IaaS 152-FZ: তাই, আপনার নিরাপত্তা দরকার

আপনি 152-FZ-এর সাথে সম্মতি ঘিরে থাকা পৌরাণিক কাহিনী এবং কিংবদন্তি যতই সাজান না কেন, কিছু না কিছু সবসময় পর্দার আড়ালে থেকে যায়। আজ আমরা এমন কিছু বিষয় নিয়ে আলোচনা করতে চাই যা সর্বদা সুস্পষ্ট নয় যা বড় কোম্পানি এবং খুব ছোট উদ্যোগ উভয়ই সম্মুখীন হতে পারে:

• বিভাগগুলিতে PD শ্রেণীবিভাগের সূক্ষ্মতা - যখন একটি ছোট অনলাইন স্টোর এটি সম্পর্কে না জেনেই একটি বিশেষ বিভাগের সাথে সম্পর্কিত ডেটা সংগ্রহ করে;

• যেখানে আপনি সংগৃহীত পিডির ব্যাকআপ সংরক্ষণ করতে পারেন এবং সেগুলিতে অপারেশন করতে পারেন;

• একটি শংসাপত্র এবং সম্মতি একটি উপসংহার মধ্যে পার্থক্য কি, আপনি প্রদানকারীর কাছ থেকে কি নথি অনুরোধ করা উচিত, এবং এই মত স্টাফ.

পরিশেষে, আমরা আপনার সাথে সার্টিফিকেশন পাস করার আমাদের নিজস্ব অভিজ্ঞতা শেয়ার করব। যাওয়া!

আজকের নিবন্ধে বিশেষজ্ঞ হবেন আলেক্সি আফানাসিভ, ক্লাউড প্রদানকারী IT-GRAD এবং #CloudMTS (MTS গ্রুপের অংশ) জন্য IS বিশেষজ্ঞ।

শ্রেণীবিভাগের সূক্ষ্মতা

আমরা প্রায়ই একটি ক্লায়েন্টের দ্রুত, একটি IS অডিট ছাড়াই, একটি ISPD-এর জন্য প্রয়োজনীয় স্তরের নিরাপত্তা নির্ধারণের আকাঙ্ক্ষার সম্মুখীন হই। এই বিষয়ে ইন্টারনেটে কিছু উপকরণ মিথ্যা ধারণা দেয় যে এটি একটি সহজ কাজ এবং এটি একটি ভুল করা বেশ কঠিন।

KM নির্ধারণ করতে, ক্লায়েন্টের IS দ্বারা কোন ডেটা সংগ্রহ ও প্রক্রিয়া করা হবে তা বোঝা দরকার। কখনও কখনও এটি দ্ব্যর্থহীনভাবে সুরক্ষা প্রয়োজনীয়তা এবং একটি ব্যবসা পরিচালনা করে এমন ব্যক্তিগত ডেটার বিভাগ নির্ধারণ করা কঠিন হতে পারে। একই ধরণের ব্যক্তিগত ডেটা সম্পূর্ণ ভিন্ন উপায়ে মূল্যায়ন এবং শ্রেণীবদ্ধ করা যেতে পারে। অতএব, কিছু ক্ষেত্রে, ব্যবসার মতামত অডিটর বা এমনকি পরিদর্শকের মতামত থেকে ভিন্ন হতে পারে। আসুন কয়েকটি উদাহরণ দেখি।

গাড়ী পার্ক. এটি একটি মোটামুটি ঐতিহ্যগত ধরনের ব্যবসার মত মনে হবে। অনেক যানবাহন বহর কয়েক দশক ধরে কাজ করছে, এবং তাদের মালিকরা স্বতন্ত্র উদ্যোক্তা এবং ব্যক্তিদের ভাড়া করে। একটি নিয়ম হিসাবে, কর্মচারী ডেটা UZ-4 এর প্রয়োজনীয়তার অধীনে পড়ে। যাইহোক, ড্রাইভারদের সাথে কাজ করার জন্য, শুধুমাত্র ব্যক্তিগত তথ্য সংগ্রহ করাই নয়, শিফটে যাওয়ার আগে গাড়ির বহরের অঞ্চলে চিকিৎসা নিয়ন্ত্রণ করাও প্রয়োজন, এবং প্রক্রিয়াটিতে সংগৃহীত তথ্য অবিলম্বে বিভাগে পড়ে। মেডিকেল ডেটা - এবং এটি একটি বিশেষ বিভাগের ব্যক্তিগত ডেটা। উপরন্তু, বহরটি সার্টিফিকেটের জন্য অনুরোধ করতে পারে, যা পরে ড্রাইভারের ফাইলে রাখা হবে। বৈদ্যুতিন আকারে এই জাতীয় শংসাপত্রের একটি স্ক্যান - স্বাস্থ্য ডেটা, একটি বিশেষ বিভাগের ব্যক্তিগত ডেটা। এর মানে হল যে UZ-4 আর যথেষ্ট নয়; অন্তত UZ-3 প্রয়োজন।

অনলাইন দোকান. দেখে মনে হবে যে নাম, ইমেল এবং টেলিফোন নম্বর সংগ্রহ করা হয়েছে তা সর্বজনীন বিভাগে উপযুক্ত। যাইহোক, যদি আপনার গ্রাহকরা হালাল বা কোশারের মতো খাদ্যতালিকাগত পছন্দগুলি নির্দেশ করে, তাহলে এই ধরনের তথ্য ধর্মীয় অনুষঙ্গ বা বিশ্বাসের ডেটা হিসাবে বিবেচিত হতে পারে। অতএব, অন্যান্য নিয়ন্ত্রণ কার্যক্রম চেক করার সময় বা পরিচালনা করার সময়, পরিদর্শক আপনার সংগ্রহ করা ডেটা ব্যক্তিগত ডেটার একটি বিশেষ বিভাগ হিসাবে শ্রেণীবদ্ধ করতে পারে। এখন, যদি কোনও অনলাইন স্টোর তার ক্রেতা মাংস বা মাছ পছন্দ করে কিনা সে সম্পর্কে তথ্য সংগ্রহ করলে, ডেটা অন্যান্য ব্যক্তিগত ডেটা হিসাবে শ্রেণীবদ্ধ করা যেতে পারে। উপায় দ্বারা, নিরামিষ সম্পর্কে কি? সর্বোপরি, এটি দার্শনিক বিশ্বাসের জন্যও দায়ী করা যেতে পারে, যা একটি বিশেষ বিভাগের অন্তর্গত। কিন্তু অন্যদিকে, এটি এমন একজন ব্যক্তির মনোভাব হতে পারে যিনি তার খাদ্য থেকে মাংস বাদ দিয়েছেন। হায়, এমন কোন চিহ্ন নেই যা দ্ব্যর্থহীনভাবে এই ধরনের "সূক্ষ্ম" পরিস্থিতিতে PD-এর বিভাগকে সংজ্ঞায়িত করে।

বিজ্ঞাপন সংস্থা কিছু পশ্চিমা ক্লাউড পরিষেবা ব্যবহার করে, এটি তার ক্লায়েন্টদের সর্বজনীনভাবে উপলব্ধ ডেটা প্রক্রিয়া করে - সম্পূর্ণ নাম, ইমেল ঠিকানা এবং টেলিফোন নম্বর। এই ব্যক্তিগত তথ্য, অবশ্যই, ব্যক্তিগত তথ্য সম্পর্কিত. প্রশ্ন উঠেছে: এই ধরনের প্রক্রিয়াকরণ করা কি বৈধ? এটা কি এমনকি রাশিয়ান ফেডারেশনের বাইরে depersonalization ছাড়া এই ধরনের ডেটা স্থানান্তর করা সম্ভব, উদাহরণস্বরূপ, কিছু বিদেশী মেঘে ব্যাকআপ সংরক্ষণ করা? অবশ্যই আপনি করতে পারেন. সংস্থাটির রাশিয়ার বাইরে এই ডেটা সংরক্ষণ করার অধিকার রয়েছে, তবে, আমাদের আইন অনুসারে প্রাথমিক সংগ্রহটি অবশ্যই রাশিয়ান ফেডারেশনের অঞ্চলে করা উচিত। আপনি যদি এই জাতীয় তথ্য ব্যাক আপ করেন, এর উপর ভিত্তি করে কিছু পরিসংখ্যান গণনা করুন, গবেষণা পরিচালনা করুন বা এটি দিয়ে অন্য কিছু অপারেশন করুন - এই সমস্ত পশ্চিমা সংস্থানগুলিতে করা যেতে পারে। আইনি দৃষ্টিকোণ থেকে মূল বিষয় হল যেখানে ব্যক্তিগত তথ্য সংগ্রহ করা হয়। তাই প্রাথমিক সংগ্রহ এবং প্রক্রিয়াকরণকে বিভ্রান্ত না করা গুরুত্বপূর্ণ।

এই সংক্ষিপ্ত উদাহরণগুলি থেকে নিম্নরূপ, ব্যক্তিগত ডেটা নিয়ে কাজ করা সবসময় সোজা এবং সহজ নয়। আপনাকে কেবলমাত্র জানতে হবে না যে আপনি তাদের সাথে কাজ করছেন, তবে তাদের সঠিকভাবে শ্রেণীবদ্ধ করতেও সক্ষম হবেন, প্রয়োজনীয় সুরক্ষার স্তরটি সঠিকভাবে নির্ধারণ করতে আইপি কীভাবে কাজ করে তা বুঝতে পারবেন। কিছু ক্ষেত্রে, প্রশ্ন উঠতে পারে যে সংস্থাটি পরিচালনা করতে আসলে কতটা ব্যক্তিগত ডেটা প্রয়োজন। সবচেয়ে "গুরুতর" বা কেবল অপ্রয়োজনীয় ডেটা প্রত্যাখ্যান করা কি সম্ভব? উপরন্তু, নিয়ন্ত্রক যেখানে সম্ভব ব্যক্তিগত তথ্য depersonalizing সুপারিশ. 

উপরের উদাহরণগুলির মতো, কখনও কখনও আপনি এই সত্যটির মুখোমুখি হতে পারেন যে পরিদর্শন কর্তৃপক্ষ সংগৃহীত ব্যক্তিগত ডেটাগুলিকে আপনি নিজের মূল্যায়নের চেয়ে কিছুটা আলাদাভাবে ব্যাখ্যা করেন।

অবশ্যই, আপনি একজন অডিটর বা একজন সিস্টেম ইন্টিগ্রেটরকে একজন সহকারী হিসেবে নিয়োগ করতে পারেন, কিন্তু "সহকারী" কি অডিটের ক্ষেত্রে নির্বাচিত সিদ্ধান্তের জন্য দায়ী থাকবে? এটি লক্ষণীয় যে দায়িত্ব সর্বদা আইএসপিডি-র মালিকের - ব্যক্তিগত ডেটার অপারেটরের উপর বর্তায়। এই কারণেই, যখন কোনও সংস্থা এই জাতীয় কাজ সম্পাদন করে, তখন এই জাতীয় পরিষেবাগুলির জন্য বাজারে গুরুতর খেলোয়াড়দের দিকে ফিরে যাওয়া গুরুত্বপূর্ণ, উদাহরণস্বরূপ, শংসাপত্রের কাজ পরিচালনাকারী সংস্থাগুলি। প্রত্যয়নকারী সংস্থাগুলির এই ধরনের কাজ চালানোর ব্যাপক অভিজ্ঞতা রয়েছে।

একটি ISPD নির্মাণের জন্য বিকল্প

একটি আইএসপিডি নির্মাণ শুধুমাত্র একটি প্রযুক্তিগত নয়, তবে এটি মূলত একটি আইনি সমস্যা। সিআইও বা সিকিউরিটি ডিরেক্টরের সবসময় আইনি পরামর্শের সাথে পরামর্শ করা উচিত। যেহেতু কোম্পানিতে আপনার প্রয়োজনীয় প্রোফাইলের সাথে সবসময় একজন বিশেষজ্ঞ থাকে না, তাই এটি অডিটর-পরামর্শদাতাদের দিকে তাকানো মূল্যবান। অনেক পিচ্ছিল পয়েন্ট সব স্পষ্ট নাও হতে পারে.

আপনি কোন ব্যক্তিগত ডেটা নিয়ে কাজ করছেন এবং এর জন্য কোন স্তরের সুরক্ষা প্রয়োজন তা নির্ধারণ করতে পরামর্শ আপনাকে অনুমতি দেবে৷ তদনুসারে, আপনি আইপি সম্পর্কে একটি ধারণা পাবেন যা তৈরি করা বা সুরক্ষা এবং অপারেশনাল সুরক্ষা ব্যবস্থাগুলির সাথে পরিপূরক করা দরকার।

প্রায়শই একটি কোম্পানির জন্য পছন্দ দুটি বিকল্পের মধ্যে হয়:

1. আপনার নিজস্ব হার্ডওয়্যার এবং সফ্টওয়্যার সমাধানগুলিতে সংশ্লিষ্ট IS তৈরি করুন, সম্ভবত আপনার নিজের সার্ভার রুমে৷

2. একটি ক্লাউড প্রদানকারীর সাথে যোগাযোগ করুন এবং একটি ইলাস্টিক সমাধান চয়ন করুন, একটি ইতিমধ্যে প্রত্যয়িত "ভার্চুয়াল সার্ভার রুম"৷

ব্যক্তিগত ডেটা প্রক্রিয়াকরণের বেশিরভাগ তথ্য সিস্টেম একটি ঐতিহ্যগত পদ্ধতি ব্যবহার করে, যা ব্যবসায়িক দৃষ্টিকোণ থেকে, সহজ এবং সফল বলা যায় না। এই বিকল্পটি নির্বাচন করার সময়, এটি বুঝতে হবে যে প্রযুক্তিগত নকশাটি সফ্টওয়্যার এবং হার্ডওয়্যার সমাধান এবং প্ল্যাটফর্ম সহ সরঞ্জামগুলির একটি বিবরণ অন্তর্ভুক্ত করবে। এর মানে আপনাকে নিম্নলিখিত অসুবিধা এবং সীমাবদ্ধতার মুখোমুখি হতে হবে:

• স্কেলিং অসুবিধা;

• দীর্ঘ প্রকল্প বাস্তবায়নের সময়কাল: সিস্টেমটি নির্বাচন, ক্রয়, ইনস্টল, কনফিগার এবং বর্ণনা করা প্রয়োজন;

• প্রচুর "কাগজ" কাজ, উদাহরণ হিসাবে - পুরো আইএসপিডির জন্য ডকুমেন্টেশনের একটি সম্পূর্ণ প্যাকেজের বিকাশ।

উপরন্তু, একটি ব্যবসা, একটি নিয়ম হিসাবে, শুধুমাত্র তার IP-এর "শীর্ষ" স্তর - এটি যে ব্যবসায়িক অ্যাপ্লিকেশনগুলি ব্যবহার করে তা বোঝে। অন্য কথায়, আইটি কর্মীরা তাদের নির্দিষ্ট এলাকায় দক্ষ। সমস্ত "নিম্ন স্তর" কীভাবে কাজ করে সে সম্পর্কে কোনও বোঝাপড়া নেই: সফ্টওয়্যার এবং হার্ডওয়্যার সুরক্ষা, স্টোরেজ সিস্টেম, ব্যাকআপ এবং অবশ্যই, কীভাবে সমস্ত প্রয়োজনীয়তা মেনে সুরক্ষা সরঞ্জামগুলি কনফিগার করতে হয়, কনফিগারেশনের "হার্ডওয়্যার" অংশটি তৈরি করুন৷ এটি বোঝা গুরুত্বপূর্ণ: এটি জ্ঞানের একটি বিশাল স্তর যা ক্লায়েন্টের ব্যবসার বাইরে রয়েছে। এখানেই একটি ক্লাউড প্রদানকারীর একটি প্রত্যয়িত "ভার্চুয়াল সার্ভার রুম" প্রদানের অভিজ্ঞতা কাজে আসতে পারে।

পরিবর্তে, ক্লাউড প্রদানকারীদের অনেকগুলি সুবিধা রয়েছে যা অতিরঞ্জিত ছাড়াই, ব্যক্তিগত ডেটা সুরক্ষার ক্ষেত্রে ব্যবসার চাহিদার 99% পূরণ করতে পারে:

• মূলধন খরচ অপারেটিং খরচে রূপান্তরিত হয়;

• প্রদানকারী, তার অংশের জন্য, একটি প্রমাণিত মান সমাধানের উপর ভিত্তি করে প্রয়োজনীয় স্তরের নিরাপত্তা এবং প্রাপ্যতার বিধানের নিশ্চয়তা দেয়;

• হার্ডওয়্যার স্তরে আইএসপিডির অপারেশন নিশ্চিত করবে এমন বিশেষজ্ঞদের কর্মীদের রক্ষণাবেক্ষণ করার দরকার নেই;

• প্রদানকারীরা অনেক বেশি নমনীয় এবং ইলাস্টিক সমাধান অফার করে;

• প্রদানকারীর বিশেষজ্ঞদের সমস্ত প্রয়োজনীয় শংসাপত্র রয়েছে;

• নিয়ন্ত্রকদের প্রয়োজনীয়তা এবং সুপারিশগুলি বিবেচনায় নিয়ে আপনার নিজস্ব স্থাপত্য তৈরি করার সময় সম্মতি কম নয়।

ক্লাউডে ব্যক্তিগত তথ্য সংরক্ষণ করা যায় না এমন পুরানো মিথ এখনও অত্যন্ত জনপ্রিয়। এটা শুধুমাত্র আংশিক সত্য: PD সত্যিই পোস্ট করা যাবে না উপলব্ধ প্রথম এক মধ্যে মেঘ কিছু প্রযুক্তিগত ব্যবস্থার সাথে সম্মতি এবং নির্দিষ্ট প্রত্যয়িত সমাধানের ব্যবহার প্রয়োজন। যদি প্রদানকারী সমস্ত আইনি প্রয়োজনীয়তা মেনে চলে, ব্যক্তিগত তথ্য ফাঁসের সাথে সম্পর্কিত ঝুঁকিগুলি হ্রাস করা হয়। অনেক প্রদানকারীর 152-FZ অনুযায়ী ব্যক্তিগত ডেটা প্রক্রিয়াকরণের জন্য একটি পৃথক পরিকাঠামো রয়েছে। যাইহোক, সরবরাহকারীর পছন্দ নির্দিষ্ট মানদণ্ডের জ্ঞানের সাথে যোগাযোগ করা আবশ্যক; আমরা অবশ্যই নীচে তাদের স্পর্শ করব। 

সরবরাহকারীর ক্লাউডে ব্যক্তিগত ডেটা স্থাপনের বিষয়ে ক্লায়েন্টরা প্রায়শই আমাদের কাছে কিছু উদ্বেগ নিয়ে আসে। আচ্ছা, এখনই সেগুলো নিয়ে আলোচনা করা যাক।

• ট্রান্সমিশন বা মাইগ্রেশনের সময় ডেটা চুরি হতে পারে

এতে ভয় পাওয়ার দরকার নেই - প্রদানকারী ক্লায়েন্টকে প্রত্যয়িত সমাধানের উপর নির্মিত একটি নিরাপদ ডেটা ট্রান্সমিশন চ্যানেল তৈরি করার প্রস্তাব দেয়, ঠিকাদার এবং কর্মচারীদের জন্য বর্ধিত প্রমাণীকরণ ব্যবস্থা। যা অবশিষ্ট থাকে তা হল উপযুক্ত সুরক্ষা পদ্ধতি বেছে নেওয়া এবং ক্লায়েন্টের সাথে আপনার কাজের অংশ হিসাবে সেগুলি বাস্তবায়ন করা।

• শো মাস্ক আসবে এবং সার্ভারে বিদ্যুৎ নিয়ে যাবে/সিল/কাট অফ করবে

অবকাঠামোর উপর অপর্যাপ্ত নিয়ন্ত্রণের কারণে তাদের ব্যবসায়িক প্রক্রিয়াগুলি ব্যাহত হবে বলে আশঙ্কা করা গ্রাহকদের জন্য এটি বেশ বোধগম্য। একটি নিয়ম হিসাবে, সেইসব ক্লায়েন্ট যাদের হার্ডওয়্যার আগে বিশেষায়িত ডেটা সেন্টারের পরিবর্তে ছোট সার্ভার রুমে অবস্থিত ছিল তারা এই বিষয়ে চিন্তা করে। বাস্তবে, ডেটা সেন্টারগুলি শারীরিক এবং তথ্য সুরক্ষা উভয়ের আধুনিক উপায়ে সজ্জিত। পর্যাপ্ত ভিত্তি এবং কাগজপত্র ছাড়া এই জাতীয় ডেটা সেন্টারে কোনও অপারেশন করা প্রায় অসম্ভব এবং এই জাতীয় ক্রিয়াকলাপগুলির জন্য বেশ কয়েকটি পদ্ধতির সাথে সম্মতি প্রয়োজন। এছাড়াও, ডেটা সেন্টার থেকে আপনার সার্ভারকে "টেনে আনা" প্রদানকারীর অন্যান্য ক্লায়েন্টদের প্রভাবিত করতে পারে এবং এটি অবশ্যই কারো জন্য প্রয়োজনীয় নয়। উপরন্তু, কেউ বিশেষভাবে "আপনার" ভার্চুয়াল সার্ভারের দিকে আঙুল তুলতে সক্ষম হবে না, তাই কেউ যদি এটি চুরি করতে বা মাস্ক শো করতে চায়, তবে প্রথমে তাদের অনেক আমলাতান্ত্রিক বিলম্বের সাথে মোকাবিলা করতে হবে। এই সময়ের মধ্যে, আপনি সম্ভবত অনেকবার অন্য সাইটে মাইগ্রেট করার সময় পাবেন।

• হ্যাকাররা ক্লাউড হ্যাক করে ডেটা চুরি করবে

ইন্টারনেট এবং প্রিন্ট প্রেস শিরোনামে পূর্ণ যে কীভাবে আরও একটি ক্লাউড সাইবার অপরাধীদের শিকার হয়েছে এবং লক্ষ লক্ষ ব্যক্তিগত ডেটা রেকর্ড অনলাইনে ফাঁস হয়েছে। বেশিরভাগ ক্ষেত্রে, দুর্বলতাগুলি সরবরাহকারীর পক্ষে নয়, তবে ক্ষতিগ্রস্তদের তথ্য ব্যবস্থায় পাওয়া গেছে: দুর্বল বা এমনকি ডিফল্ট পাসওয়ার্ড, ওয়েবসাইট ইঞ্জিন এবং ডাটাবেসে "ছিদ্র", এবং নিরাপত্তা ব্যবস্থা বেছে নেওয়ার সময় সাধারণ ব্যবসায়িক অসতর্কতা এবং তথ্য অ্যাক্সেস পদ্ধতি সংগঠিত. সমস্ত প্রত্যয়িত সমাধানগুলি দুর্বলতার জন্য পরীক্ষা করা হয়। এছাড়াও আমরা নিয়মিত "নিয়ন্ত্রণ" পেন্টেস্ট এবং নিরাপত্তা অডিট পরিচালনা করি, স্বাধীনভাবে এবং বহিরাগত সংস্থাগুলির মাধ্যমে। প্রদানকারীর জন্য, এটি সাধারণভাবে খ্যাতি এবং ব্যবসার বিষয়।

• প্রদানকারীর প্রদানকারী/কর্মচারীরা ব্যক্তিগত লাভের জন্য ব্যক্তিগত তথ্য চুরি করবে

এটি একটি বরং সংবেদনশীল মুহূর্ত। তথ্য সুরক্ষা জগতের বেশ কয়েকটি কোম্পানি তাদের ক্লায়েন্টদের "ভয় দেয়" এবং জোর দেয় যে "অভ্যন্তরীণ কর্মচারীরা বাইরের হ্যাকারদের চেয়ে বেশি বিপজ্জনক।" এটি কিছু ক্ষেত্রে সত্য হতে পারে, তবে বিশ্বাস ছাড়া ব্যবসা তৈরি করা যায় না। সময়ে সময়ে, খবর আসে যে একটি সংস্থার নিজস্ব কর্মীরা আক্রমণকারীদের কাছে গ্রাহকের ডেটা ফাঁস করে, এবং অভ্যন্তরীণ নিরাপত্তা কখনও কখনও বহিরাগত নিরাপত্তার চেয়ে অনেক খারাপ সংগঠিত হয়। এখানে এটা বোঝা গুরুত্বপূর্ণ যে কোনো বড় প্রদানকারী নেতিবাচক ক্ষেত্রে অত্যন্ত আগ্রহী নয়। প্রদানকারীর কর্মচারীদের কর্মগুলি ভালভাবে নিয়ন্ত্রিত, ভূমিকা এবং দায়িত্বের ক্ষেত্রগুলি বিভক্ত। সমস্ত ব্যবসায়িক প্রক্রিয়াগুলি এমনভাবে গঠন করা হয়েছে যে ডেটা ফাঁসের ঘটনাগুলি অত্যন্ত অসম্ভাব্য এবং অভ্যন্তরীণ পরিষেবাগুলিতে সর্বদা লক্ষণীয়, তাই ক্লায়েন্টদের এই দিক থেকে সমস্যাগুলি থেকে ভয় পাওয়া উচিত নয়।

• আপনি সামান্য অর্থ প্রদান করেন কারণ আপনি আপনার ব্যবসার ডেটা দিয়ে পরিষেবার জন্য অর্থ প্রদান করেন।

আরেকটি পৌরাণিক কাহিনী: একজন ক্লায়েন্ট যে আরামদায়ক মূল্যে নিরাপদ পরিকাঠামো ভাড়া নেয় সে আসলে তার ডেটা দিয়ে এর জন্য অর্থ প্রদান করে - এটি প্রায়শই বিশেষজ্ঞদের দ্বারা চিন্তা করা হয় যারা ঘুমাতে যাওয়ার আগে কয়েকটি ষড়যন্ত্র তত্ত্ব পড়তে আপত্তি করেন না। প্রথমত, অর্ডারে নির্দিষ্ট করা তথ্য ব্যতীত আপনার ডেটা দিয়ে যেকোন ক্রিয়াকলাপ চালানোর সম্ভাবনা মূলত শূন্য। দ্বিতীয়ত, একজন পর্যাপ্ত প্রদানকারী আপনার সাথে সম্পর্ক এবং তার খ্যাতিকে মূল্য দেয় - আপনি ছাড়াও তার আরও অনেক ক্লায়েন্ট রয়েছে। বিপরীত দৃশ্যের সম্ভাবনা বেশি, যেখানে প্রদানকারী তার ক্লায়েন্টদের ডেটাকে উদ্যোগীভাবে রক্ষা করবে, যার উপর তার ব্যবসা নির্ভর করে।

ISPD এর জন্য একটি ক্লাউড প্রদানকারী নির্বাচন করা হচ্ছে

আজ, বাজার PD অপারেটর কোম্পানিগুলির জন্য অনেক সমাধান অফার করে। নীচে সঠিকটি বেছে নেওয়ার জন্য সুপারিশগুলির একটি সাধারণ তালিকা রয়েছে।

• প্রদানকারীকে অবশ্যই একটি আনুষ্ঠানিক চুক্তিতে প্রবেশ করতে প্রস্তুত থাকতে হবে যাতে ব্যক্তিগত ডেটা প্রক্রিয়াকরণের মূলে পক্ষগুলির দায়িত্ব, SLA এবং দায়িত্বের ক্ষেত্রগুলি বর্ণনা করা হয়। প্রকৃতপক্ষে, আপনার এবং প্রদানকারীর মধ্যে, পরিষেবা চুক্তি ছাড়াও, PD প্রক্রিয়াকরণের জন্য একটি অর্ডার স্বাক্ষর করতে হবে। যে কোনও ক্ষেত্রে, তাদের সাবধানে অধ্যয়ন করা মূল্যবান। আপনার এবং প্রদানকারীর মধ্যে দায়িত্বের বিভাজন বোঝা গুরুত্বপূর্ণ।

• অনুগ্রহ করে মনে রাখবেন যে বিভাগটিকে অবশ্যই প্রয়োজনীয়তা পূরণ করতে হবে, যার মানে এটিতে অবশ্যই একটি শংসাপত্র থাকতে হবে যা আপনার আইপি দ্বারা প্রয়োজনীয় নিরাপত্তার স্তরের চেয়ে কম নয়। এটি ঘটে যে প্রদানকারীরা শংসাপত্রের শুধুমাত্র প্রথম পৃষ্ঠা প্রকাশ করে, যেখান থেকে সামান্য স্পষ্ট হয়, অথবা শংসাপত্রটি নিজেই প্রকাশ না করেই অডিট বা সম্মতি পদ্ধতির উল্লেখ করে ("সেখানে কি ছেলে ছিল?")। এটির জন্য জিজ্ঞাসা করা মূল্যবান - এটি একটি সর্বজনীন নথি যা নির্দেশ করে যে কে সার্টিফিকেশন, বৈধতার সময়কাল, ক্লাউড অবস্থান ইত্যাদি চালিয়েছে।

• প্রদানকারীকে অবশ্যই তার সাইটগুলি (সুরক্ষিত বস্তু) কোথায় অবস্থিত সে সম্পর্কে তথ্য প্রদান করতে হবে যাতে আপনি আপনার ডেটা স্থাপন নিয়ন্ত্রণ করতে পারেন। আসুন আমরা আপনাকে মনে করিয়ে দিই যে ব্যক্তিগত ডেটার প্রাথমিক সংগ্রহ অবশ্যই রাশিয়ান ফেডারেশনের অঞ্চলে করা উচিত; তদনুসারে, চুক্তি/শংসাপত্রে ডেটা সেন্টারের ঠিকানাগুলি দেখার পরামর্শ দেওয়া হয়।

• প্রদানকারীকে অবশ্যই প্রত্যয়িত তথ্য নিরাপত্তা এবং তথ্য সুরক্ষা ব্যবস্থা ব্যবহার করতে হবে। অবশ্যই, বেশিরভাগ প্রদানকারীরা তাদের ব্যবহার করা প্রযুক্তিগত নিরাপত্তা ব্যবস্থা এবং সমাধান আর্কিটেকচারের বিজ্ঞাপন দেয় না। কিন্তু আপনি, একজন ক্লায়েন্ট হিসাবে, এটি সম্পর্কে জানতে সাহায্য করতে পারবেন না। উদাহরণস্বরূপ, একটি ম্যানেজমেন্ট সিস্টেম (ম্যানেজমেন্ট পোর্টাল) এর সাথে দূরবর্তীভাবে সংযোগ করতে, নিরাপত্তা ব্যবস্থা ব্যবহার করা প্রয়োজন। প্রদানকারী এই প্রয়োজনীয়তা বাইপাস করতে সক্ষম হবে না এবং আপনাকে প্রত্যয়িত সমাধান প্রদান করবে (বা আপনাকে ব্যবহার করতে হবে)। একটি পরীক্ষার জন্য সম্পদ নিন এবং আপনি অবিলম্বে বুঝতে পারবেন কিভাবে এবং কি কাজ করে। 

• তথ্য নিরাপত্তার ক্ষেত্রে অতিরিক্ত পরিষেবা প্রদান করা ক্লাউড প্রদানকারীর জন্য অত্যন্ত বাঞ্ছনীয়। এগুলি বিভিন্ন পরিষেবা হতে পারে: DDoS আক্রমণ এবং WAF থেকে সুরক্ষা, অ্যান্টি-ভাইরাস পরিষেবা বা স্যান্ডবক্স ইত্যাদি। এই সমস্ত আপনাকে একটি পরিষেবা হিসাবে সুরক্ষা পাওয়ার অনুমতি দেবে, সুরক্ষা ব্যবস্থা তৈরি করে বিভ্রান্ত হবে না, তবে ব্যবসায়িক অ্যাপ্লিকেশনগুলিতে কাজ করবে।

• প্রদানকারীকে অবশ্যই FSTEC এবং FSB-এর লাইসেন্সধারী হতে হবে। একটি নিয়ম হিসাবে, এই ধরনের তথ্য সরাসরি ওয়েবসাইটে পোস্ট করা হয়। এই নথিগুলির অনুরোধ করতে ভুলবেন না এবং পরিষেবা প্রদানের ঠিকানা, প্রদানকারী সংস্থার নাম, ইত্যাদি সঠিক কিনা তা পরীক্ষা করুন৷ 

আসুন সংক্ষিপ্ত করা যাক। অবকাঠামো ভাড়া দেওয়া আপনাকে CAPEX পরিত্যাগ করতে এবং আপনার দায়িত্বের ক্ষেত্রে শুধুমাত্র আপনার ব্যবসায়িক অ্যাপ্লিকেশন এবং ডেটা নিজেই ধরে রাখতে এবং হার্ডওয়্যার এবং সফ্টওয়্যার এবং হার্ডওয়্যারের সার্টিফিকেশনের ভারী বোঝা প্রদানকারীর কাছে স্থানান্তর করতে দেয়।

আমরা কিভাবে সার্টিফিকেশন পাস

অতি সম্প্রতি, ব্যক্তিগত ডেটা নিয়ে কাজ করার প্রয়োজনীয়তাগুলি মেনে চলার জন্য আমরা সফলভাবে "সিকিউর ক্লাউড FZ-152" এর পরিকাঠামোর পুনঃপ্রত্যয়ন পাস করেছি৷ কাজটি ন্যাশনাল সার্টিফিকেশন সেন্টার দ্বারা বাহিত হয়.

বর্তমানে, "FZ-152 সিকিউর ক্লাউড" স্তর UZ-3 এর প্রয়োজনীয়তা অনুসারে ব্যক্তিগত ডেটা প্রক্রিয়াকরণ, সঞ্চয় বা সংক্রমণের (ISPDn) সাথে জড়িত তথ্য সিস্টেম হোস্ট করার জন্য প্রত্যয়িত।

সার্টিফিকেশন পদ্ধতিতে ক্লাউড প্রদানকারীর পরিকাঠামো সুরক্ষার স্তরের সাথে সম্মতি পরীক্ষা করা জড়িত। প্রদানকারী নিজেই IaaS পরিষেবা প্রদান করে এবং ব্যক্তিগত ডেটার অপারেটর নয়। প্রক্রিয়াটির মধ্যে সাংগঠনিক (ডকুমেন্টেশন, আদেশ, ইত্যাদি) এবং প্রযুক্তিগত ব্যবস্থা (প্রতিরক্ষামূলক সরঞ্জাম সেট আপ করা ইত্যাদি) উভয়ের মূল্যায়ন জড়িত।

এটাকে তুচ্ছ বলা যাবে না। 2013 সালে সার্টিফিকেশন কার্যক্রম পরিচালনার জন্য প্রোগ্রাম এবং পদ্ধতিগুলির উপর GOST প্রদর্শিত হওয়া সত্ত্বেও, ক্লাউড অবজেক্টের জন্য কঠোর প্রোগ্রাম এখনও বিদ্যমান নেই। শংসাপত্র কেন্দ্রগুলি তাদের নিজস্ব দক্ষতার ভিত্তিতে এই প্রোগ্রামগুলি বিকাশ করে। নতুন প্রযুক্তির আবির্ভাবের সাথে, প্রোগ্রামগুলি আরও জটিল এবং আধুনিক হয়ে ওঠে; সেই অনুযায়ী, সার্টিফায়ারের অবশ্যই ক্লাউড সমাধানগুলির সাথে কাজ করার অভিজ্ঞতা থাকতে হবে এবং সুনির্দিষ্ট বিষয়গুলি বুঝতে হবে।

আমাদের ক্ষেত্রে, সুরক্ষিত বস্তু দুটি অবস্থান নিয়ে গঠিত।

• ক্লাউড রিসোর্স (সার্ভার, স্টোরেজ সিস্টেম, নেটওয়ার্ক অবকাঠামো, নিরাপত্তা সরঞ্জাম, ইত্যাদি) সরাসরি ডেটা সেন্টারে অবস্থিত। অবশ্যই, এই ধরনের একটি ভার্চুয়াল ডেটা সেন্টার পাবলিক নেটওয়ার্কের সাথে সংযুক্ত, এবং সেই অনুযায়ী, নির্দিষ্ট ফায়ারওয়াল প্রয়োজনীয়তা পূরণ করতে হবে, উদাহরণস্বরূপ, প্রত্যয়িত ফায়ারওয়াল ব্যবহার।

• অবজেক্টের দ্বিতীয় অংশ হল ক্লাউড ম্যানেজমেন্ট টুলস। এগুলি হল ওয়ার্কস্টেশন (প্রশাসকের ওয়ার্কস্টেশন) যেখান থেকে সুরক্ষিত সেগমেন্ট পরিচালিত হয়।

অবস্থানগুলি সিআইপিএফ-এ নির্মিত একটি ভিপিএন চ্যানেলের মাধ্যমে যোগাযোগ করে।

যেহেতু ভার্চুয়ালাইজেশন প্রযুক্তি হুমকির উদ্ভবের জন্য পূর্বশর্ত তৈরি করে, তাই আমরা অতিরিক্ত প্রত্যয়িত সুরক্ষা সরঞ্জামও ব্যবহার করি।

ব্লক ডায়াগ্রাম "মূল্যায়নকারীর চোখের মাধ্যমে"

IaaS ভাড়া নেওয়ার পরে যদি ক্লায়েন্টের তার ISPD-এর শংসাপত্রের প্রয়োজন হয়, তাহলে তাকে শুধুমাত্র ভার্চুয়াল ডেটা সেন্টারের স্তরের উপরে তথ্য সিস্টেমের মূল্যায়ন করতে হবে। এই পদ্ধতিতে ব্যবহৃত অবকাঠামো এবং সফ্টওয়্যার পরীক্ষা করা জড়িত। যেহেতু আপনি সমস্ত অবকাঠামোগত সমস্যার জন্য প্রদানকারীর শংসাপত্রটি উল্লেখ করতে পারেন, তাই আপনাকে যা করতে হবে তা হল সফ্টওয়্যারের সাথে কাজ করা।

বিমূর্ততা স্তরে বিচ্ছেদ

উপসংহারে, এখানে এমন কোম্পানিগুলির জন্য একটি ছোট চেকলিস্ট রয়েছে যারা ইতিমধ্যে ব্যক্তিগত ডেটা নিয়ে কাজ করছে বা শুধু পরিকল্পনা করছে। সুতরাং, পোড়া না পেয়ে কীভাবে এটি পরিচালনা করবেন।

1. হুমকি এবং অনুপ্রবেশকারীদের মডেলগুলি অডিট করতে এবং বিকাশ করতে, সার্টিফিকেশন পরীক্ষাগারগুলির মধ্যে থেকে একজন অভিজ্ঞ পরামর্শদাতাকে আমন্ত্রণ জানান যিনি প্রয়োজনীয় নথিগুলি বিকাশ করতে এবং আপনাকে প্রযুক্তিগত সমাধানের পর্যায়ে নিয়ে যেতে সহায়তা করবে।

2. একটি ক্লাউড প্রদানকারী নির্বাচন করার সময়, একটি শংসাপত্র উপস্থিতি মনোযোগ দিন। কোম্পানি প্রকাশ্যে ওয়েবসাইটে সরাসরি পোস্ট করলে ভাল হবে। প্রদানকারীকে অবশ্যই FSTEC এবং FSB-এর লাইসেন্সধারী হতে হবে এবং তিনি যে পরিষেবা প্রদান করবেন তা অবশ্যই প্রত্যয়িত হতে হবে।

3. নিশ্চিত করুন যে আপনার কাছে একটি আনুষ্ঠানিক চুক্তি এবং ব্যক্তিগত তথ্য প্রক্রিয়াকরণের জন্য একটি স্বাক্ষরিত নির্দেশ রয়েছে। এর উপর ভিত্তি করে, আপনি একটি কমপ্লায়েন্স চেক এবং আইএসপিডি সার্টিফিকেশন উভয়ই চালাতে সক্ষম হবেন৷ যদি প্রযুক্তিগত প্রকল্পের পর্যায়ে এই কাজটি এবং নকশা এবং প্রযুক্তিগত ডকুমেন্টেশন তৈরি করা আপনার কাছে কঠিন বলে মনে হয় তবে আপনার তৃতীয় পক্ষের পরামর্শকারী সংস্থাগুলির সাথে যোগাযোগ করা উচিত৷ সার্টিফিকেশন ল্যাবরেটরির মধ্যে থেকে।

যদি ব্যক্তিগত ডেটা প্রক্রিয়াকরণের সমস্যাগুলি আপনার জন্য প্রাসঙ্গিক হয়, 18 সেপ্টেম্বর, এই শুক্রবার, আমরা আপনাকে ওয়েবিনারে দেখে খুশি হব "প্রত্যয়িত মেঘ নির্মাণের বৈশিষ্ট্য".

উত্স: www.habr.com