La loi FZ-152 «Sur la protection des données personnelles» s'applique à tous les sujets existants : personnes physiques et morales, autorités fédérales et collectivités locales. En effet, cette loi concerne toutes les organisations qui traitent des informations et des données personnelles des citoyens de la Fédération de Russie, quel que soit leur statut juridique ou leur taille.
Parfois, une organisation peut découvrir de manière inattendue des systèmes d'information des données personnelles (Données Personnelles) qui étaient initialement implicites. Par exemple, une entreprise est considérée comme opérateur de données personnelles si son site internet comporte des formulaires de contact, d'inscription et d'autres formulaires de collecte de données permettant d'identifier le sujet.
Le contrôle et la surveillance du respect des exigences de la loi fédérale «Sur les données personnelles» sont assurés par les régulateurs :
- Roskomnadzor en ce qui concerne la protection des droits des sujets de données personnelles ;
- Le FSB de Russie en ce qui concerne le respect des exigences en matière de cryptographie ;
- Le FSTEC de Russie en ce qui concerne le respect des exigences de protection des informations contre l'accès non autorisé et les fuites par des canaux techniques.
Étant donné que la loi FZ «Sur les données personnelles» constitue seulement la base juridique pour la protection des données personnelles, ses exigences ont été ultérieurement précisées dans des actes du Gouvernement de la Fédération de Russie et du Ministère des Communications, ainsi que dans d'autres documents normatifs et méthodologiques des régulateurs.
Les autorités fédérales régissant l'activité de traitement des données personnelles
- Roskomnadzor (Service fédéral de surveillance dans le domaine des communications et des médias) — exerce le contrôle et la supervision pour s'assurer que le traitement des données personnelles respecte les exigences législatives.
- FSTEC de Russie (Service fédéral de contrôle technique et d'exportation) — établit des méthodes et des moyens de protection des informations à l'aide de moyens techniques.
- FSB de Russie (Service fédéral de sécurité de la Fédération de Russie) — établit des méthodes et des moyens de protection des informations dans le cadre de ses compétences (domaine d'utilisation des moyens cryptographiques de protection des informations)
Chaque organisation traitant des données personnelles est confrontée au défi de rendre ses systèmes d'information conformes aux exigences légales. La protection des données personnelles est l'une des questions les plus pressantes, non seulement en Russie, mais aussi dans d'autres pays.
Types de données personnelles
Selon la loi fédérale n° 152, les données personnelles désignent toute information se rapportant à une personne physique identifiée ou identifiable sur la base de cette information (sujet des données personnelles). Par exemple : nom complet, date et lieu de naissance, adresse, situation familiale, sociale, patrimoniale, éducation, etc.
Les données personnelles se divisent en plusieurs catégories :
Catégories spéciales
Données personnelles concernant la race, l'appartenance nationale, les opinions politiques, les croyances religieuses ou philosophiques, l'état de santé, la vie intime
Données biométriques
Données personnelles qui caractérisent les caractéristiques physiologiques et biologiques d'une personne, sur la base desquelles son identité peut être établie et qui sont utilisées par l'opérateur pour établir l'identité du sujet des données personnelles
Autres
Données personnelles se rapportant à une personne physique directement ou indirectement identifiée ou identifiable, et ne relevant pas des catégories susmentionnées
Données accessibles au public
Données personnelles obtenues à partir de sources accessibles au public, dans lesquelles les données ont été publiées avec le consentement écrit du sujet des données personnelles
Le traitement des données personnelles est toute action (opération) ou ensemble d'actions avec des données personnelles, utilisant des moyens automatisés ou non, y compris :
- la collecte,
- l'enregistrement,
- la systématisation,
- l'accumulation,
- le stockage,
- la clarification (mise à jour, modification),
- l'extraction,
- l'utilisation,
- le transfert (diffusion, fourniture, accès),
- l'anonymisation,
- le blocage,
- la suppression,
- la destruction de données personnelles.
Responsabilité en cas de violations
Conformément à l'article 24 de la loi fédérale n° 152, les personnes sont responsables des violations de la loi conformément à la législation de la Fédération de Russie.
En vérifiant une entreprise, les régulateurs s'appuient sur la loi fédérale n° 152 et plusieurs actes réglementaires. L'audit peut être planifié ou non planifié - en raison de violations constatées, ainsi que pour contrôler les instructions antérieurement émises concernant leur rectification.
Les personnes qui enfreignent les exigences en matière de protection des données personnelles peuvent encourir non seulement des responsabilités civiles et disciplinaires, mais également des sanctions administratives et même pénales.
Comment se conformer aux exigences de la loi fédérale 152 ?
Ainsi, une entreprise ou organisation traitant des données personnelles ou d'autres informations à accès limité doit protéger ces informations conformément à la législation. Cela nécessite non seulement une expertise sérieuse, des connaissances et de l'expérience, mais également fait face à des difficultés techniques et à des coûts non négligeables.
Selon la définition officielle approuvée par le FSTEC, «... La sécurité des données personnelles est un état de protection des données personnelles, caractérisé par la capacité des utilisateurs, des moyens techniques et des technologies de l'information à garantir la confidentialité, l'intégrité et la disponibilité des données personnelles lors de leur traitement dans des systèmes d'information des données personnelles ... »
Pour se conformer aux exigences organisationnelles, légales et techniques de la loi fédérale 152 de manière autonome, il est nécessaire d'étudier non seulement la loi elle-même, mais aussi ses actes réglementaires, et de comprendre quelles mesures doivent être prises. Des spécialistes en outsourcing peuvent analyser les processus de traitement des données personnelles dans l'entreprise, rédiger les documents nécessaires, mettre en œuvre des mesures de protection, etc.
Un système complet de protection des informations comprend :
- Des moyens de prévention des intrusions (IDS).
- Un pare-feu (FW).
- Une protection contre les logiciels malveillants.
- Un système de surveillance et d'enregistrement des événements de sécurité.
- Un système de protection cryptographique des canaux de communication (chiffrement).
- Des moyens de protection de l'environnement virtuel, un système de défense contre l'accès non autorisé (ANA), d'identification et de gestion des accès.
- Un système d'analyse de la sécurité / détection des vulnérabilités, etc.
De plus, la sécurité de l'information globale implique non seulement des mesures techniques, mais aussi organisationnelles.
Nuage de la loi fédérale 152 : particularités de la mise en œuvre
Un certain nombre de fournisseurs russes offrent des services d'infrastructure cloud pour le déploiement de systèmes d'information en conformité avec les exigences de la législation fédérale en matière de protection des données personnelles. Lors du déploiement des systèmes clients dans le cloud, le fournisseur prend en charge la résolution de nombreuses questions liées à la sécurité de l'information, y compris celles concernant la protection des données personnelles. Lors de la migration vers le cloud, il assurera la protection de l'infrastructure informatique, ce qui déchargera une partie des responsabilités du client. Par exemple, le fournisseur respecte les exigences de la loi FZ-152 concernant la protection de l'environnement de virtualisation.
Les fournisseurs peuvent également offrir un soutien d'experts aux clients pour résoudre les problèmes de protection des données : définir le niveau de sécurité requis et proposer des options de mise en œuvre en conséquence ; élaborer des documents pour répondre aux exigences de la législation russe.
Un cloud sécurisé aide à optimiser les coûts de l'organisation, réduisant les dépenses liées à la création et à la maintenance de l'infrastructure informatique et du système de protection des informations internes. En général, des experts qualifiés fournissent un accompagnement technique complet et un soutien, y compris le conseil et l'élaboration d'un ensemble de documents pour l'attestation auprès des autorités réglementaires, tandis que la plateforme de services respecte des normes techniques strictes et répond aux exigences organisationnelles nécessaires. Les clients peuvent bénéficier de services de préparation de la documentation nécessaire et de protection des informations personnelles à l'échelle des applications et du système d'exploitation.
Des processus de gestion des risques et des vulnérabilités, d'enquête sur les incidents, d'audits internes et externes de sécurité, ainsi que d'une surveillance et d'un test réguliers du réseau, des systèmes et des processus de sécurité de l'information sont également prévus. Des spécialistes qualifiés assurent un accompagnement 24 heures sur 24 de l'infrastructure informatique.
Ensemble, ces mesures garantissent le respect de la législation fédérale en matière de protection des données personnelles.
Plateforme certifiée
IBS DataFort offre ce service basé sur . Toute la partie technique, l'administration et les moyens de virtualisation de cette plateforme respectent les normes et exigences de la loi FZ-152.
Architecture du cloud sécurisé d'IBS DataFort.
La plateforme assure une protection garantie des systèmes d'information personnels (jusqu'au niveau 1 de protection inclus), des systèmes d'information géographique (jusqu'à la première classe de protection inclus), et un stockage sécurisé des données dans un Data Center Tier III. La plateforme utilise des pare-feu certifiés, des systèmes de détection et de prévention des intrusions (IDS/IPS), du chiffrement des canaux de communication (VPN GOST), une protection antivirus, des dispositifs de protection contre l'accès non autorisé, une protection de l'environnement de virtualisation, ainsi que des outils de scan des vulnérabilités.
— c'est aussi une solution adaptée pour ceux qui ont des exigences élevées en matière de confidentialité et de protection des données, souhaitent renforcer leur réputation commerciale ou obtenir un avantage concurrentiel grâce à un niveau élevé de sécurité de l'information confirmé.
Comment "déménager" vers un tel cloud ? Est-il possible d'"une migration sans couture" ? Tout à fait. Par exemple, IBS DataFort réalise un transfert sécurisé des systèmes d'information personnels vers son cloud protégé, en minimisant les temps d'arrêt et l'impact sur les processus commerciaux de l'entreprise (y compris depuis des sites à l'étranger).
Mise en conformité de l'infrastructure IT avec la FZ-152
Le processus de mise en conformité de l'infrastructure IT du client avec les exigences de la FZ-152 commence par un audit et une évaluation du niveau actuel de protection.
L'audit de l'infrastructure IT du client comprend l'examen des processus de traitement et de protection des données personnelles ainsi que l'examen des systèmes d'information personnels du client. Un rapport d'audit détaillant les processus de traitement des données personnelles sur le plan technique est élaboré.
Les travaux prévoient également la modélisation des menaces et des intrus et l'établissement d'un acte de détermination du niveau de protection pour les systèmes d'information personnels. À la suite de l'audit, un cahier des charges particulier est élaboré pour le système de protection des systèmes d'information personnels, définissant les exigences pour le système projeté.
Un ensemble de politiques, d'instructions, de règlements et autres documents relatifs à la protection des données personnelles est élaboré. Dans ce cadre, les spécialistes s'efforcent d'optimiser les coûts d'implantation des dispositifs de protection pour le client.
IBS DataFort propose des services de préparation de la documentation et de protection des systèmes d'information personnels pour se conformer à la législation fédérale sur la protection des données personnelles et peut aider à la préparation et au passage de l'attestation (Systèmes d'information personnels, Systèmes d'information géographique, Systèmes d'automatisation).
L'évaluation est réalisée par des auditeurs indépendants, titulaires de licences de la FSTEC et du FSB de Russie. Passer cette évaluation confirme la protection fiable des données personnelles des partenaires et clients de l'entreprise contre les menaces extérieures, ainsi que le respect complet des exigences des régulateurs. Il est important que les clients bénéficient de la commodité d'un guichet unique : tout est assuré par une seule entreprise — IBS DataFort.
Pour l'opérateur de données personnelles, cela signifie être prêt pour les inspections de Roskomnadzor, de la FSTEC et du FSB, excluant les risques de blocage des ressources, et l'absence de réclamations et de sanctions de la part du régulateur.
Ce service est pertinent pour de nombreuses catégories de clients du secteur public et des entreprises et peut être recherché par les opérateurs de données personnelles souhaitant aligner leurs activités sur la législation. Le placement des systèmes d'information dans un segment fermé de l'infrastructure du fournisseur, certifié selon toutes les normes et exigences nécessaires, décharge le client de l'obligation d'organiser lui-même tous les travaux.
Source : habr.com
