IaaS 152-FZ: nii et vajate turvalisust

Olenemata sellest, kui palju me arutame müüte ja legende, mis ümbritsevad 152-FZ vastavust, jääb alati midagi tähelepanuta. Täna soovime arutada mitte alati ilmselgeid nüansse, millega võivad silmitsi seista nii suured ettevõtted kui ka väikesed firmad:

• isikuandmete klassifitseerimise nüansid kategooriatesse — kuidas väike e-pood kogub andmeid, mis kuuluvad erilisse kategooriasse, teadmata sellest isegi;

• kus võib salvestada kogutud isikuandmete varukoopiaid ja nendega tehinguid teha;

• milline on erinevus sertifikaadi ja vastavuse tõendi vahel, milliseid dokumente peaks teenusepakkujalt üldiselt taotlema ja kõik selline.

Lõpetuseks jagame teiega oma kogemust sertifitseerimise läbimise kohta. Alustame!

Täna on artikli ekspert Alexei Afanasjev, digitaalsete pilveteenuste küberturbe spetsialist "IT-GRAD"'ist ja #CloudМТS-st (kuuluvad MTS grupi alla).

Klassifitseerimise nüansid

Kliendi soov määrata kiiresti, ilma IS-i auditeerimiseta, vajalik kaitsetase isikuandmete töötlemiseks on üsna levinud. Internetis leiduvad materjalid võivad jätta vale mulje, et see on lihtne ülesanne ja eksida on väga raske.

Kaitsetaseme määramiseks on oluline mõista, milliseid andmeid klientide IS kogub ja töötleb. Mõnikord on keeruline üheselt määratleda kaitse nõudeid ja isikuandmete kategooriaid, millega äri tegeleb. Samad isikuandmete tüübid võivad olla täiesti erinevalt hinnatud ja klassifitseeritud. Seetõttu võivad äri arvamused erineda auditeerija või isegi kontrollija arvamustest. Vaadakem mõned näited.

Autopark. Tundub, et tegemist on üsna traditsioonilise äriharu ja paljud autod töötavad aastakümneid, kus omanikud palkavad füüsilisi isikuid. Töövõtjate andmed kuuluvad tavaliselt UZ-4 nõuete alla. Kuid juhtidega töötamiseks on vajalik mitte ainult ankeediandmete kogumine, vaid ka meditsiiniline kontroll autode territooriumil vahetuse alguses, ja protsessi käigus kogutud teave kuulub kohe meditsiiniliste andmete kategooriasse – see on isikuandmete erikategooria. Lisaks võib autoremonditöökoda küsida tõendeid, mis säilivad juhi kaustas. Selged tõendite skannid formaadis – andmed terviseseisundi, erikategooria isikuandmed. Seega ei piisa UZ-4-st, vajalik on vähemalt UZ-3.

Veebipood. Tundub, et kogutud nimed, e-kirjad ja telefoninumbrid kuuluvad avalikku kategooriasse. Siiski, kui teie kliendid märkivad oma toidueelistusi, nagu halal või koššer, võib seda teavet käsitleda usuliste kuuluvuste ja veendumuste andmetena. Seetõttu võib kontrollija andmeid, mida te kogute, lugeda erilisse isikuandmete kategooriasse. Näiteks kui veebipood kogub teavet selle kohta, kas ostja eelistab liha või kala, võiks andmed kuuluda teiste isikuandmete kategooriasse. Muide, mis juhtub taimetoitlastega? Lõppude lõpuks võib see kuuluda ka filosoofiliste veendumuste alla, mis samuti kuuluvad erikategooria alla. Teisalt võib see olla lihtsalt inimese valik, kes on liha oma toidust välja jätnud. Kahjuks ei ole mingit tabelit, mis selgelt määratleks isikuandmete kategooria sellistes "peenetes" olukordades.

Reklaamiagentuur kasutades mõnd lääne päritolu pilveteenust töötleb oma klientide avalikke andmeid — nime, e-posti aadresse ja telefoninumbreid. Need ankeetandmed kuuluvad kindlasti isikuandmete hulka. Tõstatub küsimus: kas selline töötlemine on seaduslik? Kas on võimalik selliseid andmeid üleviida ilma anonüümsuseta Venemaa välistesse kohtadesse, näiteks salvestada varukoopiad mõnesse välismaisesse pilve? Muidugi on see võimalik. Amet võib neid andmeid hoida ka väljaspool Venemaad, kuid algne kogumine tuleb meie seaduste kohaselt teostada Venemaa territooriumil. Kui te teete selliste andmete varukoopiaid, tuginedes nendele mingite statistiliste järelduste tegemiseks, viies läbi uuringuid või tehes muid toiminguid, on seda võimalik teha ka lääne ressurssidega. Oluline hetk seadusandlikust vaatepunktist on see, kus toimub isikuandmete kogumine. Seetõttu on oluline mitte segi ajada algset kogumist ja töötlemist.

Käesolevad lühikesed näited näitavad, et koostöö isikuandmetega ei pruugi alati olla selge ja lihtne. On oluline mitte ainult teada, et te töötate nendega, vaid ka osata neid õigesti klassifitseerida ning mõista, kuidas infosisüsteem töötab, et määrata vajalik kaitseaste. Mõnes olukorras võib tekkida küsimus, kui palju isikuandmeid on tegelikult organisatsioonile toimimiseks vajalik. Kas on võimalik loobuda kõige "olulisematest" või lihtsalt ebavajalikest andmetest? Samuti soovitab regulaator isikuandmete anonüümiseerimist seal, kus see on võimalik. 

Nagu eespool toodud näidetes, võib mõnikord juhtuda, et kontrollivad organid tõlgendavad kogutavaid isikuandmeid veidi teistmoodi, kui te ise neid hindasite.

Muidugi on võimalik kaasata auditor või süsteemiintegraator, kuid kas ''abiline'' on vastutav valitud lahenduste eest, kui toimub kontroll? Tuleb märkida, et vastutus lasub alati isikuandmete vastutaval töötlejal. Just seetõttu, kui ettevõte teostab selliseid töid, on oluline pöörduda turu tõsiste tegijate poole, näiteks ettevõtete poole, kes viivad läbi sertifitseerimistöid. Sertifitseerimisettevõtted omavad suurt kogemust sarnaste tööde teostamisel.

Isikuandmete süsteemide ülesehitamise variandid

Isikuandmete süsteemi ülesehitus on mitte ainult tehniline, vaid ka paljuski juriidiline küsimus. IT-direktor või turvadirektor peaks kindlasti konsulteerima juristiga. Kuna ettevõttes ei pruugi alati olla vajaliku eriala spetsialisti, tasub vaadata auditorite-konsultantide poole. Paljud libedad momentid võivad olla kindlasti mitte ilmne.

Konsultatsioon aitab määratleda, milliste isikuandmetega te tegelete ja millist kaitse taset need nõuavad. Vastavalt sellele saate ülevaate teavet töötlevast süsteemist, mida on vaja luua või täiendada kaitsevahendite ja organisatsiooniliste regulatsioonidega.

Tihti seisab ettevõte silmitsi kahe valiku vahel:

1. Loodi sobiv teavet töötlev süsteem oma tarkvaraaluste lahenduste peal, võib-olla oma serveris.

2. Pöörduda pilveteenuse pakkuja poole ja valida paindlik lahendus, juba sertifitseeritud selline "virtuaalne server".

Enamik teavet töötlevatest süsteemidest, mis käsitlevad isikuandmeid, kasutab traditsioonilist lähenemist, mida on ettevõtluse seisukohalt keeruline nimetada kergeks ja õnnestunuks. Selle variandi valimisel tuleb mõista, et tehniline projekt hõlmab seadmete kirjeldust, sealhulgas tarkvaraaluseid lahendusi ja platvorme. Seega peate silmitsi seisma järgmiste raskuste ja piirangutega:

• skaalemise keerukus;

• projekti pikaajaline teostamine: tuleb valida, osta, installida, konfigureerida ja dokumenteerida süsteem;

• suurem hulga "paberitööde" tegemine, näiteks - täie kohtutoimikute kogumi koostamine kogu ISPDn jaoks.

Lisaks on ettevõtted tavaliselt keskendunud ainult oma IS-i «ülemisele» tasemele - kasutatavatele äriarendustele. Teisisõnu, IT-personal on kvalifitseeritud oma kitsastes valdkondades. Puudub arusaam, kuidas kõik "madalamad tasemed" toimivad: tark- ja riistvarakaitse, andmesalvestussüsteemid, varundamine ja loomulikult, kuidas kõikide nõuete täitmisel kaitsemeetmeid seadistada, ehitada „raudi“ konfiguratsiooni osa. Oluline on mõista: see on tohutu teadmiste maht, mis jääb kliendi äri piirest välja. Just siin tuleb mängu pilveteenuse pakkuja kogemus, kes pakub sertifitseeritud „virtuaalserverit”.

Omalt poolt on pilveteenuse pakkujatel mitmeid eeliseid, mis, tõeliselt öeldes, suudavad katta 99% äri vajadustest isikuandmete kaitsmise valdkonnas:

• kapitalimäärad muudetakse käitamiskuludeks;

• teenuspakkuja garanteerib vajaliku turvalisuse ja kättesaadavuse taseme, tuginedes usaldusväärsetele lahendustele;

• ei ole vaja hoida meeskonda spetsialiste, kes tagavad ISPDn töö "raua" tasemel;

• teenuspakkujad pakuvad palju paindlikumaid ja elastsemaid lahendusi;

• teenuspakkuja spetsialistidel on kõik vajalikud sertifikaadid;

• vastavus ei ole madalam kui oma arhitektuuri loomisel, arvestades reguleerivate asutuste nõudeid ja soovitusi.

Vana müüt, et isikuandmeid ei saa pilves hoida, on endiselt äärmiselt populaarne. See on osaliselt tõsi: isikuandmeid tõepoolest ei tohi hoida esimeses ettejuhtuva. pilves. On vajalik järgida teatud tehnilisi meetmeid ja rakendada spetsiaalseid sertifitseeritud lahendusi. Kui teenusepakkuja vastab kõigile seadusest tulenevatele nõuetele, vähenevad isikuandmete lekkega seotud riskid minimaalseni. Paljudel teenusepakkujatel on iseseisev infrastruktuur isikuandmete töötlemiseks vastavalt seaduse 152-FZ nõuetele. Siiski tuleb teenusepakkujat valida teatud kriteeriumide alusel, millest räägime allpool. 

Kliendid tulevad tihti meie juurde muredega seoses isikuandmete paigutamisega teenusepakkuja pilve. Arutame neid kohe lähemalt.

• Andmed võivad olla varastatud edastamise või migreerimise ajal.

Selle pärast ei tasu muretseda — teenusepakkuja pakub kliendile turvaliste andmeedastuskanalite loomist, mis põhinevad sertifitseeritud lahendustel, samuti tugevdatud autentimismeetmeid vastaspoolele ja töötajatele. Jääb üle valida sobivad kaitsemeetodid ja rakendada need koostöös kliendiga.

• Kohale tulevad maskitud inimesed ja viivad minema/ühtivad/katkestavad serveri.

On täiesti arusaadav, et kliendid kardavad, et nende äriprotsessid võivad häirida vähese infrastruktuuri kontrolli tõttu. Tüüpiliselt mõtlevad sellele need kliendid, kelle riistvara asus varasemalt väikestes serverites, mitte spetsialiseeritud andmekeskustes. Tegelikkuses on andmekeskused varustatud kaasaegsete füüsilise ja infokaitse vahenditega. Any operations in such a data center are practically impossible to carry out without sufficient grounds and documentation, and such activities require compliance with a whole series of procedures. Additionally, “pulling” your server out of the data center can affect other customers of the provider, which is certainly not needed by anyone. Furthermore, no one will be able to point to “your” virtual server, so if someone wants to steal it or create a show, they will first have to face a mass of bureaucratic hurdles. During this time, you will most likely manage to migrate to another platform several times.

• Häkkerid muravad pilve ja varastavad andmed

Internet ja trükimeedia on täis pealkirju, kuidas taas üks pilv on muutunud küberkurjategijate ohvriks ja miljonid isikuandmed on lekinud võrku. Enamikul juhtudel avastatakse haavatavused mitte teenusepakkuja, vaid ohvrite infotehnoloogilistes süsteemides: nõrgad või isegi osaliselt vaikimisi paroolid, veebilehtede ja andmebaaside turvavead ning äride hooletus kaitsevahendite valikul ja andmete ligipääsude korraldamisel. Kõiki sertifitseeritud lahendusi kontrollitakse haavatavuste olemasolu suhtes. Me teeme samuti regulaarselt "kontroll" penteste ja turbeaudiite nii iseseisvalt kui ka väliste organisatsioonide abil. Teenusepakkujale on see küsimus maine ja äri üldiselt.

• Teenusepakkuja/teenusepakkuja töötajad varastavad isikuandmeid isekatel eesmärkidel

See on üsna delikaatne teema. Paljud küberjulgeoleku ettevõtted „hirmutavad” oma kliente ja väidavad, et „sisemised töötajad on ohtlikumad kui välised häkijad”. Tõenäoliselt on see mõnes olukorras tõsi, kuid äri ei saa rajada ilma usalduseta. Aeg-ajalt ilmuvad uudised, et organisatsioonide töötajad lekivad klientide andmeid kurjategijatele, ja sisemine turvalisus on tihti korraldatud palju halvemini kui väline. Siin on oluline mõista, et iga suur teenusepakkuja ei taha kuidagi negatiivseid juhtumeid. Teenusepakkuja töötajate tegevus on hästi reguleeritud, rollid ja vastutusvaldkonnad on jagatud. Kõik äriprotsessid on üles ehitatud nii, et andmelekked on äärmiselt ebatõenäolised ja alati märgatavad sisemiste teenistuste poolt, seega ei pea kliendid seda poolelt muretsema.

• Te maksate vähe, kuna tasute teenuste eest oma äri andmetega.

Veelus müüt: klient, kes rendib kaitstud infrastruktuuri mõistliku hinna eest, maksab tegelikult selle eest oma andmetega – just nii arvavad sageli spetsialistid, kes ei pelga enne magamaminekut lugeda mõnda vandenõuteooriat. Esiteks, võimalus teostada operatsioone teie andmetega väljaspool neid, mis on määratud korraldusest, on põhimõtteliselt null. Teiseks, korralik teenusepakkuja hindab suhteid teiega ning oma mainet – peale teie on tal veel palju kliente. Tõenäolisem on vastupidine stsenaarium, kus teenusepakkuja kaitseb oma klientide andmeid äärmiselt hoolikalt, kuna need on osa tema äritegevusest.

Valime pilveteenuse pakkujat ISPDN-ile

Tänaseks on turg pakkumas arvukalt lahendusi ettevõtetele, mis tegutsevad isikuandmete operaatoritena. Allpool toome välja üldised soovitused sobiva valiku tegemiseks.

• Teenuspakkuja peab olema valmis sõlmima ametliku lepingu, mis kirjeldab osapoolte kohustusi, SLA-d ja vastutusalasid isikuandmete töötlemise osas. Tegelikult peaks teie ja teenuspakkuja vahel, peale teenuselepingu, olema allkirjastatud ka isikuandmete töötlemise volitus. Igal juhul tasub neid hoolikalt läbi vaadata. On oluline mõista vastutusalade jaotust teie ja teenuspakkuja vahel.

• Pöörake tähelepanu, et segment peab vastama nõuetele, seega peab olema atesteeritud tasemega, mis ei tohi olla madalam kui teie infosüsteemi nõuded. Juhtub, et teenuspakkujad avaldavad ainult atesti esimese lehe, millest on vähe kasu, või viitavad auditeerimisele või vastavuse läbiviimisprotseduuridele, avaldamata ise atesti („kas poisike oli olemas?“). Tasub seda küsida — tegemist on avaliku dokumendiga, milles on kirjas, kes atesteerimise viis läbi, kehtivusaeg, pilves asukoht jne.

• Teenustepakkuja peab andma teavet selle kohta, kus asuvad tema rajatised (kaitseobjektid), et saaksite andmete asukohta kontrollida. Täiendame, et isikuandmete algne kogumine peab toimuma Venemaa territooriumil, seega on soovitatav näha lepingus/sertifikaadis andmeid andmekeskuse aadresside kohta.

• Teenustepakkuja peab kasutama sertifitseeritud turvasüsteeme ja krüptosüsteeme. Loomulikult ei avalikusta enamik teenustepakkujaid kasutatavaid tehnilisi kaitsevahendeid ja lahenduste arhitektuuri. Kuid teie kui kliendi jaoks ei saa see saladuseks jääda. Näiteks kaugühenduse loomine haldussüsteemiga (haldusportaal) peab toimuma turvameetmete abil. Teenustepakkuja ei saa seda nõuet kõrvale jätta ja peab teile (või nõuab, et te kasutaksite) sertifitseeritud lahendusi. Viige läbi testimistressursse ja saate kohe aru, kuidas kõik toimib. 

• Soovitatav on, et pilvepakkuja pakuks ka täiendavaid teenuseid küberturbe valdkonnas. Need võivad olla erinevad teenused: DDoS-rünnakute ja WAF kaitse, viirusetõrjeteenus või liivakast jne. Kõik see võimaldab teil saada kaitset teenusena, mitte häirida end kaitsesüsteemide loomisega, vaid keskenduda äri rakendustele.

• Pakkuja peab olema FSTEK-i ja FSB litsentseeritud. Reeglina on selline teave veebisaidil. Paluge neid dokumente kindlasti ja kontrollige, kas teenuste osutamise aadressid, pakkuja ettevõtte nimi jne on õigesti märgitud. 

Kokkuvõtteks, infrastruktuuri rentimine võimaldab loobuda CAPEX-st ja jätta oma vastutusalasse ainult äriarendused ja andmed, samas kui raske „rahu“ ja tarkvara riistvara sertifitseerimise koormus kannab pakkujale.

Kuidas me sertifitseerimisprotsessi läbi viisime

Hiljuti edukalt läbisime „Kaitstud pilve FZ-152“ infrastruktuuri ümberhindamise, et vastata isikuandmete töötlemise nõuetele. Töid viibis „Rahvuslik sertifitseerimiskeskus“.

Praegu on "Kaitstud pilv FZ-152" sertifitseeritud teabe süsteemide majutamiseks, mis on seotud isikuandmete (ИСПДн) töötlemise, säilitamise või edastamisega, vastavalt UZ-3 taseme nõuetele.

Sertifitseerimise protseduur hõlmab pilveteenuse pakkuja infrastruktuuri vastavuse kontrollimist kaitse tasemele. Teenuse pakkuja pakub IaaS teenust ja ei ole isikuandmete operaator. Protsess hõlmab nii organisatsiooniliste (dokumentatsioon, määrused jne) kui ka tehniliste meetmete (kaitse seadmete seadistamine jne) hindamist.

Seda ei saa nimetada triviaaluseks. Hoolimata faktist, et GOST programmi ja sertifitseerimise meetodite jaoks ilmus juba 2013. aastal, ei ole senini olemas ranget programmi pilveobjektide jaoks. Sertifitseerimiskeskused koostavad neid programme, tuginedes oma teadmistele. Uute tehnoloogiate tulekuga muutuvad programmid keerulisemaks ja neid uuendatakse, mistõttu peab sertifitseerija omama kogemusi pilvelahendustega ja mõistma nende spetsiifikat.

Meie puhul koosneb kaitseobjekt kahest asukohast.

• Otseotsetti andmekeskuses asuvad pilveressursid (serverid, andmesalvestussüsteemid, võrguinfrastruktuur, kaitsevahendid jne). Loomulikult on selline virtuaalne andmekeskus ühendatud avalike võrkudega, seetõttu tuleb täita teatud tulemüüri nõudeid, näiteks kasutada sertifitseeritud tulemüüre.

• Teine objekti osa — pilvehaldustooted. Need on tööjaamad (administraatori töökoht), mille kaudu hallatakse kaitstud segmenti.

Asukohad on omavahel ühendatud läbi VPN-kanali, mis on ehitatud RISe kasutades.

Kuna virtualiseerimistehnoloogiad loovad eeldusi ohtude ilmnemiseks, kasutame ka täiendavaid sertifitseeritud kaitsevahendeid.

Struktuurne skeem «aatestaja silmade järgi»

Kui kliendile on vajalik tema ISPDN-i sertifitseerimine, peab ta pärast IaaS-i rendi lihtsalt hindama oma infotehnoloogia süsteemi, mis ületab virtuaalse andmekeskuse taset. See protseduur hõlmab infrastruktuuri ja sellel kasutatava tarkvara kontrollimist. Kuna kõigi infrastruktuuri küsimustega saate tugineda teenusepakkuja sertifikaadile, jääb teil alles ainult tarkvaraga tegelemine.

Abstraktsioonitasandi jagamine

Kokkuvõtteks toome välja väikese kontrollnimekirja ettevõtetele, kes juba töötavad PDn-iga või alles plaanivad. Nii et kuidas töötelda, et mitte viga teha.

1. Auditi ja ohumudelite ning rikkumise korraldaja väljatöötamiseks kutsuge kogenud konsultant sertifitseerimislaboritest, kes aitavad teil koostada vajalikud dokumendid ja viivad teid juba tehniliste lahenduste etappi.

2. Pilveteenuse pakkuja valimise etapis pöörake tähelepanu sertifikaadi olemasolule. Hästi, kui ettevõte on selle avalikult oma veebilehele esitanud. Teenusepakkuja peab olema FSTEK-i ja FSB-ga litsentseeritud ning pakutav teenus peab olema sertifitseeritud.

3. Veenduge, et teil on sõlmitud ametlik leping ja allkirjastatud isikuandmete töötlemise volitus. Selle alusel saate läbi viia nii vastavuse kontrolli kui ka isikuandmete töötlemise süsteemi sertifitseerimise. Kui need tööd tunduvad tehnilise projekti ja projekt-dokumendi koostamise etapis koormavad, tasub pöörduda sõltumatute konsultatsioonifirmade poole, mis on sertifitseerimislaborid.

Kui teid huvitavad isikuandmete töötlemise küsimused, ootame teid reedel, 18. septembril, meie veebinarile. «Sertifitseeritud pilvede loomise eripärad».

Allikas: habr.com