Zakon FZ-152 „O zaštiti osobnih podataka“ odnosi se na sve postojeće subjekte: fizičke i pravne osobe, federalne organe državne vlasti i lokalnu samoupravu. U suštini, ovaj zakon se primjenjuje na sve organizacije koje obrađuju informacije i osobne podatke građana RF, bez obzira na pravnu formu i veličinu organizacije.
Ponekad organizacija može neočekivano otkriti prvotno nejasne informatičke sustave osobnih podataka (Odn). Na primjer, kompanija se smatra operatorom osobnih podataka ako na njenoj web stranici postoje obrasci za kontakt, registraciju, autorizaciju i druge obrasce za prikupljanje podataka koji omogućuju identifikaciju subjekta.
Kontrolu i nadzor nad poštivanjem zahtjeva federalnog zakona „O osobnim podacima“ provode regulatori:
- Roskomnadzor u dijelu zaštite prava subjekata osobnih podataka;
- FSB Rusije u dijelu ispunjavanja zahtjeva u području kriptografije;
- FSTEK Rusije u dijelu usklađenosti zahtjeva za zaštitu informacija od neovlaštenog pristupa i curenja putem tehničkih kanala.
Budući da je zakon FZ „O osobnim podacima“ samo osnovni pravni okvir za zaštitu Odn, njegovi zahtjevi su kasnije konkretizirani u aktima Vlade RF, Ministarstva komunikacija i drugim normativno-metodološkim dokumentima regulatora.
Federalni organi koji reguliraju djelatnosti u području obrade osobnih podataka
- Roskomnadzor (Federalna služba za nadzor u području komunikacija i masovnih medija) — provodi kontrolu i nadzor nad usklađenošću obrade Odn s zahtjevima zakonodavstva.
- FSTEK Rusije (Federalna služba za tehnički i izvozni nadzor) — utvrđuje metode i načine zaštite informacija uz korištenje tehničkih sredstava.
- FSB Rusije (Federalna služba sigurnosti RF) — utvrđuje metode i načine zaštite informacija u okviru svojih ovlasti (područje korištenja kriptografskih sredstava zaštite informacija)
Svaka organizacija koja obrađuje osobne podatke suočava se s problemom usklađivanja svojih informatičkih sustava s zahtjevima zakona. Zaštita osobnih podataka jedno je od najvažnijih pitanja, ne samo u Rusiji, već i u drugim zemljama.
Vrste osobnih podataka
Prema FZ-152, osobni podaci su sve informacije koje se odnose na određenu ili određivu fizičku osobu (subjekt osobnih podataka) temeljem takvih informacija. Primjerice: ime, datum i mjesto rođenja, adresa, obiteljski, socijalni, imovinski status, obrazovanje itd.
Osobni podaci dijele se u nekoliko kategorija:
Posebni
Osobni podaci koji se odnose na rasnu, nacionalnu pripadnost, politička uvjerenja, religijska ili filozofska uvjerenja, zdravstveno stanje, intimni život
Biometrijski
Osobni podaci koji karakteriziraju fizičke i biološke osobine osobe, na temelju kojih se može utvrditi njezin identitet i koje operater koristi za utvrđivanje identiteta subjekta osobnih podataka
Ostali
Osobni podaci koji se odnose na izravno ili neizravno određenu ili određivu fizičku osobu i ne pripadaju gorenavedenim kategorijama
Javno dostupni
Osobni podaci prikupljeni iz javno dostupnih izvora u kojima su podaci objavljeni uz pisanu suglasnost subjekta osobnih podataka
Obrada osobnih podataka je svaka radnja (operacija) ili skup radnji s osobnim podacima korištenjem automatiziranih sredstava ili bez njih, uključujući:
- prikupljanje,
- snimanje,
- sistemizaciju,
- nakupljanje,
- pohranu,
- preciziranje (ažuriranje, promjena),
- izvlačenje,
- korištenje,
- prijenos (distribucija, pružanje, pristup),
- anonimizaciju,
- blokiranje,
- brisanje,
- uništavanje osobnih podataka.
Odgovornost za prekršaje
Prema članku 24. FZ-152, osobe snose odgovornost za kršenje zakona u skladu s zakonodavstvom Ruske Federacije.
Istražujući tvrtku, regulatori se vode FZ-152 i nizom podzakonskih akata. Istraživanje može biti planirano ili izvanplanske — zbog činjenica kršenja, kao i za kontrolu ranije izdanih uputstava o njihovom uklanjanju.
Osobama koje krše propise o zaštiti osobnih podataka može prijetiti ne samo građansko-pravna i disciplinska, nego i upravna, pa čak i kaznena odgovornost.
Kako se pridržavati zahtjeva FZ-152?
Dakle, poduzeće ili organizacija koja obrađuje osobne podatke ili druge informacije ograničenog pristupa mora zaštititi te informacije u skladu sa zakonom. To zahtijeva ozbiljnu stručnost, znanje i iskustvo, ali je također povezano s tehničkim poteškoćama i značajnim troškovima.
Prema službenoj definiciji koju je odobrio FSTEK, '… Sigurnost osobnih podataka je stanje zaštite osobnih podataka, koje karakterizira sposobnost korisnika, tehničkih sredstava i informacijskih tehnologija da osiguraju povjerljivost, cjelovitost i dostupnost osobnih podataka prilikom njihove obrade u informacijskim sustavima osobnih podataka…'
Da bi se ispunili organizacijski, pravni i tehnički zahtjevi FZ-152, potrebno je detaljno proučiti ne samo sam zakon, već i njegove propise, te se snaći u tome koje konkretne mjere treba poduzeti. Stručnjaci za vanjske usluge mogu proučiti procese obrade osobnih podataka u poduzeću, pripremiti potrebnu dokumentaciju, implementirati sredstva zaštite itd.
Kompleksni sustav zaštite informacija uključuje:
- Sredstva za sprečavanje upada (IDS).
- Vatrozid (FW).
- Zaštitu od zlonamjernog softvera.
- Sustav za praćenje i registraciju sigurnosnih događaja.
- Sustav kriptografske zaštite komunikacijskih kanala (šifriranje).
- Sredstva zaštite virtualnog okruženja, sustav zaštite od neovlaštenog pristupa (NSA), identifikacije i upravljanja pristupom.
- Sustav analize sigurnosti / otkrivanja ranjivosti i dr.
Osim toga, kompleksna informacijska sigurnost podrazumijeva ne samo tehničke, već i organizacijske mjere.
Oblak FZ-152: osobitosti provedbe
Nekoliko ruskih pružatelja usluga nudi usluge cloud infrastrukture za smještaj informacijskih sustava u skladu s zahtjevima saveznog zakonodavstva vezano uz zaštitu osobnih podataka. Kada se sustavi klijenta smještaju u oblak, pružatelj preuzima rješavanje mnogih pitanja informatičke sigurnosti, uključujući i zaštitu osobnih podataka. Tijekom migracije u oblak, on će osigurati zaštitu IT infrastrukture, čime se smanjuje dio obaveza klijentu. Na primjer, pružatelj ispunjava zahtjeve FZ-152 vezane uz zaštitu okruženja virtualizacije.
Pružatelji također mogu ponuditi klijentima stručnu podršku u rješavanju zadatka zaštite podataka: utvrđivanje potrebnog nivoa zaštite i prema tome predlaganje mogućnosti implementacije; razvijanje dokumentacije za ispunjavanje zahtjeva zakonodavstva RF.
Sigurni oblak pomaže optimizirati troškove organizacije, smanjujući izdatke za izradu i održavanje IT infrastrukture i unutarnjeg sustava zaštite informacija. Općenito, kvalificirani stručnjaci osiguravaju sveobuhvatnu tehničku podršku i podršku, uključujući savjetovanje i izradu paketa dokumenata za akreditaciju kod regulatornih tijela, a platforma za pružanje usluga udovoljava strogim tehničkim standardima i zadovoljava potrebne organizacijske zahtjeve. Klijenti mogu iskoristiti usluge za pripremu potrebne dokumentacije i zaštitu sustava osobnih podataka na razini aplikacija i operativnog sustava.
Predviđeni su i procesi upravljanja rizicima i ranjivostima, istraživanje incidenata, unutarnji i vanjski sigurnosni auditi, te redovito praćenje i testiranje mreža, sustava i procesa informatičke sigurnosti. Kvalificirani stručnjaci osiguravaju 24-satnu podršku IT infrastrukturi.
Skupno, ove mjere osiguravaju usklađenost sa saveznim zakonodavstvom vezano uz zaštitu osobnih podataka.
Certificirana platforma
IBS DataFort pruža ovu uslugu na bazi . Sva tehnička podrška, administracija i sredstva virtualizacije ove platforme usklađena su s normama i zahtjevima FZ-152.
Arhitektura sigurnog oblaka IBS DataFort.
Platforma osigurava jamčenu zaštitu ISPDN (do 1. razine zaštite uključivo), GIS (do 1. razreda zaštite uključivo) i sigurnu pohranu podataka u Tier III podatkovnim centrima. Na platformi se koriste certificirani vatrozidi, alati za otkrivanje i sprečavanje upada (IDS/IPS), šifriranje komunikacijskih kanala (GOST VPN), antivirusna zaštita, sredstva zaštite od neovlaštenog pristupa, zaštita virtualizacijskog okruženja, kao i alati za skeniranje ranjivosti.
— također prikladno rješenje za one koji postavljaju visoke zahtjeve za privatnost i zaštitu podataka, žele ojačati svoju poslovnu reputaciju ili steći konkurentsku prednost poput potvrđenog visokog nivoa informacijske sigurnosti.
Kako se, dakle, "preseliti" u takav oblak? Je li "besprijekorna migracija" moguća? Apsolutno. Na primjer, IBS DataFort vrši siguran prijenos ISPDN-a u svoje zaštićeno oblak, minimizirajući zastoje i utjecaj na poslovne procese tvrtke (uključujući i s inozemnih lokacija).
Usaglašavanje IT infrastrukture s FZ-152
Proces usaglašavanja IT infrastrukture klijenta s zahtjevima FZ-152 započinje revizijom i procjenom trenutne razine zaštite.
Revizija IT infrastrukture klijenta uključuje ispitivanje postupaka obrade i zaštite PDN i ispitivanje ISPDN-a naručitelja. Priprema se izvješće o ispitivanju s detaljnim opisom procesa obrade PDN s tehničkog stajališta.
Radovi također uključuju modeliranje prijetnji i počinitelja te izradu izvješća o razini zaštite za ISPDN. Na temelju rezultata revizije izrađuje se posebna tehnička specifikacija za sustav zaštite ISPDN-a koja određuje zahtjeve za projektirani sustav.
Razvija se skup politika, uputa, pravila i drugih dokumenata za zaštitu PDN. Pri tome stručnjaci nastoje optimizirati troškove naručitelja za uvođenje sredstava zaštite.
IBS DataFort pruža usluge pripreme dokumentacije i zaštite ISPDN-a za usklađivanje s federalnim zakonodavstvom o zaštiti osobnih podataka i može pomoći u pripremi i provođenju certifikacije (ISPDN, GIS, AS).
Certifikacija provodi neovisni auditori koji posjeduju licence FSTEK-a i FSB-a Rusije. Prolazak takve certifikacije potvrđuje sigurnu zaštitu osobnih podataka partnera i klijenata tvrtke od vanjskih prijetnji, cjelovitu usklađenost s zahtjevima regulatora. Važno je da klijenti dobiju pogodnost „jednog prozora“: sve osigurava jedna tvrtka — IBS DataFort.
Za operatore osobnih podataka to znači spremnost na inspekcije Roskomnadzora, FSTEK-a i FSB-a, isključivanje rizika od blokade resursa, odsutnost pritužbi i sankcija regulatora.
Ova usluga je aktualna za mnoge kategorije naručitelja državnog i korporativnog segmenta i može biti tražena od strane operatora osobnih podataka koji žele uskladiti svoje poslovanje s zakonodavstvom. Smještanje informatičkih sustava u zatvorenoj infrastrukturi pružatelja, certificiranoj prema svim potrebnim standardima i zahtjevima, oslobađa naručitelja od potrebe za samostalnim organiziranjem svih radova.
Izvor: habr.com
