IaaS 152-FZ: nii, teil on vaja turvalisust

Kuigi müüte ja legende, mis ümbritsevad vastavust seadusele 152-ФЗ, on palju analüüsitud, jääb alati midagi varju. Täna soovime arutada mitte alati ilmseid nüansse, millega võivad silmitsi seista nii suured ettevõtted kui ka väiksemad ettevõtted:

• isikuandmete klassifitseerimise nüansid kategooriate kaupa — kui väike e-pood kogub andmeid, mis kuuluvad erilisse kategooriasse, isegi teadmata sellest;

• kus saab hoida kogutud isikuandmete varukoopiaid ja teostada nende üle operatsioone;

• millega erineb sertifikaat vastavuse deklaratsioonist, milliseid dokumente üldse teenusepakkujalt nõuda ja kõik selline.

Lõpuks jagame teiega oma kogemusi sertifitseerimise läbimise kohta. Alustame!

Tänases artiklis on ekspert Aleksandr Afanasjev, pilveteenuste turvalisuse spetsialist „IT-GRAD“ ja #CloudMTS (kuuluvad MTS grupi alla).

Klassifitseerimise nüansid

Kohtame sageli klientide soovi kiiresti, ilma IS-i auditi tegemiseta, määrata vajalik kaitsetase isikuandmete töötlemiseks. Internetis leiduvad materjalid teema kohta loovad vale mulje, et see on lihtne ülesanne ning eksida on üsna keeruline.

Kaitsetaseme määramiseks on oluline mõista, milliseid andmeid klientide IS-is kogutakse ja töödeldakse. Mõnikord on keeruline selgelt määratleda kaitse nõuded ja isikuandmete kategooria, millega ettevõte töötab. Samade isikuandmete tüüpe võib hinnata ja klassifitseerida täiesti erinevalt. Seetõttu võib ettevõtte arvamus erineda auditeerija või isegi kontrollija arvamusest. Vaatame mõningaid näiteid.

Autopark. Tundub nagu tavaline äritüüp. Paljud autode jõuavad tööle aastakümneid ning nende omanikud palkavad füüsilisi isikuid. Üldjuhul kuuluvad töötajate andmed UZ-4 nõuete kohaldamisalasse. Kuid sõidukitega töötamine nõuab mitte ainult ankeetandmete kogumist, vaid ka meditsiiniliste kontrollide teostamist autode territooriumil enne vahetuse algust, ning kogutud teave kuulub kohe meditsiiniliste andmete kategooriasse – need on erikategooria isikuandmed. Lisaks võib autode teenus nõuda tõendeid, mida säilitatakse edaspidi juhtide kaustades. Skanneeritud tõendi elektrooniline versioon – teave terviseseisundi kohta, erikategooria isikuandmed. Seega ei piisa üksnes UZ-4-st, vajalik on vähemalt UZ-3.

Veebipoe. Tundub, et kogutud nimed, e-postid ja telefoninumbrid kuuluvad avalikku kategooriasse. Kuid kui teie kliendid märgivad toidueelistusi, nagu halal või košer, võib selline teave olla kvalifitseeritud religioosse kuuluvuse ja veendumuste andmeteks. Seetõttu, kui teostatakse kontrolli või muid tegevusi, võivad kontrollijad klassifitseerida teie kogutud andmed erikategooria isikuandmeteks. Kui veebipood koguks teavet selle kohta, kas klient eelistab liha või kala, võiks andmeid pidada teiste isikuandmete kategooriaks. Muide, kuidas on lood taimetoitlastega? Ning see võib samuti seonduda filosoofiliste veendumustega, mis kuuluvad samuti erikategooriasse. Teisalt võib see olla lihtsalt inimese valik, kes on oma toidust liha välja jätnud. Kahjuks ei ole ühtegi tabelit, mis sellistes „õrnades” olukordades ühemõtteliselt isikuandmete kategooriat määratleks.

Reklaamibüroo rahuldada läänes asuvate pilveteenuste abil isikute andmeid – nagu nimi, e-posti aadress ja telefoninumber. Need ankeetandmed kuuluvad kindlasti isikuandmete kategooriasse. Küsimus on: kas selline töötlemine on seaduslik? Kas on tõepoolest võimalik selliseid andmeid ilma anonüümistamiseta Venemaa piiridest välja viia, näiteks salvestada varukoopiaid mõnes välismaises pilves? Loomulikult on see lubatud. Agentuuril on õigus neid andmeid hoida ka väljaspool Venemaad, kuid esialgne kogumine, vastavalt meie seadustele, peab toimuma Venemaa territooriumil. Kui te teete selliste andmete varukoopiaid, tuginedes nendele mingisugusele statistikale, viies läbi uuringuid või tehes nendega muid toiminguid – seda kõike võib teha ka lääne ressurssides. Seadusandlikult on võtmeküsimus, kus toimub isikuandmete kogumine. Seetõttu on oluline mitte segi ajada esmast kogumist ja töötlemist.

Nagu nende lühikeste näidete puhul ilmneb, ei ole isikuandmete töötlemine alati üheselt mõistetav ja lihtne. On vajalik mitte ainult teada, et te nendega töötate, vaid osata neid õigesti klassifitseerida ning mõista, kuidas infosüsteem töötab, et õigesti määrata vajalik kaitsetase. Mõnel juhul võib tekkida küsimus, kui palju isikuandmeid on organisatsioonil tööks tegelikult vaja. Kas on võimalik loobuda kõige „tõsisemast” või lihtsalt üleliigsest andmest? Lisaks soovitab regulaator isikuandmeid seal, kus see on võimalik, anonüümistada. 

Nagu eelnevates näidetes, võib mõnikord juhtuda, et järelevalveorganid tõlgendavad kogutud isikuandmeid veidi erinevalt, kui te ise neid hindasite.

Loomulikult on võimalik palgata abi auditi spetsialistilt või süsteemi integreerijalt, kuid kas „abi” vastutab valitud lahenduste eest juhul, kui toimub kontroll? Tuleb märkida, et vastutus lasub alati isikuandmete vastutaval töötlejal. Just seetõttu, kui ettevõte viib selliseid töid läbi, on oluline pöörduda turul tõsiste mängijate poole, näiteks ettevõtete poole, mis teostavad atesteerimistegevust. Atesteerimisettevõtetel on suur kogemus selliste tööde läbiviimisel.

Isikuandmete töötlemise süsteemi (IISP) loomise võimalused

Isikuandmete kaitse süsteemide (IISP) ülessehitamine on mitte ainult tehniline, vaid ka paljuski juriidiline küsimus. IT-direktor või turvajuht peaks kindlasti konsulteerima juristiga. Kuna ettevõttes ei pruugi alati olla vajalikku spetsialisti, tasub vaadata konsultantide poole. Paljud keerulised aspektid ei pruugi sugugi ilmsed olla.

Konsultatsioon aitab määrata, milliste isikuandmetega te tegelejate, milline kaitsetase on vajalik. Seega saate ülevaate IISP-st, mille loomiseks või täiustamiseks on vaja kaitsemeetmeid ja korraldusdokumente.

Ettevõtte valik seisneb sageli kahes variandis:

1. Ehita vastav IISP oma tark- ja riistvaralahendustel, võib-olla oma serveris.

2. Pöördu pilveteenuse pakkuja poole ja vali elastne lahendus, juba sertifitseeritud "virtuaalne server".

Enamik IISP-sid, mis töötlevad isikuandmeid, kasutab traditsioonilist lähenemist, mida ettevõtluse perspektiivist on keeruline nimetada lihtsaks ja edukaiks. Selle valiku tegemisel tuleb mõista, et tehniline projekt hõlmab seadmete kirjelduse, sealhulgas tark- ja riistvaralahendusi ja platvorme. See tähendab, et peate silmitsi seisma järgmiste raskuste ja piirangutega:

• skoorimise keerukus;

• projekti pikaajaline elluviimine: tuleb valida, osta, paigaldada, seadistada ja dokumenteerida süsteem;

• tohutu "paberitöö", näiteks - tervikliku dokumentatsiooni paketi koostamine kogu IISP jaoks.

Peale selle mõistab äri tavaliselt ainult oma IISP "ülemist" taset - kasutatavaid ärianalüüse. Teisisõnu, IT-personal on kvalifitseeritud oma kitsas valdkonnas. Puudub arusaam, kuidas töötavad kõik "alamtasemed": tark- ja riistvarakaitse, andmete salvestamise süsteemid, varundamine ja loomulikult, kuidas kõiki nõudeid järgides seadistada kaitsemeetmeid ja ehitada „rauda” konfiguratsiooni. Oluline on mõista: see on tohutu teadmiste mass, mis jääb kliendi äri piiridest välja. Just siin võib kasu olla pilveteenuse pakkuja kogemusest, kes pakub sertifitseeritud "virtuaalset serverit".

Piloot põhimõttel, pilveteenuse pakkujatel on hulgaliselt eeliseid, mis suudavad täita 99% äri vajadustest isikuandmete kaitse valdkonnas.

• kapitaalne kulu muudetakse operatiivseks;

• teenuse pakkuja garanteerib vajalikku taset turvalisuse ja kergesti juurdepääsu tagamiseks, tuginedes testitud lahendustele;

• ei ole vaja hoida spetsialistide meeskonda, kes tagavad ISPDN töötamise 'raha' tasemel;

• pakkujad pakuvad palju paindlikumaid ja elastsemaid lahendusi;

• pakkuja spetsialistidel on kõik vajalikud sertifikaadid;

• compliance ei ole madalam kui enda arhitektuuri loomisel, arvestades regulatiivseid nõudeid ja soovitusi.

Vana müüt, et isikuandmeid ei saa pilves hoida, on endiselt erakordselt populaarne. See on osaliselt tõene: isikuandmeid ei tohi tõepoolest hoida juhuslikes pilvedes. Tuleb järgida teatud tehnilisi meetmeid ning kasutada teatud sertifitseeritud lahendusi. Kui teenuse pakkuja vastab kõigile seadusandlikule nõudmisele, siis seonduvad rikkumise riskid vähenevad minimaalselt. Paljudel teenuse pakkujatel on eraldi infrastruktuur isikuandmete töötlemiseks vastavalt 152-FZ-le. Küll aga tuleb teenuse pakkujat valida tuttava teadlikkusega teatud kriteeriumide alusel, millest räägime allpool. 

Kliendid tulevad tihti meie juurde teatud muredega seoses isikuandmete hoidmisega teenuse pakkuja pilves. Noh, arutame neid kohe.

• Andmeid saab varastada edastamise või migreerimise ajal.

Seda ei tasu karta — teenuse pakkuja pakub kliendile kaitstud andmeedastuskanali loomist, mis põhineb sertifitseeritud lahendustel, tugevdades autentimismeetodeid partnerite ja töötajate jaoks. Tuleb vaid valida sobivad kaitsemeetmed ja rakendada neid töötades klientidega.

• Saabuvad maskeeritud rünnakud ja viivad ära/tembeldavad/katkestavad serveri.

On aru täiesti võimalik mõista kliente, kes kardavad, et nende äriprotsessid häiritakse ebapiisava kontrolli tõttu nende infrastruktuuri üle. Tavaliselt mõtlevad sellele kliendid, kelle varustus oli varem väikestes serverites, mitte spetsialiseeritud andmekeskustes. Tegelikkuses on andmekeskused varustatud kaasaegsete füüsilise ja info kaitse meetoditega. Sellises andmekeskuses on peaaegu võimatu teha mingeid toiminguid ilma piisava põhjuse ja dokumentideta ning sellised tegevused nõuavad mitmete protseduuride järgimist. Peale selle võib teie serveri „välja tõmbamine” andmekeskusest mõjutada ka teiste teenusepakkuja kliente, ja seda keegi kindlasti ei soovi. Samuti ei saa keegi näpuga osutada just teie virtuaalsele serverile, seega kui keegi ka üritab seda varastada või korraldada mingi segaduse, peab ta esmalt silmitsi seisma tohutu bürokraatlike takistustega. Selle aja jooksul suudate tõenäoliselt korduvalt teisele platvormile migreerida.

• Häkkerid muravad pilve ja varastavad andmeid

Interneti ja trükimeedia pealkirjades on palju kirjutatud sellest, kuidas järjekordne pilv on langenud küberkurjategijate ohvriks ning miljonid isikuandmed on lekkinud võrku. Suuremas osas juhtudest avastati haavatavused täiesti mitte teenusepakkuja, vaid ohvrite infosüsteemides: nõrgad või isegi vaikimisi paroolid, „aukud” veebisaitide ja andmebaaside mootorites, lihtne ettevõtluse hooletus kaitsevahendite valikul ning andmetele juurdepääsu korraldamise protseduuride loomisel. Kõik sertifitseeritud lahendused kontrollitakse haavatavuste olemasolu suhtes. Me korraldame ka regulaarselt „kontrollivaid” penteste ja turbeauditeid, nii iseseisvalt kui ka välistelt organisatsioonidelt. Teenusepakkuja jaoks on see maine ja äri küsimus tervikuna.

• Teenusepakkuja/töötajad varastavad isikuandmeid isekate eesmärkide nimel

See on üsna delikaatne teema. Rida ettevõtteid küberturbe valdkonnast "hirmutavad" oma kliente ja väidavad, et "sisemised töötajad on ohtlikumad kui välistest häkkeritest." Võib-olla on see teatud juhtudel tõsi, kuid äri ei saa rajada usaldamatuses. Aeg-ajalt kuuleme uudiseid, et ettevõtte töötajad lekivad klientide andmeid kurjategijatele, ja siseriiklikud turvaküsimused on tihti korraldatud halvemat moodi kui välisturvalisus. Siin on oluline mõista, et ükski suur teenusepakkuja ei soovi negatiivseid juhtumeid. Teenusepakkuja töötajate tegevust on rangelt reguleeritud, rollid ja vastutusalad on selgelt jagatud. Kõik äri protsessid on üles ehitatud nii, et andmelekked on äärmiselt ebatõenäolised ning alati avastatavad siseteenistuse poolt, seega ei pea kliendid sellelt poolelt muretsema.

• Te maksate vähe, kuna tasute oma äri andmetega.

Veel üks müüt: klient, kes rendib kaitstud infrastruktuuri soodsa hinnaga, maksab tegelikult selle eest oma andmetega – nii arvavad sageli spetsialistid, kes ei pelga enne magama minekut lugeda mõnda vandenõuteooriat. Esiteks on võimalus teha midagi teie andmetega peale selle, mis on määratud volitustes, tegelikult null. Teiseks hindab korralik teenusepakkuja suhteid teiega ja oma mainet – peale teie on tal veel palju kliente. Tõenäolisem on vastupidine stsenaarium, kus teenusepakkuja kaitseb oma klientide andmeid suure hoole ja innukusega, millele toetub ka tema äri.

Valime pilveteenusepakkujat isikuandmete töötlemiseks

Täna pakub turg mitmeid lahendusi ettevõtetele, kes on isikuandmete töötlejateks. Toome allpool välja üldistatud soovituste nimekirja sobiva valiku tegemiseks.

• Teenusepakkuja peab olema valmis sõlmima ametliku lepingu, milles on kirjeldatud osapoolte kohustusi, teenuste tasemete leping ja vastutusalad isikuandmete töötlemise kontekstis. Tegelikult peab teie ja teenusepakkuja vahel, peale teenuselepingu, olema allkirjastatud ka isikuandmete töötlemise volitus. Igal juhul tasub neid hoolikalt uurida. Oluline on mõista vastutusalade eristamist teie ja teenusepakkuja vahel.

• Pange tähele, et segment peab vastama nõuetele, mis tähendab, et tal peab olema sertifikaat, millel on näidatud kaitse tase, mis on vähemalt sama kõrge, kui teie infosüsteem nõuab. Juhtub, et teenusepakkujad avaldavad ainult sertifikaadi esimese lehe, millest ei saa palju aru, või viidates auditeerimisele või vastavusprotseduuridele, mitte avaldades ise sertifikaati («aga kas poissi oli?»). Tasub see küsida — see on avalik dokument, milles on öeldud, kes sertifitseerimise teostas, kehtivusaeg, pilve asukoht jne.

• Teenusepakkuja peab andma teavet selle kohta, kus asuvad tema tolded (kaitseobjektid), et saaksite kontrollida oma andmete asukohta. Tuletame meelde, et isikuandmete esmane kogumine peab toimuma Vene Föderatsiooni territooriumil, seega on soovitatav lepingus/sertifikaadis näha andmekeskuste aadresse.

• Teenusepakkuja peab kasutama sertifitseeritud tarkvara ja riistvara kaitsevahendeid. Loomulikult ei reklaami enamik teenusepakkujatest kasutatavaid tehnilisi kaitsevahendeid ja lahenduste arhitektuuri. Kuid teie kui kliendi ei saa sellest mitte teada. Näiteks on kaugühenduse loomiseks juhtimissüsteemile (juhtimisportaalile) vajalik kaitsevahendite kasutamine. Teenusepakkuja ei saa seda nõuet mööda vaadata ja pakub teile (või nõuab teie kasutuselevõttu) sertifitseeritud lahendusi. Testige ressursse ja saate kohe aru, kuidas ja mis on korraldatud. 

• On äärmiselt soovitatav, et pilveteenuse pakkuja pakuks täiendavaid teenuseid infotehnoloogia valdkonnas. Need võivad olla erinevad teenused: kaitse DDoS-rünnakute ja WAF-i eest, viirusetõrjeteenus või liivakast jne. Kõik need võimaldavad teil saada kaitset teenusena, mitte muretseda kaitsesüsteemide rajamise pärast, vaid keskenduda ärirakendustele.

• Teenusepakkuja peab olema FSTEK ja FSB litsentsi omanik. Reeglina on see teave avaldatud otse saidil. Küsige kindlasti neid dokumente ja kontrollige, kas teenustenäidete aadressid, teenusepakkuja firma nimi jne on õigesti märgitud. 

Vaatame kokkuvõtlikult. Infrastruktuuri rentimine võimaldab loobuda CAPEX-ist ja jätta oma ärirakendused ja andmed oma vastutuse alla, while the heavy burden of certifying the 'hardware' and software-hardware solutions is transferred to the provider.

Kuidas me sertifitseerimise läbisime

Hiljuti läbisime edukalt "FZ-152 kaitstud pilve" infrastruktuuri taatlemise vastavuse isikuandmete töötlemise nõuetele. Töid teostas "Riiklik Taatlemiskeskus".

"FZ-152 kaitstud pilv" on praegu sertifitseeritud teabe süsteemide hoidmiseks, mis osalevad isikuandmete töötlemises, säilitamises või edastamises (ISPDn) vastavalt UZ-3 taseme nõuetele.

Taatlemise protseduur hõlmab pilveteenuse pakkuja infrastruktuuri vastavuse kontrollimist kaitsetaseme nõuetele. Teenuse pakkuja pakub IaaS teenust ja ei ole isikuandmete operaator. Protsess hõlmab nii organisatsiooniliste (dokumentatsioon, korraldused jne) kui ka tehniliste meetmete (kaitsevahendite seadistamine jne) hindamist.

Seda ei saa nimetada triviaalseteks. Kuigi GOST programmide ja meetodite taatlemise ürituste läbiviimiseks ilmus juba 2013. aastal, ei ole seni eksisteerinud ranget programmi pilveobjektide jaoks. Taatlemiskeskused arendavad neid programme oma ekspertiisi põhjal. Uute tehnoloogiate ilmumisega muutuvad programmid keerukamaks ja ajakohasemaks, seetõttu peab taatleja omama kogemusi pilvelahendustega ja mõistma spetsifikaate.

Meie juhul koosneb kaitseobjekt kahest asukohast.

• Andmekeskuses asuvad pilveressursid (serverid, andmesalvestussüsteemid, võrgu infrastruktuur, kaitsevahendid jne). Ilmselt on selline virtuaalne andmekeskus ühendatud avalike võrkudega, seetõttu peavad olema täidetud teatud nõuded tulemüüride osas, näiteks sertifitseeritud tulemüüre kasutades.

• Objekti teine osa on pilvehaldusvahendid. Need on tööjaamad (administratiivsed tööjaamad), mille kaudu hallatakse kaitstud segmenti.

Asukohad on ühendatud läbi VPN-kanali, mis on ehitatud KRZIS-iga.

Kuna virtualiseerimise tehnoloogiad loovad eeldusi ohtude tekkeks, kasutame ka täiendavaid sertifitseeritud kaitsevahendeid.

Struktuurne skeem "taatleja silmade kaudu"

Kui kliendil on vaja tema ISPDn akrediteerimist, jääb talle pärast IaaS-i rentimist alles vaid teha hindamine infotehnoloogilisest süsteemist, mis ületab virtuaalse andmekeskuse taset. See protseduur eeldab infrastruktuuri ja seal kasutatava tarkvara kontrollimist. Kuna kõigis infrastruktuuri küsimustes võite tugineda pakkuja akrediteeringule, jääb teil üle vaid töötada tarkvaraga.

Abstraktsiooni tasandil eristamine

Kokkuvõtteks toome välja väikese kontrollnimekirja ettevõtetele, kes juba töötavad PDn-iga või plaanivad alles alustada. Nii et kuidas töödelda ja mitte eksida.

1. Auditite ja ohumudelite koostamiseks kutsuge kogenud nõustaja akrediteerimislaborist, kes aitab koostada vajalikud dokumendid ja viib teid juba tehniliste lahenduste etappi.

2. Pilvepakkujat valides pöörake tähelepanu akrediteeringu olemasolule. Hea, kui ettevõte on selle avalikult otse veebisaidile üles pannud. Pakkujal peaks olema FSTEK ja FSB litsents ning pakutav teenus peaks olema akrediteeritud.

3. Veenduge, et teil on sõlmitud ametlik leping ja allkirjastatud volitus PDn-i töötlemiseks. Selle alusel saate teha nii vastavushindamise kui ka ISPDn akrediteerimise. Kui need tööd tehnilise projekti ja projektitehniliste dokumentide koostamise etapis tunduvad teile koormavad, tasub pöörduda akrediteerimislaborite seas tegutsevate kolmandate osapoolte konsultatsioonifirmade poole.

Kui teema PDn-i töötlemine on teile актуaalne, siis 18. septembril, sellel reedel, ootame teid veebinarile «Akrediteeritud pilvede loomise eripärad».

Allikas: habr.com