Kuidas täita 152-FZ nõudeid, kaitsta oma klientide isikuandmeid ja mitte astuda meie auku.  

Venemaa seaduste kohaselt muutub iga ettevõte, mis tegeleb oma kasutajate isikuandmetega Venemaal, PDI operaatoriks, olgu ta seda soovinud või mitte. See seab talle rida formaalseid ja protseduurilisi kohustusi, mida mitte iga ettevõte ei suuda või ei taha ise kanda.

Kogemus on näidanud, et õigustamata ei soovi paljud seda, kuna see valdkond on veel nii uus ja praktiliselt katsetamata, et raskused ja küsimused tekivad isegi professionaalide seas. Täna räägime, kuidas me ellu viisime isikuandmete salvestamise projekti meie kliendi jaoks ja milliste ootamatute probleemidega silmitsi seisisime.

Kuidas aitasime kaitsta andmeid vastavalt seadusele 152-FZ

2019. aasta alguses pöördus meie poole OÜ „Smart-Service”, teeninduse haldamise platvormi arendaja HubEx ja kontaktide vahetamise rakenduse myQRcards.
 
Esimene lahendus automatiseerib seadmete hooldust erinevates valdkondades – alates kohvimasinate ja konditsioneeride seadistamisest kontorites kuni gaasiturbiinide remontini. Teine on veebikonstruktor QR-koodide põhiste elektrooniliste visiitkaartide loomiseks. 

Veebivisiitkaart myQRcards.

Mõlemad süsteemid säilitavad ja töötlevad kasutajate andmeid, mis kuuluvad isikuandmete kategooriasse vastavalt 152-ФЗ seadusele. Sellisel juhul kehtib seadus andmete säilitussüsteemidele mitmesuguseid piiranguid, et tagada nende vajaliku taseme kaitse ja vältida loata juurdepääsu, mis võib viia varguse või väärkasutamiseni.
 
Seadus tuleb täita, kuid «Smart Service» ei plaaninud arendada enda sees isikuandmete kaitse pädevusi. Seetõttu kolisid teenused ja andmed, millega nende kasutajad jagasid, Linxdatacenter'i. «Smart Service» viis oma töökeskkonna serveriressursid eraldi kaitstud võrku, mis asub meie andmekeskuses ja on sertifitseeritud vastavalt 152-FZ nõuetele – nii nimetatud «Kaitstud pilv».
 

KUIDAS ON KORRALDATUD KAITSTUD PILV

Igal infosisystal, mis töötleb isikuandmeid, peavad olema täidetud kolm peamist nõuet: 

• andmete salvestamise ja töötlemise serveritesse pääsemine peab toimuma VPN-kanali kaudu, kasutades krüptimist vastavalt GOST-ile;
• andmete salvestamise ja töötlemise servereid peab pidevalt jälgima viirusetõrje kaitse, et tuvastada haavatavusi;
• andmemälu peab asuma eraldatud võrkudes. 

Me paigutame kliendi serveriressursid eraldi tsoonidesse, mis vastavad 152-FZ nõuetele, ning aitame saada vastavustunnistuse.

Kaitstud virtuaalse infrastruktuuri arhitektuur OÜ «Smart Service» jaoks.

Töö edenemine

Esialgne tööde kooskõlastamine toimus 2019. aasta juunis, mida võib pidada projekti alguskuupäevaks. Kõik tööd peavad toimuma „elavas” keskkonnas, kus on tuhandeid päringuid päevas. Loomulikult oli vajalik projekti teostamine kahe süsteemi tavapärast töökorraldust katkestamata.

Seetõttu koostati ja kooskõlastati selge tegevuskava, mis jaguneb neljaks etapiks:

• ettevalmistus,
• migratsioon,
• testimine ja kontroll tegelikes tingimustes,
• süsteemide jälgimise ja juurdepääsu piirangute rakendamine.

Igaks juhuks on meil väljatöötatud taastamismenetlus ettenägematute olukordade korral (DRP). Esialgse plaani kohaselt ei pidanud tööde teostamine võtma palju aega ja ressursse ning peaks lõpule viima 2019. aasta juulis. Iga etapi lõpus oli ette nähtud täielik võrguühenduse ja süsteemide funktsionaalsuse testimine.

Kõige keerulisem etapp, kus "midagi võis valesti minna", oli migratsioon. Alguses plaanisime migratsiooni virtuaalmasinate täieliku üleviimise kaudu. See tundus kõige loogilisem valik, kuna see ei nõudnud lisajõudude kaasamist ümberkonfigureerimiseks. Tundus, et mis võiks olla lihtsam kui vMotion.
  

Ükski ei oodanud

Kuid nagu projektides uues valdkonnas sageli juhtub, juhtus see, mida ei oodatud.

Kuna iga virtuaalne masin hõivab 500–1 000 GB, võttis selliste mahutite kopeerimine isegi ühe andmekeskuse piires aega umbes 3-4 tundi iga masina kohta. Tulemuseks oli, et me ei mahtunud ettenähtud ajaraami. See juhtus andmesalvestussüsteemi füüsiliste piirangute tõttu andmete üleviimisel vCloudi.

Kasutatava vCloudi versiooni viga ei lubanud korraldada Storage vMotioni virtuaalmasinate puhul, kus olid erinevad diskide tüübid, seetõttu pidime kettaid vahetama. Lõppkokkuvõttes õnnestus virtuaalmasinad üle viia, kuid see võttis rohkem aega kui plaanitud. 
 
Teine moment, mida me ei arvestanud, oli andmebaasi klastrite (Failover Cluster MS SQLServer) liikumise piirangud. Seetõttu tuli klaster viia ühe sõlme töörežiimi ja jätta see kaitstud tsoonist välja. 

Märkimisväärne on see, et Unknown põhjuse tõttu purunes virtuaalmasinate üleviimise tulemusena rakenduste klaster, ja see tuli uuesti kokku panna.

Esimese katse tulemusel saime rahuldava süsteemi seisundi ja pidime uuesti alustama planeerimist ning variantide arendamist.
 

Katse nr 2

Pärast vigade analüüsi mõistis meeskond, et parem on siiski dubleerida infrastruktuur kaitstud tsoonis ja kopeerida ainult andmefailid. Otsustati, et ei nõuta kliendilt täiendavat tasu lisaserversite võimsuse eest, mida tuli migreerimise lõppemiseks kasutada.

Seetõttu, kui klastrid kaitstud tsoonis olid täielikult dubleeritud, kulges migreerimine probleemideta.

Edasi tuli vaid jagada kaitstud ja kaitsmata tsoonide võrgud. Siin piirdusime mõne väikese töökatkestusega. Kaitstud tsoonis töötava süsteemi testimise etapp õnnestus läbi viia normaalses režiimis. Positiivse tööstatistika kogumise järel sellises režiimis, läksime viimasele etapile: kaitsesüsteemide käivitamine ja juurdepääsu piiramine.
 

Tulemuslik lõpp ja kasulik õppetund

 
Lõpuks, koostöös tellijaga, õnnestus teha märkimisväärseid muudatusi olemasolevas serveri infrastruktuuris, mis parandas isikuandmete hoidmise usaldusväärsust ja turvalisust, vähendades oluliselt õigustamata juurdepääsu riske ning saades andmete hoidmise nõuete täitmise tõendi — saavutus, millele pole jõudnud veel kõik sarnaste programmide arendajad.
 
Kokkuvõttes nägi projekti tööde kompleks välja järgmiselt:
 

1. Käivitati eraldatud alamvõrk;
2. Kokku migreeriti kaks klastrit, mis koosnesid viiest virtuaalmasinast: Andmebaasi Failover klaster (kaks virtuaalmasinat), rakenduste Service Fabric klaster (kolm virtuaalmasinat);
3. Kaitse- ja andmete krüpteerimise seadistused on tehtud.

Esmapilgul tundub kõik arusaadav ja loogiline. Praktikas on aga kõik veidi keerulisem. Oleme taas veendunud, et iga sellise ülesande puhul on vajalik kõrge tähelepanu „pisiasjadele”, mis osutuvad määravateks teguriteks kogu projekti edus. 

Allikas: habr.com