152-FZ વિશેની દંતકથાઓ, જે વ્યક્તિગત ડેટા ઓપરેટર માટે ખર્ચાળ હોઈ શકે છે

કેમ છો બધા! હું ડેટાલાઇન સાયબર ડિફેન્સ સેન્ટર ચલાવું છું. ક્લાઉડમાં અથવા ભૌતિક ઈન્ફ્રાસ્ટ્રક્ચર પર 152-FZ ની જરૂરિયાતો પૂરી કરવાના કાર્ય સાથે ગ્રાહકો અમારી પાસે આવે છે.
લગભગ દરેક પ્રોજેક્ટમાં આ કાયદાની આસપાસની દંતકથાઓને દૂર કરવા માટે શૈક્ષણિક કાર્ય હાથ ધરવું જરૂરી છે. મેં સૌથી સામાન્ય ગેરમાન્યતાઓ એકત્રિત કરી છે જે વ્યક્તિગત ડેટા ઓપરેટરના બજેટ અને નર્વસ સિસ્ટમ માટે ખર્ચાળ હોઈ શકે છે. હું તરત જ આરક્ષણ કરીશ કે રાજ્યના રહસ્યો, KII, વગેરે સાથે કામ કરતી રાજ્ય કચેરીઓ (GIS) ના કેસો આ લેખના અવકાશની બહાર રહેશે.

માન્યતા 1. મેં એન્ટિવાયરસ, ફાયરવોલ ઇન્સ્ટોલ કર્યું અને રેક્સને વાડથી ઘેરી લીધું. શું હું કાયદાનું પાલન કરું છું?

152-FZ એ સિસ્ટમ્સ અને સર્વર્સના રક્ષણ વિશે નથી, પરંતુ વિષયોના વ્યક્તિગત ડેટાના રક્ષણ વિશે છે. તેથી, 152-FZ નું પાલન એન્ટીવાયરસથી નહીં, પરંતુ મોટી સંખ્યામાં કાગળના ટુકડાઓ અને સંસ્થાકીય મુદ્દાઓથી શરૂ થાય છે.
મુખ્ય નિરીક્ષક, રોસ્કોમનાડઝોર, રક્ષણના તકનીકી માધ્યમોની હાજરી અને સ્થિતિને નહીં, પરંતુ વ્યક્તિગત ડેટા (પીડી) ની પ્રક્રિયા માટેના કાનૂની આધાર પર જોશે:

• તમે કયા હેતુ માટે વ્યક્તિગત ડેટા એકત્રિત કરો છો;  
• શું તમે તમારા હેતુઓ માટે તમારી જરૂરિયાત કરતાં તેમાંથી વધુ એકત્રિત કરો છો;
• તમે વ્યક્તિગત ડેટા કેટલો સમય સંગ્રહિત કરો છો;
• શું વ્યક્તિગત ડેટાની પ્રક્રિયા માટે કોઈ નીતિ છે;
• શું તમે વ્યક્તિગત ડેટા પ્રોસેસિંગ, ક્રોસ બોર્ડર ટ્રાન્સફર, તૃતીય પક્ષો દ્વારા પ્રક્રિયા વગેરે માટે સંમતિ એકત્રિત કરી રહ્યાં છો.

આ પ્રશ્નોના જવાબો, તેમજ પ્રક્રિયાઓ પોતાને, યોગ્ય દસ્તાવેજોમાં રેકોર્ડ કરવી જોઈએ. વ્યક્તિગત ડેટા ઓપરેટરને શું તૈયાર કરવાની જરૂર છે તેની સંપૂર્ણ સૂચિ અહીં છે:

• વ્યક્તિગત ડેટાની પ્રક્રિયા માટે પ્રમાણભૂત સંમતિ ફોર્મ (આ તે શીટ્સ છે જેના પર હવે આપણે લગભગ દરેક જગ્યાએ સહી કરીએ છીએ જ્યાં આપણે અમારા સંપૂર્ણ નામ અને પાસપોર્ટ વિગતો છોડીએ છીએ).
• વ્યક્તિગત ડેટાની પ્રક્રિયા અંગે ઓપરેટરની નીતિ (અહીં ડિઝાઇન માટે ભલામણો છે).
• વ્યક્તિગત ડેટાની પ્રક્રિયાના આયોજન માટે જવાબદાર વ્યક્તિની નિમણૂક પરનો ઓર્ડર.  
• વ્યક્તિગત ડેટાની પ્રક્રિયાના આયોજન માટે જવાબદાર વ્યક્તિનું જોબ વર્ણન.
• આંતરિક નિયંત્રણ અને (અથવા) કાયદાકીય જરૂરિયાતો સાથે પીડી પ્રક્રિયાના પાલનના ઓડિટ માટેના નિયમો.  
• વ્યક્તિગત ડેટા માહિતી પ્રણાલીઓ (ISPD) ની સૂચિ.
• વિષયને તેના વ્યક્તિગત ડેટાની ઍક્સેસ પ્રદાન કરવા માટેના નિયમો.
• ઘટના તપાસના નિયમો.
• વ્યક્તિગત ડેટાની પ્રક્રિયામાં કર્મચારીઓના પ્રવેશ પરનો ઓર્ડર.
• નિયમનકારો સાથે ક્રિયાપ્રતિક્રિયા માટેના નિયમો.  
• RKN, વગેરેની સૂચના.
• પીડી પ્રક્રિયા માટે સૂચના ફોર્મ.
• ISPD ધમકી મોડલ.

આ મુદ્દાઓને હલ કર્યા પછી, તમે ચોક્કસ પગલાં અને તકનીકી માધ્યમો પસંદ કરવાનું શરૂ કરી શકો છો. તમને કયાની જરૂર છે તે સિસ્ટમ્સ, તેમની ઓપરેટિંગ પરિસ્થિતિઓ અને વર્તમાન ધમકીઓ પર આધારિત છે. પરંતુ તેના પર પછીથી વધુ.

વાસ્તવિકતા: કાયદાનું પાલન એ અમુક પ્રક્રિયાઓની સ્થાપના અને પાલન છે, સૌ પ્રથમ, અને માત્ર બીજું - વિશેષ તકનીકી માધ્યમોનો ઉપયોગ.

માન્યતા 2. હું ક્લાઉડમાં વ્યક્તિગત ડેટા સ્ટોર કરું છું, એક ડેટા સેન્ટર જે 152-FZ ની જરૂરિયાતોને પૂર્ણ કરે છે. હવે તેઓ કાયદાના અમલ માટે જવાબદાર છે

જ્યારે તમે વ્યક્તિગત ડેટાના સંગ્રહને ક્લાઉડ પ્રદાતા અથવા ડેટા સેન્ટરને આઉટસોર્સ કરો છો, ત્યારે તમે વ્યક્તિગત ડેટા ઓપરેટર બનવાનું બંધ કરતા નથી.
ચાલો મદદ માટે કાયદાની વ્યાખ્યા પર કૉલ કરીએ:

વ્યક્તિગત ડેટાની પ્રક્રિયા - કોઈપણ ક્રિયા (ઓપરેશન) અથવા ક્રિયાઓનો સમૂહ (ઓપરેશન) ઓટોમેશન ટૂલ્સનો ઉપયોગ કરીને અથવા વ્યક્તિગત ડેટા સાથે આવા માધ્યમોનો ઉપયોગ કર્યા વિના કરવામાં આવે છે, જેમાં સંગ્રહ, રેકોર્ડિંગ, વ્યવસ્થિતકરણ, સંચય, સંગ્રહ, સ્પષ્ટીકરણ (અપડેટ કરવું, બદલવું), નિષ્કર્ષણ, ઉપયોગ, સ્થાનાંતરણ (વિતરણ, જોગવાઈ, ઍક્સેસ), ડિવ્યક્તિકરણ, અવરોધિત કરવું, કાઢી નાખવું, વ્યક્તિગત ડેટાનો નાશ.
સ્ત્રોત: લેખ 3, 152-એફઝેડ

આ બધી ક્રિયાઓમાંથી, સેવા પ્રદાતા વ્યક્તિગત ડેટાને સંગ્રહિત કરવા અને નાશ કરવા માટે જવાબદાર છે (જ્યારે ક્લાયંટ તેની સાથેનો કરાર સમાપ્ત કરે છે). બાકીનું બધું વ્યક્તિગત ડેટા ઓપરેટર દ્વારા પ્રદાન કરવામાં આવે છે. આનો અર્થ એ છે કે ઑપરેટર, અને સેવા પ્રદાતા નહીં, વ્યક્તિગત ડેટાની પ્રક્રિયા માટે નીતિ નક્કી કરે છે, તેના ગ્રાહકો પાસેથી વ્યક્તિગત ડેટાની પ્રક્રિયા માટે હસ્તાક્ષરિત સંમતિ મેળવે છે, તૃતીય પક્ષોને વ્યક્તિગત ડેટાના લીક થવાના કેસોને અટકાવે છે અને તેની તપાસ કરે છે, વગેરે.

પરિણામે, વ્યક્તિગત ડેટા ઓપરેટરે હજી પણ ઉપર સૂચિબદ્ધ દસ્તાવેજો એકત્રિત કરવા અને તેમના PDIS ને સુરક્ષિત કરવા માટે સંસ્થાકીય અને તકનીકી પગલાં અમલમાં મૂકવા આવશ્યક છે.

સામાન્ય રીતે, પ્રદાતા ઈન્ફ્રાસ્ટ્રક્ચર સ્તરે જ્યાં ઓપરેટરનું ISPD સ્થિત હશે ત્યાં કાનૂની જરૂરિયાતોનું પાલન સુનિશ્ચિત કરીને ઓપરેટરને મદદ કરે છે: સાધનો અથવા ક્લાઉડ સાથેના રેક્સ. તે દસ્તાવેજોનું પેકેજ પણ ભેગો કરે છે, 152-FZ અનુસાર તેના ઇન્ફ્રાસ્ટ્રક્ચરના ભાગ માટે સંસ્થાકીય અને તકનીકી પગલાં લે છે.

કેટલાક પ્રદાતાઓ પેપરવર્કમાં મદદ કરે છે અને ISDN માટે તકનીકી સુરક્ષા પગલાંની જોગવાઈ કરે છે, એટલે કે, ઈન્ફ્રાસ્ટ્રક્ચરથી ઉપરના સ્તરે. ઓપરેટર આ કાર્યોને આઉટસોર્સ પણ કરી શકે છે, પરંતુ કાયદા હેઠળની જવાબદારી અને જવાબદારીઓ અદૃશ્ય થઈ જતી નથી.

વાસ્તવિકતા: પ્રદાતા અથવા ડેટા સેન્ટરની સેવાઓનો ઉપયોગ કરીને, તમે તેને વ્યક્તિગત ડેટા ઓપરેટરની જવાબદારીઓ ટ્રાન્સફર કરી શકતા નથી અને જવાબદારીમાંથી છૂટકારો મેળવી શકતા નથી. જો પ્રદાતા તમને આ વચન આપે છે, તો પછી, તેને હળવાશથી કહીએ તો, તે જૂઠું બોલે છે.

માન્યતા 3. મારી પાસે દસ્તાવેજો અને પગલાંનું જરૂરી પેકેજ છે. હું 152-FZ ના પાલનનું વચન આપનાર પ્રદાતા સાથે વ્યક્તિગત ડેટા સંગ્રહિત કરું છું. શું બધું ક્રમમાં છે?

હા, જો તમને ઓર્ડર પર સહી કરવાનું યાદ છે. કાયદા દ્વારા, ઑપરેટર વ્યક્તિગત ડેટાની પ્રક્રિયા અન્ય વ્યક્તિને સોંપી શકે છે, ઉદાહરણ તરીકે, તે જ સેવા પ્રદાતા. ઓર્ડર એ એક પ્રકારનો કરાર છે જે સેવા પ્રદાતા ઓપરેટરના વ્યક્તિગત ડેટા સાથે શું કરી શકે છે તેની સૂચિ આપે છે.

ઑપરેટરને વ્યક્તિગત ડેટાના વિષયની સંમતિ સાથે અન્ય વ્યક્તિને વ્યક્તિગત ડેટાની પ્રક્રિયા સોંપવાનો અધિકાર છે, સિવાય કે અન્યથા ફેડરલ લૉ દ્વારા પ્રદાન કરવામાં આવ્યું હોય, રાજ્ય અથવા મ્યુનિસિપલ કરાર સહિત, આ વ્યક્તિ સાથેના કરારના આધારે, અથવા રાજ્ય અથવા મ્યુનિસિપલ બોડી દ્વારા સંબંધિત અધિનિયમ અપનાવીને (ત્યારબાદ સોંપણી ઓપરેટર તરીકે ઓળખવામાં આવે છે). ઑપરેટર વતી વ્યક્તિગત ડેટા પર પ્રક્રિયા કરતી વ્યક્તિ આ ફેડરલ કાયદા દ્વારા પ્રદાન કરવામાં આવેલ વ્યક્તિગત ડેટાની પ્રક્રિયા માટેના સિદ્ધાંતો અને નિયમોનું પાલન કરવા માટે બંધાયેલી છે.
સોર્સ: કલમ 3, કલમ 6, 152-FZ

વ્યક્તિગત ડેટાની ગુપ્તતા જાળવવા અને ઉલ્લેખિત આવશ્યકતાઓ અનુસાર તેની સુરક્ષા સુનિશ્ચિત કરવાની પ્રદાતાની જવાબદારી પણ સ્થાપિત થયેલ છે:

ઑપરેટરની સૂચનાઓએ વ્યક્તિગત ડેટા સાથેની ક્રિયાઓ (ઑપરેશન્સ) ની સૂચિને વ્યાખ્યાયિત કરવી આવશ્યક છે જે વ્યક્તિગત ડેટા પર પ્રક્રિયા કરતી વ્યક્તિ દ્વારા કરવામાં આવશે અને પ્રક્રિયાના હેતુઓ, વ્યક્તિગત ડેટાની ગોપનીયતા જાળવવા અને વ્યક્તિગત સુરક્ષાની ખાતરી કરવા માટે આવી વ્યક્તિની જવાબદારી. તેમની પ્રક્રિયા દરમિયાન ડેટાની સ્થાપના કરવી આવશ્યક છે, તેમજ પ્રોસેસ્ડ વ્યક્તિગત ડેટાના રક્ષણ માટેની આવશ્યકતાઓ અનુસાર ઉલ્લેખિત હોવી આવશ્યક છે. કલમ 19 આ ફેડરલ કાયદાની.
સોર્સ: કલમ 3, કલમ 6, 152-FZ

આ માટે, પ્રદાતા ઓપરેટર માટે જવાબદાર છે, અને વ્યક્તિગત ડેટાના વિષય માટે નહીં:

જો ઑપરેટર વ્યક્તિગત ડેટાની પ્રક્રિયા અન્ય વ્યક્તિને સોંપે છે, તો ઑપરેટર ઉલ્લેખિત વ્યક્તિની ક્રિયાઓ માટે વ્યક્તિગત ડેટાના વિષય માટે જવાબદાર છે. ઑપરેટર વતી વ્યક્તિગત ડેટા પર પ્રક્રિયા કરતી વ્યક્તિ ઑપરેટર માટે જવાબદાર છે.
સોર્સ: 152-એફઝેડ.

વ્યક્તિગત ડેટાના રક્ષણની ખાતરી કરવાની જવાબદારીને ક્રમમાં નિર્ધારિત કરવી પણ મહત્વપૂર્ણ છે:

જ્યારે માહિતી સિસ્ટમમાં પ્રક્રિયા કરવામાં આવે ત્યારે વ્યક્તિગત ડેટાની સુરક્ષા આ સિસ્ટમના ઑપરેટર દ્વારા સુનિશ્ચિત કરવામાં આવે છે, જે વ્યક્તિગત ડેટા પર પ્રક્રિયા કરે છે (ત્યારબાદ ઑપરેટર તરીકે ઓળખવામાં આવે છે), અથવા ઑપરેટર વતી વ્યક્તિગત ડેટા પર પ્રક્રિયા કરતી વ્યક્તિ દ્વારા આ વ્યક્તિ (ત્યારબાદ તેને અધિકૃત વ્યક્તિ તરીકે ઓળખવામાં આવે છે) સાથે પૂર્ણ થયેલ કરાર. ઑપરેટર અને અધિકૃત વ્યક્તિ વચ્ચેના કરારમાં માહિતી સિસ્ટમમાં પ્રક્રિયા કરવામાં આવે ત્યારે વ્યક્તિગત ડેટાની સુરક્ષાની ખાતરી કરવા માટે અધિકૃત વ્યક્તિની જવાબદારી પૂરી પાડવી આવશ્યક છે.
સોર્સ: નવેમ્બર 1, 2012 ના રશિયન ફેડરેશનની સરકારનો હુકમનામું નંબર 1119

વાસ્તવિકતા: જો તમે પ્રદાતાને વ્યક્તિગત ડેટા આપો છો, તો પછી ઓર્ડર પર સહી કરો. ક્રમમાં, વિષયોના વ્યક્તિગત ડેટાના રક્ષણની ખાતરી કરવા માટેની જરૂરિયાત સૂચવો. નહિંતર, તમે વ્યક્તિગત ડેટા પ્રોસેસિંગ કાર્યને તૃતીય પક્ષને સ્થાનાંતરિત કરવા સંબંધિત કાયદાનું પાલન કરતા નથી, અને પ્રદાતાએ 152-FZ ના પાલન અંગે તમને કંઈપણ ચૂકવવું પડતું નથી.

માન્યતા 4. મોસાદ મારી જાસૂસી કરી રહ્યું છે, અથવા મારી પાસે ચોક્કસપણે UZ-1 છે

કેટલાક ગ્રાહકો સતત સાબિત કરે છે કે તેમની પાસે સુરક્ષા સ્તર 1 અથવા 2નું ISPD છે. મોટાભાગે આવું થતું નથી. ચાલો આ શા માટે થાય છે તે શોધવા માટે હાર્ડવેરને યાદ કરીએ.
LO, અથવા સુરક્ષા સ્તર, તમે તમારા વ્યક્તિગત ડેટાને શેનાથી સુરક્ષિત કરશો તે નિર્ધારિત કરે છે.
સુરક્ષા સ્તર નીચેના મુદ્દાઓ દ્વારા પ્રભાવિત થાય છે:

• વ્યક્તિગત ડેટાનો પ્રકાર (ખાસ, બાયોમેટ્રિક, જાહેરમાં ઉપલબ્ધ અને અન્ય);
• વ્યક્તિગત ડેટાની માલિકી કોણ ધરાવે છે - વ્યક્તિગત ડેટા ઓપરેટરના કર્મચારીઓ અથવા બિન-કર્મચારીઓ;
• વ્યક્તિગત ડેટા વિષયોની સંખ્યા - વધુ કે ઓછા 100 હજાર.
• વર્તમાન ધમકીઓના પ્રકાર.

અમને ધમકીઓના પ્રકારો વિશે જણાવે છે નવેમ્બર 1, 2012 ના રશિયન ફેડરેશનની સરકારનો હુકમનામું નંબર 1119. માનવ ભાષામાં મારા મફત અનુવાદ સાથે અહીં દરેકનું વર્ણન છે.

પ્રકાર 1 ધમકીઓ માહિતી સિસ્ટમ માટે સંબંધિત છે જો માહિતી સિસ્ટમમાં ઉપયોગમાં લેવાતા સિસ્ટમ સોફ્ટવેરમાં બિનદસ્તાવેજીકૃત (અઘોષિત) ક્ષમતાઓની હાજરી સાથે સંકળાયેલ ધમકીઓ પણ તેને સંબંધિત છે.

જો તમે આ પ્રકારની ધમકીને સંબંધિત તરીકે ઓળખો છો, તો તમે નિશ્ચિતપણે માનો છો કે CIA, MI6 અથવા MOSSAD ના એજન્ટોએ તમારા ISPDમાંથી ચોક્કસ વિષયોના વ્યક્તિગત ડેટાની ચોરી કરવા માટે ઑપરેટિંગ સિસ્ટમમાં બુકમાર્ક મૂક્યો છે.

2જી પ્રકારની ધમકીઓ માહિતી સિસ્ટમ માટે સંબંધિત છે જો માહિતી સિસ્ટમમાં ઉપયોગમાં લેવાતા એપ્લિકેશન સોફ્ટવેરમાં બિનદસ્તાવેજીકૃત (અઘોષિત) ક્ષમતાઓની હાજરી સાથે સંકળાયેલ ધમકીઓ પણ તેના માટે સુસંગત છે.

જો તમને લાગે કે બીજા પ્રકારની ધમકીઓ તમારો કેસ છે, તો પછી તમે સૂઈ જાઓ અને જુઓ કે કેવી રીતે CIA, MI6, MOSSAD, એક દુષ્ટ એકલા હેકર અથવા જૂથના એજ એજન્ટોએ અમુક ઓફિસ સોફ્ટવેર પેકેજમાં બુકમાર્ક્સ મૂક્યા છે. તમારો વ્યક્તિગત ડેટા. હા, μTorrent જેવા શંકાસ્પદ એપ્લિકેશન સૉફ્ટવેર છે, પરંતુ તમે ઇન્સ્ટોલેશન માટે મંજૂર સૉફ્ટવેરની સૂચિ બનાવી શકો છો અને વપરાશકર્તાઓ સાથે કરાર પર હસ્તાક્ષર કરી શકો છો, વપરાશકર્તાઓને સ્થાનિક સંચાલક અધિકારો આપી શકતા નથી, વગેરે.

પ્રકાર 3 ધમકીઓ માહિતી સિસ્ટમ માટે સંબંધિત છે જો ધમકીઓ કે જે સિસ્ટમમાં બિનદસ્તાવેજીકૃત (અઘોષિત) ક્ષમતાઓની હાજરી સાથે સંબંધિત નથી અને માહિતી સિસ્ટમમાં ઉપયોગમાં લેવાતા એપ્લિકેશન સોફ્ટવેર તેની સાથે સંબંધિત છે.

પ્રકાર 1 અને 2 ની ધમકીઓ તમારા માટે યોગ્ય નથી, તેથી તમારા માટે આ સ્થાન છે.

અમે ધમકીઓના પ્રકારોને અલગ કર્યા છે, હવે ચાલો જોઈએ કે અમારા ISPDની સુરક્ષા કયા સ્તરની હશે.

માં ઉલ્લેખિત પત્રવ્યવહાર પર આધારિત કોષ્ટક નવેમ્બર 1, 2012 ના રશિયન ફેડરેશનની સરકારનો હુકમનામું નંબર 1119.

જો આપણે ત્રીજા પ્રકારની વાસ્તવિક ધમકીઓ પસંદ કરીએ, તો મોટા ભાગના કિસ્સાઓમાં આપણી પાસે UZ-3 હશે. એકમાત્ર અપવાદ, જ્યારે પ્રકાર 1 અને 2 ની ધમકીઓ સંબંધિત નથી, પરંતુ સુરક્ષાનું સ્તર હજી પણ ઊંચું રહેશે (UZ-2), તે કંપનીઓ છે જે 100 થી વધુની રકમમાં બિન-કર્મચારીઓના વિશેષ વ્યક્તિગત ડેટા પર પ્રક્રિયા કરે છે. ઉદાહરણ તરીકે, તબીબી નિદાન અને તબીબી સેવાઓની જોગવાઈમાં રોકાયેલી કંપનીઓ.

UZ-4 પણ છે, અને તે મુખ્યત્વે એવી કંપનીઓમાં જોવા મળે છે કે જેનો વ્યવસાય બિન-કર્મચારીઓના વ્યક્તિગત ડેટાની પ્રક્રિયા સાથે સંબંધિત નથી, એટલે કે ગ્રાહકો અથવા કોન્ટ્રાક્ટરો અથવા વ્યક્તિગત ડેટા બેઝ નાના છે.

સુરક્ષાના સ્તર સાથે તેને વધુપડતું ન કરવું શા માટે એટલું મહત્વનું છે? તે સરળ છે: સુરક્ષાના આ સ્તરને સુનિશ્ચિત કરવા માટેના પગલાં અને સુરક્ષાના માધ્યમોનો સમૂહ આના પર નિર્ભર રહેશે. જ્ઞાનનું સ્તર જેટલું ઊંચું હશે, સંગઠનાત્મક અને તકનીકી દ્રષ્ટિએ વધુ કરવાની જરૂર પડશે (વાંચો: વધુ પૈસા અને ચેતા ખર્ચવાની જરૂર પડશે).

અહીં, ઉદાહરણ તરીકે, સમાન PP-1119 અનુસાર સુરક્ષા પગલાંનો સમૂહ કેવી રીતે બદલાય છે તે છે.

હવે ચાલો જોઈએ કે, સુરક્ષાના પસંદ કરેલા સ્તરના આધારે, જરૂરી પગલાંની સૂચિ કેવી રીતે બદલાય છે 21 ફેબ્રુઆરી, 18.02.2013 ના રોજના રશિયા નંબર XNUMX ના ​​FSTEC ના આદેશ દ્વારા.  આ દસ્તાવેજમાં એક લાંબું પરિશિષ્ટ છે, જે જરૂરી પગલાંને વ્યાખ્યાયિત કરે છે. તેમાંના કુલ 109 છે, દરેક KM માટે ફરજિયાત પગલાં વ્યાખ્યાયિત કરવામાં આવે છે અને "+" ચિહ્ન સાથે ચિહ્નિત થયેલ છે - તે નીચે આપેલા કોષ્ટકમાં ચોક્કસપણે ગણવામાં આવે છે. જો તમે UZ-3 માટે જરૂરી હોય તે જ છોડી દો, તો તમને 4 મળશે.

વાસ્તવિકતા: જો તમે ક્લાયન્ટ્સ પાસેથી પરીક્ષણો અથવા બાયોમેટ્રિક્સ એકત્રિત કરતા નથી, તો તમે સિસ્ટમ અને એપ્લિકેશન સૉફ્ટવેરમાં બુકમાર્ક્સ વિશે પેરાનોઇડ નથી, તો સંભવતઃ તમારી પાસે UZ-3 છે. તેની પાસે સંસ્થાકીય અને તકનીકી પગલાંની વાજબી સૂચિ છે જેનો ખરેખર અમલ કરી શકાય છે.

માન્યતા 5. વ્યક્તિગત ડેટાને સુરક્ષિત કરવાના તમામ માધ્યમો રશિયાના FSTEC દ્વારા પ્રમાણિત હોવા જોઈએ

જો તમે પ્રમાણપત્ર લેવા માંગતા હો અથવા જરૂરી હોય, તો સંભવતઃ તમારે પ્રમાણિત રક્ષણાત્મક સાધનોનો ઉપયોગ કરવો પડશે. પ્રમાણપત્ર રશિયાના FSTEC ના લાઇસન્સધારક દ્વારા હાથ ધરવામાં આવશે, જેઓ:

• વધુ પ્રમાણિત માહિતી સુરક્ષા ઉપકરણો વેચવામાં રસ;
• જો કંઇક ખોટું થાય તો રેગ્યુલેટર દ્વારા લાયસન્સ રદ કરવામાં આવશે તેનાથી ડરશે.

જો તમને સર્ટિફિકેશનની જરૂર ન હોય અને તમે અન્ય રીતે આવશ્યકતાઓનું પાલન પુષ્ટિ કરવા માટે તૈયાર છો, રશિયા નંબર 21 ના ​​FSTEC નો ઓર્ડર  "વ્યક્તિગત ડેટાની સુરક્ષાને સુનિશ્ચિત કરવા માટે વ્યક્તિગત ડેટા સુરક્ષા પ્રણાલીમાં અમલમાં મૂકાયેલા પગલાંની અસરકારકતાનું મૂલ્યાંકન કરવું," પછી પ્રમાણિત માહિતી સુરક્ષા સિસ્ટમો તમારા માટે જરૂરી નથી. હું ટૂંકમાં તર્ક સમજાવવાનો પ્રયત્ન કરીશ.

В લેખ 2 19-FZ નો ફકરો 152 જણાવે છે કે રક્ષણાત્મક સાધનોનો ઉપયોગ કરવો જરૂરી છે કે જે સ્થાપિત પ્રક્રિયા અનુસાર અનુરૂપ મૂલ્યાંકન પ્રક્રિયામાંથી પસાર થયા હોય:

વ્યક્તિગત ડેટાની સુરક્ષાની ખાતરી કરવી પ્રાપ્ત થાય છે, ખાસ કરીને:
[...] 3) માહિતી સુરક્ષાના ઉપયોગનો અર્થ એ છે કે જેણે સ્થાપિત પ્રક્રિયા અનુસાર પાલન મૂલ્યાંકન પ્રક્રિયા પસાર કરી છે.

В ફકરો 13 PP-1119 માહિતી સુરક્ષા સાધનોનો ઉપયોગ કરવાની પણ આવશ્યકતા છે જેણે કાનૂની આવશ્યકતાઓના પાલનનું મૂલ્યાંકન કરવાની પ્રક્રિયા પસાર કરી છે:

[...] માહિતી સુરક્ષા સાધનોનો ઉપયોગ કે જેણે માહિતી સુરક્ષાના ક્ષેત્રમાં રશિયન ફેડરેશનના કાયદાની આવશ્યકતાઓનું પાલન કરવાની પ્રક્રિયા પસાર કરી છે, એવા કિસ્સાઓમાં કે જ્યાં વર્તમાન જોખમોને બેઅસર કરવા માટે આવા માધ્યમોનો ઉપયોગ કરવો જરૂરી છે.

FSTEC ઓર્ડર નંબર 4 ની કલમ 21 વ્યવહારીક રીતે ફકરા PP-1119 ની નકલ કરે છે:

વ્યક્તિગત ડેટાની સુરક્ષાને સુનિશ્ચિત કરવાના પગલાં, અન્ય બાબતોની સાથે, માહિતી પ્રણાલીમાં માહિતી સુરક્ષા સાધનોના ઉપયોગ દ્વારા લાગુ કરવામાં આવે છે જેણે સ્થાપિત પ્રક્રિયા અનુસાર અનુરૂપ મૂલ્યાંકન પ્રક્રિયા પસાર કરી હોય, એવા કિસ્સાઓમાં જ્યાં આવા સાધનોનો ઉપયોગ જરૂરી હોય વ્યક્તિગત ડેટાની સુરક્ષા માટે વર્તમાન જોખમોને તટસ્થ કરો.

આ ફોર્મ્યુલેશનમાં શું સામાન્ય છે? તે સાચું છે - તેમને પ્રમાણિત રક્ષણાત્મક સાધનોના ઉપયોગની જરૂર નથી. હકીકત એ છે કે અનુરૂપ મૂલ્યાંકનના ઘણા સ્વરૂપો છે (સ્વૈચ્છિક અથવા ફરજિયાત પ્રમાણપત્ર, અનુરૂપતાની ઘોષણા). પ્રમાણપત્ર તેમાંથી માત્ર એક છે. ઑપરેટર બિન-પ્રમાણિત ઉત્પાદનોનો ઉપયોગ કરી શકે છે, પરંતુ નિરીક્ષણ દરમિયાન નિયમનકારને દર્શાવવાની જરૂર પડશે કે તેઓએ અનુરૂપ મૂલ્યાંકન પ્રક્રિયાના અમુક સ્વરૂપમાંથી પસાર કર્યું છે.

જો ઑપરેટર પ્રમાણિત રક્ષણાત્મક સાધનોનો ઉપયોગ કરવાનું નક્કી કરે છે, તો અલ્ટ્રાસાઉન્ડ સુરક્ષા અનુસાર માહિતી સુરક્ષા સિસ્ટમ પસંદ કરવી જરૂરી છે, જે સ્પષ્ટપણે ઉલ્લેખિત છે. FSTEC ઓર્ડર નંબર 21:

વ્યક્તિગત ડેટાને સુરક્ષિત કરવા માટેના ટેકનિકલ પગલાં માહિતી સુરક્ષા સાધનોના ઉપયોગ દ્વારા લાગુ કરવામાં આવે છે, જેમાં સૉફ્ટવેર (હાર્ડવેર) સાધનોનો સમાવેશ થાય છે જેમાં તે લાગુ કરવામાં આવે છે, જેમાં જરૂરી સુરક્ષા કાર્યો હોય છે.
માહિતી સુરક્ષા સાધનોનો ઉપયોગ કરતી વખતે માહિતી સિસ્ટમમાં માહિતી સુરક્ષા જરૂરિયાતો અનુસાર પ્રમાણિત:

રશિયાના FSTEC ના ઓર્ડર નંબર 12 ની કલમ 21.

વાસ્તવિકતા: કાયદાને પ્રમાણિત રક્ષણાત્મક સાધનોના ફરજિયાત ઉપયોગની જરૂર નથી.

માન્યતા 6. મને ક્રિપ્ટો પ્રોટેક્શનની જરૂર છે

અહીં કેટલીક ઘોંઘાટ છે:

1. ઘણા લોકો માને છે કે કોઈપણ ISPD માટે ક્રિપ્ટોગ્રાફી ફરજિયાત છે. વાસ્તવમાં, તેઓનો ઉપયોગ ત્યારે જ થવો જોઈએ જો ઑપરેટર સંકેતલિપીના ઉપયોગ સિવાય પોતાના માટે અન્ય કોઈ સુરક્ષા પગલાં જોતો ન હોય.
2. જો તમે ક્રિપ્ટોગ્રાફી વિના કરી શકતા નથી, તો તમારે FSB દ્વારા પ્રમાણિત CIPF નો ઉપયોગ કરવાની જરૂર છે.
3. ઉદાહરણ તરીકે, તમે સેવા પ્રદાતાના ક્લાઉડમાં ISPD હોસ્ટ કરવાનું નક્કી કરો છો, પરંતુ તમને તેના પર વિશ્વાસ નથી. તમે ધમકી અને ઘુસણખોર મોડેલમાં તમારી ચિંતાઓનું વર્ણન કરો છો. તમારી પાસે વ્યક્તિગત ડેટા છે, તેથી તમે નક્કી કર્યું કે ક્રિપ્ટોગ્રાફી એ તમારી જાતને બચાવવાનો એકમાત્ર રસ્તો છે: તમે વર્ચ્યુઅલ મશીનોને એન્ક્રિપ્ટ કરશો, ક્રિપ્ટોગ્રાફિક સુરક્ષાનો ઉપયોગ કરીને સુરક્ષિત ચેનલો બનાવશો. આ કિસ્સામાં, તમારે રશિયાના FSB દ્વારા પ્રમાણિત CIPF નો ઉપયોગ કરવો પડશે.
4. પ્રમાણિત CIPF ની પસંદગી ચોક્કસ સ્તરની સુરક્ષા અનુસાર કરવામાં આવે છે ઓર્ડર નંબર 378 FSB.

UZ-3 સાથે ISPDn માટે, તમે KS1, KS2, KS3 નો ઉપયોગ કરી શકો છો. KS1, ઉદાહરણ તરીકે, ચેનલોના રક્ષણ માટે C-Terra વર્ચ્યુઅલ ગેટવે 4.2 છે.

KC2, KS3 માત્ર સોફ્ટવેર અને હાર્ડવેર સિસ્ટમ્સ દ્વારા જ રજૂ થાય છે, જેમ કે: ViPNet કોઓર્ડિનેટર, APKSH "કોન્ટિનેન્ટ", S-Terra ગેટવે, વગેરે.

જો તમારી પાસે UZ-2 અથવા 1 છે, તો તમારે KV1, 2 અને KA વર્ગના ક્રિપ્ટોગ્રાફિક સંરક્ષણ માધ્યમોની જરૂર પડશે. આ ચોક્કસ સૉફ્ટવેર અને હાર્ડવેર સિસ્ટમ્સ છે, તેઓ ચલાવવા માટે મુશ્કેલ છે, અને તેમની કામગીરીની લાક્ષણિકતાઓ સામાન્ય છે.

વાસ્તવિકતા: કાયદો FSB દ્વારા પ્રમાણિત CIPF નો ઉપયોગ કરવા માટે બંધાયેલો નથી.

સોર્સ: www.habr.com