डीएफ क्लाउड प्लेटफॉर्म पर सुरक्षित क्लाउड 

संघीय कानून-152 "व्यक्तिगत डेटा के संरक्षण पर" सभी मौजूदा संस्थाओं पर लागू होता है: व्यक्ति और कानूनी संस्थाएं, संघीय सरकारी निकाय और स्थानीय सरकारें। वास्तव में, यह कानून किसी भी संगठन पर लागू होता है जो स्वामित्व के रूप और संगठन के आकार की परवाह किए बिना, रूसी संघ के नागरिकों की जानकारी और व्यक्तिगत डेटा को संसाधित करता है।

कभी-कभी कोई संगठन, अपने लिए काफी अप्रत्याशित रूप से, व्यक्तिगत डेटा (पीडी) की आरंभिक अंतर्निहित सूचना प्रणाली की खोज कर सकता है। उदाहरण के लिए, किसी कंपनी को व्यक्तिगत डेटा का ऑपरेटर माना जाता है यदि उसकी वेबसाइट पर फीडबैक फॉर्म, पंजीकरण, प्राधिकरण और डेटा संग्रह के अन्य रूप हैं जिनके द्वारा विषय की पहचान की जा सकती है।

संघीय कानून "व्यक्तिगत डेटा पर" की आवश्यकताओं के अनुपालन के संबंध में नियंत्रण और पर्यवेक्षण नियामकों द्वारा किया जाता है:

• व्यक्तिगत डेटा विषयों के अधिकारों की सुरक्षा के संबंध में रोसकोम्नाडज़ोर;
• क्रिप्टोग्राफी के क्षेत्र में आवश्यकताओं के अनुपालन के संबंध में रूस का एफएसबी;
• तकनीकी चैनलों के माध्यम से अनधिकृत पहुंच और रिसाव से जानकारी की सुरक्षा के लिए आवश्यकताओं के अनुपालन के मामले में रूस का FSTEC।

चूंकि संघीय कानून "व्यक्तिगत डेटा पर" केवल व्यक्तिगत डेटा की सुरक्षा के लिए कानूनी समर्थन का आधार है, इसकी आवश्यकताओं को बाद में रूसी संघ की सरकार और संचार मंत्रालय के कृत्यों और अन्य नियामक और पद्धति संबंधी दस्तावेजों में निर्दिष्ट किया गया था। नियामक।

व्यक्तिगत डेटा प्रोसेसिंग के क्षेत्र में गतिविधियों को विनियमित करने वाले संघीय प्राधिकरण

• Roskomnadzor (संचार और जन संचार के पर्यवेक्षण के लिए संघीय सेवा) - कानूनी आवश्यकताओं के साथ पीडी प्रसंस्करण के अनुपालन पर नियंत्रण और पर्यवेक्षण करता है।
• रूस का एफएसटीईसी (तकनीकी और निर्यात नियंत्रण के लिए संघीय सेवा) - तकनीकी साधनों का उपयोग करके जानकारी की सुरक्षा के तरीके और साधन स्थापित करता है।
• रूस के एफ.एस.बी. (रूसी संघ की संघीय सुरक्षा सेवा) - अपनी शक्तियों के भीतर जानकारी की सुरक्षा के तरीके और साधन स्थापित करती है (सूचना सुरक्षा के क्रिप्टोग्राफ़िक साधनों के उपयोग का क्षेत्र)

व्यक्तिगत डेटा संसाधित करने वाला प्रत्येक संगठन अपनी सूचना प्रणाली को कानूनी आवश्यकताओं के अनुपालन में लाने की समस्या का सामना करता है। व्यक्तिगत डेटा सुरक्षा न केवल रूस में, बल्कि अन्य देशों में भी सबसे गंभीर मुद्दों में से एक है। 

व्यक्तिगत डेटा के प्रकार

संघीय कानून संख्या 152 के अनुसार, व्यक्तिगत डेटा ऐसी जानकारी (व्यक्तिगत डेटा का विषय) के आधार पर पहचाने गए या निर्धारित किए गए किसी व्यक्ति से संबंधित कोई भी जानकारी है। उदाहरण के लिए: पूरा नाम, जन्म तिथि और स्थान, पता, पारिवारिक, सामाजिक, संपत्ति की स्थिति, शिक्षा, आदि।

व्यक्तिगत डेटा को कई श्रेणियों में बांटा गया है:

विशेष

जाति, राष्ट्रीयता, राजनीतिक विचार, धार्मिक या दार्शनिक विश्वास, स्वास्थ्य स्थिति, अंतरंग जीवन से संबंधित व्यक्तिगत डेटा

बॉयोमीट्रिक

पीडी, जो किसी व्यक्ति की शारीरिक और जैविक विशेषताओं की विशेषता बताते हैं, जिसके आधार पर उसकी पहचान स्थापित की जा सकती है और जिसका उपयोग ऑपरेटर द्वारा व्यक्तिगत डेटा के विषय की पहचान स्थापित करने के लिए किया जाता है।

अन्य

पीडी प्रत्यक्ष या अप्रत्यक्ष रूप से पहचाने गए या पहचाने जाने योग्य व्यक्ति से संबंधित है और उपरोक्त श्रेणियों में नहीं आता है

सार्वजनिक रूप से उपलब्ध

पीडी सार्वजनिक रूप से उपलब्ध स्रोतों से प्राप्त किया गया जिसमें डेटा व्यक्तिगत डेटा के विषय की लिखित सहमति से प्रकाशित किया गया था

व्यक्तिगत डेटा का प्रसंस्करण स्वचालन उपकरणों का उपयोग या उसके बिना व्यक्तिगत डेटा के साथ कोई भी क्रिया (संचालन) या कार्यों का सेट है, जिसमें शामिल हैं:

• संग्रह,
• रिकॉर्डिंग,
• व्यवस्थितकरण,
• संचय,
• भंडारण,
• स्पष्टीकरण (अद्यतन, परिवर्तन),
• निष्कर्षण,
• उपयोग,
• ट्रांसमिशन (वितरण, प्रावधान, पहुंच),
• वैयक्तिकरण,
• अवरुद्ध करना,
• निष्कासन,
• व्यक्तिगत डेटा का विनाश.

उल्लंघनों के लिए जिम्मेदारी

संघीय कानून संख्या 24 के अनुच्छेद 152 के अनुसार, व्यक्ति रूसी संघ के कानून के अनुसार कानून का उल्लंघन करने के लिए जिम्मेदार हैं।

किसी कंपनी की जाँच करते समय, नियामकों को संघीय कानून-152 और कई उपनियमों द्वारा निर्देशित किया जाता है। निरीक्षण या तो निर्धारित या अनिर्धारित हो सकता है - उल्लंघन के तथ्यों के आधार पर, साथ ही उन्हें खत्म करने के लिए पहले जारी किए गए आदेशों की निगरानी के लिए।

व्यक्तिगत डेटा की सुरक्षा के लिए आवश्यकताओं का उल्लंघन करने वाले व्यक्तियों को न केवल नागरिक और अनुशासनात्मक, बल्कि प्रशासनिक और यहां तक ​​कि आपराधिक दायित्व का भी सामना करना पड़ सकता है।
 

संघीय कानून-152 की आवश्यकताओं का अनुपालन कैसे करें?

इसलिए, एक कंपनी या संगठन जो व्यक्तिगत डेटा या अन्य संवेदनशील जानकारी संसाधित करता है, उसे कानून के अनुसार इस जानकारी की रक्षा करनी चाहिए। इसके लिए न केवल गंभीर विशेषज्ञता, ज्ञान और अनुभव की आवश्यकता होती है, बल्कि यह तकनीकी कठिनाइयों और काफी लागतों से भी जुड़ा होता है।

एफएसटीईसी द्वारा अनुमोदित आधिकारिक परिभाषा के अनुसार, "... व्यक्तिगत डेटा की सुरक्षा व्यक्तिगत डेटा की सुरक्षा की स्थिति है, जो व्यक्तिगत डेटा की गोपनीयता, अखंडता और उपलब्धता सुनिश्चित करने के लिए उपयोगकर्ताओं, तकनीकी साधनों और सूचना प्रौद्योगिकियों की क्षमता की विशेषता है। व्यक्तिगत डेटा सूचना प्रणालियों में संसाधित..."

संघीय कानून 152 की संगठनात्मक, कानूनी और तकनीकी आवश्यकताओं को पूरा करने के लिए, आपको न केवल कानून का अध्ययन करना होगा, बल्कि इसके उपनियमों का भी अध्ययन करना होगा और यह पता लगाना होगा कि वास्तव में क्या उपाय करने की आवश्यकता है। आउटसोर्सिंग विशेषज्ञ कंपनी में व्यक्तिगत डेटा के प्रसंस्करण की प्रक्रियाओं का अध्ययन कर सकते हैं, आवश्यक दस्तावेज तैयार कर सकते हैं, सुरक्षा उपाय लागू कर सकते हैं आदि।

एक व्यापक सूचना सुरक्षा प्रणाली में शामिल हैं:

• घुसपैठ रोकथाम उपकरण (आईडीएस)।
• फ़ायरवॉल (एफडब्ल्यू)।
• मैलवेयर से सुरक्षा.
• सुरक्षा घटनाओं की निगरानी और रिकॉर्डिंग के लिए प्रणाली।
• संचार चैनलों की क्रिप्टोग्राफ़िक सुरक्षा की प्रणाली (एन्क्रिप्शन)।
• आभासी वातावरण की सुरक्षा के साधन, अनधिकृत पहुंच (एटीपी), पहचान और पहुंच नियंत्रण के खिलाफ सुरक्षा की एक प्रणाली।
• सुरक्षा विश्लेषण/भेद्यता पहचान प्रणाली, आदि।

इसके अलावा, व्यापक सूचना सुरक्षा में न केवल तकनीकी, बल्कि संगठनात्मक उपाय भी शामिल हैं।

क्लाउड FZ-152: कार्यान्वयन सुविधाएँ

कई रूसी प्रदाता व्यक्तिगत डेटा के संबंध में संघीय कानून की आवश्यकताओं के अनुसार सूचना प्रणालियों की मेजबानी के लिए क्लाउड इंफ्रास्ट्रक्चर के प्रावधान के लिए सेवाएं प्रदान करते हैं। जब क्लाइंट के सिस्टम को क्लाउड में होस्ट किया जाता है, तो प्रदाता व्यक्तिगत डेटा की सुरक्षा से संबंधित कई सूचना सुरक्षा मुद्दों को उठाता है। क्लाउड पर माइग्रेट करते समय, यह आईटी बुनियादी ढांचे की रक्षा करेगा, और इससे क्लाइंट की कुछ जिम्मेदारियां दूर हो जाएंगी। उदाहरण के लिए, प्रदाता वर्चुअलाइजेशन वातावरण की सुरक्षा के संबंध में संघीय कानून 152 की आवश्यकताओं को पूरा करता है।

प्रदाता ग्राहकों को डेटा सुरक्षा की समस्या को हल करने में विशेषज्ञ सहायता भी प्रदान कर सकते हैं: सुरक्षा के आवश्यक स्तर का निर्धारण करना और, इसके अनुसार, कार्यान्वयन विकल्प की पेशकश करना; रूसी संघ के कानून की आवश्यकताओं के अनुपालन के लिए दस्तावेज़ विकसित करना।

एक सुरक्षित क्लाउड आईटी बुनियादी ढांचे और एक आंतरिक सूचना सुरक्षा प्रणाली को बनाने और बनाए रखने की लागत को कम करके किसी संगठन की लागत को अनुकूलित करने में मदद करेगा। आमतौर पर, योग्य विशेषज्ञ व्यापक तकनीकी सहायता और सहायता प्रदान करते हैं, जिसमें नियामक अधिकारियों द्वारा प्रमाणन के लिए दस्तावेजों के एक पैकेज का परामर्श और विकास शामिल है, और सेवा वितरण मंच सख्त तकनीकी मानकों को पूरा करता है और आवश्यक संगठनात्मक आवश्यकताओं को पूरा करता है। ग्राहक आवश्यक दस्तावेज तैयार करने और एप्लिकेशन और ऑपरेटिंग सिस्टम स्तर पर आईएसपीडी की सुरक्षा के लिए सेवाओं का लाभ उठा सकते हैं।

जोखिम और भेद्यता प्रबंधन प्रक्रियाएं, घटना जांच, आंतरिक और बाहरी सुरक्षा ऑडिट, साथ ही नेटवर्क, सिस्टम और सूचना सुरक्षा प्रक्रियाओं की नियमित निगरानी और परीक्षण भी प्रदान किया जाता है। योग्य विशेषज्ञ XNUMX/XNUMX आईटी अवसंरचना सहायता प्रदान करते हैं।

कुल मिलाकर, ये उपाय व्यक्तिगत डेटा की सुरक्षा के संबंध में संघीय कानूनों का अनुपालन सुनिश्चित करते हैं।

प्रमाणित मंच

IBS DataFort के आधार पर ऐसी सेवा प्रदान करता है प्रमाणित डीएफ क्लाउड प्लेटफॉर्म. इस प्लेटफ़ॉर्म के सभी तकनीकी भाग, प्रशासन और वर्चुअलाइजेशन उपकरण संघीय कानून-152 के मानदंडों और आवश्यकताओं का अनुपालन करते हैं।
IBS डेटाफोर्ट सुरक्षित क्लाउड का आर्किटेक्चर।

प्लेटफ़ॉर्म आईएसपीडी (प्रथम सुरक्षा स्तर सहित), जीआईएस (प्रथम सुरक्षा वर्ग तक और इसमें शामिल) और टियर III डेटा सेंटर में सुरक्षित डेटा भंडारण की गारंटीकृत सुरक्षा प्रदान करता है। प्लेटफ़ॉर्म प्रमाणित फ़ायरवॉल, घुसपैठ का पता लगाने और रोकथाम उपकरण (आईडीएस/आईपीएस), संचार चैनलों का एन्क्रिप्शन (जीओएसटी वीपीएन), एंटी-वायरस सुरक्षा, अनधिकृत पहुंच के खिलाफ सुरक्षा, वर्चुअलाइजेशन वातावरण की सुरक्षा, साथ ही भेद्यता स्कैनिंग टूल का उपयोग करता है।

क्लाउड FZ-152 यह उन लोगों के लिए भी एक उपयुक्त समाधान है जिनकी गोपनीयता और डेटा सुरक्षा के लिए उच्च आवश्यकताएं हैं, जो अपनी व्यावसायिक प्रतिष्ठा को मजबूत करना चाहते हैं या सिद्ध उच्च स्तर की सूचना सुरक्षा के रूप में ऐसा प्रतिस्पर्धात्मक लाभ हासिल करना चाहते हैं।

ऐसे बादल में "कैसे स्थानांतरित" करें? क्या "निर्बाध प्रवासन" संभव है? अत्यंत। उदाहरण के लिए, IBS डेटाफोर्ट ISPD को अपने सुरक्षित क्लाउड में सुरक्षित रूप से स्थानांतरित करता है, जिससे डाउनटाइम कम होता है और कंपनी की व्यावसायिक प्रक्रियाओं (विदेशी साइटों सहित) पर प्रभाव पड़ता है।

आईटी बुनियादी ढांचे को संघीय कानून-152 के अनुपालन में लाना

ग्राहक के आईटी बुनियादी ढांचे को संघीय कानून-152 की आवश्यकताओं के अनुपालन में लाने की प्रक्रिया सुरक्षा के वर्तमान स्तर के ऑडिट और मूल्यांकन के साथ शुरू होती है।

ग्राहक के आईटी बुनियादी ढांचे के ऑडिट में व्यक्तिगत डेटा के प्रसंस्करण और सुरक्षा की जांच और ग्राहक की सूचना प्रणाली की जांच शामिल है। तकनीकी दृष्टिकोण से पीडी प्रसंस्करण प्रक्रियाओं के विस्तृत विवरण के साथ एक सर्वेक्षण रिपोर्ट तैयार की जाती है।

कार्य में खतरों और घुसपैठियों का मॉडलिंग करना और आईएसपीडी के लिए सुरक्षा के स्तर को निर्धारित करने पर एक रिपोर्ट तैयार करना भी शामिल है। ऑडिट के परिणामों के आधार पर, आईएसपीडी सुरक्षा प्रणाली के लिए एक निजी तकनीकी विनिर्देश तैयार किया जाता है और डिज़ाइन की गई प्रणाली के लिए आवश्यकताओं को परिभाषित किया जाता है।

व्यक्तिगत डेटा की सुरक्षा के लिए नीतियों, निर्देशों, विनियमों और अन्य दस्तावेजों का एक सेट विकसित किया जा रहा है। साथ ही, विशेषज्ञ सुरक्षा उपायों को लागू करने के लिए ग्राहक की लागत को अनुकूलित करने का प्रयास करते हैं।

आईबीएस डेटाफोर्ट व्यक्तिगत डेटा की सुरक्षा पर संघीय कानून का अनुपालन करने के लिए दस्तावेज तैयार करने और आईएसपीडी की सुरक्षा के लिए सेवाएं प्रदान करता है और प्रमाणीकरण (आईएसपीडी, जीआईएस, एएस) तैयार करने और पारित करने में मदद कर सकता है।

प्रमाणीकरण FSTEC और रूस के FSB द्वारा लाइसेंस प्राप्त स्वतंत्र लेखा परीक्षकों द्वारा किया जाता है। इस तरह के प्रमाणीकरण को पारित करना कंपनी के भागीदारों और ग्राहकों के व्यक्तिगत डेटा की बाहरी खतरों से विश्वसनीय सुरक्षा और नियामक आवश्यकताओं के व्यापक अनुपालन की पुष्टि करता है। यह महत्वपूर्ण है कि ग्राहकों को "वन-स्टॉप शॉप" की सुविधा मिले: सब कुछ एक कंपनी - आईबीएस डेटाफोर्ट द्वारा प्रदान किया जाता है।

व्यक्तिगत डेटा ऑपरेटर के लिए, इसका मतलब है रोसकोम्नाडज़ोर, एफएसटीईसी और एफएसबी द्वारा निरीक्षण के लिए तत्परता, संसाधनों को अवरुद्ध करने के जोखिम को समाप्त करना, और नियामक से दावों और प्रतिबंधों की अनुपस्थिति।

यह सेवा सरकारी और कॉर्पोरेट क्षेत्र में ग्राहकों की कई श्रेणियों के लिए प्रासंगिक है और व्यक्तिगत डेटा ऑपरेटरों द्वारा इसकी मांग हो सकती है जो अपनी गतिविधियों को कानून के अनुपालन में लाना चाहते हैं। सभी आवश्यक मानकों और आवश्यकताओं के अनुसार प्रमाणित, प्रदाता के बुनियादी ढांचे के एक बंद खंड में आईपी रखने से ग्राहक को सभी कार्यों को स्वतंत्र रूप से व्यवस्थित करने की आवश्यकता से राहत मिलती है।

स्रोत: www.habr.com