![\"IaaS](\"\/wp-content\/uploads\/2020\/09\/d91a5d152754f82316e0027fd3447b53.jpg\")
<\/p>\n<\/p>\n
Egal wie oft die Mythen und Legenden um die \u00dcbereinstimmung mit dem Gesetz 152-FZ diskutiert werden, bleibt immer etwas im Hintergrund. Heute m\u00f6chten wir die oft nicht offensichtlichen Nuancen besprechen, mit denen sowohl gro\u00dfe Unternehmen als auch sehr kleine Betriebe konfrontiert werden k\u00f6nnen:<\/p>\n
die Feinheiten der Klassifizierung personenbezogener Daten nach Kategorien \u2014 wenn ein kleiner Online-Shop Daten zu einer speziellen Kategorie sammelt, ohne dies zu wissen;<\/p>\n<\/li>\n
wo man Backups der gesammelten personenbezogenen Daten speichern und Operationen damit durchf\u00fchren kann;<\/p>\n<\/li>\n
worin sich das Zertifikat und das Konformit\u00e4tsgutachten unterscheiden, welche Dokumente man \u00fcberhaupt beim Anbieter anfordern sollte und alles, was damit zu tun hat.<\/p>\n<\/li>\n<\/ul>\n
Zum Schluss teilen wir unsere eigenen Erfahrungen mit der Zertifizierung. Los geht's!<\/p>\n
Der Experte in unserem heutigen Artikel wird Alexey Afanasyev<\/strong>, ein Spezialist f\u00fcr Sicherheitsfragen bei Cloud-Anbietern \u201eIT-GRAD\u201c und #CloudMTS (geh\u00f6rt zur MTS-Gruppe).<\/em><\/p>\n H\u00e4ufig stehen wir vor dem Wunsch des Kunden, schnell und ohne eine Pr\u00fcfung des Informationssystems das erforderliche Schutzniveau f\u00fcr personenbezogene Daten zu bestimmen. Einige Materialien im Internet zu diesem Thema erwecken den falschen Eindruck, dass diese Aufgabe einfach und das Risiko eines Fehlers gering ist.<\/p>\n Um das Schutzniveau zu bestimmen, ist es notwendig zu verstehen, welche Daten vom Informationssystem des Kunden gesammelt und verarbeitet werden sollen. Manchmal ist es nicht einfach, die Anforderungen an den Schutz und die Kategorie der personenbezogenen Daten, mit denen das Unternehmen arbeitet, eindeutig zu definieren. Die gleichen Arten von personenbezogenen Daten k\u00f6nnen ganz unterschiedlich bewertet und klassifiziert werden. Daher kann die Meinung des Unternehmens in bestimmten F\u00e4llen von der des Auditors oder sogar des Pr\u00fcfers abweichen. Betrachten wir einige Beispiele.<\/p>\n Fuhrpark.<\/strong> Es scheint ein ganz traditionelles Gesch\u00e4ftsmodell zu sein. Viele Fuhrparks arbeiten seit Jahrzehnten, und deren Eigent\u00fcmer stellen Unternehmer und Privatpersonen ein. In der Regel unterliegen die Daten der Mitarbeiter den Anforderungen von UZ-4. Allerdings ist es erforderlich, nicht nur die pers\u00f6nlichen Daten zu sammeln, sondern auch eine medizinische Kontrolle im Fuhrpark vor Schichtbeginn durchzuf\u00fchren, wobei die dabei gesammelten Informationen sofort in die Kategorie der medizinischen Daten fallen \u2013 und das sind besondere personenbezogene Daten. Zudem kann der Fuhrpark Bescheinigungen anfordern, die dann in der Akte des Fahrers aufbewahrt werden. Ein elektronisches Scan dieser Bescheinigung enth\u00e4lt Daten zum Gesundheitszustand \u2013 ebenfalls besondere personenbezogene Daten. Somit ist UZ-4 nicht ausreichend, es wird mindestens UZ-3 ben\u00f6tigt.<\/p>\n Online-Shop. <\/strong>Es scheint, als w\u00fcrden die gesammelten Namen, E-Mails und Telefonnummern in eine allgemein zug\u00e4ngliche Kategorie fallen. Wenn jedoch Ihre Kunden gastronomische Vorlieben angeben, wie Halal oder Kascher, k\u00f6nnten solche Informationen als Daten \u00fcber religi\u00f6se Zugeh\u00f6rigkeit und \u00dcberzeugungen betrachtet werden. Daher k\u00f6nnte ein Pr\u00fcfer bei der \u00dcberpr\u00fcfung oder Durchf\u00fchrung anderer Kontrollma\u00dfnahmen die von Ihnen gesammelten Daten in eine spezielle Kategorie personenbezogener Daten einordnen. Wenn beispielsweise ein Online-Shop Informationen dar\u00fcber sammeln w\u00fcrde, ob ein K\u00e4ufer Fleisch oder Fisch bevorzugt, k\u00f6nnten diese Daten in die Kategorie anderer personenbezogener Daten eingeordnet werden. \u00dcbrigens, was ist mit Vegetariern? Das k\u00f6nnte ebenfalls als philosophische \u00dcberzeugungen betrachtet werden, die auch zur Spezialkategorie geh\u00f6ren. Andererseits k\u00f6nnte es auch einfach die Position einer Person sein, die Fleisch aus ihrer Ern\u00e4hrung ausgeschlossen hat. Leider gibt es keine Tabelle, die in solch \u201eschwierigen\u201c Situationen eindeutig die Kategorie personenbezogener Daten bestimmt.<\/p>\n Werbeagentur <\/strong>mit Hilfe eines westlichen Cloud-Dienstes verarbeitet \u00f6ffentliche Daten seiner Kunden \u2013 Name, E-Mail-Adressen und Telefonnummern. Diese pers\u00f6nlichen Daten gelten nat\u00fcrlich als personenbezogene Daten. Die Frage ist: Ist eine solche Verarbeitung legal? Ist es \u00fcberhaupt m\u00f6glich, solche Daten ohne Anonymisierung au\u00dferhalb Russlands zu \u00fcbertragen, zum Beispiel Backups in ausl\u00e4ndischen Clouds zu speichern? Nat\u00fcrlich ist das m\u00f6glich. Die Agentur hat das Recht, diese Daten auch au\u00dferhalb Russlands zu speichern, jedoch muss die urspr\u00fcngliche Erfassung gem\u00e4\u00df unserem Gesetz auf dem Territorium Russlands erfolgen. Wenn Sie solche Informationen sichern, auf deren Grundlage Statistiken erstellen, Studien durchf\u00fchren oder andere Operationen durchf\u00fchren \u2013 all dies kann auch auf westlichen Ressourcen erfolgen. Der entscheidende Punkt aus rechtlicher Sicht ist, wo die Erfassung der personenbezogenen Daten stattfindet. Daher ist es wichtig, die urspr\u00fcngliche Erfassung und die Verarbeitung nicht zu verwechseln.<\/p>\n Wie aus diesen kurzen Beispielen hervorgeht, ist die Arbeit mit personenbezogenen Daten (PZn) nicht immer eindeutig und einfach. Es ist nicht nur wichtig zu wissen, dass Sie damit arbeiten, sondern auch, sie richtig zu klassifizieren und zu verstehen, wie das Informationssystem funktioniert, um das erforderliche Schutzniveau richtig zu bestimmen. In manchen F\u00e4llen stellt sich die Frage, welcher Umfang an PZn tats\u00e4chlich f\u00fcr die Organisation erforderlich ist. Ist es m\u00f6glich, auf die \u201eernstesten\u201c oder einfach \u00fcberfl\u00fcssigen Daten zu verzichten? Dar\u00fcber hinaus empfiehlt die Aufsichtsbeh\u00f6rde, PZn dort zu anonymisieren, wo dies m\u00f6glich ist. <\/p>\n Wie in den obigen Beispielen kann man manchmal feststellen, dass die Pr\u00fcfbeh\u00f6rden die gesammelten PZn anders interpretieren als Sie sie bewertet haben.<\/p>\n Nat\u00fcrlich kann man einen Auditor oder Systemintegrator zur Unterst\u00fctzung hinzuziehen, aber wird der \"Helfer\" im Falle einer Pr\u00fcfung f\u00fcr die getroffenen Entscheidungen verantwortlich sein? Es ist zu beachten, dass die Verantwortung immer beim Inhaber des personenbezogenen Datenverarbeitungssystems \u2013 dem Betreiber der personenbezogenen Daten \u2013 liegt. Aus diesem Grund ist es bei solchen Arbeiten wichtig, sich an seri\u00f6se Akteure auf dem Markt f\u00fcr diese Dienstleistungen zu wenden, beispielsweise an Unternehmen, die Zertifizierungsarbeiten durchf\u00fchren. Zertifizierungsgesellschaften verf\u00fcgen \u00fcber umfangreiche Erfahrung in der Durchf\u00fchrung solcher Arbeiten.<\/p>\n Die Erstellung von personenbezogenen Datenverarbeitungssystemen ist nicht nur eine technische, sondern auch in vielerlei Hinsicht eine rechtliche Frage. Der IT-Direktor oder der Sicherheitsdirektor sollte unbedingt einen Anwalt konsultieren. Da in einem Unternehmen nicht immer ein Spezialist mit dem ben\u00f6tigten Profil vorhanden ist, sollte man auch Auditoren-Berater in Betracht ziehen. Viele heikle Punkte sind keineswegs offensichtlich.<\/p>\n Die Beratung hilft Ihnen festzustellen, mit welchen personenbezogenen Daten Sie es zu tun haben und welches Schutzniveau erforderlich ist. So erhalten Sie einen \u00dcberblick \u00fcber die Informationssicherheit, die erstellt oder durch Schutzma\u00dfnahmen und Richtlinien erg\u00e4nzt werden muss.<\/p>\n Oft steht die Wahl f\u00fcr ein Unternehmen zwischen zwei Optionen:<\/p>\n Eine entsprechende Informationssicherheit auf Ihren eigenen Software-Hardware-L\u00f6sungen zu erstellen, m\u00f6glicherweise in Ihrem eigenen Rechenzentrum.<\/p>\n<\/li>\n Sich an einen Cloud-Anbieter zu wenden und eine flexible L\u00f6sung zu w\u00e4hlen, die bereits als \u201evirtuelles Rechenzentrum\u201c zertifiziert ist.<\/p>\n<\/li>\n<\/ol>\n Die meisten Informationssicherheiten, die personenbezogene Daten verarbeiten, verfolgen einen traditionellen Ansatz, der aus gesch\u00e4ftlicher Sicht nur schwer als einfach und erfolgreich bezeichnet werden kann. Bei der Wahl dieser Option m\u00fcssen Sie verstehen, dass das technische Projekt eine Beschreibung der Hardware, einschlie\u00dflich Software-Hardware-L\u00f6sungen und Plattformen, umfassen wird. Das bedeutet, dass Sie auf folgende Herausforderungen und Einschr\u00e4nkungen sto\u00dfen werden:<\/p>\n Schwierigkeiten bei der Skalierung;<\/p>\n<\/li>\n Lange Umsetzungszeit des Projekts: Es ist erforderlich, das System auszuw\u00e4hlen, zu beschaffen, zu installieren, zu konfigurieren und zu beschreiben;<\/p>\n<\/li>\n der Gro\u00dfteil der \u201aPapierarbeit\u2018, wie zum Beispiel die Entwicklung eines umfassenden Dokumentationspakets f\u00fcr die gesamte DPS.<\/p>\n<\/li>\n<\/ul>\n Dar\u00fcber hinaus besch\u00e4ftigt sich das Unternehmen in der Regel nur mit der \u201aobersten\u2018 Ebene seines Informationssystems \u2013 mit den verwendeten Gesch\u00e4ftsanwendungen. Mit anderen Worten, das IT-Personal ist auf seinem speziellen Gebiet qualifiziert. Es fehlt das Verst\u00e4ndnis daf\u00fcr, wie alle \u201aunteren Ebenen\u2018 funktionieren: software-hardwarebasierte Sicherheitsl\u00f6sungen, Speichersysteme, Backup und nat\u00fcrlich, wie man unter Beachtung aller Anforderungen Sicherheitsma\u00dfnahmen konfiguriert und die \u201aHardware\u2018-Komponente der Infrastruktur aufbaut. Es ist wichtig zu verstehen: Dies ist ein gewaltiges Wissen, das \u00fcber die Grenzen des Kundenunternehmens hinausgeht. Hier kann die Erfahrung eines Cloud-Anbieters, der ein zertifiziertes \u201avirtuelles Rechenzentrum\u2018 bereitstellt, von Nutzen sein.<\/p>\n Cloud-Anbieter verf\u00fcgen ihrerseits \u00fcber eine Reihe von Vorteilen, die ohne \u00dcbertreibung 99% der Gesch\u00e4ftsw\u00fcnsche im Bereich Datenschutz decken k\u00f6nnen:<\/p>\n Investitionen werden in Betriebskosten umgewandelt;<\/p>\n<\/li>\n Der Anbieter gew\u00e4hrleistet seinerseits die erforderliche Sicherheits- und Verf\u00fcgbarkeitsstufe auf Basis einer bew\u00e4hrten Standardl\u00f6sung;<\/p>\n<\/li>\n es ist nicht erforderlich, ein Team von Spezialisten zu besch\u00e4ftigen, die den Betrieb des ISPDn auf Hardware-Ebene gew\u00e4hrleisten;<\/p>\n<\/li>\n Anbieter bieten viel flexiblere und elastischere L\u00f6sungen an;<\/p>\n<\/li>\n Die Spezialisten des Anbieters besitzen alle notwendigen Zertifikate;<\/p>\n<\/li>\n Compliance ist mindestens so hoch wie beim Aufbau einer eigenen Architektur, unter Ber\u00fccksichtigung der Anforderungen und Empfehlungen der Regulierungsbeh\u00f6rden.<\/p>\n<\/li>\n<\/ul>\n Der alte Mythos, dass pers\u00f6nliche Daten nicht in der Cloud gespeichert werden d\u00fcrfen, ist nach wie vor \u00e4u\u00dferst popul\u00e4r. Er ist nur teilweise wahr: PDn d\u00fcrfen tats\u00e4chlich nicht gespeichert werden in der ersten verf\u00fcgbar<\/em> in der Cloud. Es sind bestimmte technische Ma\u00dfnahmen erforderlich sowie die Anwendung bestimmter zertifizierter L\u00f6sungen. Wenn der Anbieter alle gesetzlichen Anforderungen erf\u00fcllt, werden die Risiken im Zusammenhang mit der Offenlegung von personenbezogenen Daten auf ein Minimum reduziert. Viele Anbieter verf\u00fcgen \u00fcber eine separate Infrastruktur zur Verarbeitung personenbezogener Daten gem\u00e4\u00df dem Gesetz 152-FZ. Dennoch sollte die Auswahl des Anbieters unter Ber\u00fccksichtigung bestimmter Kriterien erfolgen, die wir im Folgenden behandeln werden. <\/p>\n Kunden kommen h\u00e4ufig mit Bedenken zu uns, wenn es um die Speicherung personenbezogener Daten in der Cloud des Anbieters geht. Lassen Sie uns diese sofort besprechen.<\/p>\n Daten k\u00f6nnten w\u00e4hrend der \u00dcbertragung oder Migration gestohlen werden.<\/p>\n<\/li>\n<\/ul>\n Dar\u00fcber braucht man sich keine Sorgen zu machen \u2014 der Anbieter erm\u00f6glicht dem Kunden die Einrichtung eines gesch\u00fctzten Daten\u00fcbertragungskanals, der auf zertifizierten L\u00f6sungen basiert, sowie verst\u00e4rkte Authentifizierungsma\u00dfnahmen f\u00fcr Partner und Mitarbeiter. Es bleibt nur, die geeigneten Schutzma\u00dfnahmen auszuw\u00e4hlen und diese im Rahmen der Zusammenarbeit mit dem Kunden zu implementieren.<\/p>\n Es k\u00f6nnten Masken-Show kommen und den Server wegnehmen\/versiegeln\/ohne Strom setzen.<\/p>\n<\/li>\n<\/ul>\n Es ist durchaus verst\u00e4ndlich, dass Kunden besorgt sind, ihre Gesch\u00e4ftsprozesse k\u00f6nnten durch unzureichende Kontrolle \u00fcber die Infrastruktur beeintr\u00e4chtigt werden. Dies denken in der Regel die Kunden, deren Hardware zuvor in kleinen Serverr\u00e4umen und nicht in spezialisierten Rechenzentren untergebracht war. In Wirklichkeit sind Rechenzentren mit modernen Mitteln sowohl der physischen als auch der Informationssicherheit ausgestattet. Es ist praktisch unm\u00f6glich, in einem solchen Rechenzentrum Operationen ohne ausreichende Gr\u00fcnde und Dokumente durchzuf\u00fchren, und derartige Aktivit\u00e4ten erfordern die Einhaltung einer Vielzahl von Verfahren. Au\u00dferdem kann das 'Herausziehen' Ihres Servers aus dem Rechenzentrum auch andere Kunden des Anbieters betreffen, was definitiv niemand m\u00f6chte. Zudem wird niemand konkret auf Ihren virtuellen Server zeigen k\u00f6nnen. Wenn also jemand versucht, ihn zu stehlen oder ein Spektakel zu inszenieren, wird er zuerst mit einer Vielzahl von b\u00fcrokratischen H\u00fcrden konfrontiert. In dieser Zeit haben Sie wahrscheinlich mehrmals die Gelegenheit, auf eine andere Plattform zu migrieren.<\/p>\n Hacker werden die Cloud hacken und Daten stehlen.<\/p>\n<\/li>\n<\/ul>\n Das Internet und die Printmedien sind voll von Schlagzeilen dar\u00fcber, wie eine weitere Cloud Opfer von Cyberkriminalit\u00e4t wurde und Millionen von Datens\u00e4tzen mit pers\u00f6nlichen Daten ins Netz gelangten. In den \u00fcberwiegenden meisten F\u00e4llen lagen die Schwachstellen jedoch nicht auf Seiten des Anbieters, sondern in den Informationssystemen der Opfer: schwache oder gar keine Standardpassw\u00f6rter, Sicherheitsl\u00fccken in Website-Engines und Datenbanken sowie die schlichte Nachl\u00e4ssigkeit der Unternehmen bei der Auswahl von Schutzma\u00dfnahmen und der Organisation von Zugangsverfahren zu Daten. Alle zertifizierten L\u00f6sungen werden auf Schwachstellen gepr\u00fcft. Auch wir f\u00fchren regelm\u00e4\u00dfig \u201estichprobenartige\u201c Penetrationstests und Sicherheitsaudits sowohl eigenst\u00e4ndig als auch mit Hilfe externer Organisationen durch. F\u00fcr den Anbieter ist dies eine Frage des Rufs und des gesamten Gesch\u00e4fts.<\/p>\n Der Anbieter\/die Mitarbeiter des Anbieters werden pers\u00f6nliche Daten aus eigenn\u00fctzigen Gr\u00fcnden stehlen.<\/p>\n<\/li>\n<\/ul>\n Das ist ein heikles Thema. Eine Reihe von Unternehmen aus der IT-Sicherheitsbranche \"\u00e4ngstigt\" ihre Kunden und behauptet, dass \"interne Mitarbeiter gef\u00e4hrlicher sind als externe Hacker\". In einigen F\u00e4llen mag das zutreffen, aber ein Unternehmen kann nicht ohne Vertrauen aufgebaut werden. Gelegentlich gibt es Nachrichten dar\u00fcber, dass eigene Mitarbeiter in Organisationen Kundendaten an Kriminelle weitergeben, w\u00e4hrend die interne Sicherheit oft viel schlechter organisiert ist als die externe. Hier ist es wichtig zu verstehen, dass jeder gro\u00dfe Anbieter extrem an negativen F\u00e4llen nicht interessiert ist. Das Handeln der Mitarbeiter des Anbieters ist gut reguliert, Rollen und Verantwortungsbereiche sind klar getrennt. Alle Gesch\u00e4ftsprozesse sind so gestaltet, dass Datenlecks \u00e4u\u00dferst unwahrscheinlich sind und immer von den internen Abteilungen erkannt werden, weshalb Kunden in dieser Hinsicht keine Probleme zu bef\u00fcrchten brauchen.<\/p>\n Sie zahlen wenig, da Sie die Dienste mit den Daten Ihres Unternehmens bezahlen.<\/p>\n<\/li>\n<\/ul>\n Ein weiterer Mythos: Der Kunde, der sich eine gesch\u00fctzte Infrastruktur zu einem attraktiven Preis mietet, zahlt daf\u00fcr tats\u00e4chlich mit seinen Daten \u2013 so denken oft Fachleute, die sich vor dem Schlafengehen gerne einige Verschw\u00f6rungstheorien durchlesen. Erstens ist die M\u00f6glichkeit, mit Ihren Daten andere als die in der Vereinbarung angegebenen Operationen durchzuf\u00fchren, praktisch null. Zweitens sch\u00e4tzt ein seri\u00f6ser Anbieter die Beziehung zu Ihnen und seinen guten Ruf \u2013 neben Ihnen hat er noch viele andere Kunden. Wahrscheinlicher ist das Gegenteil, bei dem der Anbieter die Daten seiner Kunden entschlossen sch\u00fctzt, da auch sein Gesch\u00e4ftsmodell davon abh\u00e4ngt.<\/p>\n Heute bietet der Markt zahlreiche L\u00f6sungen f\u00fcr Unternehmen, die Betreiber von personenbezogenen Daten sind. Im Folgenden finden Sie eine allgemeine Liste von Empfehlungen zur Auswahl des passenden Anbieters.<\/p>\n Der Anbieter sollte bereit sein, einen offiziellen Vertrag abzuschlie\u00dfen, der die Pflichten der Parteien, SLA und Zust\u00e4ndigkeitsbereiche in Bezug auf die Verarbeitung personenbezogener Daten beschreibt. Tats\u00e4chlich muss zwischen Ihnen und dem Anbieter neben dem Dienstleistungsvertrag auch ein Auftragsverarbeitungsvertrag \u00fcber die Verarbeitung personenbezogener Daten unterzeichnet werden. In jedem Fall sollten Sie diese Vertr\u00e4ge sorgf\u00e4ltig pr\u00fcfen. Es ist wichtig, die Abgrenzung der Zust\u00e4ndigkeitsbereiche zwischen Ihnen und dem Anbieter zu verstehen.<\/p>\n<\/li>\n Bitte beachten Sie, dass das Segment den Anforderungen entsprechen muss, was bedeutet, dass es ein Zertifikat mit einem Sicherheitslevel haben sollte, das nicht niedriger ist als das, was von Ihrem Informationssystem gefordert wird. Manchmal ver\u00f6ffentlichen Anbieter nur die erste Seite des Zertifikats, aus der wenig ersichtlich ist, oder verweisen auf Audits oder Compliance-Verfahren, ohne das Zertifikat selbst zu ver\u00f6ffentlichen (\"Gab es das Kind wirklich?\"). Es lohnt sich, dies anzufordern \u2013 es handelt sich um ein \u00f6ffentliches Dokument, das angibt, von wem die Zertifizierung durchgef\u00fchrt wurde, die G\u00fcltigkeitsdauer, den Standort der Cloud usw.<\/p>\n<\/li>\n Der Anbieter muss Informationen dar\u00fcber bereitstellen, wo sich seine Standorte (Schutzobjekte) befinden, damit Sie die Lagerung Ihrer Daten kontrollieren k\u00f6nnen. Beachten Sie, dass die Erfassung personenbezogener Daten urspr\u00fcnglich auf dem Territorium der Russischen F\u00f6deration erfolgen muss, daher sollte im Vertrag\/Zertifikat die Adresse des Rechenzentrums vermerkt sein.<\/p>\n<\/li>\n Der Anbieter muss zertifizierte Sicherheitsl\u00f6sungen und kryptographische Sicherheitsl\u00f6sungen verwenden. Nat\u00fcrlich machen die meisten Anbieter die verwendeten Schutztechniken und die Architektur ihrer L\u00f6sungen nicht \u00f6ffentlich. Aber als Kunde sollten Sie hiervon wissen. Beispielsweise m\u00fcssen f\u00fcr die Fernverbindung zum Verwaltungssystem (Verwaltungsportal) Schutzma\u00dfnahmen eingesetzt werden. Der Anbieter wird dieses Erfordernis nicht umgehen k\u00f6nnen und wird Ihnen zertifizierte L\u00f6sungen bereitstellen (oder von Ihnen verlangen, diese zu verwenden). Testen Sie die Ressourcen und Sie werden sofort verstehen, wie alles aufgebaut ist. <\/p>\n<\/li>\n Es ist \u00e4u\u00dferst w\u00fcnschenswert, dass der Cloud-Anbieter zus\u00e4tzliche Dienstleistungen im Bereich der Informationssicherheit anbietet. Dazu geh\u00f6ren verschiedene Services: DDoS-Schutz und WAF, Antivirenservices oder Sandboxes usw. All dies erm\u00f6glicht Ihnen, Schutz als Dienstleistung zu erhalten, ohne sich mit dem Aufbau von Sicherheitssystemen ablenken zu m\u00fcssen, und sich auf Gesch\u00e4ftsanwendungen zu konzentrieren.<\/p>\n<\/li>\n Der Anbieter muss von der FSTEK und der FSB lizenziert sein. In der Regel finden Sie diese Informationen direkt auf der Website. Fordern Sie unbedingt diese Dokumente an und \u00fcberpr\u00fcfen Sie, ob die Adressen der angebotenen Dienstleistungen, der Name des Anbieters usw. korrekt angegeben sind. <\/p>\n<\/li>\n<\/ul>\n Fassen wir zusammen. Die Anmietung von Infrastruktur erm\u00f6glicht es, auf CAPEX zu verzichten und nur die eigenen Gesch\u00e4ftsanwendungen und Daten in Ihrer Verantwortung zu behalten, w\u00e4hrend die schwere Last der Zertifizierung der Hardware und Software-Komponenten an den Anbieter \u00fcbertragen wird.<\/p>\n Vor nicht allzu langer Zeit haben wir erfolgreich die Wiederzertifizierung der Infrastruktur des \u201eGesch\u00fctzten Cloud-Systems FZ-152\u201c hinsichtlich der Anforderungen f\u00fcr den Umgang mit personenbezogenen Daten bestanden. Die Arbeiten wurden vom \u201eNationalen Zertifizierungszentrum\u201c durchgef\u00fchrt.<\/p>\n Aktuell ist das \u201eGesch\u00fctzte Cloud FZ-152\u201c f\u00fcr die Bereitstellung von Informationssystemen zertifiziert, die an der Verarbeitung, Speicherung oder \u00dcbertragung personenbezogener Daten (ISPDn) gem\u00e4\u00df den Anforderungen der Schutzstufe UZ-3 beteiligt sind.<\/p>\n Das Zertifizierungsverfahren beinhaltet die \u00dcberpr\u00fcfung der \u00dcbereinstimmung der Infrastruktur des Cloud-Anbieters mit dem Schutzniveau. Der Anbieter stellt IaaS-Dienste bereit und ist kein Betreiber personenbezogener Daten. Der Prozess umfasst die Bewertung sowohl der organisatorischen (Dokumentation, Anordnungen usw.) als auch der technischen Ma\u00dfnahmen (Konfiguration von Schutzma\u00dfnahmen etc.).<\/p>\n Es kann nicht als trivial bezeichnet werden. Trotz der Tatsache, dass das GOST f\u00fcr Programme und Methoden zur Durchf\u00fchrung von Zertifizierungsma\u00dfnahmen bereits 2013 eingef\u00fchrt wurde, existieren nach wie vor keine strengen Programme f\u00fcr Cloud-Objekte. Die Zertifizierungszentren entwickeln diese Programme basierend auf ihrer eigenen Expertise. Mit dem Aufkommen neuer Technologien werden die Programme komplexer und modernisiert, weshalb der Zertifizierer Erfahrung mit Cloud-L\u00f6sungen haben und die Spezifikationen verstehen muss.<\/p>\n In unserem Fall besteht das Schutzobjekt aus zwei Standorten.<\/p>\n Die Cloud-Ressourcen (Server, SAN, Netzwerkinfrastruktur, Sicherheitsl\u00f6sungen usw.) sind direkt im Rechenzentrum untergebracht. Selbstverst\u00e4ndlich ist ein solches virtuelles Rechenzentrum mit \u00f6ffentlichen Netzwerken verbunden, daher m\u00fcssen bestimmte Anforderungen an die Firewall eingehalten werden, wie z. B. die Verwendung zertifizierter Firewalls.<\/p>\n<\/li>\n Der zweite Teil des Objekts sind die Cloud-Management-Tools. Dies sind Arbeitsstationen (Admin-Arbeitspl\u00e4tze), von denen aus der gesicherte Bereich verwaltet wird.<\/p>\n<\/li>\n<\/ul>\nFeinheiten der Klassifizierung<\/h2>\n
Varianten der Erstellung von personenbezogenen Datenverarbeitungssystemen<\/h2>\n
\n
\n
\n
\n
\n
\n
\n
\n
W\u00e4hlen eines Cloud-Anbieters f\u00fcr personenbezogene Daten<\/h2>\n
\n
So haben wir die Zertifizierung durchlaufen<\/h3>\n
\n
![\"IaaS](\"\/wp-content\/uploads\/2020\/09\/611ca4c92615fffb675864b72dcaa2f8.jpg\")
Strukturschema aus der Sicht des Zertifizierers<\/p>\n![\"IaaS](\"\/wp-content\/uploads\/2020\/09\/4b0f5c72f8460c2a81068887efc8c9b1.jpg\")
Abstraktionsebene<\/p>\n