152-FZ সম্পর্কে মিথ, যা ব্যক্তিগত ডেটা অপারেটরের জন্য ব্যয়বহুল হতে পারে

হাই সব! আমি ডেটালাইন সাইবার ডিফেন্স সেন্টার চালাই। ক্লাউডে বা ভৌত অবকাঠামোতে 152-FZ-এর প্রয়োজনীয়তা মেটানোর কাজ নিয়ে গ্রাহকরা আমাদের কাছে আসেন।
প্রায় প্রতিটি প্রকল্পে এই আইনের চারপাশে মিথগুলিকে উড়িয়ে দেওয়ার জন্য শিক্ষামূলক কাজ করা প্রয়োজন। আমি সবচেয়ে সাধারণ ভুল ধারণা সংগ্রহ করেছি যা ব্যক্তিগত ডেটা অপারেটরের বাজেট এবং স্নায়ুতন্ত্রের জন্য ব্যয়বহুল হতে পারে। আমি অবিলম্বে একটি রিজার্ভেশন করব যে রাষ্ট্রীয় গোপনীয়তা, KII, ইত্যাদি নিয়ে কাজ করে এমন রাজ্য অফিসগুলির (GIS) কেসগুলি এই নিবন্ধের সুযোগের বাইরে থাকবে৷

মিথ 1. আমি একটি অ্যান্টিভাইরাস, একটি ফায়ারওয়াল ইনস্টল করেছি এবং র্যাকগুলিকে বেড়া দিয়ে ঘিরে রেখেছি। আমি কি আইন মানছি?

152-FZ সিস্টেম এবং সার্ভারের সুরক্ষা সম্পর্কে নয়, তবে বিষয়গুলির ব্যক্তিগত ডেটা সুরক্ষা সম্পর্কে। অতএব, 152-FZ-এর সাথে সম্মতি একটি অ্যান্টিভাইরাস দিয়ে নয়, কিন্তু বিপুল সংখ্যক কাগজের টুকরো এবং সাংগঠনিক সমস্যাগুলির সাথে শুরু হয়।
প্রধান পরিদর্শক, রোসকোমনাডজোর, সুরক্ষার প্রযুক্তিগত উপায়গুলির উপস্থিতি এবং অবস্থার দিকে নজর দেবেন না, তবে ব্যক্তিগত ডেটা (পিডি) প্রক্রিয়াকরণের জন্য আইনি ভিত্তিতে দেখবেন:

• কি উদ্দেশ্যে আপনি ব্যক্তিগত তথ্য সংগ্রহ করেন;  
• আপনি আপনার উদ্দেশ্যে প্রয়োজনের চেয়ে বেশি সংগ্রহ করেন কিনা;
• আপনি কতক্ষণ ব্যক্তিগত তথ্য সংরক্ষণ করেন;
• ব্যক্তিগত তথ্য প্রক্রিয়াকরণের জন্য একটি নীতি আছে;
• আপনি কি ব্যক্তিগত তথ্য প্রক্রিয়াকরণ, ক্রস-বর্ডার স্থানান্তর, তৃতীয় পক্ষের দ্বারা প্রক্রিয়াকরণ ইত্যাদির জন্য সম্মতি সংগ্রহ করছেন?

এই প্রশ্নগুলির উত্তর, সেইসাথে প্রক্রিয়াগুলি নিজেরাই, উপযুক্ত নথিতে রেকর্ড করা উচিত। একজন ব্যক্তিগত ডেটা অপারেটরকে কী প্রস্তুত করতে হবে তার সম্পূর্ণ তালিকা এখানে নেই:

• ব্যক্তিগত ডেটা প্রক্রিয়াকরণের জন্য একটি আদর্শ সম্মতি ফর্ম (এগুলি হল সেই শীট যা আমরা এখন প্রায় সর্বত্র স্বাক্ষর করি যেখানে আমরা আমাদের সম্পূর্ণ নাম এবং পাসপোর্টের বিবরণ রেখে যাই)।
• ব্যক্তিগত তথ্য প্রক্রিয়াকরণ সংক্রান্ত অপারেটরের নীতি (এখানে ডিজাইনের জন্য সুপারিশ আছে)।
• ব্যক্তিগত তথ্য প্রক্রিয়াকরণ সংগঠিত করার জন্য দায়ী একজন ব্যক্তির নিয়োগের আদেশ।  
• ব্যক্তিগত তথ্য প্রক্রিয়াকরণ সংগঠিত করার জন্য দায়ী ব্যক্তির কাজের বিবরণ।
• অভ্যন্তরীণ নিয়ন্ত্রণের নিয়ম এবং (বা) আইনি প্রয়োজনীয়তার সাথে পিডি প্রক্রিয়াকরণের সম্মতির নিরীক্ষা।  
• ব্যক্তিগত তথ্য তথ্য সিস্টেমের তালিকা (ISPD)।
• তার ব্যক্তিগত তথ্য অ্যাক্সেস সঙ্গে বিষয় প্রদানের জন্য প্রবিধান.
• ঘটনা তদন্ত প্রবিধান.
• ব্যক্তিগত ডেটা প্রক্রিয়াকরণে কর্মচারীদের ভর্তির আদেশ।
• নিয়ন্ত্রকদের সাথে মিথস্ক্রিয়া জন্য প্রবিধান.  
• RKN, ইত্যাদির বিজ্ঞপ্তি
• পিডি প্রক্রিয়াকরণের জন্য নির্দেশনা ফর্ম।
• আইএসপিডি হুমকি মডেল।

এই সমস্যাগুলি সমাধান করার পরে, আপনি নির্দিষ্ট ব্যবস্থা এবং প্রযুক্তিগত উপায় নির্বাচন করতে শুরু করতে পারেন। আপনার কোনটি প্রয়োজন তা সিস্টেম, তাদের অপারেটিং অবস্থা এবং বর্তমান হুমকির উপর নির্ভর করে। কিন্তু পরে যে আরো.

বাস্তবতা: আইনের সাথে সম্মতি হল নির্দিষ্ট প্রক্রিয়াগুলির সাথে প্রতিষ্ঠা এবং সম্মতি, প্রথমত, এবং শুধুমাত্র দ্বিতীয়ত - বিশেষ প্রযুক্তিগত উপায়ের ব্যবহার।

মিথ 2. আমি ক্লাউডে ব্যক্তিগত ডেটা সঞ্চয় করি, একটি ডেটা সেন্টার যা 152-FZ-এর প্রয়োজনীয়তা পূরণ করে। এখন আইন প্রয়োগের দায়িত্ব তাদের

আপনি যখন কোনও ক্লাউড প্রদানকারী বা ডেটা সেন্টারে ব্যক্তিগত ডেটার স্টোরেজ আউটসোর্স করেন, তখন আপনি ব্যক্তিগত ডেটা অপারেটর হতে ক্ষান্ত হন না।
আমাদের সাহায্যের জন্য আইন থেকে সংজ্ঞা কল করা যাক:

ব্যক্তিগত ডেটার প্রক্রিয়াকরণ - অটোমেশন সরঞ্জামগুলি ব্যবহার করে বা সংগ্রহ, রেকর্ডিং, পদ্ধতিগতকরণ, সঞ্চয়, সঞ্চয়, স্পষ্টীকরণ (আপডেট করা, পরিবর্তন) সহ ব্যক্তিগত ডেটা সহ এই জাতীয় উপায় ব্যবহার না করে সম্পাদিত যে কোনও ক্রিয়া (অপারেশন) বা অ্যাকশনের সেট (অপারেশন)। নিষ্কাশন, ব্যবহার, স্থানান্তর (বন্টন, বিধান, অ্যাক্সেস), depersonalization, ব্লকিং, মুছে ফেলা, ব্যক্তিগত তথ্য ধ্বংস.
সূত্র: নিবন্ধ 3, 152-এফজেড

এই সমস্ত ক্রিয়াগুলির মধ্যে, পরিষেবা প্রদানকারী ব্যক্তিগত ডেটা সংরক্ষণ এবং ধ্বংস করার জন্য দায়ী (যখন ক্লায়েন্ট তার সাথে চুক্তিটি শেষ করে)। বাকি সবকিছু ব্যক্তিগত ডেটা অপারেটর দ্বারা সরবরাহ করা হয়। এর মানে হল যে অপারেটর, এবং পরিষেবা প্রদানকারী নয়, ব্যক্তিগত ডেটা প্রক্রিয়াকরণের জন্য নীতি নির্ধারণ করে, তার ক্লায়েন্টদের কাছ থেকে ব্যক্তিগত ডেটা প্রক্রিয়াকরণের জন্য স্বাক্ষরিত সম্মতি গ্রহণ করে, তৃতীয় পক্ষের কাছে ব্যক্তিগত ডেটা ফাঁস হওয়ার ঘটনাগুলি প্রতিরোধ করে এবং তদন্ত করে ইত্যাদি।

ফলস্বরূপ, ব্যক্তিগত ডেটা অপারেটরকে অবশ্যই উপরে তালিকাভুক্ত নথিগুলি সংগ্রহ করতে হবে এবং তাদের PDIS সুরক্ষার জন্য সাংগঠনিক ও প্রযুক্তিগত ব্যবস্থাগুলি বাস্তবায়ন করতে হবে।

সাধারণত, সরবরাহকারী অবকাঠামো স্তরে আইনি প্রয়োজনীয়তার সাথে সম্মতি নিশ্চিত করে অপারেটরকে সহায়তা করে যেখানে অপারেটরের ISPD অবস্থিত হবে: সরঞ্জাম বা ক্লাউড সহ র্যাক। তিনি নথির একটি প্যাকেজও সংগ্রহ করেন, 152-FZ অনুযায়ী তার অবকাঠামোর অংশের জন্য সাংগঠনিক এবং প্রযুক্তিগত ব্যবস্থা নেন।

কিছু প্রদানকারী কাগজপত্র এবং আইএসডিএন-এর জন্য প্রযুক্তিগত নিরাপত্তা ব্যবস্থার ব্যবস্থা করতে সাহায্য করে, অর্থাৎ, অবকাঠামোর উপরে একটি স্তরে। অপারেটরও এই কাজগুলিকে আউটসোর্স করতে পারে, তবে আইনের অধীনে দায়িত্ব এবং বাধ্যবাধকতাগুলি অদৃশ্য হয়ে যায় না।

বাস্তবতা: একটি প্রদানকারী বা ডেটা সেন্টারের পরিষেবাগুলি ব্যবহার করে, আপনি তার কাছে ব্যক্তিগত ডেটা অপারেটরের দায়িত্ব হস্তান্তর করতে পারবেন না এবং দায়িত্ব থেকে মুক্তি পেতে পারবেন না। যদি প্রদানকারী আপনাকে এই প্রতিশ্রুতি দেয়, তাহলে, এটিকে হালকাভাবে বলতে গেলে, তিনি মিথ্যা বলছেন।

মিথ 3. আমার কাছে প্রয়োজনীয় নথি এবং ব্যবস্থার প্যাকেজ আছে। আমি একজন প্রদানকারীর সাথে ব্যক্তিগত ডেটা সঞ্চয় করি যিনি 152-FZ মেনে চলার প্রতিশ্রুতি দেন। সবকিছু ঠিক আছে?

হ্যাঁ, যদি আপনি অর্ডার স্বাক্ষর করতে মনে রাখবেন. আইন অনুসারে, অপারেটর ব্যক্তিগত ডেটা প্রক্রিয়াকরণের দায়িত্ব অন্য ব্যক্তির কাছে অর্পণ করতে পারে, উদাহরণস্বরূপ, একই পরিষেবা প্রদানকারী। একটি অর্ডার হল এক ধরনের চুক্তি যা পরিষেবা প্রদানকারী অপারেটরের ব্যক্তিগত ডেটার সাথে কী করতে পারে তা তালিকাভুক্ত করে।

অপারেটরের অধিকার রয়েছে ব্যক্তিগত ডেটার বিষয়ের সম্মতিতে অন্য ব্যক্তির কাছে ব্যক্তিগত ডেটা প্রক্রিয়াকরণের দায়িত্ব অর্পণ করার, যদি না অন্যথায় ফেডারেল আইন দ্বারা সরবরাহ করা হয়, এই ব্যক্তির সাথে একটি রাষ্ট্র বা পৌর চুক্তি সহ সমাপ্ত চুক্তির ভিত্তিতে, বা একটি রাষ্ট্র বা পৌর সংস্থা দ্বারা একটি প্রাসঙ্গিক আইন গ্রহণ করে (এর পরে নিয়োগ অপারেটর হিসাবে উল্লেখ করা হয়)। অপারেটরের পক্ষে ব্যক্তিগত ডেটা প্রক্রিয়াকরণকারী ব্যক্তি এই ফেডারেল আইন দ্বারা প্রদত্ত ব্যক্তিগত ডেটা প্রক্রিয়াকরণের নীতি এবং নিয়মগুলি মেনে চলতে বাধ্য৷
উত্স: ধারা 3, অনুচ্ছেদ 6, 152-FZ

ব্যক্তিগত ডেটার গোপনীয়তা বজায় রাখার এবং নির্দিষ্ট প্রয়োজনীয়তা অনুসারে এর নিরাপত্তা নিশ্চিত করার জন্য প্রদানকারীর বাধ্যবাধকতাও প্রতিষ্ঠিত হয়েছে:

অপারেটরের নির্দেশাবলীতে অবশ্যই ব্যক্তিগত ডেটা সহ ক্রিয়াগুলির (অপারেশন) একটি তালিকা সংজ্ঞায়িত করা উচিত যা ব্যক্তিগত ডেটা প্রক্রিয়াকরণকারী ব্যক্তি দ্বারা সম্পাদিত হবে এবং প্রক্রিয়াকরণের উদ্দেশ্য, এই জাতীয় ব্যক্তির বাধ্যবাধকতা অবশ্যই ব্যক্তিগত ডেটার গোপনীয়তা বজায় রাখতে এবং নিশ্চিত করতে হবে। তাদের প্রক্রিয়াকরণের সময় ব্যক্তিগত ডেটার নিরাপত্তা, সেইসাথে প্রক্রিয়াকৃত ব্যক্তিগত ডেটা সুরক্ষার প্রয়োজনীয়তাগুলি অবশ্যই উল্লেখ করা উচিত 19 নিবন্ধ এই ফেডারেল আইনের।
উত্স: ধারা 3, অনুচ্ছেদ 6, 152-FZ

এর জন্য, প্রদানকারী অপারেটরের কাছে দায়বদ্ধ, এবং ব্যক্তিগত ডেটার বিষয় নয়:

যদি অপারেটর ব্যক্তিগত ডেটা প্রক্রিয়াকরণের দায়িত্ব অন্য ব্যক্তির কাছে অর্পণ করে, তবে অপারেটর নির্দিষ্ট ব্যক্তির কর্মের জন্য ব্যক্তিগত ডেটার বিষয়ের জন্য দায়ী। অপারেটরের পক্ষে ব্যক্তিগত ডেটা প্রক্রিয়াকরণকারী ব্যক্তি অপারেটরের কাছে দায়বদ্ধ।
উত্স: 152-এফজেড.

ব্যক্তিগত ডেটার সুরক্ষা নিশ্চিত করার বাধ্যবাধকতাটি ক্রম অনুসারে নির্ধারণ করাও গুরুত্বপূর্ণ:

একটি তথ্য সিস্টেমে প্রক্রিয়াকরণের সময় ব্যক্তিগত ডেটার নিরাপত্তা নিশ্চিত করা হয় এই সিস্টেমের অপারেটর দ্বারা, যিনি ব্যক্তিগত ডেটা প্রক্রিয়া করেন (এখন থেকে অপারেটর হিসাবে উল্লেখ করা হয়), অথবা অপারেটরের পক্ষে ব্যক্তিগত ডেটা প্রক্রিয়াকরণকারী ব্যক্তি দ্বারা চুক্তিটি এই ব্যক্তির সাথে সমাপ্ত হয়েছে (এর পরে অনুমোদিত ব্যক্তি হিসাবে উল্লেখ করা হয়েছে)। অপারেটর এবং অনুমোদিত ব্যক্তির মধ্যে চুক্তিটি তথ্য সিস্টেমে প্রক্রিয়াকরণের সময় ব্যক্তিগত ডেটার নিরাপত্তা নিশ্চিত করার জন্য অনুমোদিত ব্যক্তির বাধ্যবাধকতা প্রদান করতে হবে।
উত্স: 1 নভেম্বর, 2012 নং 1119 এর রাশিয়ান ফেডারেশন সরকারের ডিক্রি

বাস্তবতা: আপনি যদি প্রদানকারীকে ব্যক্তিগত তথ্য দেন, তাহলে অর্ডারে স্বাক্ষর করুন। আদেশে, বিষয়গুলির ব্যক্তিগত ডেটা সুরক্ষা নিশ্চিত করার প্রয়োজনীয়তা নির্দেশ করুন৷ অন্যথায়, আপনি তৃতীয় পক্ষের কাছে ব্যক্তিগত ডেটা প্রক্রিয়াকরণের কাজ স্থানান্তর সংক্রান্ত আইন মেনে চলেন না এবং 152-FZ-এর সাথে সম্মতির বিষয়ে আপনাকে প্রদানকারীর কোনো ঋণ নেই।

মিথ 4. মোসাদ আমার উপর গুপ্তচরবৃত্তি করছে, অথবা আমার কাছে অবশ্যই একটি UZ-1 আছে

কিছু গ্রাহক ক্রমাগত প্রমাণ করে যে তাদের নিরাপত্তা স্তর 1 বা 2 এর একটি ISPD আছে। বেশিরভাগ ক্ষেত্রে এটি হয় না। কেন এটি ঘটছে তা বের করতে হার্ডওয়্যারটি মনে রাখা যাক।
LO, বা নিরাপত্তা স্তর, নির্ধারণ করে যে আপনি কী থেকে আপনার ব্যক্তিগত ডেটা রক্ষা করবেন।
নিরাপত্তা স্তর নিম্নলিখিত পয়েন্ট দ্বারা প্রভাবিত হয়:

• ব্যক্তিগত তথ্যের প্রকার (বিশেষ, বায়োমেট্রিক, সর্বজনীনভাবে উপলব্ধ এবং অন্যান্য);
• যিনি ব্যক্তিগত ডেটার মালিক - ব্যক্তিগত ডেটা অপারেটরের কর্মচারী বা অ-কর্মচারী;
• ব্যক্তিগত ডেটা বিষয়ের সংখ্যা - কম বা বেশি 100 হাজার।
• বর্তমান হুমকির ধরন।

হুমকি ধরনের সম্পর্কে আমাদের বলুন 1 নভেম্বর, 2012 নং 1119 এর রাশিয়ান ফেডারেশন সরকারের ডিক্রি. এখানে মানব ভাষায় আমার বিনামূল্যে অনুবাদ সহ প্রতিটির একটি বর্ণনা রয়েছে।

টাইপ 1 হুমকি একটি তথ্য সিস্টেমের সাথে প্রাসঙ্গিক যদি তথ্য সিস্টেমে ব্যবহৃত সিস্টেম সফ্টওয়্যারটিতে অনথিভুক্ত (অঘোষিত) ক্ষমতার উপস্থিতির সাথে সম্পর্কিত হুমকিগুলিও এটির সাথে প্রাসঙ্গিক হয়।

আপনি যদি এই ধরণের হুমকিকে প্রাসঙ্গিক হিসাবে চিনতে পারেন, তাহলে আপনি দৃঢ়ভাবে বিশ্বাস করেন যে CIA, MI6 বা MOSSAD এর এজেন্টরা আপনার ISPD থেকে নির্দিষ্ট বিষয়ের ব্যক্তিগত ডেটা চুরি করার জন্য অপারেটিং সিস্টেমে একটি বুকমার্ক রেখেছে।

২য় প্রকারের হুমকি একটি তথ্য সিস্টেমের জন্য প্রাসঙ্গিক যদি তথ্য সিস্টেমে ব্যবহৃত অ্যাপ্লিকেশন সফ্টওয়্যারটিতে অনথিভুক্ত (অঘোষিত) ক্ষমতার উপস্থিতির সাথে সম্পর্কিত হুমকিগুলিও এটির জন্য প্রাসঙ্গিক হয়।

আপনি যদি মনে করেন যে দ্বিতীয় ধরণের হুমকিগুলি আপনার ক্ষেত্রে, তাহলে আপনি ঘুমাবেন এবং দেখুন কিভাবে সিআইএ, এমআই6, মোসাদ, একটি দুষ্ট একা হ্যাকার বা গ্রুপের একই এজেন্টরা সঠিকভাবে শিকার করার জন্য কিছু অফিস সফ্টওয়্যার প্যাকেজে বুকমার্ক রেখেছে। আপনার ব্যক্তিগত তথ্য। হ্যাঁ, μTorrent-এর মতো সন্দেহজনক অ্যাপ্লিকেশন সফ্টওয়্যার রয়েছে, কিন্তু আপনি ইনস্টলেশনের জন্য অনুমোদিত সফ্টওয়্যারগুলির একটি তালিকা তৈরি করতে পারেন এবং ব্যবহারকারীদের সাথে একটি চুক্তি স্বাক্ষর করতে পারেন, ব্যবহারকারীদের স্থানীয় প্রশাসকের অধিকার না দিতে পারেন, ইত্যাদি।

টাইপ 3 হুমকিগুলি একটি তথ্য সিস্টেমের সাথে প্রাসঙ্গিক হয় যদি হুমকিগুলি যেগুলি তথ্য সিস্টেমে ব্যবহৃত সিস্টেম এবং অ্যাপ্লিকেশন সফ্টওয়্যারগুলিতে অপ্রমাণিত (অঘোষিত) ক্ষমতাগুলির উপস্থিতির সাথে সম্পর্কিত নয়।

1 এবং 2 প্রকারের হুমকি আপনার জন্য উপযুক্ত নয়, তাই এটি আপনার জন্য জায়গা।

আমরা হুমকির ধরনগুলি সাজিয়েছি, এখন দেখা যাক আমাদের ISPD-এর নিরাপত্তার কী স্তর থাকবে৷

সারণীতে উল্লেখিত চিঠিপত্রের উপর ভিত্তি করে 1 নভেম্বর, 2012 নং 1119 এর রাশিয়ান ফেডারেশন সরকারের ডিক্রি.

আমরা যদি তৃতীয় ধরনের প্রকৃত হুমকি বেছে নিই, তাহলে বেশিরভাগ ক্ষেত্রেই আমাদের UZ-3 থাকবে। একমাত্র ব্যতিক্রম, যখন টাইপ 1 এবং 2-এর হুমকি প্রাসঙ্গিক নয়, কিন্তু নিরাপত্তার স্তর এখনও উচ্চ হবে (UZ-2), সেই সংস্থাগুলি যারা 100-এর বেশি পরিমাণে অ-কর্মচারীদের বিশেষ ব্যক্তিগত ডেটা প্রক্রিয়া করে। উদাহরণ, মেডিক্যাল ডায়াগনস্টিকস এবং মেডিক্যাল সার্ভিসের ব্যবস্থায় নিযুক্ত কোম্পানি।

এছাড়াও রয়েছে UZ-4, এবং এটি প্রধানত এমন কোম্পানিগুলিতে পাওয়া যায় যাদের ব্যবসা অ-কর্মচারীদের ব্যক্তিগত ডেটা প্রক্রিয়াকরণের সাথে সম্পর্কিত নয়, যেমন ক্লায়েন্ট বা ঠিকাদার, বা ব্যক্তিগত ডেটা বেস ছোট।

নিরাপত্তার স্তরের সাথে এটিকে অতিরিক্ত না করা কেন এত গুরুত্বপূর্ণ? এটি সহজ: এই স্তরের নিরাপত্তা নিশ্চিত করার জন্য ব্যবস্থা এবং সুরক্ষার উপায়গুলি এর উপর নির্ভর করবে। জ্ঞানের স্তর যত বেশি হবে, সাংগঠনিক এবং প্রযুক্তিগত দিক থেকে তত বেশি কাজ করতে হবে (পড়ুন: আরও অর্থ এবং স্নায়ু ব্যয় করতে হবে)।

এখানে, উদাহরণস্বরূপ, একই PP-1119 অনুযায়ী নিরাপত্তা ব্যবস্থার সেট কীভাবে পরিবর্তিত হয়।

এখন দেখা যাক, নিরাপত্তার নির্বাচিত স্তরের উপর নির্ভর করে, প্রয়োজনীয় ব্যবস্থার তালিকা অনুযায়ী পরিবর্তন হয় ফেব্রুয়ারী 21, 18.02.2013 তারিখের রাশিয়া নং XNUMX এর FSTEC এর আদেশ দ্বারা।  এই নথিতে একটি দীর্ঘ পরিশিষ্ট রয়েছে, যা প্রয়োজনীয় ব্যবস্থা সংজ্ঞায়িত করে। তাদের মধ্যে মোট 109টি রয়েছে, প্রতিটি কিলোমিটারের জন্য বাধ্যতামূলক ব্যবস্থাগুলিকে সংজ্ঞায়িত করা হয়েছে এবং একটি "+" চিহ্ন দিয়ে চিহ্নিত করা হয়েছে - সেগুলি নীচের সারণীতে সঠিকভাবে গণনা করা হয়েছে৷ আপনি যদি শুধুমাত্র UZ-3-এর জন্য প্রয়োজন সেইগুলি ছেড়ে দেন, আপনি 4 পাবেন।

বাস্তবতা: আপনি যদি ক্লায়েন্টদের কাছ থেকে পরীক্ষা বা বায়োমেট্রিক্স সংগ্রহ না করেন, আপনি সিস্টেম এবং অ্যাপ্লিকেশন সফ্টওয়্যার বুকমার্ক সম্পর্কে বিভ্রান্ত নন, তাহলে সম্ভবত আপনার UZ-3 আছে। এটিতে সাংগঠনিক এবং প্রযুক্তিগত ব্যবস্থাগুলির একটি যুক্তিসঙ্গত তালিকা রয়েছে যা বাস্তবে প্রয়োগ করা যেতে পারে।

মিথ 5. ব্যক্তিগত ডেটা সুরক্ষার সমস্ত উপায় অবশ্যই রাশিয়ার FSTEC দ্বারা প্রত্যয়িত হতে হবে

আপনি যদি সার্টিফিকেশন পরিচালনা করতে চান বা প্রয়োজন হয়, তাহলে সম্ভবত আপনাকে প্রত্যয়িত প্রতিরক্ষামূলক সরঞ্জাম ব্যবহার করতে হবে। শংসাপত্রটি রাশিয়ার এফএসটিইসির লাইসেন্সধারী দ্বারা পরিচালিত হবে, যারা:

• আরও প্রত্যয়িত তথ্য সুরক্ষা ডিভাইস বিক্রি করতে আগ্রহী;
• কিছু ভুল হলে নিয়ন্ত্রক কর্তৃক লাইসেন্স বাতিল হওয়ার ভয় থাকবে।

আপনার যদি সার্টিফিকেশনের প্রয়োজন না হয় এবং আপনি অন্য উপায়ে প্রয়োজনীয়তাগুলির সাথে সম্মতি নিশ্চিত করতে প্রস্তুত হন রাশিয়া নং 21 এর FSTEC এর আদেশ  "ব্যক্তিগত ডেটা সুরক্ষা নিশ্চিত করতে ব্যক্তিগত ডেটা সুরক্ষা ব্যবস্থার মধ্যে বাস্তবায়িত ব্যবস্থাগুলির কার্যকারিতা মূল্যায়ন করা," তাহলে আপনার জন্য প্রত্যয়িত তথ্য সুরক্ষা ব্যবস্থার প্রয়োজন নেই৷ আমি সংক্ষেপে যুক্তি ব্যাখ্যা করার চেষ্টা করব।

В নিবন্ধ 2 19-FZ এর অনুচ্ছেদ 152 বলে যে প্রতিরক্ষামূলক সরঞ্জামগুলি ব্যবহার করা প্রয়োজন যা প্রতিষ্ঠিত পদ্ধতি অনুসারে সামঞ্জস্য মূল্যায়ন পদ্ধতির মধ্য দিয়ে গেছে:

ব্যক্তিগত তথ্যের নিরাপত্তা নিশ্চিত করা, বিশেষ করে:
[...] 3) তথ্য নিরাপত্তা ব্যবহার মানে যে প্রতিষ্ঠিত পদ্ধতি অনুযায়ী সম্মতি মূল্যায়ন পদ্ধতি পাস করেছে।

В অনুচ্ছেদ 13 PP-1119 এছাড়াও তথ্য সুরক্ষা সরঞ্জামগুলি ব্যবহার করার প্রয়োজনীয়তা রয়েছে যা আইনী প্রয়োজনীয়তাগুলির সাথে সম্মতি মূল্যায়নের পদ্ধতিটি পাস করেছে:

[...] তথ্য সুরক্ষা সরঞ্জামগুলির ব্যবহার যা তথ্য সুরক্ষার ক্ষেত্রে রাশিয়ান ফেডারেশনের আইনের প্রয়োজনীয়তাগুলির সাথে সম্মতির মূল্যায়ন করার পদ্ধতিটি পাস করেছে, যেখানে বর্তমান হুমকিগুলিকে নিরপেক্ষ করার জন্য এই জাতীয় উপায়গুলির ব্যবহার প্রয়োজনীয়।

FSTEC আদেশ নং 4 এর ক্লজ 21 কার্যত অনুচ্ছেদ PP-1119 নকল করে:

ব্যক্তিগত তথ্যের নিরাপত্তা নিশ্চিত করার ব্যবস্থাগুলি বাস্তবায়িত হয়, অন্যান্য বিষয়গুলির সাথে, তথ্য সিস্টেমে তথ্য সুরক্ষা সরঞ্জামগুলির ব্যবহারের মাধ্যমে যা প্রতিষ্ঠিত পদ্ধতি অনুসারে সামঞ্জস্যপূর্ণ মূল্যায়ন পদ্ধতিতে উত্তীর্ণ হয়েছে, যেখানে এই জাতীয় সরঞ্জামগুলির ব্যবহার প্রয়োজনীয় ব্যক্তিগত তথ্য নিরাপত্তা বর্তমান হুমকি নিরপেক্ষ.

এই ফর্মুলেশন কি সাধারণ আছে? এটা ঠিক - তাদের প্রত্যয়িত প্রতিরক্ষামূলক সরঞ্জাম ব্যবহারের প্রয়োজন নেই। আসল বিষয়টি হ'ল সামঞ্জস্য মূল্যায়নের বিভিন্ন রূপ রয়েছে (স্বেচ্ছাসেবী বা বাধ্যতামূলক শংসাপত্র, সামঞ্জস্যের ঘোষণা)। সার্টিফিকেশন তাদের মধ্যে শুধুমাত্র একটি. অপারেটর অ-প্রত্যয়িত পণ্য ব্যবহার করতে পারে, তবে পরিদর্শনের সময় নিয়ন্ত্রকের কাছে প্রদর্শন করতে হবে যে তারা সামঞ্জস্যপূর্ণ মূল্যায়ন পদ্ধতির কিছু ফর্মের মধ্য দিয়ে গেছে।

যদি অপারেটর প্রত্যয়িত প্রতিরক্ষামূলক সরঞ্জাম ব্যবহার করার সিদ্ধান্ত নেয়, তবে আল্ট্রাসাউন্ড সুরক্ষা অনুসারে তথ্য সুরক্ষা ব্যবস্থা নির্বাচন করা প্রয়োজন, যা স্পষ্টভাবে নির্দেশিত। FSTEC অর্ডার নং 21:

ব্যক্তিগত ডেটা সুরক্ষার জন্য প্রযুক্তিগত ব্যবস্থাগুলি তথ্য সুরক্ষা সরঞ্জামগুলির মাধ্যমে প্রয়োগ করা হয়, যার মধ্যে সফ্টওয়্যার (হার্ডওয়্যার) সরঞ্জামগুলি অন্তর্ভুক্ত রয়েছে যেখানে সেগুলি প্রয়োগ করা হয়, যার প্রয়োজনীয় সুরক্ষা ফাংশন রয়েছে।
তথ্য সুরক্ষা সরঞ্জাম ব্যবহার করার সময় তথ্য সিস্টেমে তথ্য সুরক্ষা প্রয়োজনীয়তা অনুসারে প্রত্যয়িত:

রাশিয়ার FSTEC এর আদেশ নং 12 এর ক্লজ 21.

বাস্তবতা: আইনে প্রত্যয়িত প্রতিরক্ষামূলক সরঞ্জামের বাধ্যতামূলক ব্যবহারের প্রয়োজন নেই।

মিথ 6. আমার ক্রিপ্টো সুরক্ষা দরকার

এখানে কয়েকটি সূক্ষ্মতা রয়েছে:

1. অনেক লোক বিশ্বাস করে যে ক্রিপ্টোগ্রাফি যেকোনো আইএসপিডির জন্য বাধ্যতামূলক। প্রকৃতপক্ষে, সেগুলি কেবল তখনই ব্যবহার করা উচিত যদি অপারেটর ক্রিপ্টোগ্রাফির ব্যবহার ছাড়া নিজের জন্য অন্য কোনও সুরক্ষা ব্যবস্থা না দেখে।
2. আপনি যদি ক্রিপ্টোগ্রাফি ছাড়া করতে না পারেন, তাহলে আপনাকে FSB দ্বারা প্রত্যয়িত CIPF ব্যবহার করতে হবে।
3. উদাহরণস্বরূপ, আপনি একটি পরিষেবা প্রদানকারীর ক্লাউডে একটি ISPD হোস্ট করার সিদ্ধান্ত নেন, কিন্তু আপনি এটি বিশ্বাস করেন না। আপনি একটি হুমকি এবং অনুপ্রবেশকারী মডেল আপনার উদ্বেগ বর্ণনা. আপনার ব্যক্তিগত ডেটা আছে, তাই আপনি সিদ্ধান্ত নিয়েছেন যে ক্রিপ্টোগ্রাফিই নিজেকে রক্ষা করার একমাত্র উপায়: আপনি ভার্চুয়াল মেশিন এনক্রিপ্ট করবেন, ক্রিপ্টোগ্রাফিক সুরক্ষা ব্যবহার করে সুরক্ষিত চ্যানেল তৈরি করবেন। এই ক্ষেত্রে, আপনাকে রাশিয়ার FSB দ্বারা প্রত্যয়িত CIPF ব্যবহার করতে হবে।
4. সার্টিফাইড সিআইপিএফ একটি নির্দিষ্ট স্তরের নিরাপত্তা অনুযায়ী নির্বাচন করা হয় অর্ডার নং 378 FSB.

UZ-3 সহ ISPDn-এর জন্য, আপনি KS1, KS2, KS3 ব্যবহার করতে পারেন। KS1 হল, উদাহরণস্বরূপ, চ্যানেল সুরক্ষার জন্য C-Terra ভার্চুয়াল গেটওয়ে 4.2।

KC2, KS3 শুধুমাত্র সফ্টওয়্যার এবং হার্ডওয়্যার সিস্টেম দ্বারা প্রতিনিধিত্ব করা হয়, যেমন: ViPNet সমন্বয়কারী, APKSH "মহাদেশ", S-Terra গেটওয়ে ইত্যাদি।

আপনার যদি UZ-2 বা 1 থাকে, তাহলে আপনার KV1, 2 এবং KA ক্লাসের ক্রিপ্টোগ্রাফিক সুরক্ষা উপায় প্রয়োজন হবে। এগুলি নির্দিষ্ট সফ্টওয়্যার এবং হার্ডওয়্যার সিস্টেম, এগুলি পরিচালনা করা কঠিন এবং তাদের কার্যকারিতা বৈশিষ্ট্যগুলি বিনয়ী৷

বাস্তবতা: আইন FSB দ্বারা প্রত্যয়িত CIPF ব্যবহার করতে বাধ্য করে না।

উত্স: www.habr.com