Защитено облако на платформата DF Cloud 

ФЗ-152 «За защита на личните данни» се прилага за всички съществуващи субекти: физически и юридически лица, федерални органи на изпълнителната власт и органите на местното самоуправление. Всъщност този закон обхваща всяка организация, която обработва информация и лични данни на граждани на Руската Федерация, независимо от формата на собственост и размера на организацията.

Понякога организацията може доста неочаквано да открие първоначално неявни информационни системи за лични данни (ПДн). Например, компанията е оператор на лични данни, ако на нейния сайт има форми за обратна връзка, регистрация и авторизация и други форми за събиране на данни, по които може да се идентифицира субектът.

Контролът и наблюдението по отношение на спазването на изискванията на федералния закон «За личните данни» се извършва от регулаторни органи:

• Роскомнадзор относно защитата на правата на субектите на лични данни;
• ФСБ на Русия относно изпълнението на изискванията в областта на криптографията;
• ФСТЕК на Русия относно спазването на изискванията за защита на информацията от неупълномощен достъп и изтичане чрез технически канали.

Тъй като ФЗ «За личните данни» е само основата на правната защита на ПДн, неговите изисквания по-късно бяха конкретизирани в актове на Правителството на Руската Федерация и Министерството на комуникациите, както и в други нормативно-методически документи на регулаторите.

Федералните органи, регулиращи дейността в областта на обработката на лични данни

• Роскомнадзор (Федерална служба за надзор в сферата на комуникациите и масовите комуникации) — осъществява контрол и наблюдение за съответствието на обработката на ПДн с изискванията на законодателството.
• ФСТЕК на Русия (Федерална служба за технически и износен контрол) — установява методи и средства за защита на информацията с помощта на технически средства.
• ФСБ на Русия (Федерална служба за безопасност на Руската Федерация) — установява методи и средства за защита на информацията в рамките на своите компетенции (област на ползване на криптографските средства за защита на информацията)

Всяка организация, която обработва лични данни, се сблъсква с проблема да приведен своите информационни системи в съответствие с изискванията на законодателството. Защитата на личните данни е един от най-актуалните въпроси, не само в Русия, но и в други страни. 

Видове лични данни

Съгласно ФЗ-152, лични данни — всякаква информация, отнасяща се до определено или определяемо на основа такава информация физическо лице (субект на лични данни). Например: име, дата и място на раждане, адрес, семейно, социално, имотно положение, образование и т.н.

Личните данни се делят на няколко категории:

Специални

Лични данни, които се отнасят до расова, национална принадлежност, политически възгледи, религиозни или философски убеждения, здравословно състояние, интимен живот.

Биометрични

Лични данни, които характеризират физиологични и биологични особености на човека, на основание на които може да се установи неговата идентичност и които се използват от оператора за установяване на идентичността на субекта на личните данни.

Други

Лични данни, отнасящи се пряко или косвено до определено или определяемо физическо лице, и не попадащи в вече изброените категории.

Общодостъпни

Лични данни, получени от общодостъпни източници, в които данните са публикувани с писмено съгласие на субекта на личните данни.

Обработката на лични данни е всяко действие (операция) или съвкупност от действия с лични данни, извършвани с използване на автоматизирани средства или без тях, включително:

• събиране,
• записване,
• систематизиране,
• натрупване,
• съхранение,
• уточняване (обновление, изменение),
• извличане,
• използване,
• передаване (разпространение, предоставяне, достъп),
• обезличаване,
• блокиране,
• изтриване,
• унищожаване на лични данни.

Отговорност за нарушения

Съгласно член 24 от ФЗ-152, лицата носят отговорност за нарушаване на закона съгласно законодателството на Руската Федерация.

При проверка на компанията, регулаторите се ръководят от ФЗ-152 и редица подзаконови актове. Проверката може да бъде както планирана, така и непланирана — по факти на нарушения, както и за контрол на предишно издадено предписание за тяхното отстраняване.

Лицата, които нарушават изискванията за защита на личните данни, могат да бъдат подложени не само на граждански и дисциплинарни мерки, но и на административна и дори наказателна отговорност.
 

Как да отговаряме на изискванията на ФЗ-152?

Следователно, компания или организация, която обработва лични данни или друга информация с ограничен достъп, трябва да защитава тази информация в съответствие със законодателството. Това не само изисква сериозен опит, знания и умения, но също така е свързано с технически предизвикателства и значителни разходи.

Съгласно официалното определение, одобрено от ФСТЕК, "... Безопасността на личните данни е състояние на защита на личните данни, характерно с способността на потребителите, техническите средства и информационните технологии да осигурят конфиденциалност, целостност и достъпност на личните данни при обработката им в информационни системи на личните данни..."

За да се изпълнят организационните, правните и техническите изисквания на ФЗ-152, е необходимо да се изучат не само самият закон, но и подзаконовите актове, както и да се разберем какви конкретно мерки трябва да бъдат предприети. Специалисти от аутсорсинг могат да изучат процесите на обработка на личните данни в компанията, да подготвят необходимата документация, да внедрят средства за защита и т.н.

Комплексната система за защита на информацията включва:

• Средства за предотвратяване на прониквания (IDS).
• Междусетеви екрани (FW).
• Защита от зловреден софтуер.
• Система за мониторинг и регистрация на събитията за сигурност.
• Система за криптографска защита на комуникационни канали (шифроване).
• Средства за защита на виртуалната среда, система за защита от неразрешен достъп (НСД), идентификация и управление на достъпа.
• Система за анализ на защитата/разкриване на уязвимости и др.

Освен това, комплексната информационна безопасност предполага не само технически, но и организационни мерки.

Облако ФЗ-152: особености на изпълнението

Няколко руски доставчици предлагат услуги за предоставяне на облачна инфраструктура за разполагане на информационни системи в съответствие с изискванията на федералното законодателство по отношение на личните данни. При разполагане на клиентски системи в облака, доставчикът поема решаването на много въпроси по информационна сигурност, включително и тези, свързани с защитата на личните данни. При миграция в облак, той осигурява защита на ИТ инфраструктурата, като по този начин облекчава част от отговорностите на клиента. Например, доставчикът изпълнява изискванията на ФЗ-152, свързани с защитата на виртуализационната среда.

Доставчиците също могат да предоставят на клиентите експертна подкрепа в решаването на проблеми с защитата на данните: да определят необходимото ниво на защита и съответно да предложат вариант за изпълнение; да разработят документация за спазване на изискванията на законодателството на Руската федерация.

Защитеното облако ще помогне за оптимизиране на разходите на организацията, намалявайки разходите за създаване и поддръжка на ИТ инфраструктура и вътрешна система за защита на информацията. Обикновено квалифицирани специалисти осигуряват цялостно техническо подпомагане и поддръжка, включително консалтинг и разработка на пакет от документи за сертификати в регулиращите органи, а платформата за предоставяне на услуги отговаря на строги технически стандарти и удовлетворява необходимите организационни изисквания. Клиентите могат да се възползват от услуги за подготовка на необходимата документация и защита на личните данни на ниво приложения и операционна система.

Предвидени са също процеси за управление на рисковете и уязвимостите, разследване на инциденти, вътрешни и външни одити на сигурността, както и редовен мониторинг и тестване на мрежата, системите и процесите по информационна сигурност. Квалифицираните специалисти осигуряват денонощна поддръжка на ИТ инфраструктурата.

В съвкупност тези мерки осигуряват спазването на федералното законодателство по отношение на защитата на личните данни.

Сертифицирана платформа

IBS DataFort предоставя такава услуга на базата на сертифицираната платформа DF Cloud. Цялата техническа част, администрирането и средствата за виртуализация на тази платформа отговарят на нормите и изискванията на ФЗ-152.
Архитектурата на защитеното облако IBS DataFort.

Платформата осигурява гарантирана защита на ИСПДн (до 1-во ниво на защита включително), ГИС (до 1-ви клас на защита включително) и безопасно съхранение на данни в ЦОД Tier III. На платформата се прилагат сертифицирани междусетеви екрани, средства за откриване и предотвратяване на прониквания (IDS/IPs), криптиране на комуникационни канали (ГОСТ VPN), антивирусна защита, средства за защита от неупълномощен достъп, защита на виртуализационната среда, както и средства за сканиране на уязвимости.

Облако ФЗ-152 — също така е подходящо решение за тези, които имат високи изисквания към конфиденциалността и защитата на данни, искат да укрепят своя бизнес репутация или да получат конкурентно предимство в сферата на информационната безопасност.

Как да „преминете“ в такова облако? Възможна ли е „безшевна миграция“? Напълно. Например, IBS DataFort извършва безопасен пренос на ИСПДн в своето защитено облако, минимизирайки времето на неработоспособност и влиянието върху бизнес процесите на компанията (включително и от чуждестранни площадки).

Привеждане на ИТ инфраструктурата в съответствие с ФЗ-152

Процесът на привеждане на ИТ инфраструктурата на клиента в съответствие с изискванията на ФЗ-152 започва с одит и оценка на текущото ниво на защита.

Одитът на ИТ инфраструктурата на клиента включва проучване на процесите на обработка и защита на ПДн и преглед на ИСПДн на клиента. Създава се доклад за анализа с подробен опис на процесите на обработка на ПДн от техническа гледна точка.

Работите включват също така моделиране на заплахите и нарушители и изготвяне на акт за определяне на нивото на защита за ИСПДн. На базата на резултатите от одита се съставя частно ТЗ за системата за защита на ИСПДн и формулира изискванията за проектираната система.

Разработва се комплект от политики, инструкции, наредби и други документи относно защитата на ПДн. При това специалистите се стремят да оптимизират разходите на клиента за внедряване на средства за защита.

IBS DataFort предоставя услуги по подготовка на документация и защита на ИСПДн за спазване на федералното законодателство за защита на личните данни и може да помогне в подготовката и преминаването на атестация (ИСПДн, ГИС, АС).

Атестацията се провежда от независими одитори, притежаващи лицензии от ФСТЭК и ФСБ на Русия. Преминаването през такава атестация потвърджа надеждната защита на личните данни на партньорите и клиентите на компанията от външни заплахи и комплексното съответствие на изискванията на регулаторите. Важно е клиентите да получат удобството на "едно гише": всичко предлага една компания — IBS DataFort.

За оператора на лични данни това означава готовност за проверки от Роскомнадзор, ФСТЭК и ФСБ, избягване на рискове от блокировка на ресурсите и липса на оплаквания и санкции от регулатора.

Тази услуга е актуална за много категории поръчители от държавния и корпоративния сектор и може да бъде търсена от оператори на лични данни, които искат да приведат дейността си в съответствие със законодателството. Разполагането на ИС в затворения сегмент на инфраструктурата на доставчика, атестована по всички необходими стандарти и изисквания, освобождава клиента от необходимостта самостоятелно да организира всички дейности.

Източник: habr.com