията)

Всяка организация, която обработва лични данни, е изправена пред проблема да приведе своите информационни системи в съответствие със законовите изисквания. Защитата на личните данни е един от най-належащите проблеми не само в Русия, но и в други страни. 

Видове лични данни

Съгласно Федерален закон № 152, лични данни са всяка информация, свързана с физическо лице, идентифицирано или определено въз основа на такава информация (субект на лични данни). Например: пълно име, дата и място на раждане, адрес, семейно, социално, имотно състояние, образование и др.

Личните данни са разделени на няколко категории:

специален

Лични данни, свързани с раса, националност, политически възгледи, религиозни или философски убеждения, здравословно състояние, интимен живот

Биометричен

PD, които характеризират физиологичните и биологичните характеристики на дадено лице, въз основа на които може да се установи неговата самоличност и които се използват от оператора за установяване на самоличността на субекта на лични данни.

друг

PD, отнасящи се до пряко или непряко идентифицирани или идентифицируеми лица и не попадащи в горните категории

Публично достъпен

PD, получени от публично достъпни източници, в които данните са публикувани с писменото съгласие на субекта на личните данни

Обработването на лични данни е всяко действие (операция) или съвкупност от действия с лични данни с помощта или без инструменти за автоматизация, включително:

• колекция,
• запис,
• систематизиране,
• натрупване,
• съхранение,
• пояснение (актуализация, промяна),
• екстракция,
• употреба,
• предаване (разпределение, предоставяне, достъп),
• деперсонализация,
• блокиране,
• отстраняване,
• унищожаване на лични данни.

Отговорност за нарушения

Съгласно член 24 от Федерален закон № 152 лицата носят отговорност за нарушаване на закона в съответствие със законодателството на Руската федерация.

Когато проверяват компания, регулаторите се ръководят от Федерален закон-152 и редица подзаконови актове. Проверката може да бъде както планова, така и извънпланова - по факти за нарушения, както и за наблюдение на издадени предписания за отстраняването им.

Лицата, които нарушават изискванията за защита на личните данни, могат да носят не само гражданска и дисциплинарна, но и административна и дори наказателна отговорност.
 

Как да спазваме изискванията на Федерален закон-152?

Така че компания или организация, която обработва лични данни или друга чувствителна информация, трябва да защитава тази информация в съответствие със закона. Това не само изисква сериозна експертиза, знания и опит, но е свързано и с технически трудности и значителни разходи.

Според официалното определение, одобрено от FSTEC, „...Сигурността на личните данни е състоянието на сигурност на личните данни, характеризиращо се със способността на потребителите, техническите средства и информационните технологии да гарантират поверителността, целостта и наличността на личните данни, когато обработвани в информационни системи за лични данни...”

За да изпълните сами организационните, правните и техническите изисквания на Федерален закон 152, трябва да проучите не само самия закон, но и неговите подзаконови актове и да разберете какви точно мерки трябва да се предприемат. Аутсорсинг специалистите могат да проучат процесите на обработка на лични данни в компанията, да изготвят необходимите документи, да прилагат мерки за сигурност и др.

Цялостната система за информационна сигурност включва:

• Инструменти за предотвратяване на проникване (IDS).
• Защитна стена (FW).
• Защита срещу зловреден софтуер.
• Система за наблюдение и запис на събития по сигурността.
• Система за криптографска защита на комуникационни канали (криптиране).
• Средства за защита на виртуалната среда, система за защита срещу неоторизиран достъп (ATP), идентификация и контрол на достъпа.
• Анализ на сигурността/система за откриване на уязвимости и др.

Освен това цялостната информационна сигурност включва не само технически, но и организационни мерки.

Cloud FZ-152: характеристики на внедряване

Редица руски доставчици предоставят услуги за предоставяне на облачна инфраструктура за хостване на информационни системи в съответствие с изискванията на федералното законодателство относно личните данни. Когато системите на клиента се хостват в облака, доставчикът поема много въпроси, свързани със сигурността на информацията, включително тези, свързани със защитата на личните данни. При мигриране към облака, той ще защити ИТ инфраструктурата и това ще премахне част от отговорностите на клиента. Например, доставчикът изпълнява изискванията на Федерален закон 152 относно защитата на средата за виртуализация.

Доставчиците могат също така да осигурят на клиентите експертна подкрепа при решаването на проблема със защитата на данните: да определят необходимото ниво на сигурност и в съответствие с това да предложат вариант за внедряване; разработване на документация в съответствие с изискванията на законодателството на Руската федерация.

Сигурният облак ще помогне за оптимизиране на разходите на организацията чрез намаляване на разходите за създаване и поддържане на ИТ инфраструктура и вътрешна система за информационна сигурност. Обикновено квалифицирани експерти предоставят цялостна техническа поддръжка и поддръжка, включително консултации и разработване на пакет от документи за сертифициране от регулаторните органи, а платформата за предоставяне на услуги отговаря на строги технически стандарти и отговаря на необходимите организационни изисквания. Клиентите могат да се възползват от услуги за изготвяне на необходимата документация и защита на ISPD на ниво приложение и операционна система.

Осигурени са и процеси за управление на риска и уязвимостите, разследвания на инциденти, вътрешни и външни одити на сигурността, както и редовно наблюдение и тестване на процесите за мрежа, системи и информационна сигурност. Квалифицирани специалисти осигуряват XNUMX/XNUMX поддръжка на ИТ инфраструктура.

Взети заедно, тези мерки гарантират спазването на федералните закони относно защитата на личните данни.

Сертифицирана платформа

IBS DataFort предоставя такава услуга на базата на сертифицирана DF Cloud платформа. Всички технически части, инструменти за администриране и виртуализация на тази платформа отговарят на нормите и изискванията на Федерален закон-152.
Архитектура на защитения облак IBS DataFort.

Платформата осигурява гарантирана защита на ISPD (до 1-во ниво на сигурност включително), ГИС (до и включително 1-ви клас на сигурност) и сигурно съхранение на данни в центъра за данни Tier III. Платформата използва сертифицирани защитни стени, инструменти за откриване и предотвратяване на проникване (IDS/IPS), криптиране на комуникационни канали (GOST VPN), антивирусна защита, защита срещу неоторизиран достъп, защита на средата за виртуализация, както и инструменти за сканиране на уязвимости.

Облак FZ-152 е подходящо решение и за тези, които имат високи изисквания за поверителност и защита на данните, искат да укрепят своята бизнес репутация или да получат конкурентно предимство като доказано високо ниво на информационна сигурност.

Как да се „преместим“ в такъв облак? Възможна ли е „безпроблемна миграция“? Съвсем. Например, IBS DataFort сигурно прехвърля ISPD в своя защитен облак, минимизирайки времето за престой и въздействието върху бизнес процесите на компанията (включително от чужди сайтове).

Привеждане на ИТ инфраструктурата в съответствие с Федерален закон-152

Процесът на привеждане на ИТ инфраструктурата на клиента в съответствие с изискванията на Федерален закон-152 започва с одит и оценка на текущото ниво на сигурност.

Одитът на ИТ инфраструктурата на клиента включва проверка на обработката и защитата на личните данни и проверка на информационната система на клиента. Изготвя се протокол от проучване с подробно описание на процесите на обработка на PD от техническа гледна точка.

Работата включва и моделиране на заплахи и нарушители и изготвяне на доклад за определяне нивото на сигурност на ISPD. Въз основа на резултатите от одита се изготвя частна техническа спецификация за системата за защита ISPD, която определя изискванията към проектираната система.

Разработва се набор от политики, инструкции, наредби и други документи за защита на личните данни. В същото време специалистите се опитват да оптимизират разходите на клиента за прилагане на мерки за сигурност.

IBS DataFort предоставя услуги за подготовка на документация и защита на ISPD за спазване на федералното законодателство за защита на личните данни и може да помогне при подготовката и преминаването на сертификация (ISPD, GIS, AS).

Сертифицирането се извършва от независими одитори, лицензирани от FSTEC и FSB на Русия. Преминаването на такава сертификация потвърждава надеждната защита на личните данни на партньорите и клиентите на компанията от външни заплахи и цялостното съответствие с нормативните изисквания. Важно е клиентите да получат удобството на „обслужване на едно гише”: всичко се предоставя от една компания - IBS DataFort.

За оператора на лични данни това означава готовност за проверки от Roskomnadzor, FSTEC и FSB, премахване на риска от блокиране на ресурси и липса на претенции и санкции от регулатора.

Тази услуга е подходяща за много категории клиенти в държавния и корпоративния сегмент и може да бъде търсена от оператори на лични данни, които искат да приведат дейността си в съответствие със закона. Поставянето на IP в затворен сегмент от инфраструктурата на доставчика, сертифициран съгласно всички необходими стандарти и изисквания, освобождава клиента от необходимостта самостоятелно да организира цялата работа.

Източник: www.habr.com