IaaS 152-FZ: तो, आपको सुरक्षा की आवश्यकता है

इससे कोई फर्क नहीं पड़ता कि आप 152-एफजेड के अनुपालन से जुड़े मिथकों और किंवदंतियों को कितना सुलझाते हैं, कुछ न कुछ हमेशा पर्दे के पीछे रहता है। आज हम कुछ हमेशा स्पष्ट न होने वाली बारीकियों पर चर्चा करना चाहते हैं जिनका सामना बड़ी कंपनियों और बहुत छोटे उद्यमों दोनों को करना पड़ सकता है:

• श्रेणियों में पीडी वर्गीकरण की सूक्ष्मताएँ - जब एक छोटा ऑनलाइन स्टोर किसी विशेष श्रेणी से संबंधित डेटा को इसके बारे में जाने बिना भी एकत्र करता है;

• जहां आप एकत्रित पीडी का बैकअप संग्रहीत कर सकते हैं और उन पर संचालन कर सकते हैं;

• प्रमाणपत्र और अनुपालन के निष्कर्ष के बीच क्या अंतर है, आपको प्रदाता से किन दस्तावेज़ों का अनुरोध करना चाहिए, और इसी तरह की चीज़ें।

अंत में, हम प्रमाणन उत्तीर्ण करने का अपना अनुभव आपके साथ साझा करेंगे। जाना!

आज के लेख में विशेषज्ञ होंगे एलेक्सी अफानासिव, क्लाउड प्रदाताओं IT-GRAD और #CloudMTS (MTS समूह का हिस्सा) के लिए IS विशेषज्ञ।

वर्गीकरण की सूक्ष्मताएँ

हम अक्सर आईएस ऑडिट के बिना, आईएसपीडी के लिए सुरक्षा के आवश्यक स्तर को निर्धारित करने के लिए एक ग्राहक की इच्छा का सामना करते हैं। इस विषय पर इंटरनेट पर मौजूद कुछ सामग्रियाँ यह गलत धारणा देती हैं कि यह एक सरल कार्य है और गलती करना काफी कठिन है।

KM निर्धारित करने के लिए, यह समझना आवश्यक है कि ग्राहक के IS द्वारा कौन सा डेटा एकत्र और संसाधित किया जाएगा। कभी-कभी किसी व्यवसाय द्वारा संचालित सुरक्षा आवश्यकताओं और व्यक्तिगत डेटा की श्रेणी को स्पष्ट रूप से निर्धारित करना मुश्किल हो सकता है। एक ही प्रकार के व्यक्तिगत डेटा का पूरी तरह से अलग-अलग तरीकों से मूल्यांकन और वर्गीकरण किया जा सकता है। इसलिए, कुछ मामलों में, व्यवसाय की राय लेखा परीक्षक या यहां तक ​​​​कि निरीक्षक की राय से भिन्न हो सकती है। आइए कुछ उदाहरण देखें.

कार पार्क। यह काफी पारंपरिक प्रकार का व्यवसाय प्रतीत होगा। कई वाहन बेड़े दशकों से काम कर रहे हैं, और उनके मालिक व्यक्तिगत उद्यमियों और व्यक्तियों को काम पर रखते हैं। एक नियम के रूप में, कर्मचारी डेटा UZ-4 की आवश्यकताओं के अंतर्गत आता है। हालाँकि, ड्राइवरों के साथ काम करने के लिए, न केवल व्यक्तिगत डेटा एकत्र करना आवश्यक है, बल्कि शिफ्ट पर जाने से पहले वाहन बेड़े के क्षेत्र पर चिकित्सा नियंत्रण भी करना आवश्यक है, और इस प्रक्रिया में एकत्र की गई जानकारी तुरंत की श्रेणी में आती है। चिकित्सा डेटा - और यह एक विशेष श्रेणी का व्यक्तिगत डेटा है। इसके अलावा, बेड़ा प्रमाणपत्रों का अनुरोध कर सकता है, जिसे बाद में ड्राइवर की फ़ाइल में रखा जाएगा। इलेक्ट्रॉनिक रूप में ऐसे प्रमाणपत्र का स्कैन - स्वास्थ्य डेटा, एक विशेष श्रेणी का व्यक्तिगत डेटा। इसका मतलब है कि UZ-4 अब पर्याप्त नहीं है; कम से कम UZ-3 की आवश्यकता है।

ऑनलाइन स्टोर। ऐसा प्रतीत होता है कि एकत्र किए गए नाम, ईमेल और टेलीफोन नंबर सार्वजनिक श्रेणी में फिट बैठते हैं। हालाँकि, यदि आपके ग्राहक हलाल या कोषेर जैसी आहार संबंधी प्राथमिकताओं का संकेत देते हैं, तो ऐसी जानकारी को धार्मिक संबद्धता या विश्वास डेटा माना जा सकता है। इसलिए, जाँच करते समय या अन्य नियंत्रण गतिविधियाँ करते समय, निरीक्षक आपके द्वारा एकत्र किए गए डेटा को व्यक्तिगत डेटा की एक विशेष श्रेणी के रूप में वर्गीकृत कर सकता है। अब, यदि कोई ऑनलाइन स्टोर इस बारे में जानकारी एकत्र करता है कि उसका खरीदार मांस या मछली पसंद करता है या नहीं, तो डेटा को अन्य व्यक्तिगत डेटा के रूप में वर्गीकृत किया जा सकता है। वैसे, शाकाहारियों के बारे में क्या? आख़िरकार, इसका श्रेय दार्शनिक मान्यताओं को भी दिया जा सकता है, जो एक विशेष श्रेणी से भी संबंधित हैं। लेकिन दूसरी ओर, यह केवल उस व्यक्ति का रवैया हो सकता है जिसने अपने आहार से मांस को हटा दिया है। अफसोस, ऐसा कोई संकेत नहीं है जो ऐसी "सूक्ष्म" स्थितियों में पीडी की श्रेणी को स्पष्ट रूप से परिभाषित करता हो।

विज्ञापन एजेंसी कुछ पश्चिमी क्लाउड सेवा का उपयोग करते हुए, यह अपने ग्राहकों के सार्वजनिक रूप से उपलब्ध डेटा - पूर्ण नाम, ईमेल पते और टेलीफोन नंबर - को संसाधित करता है। ये व्यक्तिगत डेटा, निश्चित रूप से, व्यक्तिगत डेटा से संबंधित हैं। सवाल उठता है: क्या ऐसी प्रोसेसिंग करना कानूनी है? क्या रूसी संघ के बाहर प्रतिरूपण के बिना ऐसे डेटा को स्थानांतरित करना संभव है, उदाहरण के लिए, कुछ विदेशी बादलों में बैकअप संग्रहीत करना? निःसंदेह तुमसे हो सकता है। एजेंसी को इस डेटा को रूस के बाहर संग्रहीत करने का अधिकार है, हालांकि, हमारे कानून के अनुसार प्रारंभिक संग्रह, रूसी संघ के क्षेत्र में किया जाना चाहिए। यदि आप ऐसी जानकारी का बैकअप लेते हैं, उसके आधार पर कुछ आँकड़ों की गणना करते हैं, अनुसंधान करते हैं या उसके साथ कुछ अन्य ऑपरेशन करते हैं - यह सब पश्चिमी संसाधनों पर किया जा सकता है। कानूनी दृष्टिकोण से मुख्य बिंदु वह है जहां व्यक्तिगत डेटा एकत्र किया जाता है। इसलिए यह महत्वपूर्ण है कि प्रारंभिक संग्रह और प्रसंस्करण को भ्रमित न करें।

जैसा कि इन छोटे उदाहरणों से पता चलता है, व्यक्तिगत डेटा के साथ काम करना हमेशा सीधा और सरल नहीं होता है। आपको न केवल यह जानना होगा कि आप उनके साथ काम कर रहे हैं, बल्कि उन्हें सही ढंग से वर्गीकृत करने में भी सक्षम होना चाहिए, यह समझना होगा कि सुरक्षा के आवश्यक स्तर को सही ढंग से निर्धारित करने के लिए आईपी कैसे काम करता है। कुछ मामलों में, यह सवाल उठ सकता है कि संगठन को वास्तव में कितने व्यक्तिगत डेटा को संचालित करने की आवश्यकता है। क्या सबसे "गंभीर" या बस अनावश्यक डेटा को अस्वीकार करना संभव है? इसके अलावा, नियामक जहां संभव हो वहां व्यक्तिगत डेटा को वैयक्तिकृत करने की अनुशंसा करता है। 

जैसा कि ऊपर दिए गए उदाहरणों में है, कभी-कभी आपको इस तथ्य का सामना करना पड़ सकता है कि निरीक्षण अधिकारी एकत्र किए गए व्यक्तिगत डेटा की व्याख्या आपके द्वारा स्वयं किए गए मूल्यांकन से थोड़ा अलग तरीके से करते हैं।

बेशक, आप एक ऑडिटर या सिस्टम इंटीग्रेटर को सहायक के रूप में नियुक्त कर सकते हैं, लेकिन क्या ऑडिट की स्थिति में चुने गए निर्णयों के लिए "सहायक" जिम्मेदार होगा? यह ध्यान देने योग्य है कि जिम्मेदारी हमेशा आईएसपीडी के मालिक - व्यक्तिगत डेटा के ऑपरेटर - की होती है। इसीलिए, जब कोई कंपनी इस तरह का काम करती है, तो ऐसी सेवाओं के लिए बाजार में गंभीर खिलाड़ियों की ओर रुख करना महत्वपूर्ण है, उदाहरण के लिए, प्रमाणन कार्य करने वाली कंपनियां। प्रमाणित करने वाली कंपनियों के पास ऐसे काम करने का व्यापक अनुभव है।

आईएसपीडी के निर्माण के लिए विकल्प

आईएसपीडी का निर्माण न केवल एक तकनीकी, बल्कि काफी हद तक कानूनी मुद्दा भी है। सीआईओ या सुरक्षा निदेशक को हमेशा कानूनी सलाहकार से परामर्श लेना चाहिए। चूँकि कंपनी के पास हमेशा आपके लिए आवश्यक प्रोफ़ाइल वाला विशेषज्ञ नहीं होता है, इसलिए ऑडिटर-सलाहकारों की ओर देखना उचित है। कई फिसलन वाले बिंदु बिल्कुल भी स्पष्ट नहीं हो सकते हैं।

परामर्श आपको यह निर्धारित करने की अनुमति देगा कि आप किस व्यक्तिगत डेटा के साथ काम कर रहे हैं और उसे किस स्तर की सुरक्षा की आवश्यकता है। तदनुसार, आपको उस आईपी का अंदाजा हो जाएगा जिसे सुरक्षा और परिचालन सुरक्षा उपायों के साथ बनाने या पूरक करने की आवश्यकता है।

अक्सर किसी कंपनी का चुनाव दो विकल्पों के बीच होता है:

1. संभवतः अपने स्वयं के सर्वर रूम में, अपने स्वयं के हार्डवेयर और सॉफ़्टवेयर समाधानों पर संबंधित आईएस बनाएं।

2. क्लाउड प्रदाता से संपर्क करें और एक इलास्टिक समाधान चुनें, जो पहले से ही प्रमाणित "वर्चुअल सर्वर रूम" हो।

व्यक्तिगत डेटा को संसाधित करने वाली अधिकांश सूचना प्रणालियाँ पारंपरिक दृष्टिकोण का उपयोग करती हैं, जिसे व्यावसायिक दृष्टिकोण से, शायद ही आसान और सफल कहा जा सकता है। इस विकल्प को चुनते समय, यह समझना आवश्यक है कि तकनीकी डिज़ाइन में सॉफ़्टवेयर और हार्डवेयर समाधान और प्लेटफ़ॉर्म सहित उपकरण का विवरण शामिल होगा। इसका मतलब है कि आपको निम्नलिखित कठिनाइयों और सीमाओं का सामना करना पड़ेगा:

• स्केलिंग की कठिनाई;

• लंबी परियोजना कार्यान्वयन अवधि: सिस्टम का चयन करना, खरीदना, स्थापित करना, कॉन्फ़िगर करना और उसका वर्णन करना आवश्यक है;

• बहुत सारे "कागजी" कार्य, उदाहरण के तौर पर - संपूर्ण आईएसपीडी के लिए दस्तावेज़ीकरण के एक पूर्ण पैकेज का विकास।

इसके अलावा, एक व्यवसाय, एक नियम के रूप में, अपने आईपी के केवल "शीर्ष" स्तर को समझता है - जो व्यावसायिक अनुप्रयोग इसका उपयोग करता है। दूसरे शब्दों में, आईटी कर्मचारी अपने विशिष्ट क्षेत्र में कुशल हैं। इस बात की कोई समझ नहीं है कि सभी "निचले स्तर" कैसे काम करते हैं: सॉफ़्टवेयर और हार्डवेयर सुरक्षा, भंडारण प्रणाली, बैकअप और निश्चित रूप से, सभी आवश्यकताओं के अनुपालन में सुरक्षा उपकरण कैसे कॉन्फ़िगर करें, कॉन्फ़िगरेशन के "हार्डवेयर" भाग का निर्माण करें। यह समझना महत्वपूर्ण है: यह ज्ञान की एक विशाल परत है जो ग्राहक के व्यवसाय से बाहर है। यह वह जगह है जहां प्रमाणित "वर्चुअल सर्वर रूम" प्रदान करने वाले क्लाउड प्रदाता का अनुभव काम आ सकता है।

बदले में, क्लाउड प्रदाताओं के पास कई फायदे हैं, जो अतिशयोक्ति के बिना, व्यक्तिगत डेटा सुरक्षा के क्षेत्र में 99% व्यावसायिक जरूरतों को पूरा कर सकते हैं:

• पूंजीगत लागत परिचालन लागत में परिवर्तित हो जाती है;

• प्रदाता, अपनी ओर से, एक सिद्ध मानक समाधान के आधार पर आवश्यक स्तर की सुरक्षा और उपलब्धता के प्रावधान की गारंटी देता है;

• हार्डवेयर स्तर पर आईएसपीडी के संचालन को सुनिश्चित करने वाले विशेषज्ञों के स्टाफ को बनाए रखने की कोई आवश्यकता नहीं है;

• प्रदाता अधिक लचीले और लोचदार समाधान प्रदान करते हैं;

• प्रदाता के विशेषज्ञों के पास सभी आवश्यक प्रमाणपत्र हैं;

• नियामकों की आवश्यकताओं और सिफारिशों को ध्यान में रखते हुए, अपनी स्वयं की वास्तुकला का निर्माण करते समय अनुपालन किसी भी तरह से कम नहीं है।

पुराना मिथक कि व्यक्तिगत डेटा को क्लाउड में संग्रहीत नहीं किया जा सकता, अभी भी बेहद लोकप्रिय है। यह केवल आंशिक रूप से सत्य है: पीडी वास्तव में पोस्ट नहीं किया जा सकता पहले उपलब्ध में बादल। कुछ तकनीकी उपायों का अनुपालन और कुछ प्रमाणित समाधानों का उपयोग आवश्यक है। यदि प्रदाता सभी कानूनी आवश्यकताओं का अनुपालन करता है, तो व्यक्तिगत डेटा रिसाव से जुड़े जोखिम कम हो जाते हैं। कई प्रदाताओं के पास 152-एफजेड के अनुसार व्यक्तिगत डेटा को संसाधित करने के लिए एक अलग बुनियादी ढांचा है। हालाँकि, आपूर्तिकर्ता की पसंद को कुछ मानदंडों के ज्ञान के साथ भी चुना जाना चाहिए; हम निश्चित रूप से नीचे उन पर चर्चा करेंगे। 

ग्राहक अक्सर प्रदाता के क्लाउड में व्यक्तिगत डेटा के प्लेसमेंट के बारे में कुछ चिंताओं के साथ हमारे पास आते हैं। खैर, आइए तुरंत उन पर चर्चा करें।

• ट्रांसमिशन या माइग्रेशन के दौरान डेटा चोरी हो सकता है

इससे डरने की कोई जरूरत नहीं है - प्रदाता ग्राहक को प्रमाणित समाधानों पर निर्मित एक सुरक्षित डेटा ट्रांसमिशन चैनल, ठेकेदारों और कर्मचारियों के लिए उन्नत प्रमाणीकरण उपायों की पेशकश करता है। जो कुछ बचा है वह उचित सुरक्षा विधियों को चुनना और उन्हें ग्राहक के साथ अपने काम के हिस्से के रूप में लागू करना है।

• शो मास्क आएंगे और सर्वर की बिजली ले जाएंगे/सील कर देंगे/काट देंगे

यह उन ग्राहकों के लिए काफी समझ में आता है जो डरते हैं कि बुनियादी ढांचे पर अपर्याप्त नियंत्रण के कारण उनकी व्यावसायिक प्रक्रियाएं बाधित हो जाएंगी। एक नियम के रूप में, वे ग्राहक जिनके हार्डवेयर पहले विशेष डेटा केंद्रों के बजाय छोटे सर्वर रूम में स्थित थे, इस बारे में सोचते हैं। वास्तव में, डेटा केंद्र भौतिक और सूचना सुरक्षा दोनों के आधुनिक साधनों से सुसज्जित हैं। पर्याप्त आधार और कागजात के बिना ऐसे डेटा सेंटर में कोई भी ऑपरेशन करना लगभग असंभव है, और ऐसी गतिविधियों के लिए कई प्रक्रियाओं के अनुपालन की आवश्यकता होती है। इसके अलावा, आपके सर्वर को डेटा सेंटर से "खींचना" प्रदाता के अन्य ग्राहकों को प्रभावित कर सकता है, और यह निश्चित रूप से किसी के लिए आवश्यक नहीं है। इसके अलावा, कोई भी विशेष रूप से "आपके" वर्चुअल सर्वर पर उंगली नहीं उठा पाएगा, इसलिए यदि कोई इसे चुराना चाहता है या मास्क शो करना चाहता है, तो उसे पहले बहुत सारी नौकरशाही देरी से निपटना होगा। इस दौरान, संभवतः आपके पास कई बार दूसरी साइट पर माइग्रेट करने का समय होगा।

• हैकर्स क्लाउड को हैक कर डेटा चुरा लेंगे

इंटरनेट और प्रिंट प्रेस इस बात की सुर्खियों से भरे हुए हैं कि कैसे एक और क्लाउड साइबर अपराधियों का शिकार हो गया है, और लाखों व्यक्तिगत डेटा रिकॉर्ड ऑनलाइन लीक हो गए हैं। अधिकांश मामलों में, कमजोरियाँ प्रदाता की ओर से नहीं, बल्कि पीड़ितों की सूचना प्रणालियों में पाई गईं: कमजोर या यहां तक ​​कि डिफ़ॉल्ट पासवर्ड, वेबसाइट इंजन और डेटाबेस में "छेद", और सुरक्षा उपायों को चुनते समय सामान्य व्यावसायिक लापरवाही। डेटा एक्सेस प्रक्रियाओं को व्यवस्थित करना। सभी प्रमाणित समाधानों की कमजोरियों के लिए जाँच की जाती है। हम स्वतंत्र रूप से और बाहरी संगठनों के माध्यम से नियमित रूप से "नियंत्रण" परीक्षण और सुरक्षा ऑडिट भी करते हैं। प्रदाता के लिए, यह सामान्य रूप से प्रतिष्ठा और व्यवसाय का मामला है।

• प्रदाता/प्रदाता के कर्मचारी व्यक्तिगत लाभ के लिए व्यक्तिगत डेटा चुरा लेंगे

यह काफी संवेदनशील क्षण है. सूचना सुरक्षा जगत की कई कंपनियाँ अपने ग्राहकों को "डराती" हैं और इस बात पर जोर देती हैं कि "आंतरिक कर्मचारी बाहरी हैकरों की तुलना में अधिक खतरनाक हैं।" यह कुछ मामलों में सच हो सकता है, लेकिन विश्वास के बिना कोई व्यवसाय खड़ा नहीं किया जा सकता। समय-समय पर खबरें आती रहती हैं कि किसी संगठन के अपने ही कर्मचारी ग्राहकों का डेटा हमलावरों को लीक करते हैं, और आंतरिक सुरक्षा कभी-कभी बाहरी सुरक्षा की तुलना में बहुत खराब तरीके से व्यवस्थित होती है। यहां यह समझना महत्वपूर्ण है कि कोई भी बड़ा प्रदाता नकारात्मक मामलों में बेहद उदासीन होता है। प्रदाता के कर्मचारियों के कार्यों को अच्छी तरह से विनियमित किया जाता है, भूमिकाएँ और जिम्मेदारी के क्षेत्र विभाजित होते हैं। सभी व्यावसायिक प्रक्रियाओं को इस तरह से संरचित किया जाता है कि डेटा रिसाव के मामले बेहद असंभावित होते हैं और हमेशा आंतरिक सेवाओं के लिए ध्यान देने योग्य होते हैं, इसलिए ग्राहकों को इस तरफ से समस्याओं से डरना नहीं चाहिए।

• आप कम भुगतान करते हैं क्योंकि आप अपने व्यावसायिक डेटा से सेवाओं के लिए भुगतान करते हैं।

एक और मिथक: एक ग्राहक जो सुरक्षित बुनियादी ढांचे को आरामदायक कीमत पर किराए पर लेता है, वह वास्तव में अपने डेटा के साथ इसके लिए भुगतान करता है - यह अक्सर विशेषज्ञों द्वारा सोचा जाता है जो बिस्तर पर जाने से पहले कुछ साजिश सिद्धांतों को पढ़ने में कोई आपत्ति नहीं करते हैं। सबसे पहले, आदेश में निर्दिष्ट के अलावा आपके डेटा के साथ कोई भी संचालन करने की संभावना अनिवार्य रूप से शून्य है। दूसरे, एक पर्याप्त प्रदाता आपके साथ संबंध और उसकी प्रतिष्ठा को महत्व देता है - आपके अलावा, उसके पास और भी कई ग्राहक हैं। विपरीत परिदृश्य अधिक संभावित है, जिसमें प्रदाता उत्साहपूर्वक अपने ग्राहकों के डेटा की रक्षा करेगा, जिस पर उसका व्यवसाय निर्भर करता है।

आईएसपीडी के लिए क्लाउड प्रदाता चुनना

आज, बाजार उन कंपनियों के लिए कई समाधान प्रदान करता है जो पीडी ऑपरेटर हैं। नीचे सही को चुनने के लिए अनुशंसाओं की एक सामान्य सूची दी गई है।

• प्रदाता को व्यक्तिगत डेटा को संसाधित करने की कुंजी में पार्टियों, एसएलए और जिम्मेदारी के क्षेत्रों की जिम्मेदारियों का वर्णन करने वाले एक औपचारिक समझौते में प्रवेश करने के लिए तैयार होना चाहिए। वास्तव में, आपके और प्रदाता के बीच, सेवा समझौते के अलावा, पीडी प्रसंस्करण के लिए एक आदेश पर हस्ताक्षर किए जाने चाहिए। किसी भी मामले में, उनका सावधानीपूर्वक अध्ययन करना उचित है। आपके और प्रदाता के बीच जिम्मेदारियों के विभाजन को समझना महत्वपूर्ण है।

• कृपया ध्यान दें कि सेगमेंट को आवश्यकताओं को पूरा करना होगा, जिसका अर्थ है कि इसमें एक प्रमाणपत्र होना चाहिए जो आपके आईपी द्वारा आवश्यक सुरक्षा स्तर से कम न हो। ऐसा होता है कि प्रदाता प्रमाणपत्र का केवल पहला पृष्ठ प्रकाशित करते हैं, जिससे बहुत कुछ स्पष्ट नहीं होता है, या प्रमाणपत्र प्रकाशित किए बिना ही ऑडिट या अनुपालन प्रक्रियाओं का उल्लेख करते हैं ("क्या कोई लड़का था?")। यह माँगने लायक है - यह एक सार्वजनिक दस्तावेज़ है जो इंगित करता है कि प्रमाणीकरण, वैधता अवधि, क्लाउड स्थान इत्यादि किसने किया।

• प्रदाता को इस बारे में जानकारी प्रदान करनी होगी कि उसकी साइटें (संरक्षित वस्तुएं) कहां स्थित हैं ताकि आप अपने डेटा के प्लेसमेंट को नियंत्रित कर सकें। हम आपको याद दिला दें कि व्यक्तिगत डेटा का प्रारंभिक संग्रह रूसी संघ के क्षेत्र में किया जाना चाहिए; तदनुसार, अनुबंध/प्रमाणपत्र में डेटा सेंटर के पते देखने की सलाह दी जाती है।

• प्रदाता को प्रमाणित सूचना सुरक्षा और सूचना सुरक्षा प्रणालियों का उपयोग करना चाहिए। बेशक, अधिकांश प्रदाता अपने द्वारा उपयोग किए जाने वाले तकनीकी सुरक्षा उपायों और समाधान वास्तुकला का विज्ञापन नहीं करते हैं। लेकिन एक ग्राहक के रूप में आप इसके बारे में जाने बिना नहीं रह सकते। उदाहरण के लिए, किसी प्रबंधन प्रणाली (प्रबंधन पोर्टल) से दूरस्थ रूप से जुड़ने के लिए सुरक्षा उपायों का उपयोग करना आवश्यक है। प्रदाता इस आवश्यकता को दरकिनार नहीं कर पाएगा और आपको प्रमाणित समाधान प्रदान करेगा (या आपको उपयोग करने की आवश्यकता होगी)। परीक्षण के लिए संसाधन लें और आप तुरंत समझ जाएंगे कि कैसे और क्या काम करता है। 

• क्लाउड प्रदाता के लिए सूचना सुरक्षा के क्षेत्र में अतिरिक्त सेवाएँ प्रदान करना अत्यधिक वांछनीय है। ये विभिन्न सेवाएँ हो सकती हैं: DDoS हमलों और WAF से सुरक्षा, एंटी-वायरस सेवा या सैंडबॉक्स, आदि। यह सब आपको एक सेवा के रूप में सुरक्षा प्राप्त करने की अनुमति देगा, सुरक्षा प्रणालियों के निर्माण से विचलित होने की नहीं, बल्कि व्यावसायिक अनुप्रयोगों पर काम करने की।

• प्रदाता को FSTEC और FSB का लाइसेंसधारी होना चाहिए। एक नियम के रूप में, ऐसी जानकारी सीधे वेबसाइट पर पोस्ट की जाती है। इन दस्तावेज़ों का अनुरोध अवश्य करें और जाँच लें कि सेवाएँ प्रदान करने के पते, प्रदाता कंपनी का नाम आदि सही हैं या नहीं। 

आइए संक्षेप करें. बुनियादी ढांचे को किराए पर लेने से आप CAPEX को त्याग सकते हैं और केवल अपने व्यावसायिक अनुप्रयोगों और डेटा को अपनी जिम्मेदारी के क्षेत्र में बनाए रख सकते हैं, और प्रदाता को हार्डवेयर और सॉफ्टवेयर और हार्डवेयर के प्रमाणीकरण का भारी बोझ स्थानांतरित कर सकते हैं।

हमने सर्टिफिकेशन कैसे पास किया

हाल ही में, हमने व्यक्तिगत डेटा के साथ काम करने की आवश्यकताओं के अनुपालन के लिए "सिक्योर क्लाउड FZ-152" के बुनियादी ढांचे के पुन: प्रमाणीकरण को सफलतापूर्वक पारित किया है। यह कार्य राष्ट्रीय प्रमाणन केंद्र द्वारा किया गया था।

वर्तमान में, "FZ-152 सिक्योर क्लाउड" को स्तर UZ-3 की आवश्यकताओं के अनुसार व्यक्तिगत डेटा (ISPDn) के प्रसंस्करण, भंडारण या प्रसारण में शामिल सूचना प्रणालियों की मेजबानी के लिए प्रमाणित किया गया है।

प्रमाणन प्रक्रिया में सुरक्षा के स्तर के साथ क्लाउड प्रदाता के बुनियादी ढांचे के अनुपालन की जांच करना शामिल है। प्रदाता स्वयं IaaS सेवा प्रदान करता है और व्यक्तिगत डेटा का ऑपरेटर नहीं है। इस प्रक्रिया में संगठनात्मक (दस्तावेज़ीकरण, आदेश, आदि) और तकनीकी उपाय (सुरक्षात्मक उपकरण स्थापित करना, आदि) दोनों का मूल्यांकन शामिल है।

इसे मामूली नहीं कहा जा सकता. इस तथ्य के बावजूद कि प्रमाणन गतिविधियों के संचालन के लिए कार्यक्रमों और तरीकों पर GOST 2013 में सामने आया, क्लाउड ऑब्जेक्ट के लिए सख्त कार्यक्रम अभी भी मौजूद नहीं हैं। प्रमाणन केंद्र इन कार्यक्रमों को अपनी विशेषज्ञता के आधार पर विकसित करते हैं। नई प्रौद्योगिकियों के आगमन के साथ, कार्यक्रम अधिक जटिल और आधुनिक हो जाते हैं; तदनुसार, प्रमाणनकर्ता को क्लाउड समाधानों के साथ काम करने का अनुभव होना चाहिए और विशिष्टताओं को समझना चाहिए।

हमारे मामले में, संरक्षित वस्तु में दो स्थान होते हैं।

• क्लाउड संसाधन (सर्वर, स्टोरेज सिस्टम, नेटवर्क इंफ्रास्ट्रक्चर, सुरक्षा उपकरण इत्यादि) सीधे डेटा सेंटर में स्थित होते हैं। बेशक, ऐसा वर्चुअल डेटा सेंटर सार्वजनिक नेटवर्क से जुड़ा होता है, और तदनुसार, कुछ फ़ायरवॉल आवश्यकताओं को पूरा किया जाना चाहिए, उदाहरण के लिए, प्रमाणित फ़ायरवॉल का उपयोग।

• ऑब्जेक्ट का दूसरा भाग क्लाउड प्रबंधन उपकरण है। ये वर्कस्टेशन (प्रशासक के वर्कस्टेशन) हैं जिनसे संरक्षित खंड का प्रबंधन किया जाता है।

स्थान सीआईपीएफ पर निर्मित वीपीएन चैनल के माध्यम से संचार करते हैं।

चूंकि वर्चुअलाइजेशन प्रौद्योगिकियां खतरों के उद्भव के लिए पूर्व शर्त बनाती हैं, इसलिए हम अतिरिक्त प्रमाणित सुरक्षा उपकरणों का भी उपयोग करते हैं।

ब्लॉक आरेख "मूल्यांकनकर्ता की नज़र से"

यदि ग्राहक को IaaS किराए पर लेने के बाद अपने ISPD के प्रमाणीकरण की आवश्यकता होती है, तो उसे केवल वर्चुअल डेटा सेंटर के स्तर से ऊपर सूचना प्रणाली का मूल्यांकन करना होगा। इस प्रक्रिया में बुनियादी ढांचे और उस पर उपयोग किए गए सॉफ़्टवेयर की जांच करना शामिल है। चूँकि आप सभी बुनियादी ढांचे के मुद्दों के लिए प्रदाता के प्रमाणपत्र का उल्लेख कर सकते हैं, आपको बस सॉफ्टवेयर के साथ काम करना है।

अमूर्त स्तर पर पृथक्करण

अंत में, यहां उन कंपनियों के लिए एक छोटी चेकलिस्ट है जो पहले से ही व्यक्तिगत डेटा के साथ काम कर रही हैं या सिर्फ योजना बना रही हैं। तो, बिना जले इसे कैसे संभालें।

1. खतरों और घुसपैठियों के मॉडल का ऑडिट और विकास करने के लिए, प्रमाणन प्रयोगशालाओं में से एक अनुभवी सलाहकार को आमंत्रित करें जो आवश्यक दस्तावेज़ विकसित करने में मदद करेगा और आपको तकनीकी समाधान के चरण में लाएगा।

2. क्लाउड प्रदाता चुनते समय, प्रमाणपत्र की उपस्थिति पर ध्यान दें। अच्छा होगा कि कंपनी इसे सीधे वेबसाइट पर सार्वजनिक रूप से पोस्ट कर दे। प्रदाता को FSTEC और FSB का लाइसेंसधारी होना चाहिए, और उसके द्वारा प्रदान की जाने वाली सेवा प्रमाणित होनी चाहिए।

3. सुनिश्चित करें कि आपके पास व्यक्तिगत डेटा संसाधित करने के लिए एक औपचारिक समझौता और एक हस्ताक्षरित निर्देश है। इसके आधार पर, आप अनुपालन जांच और आईएसपीडी प्रमाणीकरण दोनों करने में सक्षम होंगे। यदि तकनीकी परियोजना के चरण में यह काम और डिजाइन और तकनीकी दस्तावेज का निर्माण आपको बोझिल लगता है, तो आपको तीसरे पक्ष की परामर्श कंपनियों से संपर्क करना चाहिए प्रमाणन प्रयोगशालाओं में से।

यदि व्यक्तिगत डेटा प्रोसेसिंग के मुद्दे आपके लिए प्रासंगिक हैं, तो 18 सितंबर, इस शुक्रवार को, हमें आपको वेबिनार में देखकर खुशी होगी "प्रमाणित बादलों के निर्माण की विशेषताएं".

स्रोत: www.habr.com