152-एफजेड के बारे में मिथक, जो व्यक्तिगत डेटा ऑपरेटर के लिए महंगा हो सकता है

नमस्ते! मैं डेटालाइन साइबर डिफेंस सेंटर चलाता हूं। ग्राहक क्लाउड में या भौतिक बुनियादी ढांचे पर 152-एफजेड की आवश्यकताओं को पूरा करने के कार्य के साथ हमारे पास आते हैं।
लगभग हर परियोजना में इस कानून से जुड़े मिथकों को दूर करने के लिए शैक्षिक कार्य करना आवश्यक है। मैंने सबसे आम ग़लतफ़हमियाँ एकत्र की हैं जो व्यक्तिगत डेटा ऑपरेटर के बजट और तंत्रिका तंत्र के लिए महंगी हो सकती हैं। मैं तुरंत आरक्षण कर दूंगा कि राज्य रहस्यों, केआईआई आदि से निपटने वाले राज्य कार्यालयों (जीआईएस) के मामले इस लेख के दायरे से बाहर रहेंगे।

मिथक 1. मैंने एक एंटीवायरस, एक फ़ायरवॉल स्थापित किया, और रैक को बाड़ से घेर दिया। क्या मैं कानून का पालन कर रहा हूँ?

152-एफजेड सिस्टम और सर्वर की सुरक्षा के बारे में नहीं है, बल्कि विषयों के व्यक्तिगत डेटा की सुरक्षा के बारे में है। इसलिए, 152-एफजेड का अनुपालन किसी एंटीवायरस से नहीं, बल्कि बड़ी संख्या में कागज के टुकड़ों और संगठनात्मक मुद्दों से शुरू होता है।
मुख्य निरीक्षक, रोसकोम्नाडज़ोर, सुरक्षा के तकनीकी साधनों की उपस्थिति और स्थिति पर नहीं, बल्कि व्यक्तिगत डेटा (पीडी) के प्रसंस्करण के कानूनी आधार पर ध्यान देगा:

• आप किस उद्देश्य से व्यक्तिगत डेटा एकत्र करते हैं;  
• क्या आप उन्हें अपने उद्देश्यों के लिए आवश्यकता से अधिक एकत्र करते हैं;
• आप व्यक्तिगत डेटा कितने समय तक संग्रहीत करते हैं;
• क्या व्यक्तिगत डेटा संसाधित करने के लिए कोई नीति है;
• क्या आप व्यक्तिगत डेटा प्रोसेसिंग, सीमा पार स्थानांतरण, तीसरे पक्ष द्वारा प्रोसेसिंग आदि के लिए सहमति एकत्र कर रहे हैं?

इन सवालों के जवाब, साथ ही प्रक्रियाओं को उचित दस्तावेजों में दर्ज किया जाना चाहिए। एक व्यक्तिगत डेटा ऑपरेटर को क्या तैयार करने की आवश्यकता है, इसकी पूरी सूची यहां दी गई है:

• व्यक्तिगत डेटा के प्रसंस्करण के लिए एक मानक सहमति प्रपत्र (ये वे शीट हैं जिन पर हम अब लगभग हर जगह हस्ताक्षर करते हैं जहां हम अपना पूरा नाम और पासपोर्ट विवरण छोड़ते हैं)।
• व्यक्तिगत डेटा के प्रसंस्करण के संबंध में ऑपरेटर की नीति (यहां डिजाइन के लिए सिफारिशें हैं)।
• व्यक्तिगत डेटा के प्रसंस्करण के आयोजन के लिए जिम्मेदार व्यक्ति की नियुक्ति पर आदेश।  
• व्यक्तिगत डेटा के प्रसंस्करण को व्यवस्थित करने के लिए जिम्मेदार व्यक्ति का कार्य विवरण।
• कानूनी आवश्यकताओं के साथ पीडी प्रसंस्करण के अनुपालन के आंतरिक नियंत्रण और (या) ऑडिट के नियम।  
• व्यक्तिगत डेटा सूचना प्रणाली (आईएसपीडी) की सूची।
• विषय को उसके व्यक्तिगत डेटा तक पहुंच प्रदान करने के लिए विनियम।
• घटना जांच नियम.
• व्यक्तिगत डेटा के प्रसंस्करण के लिए कर्मचारियों के प्रवेश पर आदेश।
• नियामकों के साथ बातचीत के लिए विनियम।  
• आरकेएन आदि की अधिसूचना
• पीडी प्रसंस्करण के लिए अनुदेश प्रपत्र.
• आईएसपीडी खतरा मॉडल.

इन मुद्दों को हल करने के बाद, आप विशिष्ट उपायों और तकनीकी साधनों का चयन करना शुरू कर सकते हैं। आपको किसकी आवश्यकता है यह सिस्टम, उनकी परिचालन स्थितियों और वर्तमान खतरों पर निर्भर करता है। लेकिन उस पर बाद में।

वास्तविकता: कानून का अनुपालन कुछ प्रक्रियाओं की स्थापना और अनुपालन है, सबसे पहले, और केवल दूसरी बात - विशेष तकनीकी साधनों का उपयोग।

मिथक 2. मैं व्यक्तिगत डेटा को क्लाउड में संग्रहीत करता हूं, एक डेटा सेंटर जो 152-एफजेड की आवश्यकताओं को पूरा करता है। अब वे कानून लागू करने के लिए जिम्मेदार हैं

जब आप व्यक्तिगत डेटा के भंडारण को क्लाउड प्रदाता या डेटा सेंटर को आउटसोर्स करते हैं, तो आप व्यक्तिगत डेटा ऑपरेटर बनना बंद नहीं करते हैं।
आइए मदद के लिए कानून की परिभाषा का सहारा लें:

व्यक्तिगत डेटा का प्रसंस्करण - कोई भी कार्रवाई (संचालन) या कार्यों का सेट (संचालन) स्वचालन उपकरण का उपयोग करके या ऐसे साधनों के उपयोग के बिना व्यक्तिगत डेटा के साथ किया जाता है, जिसमें संग्रह, रिकॉर्डिंग, व्यवस्थितकरण, संचय, भंडारण, स्पष्टीकरण (अद्यतन करना, बदलना) शामिल है। व्यक्तिगत डेटा का निष्कर्षण, उपयोग, स्थानांतरण (वितरण, प्रावधान, पहुंच), प्रतिरूपण, अवरोधन, विलोपन, विनाश।
स्रोत: अनुच्छेद 3, 152-FZ

इन सभी कार्यों में से, सेवा प्रदाता व्यक्तिगत डेटा को संग्रहीत करने और नष्ट करने के लिए जिम्मेदार है (जब ग्राहक उसके साथ अनुबंध समाप्त करता है)। बाकी सब कुछ व्यक्तिगत डेटा ऑपरेटर द्वारा प्रदान किया जाता है। इसका मतलब यह है कि ऑपरेटर, न कि सेवा प्रदाता, व्यक्तिगत डेटा के प्रसंस्करण के लिए नीति निर्धारित करता है, अपने ग्राहकों से व्यक्तिगत डेटा के प्रसंस्करण के लिए हस्ताक्षरित सहमति प्राप्त करता है, तीसरे पक्ष को व्यक्तिगत डेटा के रिसाव के मामलों को रोकता है और जांच करता है, इत्यादि।

नतीजतन, व्यक्तिगत डेटा ऑपरेटर को अभी भी ऊपर सूचीबद्ध दस्तावेज़ एकत्र करने होंगे और अपने पीडीआईएस की सुरक्षा के लिए संगठनात्मक और तकनीकी उपायों को लागू करना होगा।

आमतौर पर, प्रदाता बुनियादी ढांचे के स्तर पर कानूनी आवश्यकताओं का अनुपालन सुनिश्चित करके ऑपरेटर की मदद करता है जहां ऑपरेटर का आईएसपीडी स्थित होगा: उपकरण या क्लाउड के साथ रैक। वह दस्तावेजों का एक पैकेज भी एकत्र करता है, 152-एफजेड के अनुसार अपने बुनियादी ढांचे के लिए संगठनात्मक और तकनीकी उपाय करता है।

कुछ प्रदाता स्वयं आईएसडीएन के लिए कागजी कार्रवाई और तकनीकी सुरक्षा उपायों के प्रावधान में मदद करते हैं, यानी बुनियादी ढांचे से ऊपर के स्तर पर। ऑपरेटर इन कार्यों को आउटसोर्स भी कर सकता है, लेकिन कानून के तहत जिम्मेदारी और दायित्व समाप्त नहीं होते हैं।

वास्तविकता: किसी प्रदाता या डेटा सेंटर की सेवाओं का उपयोग करके, आप व्यक्तिगत डेटा ऑपरेटर की जिम्मेदारियों को उसे स्थानांतरित नहीं कर सकते हैं और जिम्मेदारी से छुटकारा नहीं पा सकते हैं। यदि प्रदाता आपसे यह वादा करता है, तो, संक्षेप में कहें तो, वह झूठ बोल रहा है।

मिथक 3. मेरे पास दस्तावेज़ों और उपायों का आवश्यक पैकेज है। मैं व्यक्तिगत डेटा को एक ऐसे प्रदाता के पास संग्रहीत करता हूं जो 152-एफजेड के अनुपालन का वादा करता है। क्या सब कुछ क्रम में है?

हाँ, यदि आपको आदेश पर हस्ताक्षर करना याद है। कानून के अनुसार, ऑपरेटर व्यक्तिगत डेटा के प्रसंस्करण को किसी अन्य व्यक्ति को सौंप सकता है, उदाहरण के लिए, वही सेवा प्रदाता। ऑर्डर एक प्रकार का समझौता है जो सूचीबद्ध करता है कि सेवा प्रदाता ऑपरेटर के व्यक्तिगत डेटा के साथ क्या कर सकता है।

ऑपरेटर को व्यक्तिगत डेटा के विषय की सहमति से व्यक्तिगत डेटा के प्रसंस्करण को किसी अन्य व्यक्ति को सौंपने का अधिकार है, जब तक कि अन्यथा संघीय कानून द्वारा प्रदान नहीं किया जाता है, राज्य या नगरपालिका अनुबंध सहित इस व्यक्ति के साथ संपन्न समझौते के आधार पर, या किसी राज्य या नगर निकाय द्वारा प्रासंगिक अधिनियम को अपनाकर (इसके बाद इसे असाइनमेंट ऑपरेटर के रूप में संदर्भित किया जाएगा)। ऑपरेटर की ओर से व्यक्तिगत डेटा संसाधित करने वाला व्यक्ति इस संघीय कानून द्वारा प्रदान किए गए व्यक्तिगत डेटा प्रसंस्करण के सिद्धांतों और नियमों का पालन करने के लिए बाध्य है।
स्रोत: खंड 3, अनुच्छेद 6, 152-एफजेड

व्यक्तिगत डेटा की गोपनीयता बनाए रखने और निर्दिष्ट आवश्यकताओं के अनुसार इसकी सुरक्षा सुनिश्चित करने के लिए प्रदाता का दायित्व भी स्थापित किया गया है:

ऑपरेटर के निर्देशों में व्यक्तिगत डेटा के साथ कार्यों (संचालन) की एक सूची को परिभाषित किया जाना चाहिए जो व्यक्तिगत डेटा को संसाधित करने वाले व्यक्ति द्वारा किया जाएगा और प्रसंस्करण के उद्देश्य, व्यक्तिगत डेटा की गोपनीयता बनाए रखने और सुनिश्चित करने के लिए ऐसे व्यक्ति का दायित्व स्थापित किया जाना चाहिए। उनके प्रसंस्करण के दौरान व्यक्तिगत डेटा की सुरक्षा, साथ ही संसाधित व्यक्तिगत डेटा की सुरक्षा के लिए आवश्यकताओं के अनुसार निर्दिष्ट किया जाना चाहिए अनुच्छेद 19 इस संघीय कानून का.
स्रोत: खंड 3, अनुच्छेद 6, 152-एफजेड

इसके लिए, प्रदाता ऑपरेटर के प्रति उत्तरदायी है, न कि व्यक्तिगत डेटा के विषय के प्रति:

यदि ऑपरेटर व्यक्तिगत डेटा के प्रसंस्करण को किसी अन्य व्यक्ति को सौंपता है, तो ऑपरेटर निर्दिष्ट व्यक्ति के कार्यों के लिए व्यक्तिगत डेटा के विषय के लिए जिम्मेदार है। ऑपरेटर की ओर से व्यक्तिगत डेटा संसाधित करने वाला व्यक्ति ऑपरेटर के प्रति जिम्मेदार है।
स्रोत: 152-FZ.

आदेश में व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने की बाध्यता निर्धारित करना भी महत्वपूर्ण है:

सूचना प्रणाली में संसाधित होने पर व्यक्तिगत डेटा की सुरक्षा इस प्रणाली के ऑपरेटर द्वारा सुनिश्चित की जाती है, जो व्यक्तिगत डेटा को संसाधित करता है (बाद में ऑपरेटर के रूप में संदर्भित), या ऑपरेटर की ओर से व्यक्तिगत डेटा को संसाधित करने वाले व्यक्ति द्वारा इस व्यक्ति के साथ संपन्न हुआ समझौता (इसके बाद अधिकृत व्यक्ति के रूप में संदर्भित)। ऑपरेटर और अधिकृत व्यक्ति के बीच समझौते में सूचना प्रणाली में संसाधित होने पर व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के लिए अधिकृत व्यक्ति के दायित्व का प्रावधान होना चाहिए।
स्रोत: 1 नवंबर 2012 संख्या 1119 के रूसी संघ की सरकार का फरमान

वास्तविकता: यदि आप प्रदाता को व्यक्तिगत डेटा देते हैं, तो आदेश पर हस्ताक्षर करें। आदेश में, विषयों के व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने की आवश्यकता को इंगित करें। अन्यथा, आप व्यक्तिगत डेटा प्रोसेसिंग कार्य को किसी तीसरे पक्ष को स्थानांतरित करने के संबंध में कानून का अनुपालन नहीं करते हैं, और प्रदाता को 152-एफजेड के अनुपालन के संबंध में आपको कुछ भी देना नहीं है।

मिथक 4. मोसाद मुझ पर जासूसी कर रहा है, या मेरे पास निश्चित रूप से एक यूजेड-1 है

कुछ ग्राहक लगातार यह साबित करते हैं कि उनके पास सुरक्षा स्तर 1 या 2 का आईएसपीडी है। अक्सर ऐसा नहीं होता है। ऐसा क्यों होता है यह जानने के लिए आइए हार्डवेयर को याद रखें।
एलओ, या सुरक्षा स्तर, यह निर्धारित करता है कि आप अपने व्यक्तिगत डेटा को किससे सुरक्षित रखेंगे।
सुरक्षा का स्तर निम्नलिखित बिंदुओं से प्रभावित होता है:

• व्यक्तिगत डेटा का प्रकार (विशेष, बायोमेट्रिक, सार्वजनिक रूप से उपलब्ध और अन्य);
• व्यक्तिगत डेटा का स्वामी कौन है - व्यक्तिगत डेटा ऑपरेटर के कर्मचारी या गैर-कर्मचारी;
• व्यक्तिगत डेटा विषयों की संख्या - कम या ज्यादा 100 हजार।
• वर्तमान खतरों के प्रकार.

हमें खतरों के प्रकार के बारे में बताता है 1 नवंबर 2012 संख्या 1119 के रूसी संघ की सरकार का फरमान. यहां मानव भाषा में मेरे निःशुल्क अनुवाद के साथ प्रत्येक का विवरण दिया गया है।

टाइप 1 खतरे किसी सूचना प्रणाली के लिए प्रासंगिक होते हैं यदि सूचना प्रणाली में उपयोग किए जाने वाले सिस्टम सॉफ़्टवेयर में अनिर्धारित (अघोषित) क्षमताओं की उपस्थिति से जुड़े खतरे भी इसके लिए प्रासंगिक होते हैं।

यदि आप इस प्रकार के खतरे को प्रासंगिक मानते हैं, तो आप दृढ़ता से मानते हैं कि CIA, MI6 या MOSSAD के एजेंटों ने आपके ISPD से विशिष्ट विषयों के व्यक्तिगत डेटा को चुराने के लिए ऑपरेटिंग सिस्टम में एक बुकमार्क रखा है।

दूसरे प्रकार के खतरे किसी सूचना प्रणाली के लिए प्रासंगिक होते हैं यदि सूचना प्रणाली में उपयोग किए जाने वाले एप्लिकेशन सॉफ़्टवेयर में अघोषित (अघोषित) क्षमताओं की उपस्थिति से जुड़े खतरे भी इसके लिए प्रासंगिक होते हैं।

यदि आपको लगता है कि दूसरे प्रकार के खतरे आपके मामले में हैं, तो आप सोएं और देखें कि कैसे CIA, MI6, MOSSAD, एक दुष्ट अकेले हैकर या समूह के उन्हीं एजेंटों ने सटीक शिकार करने के लिए कुछ कार्यालय सॉफ़्टवेयर पैकेज में बुकमार्क रखे हैं आपका व्यक्तिगत डेटा. हां, μTorrent जैसा संदिग्ध एप्लिकेशन सॉफ़्टवेयर है, लेकिन आप इंस्टॉलेशन के लिए अनुमत सॉफ़्टवेयर की एक सूची बना सकते हैं और उपयोगकर्ताओं के साथ एक समझौते पर हस्ताक्षर कर सकते हैं, उपयोगकर्ताओं को स्थानीय व्यवस्थापक अधिकार नहीं दे सकते, आदि।

टाइप 3 खतरे एक सूचना प्रणाली के लिए प्रासंगिक हैं यदि ऐसे खतरे जो सिस्टम में अघोषित (अघोषित) क्षमताओं की उपस्थिति से संबंधित नहीं हैं और सूचना प्रणाली में उपयोग किए जाने वाले एप्लिकेशन सॉफ़्टवेयर इसके लिए प्रासंगिक हैं।

टाइप 1 और 2 के खतरे आपके लिए उपयुक्त नहीं हैं, इसलिए यह जगह आपके लिए है।

हमने खतरों के प्रकारों को सुलझा लिया है, अब देखते हैं कि हमारे आईएसपीडी के पास किस स्तर की सुरक्षा होगी।

निर्दिष्ट पत्राचार के आधार पर तालिका 1 नवंबर 2012 संख्या 1119 के रूसी संघ की सरकार का फरमान.

यदि हमने तीसरे प्रकार के वास्तविक खतरों को चुना, तो ज्यादातर मामलों में हमारे पास UZ-3 होगा। एकमात्र अपवाद, जब प्रकार 1 और 2 के खतरे प्रासंगिक नहीं हैं, लेकिन सुरक्षा का स्तर अभी भी उच्च होगा (यूजेड-2), वे कंपनियां हैं जो 100 से अधिक की राशि में गैर-कर्मचारियों के विशेष व्यक्तिगत डेटा को संसाधित करती हैं। उदाहरण के लिए, चिकित्सा निदान और चिकित्सा सेवाओं के प्रावधान में लगी कंपनियाँ।

UZ-4 भी है, और यह मुख्य रूप से उन कंपनियों में पाया जाता है जिनका व्यवसाय गैर-कर्मचारियों, यानी ग्राहकों या ठेकेदारों के व्यक्तिगत डेटा के प्रसंस्करण से संबंधित नहीं है, या व्यक्तिगत डेटा बेस छोटा है।

सुरक्षा के स्तर के साथ इसे ज़्यादा न करना इतना महत्वपूर्ण क्यों है? यह सरल है: सुरक्षा के इस स्तर को सुनिश्चित करने के लिए उपायों और सुरक्षा के साधनों का सेट इस पर निर्भर करेगा। ज्ञान का स्तर जितना ऊँचा होगा, संगठनात्मक और तकनीकी दृष्टि से उतना ही अधिक कार्य करने की आवश्यकता होगी (पढ़ें: उतना ही अधिक पैसा और प्रयास खर्च करने की आवश्यकता होगी)।

उदाहरण के लिए, यहां बताया गया है कि सुरक्षा उपायों का सेट उसी पीपी-1119 के अनुसार कैसे बदलता है।

अब देखते हैं कि सुरक्षा के चयनित स्तर के आधार पर आवश्यक उपायों की सूची कैसे बदलती है रूस के FSTEC के आदेश क्रमांक 21 दिनांक 18.02.2013 फरवरी XNUMX द्वारा।  इस दस्तावेज़ में एक लंबा परिशिष्ट है, जो आवश्यक उपायों को परिभाषित करता है। उनमें से कुल 109 हैं, प्रत्येक किमी के लिए अनिवार्य उपायों को परिभाषित किया गया है और "+" चिह्न के साथ चिह्नित किया गया है - उनकी सटीक गणना नीचे दी गई तालिका में की गई है। यदि आप केवल UZ-3 के लिए आवश्यक चीज़ें छोड़ते हैं, तो आपको 4 मिलते हैं।

वास्तविकता: यदि आप ग्राहकों से परीक्षण या बायोमेट्रिक्स एकत्र नहीं करते हैं, आप सिस्टम और एप्लिकेशन सॉफ़्टवेयर में बुकमार्क के बारे में भ्रमित नहीं हैं, तो सबसे अधिक संभावना है कि आपके पास UZ-3 है। इसमें संगठनात्मक और तकनीकी उपायों की एक उचित सूची है जिसे वास्तव में लागू किया जा सकता है।

मिथक 5. व्यक्तिगत डेटा की सुरक्षा के सभी साधनों को रूस के FSTEC द्वारा प्रमाणित किया जाना चाहिए

यदि आप प्रमाणीकरण करना चाहते हैं या करना आवश्यक है, तो सबसे अधिक संभावना है कि आपको प्रमाणित सुरक्षात्मक उपकरण का उपयोग करना होगा। प्रमाणीकरण रूस के FSTEC के एक लाइसेंसधारी द्वारा किया जाएगा, जो:

• अधिक प्रमाणित सूचना सुरक्षा उपकरण बेचने में रुचि रखते हैं;
• कुछ गलत होने पर नियामक द्वारा लाइसेंस रद्द किये जाने का डर रहेगा।

यदि आपको प्रमाणीकरण की आवश्यकता नहीं है और आप किसी अन्य तरीके से आवश्यकताओं के अनुपालन की पुष्टि करने के लिए तैयार हैं, तो इसमें नामित किया गया है रूस के FSTEC का आदेश क्रमांक 21  "व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के लिए व्यक्तिगत डेटा सुरक्षा प्रणाली के भीतर लागू किए गए उपायों की प्रभावशीलता का आकलन करना," तो आपके लिए प्रमाणित सूचना सुरक्षा प्रणालियों की आवश्यकता नहीं है। मैं संक्षेप में इसका औचित्य समझाने का प्रयास करूंगा।

В अनुच्छेद 2 19-एफजेड का अनुच्छेद 152 कहा गया है कि ऐसे सुरक्षात्मक उपकरणों का उपयोग करना आवश्यक है जो स्थापित प्रक्रिया के अनुसार अनुरूपता मूल्यांकन प्रक्रिया से गुजरे हों:

व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करना विशेष रूप से हासिल किया जाता है:
[…] 3) सूचना सुरक्षा के उपयोग का मतलब है कि स्थापित प्रक्रिया के अनुसार अनुपालन मूल्यांकन प्रक्रिया पारित कर दी गई है।

В अनुच्छेद 13 पीपी-1119 कानूनी आवश्यकताओं के अनुपालन का आकलन करने की प्रक्रिया को पारित करने वाले सूचना सुरक्षा उपकरणों का उपयोग करने की भी आवश्यकता है:

[…] सूचना सुरक्षा उपकरणों का उपयोग जो सूचना सुरक्षा के क्षेत्र में रूसी संघ के कानून की आवश्यकताओं के अनुपालन का आकलन करने की प्रक्रिया को पारित कर चुके हैं, ऐसे मामलों में जहां मौजूदा खतरों को बेअसर करने के लिए ऐसे साधनों का उपयोग आवश्यक है।

एफएसटीईसी आदेश संख्या 4 का खंड 21 व्यावहारिक रूप से अनुच्छेद पीपी-1119 की नकल करता है:

व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के उपाय, अन्य बातों के अलावा, सूचना प्रणाली में सूचना सुरक्षा उपकरणों के उपयोग के माध्यम से लागू किए जाते हैं, जो स्थापित प्रक्रिया के अनुसार अनुरूपता मूल्यांकन प्रक्रिया से गुजर चुके हैं, ऐसे मामलों में जहां ऐसे उपकरणों का उपयोग आवश्यक है व्यक्तिगत डेटा की सुरक्षा के लिए मौजूदा खतरों को बेअसर करें।

इन फॉर्मूलेशन में क्या समानता है? यह सही है - उन्हें प्रमाणित सुरक्षात्मक उपकरणों के उपयोग की आवश्यकता नहीं है। तथ्य यह है कि अनुरूपता मूल्यांकन (स्वैच्छिक या अनिवार्य प्रमाणीकरण, अनुरूपता की घोषणा) के कई रूप हैं। प्रमाणीकरण उनमें से सिर्फ एक है. ऑपरेटर गैर-प्रमाणित उत्पादों का उपयोग कर सकता है, लेकिन निरीक्षण के बाद उसे नियामक को यह प्रदर्शित करना होगा कि वे किसी प्रकार की अनुरूपता मूल्यांकन प्रक्रिया से गुजरे हैं।

यदि ऑपरेटर प्रमाणित सुरक्षात्मक उपकरण का उपयोग करने का निर्णय लेता है, तो अल्ट्रासाउंड सुरक्षा के अनुसार सूचना सुरक्षा प्रणाली का चयन करना आवश्यक है, जो स्पष्ट रूप से बताया गया है एफएसटीईसी आदेश क्रमांक 21:

व्यक्तिगत डेटा की सुरक्षा के लिए तकनीकी उपायों को सूचना सुरक्षा उपकरणों के उपयोग के माध्यम से कार्यान्वित किया जाता है, जिसमें सॉफ़्टवेयर (हार्डवेयर) उपकरण शामिल होते हैं जिनमें उन्हें कार्यान्वित किया जाता है, जिसमें आवश्यक सुरक्षा कार्य होते हैं।
सूचना प्रणालियों में सूचना सुरक्षा आवश्यकताओं के अनुसार प्रमाणित सूचना सुरक्षा उपकरणों का उपयोग करते समय:

रूस के FSTEC के आदेश संख्या 12 का खंड 21.

वास्तविकता: कानून में प्रमाणित सुरक्षात्मक उपकरणों के अनिवार्य उपयोग की आवश्यकता नहीं है।

मिथक 6. मुझे क्रिप्टो सुरक्षा की आवश्यकता है

यहाँ कुछ बारीकियाँ हैं:

1. बहुत से लोग मानते हैं कि क्रिप्टोग्राफी किसी भी आईएसपीडी के लिए अनिवार्य है। वास्तव में, इनका उपयोग तभी किया जाना चाहिए जब ऑपरेटर को क्रिप्टोग्राफी के उपयोग के अलावा अपने लिए कोई अन्य सुरक्षा उपाय न दिखे।
2. यदि आप क्रिप्टोग्राफी के बिना नहीं कर सकते, तो आपको एफएसबी द्वारा प्रमाणित सीआईपीएफ का उपयोग करने की आवश्यकता है।
3. उदाहरण के लिए, आप किसी सेवा प्रदाता के क्लाउड में आईएसपीडी होस्ट करने का निर्णय लेते हैं, लेकिन आप उस पर भरोसा नहीं करते हैं। आप अपनी चिंताओं का वर्णन खतरे और घुसपैठिए मॉडल में करते हैं। आपके पास व्यक्तिगत डेटा है, इसलिए आपने निर्णय लिया कि क्रिप्टोग्राफ़ी स्वयं को सुरक्षित रखने का एकमात्र तरीका है: आप वर्चुअल मशीनों को एन्क्रिप्ट करेंगे, क्रिप्टोग्राफ़िक सुरक्षा का उपयोग करके सुरक्षित चैनल बनाएंगे। इस मामले में, आपको रूस के FSB द्वारा प्रमाणित CIPF का उपयोग करना होगा।
4. प्रमाणित सीआईपीएफ का चयन सुरक्षा के एक निश्चित स्तर के अनुसार किया जाता है आदेश संख्या 378 एफएसबी.

UZ-3 के साथ ISPDn के लिए, आप KS1, KS2, KS3 का उपयोग कर सकते हैं। उदाहरण के लिए, केएस1 चैनलों की सुरक्षा के लिए सी-टेरा वर्चुअल गेटवे 4.2 है।

KC2, KS3 को केवल सॉफ़्टवेयर और हार्डवेयर सिस्टम द्वारा दर्शाया जाता है, जैसे: ViPNet समन्वयक, APKSH "कॉन्टिनेंट", S-टेरा गेटवे, आदि।

यदि आपके पास UZ-2 या 1 है, तो आपको कक्षा KV1, 2 और KA के क्रिप्टोग्राफ़िक सुरक्षा साधनों की आवश्यकता होगी। ये विशिष्ट सॉफ़्टवेयर और हार्डवेयर सिस्टम हैं, इन्हें संचालित करना कठिन है, और इनकी प्रदर्शन विशेषताएँ मामूली हैं।

वास्तविकता: कानून एफएसबी द्वारा प्रमाणित सीआईपीएफ के उपयोग के लिए बाध्य नहीं है।

स्रोत: www.habr.com