Kaitstud pilv DF Cloud platvormil 

FZ-152 „Isikuandmete kaitse seadus“ kehtib kõigile olemasolevatele subjektidele: füüsilistele ja juriidilistele isikutele, föderaalsetele riigivõimu organitele ja kohalikele omavalitsustele. Tegelikult kehtib see seadus kõikide organisatsioonide kohta, mis töötlevad teavet ja Venemaa kodanike isikuandmeid, sõltumata omandi vormist ja organisatsiooni suurusest.

Mõnikord võib organisatsioon suhteliselt ootamatult avastada algselt mitteilmseid isikuandmete infosüsteeme (PDA). Näiteks loetakse ettevõtteks isikuandmete operaator, kui tema veebisaidil on tagasisidevormid, registreerimis- ja autentimisvormid ning muud andmete kogumise vormid, mille kaudu saab identifitseerida subjektit.

Kontroll ja järelevalve föderaalsete seaduste „Isikuandmete kaitse“ nõuete täitmise üle toimub regulatiivsete organite kaudu:

• Roskomnadzor isikuandmete subjektide õiguste kaitse osas;
• Venemaa Föderatsiooni FSB krüptograafiaalaste nõuete täitmise osas;
• Venemaa Föderatsiooni FSTEK teabe kaitse nõuete täitmise osas ebaseadusliku juurdepääsu ja tehniliste kanalite kaudu lekkimise vastu.

Kuna FZ „Isikuandmete kaitse“ on vaid isikuandmete kaitse õiguskaitse aluseks, on selle nõuded hiljem täpsustatud Venemaa Föderaalse ja Sideministeeriumi aktides ja muudes regulatiivsetes- ja metoodilistes dokumentides.

Föderaalorganid, kes reguleerivad isikuandmete töötlemise valdkonda

• Roskomnadzor (Föderaalne side, info ja massikommunikatsiooni järelevalve amet) — teostab järelevalvet isikuandmete töötlemise vastavuse üle seadusandlikele nõuetele.
• FSTEK Venemaa (Föderaalne tehnilise ja ekspordikontrolli amet) — määrab kindlaks meetodid ja teadlikud teabe kaitse meetodid tehniliste vahendite abil.
• FSB Venemaa (Venemaa Föderatsiooni Ohutusamet) — määrab kindlaks meetodid ja teadlikud teabe kaitse meetodid oma volituste piires (krüptograafia vahendite kasutamisala).

Iga organisatsioon, mis töötleb isikuandmeid, seisab silmitsi probleemiga viia oma teabesüsteemid vastavusse seadusandlike nõuetega. Isikuandmete kaitse on üks kõige aktuaalsemaid küsimusi, mitte ainult Venemaal, vaid ka mujal maailmas. 

Isikuandmete liigid

Vastavalt FZ-152 seadusele on isikuandmed igasugune teave, mis mõjub kindlale või määratavale isikule (isikuandmete subjekt). Näiteks: nimi, sünnikuupäev ja -koht, aadress, perekondlik, sotsiaalne, varaline seisund, haridus jne.

Isikuandmed jagunevad mitmeks kategooriaks:

Erilised

Isikuandmed, mis puudutavad rassi, rahvust, poliitilisi vaateid, religioosseid või filosoofilisi veendumusi, terviseseisundit, intiimelu

Biomeetrilised

Isikuandmed, mis iseloomustavad inimese füsioloogilisi ja bioloogilisi omadusi, mille põhjal saab kindlaks teha tema isiku ja mida operaator kasutab isikuandmete subjekti isikustamiseks.

Muud

Isikuandmed, mis puudutavad otseselt või kaudselt kindlat või määratavat isikut ning ei kuulu ülaltoodud kategooriatesse

Avalikud

Isikuandmed, mis on saadud avalikest allikatest, kus andmed on avaldatud isikuandmete subjekti kirjaliku nõusolekuga.

Isikuandmete töötlemine on iga tegevus (operatsioon) või tegevuste kogum isikuandmetega, kasutades automatiseerimise vahendeid või ilma, sealhulgas:

• kogumine,
• salvestamine,
• süsteemimine,
• kogumine,
• salvestamine,
• kohtumine (uuendamine, muutmine),
• väljavõtmine,
• kasutamine,
• edastamine (levitamine, pakkumine, juurdepääs),
• anonüümimine,
• blokeerimine,
• kustutamine,
• isikuandmete hävitamine.

Vastutus rikkumiste eest

Vastavalt FZ-152 artikli 24 kohaselt kannavad isikud vastutust seaduse rikkumise eest vastavalt Venemaa Föderatsiooni seadusandusele.

Ettevõtte kontrollimisel juhinduvad regulatiivid FZ-152-st ja mitmest alamsätetest. Kontrollimine võib olla nii plaaniline kui ka erakorraline — rikkumiste faktidel põhinevalt, samuti varasemate käskkiri täitmise kontrollimiseks.

Isikutele, kes rikuvad isikuandmete kaitse nõudeid, võib ähvardada mitte ainult tsiviilõiguslik, vaid ka distsiplinaar- ja haldusvastutus, isegi kriminaalvastutus.
 

Kuidas vastata FZ-152 nõuetele?

Seega peab isikuandmeid või teisi piiratud juurdepääsuga teavet töötlev ettevõte või organisatsioon kaitsma seda teavet vastavalt seadusele. See mitte ainult ei nõua tõsist ekspertiisi, teadmisi ja kogemusi, vaid on seotud ka tehniliste keerukustega ja märkimisväärsete kuludega.

Sellekohase ametliku määratlemise kohaselt, mille on kinnitanud FSTEK, „… Isikuandmete turvalisus on isikuandmete kaitse seisund, mida iseloomustab kasutajate, tehniliste vahendite ja infotehnoloogiate suutlikkus tagada isikuandmete konfidentsiaalsus, terviklikkus ja kätte saamine nende töötlemise ajal isikuandmete infotehnoloogilistes süsteemides…“

FZ-152 organisatsiooniliste, õiguslike ja tehniliste nõuete täitmiseks tuleb iseseisvalt uurida mitte ainult seadust ennast, vaid ka selle alamakte, mõista, milliseid meetmeid on vaja rakendada. Välised spetsialistid saavad uurida isikuandmete töötlemise protsesse ettevõttes, koostada vajalikud dokumendid, rakendada kaitsevahendeid jne.

Kasutusdelikaatsete süsteemide kaitsele keskenduv infotehnoloogiline süsteem sisaldab järgmist:

• Sissetungi ennetamise vahendid (IDS).
• Tulekindel onn (FW).
• Kaitse pahatahtliku tarkvara eest.
• Küberturvalisuse sündmuste jälgimise ja logimise süsteem.
• Krüptograafilise kaitse süsteem sidekanalitele (šifreerimine).
• Virtuaalse keskkonna kaitsevahendid, süsteem, mis kaitseb volitamata juurdepääsu (НСД), identifitseerimist ja juurdepääsu haldamist.
• Kaitsetaseme analüüsi/sissetungide avastamise süsteem jne.

Lisaks nõuab kompleksne infotehnoloogiline turvalisus mitte ainult tehnilisi, vaid ka organisatsioonilisi meetmeid.

FZ-152 pilv: rakendamise eripära

Mitmed Venemaa teenusepakkujatel on pilveteerimise infrastruktuuri teenused, mis vastavad riiklikele nõuetele isikuandmete kaitse osas. Klientide süsteemide pilve paigutamisel võtab teenusepakkuja enda kanda mitmeid infotehnoloogia turvalisuse küsimusi, sealhulgas isikuandmete kaitset. Pilve migreerimise korral tagab ta IT-infrastruktuuri kaitse, vähendades kliendi kohustusi. Näiteks tõendab teenusepakkuja FZ-152 nõuete täitmist, mis käsitlevad virtualiseerimiskeskkonna kaitset.

Teenusepakkujad saavad samuti pakkuda klientidele ekspertnõustamist andmekaitse küsimustes: määrata vajaliku kaitse taseme ning vastavalt sellele pakkuda realizatsiooni varianti; koostada seadusandlike nõuete täitmise dokumentatsiooni Venemaal.

Kaitstud pilv aitab organisatsiooni kulusid optimeerida, vähendades IT-infrastruktuuri loomise ja hooldamise ning andmekaitsesüsteemi kulusid. Reeglina pakuvad kvalifitseeritud eksperdid terviklikku tehnilist tuge ja hooldust, sealhulgas konsultatsioone ja dokumentatsioonipakkide koostamist reguleerivate organite kvalifitseerimiseks, ning teenuseplatvorm vastab rangetele tehnilistele standarditele ja rahuldab vajalikke organisatsioonilisi nõudeid. Klientidel on võimalik kasutada teenuseid, mis seotud vajaliku dokumentatsiooni ettevalmistamise ja isikuandmete kaitse tagamisega rakenduste ja operatsioonisüsteemi tasandil.

Samuti on ette nähtud riskide ja haavatavuste juhtimise protsessid, intsidentide uurimine, sise- ja välisaudite kohapealse turvalisuse järelevalve ning regulaarne võrgu, süsteemide ja IT protsesside testimine. Kvalifitseeritud spetsialistid tagavad 24/7 IT-infrastruktuuri toe.

Nende meetmete kogum tagab föderaalse isikuandmete kaitse seadusandluse täitmise.

Sertifitseeritud platvorm

IBS DataFort pakub sellist teenust, mis põhineb sertifitseeritud platvormil DF Cloud. Kogu tehniline osa, haldamine ja selle platvormi virtualiseerimisvahendid vastavad FZ-152 normidele ja nõuetele.
IBS DataFort kaitstud pilve arhitektuur.

Platvorm tagab garanteeritud kaitse isikuandmete (kuni 1. kaitsetaseme) ja geoinformatsiooni süsteemide (kuni 1. kaitseklass) ning ohutu andmete säilitamise Tier III andmekeskustes. Platvormil kasutatakse sertifitseeritud tulemüüre, sissetungi avastamise ja ennetamise vahendeid (IDS/IPS), sidekanalite krüptimist (GOST VPN), viirusetõrjet, volitamata juurdepääsu kaitsmise vahendeid, virtualiseerimiskeskkonna kaitset ning haavatavuste skaneerimise vahendeid.

FZ-152 RSS — samuti sobiv lahendus neile, kes seab kõrgeid nõudeid konfidentsiaalsusele ja andmekaitsele, soovivad tugevdamist oma äri mainet või saavad konkurentsieelise, nagu tõendatud kõrge taseme infokaitse.

Kuidas aga sellesse pilve "kolida"? Kas "sujuv üleminek" on võimalik? Täiesti. Näiteks, IBS DataFort viib turvaliselt isikuandmete ülekande oma kaitstud pilve, minimeerides seise ja mõju ettevõtte äriprotsessidele (sealhulgas välisplatvormidelt).

IT-infrastruktuuri viimine vastavusse FZ-152

IT-infrastruktuuri toimetamine klient vastavusse FZ-152 nõuetega algab auditi ja praeguse kaitsetaseme hindamisega.

Kliendi IT-infrastruktuuri audit hõlmab andmelugemis- ja kaitseprotsesside uurimist ning kliendi isikuandmete kontrollimist. Koostatakse auditi aruanne, kus on põhjalik kirjeldus andmemuutmisprotsessidest tehnilisest vaatenurgast.

Tööd hõlmavad ka ohtude ja rikkumiste modelleerimist ning kaitse taseme määramise akti koostamist isikuandmete puhul. Auditi tulemuste põhjal koostatakse eriline tehniline ülesanne isikuandmete kaitsesüsteemile ja määratakse nõuded projekteeritavale süsteemile.

Koostatakse poliitikate, juhiste, regulatsioonide ja muude dokumentide kogum isikuandmete kaitseks. Samal ajal püüavad spetsialistid optimeerida kliendi kulusid kaitsevahendite rakendamiseks.

IBS DataFort pakub isikuandmete kaitse dokumentatsiooni ettevalmistamise teenuseid ja aitab järgida föderaalseadusi isikuandmete kaitseks ning võib aidata dokumentide ettevalmistamisel ja sertifitseerimise läbimisel (isikuandmed, GIS, AS).

Atesteerimist viivad läbi sõltumatud audiitorid, kellel on FSTEK ja FSB Venemaa load. Sellise atesteerimise läbimine kinnitab usaldusväärset isikuandmete kaitset ettevõtte partnerite ja klientide ees väliste ohtude eest ning kompleksset vastavust regulatiivsete nõuete täitmisele. Oluline on, et kliendid saavad mugavust, mida pakub "ühe akna" lahendus: kõik tagab üks ettevõte - IBS DataFort.

Isikuandmete operaatori jaoks tähendab see valmisolekut Roskomnadzori, FSTEK ja FSB kontrollideks, riski välistamist ressursside blokeerimisest ning regulatiivsete nõuete puudumist ja karistusi.

Selline teenus on asjakohane paljude valitsuse ja ettevõtete kategooriate tellijatele ning võib olla nõutud isikuandmete operaatorite seas, kes soovivad oma tegevuse viia vastavusse seadusandlusega. Infotehnoloogia süsteemi paigutamine teenusepakkuja suletud infrastruktuuri segmenti, mis on atesteeritud kõigi vajalike standardite ja nõuete järgi, vabastab tellija kõigi tööde iseseisva korraldamise kohustusest.

Allikas: habr.com