Egal wie oft wir die Mythen und Legenden, die das 152-FZ umgeben, analysieren, bleibt immer etwas im Verborgenen. Heute möchten wir einige nicht immer offensichtliche Nuancen besprechen, mit denen sowohl große Unternehmen als auch ganz kleine Betriebe konfrontiert sein können:
Details zur Klassifikation von personenbezogenen Daten nach Kategorien - wenn ein kleiner Online-Shop Daten sammelt, die einer speziellen Kategorie angehören, ohne es zu wissen;
wo gesammelte Backups von personenbezogenen Daten gespeichert werden können und welche Operationen darauf durchgeführt werden können;
was der Unterschied zwischen einem Zertifikat und einem Konformitätsgutachten ist, welche Dokumente überhaupt vom Anbieter angefordert werden sollten und alles in diesem Sinne.
Zum Schluss werden wir unsere eigenen Erfahrungen mit der Zertifizierung mit Ihnen teilen. Lass uns beginnen!
Der Experte in diesem Artikel wird sein Alexey Afanasev, ein Spezialist für Sicherheitsfragen von Cloud-Anbietern „IT-GRAD“ und #CloudMTS (Teil der MTS-Gruppe).
Details zur Klassifikation
Wir stehen häufig vor dem Wunsch des Kunden, schnell ohne Audit ein gewünschtes Sicherheitsniveau für das ISPD zu definieren. Einige Materialien im Internet zu diesem Thema erwecken den falschen Eindruck, dass dies eine einfache Aufgabe ist und es schwierig ist, einen Fehler zu machen.
Um das Sicherheitsniveau zu bestimmen, ist es notwendig zu verstehen, welche Daten vom IS des Kunden gesammelt und verarbeitet werden. Manchmal ist es nicht einfach, die Anforderungen an den Schutz und die Kategorie der personenbezogenen Daten, mit denen das Unternehmen arbeitet, eindeutig zu definieren. Dieselbe Art von personenbezogenen Daten kann ganz unterschiedlich bewertet und klassifiziert werden. Daher können die Meinungen des Unternehmens und des Auditors oder sogar des Prüfers in einigen Fällen auseinandergehen. Lassen Sie uns einige Beispiele betrachten.
Fuhrpark. Es scheint eine ganz traditionelle Art von Geschäft zu sein. Viele Fuhrparks arbeiten seit Jahrzehnten, und ihre Eigentümer beschäftigen Einzelunternehmer und Privatpersonen. In der Regel fallen die Daten der Mitarbeiter unter die Anforderungen der UZ-4. Für die Arbeit mit Fahrern ist es jedoch notwendig, nicht nur die Anmeldedaten zu sammeln, sondern auch eine medizinische Kontrolle im Fuhrpark vor Schichtbeginn durchzuführen, und die dabei gesammelten Informationen fallen sofort in die Kategorie der medizinischen Daten – das sind personenbezogene Daten einer speziellen Kategorie. Darüber hinaus kann der Fuhrpark Bescheinigungen anfordern, die dann im Fahrerakte aufbewahrt werden. Ein Scan einer solchen Bescheinigung in elektronischer Form – Daten über den Gesundheitszustand, personenbezogene Daten einer speziellen Kategorie. Das bedeutet, dass UZ-4 nicht mehr ausreicht, es wird mindestens UZ-3 benötigt.
Onlineshop. Es scheint, dass die gesammelten Namen, E-Mails und Telefonnummern in die allgemein zugängliche Kategorie fallen. Wenn Ihre Kunden jedoch gastronomische Vorlieben angeben, wie Halal oder koscher, kann diese Information als Daten über religiöse Zugehörigkeit und Überzeugungen eingestuft werden. Daher kann der Prüfer bei der Prüfung oder Durchführung anderer Kontrollmaßnahmen Ihre gesammelten Daten als spezielle Kategorie personenbezogener Daten einstufen. Wenn der Onlineshop Informationen darüber sammeln würde, ob sein Käufer Fleisch oder Fisch bevorzugt, könnten die Daten in die Kategorie anderer personenbezogener Daten eingeordnet werden. Übrigens, was ist mit Vegetariern? Auch das kann als philosophische Überzeugung betrachtet werden, die ebenfalls zur speziellen Kategorie gehört. Auf der anderen Seite könnte es einfach die Position einer Person sein, die Fleisch aus ihrer Ernährung ausgeschlossen hat. Leider gibt es keine Tabelle, die die Kategorie personenbezogener Daten in solchen „feinen“ Situationen eindeutig definiert.
Werbeagentur mit Hilfe eines westlichen Cloud-Dienstes verarbeitet er öffentliche Daten seiner Kunden – Namen, E-Mail-Adressen und Telefonnummern. Diese Angaben beziehen sich selbstverständlich auf personenbezogene Daten. Die Frage stellt sich: Ist eine solche Verarbeitung legal? Ist es überhaupt möglich, solche Daten ohne Anonymisierung außerhalb Russlands zu übertragen, zum Beispiel Backups in ausländischen Clouds zu speichern? Ja, das ist möglich. Die Agentur hat das Recht, diese Daten auch außerhalb Russlands zu speichern, jedoch muss die ursprüngliche Erhebung laut unserer Gesetzgebung auf dem Territorium Russlands erfolgen. Wenn Sie solche Informationen sichern, basierend auf diesen Informationen Statistiken erstellen, Forschung betreiben oder andere Aktionen damit durchführen – all das kann auch auf westlichen Ressourcen gemacht werden. Der entscheidende Punkt aus rechtlicher Sicht ist, wo die Erhebung von personenbezogenen Daten stattfindet. Daher ist es wichtig, die ursprüngliche Erhebung und die Verarbeitung nicht zu verwechseln.
Wie aus diesen kurzen Beispielen hervorgeht, ist die Arbeit mit personenbezogenen Daten nicht immer eindeutigen und einfach. Es reicht nicht aus, nur zu wissen, dass Sie mit ihnen arbeiten, sondern man muss auch in der Lage sein, sie richtig zu klassifizieren und zu verstehen, wie das Informationssystem funktioniert, um das erforderliche Schutzniveau korrekt zu bestimmen. In einigen Fällen kann die Frage aufgeworfen werden, welches Volumen an personenbezogenen Daten für die Organisation tatsächlich erforderlich ist. Ist es möglich, auf die ernsthaftesten oder einfach überflüssigen Daten zu verzichten? Darüber hinaus empfiehlt der Regulator, personenbezogene Daten dort zu anonymisieren, wo es möglich ist.
Wie in den obigen Beispielen kann es vorkommen, dass die Prüfungsbehörden die gesammelten personenbezogenen Daten etwas anders interpretieren, als Sie sie selbst bewertet haben.
Natürlich kann man einen Auditor oder Systemintegrator als Unterstützung hinzuziehen, aber wird der „Helfer“ für die getroffenen Entscheidungen im Falle einer Prüfung verantwortlich sein? Es ist zu beachten, dass die Verantwortung immer beim Eigentümer des Informationssystems für personenbezogene Daten – dem Betreiber personenbezogener Daten – liegt. Daher ist es wichtig, dass Unternehmen, die solche Arbeiten durchführen, sich an seriöse Akteure auf dem Markt dieser Dienstleistungen wenden, beispielsweise an Unternehmen, die Zertifizierungsarbeiten durchführen. Zertifizierungsunternehmen haben viel Erfahrung in der Durchführung solcher Arbeiten.
Varianten zum Aufbau eines Informationssystems für personenbezogene Daten
Der Aufbau eines ISPDn ist nicht nur eine technische, sondern auch eine rechtliche Frage. Der IT-Direktor oder der Sicherheitsdirektor sollte unbedingt einen Anwalt konsultieren. Da in vielen Unternehmen nicht immer ein Spezialist mit dem benötigten Profil vorhanden ist, lohnt es sich, nach Prüfern oder Beratern zu suchen. Viele heikle Punkte sind durchaus nicht offensichtlich.
Die Beratung wird Ihnen helfen festzustellen, mit welchen personenbezogenen Daten Sie es zu tun haben und welcher Schutzbedarf besteht. Demnach erhalten Sie einen Überblick über das IS, das geschaffen oder mit Sicherheits- und ORD-Mitteln ergänzt werden muss.
Oft hat das Unternehmen die Wahl zwischen zwei Optionen:
Entweder ein entsprechendes IS auf eigenen Software- und Hardwarelösungen, möglicherweise in ihrem eigenen Rechenzentrum, aufzubauen.
Oder einen Cloud-Anbieter zu nutzen und eine elastische Lösung zu wählen, also ein bereits validiertes "virtuelles Rechenzentrum".
Die meisten IS, die PDbn verarbeiten, verwenden einen traditionellen Ansatz, der aus geschäftlicher Sicht schwer als einfach und gelungen bezeichnet werden kann. Wenn Sie diese Option wählen, müssen Sie sich darüber im Klaren sein, dass das technische Projekt eine Beschreibung der Hardware, einschließlich Software- und Hardwarelösungen sowie Plattformen, umfasst. Das bedeutet, dass Sie sich mit folgenden Schwierigkeiten und Einschränkungen auseinandersetzen müssen:
Schwierigkeit der Skalierung;
Lange Projektlaufzeit: es ist notwendig, die Systeme auszuwählen, zu kaufen, zu installieren, zu konfigurieren und zu dokumentieren;
Menge an „papierlicher“ Arbeit, ein Beispiel wäre die Erstellung eines vollständigen Dokumentationspakets für das gesamte ISPDn.
Darüber hinaus haben Unternehmen in der Regel nur ein Verständnis des „obersten“ Niveaus ihres IS – der verwendeten Geschäftsanwendungen. Mit anderen Worten, das IT-Personal ist in seinem engen Bereich qualifiziert. Es fehlt das Verständnis dafür, wie alle „unteren Ebenen“ funktionieren: Software- und Hardware-Schutzmittel, Speichersysteme, Backup und natürlich, wie man unter Berücksichtigung aller Anforderungen die Schutzmittel einrichtet und die „Hardware“-Komponente der Konfiguration erstellt. Es ist wichtig zu verstehen: Dies ist ein riesiger Wissensbereich, der über die Grenzen des Unternehmens des Kunden hinausgeht. Genau hier kann die Erfahrung des Cloud-Anbieters, der ein validiertes „virtuelles Rechenzentrum“ zur Verfügung stellt, nützlich sein.
Cloud-Anbieter haben eine Reihe von Vorteilen, die, ohne Übertreibung, in der Lage sind, 99 % der geschäftlichen Anforderungen im Bereich des Datenschutzes zu decken:
Investitionskosten werden in Betriebskosten umgewandelt;
Der Anbieter garantiert seinerseits die Gewährleistung des erforderlichen Sicherheits- und Verfügbarkeitsniveaus auf der Basis einer bewährten Standardlösung;
es besteht keine Notwendigkeit, einen Stamm von Fachleuten zu beschäftigen, die die Funktionalität des ISPDn auf Hardware-Ebene sicherstellen;
Anbieter bieten viel flexiblere und elastische Lösungen an;
Die Fachleute des Anbieters verfügen über alle erforderlichen Zertifikate;
Compliance nicht niedriger als bei der Erstellung einer eigenen Architektur, unter Berücksichtigung der Anforderungen und Empfehlungen der Aufsichtsbehörden.
Der alte Mythos, dass persönliche Daten nicht in der Cloud gespeichert werden dürfen, ist nach wie vor äußerst beliebt. Er ist nur teilweise wahr: Persönliche Daten dürfen tatsächlich nicht in irgendeiner beliebigen Cloud gespeichert werden. Es müssen bestimmte technische Maßnahmen eingehalten und bestimmte zertifizierte Lösungen angewendet werden. Wenn der Anbieter allen gesetzlichen Anforderungen entspricht, werden die Risiken im Zusammenhang mit der Leckage persönlicher Daten auf ein Minimum reduziert. Viele Anbieter haben eine separate Infrastruktur zur Verarbeitung persönlicher Daten gemäß dem Gesetz 152-FZ. Bei der Auswahl eines Anbieters müssen jedoch bestimmte Kriterien berücksichtigt werden, die wir im Folgenden unbedingt behandeln werden.
Kunden kommen oft mit gewissen Bedenken zu uns, was die Speicherung persönlicher Daten in der Cloud des Anbieters betrifft. Lassen Sie uns diese Bedenken sofort besprechen.
Daten können während der Übertragung oder Migration gestohlen werden.
Davor muss man keine Angst haben – der Anbieter bietet dem Kunden die Erstellung eines geschützten Datenübertragungskanals an, der auf zertifizierten Lösungen basiert, verstärkte Authentifizierungsmaßnahmen für Partner und Mitarbeiter. Es bleibt, geeignete Schutzmaßnahmen auszuwählen und diese im Rahmen der Zusammenarbeit mit dem Kunden umzusetzen.
Es werden Masken-Show kommen und den Server wegnehmen/versiegeln/abschalten.
Es ist durchaus verständlich, dass Auftraggeber besorgt sind, ihre Geschäftsprozesse könnten aufgrund unzureichender Kontrolle über die Infrastruktur gestört werden. Dies betrifft in der Regel Kunden, deren Hardware zuvor in kleinen Serverräumen und nicht in spezialisierten Rechenzentren untergebracht war. In der Realität sind Rechenzentren jedoch mit modernen Mitteln sowohl physikalischen als auch informatischen Schutzes ausgestattet. Jegliche Operationen in einem solchen Rechenzentrum sind praktisch ohne ausreichende Gründe und Dokumente nicht durchführbar, und derartige Aktivitäten erfordern die Einhaltung einer Vielzahl von Verfahren. Darüber hinaus kann das "Herausziehen" Ihres Servers aus dem Rechenzentrum andere Kunden des Anbieters betreffen, was absolut niemand möchte. Zudem kann niemand mit dem Finger auf "Ihren" virtuellen Server zeigen, weshalb es, selbst wenn jemand ihn stehlen oder eine Inszenierung über ihn veranstalten möchte, zuerst auf eine Menge bürokratischer Hürden stoßen müsste. In der Zwischenzeit werden Sie wahrscheinlich mehrmals auf eine andere Plattform migrieren können.
Hacker werden die Cloud hacken und Daten stehlen
Das Internet und die Printmedien sind voller Schlagzeilen darüber, wie eine weitere Cloud zum Opfer von Cyberkriminellen fiel und Millionen von Datensätzen mit persönlichen Daten im Netz geleakt wurden. In den überwältigenden meisten Fällen wurden die Schwachstellen jedoch nicht beim Anbieter, sondern im Informationssystem der Opfer entdeckt: schwache oder gar Standardpasswörter, „Sicherheitslücken“ in Website-Engines und Datenbanken, banale Nachlässigkeit der Unternehmen bei der Wahl von Schutzmaßnahmen und der Organisation von Zugangsverfahren zu Daten. Alle zertifizierten Lösungen werden auf Schwachstellen überprüft. Auch wir führen regelmäßig „Kontroll“-Penetrationstests und Sicherheitsprüfungen sowohl selbst als auch mit Hilfe externer Organisationen durch. Für den Anbieter ist dies eine Frage des Rufs und des Geschäfts insgesamt.
Der Anbieter / Mitarbeiter des Anbieters wird persönliche Daten aus eigennützigen Gründen stehlen
Das ist ein recht heikler Punkt. Eine Reihe von Unternehmen aus der Welt der IKT "ängstigen" ihre Kunden und bestehen darauf, dass "interne Mitarbeiter gefährlicher sind als Hacker von außen". So mag es in einigen Fällen sein, aber ein Geschäft kann nicht ohne Vertrauen aufgebaut werden. Gelegentlich gibt es Nachrichten darüber, dass eigene Mitarbeiter von Organisationen Kundendaten an Dritte weitergeben, während die interne Sicherheit manchmal viel schlechter organisiert ist als die externe. Hier ist es wichtig zu verstehen, dass jeder große Anbieter extrem uninteressiert an negativen Fällen ist. Die Handlungen der Mitarbeiter des Anbieters sind gut reguliert, Rollen und Zuständigkeitsbereiche sind getrennt. Alle Geschäftsprozesse sind so gestaltet, dass Fälle von Datenlecks äußerst unwahrscheinlich sind und immer von den internen Diensten bemerkt werden, sodass die Kunden sich in dieser Hinsicht keine Sorgen machen müssen.
Sie zahlen wenig, da Sie die Dienstleistungen mit den Daten Ihres Unternehmens bezahlen.
Ein weiterer Mythos: Ein Kunde, der eine sichere Infrastruktur zu einem fairen Preis mietet, zahlt tatsächlich mit seinen Daten dafür – so denken häufig Spezialisten, die vor dem Schlafengehen gerne ein paar Verschwörungstheorien lesen. Erstens ist die Möglichkeit, mit Ihren Daten etwas anderes zu tun als das, was im Auftrag angegeben ist, praktisch gleich null. Zweitens schätzt ein angemessener Anbieter die Beziehung zu Ihnen und seinen Ruf – außer Ihnen hat er viele andere Kunden. Wahrscheinlicher ist das Gegenteil, bei dem der Anbieter die Daten seiner Kunden vehement schützt, auf denen auch sein Geschäft basiert.
Auswahl eines Cloud-Anbieters für die Verarbeitung personenbezogener Daten
Heutzutage bietet der Markt viele Lösungen für Unternehmen, die Betreiber von personenbezogenen Daten sind. Nachfolgend finden Sie eine allgemeine Liste von Empfehlungen zur Auswahl des geeigneten Anbieters.
Der Anbieter sollte bereit sein, einen offiziellen Vertrag mit einer Beschreibung der Pflichten der Parteien, der SLA und der Zuständigkeitsbereiche im Hinblick auf die Verarbeitung personenbezogener Daten abzuschließen. Tatsächlich sollte zwischen Ihnen und dem Anbieter neben dem Dienstleistungsvertrag ein Auftrag zur Verarbeitung personenbezogener Daten unterzeichnet werden. In jedem Fall ist es sinnvoll, diese genau zu prüfen. Es ist wichtig, die Abgrenzung der Zuständigkeitsbereiche zwischen Ihnen und dem Anbieter zu verstehen.
Bitte beachten Sie, dass das Segment den Anforderungen entsprechen muss, was bedeutet, dass es ein Zertifikat mit einem Sicherheitsniveau haben muss, das mindestens dem entspricht, was für Ihr IS erforderlich ist. Es kommt vor, dass Anbieter nur die erste Seite des Zertifikats veröffentlichen, aus der kaum etwas zu entnehmen ist, oder sie verweisen auf Audits oder die Durchführung von Konformitätsverfahren, ohne das Zertifikat selbst zu veröffentlichen ("Gab es einen Jungen?"). Es sollte angefordert werden — es handelt sich um ein öffentliches Dokument, in dem angegeben wird, wer die Zertifizierung durchgeführt hat, die Gültigkeitsdauer, der Standort der Cloud usw.
Der Anbieter muss Informationen darüber bereitstellen, wo sich seine Standorte (Schutzobjekte) befinden, damit Sie die Platzierung Ihrer Daten überwachen können. Wir erinnern daran, dass die ursprüngliche Erfassung personenbezogener Daten auf dem Territorium der Russischen Föderation erfolgen muss; daher ist es wünschenswert, im Vertrag/Zertifikat die Adressen der Rechenzentren zu sehen.
Der Anbieter muss zertifizierte Sicherheitslösungen (SZI) und kritische Sicherheitslösungen (SKZI) verwenden. Natürlich machen die meisten Anbieter die verwendeten technischen Schutzmittel und die Architektur der Lösungen nicht öffentlich. Aber Sie als Kunde können das nicht ignorieren. Beispielsweise müssen für den Remote-Zugriff auf das Managementsystem (Managementportal) Schutzmittel verwendet werden. Der Anbieter kann diese Anforderung nicht umgehen und wird Ihnen (oder von Ihnen verlangen) zertifizierte Lösungen zur Verfügung stellen. Nehmen Sie die Ressourcen in den Test und Sie werden sofort verstehen, wie alles strukturiert ist.
Es ist äußerst wünschenswert, dass der Cloud-Anbieter zusätzliche Dienstleistungen im Bereich der Informationssicherheit anbietet. Dies können verschiedene Dienste sein: Schutz vor DDoS-Angriffen und WAF, Antivirenservice oder Sandbox usw. All dies ermöglicht es Ihnen, Schutz als Dienstleistung zu erhalten, ohne sich mit dem Aufbau von Schutzsystemen ablenken zu müssen, und sich auf Geschäftsapplikationen zu konzentrieren.
Der Anbieter muss ein Lizenznehmer der FSTEC und des FSB sein. In der Regel wird diese Information direkt auf der Website veröffentlicht. Fordern Sie unbedingt diese Dokumente an und überprüfen Sie, ob die Adressen der Dienstleistungen, der Name des Anbieters usw. korrekt angegeben sind.
Lassen Sie uns zusammenfassen. Die Anmietung von Infrastruktur ermöglicht es, auf CAPEX zu verzichten und nur die eigenen Geschäftsapplikationen und Daten in Ihrem Verantwortungsbereich zu belassen, während die schwere Last der Zertifizierung von Hardware und Softwarelösungen dem Anbieter übertragen wird.
Wie wir die Zertifizierung durchlaufen haben
Vor kurzem haben wir erfolgreich die Re-Zertifizierung der Infrastruktur der "Geschützten Cloud FZ-152" gemäß den Anforderungen für den Umgang mit personenbezogenen Daten abgeschlossen. Die Arbeiten wurden vom "Nationalen Zertifizierungszentrum" durchgeführt.
Derzeit ist die "Geschützte Cloud FZ-152" für die Bereitstellung von Informationssystemen, die an der Verarbeitung, Speicherung oder Übertragung personenbezogener Daten (ISPDb) beteiligt sind, gemäß den Anforderungen der Stufe UZ-3 zertifiziert.
Das Zertifizierungsverfahren umfasst die Überprüfung der Übereinstimmung der Infrastruktur des Cloud-Anbieters mit dem Schutzniveau. Der Anbieter bietet IaaS-Services an und fungiert nicht als Betreiber personenbezogener Daten. Der Prozess beinhaltet die Bewertung sowohl der organisatorischen (Dokumentation, Anordnungen usw.) als auch der technischen Maßnahmen (Konfiguration von Schutzmaßnahmen usw.).
Als trivial kann man es nicht bezeichnen. Obwohl der GOST für Programme und Methoden zur Durchführung von Zertifizierungsmaßnahmen bereits 2013 veröffentlicht wurde, existieren noch keine strengen Programme für Cloud-Objekte. Die Zertifizierungszentren entwickeln diese Programme auf der Grundlage ihrer eigenen Expertise. Mit dem Aufkommen neuer Technologien werden die Programme komplizierter und modernisiert, entsprechend muss der Zertifizierer Erfahrung mit Cloud-Lösungen haben und die Spezifikationen verstehen.
In unserem Fall besteht das Schutzobjekt aus zwei Standorten.
Direkt im Rechenzentrum befinden sich die Cloud-Ressourcen (Server, SAN, Netzwerk-Infrastruktur, Schutzmittel usw.). Selbstverständlich ist dieses virtuelle Rechenzentrum mit öffentlichen Netzwerken verbunden, daher müssen bestimmte Anforderungen an die Netzwerksicherheit erfüllt werden, beispielsweise die Verwendung von zertifizierten Firewalls.
Der zweite Teil des Objekts sind die Steuerungsinstrumente der Cloud. Dies sind Arbeitsstationen (Admin-Arbeitsplätze), mit denen der geschützte Bereich verwaltet wird.
Die Standorte sind über VPN- einen Kanal verbunden, der auf SKZI basiert.
Da Virtualisierungstechnologien Voraussetzungen für die Entstehung von Bedrohungen schaffen, verwenden wir auch zusätzliche zertifizierte Schutzmittel.
Strukturdiagramm "aus Sicht des Zertifizierers"
Wenn der Kunde eine Zertifizierung seines ISPDn benötigt, bleibt ihm nach der Anmietung von IaaS nur noch die Durchführung einer Bewertung des Informationssystems über dem Niveau des virtuellen Rechenzentrums. Dieses Verfahren umfasst die Überprüfung der Infrastruktur und der darauf verwendeten Software. Da Sie in allen Infrastrukturfragen auf das Zertifikat des Anbieters verweisen können, müssen Sie lediglich die Arbeiten mit der Software durchführen.
Trennung auf der Abstraktionsebene
Abschließend stellen wir eine kleine Checkliste für Unternehmen bereit, die bereits mit PDn arbeiten oder dies nur planen. Also, wie man mit PDn umgeht, ohne sich zu verbrennen.
Für die Überprüfung und Entwicklung von Bedrohungs- und Angreifer-Modellen sollten Sie einen erfahrenen Berater aus den Zertifizierungslaboren einladen, der Ihnen hilft, die erforderlichen Dokumente zu erstellen und Sie bereits zur Phase der technischen Lösungen führt.
Achten Sie beim Auswählen eines Cloud-Anbieters auf die Verfügbarkeit eines Zertifikats. Es ist vorteilhaft, wenn das Unternehmen es öffentlich direkt auf der Website hinterlegt hat. Der Anbieter sollte über eine Lizenz von FSTEK und FSB verfügen, und der angebotene Dienst sollte zertifiziert sein.
Stellen Sie sicher, dass Sie einen offiziellen Vertrag abschließen und den Auftrag zur Verarbeitung von PDn unterzeichnen. Auf dieser Grundlage können Sie sowohl die Konformitätsprüfung als auch die Zertifizierung von ISPDn durchführen. Wenn diese Arbeiten in der Phase des technischen Projekts und der Erstellung der technischen Dokumentation für Sie belastend erscheinen, sollten Sie externe Beratungsunternehmen aus den Zertifizierungslaboren in Betracht ziehen.
Wenn Sie Fragen zur Verarbeitung von PDn haben, freuen wir uns am 18. September, diesem Freitag, Sie in unserem Webinar zu sehen. .
Quelle: habr.com
