Egal wie oft die Mythen und Legenden um die Übereinstimmung mit dem Gesetz 152-FZ diskutiert werden, bleibt immer etwas im Hintergrund. Heute möchten wir die oft nicht offensichtlichen Nuancen besprechen, mit denen sowohl große Unternehmen als auch sehr kleine Betriebe konfrontiert werden können:
die Feinheiten der Klassifizierung personenbezogener Daten nach Kategorien — wenn ein kleiner Online-Shop Daten zu einer speziellen Kategorie sammelt, ohne dies zu wissen;
wo man Backups der gesammelten personenbezogenen Daten speichern und Operationen damit durchführen kann;
worin sich das Zertifikat und das Konformitätsgutachten unterscheiden, welche Dokumente man überhaupt beim Anbieter anfordern sollte und alles, was damit zu tun hat.
Zum Schluss teilen wir unsere eigenen Erfahrungen mit der Zertifizierung. Los geht's!
Der Experte in unserem heutigen Artikel wird Alexey Afanasyev, ein Spezialist für Sicherheitsfragen bei Cloud-Anbietern „IT-GRAD“ und #CloudMTS (gehört zur MTS-Gruppe).
Feinheiten der Klassifizierung
Häufig stehen wir vor dem Wunsch des Kunden, schnell und ohne eine Prüfung des Informationssystems das erforderliche Schutzniveau für personenbezogene Daten zu bestimmen. Einige Materialien im Internet zu diesem Thema erwecken den falschen Eindruck, dass diese Aufgabe einfach und das Risiko eines Fehlers gering ist.
Um das Schutzniveau zu bestimmen, ist es notwendig zu verstehen, welche Daten vom Informationssystem des Kunden gesammelt und verarbeitet werden sollen. Manchmal ist es nicht einfach, die Anforderungen an den Schutz und die Kategorie der personenbezogenen Daten, mit denen das Unternehmen arbeitet, eindeutig zu definieren. Die gleichen Arten von personenbezogenen Daten können ganz unterschiedlich bewertet und klassifiziert werden. Daher kann die Meinung des Unternehmens in bestimmten Fällen von der des Auditors oder sogar des Prüfers abweichen. Betrachten wir einige Beispiele.
Fuhrpark. Es scheint ein ganz traditionelles Geschäftsmodell zu sein. Viele Fuhrparks arbeiten seit Jahrzehnten, und deren Eigentümer stellen Unternehmer und Privatpersonen ein. In der Regel unterliegen die Daten der Mitarbeiter den Anforderungen von UZ-4. Allerdings ist es erforderlich, nicht nur die persönlichen Daten zu sammeln, sondern auch eine medizinische Kontrolle im Fuhrpark vor Schichtbeginn durchzuführen, wobei die dabei gesammelten Informationen sofort in die Kategorie der medizinischen Daten fallen – und das sind besondere personenbezogene Daten. Zudem kann der Fuhrpark Bescheinigungen anfordern, die dann in der Akte des Fahrers aufbewahrt werden. Ein elektronisches Scan dieser Bescheinigung enthält Daten zum Gesundheitszustand – ebenfalls besondere personenbezogene Daten. Somit ist UZ-4 nicht ausreichend, es wird mindestens UZ-3 benötigt.
Online-Shop. Es scheint, als würden die gesammelten Namen, E-Mails und Telefonnummern in eine allgemein zugängliche Kategorie fallen. Wenn jedoch Ihre Kunden gastronomische Vorlieben angeben, wie Halal oder Kascher, könnten solche Informationen als Daten über religiöse Zugehörigkeit und Überzeugungen betrachtet werden. Daher könnte ein Prüfer bei der Überprüfung oder Durchführung anderer Kontrollmaßnahmen die von Ihnen gesammelten Daten in eine spezielle Kategorie personenbezogener Daten einordnen. Wenn beispielsweise ein Online-Shop Informationen darüber sammeln würde, ob ein Käufer Fleisch oder Fisch bevorzugt, könnten diese Daten in die Kategorie anderer personenbezogener Daten eingeordnet werden. Übrigens, was ist mit Vegetariern? Das könnte ebenfalls als philosophische Überzeugungen betrachtet werden, die auch zur Spezialkategorie gehören. Andererseits könnte es auch einfach die Position einer Person sein, die Fleisch aus ihrer Ernährung ausgeschlossen hat. Leider gibt es keine Tabelle, die in solch „schwierigen“ Situationen eindeutig die Kategorie personenbezogener Daten bestimmt.
Werbeagentur mit Hilfe eines westlichen Cloud-Dienstes verarbeitet öffentliche Daten seiner Kunden – Name, E-Mail-Adressen und Telefonnummern. Diese persönlichen Daten gelten natürlich als personenbezogene Daten. Die Frage ist: Ist eine solche Verarbeitung legal? Ist es überhaupt möglich, solche Daten ohne Anonymisierung außerhalb Russlands zu übertragen, zum Beispiel Backups in ausländischen Clouds zu speichern? Natürlich ist das möglich. Die Agentur hat das Recht, diese Daten auch außerhalb Russlands zu speichern, jedoch muss die ursprüngliche Erfassung gemäß unserem Gesetz auf dem Territorium Russlands erfolgen. Wenn Sie solche Informationen sichern, auf deren Grundlage Statistiken erstellen, Studien durchführen oder andere Operationen durchführen – all dies kann auch auf westlichen Ressourcen erfolgen. Der entscheidende Punkt aus rechtlicher Sicht ist, wo die Erfassung der personenbezogenen Daten stattfindet. Daher ist es wichtig, die ursprüngliche Erfassung und die Verarbeitung nicht zu verwechseln.
Wie aus diesen kurzen Beispielen hervorgeht, ist die Arbeit mit personenbezogenen Daten (PZn) nicht immer eindeutig und einfach. Es ist nicht nur wichtig zu wissen, dass Sie damit arbeiten, sondern auch, sie richtig zu klassifizieren und zu verstehen, wie das Informationssystem funktioniert, um das erforderliche Schutzniveau richtig zu bestimmen. In manchen Fällen stellt sich die Frage, welcher Umfang an PZn tatsächlich für die Organisation erforderlich ist. Ist es möglich, auf die „ernstesten“ oder einfach überflüssigen Daten zu verzichten? Darüber hinaus empfiehlt die Aufsichtsbehörde, PZn dort zu anonymisieren, wo dies möglich ist.
Wie in den obigen Beispielen kann man manchmal feststellen, dass die Prüfbehörden die gesammelten PZn anders interpretieren als Sie sie bewertet haben.
Natürlich kann man einen Auditor oder Systemintegrator zur Unterstützung hinzuziehen, aber wird der "Helfer" im Falle einer Prüfung für die getroffenen Entscheidungen verantwortlich sein? Es ist zu beachten, dass die Verantwortung immer beim Inhaber des personenbezogenen Datenverarbeitungssystems – dem Betreiber der personenbezogenen Daten – liegt. Aus diesem Grund ist es bei solchen Arbeiten wichtig, sich an seriöse Akteure auf dem Markt für diese Dienstleistungen zu wenden, beispielsweise an Unternehmen, die Zertifizierungsarbeiten durchführen. Zertifizierungsgesellschaften verfügen über umfangreiche Erfahrung in der Durchführung solcher Arbeiten.
Varianten der Erstellung von personenbezogenen Datenverarbeitungssystemen
Die Erstellung von personenbezogenen Datenverarbeitungssystemen ist nicht nur eine technische, sondern auch in vielerlei Hinsicht eine rechtliche Frage. Der IT-Direktor oder der Sicherheitsdirektor sollte unbedingt einen Anwalt konsultieren. Da in einem Unternehmen nicht immer ein Spezialist mit dem benötigten Profil vorhanden ist, sollte man auch Auditoren-Berater in Betracht ziehen. Viele heikle Punkte sind keineswegs offensichtlich.
Die Beratung hilft Ihnen festzustellen, mit welchen personenbezogenen Daten Sie es zu tun haben und welches Schutzniveau erforderlich ist. So erhalten Sie einen Überblick über die Informationssicherheit, die erstellt oder durch Schutzmaßnahmen und Richtlinien ergänzt werden muss.
Oft steht die Wahl für ein Unternehmen zwischen zwei Optionen:
Eine entsprechende Informationssicherheit auf Ihren eigenen Software-Hardware-Lösungen zu erstellen, möglicherweise in Ihrem eigenen Rechenzentrum.
Sich an einen Cloud-Anbieter zu wenden und eine flexible Lösung zu wählen, die bereits als „virtuelles Rechenzentrum“ zertifiziert ist.
Die meisten Informationssicherheiten, die personenbezogene Daten verarbeiten, verfolgen einen traditionellen Ansatz, der aus geschäftlicher Sicht nur schwer als einfach und erfolgreich bezeichnet werden kann. Bei der Wahl dieser Option müssen Sie verstehen, dass das technische Projekt eine Beschreibung der Hardware, einschließlich Software-Hardware-Lösungen und Plattformen, umfassen wird. Das bedeutet, dass Sie auf folgende Herausforderungen und Einschränkungen stoßen werden:
Schwierigkeiten bei der Skalierung;
Lange Umsetzungszeit des Projekts: Es ist erforderlich, das System auszuwählen, zu beschaffen, zu installieren, zu konfigurieren und zu beschreiben;
der Großteil der ‚Papierarbeit‘, wie zum Beispiel die Entwicklung eines umfassenden Dokumentationspakets für die gesamte DPS.
Darüber hinaus beschäftigt sich das Unternehmen in der Regel nur mit der ‚obersten‘ Ebene seines Informationssystems – mit den verwendeten Geschäftsanwendungen. Mit anderen Worten, das IT-Personal ist auf seinem speziellen Gebiet qualifiziert. Es fehlt das Verständnis dafür, wie alle ‚unteren Ebenen‘ funktionieren: software-hardwarebasierte Sicherheitslösungen, Speichersysteme, Backup und natürlich, wie man unter Beachtung aller Anforderungen Sicherheitsmaßnahmen konfiguriert und die ‚Hardware‘-Komponente der Infrastruktur aufbaut. Es ist wichtig zu verstehen: Dies ist ein gewaltiges Wissen, das über die Grenzen des Kundenunternehmens hinausgeht. Hier kann die Erfahrung eines Cloud-Anbieters, der ein zertifiziertes ‚virtuelles Rechenzentrum‘ bereitstellt, von Nutzen sein.
Cloud-Anbieter verfügen ihrerseits über eine Reihe von Vorteilen, die ohne Übertreibung 99% der Geschäftswünsche im Bereich Datenschutz decken können:
Investitionen werden in Betriebskosten umgewandelt;
Der Anbieter gewährleistet seinerseits die erforderliche Sicherheits- und Verfügbarkeitsstufe auf Basis einer bewährten Standardlösung;
es ist nicht erforderlich, ein Team von Spezialisten zu beschäftigen, die den Betrieb des ISPDn auf Hardware-Ebene gewährleisten;
Anbieter bieten viel flexiblere und elastischere Lösungen an;
Die Spezialisten des Anbieters besitzen alle notwendigen Zertifikate;
Compliance ist mindestens so hoch wie beim Aufbau einer eigenen Architektur, unter Berücksichtigung der Anforderungen und Empfehlungen der Regulierungsbehörden.
Der alte Mythos, dass persönliche Daten nicht in der Cloud gespeichert werden dürfen, ist nach wie vor äußerst populär. Er ist nur teilweise wahr: PDn dürfen tatsächlich nicht gespeichert werden in der ersten verfügbar in der Cloud. Es sind bestimmte technische Maßnahmen erforderlich sowie die Anwendung bestimmter zertifizierter Lösungen. Wenn der Anbieter alle gesetzlichen Anforderungen erfüllt, werden die Risiken im Zusammenhang mit der Offenlegung von personenbezogenen Daten auf ein Minimum reduziert. Viele Anbieter verfügen über eine separate Infrastruktur zur Verarbeitung personenbezogener Daten gemäß dem Gesetz 152-FZ. Dennoch sollte die Auswahl des Anbieters unter Berücksichtigung bestimmter Kriterien erfolgen, die wir im Folgenden behandeln werden.
Kunden kommen häufig mit Bedenken zu uns, wenn es um die Speicherung personenbezogener Daten in der Cloud des Anbieters geht. Lassen Sie uns diese sofort besprechen.
Daten könnten während der Übertragung oder Migration gestohlen werden.
Darüber braucht man sich keine Sorgen zu machen — der Anbieter ermöglicht dem Kunden die Einrichtung eines geschützten Datenübertragungskanals, der auf zertifizierten Lösungen basiert, sowie verstärkte Authentifizierungsmaßnahmen für Partner und Mitarbeiter. Es bleibt nur, die geeigneten Schutzmaßnahmen auszuwählen und diese im Rahmen der Zusammenarbeit mit dem Kunden zu implementieren.
Es könnten Masken-Show kommen und den Server wegnehmen/versiegeln/ohne Strom setzen.
Es ist durchaus verständlich, dass Kunden besorgt sind, ihre Geschäftsprozesse könnten durch unzureichende Kontrolle über die Infrastruktur beeinträchtigt werden. Dies denken in der Regel die Kunden, deren Hardware zuvor in kleinen Serverräumen und nicht in spezialisierten Rechenzentren untergebracht war. In Wirklichkeit sind Rechenzentren mit modernen Mitteln sowohl der physischen als auch der Informationssicherheit ausgestattet. Es ist praktisch unmöglich, in einem solchen Rechenzentrum Operationen ohne ausreichende Gründe und Dokumente durchzuführen, und derartige Aktivitäten erfordern die Einhaltung einer Vielzahl von Verfahren. Außerdem kann das 'Herausziehen' Ihres Servers aus dem Rechenzentrum auch andere Kunden des Anbieters betreffen, was definitiv niemand möchte. Zudem wird niemand konkret auf Ihren virtuellen Server zeigen können. Wenn also jemand versucht, ihn zu stehlen oder ein Spektakel zu inszenieren, wird er zuerst mit einer Vielzahl von bürokratischen Hürden konfrontiert. In dieser Zeit haben Sie wahrscheinlich mehrmals die Gelegenheit, auf eine andere Plattform zu migrieren.
Hacker werden die Cloud hacken und Daten stehlen.
Das Internet und die Printmedien sind voll von Schlagzeilen darüber, wie eine weitere Cloud Opfer von Cyberkriminalität wurde und Millionen von Datensätzen mit persönlichen Daten ins Netz gelangten. In den überwiegenden meisten Fällen lagen die Schwachstellen jedoch nicht auf Seiten des Anbieters, sondern in den Informationssystemen der Opfer: schwache oder gar keine Standardpasswörter, Sicherheitslücken in Website-Engines und Datenbanken sowie die schlichte Nachlässigkeit der Unternehmen bei der Auswahl von Schutzmaßnahmen und der Organisation von Zugangsverfahren zu Daten. Alle zertifizierten Lösungen werden auf Schwachstellen geprüft. Auch wir führen regelmäßig „stichprobenartige“ Penetrationstests und Sicherheitsaudits sowohl eigenständig als auch mit Hilfe externer Organisationen durch. Für den Anbieter ist dies eine Frage des Rufs und des gesamten Geschäfts.
Der Anbieter/die Mitarbeiter des Anbieters werden persönliche Daten aus eigennützigen Gründen stehlen.
Das ist ein heikles Thema. Eine Reihe von Unternehmen aus der IT-Sicherheitsbranche "ängstigt" ihre Kunden und behauptet, dass "interne Mitarbeiter gefährlicher sind als externe Hacker". In einigen Fällen mag das zutreffen, aber ein Unternehmen kann nicht ohne Vertrauen aufgebaut werden. Gelegentlich gibt es Nachrichten darüber, dass eigene Mitarbeiter in Organisationen Kundendaten an Kriminelle weitergeben, während die interne Sicherheit oft viel schlechter organisiert ist als die externe. Hier ist es wichtig zu verstehen, dass jeder große Anbieter extrem an negativen Fällen nicht interessiert ist. Das Handeln der Mitarbeiter des Anbieters ist gut reguliert, Rollen und Verantwortungsbereiche sind klar getrennt. Alle Geschäftsprozesse sind so gestaltet, dass Datenlecks äußerst unwahrscheinlich sind und immer von den internen Abteilungen erkannt werden, weshalb Kunden in dieser Hinsicht keine Probleme zu befürchten brauchen.
Sie zahlen wenig, da Sie die Dienste mit den Daten Ihres Unternehmens bezahlen.
Ein weiterer Mythos: Der Kunde, der sich eine geschützte Infrastruktur zu einem attraktiven Preis mietet, zahlt dafür tatsächlich mit seinen Daten – so denken oft Fachleute, die sich vor dem Schlafengehen gerne einige Verschwörungstheorien durchlesen. Erstens ist die Möglichkeit, mit Ihren Daten andere als die in der Vereinbarung angegebenen Operationen durchzuführen, praktisch null. Zweitens schätzt ein seriöser Anbieter die Beziehung zu Ihnen und seinen guten Ruf – neben Ihnen hat er noch viele andere Kunden. Wahrscheinlicher ist das Gegenteil, bei dem der Anbieter die Daten seiner Kunden entschlossen schützt, da auch sein Geschäftsmodell davon abhängt.
Wählen eines Cloud-Anbieters für personenbezogene Daten
Heute bietet der Markt zahlreiche Lösungen für Unternehmen, die Betreiber von personenbezogenen Daten sind. Im Folgenden finden Sie eine allgemeine Liste von Empfehlungen zur Auswahl des passenden Anbieters.
Der Anbieter sollte bereit sein, einen offiziellen Vertrag abzuschließen, der die Pflichten der Parteien, SLA und Zuständigkeitsbereiche in Bezug auf die Verarbeitung personenbezogener Daten beschreibt. Tatsächlich muss zwischen Ihnen und dem Anbieter neben dem Dienstleistungsvertrag auch ein Auftragsverarbeitungsvertrag über die Verarbeitung personenbezogener Daten unterzeichnet werden. In jedem Fall sollten Sie diese Verträge sorgfältig prüfen. Es ist wichtig, die Abgrenzung der Zuständigkeitsbereiche zwischen Ihnen und dem Anbieter zu verstehen.
Bitte beachten Sie, dass das Segment den Anforderungen entsprechen muss, was bedeutet, dass es ein Zertifikat mit einem Sicherheitslevel haben sollte, das nicht niedriger ist als das, was von Ihrem Informationssystem gefordert wird. Manchmal veröffentlichen Anbieter nur die erste Seite des Zertifikats, aus der wenig ersichtlich ist, oder verweisen auf Audits oder Compliance-Verfahren, ohne das Zertifikat selbst zu veröffentlichen ("Gab es das Kind wirklich?"). Es lohnt sich, dies anzufordern – es handelt sich um ein öffentliches Dokument, das angibt, von wem die Zertifizierung durchgeführt wurde, die Gültigkeitsdauer, den Standort der Cloud usw.
Der Anbieter muss Informationen darüber bereitstellen, wo sich seine Standorte (Schutzobjekte) befinden, damit Sie die Lagerung Ihrer Daten kontrollieren können. Beachten Sie, dass die Erfassung personenbezogener Daten ursprünglich auf dem Territorium der Russischen Föderation erfolgen muss, daher sollte im Vertrag/Zertifikat die Adresse des Rechenzentrums vermerkt sein.
Der Anbieter muss zertifizierte Sicherheitslösungen und kryptographische Sicherheitslösungen verwenden. Natürlich machen die meisten Anbieter die verwendeten Schutztechniken und die Architektur ihrer Lösungen nicht öffentlich. Aber als Kunde sollten Sie hiervon wissen. Beispielsweise müssen für die Fernverbindung zum Verwaltungssystem (Verwaltungsportal) Schutzmaßnahmen eingesetzt werden. Der Anbieter wird dieses Erfordernis nicht umgehen können und wird Ihnen zertifizierte Lösungen bereitstellen (oder von Ihnen verlangen, diese zu verwenden). Testen Sie die Ressourcen und Sie werden sofort verstehen, wie alles aufgebaut ist.
Es ist äußerst wünschenswert, dass der Cloud-Anbieter zusätzliche Dienstleistungen im Bereich der Informationssicherheit anbietet. Dazu gehören verschiedene Services: DDoS-Schutz und WAF, Antivirenservices oder Sandboxes usw. All dies ermöglicht Ihnen, Schutz als Dienstleistung zu erhalten, ohne sich mit dem Aufbau von Sicherheitssystemen ablenken zu müssen, und sich auf Geschäftsanwendungen zu konzentrieren.
Der Anbieter muss von der FSTEK und der FSB lizenziert sein. In der Regel finden Sie diese Informationen direkt auf der Website. Fordern Sie unbedingt diese Dokumente an und überprüfen Sie, ob die Adressen der angebotenen Dienstleistungen, der Name des Anbieters usw. korrekt angegeben sind.
Fassen wir zusammen. Die Anmietung von Infrastruktur ermöglicht es, auf CAPEX zu verzichten und nur die eigenen Geschäftsanwendungen und Daten in Ihrer Verantwortung zu behalten, während die schwere Last der Zertifizierung der Hardware und Software-Komponenten an den Anbieter übertragen wird.
So haben wir die Zertifizierung durchlaufen
Vor nicht allzu langer Zeit haben wir erfolgreich die Wiederzertifizierung der Infrastruktur des „Geschützten Cloud-Systems FZ-152“ hinsichtlich der Anforderungen für den Umgang mit personenbezogenen Daten bestanden. Die Arbeiten wurden vom „Nationalen Zertifizierungszentrum“ durchgeführt.
Aktuell ist das „Geschützte Cloud FZ-152“ für die Bereitstellung von Informationssystemen zertifiziert, die an der Verarbeitung, Speicherung oder Übertragung personenbezogener Daten (ISPDn) gemäß den Anforderungen der Schutzstufe UZ-3 beteiligt sind.
Das Zertifizierungsverfahren beinhaltet die Überprüfung der Übereinstimmung der Infrastruktur des Cloud-Anbieters mit dem Schutzniveau. Der Anbieter stellt IaaS-Dienste bereit und ist kein Betreiber personenbezogener Daten. Der Prozess umfasst die Bewertung sowohl der organisatorischen (Dokumentation, Anordnungen usw.) als auch der technischen Maßnahmen (Konfiguration von Schutzmaßnahmen etc.).
Es kann nicht als trivial bezeichnet werden. Trotz der Tatsache, dass das GOST für Programme und Methoden zur Durchführung von Zertifizierungsmaßnahmen bereits 2013 eingeführt wurde, existieren nach wie vor keine strengen Programme für Cloud-Objekte. Die Zertifizierungszentren entwickeln diese Programme basierend auf ihrer eigenen Expertise. Mit dem Aufkommen neuer Technologien werden die Programme komplexer und modernisiert, weshalb der Zertifizierer Erfahrung mit Cloud-Lösungen haben und die Spezifikationen verstehen muss.
In unserem Fall besteht das Schutzobjekt aus zwei Standorten.
Die Cloud-Ressourcen (Server, SAN, Netzwerkinfrastruktur, Sicherheitslösungen usw.) sind direkt im Rechenzentrum untergebracht. Selbstverständlich ist ein solches virtuelles Rechenzentrum mit öffentlichen Netzwerken verbunden, daher müssen bestimmte Anforderungen an die Firewall eingehalten werden, wie z. B. die Verwendung zertifizierter Firewalls.
Der zweite Teil des Objekts sind die Cloud-Management-Tools. Dies sind Arbeitsstationen (Admin-Arbeitsplätze), von denen aus der gesicherte Bereich verwaltet wird.
Die Standorte sind über VPN-kanäle verbunden, die auf Kryptertechnologie basieren.
Da Virtualisierungstechnologien Bedingungen für das Auftreten von Bedrohungen schaffen, verwenden wir zusätzliche zertifizierte Sicherheitslösungen.
Strukturschema aus der Sicht des Zertifizierers
Wenn ein Kunde eine Zertifizierung seiner ISMS benötigt, muss er nach der Miete von IaaS lediglich die Informationssysteme auf einer Ebene über einem virtuellen Rechenzentrum bewerten. Dieses Verfahren umfasst die Überprüfung der Infrastruktur und der eingesetzten Software. Da Sie in allen infrastrukturellen Angelegenheiten auf das Zertifikat des Anbieters verweisen können, bleibt Ihnen nur die Arbeit mit der Software zu erledigen.
Abstraktionsebene
Abschließend möchten wir eine kleine Checkliste für Unternehmen vorstellen, die bereits mit personenbezogenen Daten arbeiten oder dies planen. Wie sollte man damit umgehen, ohne Fehler zu machen?
Für Audits und die Entwicklung von Bedrohungsmodellen sollten Sie einen erfahrenen Berater aus den akkreditierten Laboren einladen, der Ihnen hilft, die notwendigen Dokumente zu erstellen und Sie bis zur Phase der technischen Lösungen zu begleiten.
Achten Sie bei der Auswahl eines Cloud-Anbieters auf das Vorhandensein eines Zertifikats. Es ist gut, wenn das Unternehmen dieses öffentlich direkt auf der Website veröffentlicht hat. Der Anbieter sollte ein Lizenznehmer der FSTEK und FSB sein, und der angebotene Service sollte zertifiziert sein.
Stellen Sie sicher, dass ein offizieller Vertrag abgeschlossen und ein Auftrag zur Verarbeitung personenbezogener Daten unterzeichnet wird. Auf dieser Grundlage können Sie sowohl die Konformitätsprüfung als auch die Zertifizierung des personenbezogenen Datenverarbeitungssystems durchführen. Wenn Ihnen diese Arbeiten in der Phase des technischen Projekts und bei der Erstellung der technischen Dokumentation lästig erscheinen, sollten Sie sich an externe Beratungsunternehmen oder Zertifizierungslabore wenden.
Wenn Sie sich mit Fragen zur Verarbeitung personenbezogener Daten beschäftigen, freuen wir uns, Sie am 18. September, diesen Freitag, zu unserem Webinar einzuladen. .
Quelle: habr.com
