IaaS 152-FZ: તેથી, તમારે સુરક્ષાની જરૂર છે

ભલે તમે 152-FZ ના અનુપાલનની આસપાસની દંતકથાઓ અને દંતકથાઓને કેટલી સૉર્ટ કરો, કંઈક હંમેશા પડદા પાછળ રહે છે. આજે આપણે કેટલીક એવી સ્પષ્ટ ઘોંઘાટની ચર્ચા કરવા માંગીએ છીએ કે જેનો સામનો મોટી કંપનીઓ અને ખૂબ નાના સાહસો બંને કરી શકે છે:

• કેટેગરીમાં PD વર્ગીકરણની સૂક્ષ્મતા - જ્યારે એક નાનો ઓનલાઈન સ્ટોર કોઈ વિશેષ કેટેગરીથી સંબંધિત ડેટાને તેના વિશે જાણ્યા વિના એકત્રિત કરે છે;

• જ્યાં તમે એકત્રિત પીડીના બેકઅપને સંગ્રહિત કરી શકો છો અને તેના પર કામગીરી કરી શકો છો;

• પ્રમાણપત્ર અને પાલનના નિષ્કર્ષ વચ્ચે શું તફાવત છે, તમારે પ્રદાતા પાસેથી કયા દસ્તાવેજોની વિનંતી કરવી જોઈએ અને તે જેવી સામગ્રી.

અંતે, અમે પ્રમાણપત્ર પાસ કરવાનો અમારો પોતાનો અનુભવ તમારી સાથે શેર કરીશું. જાઓ!

આજના લેખમાં નિષ્ણાત હશે એલેક્સી અફનાસ્યેવ, IS ક્લાઉડ પ્રદાતાઓ IT-GRAD અને #CloudMTS (MTS જૂથનો ભાગ) માટે નિષ્ણાત છે.

વર્ગીકરણની સૂક્ષ્મતા

અમે ઘણીવાર ક્લાયન્ટની ઝડપથી, IS ઓડિટ વિના, ISPD માટે જરૂરી સ્તરની સુરક્ષા નક્કી કરવાની ઇચ્છાનો સામનો કરીએ છીએ. આ વિષય પર ઇન્ટરનેટ પરની કેટલીક સામગ્રી ખોટી છાપ આપે છે કે આ એક સરળ કાર્ય છે અને ભૂલ કરવી ખૂબ મુશ્કેલ છે.

KM નક્કી કરવા માટે, ક્લાયંટના IS દ્વારા કયો ડેટા એકત્રિત અને પ્રક્રિયા કરવામાં આવશે તે સમજવું જરૂરી છે. કેટલીકવાર સુરક્ષા આવશ્યકતાઓ અને વ્યવસાય ચલાવે છે તે વ્યક્તિગત ડેટાની શ્રેણી અસ્પષ્ટપણે નિર્ધારિત કરવી મુશ્કેલ બની શકે છે. સમાન પ્રકારના વ્યક્તિગત ડેટાનું મૂલ્યાંકન અને સંપૂર્ણપણે અલગ રીતે વર્ગીકૃત કરી શકાય છે. તેથી, કેટલાક કિસ્સાઓમાં, વ્યવસાયનો અભિપ્રાય ઓડિટર અથવા તો નિરીક્ષકના અભિપ્રાયથી અલગ હોઈ શકે છે. ચાલો થોડા ઉદાહરણો જોઈએ.

કાર પાર્ક. તે એકદમ પરંપરાગત પ્રકારનો વ્યવસાય જેવો લાગશે. ઘણા વાહનોનો કાફલો દાયકાઓથી કાર્યરત છે, અને તેમના માલિકો વ્યક્તિગત ઉદ્યોગસાહસિકો અને વ્યક્તિઓને ભાડે રાખે છે. નિયમ પ્રમાણે, કર્મચારી ડેટા UZ-4 ની જરૂરિયાતો હેઠળ આવે છે. જો કે, ડ્રાઇવરો સાથે કામ કરવા માટે, ફક્ત વ્યક્તિગત ડેટા એકત્રિત કરવો જ નહીં, પરંતુ શિફ્ટ પર જતા પહેલા વાહનના કાફલાના પ્રદેશ પર તબીબી નિયંત્રણ હાથ ધરવા પણ જરૂરી છે, અને પ્રક્રિયામાં એકત્રિત કરવામાં આવેલી માહિતી તરત જ શ્રેણીમાં આવે છે. તબીબી ડેટા - અને આ એક વિશેષ શ્રેણીનો વ્યક્તિગત ડેટા છે. વધુમાં, કાફલો પ્રમાણપત્રોની વિનંતી કરી શકે છે, જે પછી ડ્રાઇવરની ફાઇલમાં રાખવામાં આવશે. ઇલેક્ટ્રોનિક સ્વરૂપમાં આવા પ્રમાણપત્રનું સ્કેન - આરોગ્ય ડેટા, વિશેષ શ્રેણીનો વ્યક્તિગત ડેટા. આનો અર્થ એ છે કે UZ-4 હવે પૂરતું નથી; ઓછામાં ઓછું UZ-3 જરૂરી છે.

ઑનલાઇન સ્ટોર. એવું લાગે છે કે એકત્ર કરાયેલા નામો, ઇમેઇલ્સ અને ટેલિફોન નંબરો જાહેર કેટેગરીમાં ફિટ છે. જો કે, જો તમારા ગ્રાહકો આહારની પસંદગીઓ સૂચવે છે, જેમ કે હલાલ અથવા કોશર, તો આવી માહિતીને ધાર્મિક જોડાણ અથવા માન્યતા ડેટા ગણવામાં આવી શકે છે. તેથી, અન્ય નિયંત્રણ પ્રવૃત્તિઓ તપાસતી વખતે અથવા હાથ ધરતી વખતે, નિરીક્ષક તમે એકત્રિત કરેલા ડેટાને વ્યક્તિગત ડેટાની વિશેષ શ્રેણી તરીકે વર્ગીકૃત કરી શકે છે. હવે, જો કોઈ ઓનલાઈન સ્ટોર તેના ખરીદનાર માંસ કે માછલીને પસંદ કરે છે કે કેમ તે અંગે માહિતી એકત્રિત કરે છે, તો ડેટાને અન્ય વ્યક્તિગત ડેટા તરીકે વર્ગીકૃત કરી શકાય છે. માર્ગ દ્વારા, શાકાહારીઓ વિશે શું? છેવટે, આ ફિલોસોફિકલ માન્યતાઓને પણ આભારી હોઈ શકે છે, જે એક વિશેષ શ્રેણીની પણ છે. પરંતુ બીજી બાજુ, આ ફક્ત તે વ્યક્તિનું વલણ હોઈ શકે છે જેણે તેના આહારમાંથી માંસને દૂર કર્યું છે. અરે, એવી કોઈ નિશાની નથી કે જે આવી "સૂક્ષ્મ" પરિસ્થિતિઓમાં પીડીની શ્રેણીને સ્પષ્ટપણે વ્યાખ્યાયિત કરે.

જાહેરાત આપનાર સંસ્થાન કેટલીક વેસ્ટર્ન ક્લાઉડ સેવાનો ઉપયોગ કરીને, તે તેના ક્લાયન્ટના સાર્વજનિક રીતે ઉપલબ્ધ ડેટા - સંપૂર્ણ નામો, ઈમેલ એડ્રેસ અને ટેલિફોન નંબર પર પ્રક્રિયા કરે છે. આ વ્યક્તિગત ડેટા, અલબત્ત, વ્યક્તિગત ડેટા સાથે સંબંધિત છે. પ્રશ્ન ઊભો થાય છે: શું આવી પ્રક્રિયા હાથ ધરવી તે કાયદેસર છે? શું આવા ડેટાને રશિયન ફેડરેશનની બહાર ડિપર્સનલાઇઝેશન વિના ખસેડવાનું પણ શક્ય છે, ઉદાહરણ તરીકે, કેટલાક વિદેશી વાદળોમાં બેકઅપ સ્ટોર કરવા? અલબત્ત તમે કરી શકો છો. એજન્સીને આ ડેટાને રશિયાની બહાર સંગ્રહિત કરવાનો અધિકાર છે, જો કે, પ્રારંભિક સંગ્રહ, અમારા કાયદા અનુસાર, રશિયન ફેડરેશનના પ્રદેશ પર હાથ ધરવામાં આવવો જોઈએ. જો તમે આવી માહિતીનો બેકઅપ લો છો, તો તેના આધારે કેટલાક આંકડાઓની ગણતરી કરો છો, સંશોધન કરો છો અથવા તેની સાથે અન્ય કોઈ કામગીરી કરો છો - આ બધું પશ્ચિમી સંસાધનો પર થઈ શકે છે. કાનૂની દૃષ્ટિકોણથી મુખ્ય મુદ્દો એ છે કે જ્યાં વ્યક્તિગત ડેટા એકત્રિત કરવામાં આવે છે. તેથી પ્રારંભિક સંગ્રહ અને પ્રક્રિયાને મૂંઝવવું નહીં તે મહત્વનું છે.

આ ટૂંકા ઉદાહરણોમાંથી નીચે મુજબ, વ્યક્તિગત ડેટા સાથે કામ કરવું હંમેશા સરળ અને સરળ હોતું નથી. તમારે માત્ર એટલું જ જાણવાની જરૂર નથી કે તમે તેમની સાથે કામ કરી રહ્યાં છો, પરંતુ તેમને યોગ્ય રીતે વર્ગીકૃત કરવામાં પણ સક્ષમ હોવા જોઈએ, સુરક્ષાના જરૂરી સ્તરને યોગ્ય રીતે નક્કી કરવા માટે IP કેવી રીતે કાર્ય કરે છે તે સમજવું જોઈએ. કેટલાક કિસ્સાઓમાં, પ્રશ્ન ઊભો થઈ શકે છે કે સંસ્થાને ખરેખર કેટલા વ્યક્તિગત ડેટાની જરૂર છે. શું સૌથી "ગંભીર" અથવા ફક્ત બિનજરૂરી ડેટાનો ઇનકાર કરવો શક્ય છે? વધુમાં, નિયમનકાર જ્યાં શક્ય હોય ત્યાં વ્યક્તિગત ડેટાને ડિપર્સનલાઈઝ કરવાની ભલામણ કરે છે. 

ઉપરોક્ત ઉદાહરણોની જેમ, કેટલીકવાર તમને એ હકીકતનો સામનો કરવો પડી શકે છે કે નિરીક્ષણ સત્તાવાળાઓ એકત્રિત કરેલા વ્યક્તિગત ડેટાનું તમે જાતે મૂલ્યાંકન કર્યું છે તેના કરતા થોડું અલગ રીતે અર્થઘટન કરે છે.

અલબત્ત, તમે સહાયક તરીકે ઓડિટર અથવા સિસ્ટમ ઇન્ટિગ્રેટરને નિયુક્ત કરી શકો છો, પરંતુ શું "સહાયક" ઓડિટની ઘટનામાં પસંદ કરેલા નિર્ણયો માટે જવાબદાર રહેશે? તે નોંધવું યોગ્ય છે કે જવાબદારી હંમેશા ISPD ના માલિકની છે - વ્યક્તિગત ડેટાના ઓપરેટર. તેથી જ, જ્યારે કોઈ કંપની આવા કામ કરે છે, ત્યારે આવી સેવાઓ માટે બજારમાં ગંભીર ખેલાડીઓ તરફ વળવું મહત્વપૂર્ણ છે, ઉદાહરણ તરીકે, પ્રમાણપત્ર કાર્ય હાથ ધરતી કંપનીઓ. સર્ટિફાઇંગ કંપનીઓ પાસે આવા કામ હાથ ધરવાનો બહોળો અનુભવ છે.

ISPD બનાવવા માટેના વિકલ્પો

ISPD નું બાંધકામ માત્ર ટેકનિકલ જ નથી, પણ મોટાભાગે કાનૂની સમસ્યા પણ છે. CIO અથવા સુરક્ષા નિર્દેશકે હંમેશા કાનૂની સલાહકાર સાથે સંપર્ક કરવો જોઈએ. કંપની પાસે હંમેશા તમને જોઈતી પ્રોફાઈલ સાથે કોઈ નિષ્ણાત હોતું નથી, તેથી તે ઓડિટર-કન્સલ્ટન્ટ્સ તરફ ધ્યાન આપવા યોગ્ય છે. ઘણા લપસણો બિંદુઓ બિલકુલ સ્પષ્ટ ન પણ હોઈ શકે.

પરામર્શ તમને તે નક્કી કરવાની મંજૂરી આપશે કે તમે કયા વ્યક્તિગત ડેટા સાથે વ્યવહાર કરી રહ્યાં છો અને તેને કયા સ્તરની સુરક્ષાની જરૂર છે. તદનુસાર, તમને આઈપીનો ખ્યાલ આવશે જેને સુરક્ષા અને ઓપરેશનલ સુરક્ષા પગલાં સાથે બનાવવા અથવા પૂરક બનાવવાની જરૂર છે.

ઘણીવાર કંપનીની પસંદગી બે વિકલ્પો વચ્ચેની હોય છે:

1. સંભવતઃ તમારા પોતાના સર્વર રૂમમાં, તમારા પોતાના હાર્ડવેર અને સોફ્ટવેર સોલ્યુશન્સ પર અનુરૂપ IS બનાવો.

2. ક્લાઉડ પ્રદાતાનો સંપર્ક કરો અને એક સ્થિતિસ્થાપક સોલ્યુશન પસંદ કરો, જે પહેલેથી પ્રમાણિત “વર્ચ્યુઅલ સર્વર રૂમ” છે.

વ્યક્તિગત ડેટા પર પ્રક્રિયા કરતી મોટાભાગની માહિતી પ્રણાલીઓ પરંપરાગત અભિગમનો ઉપયોગ કરે છે, જેને વ્યવસાયના દૃષ્ટિકોણથી ભાગ્યે જ સરળ અને સફળ કહી શકાય. આ વિકલ્પ પસંદ કરતી વખતે, તે સમજવું જરૂરી છે કે તકનીકી ડિઝાઇનમાં સૉફ્ટવેર અને હાર્ડવેર સોલ્યુશન્સ અને પ્લેટફોર્મ્સ સહિત સાધનોનું વર્ણન શામેલ હશે. આનો અર્થ એ કે તમારે નીચેની મુશ્કેલીઓ અને મર્યાદાઓનો સામનો કરવો પડશે:

• સ્કેલિંગની મુશ્કેલી;

• પ્રોજેક્ટ અમલીકરણનો લાંબો સમયગાળો: સિસ્ટમ પસંદ કરવી, ખરીદી કરવી, ઇન્સ્ટોલ કરવી, ગોઠવવી અને તેનું વર્ણન કરવું જરૂરી છે;

• ઘણા બધા "કાગળ" કાર્ય, ઉદાહરણ તરીકે - સમગ્ર ISPD માટે દસ્તાવેજીકરણના સંપૂર્ણ પેકેજનો વિકાસ.

વધુમાં, એક વ્યવસાય, એક નિયમ તરીકે, તેના IP ના ફક્ત "ટોચ" સ્તરને સમજે છે - તે જે વ્યવસાયિક એપ્લિકેશનોનો ઉપયોગ કરે છે. બીજા શબ્દોમાં કહીએ તો, IT સ્ટાફ તેમના ચોક્કસ ક્ષેત્રમાં કુશળ છે. બધા "નીચલા સ્તરો" કેવી રીતે કાર્ય કરે છે તેની કોઈ સમજણ નથી: સૉફ્ટવેર અને હાર્ડવેર સુરક્ષા, સ્ટોરેજ સિસ્ટમ્સ, બેકઅપ અને, અલબત્ત, બધી આવશ્યકતાઓનું પાલન કરીને સુરક્ષા સાધનોને કેવી રીતે ગોઠવવું, રૂપરેખાંકનનો "હાર્ડવેર" ભાગ બનાવો. તે સમજવું અગત્યનું છે: આ જ્ઞાનનું એક વિશાળ સ્તર છે જે ગ્રાહકના વ્યવસાયની બહાર રહેલું છે. આ તે છે જ્યાં પ્રમાણિત "વર્ચ્યુઅલ સર્વર રૂમ" પ્રદાન કરતા ક્લાઉડ પ્રદાતાનો અનુભવ કામમાં આવી શકે છે.

બદલામાં, ક્લાઉડ પ્રદાતાઓ પાસે ઘણા બધા ફાયદા છે જે, અતિશયોક્તિ વિના, વ્યક્તિગત ડેટા સુરક્ષાના ક્ષેત્રમાં 99% વ્યવસાયિક જરૂરિયાતોને આવરી શકે છે:

• મૂડી ખર્ચ ઓપરેટિંગ ખર્ચમાં રૂપાંતરિત થાય છે;

• પ્રદાતા, તેના ભાગ માટે, સાબિત માનક સોલ્યુશનના આધારે જરૂરી સ્તરની સુરક્ષા અને ઉપલબ્ધતાની જોગવાઈની બાંયધરી આપે છે;

• હાર્ડવેર સ્તરે ISPD ની કામગીરી સુનિશ્ચિત કરશે તેવા નિષ્ણાતોનો સ્ટાફ જાળવવાની જરૂર નથી;

• પ્રદાતાઓ વધુ લવચીક અને સ્થિતિસ્થાપક ઉકેલો પ્રદાન કરે છે;

• પ્રદાતાના નિષ્ણાતો પાસે તમામ જરૂરી પ્રમાણપત્રો છે;

• નિયમનકારોની જરૂરિયાતો અને ભલામણોને ધ્યાનમાં લેતા, તમારું પોતાનું આર્કિટેક્ચર બનાવતી વખતે પાલન કરતાં ઓછું નથી.

ક્લાઉડમાં વ્યક્તિગત ડેટા સંગ્રહિત કરી શકાતો નથી તે જૂની માન્યતા હજુ પણ અત્યંત લોકપ્રિય છે. તે માત્ર અંશતઃ સાચું છે: PD ખરેખર પોસ્ટ કરી શકાતું નથી ઉપલબ્ધ પ્રથમમાં વાદળ ચોક્કસ તકનીકી પગલાંનું પાલન અને ચોક્કસ પ્રમાણિત ઉકેલોનો ઉપયોગ જરૂરી છે. જો પ્રદાતા તમામ કાનૂની આવશ્યકતાઓનું પાલન કરે છે, તો વ્યક્તિગત ડેટા લિકેજ સાથે સંકળાયેલા જોખમો ઓછા કરવામાં આવે છે. ઘણા પ્રદાતાઓ પાસે 152-FZ અનુસાર વ્યક્તિગત ડેટાની પ્રક્રિયા કરવા માટે એક અલગ ઇન્ફ્રાસ્ટ્રક્ચર છે. જો કે, ચોક્કસ માપદંડોના જ્ઞાન સાથે સપ્લાયરની પસંદગીનો પણ સંપર્ક કરવો આવશ્યક છે; અમે તેમને નીચે ચોક્કસપણે સ્પર્શ કરીશું. 

પ્રદાતાના ક્લાઉડમાં વ્યક્તિગત ડેટાના પ્લેસમેન્ટ વિશે કેટલીક ચિંતાઓ સાથે ગ્રાહકો ઘણીવાર અમારી પાસે આવે છે. સારું, ચાલો તરત જ તેમની ચર્ચા કરીએ.

• ટ્રાન્સમિશન અથવા સ્થળાંતર દરમિયાન ડેટાની ચોરી થઈ શકે છે

આનાથી ડરવાની જરૂર નથી - પ્રદાતા ક્લાયન્ટને પ્રમાણિત સોલ્યુશન્સ, કોન્ટ્રાક્ટરો અને કર્મચારીઓ માટે ઉન્નત પ્રમાણીકરણ પગલાં પર બનેલ સુરક્ષિત ડેટા ટ્રાન્સમિશન ચેનલ બનાવવાની ઑફર કરે છે. જે બાકી છે તે યોગ્ય સુરક્ષા પદ્ધતિઓ પસંદ કરવાનું અને ક્લાયન્ટ સાથેના તમારા કાર્યના ભાગ રૂપે તેનો અમલ કરવાનું છે.

• શો માસ્ક આવશે અને સર્વર પર પાવર લઈ જશે/સીલ/કટ ઓફ કરશે

જે ગ્રાહકોને ડર છે કે ઈન્ફ્રાસ્ટ્રક્ચર પર અપૂરતા નિયંત્રણને કારણે તેમની વ્યવસાયિક પ્રક્રિયાઓ ખોરવાઈ જશે તેમના માટે તે તદ્દન સમજી શકાય તેવું છે. એક નિયમ તરીકે, તે ક્લાયંટ કે જેમના હાર્ડવેર અગાઉ વિશિષ્ટ ડેટા કેન્દ્રોને બદલે નાના સર્વર રૂમમાં સ્થિત હતા તેઓ આ વિશે વિચારે છે. વાસ્તવમાં, ડેટા કેન્દ્રો ભૌતિક અને માહિતી સુરક્ષા બંનેના આધુનિક માધ્યમોથી સજ્જ છે. પર્યાપ્ત આધારો અને કાગળો વિના આવા ડેટા સેન્ટરમાં કોઈપણ કામગીરી હાથ ધરવી લગભગ અશક્ય છે અને આવી પ્રવૃત્તિઓ માટે સંખ્યાબંધ પ્રક્રિયાઓનું પાલન જરૂરી છે. વધુમાં, ડેટા સેન્ટરમાંથી તમારા સર્વરને "ખેંચવું" પ્રદાતાના અન્ય ક્લાયંટને અસર કરી શકે છે, અને આ ચોક્કસપણે કોઈપણ માટે જરૂરી નથી. વધુમાં, કોઈ પણ વ્યક્તિ ખાસ કરીને "તમારા" વર્ચ્યુઅલ સર્વર પર આંગળી ચીંધી શકશે નહીં, તેથી જો કોઈ તેને ચોરી કરવા અથવા માસ્ક શો કરવા માંગે છે, તો તેણે પહેલા ઘણા અમલદારશાહી વિલંબનો સામનો કરવો પડશે. આ સમય દરમિયાન, તમારી પાસે ઘણી વખત બીજી સાઇટ પર સ્થાનાંતરિત થવાનો સમય હશે.

• હેકર્સ ક્લાઉડ હેક કરશે અને ડેટા ચોરી કરશે

ઈન્ટરનેટ અને પ્રિન્ટ પ્રેસ એ વિશેની હેડલાઈન્સથી ભરપૂર છે કે કેવી રીતે બીજું ક્લાઉડ સાયબર અપરાધીઓનો ભોગ બન્યું છે, અને લાખો વ્યક્તિગત ડેટા રેકોર્ડ્સ ઓનલાઈન લીક થયા છે. મોટા ભાગના કિસ્સાઓમાં, નબળાઈઓ પ્રદાતાની બાજુએ જ નહીં, પરંતુ પીડિતોની માહિતી પ્રણાલીમાં જોવા મળી હતી: નબળા અથવા તો ડિફોલ્ટ પાસવર્ડ્સ, વેબસાઈટ એન્જિન અને ડેટાબેસેસમાં "છિદ્રો", અને સલામતીનાં પગલાં પસંદ કરતી વખતે મામૂલી વ્યવસાયની બેદરકારી અને ડેટા એક્સેસ પ્રક્રિયાઓનું આયોજન. તમામ પ્રમાણિત ઉકેલો નબળાઈઓ માટે તપાસવામાં આવે છે. અમે સ્વતંત્ર રીતે અને બાહ્ય સંસ્થાઓ દ્વારા નિયમિતપણે "નિયંત્રણ" પેન્ટેસ્ટ અને સુરક્ષા ઓડિટ પણ કરીએ છીએ. પ્રદાતા માટે, આ સામાન્ય રીતે પ્રતિષ્ઠા અને વ્યવસાયની બાબત છે.

• પ્રદાતાના પ્રદાતા/કર્મચારીઓ વ્યક્તિગત લાભ માટે વ્યક્તિગત ડેટાની ચોરી કરશે

આ એક જગ્યાએ સંવેદનશીલ ક્ષણ છે. માહિતી સુરક્ષા વિશ્વની સંખ્યાબંધ કંપનીઓ તેમના ગ્રાહકોને "ડરાવી" રાખે છે અને ભારપૂર્વક કહે છે કે "આંતરિક કર્મચારીઓ બહારના હેકરો કરતાં વધુ ખતરનાક છે." આ કેટલાક કિસ્સાઓમાં સાચું હોઈ શકે છે, પરંતુ વિશ્વાસ વિના વ્યવસાય બનાવી શકાતો નથી. સમયે સમયે, સમાચાર ચમકતા હોય છે કે સંસ્થાના પોતાના કર્મચારીઓ હુમલાખોરોને ગ્રાહક ડેટા લીક કરે છે, અને કેટલીકવાર આંતરિક સુરક્ષા બાહ્ય સુરક્ષા કરતાં ઘણી ખરાબ ગોઠવવામાં આવે છે. અહીં એ સમજવું અગત્યનું છે કે કોઈપણ મોટા પ્રદાતા નકારાત્મક કેસોમાં અત્યંત રસ ધરાવતા નથી. પ્રદાતાના કર્મચારીઓની ક્રિયાઓ સારી રીતે નિયંત્રિત થાય છે, ભૂમિકાઓ અને જવાબદારીના ક્ષેત્રો વિભાજિત થાય છે. તમામ વ્યવસાયિક પ્રક્રિયાઓ એવી રીતે સંરચિત છે કે ડેટા લીક થવાના કિસ્સાઓ અત્યંત અસંભવિત છે અને હંમેશા આંતરિક સેવાઓ માટે ધ્યાનપાત્ર છે, તેથી ગ્રાહકોએ આ બાજુથી સમસ્યાઓથી ડરવું જોઈએ નહીં.

• તમે થોડી ચૂકવણી કરો છો કારણ કે તમે તમારા વ્યવસાય ડેટા સાથે સેવાઓ માટે ચૂકવણી કરો છો.

બીજી દંતકથા: એક ક્લાયન્ટ કે જેઓ આરામદાયક કિંમતે સુરક્ષિત ઈન્ફ્રાસ્ટ્રક્ચર ભાડે આપે છે તે ખરેખર તેના ડેટા સાથે તેના માટે ચૂકવણી કરે છે - આ ઘણીવાર નિષ્ણાતો દ્વારા વિચારવામાં આવે છે જેમને સૂતા પહેલા બે કાવતરાના સિદ્ધાંતો વાંચવામાં કોઈ વાંધો નથી. સૌપ્રથમ, ક્રમમાં ઉલ્લેખિત સિવાયના તમારા ડેટા સાથે કોઈપણ કામગીરી કરવાની શક્યતા અનિવાર્યપણે શૂન્ય છે. બીજું, પર્યાપ્ત પ્રદાતા તમારી સાથેના સંબંધ અને તેની પ્રતિષ્ઠાને મૂલ્ય આપે છે - તમારા સિવાય, તેની પાસે ઘણા વધુ ગ્રાહકો છે. વિપરીત દૃશ્ય વધુ સંભવ છે, જેમાં પ્રદાતા ઉત્સાહપૂર્વક તેના ગ્રાહકોના ડેટાનું રક્ષણ કરશે, જેના પર તેનો વ્યવસાય નિર્ભર છે.

ISPD માટે ક્લાઉડ પ્રદાતા પસંદ કરી રહ્યા છીએ

આજે, બજાર એવી કંપનીઓ માટે ઘણા ઉકેલો પ્રદાન કરે છે જે પીડી ઓપરેટર છે. નીચે યોગ્ય પસંદ કરવા માટેની ભલામણોની સામાન્ય સૂચિ છે.

• પ્રદાતાએ વ્યક્તિગત ડેટાની પ્રક્રિયા કરવાની ચાવીમાં પક્ષકારો, SLA અને જવાબદારીના ક્ષેત્રોની જવાબદારીઓનું વર્ણન કરતો ઔપચારિક કરાર કરવા માટે તૈયાર હોવું જોઈએ. વાસ્તવમાં, તમારી અને પ્રદાતા વચ્ચે, સેવા કરાર ઉપરાંત, PD પ્રક્રિયા માટેના ઓર્ડર પર સહી કરવી આવશ્યક છે. કોઈ પણ સંજોગોમાં, તેનો કાળજીપૂર્વક અભ્યાસ કરવો તે યોગ્ય છે. તમારી અને પ્રદાતા વચ્ચેની જવાબદારીઓના વિભાજનને સમજવું મહત્વપૂર્ણ છે.

• મહેરબાની કરીને નોંધ કરો કે સેગમેન્ટે આવશ્યકતાઓને પૂર્ણ કરવી આવશ્યક છે, જેનો અર્થ છે કે તેની પાસે એક પ્રમાણપત્ર હોવું આવશ્યક છે જે તમારા IP દ્વારા જરૂરી કરતાં ઓછું સુરક્ષાનું સ્તર દર્શાવે છે. એવું બને છે કે પ્રદાતાઓ પ્રમાણપત્રના ફક્ત પ્રથમ પૃષ્ઠને પ્રકાશિત કરે છે, જેમાંથી થોડું સ્પષ્ટ છે, અથવા પ્રમાણપત્ર પોતે પ્રકાશિત કર્યા વિના ઑડિટ અથવા પાલન પ્રક્રિયાઓનો સંદર્ભ લો ("શું ત્યાં કોઈ છોકરો હતો?"). તે માટે પૂછવું યોગ્ય છે - આ એક સાર્વજનિક દસ્તાવેજ છે જે સૂચવે છે કે પ્રમાણપત્ર, માન્યતા અવધિ, ક્લાઉડ સ્થાન વગેરે કોણે હાથ ધર્યું છે.

• પ્રદાતાએ તેની સાઇટ્સ (સંરક્ષિત વસ્તુઓ) ક્યાં સ્થિત છે તે વિશે માહિતી પ્રદાન કરવી આવશ્યક છે જેથી કરીને તમે તમારા ડેટાના પ્લેસમેન્ટને નિયંત્રિત કરી શકો. ચાલો તમને યાદ અપાવીએ કે વ્યક્તિગત ડેટાનો પ્રારંભિક સંગ્રહ રશિયન ફેડરેશનના પ્રદેશ પર થવો જોઈએ; તે મુજબ, કરાર/પ્રમાણપત્રમાં ડેટા સેન્ટરના સરનામાં જોવાની સલાહ આપવામાં આવે છે.

• પ્રદાતાએ પ્રમાણિત માહિતી સુરક્ષા અને માહિતી સુરક્ષા પ્રણાલીઓનો ઉપયોગ કરવો આવશ્યક છે. અલબત્ત, મોટાભાગના પ્રદાતાઓ તેઓ ઉપયોગ કરે છે તે તકનીકી સુરક્ષા પગલાં અને સોલ્યુશન આર્કિટેક્ચરની જાહેરાત કરતા નથી. પરંતુ તમે, એક ગ્રાહક તરીકે, મદદ કરી શકતા નથી પરંતુ તેના વિશે જાણી શકો છો. ઉદાહરણ તરીકે, મેનેજમેન્ટ સિસ્ટમ (મેનેજમેન્ટ પોર્ટલ) થી રિમોટલી કનેક્ટ થવા માટે, સુરક્ષા પગલાંનો ઉપયોગ કરવો જરૂરી છે. પ્રદાતા આ જરૂરિયાતને બાયપાસ કરી શકશે નહીં અને તમને પ્રમાણિત ઉકેલો પ્રદાન કરશે (અથવા તમારે ઉપયોગ કરવાની જરૂર છે) પરીક્ષણ માટે સંસાધનો લો અને તમે તરત જ સમજી શકશો કે કેવી રીતે અને શું કામ કરે છે. 

• ક્લાઉડ પ્રદાતા માટે માહિતી સુરક્ષાના ક્ષેત્રમાં વધારાની સેવાઓ પ્રદાન કરવી અત્યંત ઇચ્છનીય છે. આ વિવિધ સેવાઓ હોઈ શકે છે: DDoS હુમલાઓ અને WAF સામે રક્ષણ, એન્ટિ-વાયરસ સેવા અથવા સેન્ડબોક્સ, વગેરે. આ બધું તમને સેવા તરીકે સુરક્ષા પ્રાપ્ત કરવાની મંજૂરી આપશે, સુરક્ષા સિસ્ટમો બનાવવાથી વિચલિત થવા માટે નહીં, પરંતુ વ્યવસાયિક એપ્લિકેશનો પર કામ કરવા માટે.

• પ્રદાતા FSTEC અને FSB નો લાઇસન્સધારક હોવો આવશ્યક છે. નિયમ પ્રમાણે, આવી માહિતી સીધી વેબસાઇટ પર પોસ્ટ કરવામાં આવે છે. આ દસ્તાવેજોની વિનંતી કરવાની ખાતરી કરો અને તપાસો કે શું સેવાઓ પ્રદાન કરવા માટેના સરનામાં, પ્રદાતા કંપનીનું નામ વગેરે સાચા છે. 

ચાલો સારાંશ આપીએ. ઈન્ફ્રાસ્ટ્રક્ચર ભાડે આપવાથી તમે CAPEX ને છોડી શકશો અને તમારી જવાબદારીના ક્ષેત્રમાં ફક્ત તમારી વ્યવસાયિક એપ્લિકેશનો અને ડેટા જ જાળવી શકશો અને હાર્ડવેર અને સોફ્ટવેર અને હાર્ડવેરના પ્રમાણપત્રનો ભારે બોજ પ્રદાતાને ટ્રાન્સફર કરી શકશો.

અમે પ્રમાણપત્ર કેવી રીતે પાસ કર્યું

તાજેતરમાં, અમે વ્યક્તિગત ડેટા સાથે કામ કરવા માટેની આવશ્યકતાઓનું પાલન કરવા માટે "સિક્યોર ક્લાઉડ FZ-152" ના ઇન્ફ્રાસ્ટ્રક્ચરનું પુનઃપ્રમાણ સફળતાપૂર્વક પાસ કર્યું છે. નેશનલ સર્ટિફિકેશન સેન્ટર દ્વારા કામગીરી હાથ ધરવામાં આવી હતી.

હાલમાં, “FZ-152 સિક્યોર ક્લાઉડ” લેવલ UZ-3 ની જરૂરિયાતો અનુસાર વ્યક્તિગત ડેટા (ISPDn) ના પ્રોસેસિંગ, સ્ટોરેજ અથવા ટ્રાન્સમિશનમાં સામેલ માહિતી સિસ્ટમ્સને હોસ્ટ કરવા માટે પ્રમાણિત છે.

સર્ટિફિકેશન પ્રક્રિયામાં રક્ષણના સ્તર સાથે ક્લાઉડ પ્રદાતાના ઈન્ફ્રાસ્ટ્રક્ચરના અનુપાલનને તપાસવાનો સમાવેશ થાય છે. પ્રદાતા પોતે IaaS સેવા પ્રદાન કરે છે અને વ્યક્તિગત ડેટાના ઓપરેટર નથી. પ્રક્રિયામાં સંગઠનાત્મક (દસ્તાવેજીકરણ, ઓર્ડર, વગેરે) અને તકનીકી પગલાં (રક્ષણાત્મક સાધનોનું સેટઅપ, વગેરે) બંનેનું મૂલ્યાંકન શામેલ છે.

તેને તુચ્છ કહી શકાય નહીં. 2013 માં સર્ટિફિકેશન પ્રવૃત્તિઓ હાથ ધરવા માટેના પ્રોગ્રામ્સ અને પદ્ધતિઓ પર GOST ફરી દેખાયા હોવા છતાં, ક્લાઉડ ઑબ્જેક્ટ્સ માટે કડક પ્રોગ્રામ્સ હજી અસ્તિત્વમાં નથી. પ્રમાણન કેન્દ્રો તેમની પોતાની કુશળતાના આધારે આ કાર્યક્રમો વિકસાવે છે. નવી તકનીકોના આગમન સાથે, પ્રોગ્રામ્સ વધુ જટિલ અને આધુનિક બને છે; તે મુજબ, પ્રમાણપત્રકર્તાને ક્લાઉડ સોલ્યુશન્સ સાથે કામ કરવાનો અનુભવ હોવો જોઈએ અને વિશિષ્ટતાઓને સમજવી જોઈએ.

અમારા કિસ્સામાં, સંરક્ષિત ઑબ્જેક્ટમાં બે સ્થાનોનો સમાવેશ થાય છે.

• મેઘ સંસાધનો (સર્વર, સ્ટોરેજ સિસ્ટમ્સ, નેટવર્ક ઈન્ફ્રાસ્ટ્રક્ચર, સુરક્ષા સાધનો, વગેરે) સીધા ડેટા સેન્ટરમાં સ્થિત છે. અલબત્ત, આવા વર્ચ્યુઅલ ડેટા સેન્ટર સાર્વજનિક નેટવર્ક્સ સાથે જોડાયેલ છે, અને તે મુજબ, ચોક્કસ ફાયરવોલ આવશ્યકતાઓને પૂર્ણ કરવી આવશ્યક છે, ઉદાહરણ તરીકે, પ્રમાણિત ફાયરવોલનો ઉપયોગ.

• ઑબ્જેક્ટનો બીજો ભાગ ક્લાઉડ મેનેજમેન્ટ ટૂલ્સ છે. આ વર્કસ્ટેશનો (એડમિનિસ્ટ્રેટરનું વર્કસ્ટેશન) છે જેમાંથી સુરક્ષિત સેગમેન્ટનું સંચાલન થાય છે.

સ્થાનો CIPF પર બનેલ VPN ચેનલ દ્વારા વાતચીત કરે છે.

વર્ચ્યુઅલાઈઝેશન ટેક્નોલોજીઓ જોખમોના ઉદભવ માટે પૂર્વશરતો બનાવે છે, તેથી અમે વધારાના પ્રમાણિત સુરક્ષા સાધનોનો પણ ઉપયોગ કરીએ છીએ.

બ્લોક ડાયાગ્રામ "મૂલ્યાંકનની આંખો દ્વારા"

જો ક્લાયન્ટને IaaS ભાડે લીધા પછી તેના ISPD નું પ્રમાણપત્રની જરૂર હોય, તો તેણે માત્ર વર્ચ્યુઅલ ડેટા સેન્ટરના સ્તરથી ઉપરની માહિતી સિસ્ટમનું મૂલ્યાંકન કરવું પડશે. આ પ્રક્રિયામાં તેના પર ઉપયોગમાં લેવાતા ઈન્ફ્રાસ્ટ્રક્ચર અને સોફ્ટવેરને તપાસવાનો સમાવેશ થાય છે. તમે તમામ ઇન્ફ્રાસ્ટ્રક્ચર સમસ્યાઓ માટે પ્રદાતાના પ્રમાણપત્રનો સંદર્ભ લઈ શકો છો, તમારે ફક્ત સોફ્ટવેર સાથે કામ કરવાનું છે.

અમૂર્ત સ્તરે વિભાજન

નિષ્કર્ષમાં, અહીં એવી કંપનીઓ માટે એક નાનું ચેકલિસ્ટ છે જે પહેલેથી જ વ્યક્તિગત ડેટા સાથે કામ કરી રહી છે અથવા માત્ર આયોજન કરી રહી છે. તેથી, બર્ન કર્યા વિના તેને કેવી રીતે હેન્ડલ કરવું.

1. ધમકીઓ અને ઘુસણખોરોના મોડલનું ઑડિટ અને વિકાસ કરવા માટે, પ્રમાણપત્ર પ્રયોગશાળાઓમાંથી અનુભવી સલાહકારને આમંત્રિત કરો જે જરૂરી દસ્તાવેજો વિકસાવવામાં અને તમને તકનીકી ઉકેલોના તબક્કામાં લાવવામાં મદદ કરશે.

2. ક્લાઉડ પ્રદાતા પસંદ કરતી વખતે, પ્રમાણપત્રની હાજરી પર ધ્યાન આપો. કંપની સાર્વજનિક રૂપે તેને સીધી વેબસાઇટ પર પોસ્ટ કરે તો સારું રહેશે. પ્રદાતા FSTEC અને FSB નો લાઇસન્સધારક હોવો જોઈએ અને તે જે સેવા આપે છે તે પ્રમાણિત હોવી જોઈએ.

3. ખાતરી કરો કે તમારી પાસે વ્યક્તિગત ડેટાની પ્રક્રિયા કરવા માટે ઔપચારિક કરાર અને હસ્તાક્ષરિત સૂચના છે. આના આધારે, તમે અનુપાલન તપાસ અને ISPD પ્રમાણપત્ર બંને હાથ ધરવા માટે સક્ષમ હશો. જો તકનીકી પ્રોજેક્ટના તબક્કે આ કાર્ય અને ડિઝાઇન અને તકનીકી દસ્તાવેજોની રચના તમારા માટે બોજારૂપ લાગે છે, તો તમારે તૃતીય-પક્ષ સલાહકાર કંપનીઓનો સંપર્ક કરવો જોઈએ. પ્રમાણપત્ર પ્રયોગશાળાઓમાંથી.

જો વ્યક્તિગત ડેટા પ્રોસેસિંગના મુદ્દાઓ તમારા માટે સુસંગત છે, તો 18 સપ્ટેમ્બર, આ શુક્રવારે, અમને વેબિનારમાં તમને જોઈને આનંદ થશે. "પ્રમાણિત વાદળો બનાવવાની વિશેષતાઓ".

સોર્સ: www.habr.com