A személyes adatok védelméről szóló 152. számú szövetségi törvény minden létező alanyra vonatkozik: természetes és jogi személyekre, szövetségi állami hatóságokra és helyi önkormányzatokra. Valójában ez a törvény minden olyan szervezetre vonatkozik, amely információkat és az orosz állampolgárok személyes adatait dolgozza fel, függetlenül a tulajdonjog formájától és a szervezet méretétől.
Előfordulhat, hogy egy szervezet meglepő módon fedezi fel az elsődlegesen nem nyilvánvaló személyes adatokat kezelő információs rendszereket. Például egy vállalat személyes adatkezelőnek minősül, ha a weboldalán visszajelző, regisztrációs és egyéb adatgyűjtő űrlapok találhatók, amelyek alapján az alany azonosítható.
A szövetségi törvény betartásának ellenőrzését és felügyeletét az alábbi hatóságok látják el:
- Roszkomnadzor a személyes adatok alanyainak jogainak védelme érdekében;
- Az Orosz Föderáció Biztonsági Szolgálata a kriptográfiával kapcsolatos követelmények teljesítése érdekében;
- A Szövetségi Technológiai és Export Ellenőrzési Szolgálat a nem engedélyezett hozzáférés és a technikai csatornákon történő adatlopás elleni védelemhez szükséges követelmények betartásának érdekében.
Mivel a személyes adatok védelméről szóló törvény csak az alapját képezi a személyes adatok védelmének jogi biztosításának, annak követelményeit később konkretizálták az Orosz Föderáció Kormányának, a Hírközlési Minisztériumnak és a jogszabályi módszertani dokumentumoknak.
A személyes adatok kezelésével foglalkozó tevékenységet szabályozó szövetségi hatóságok
- Roszkomnadzor (A Távközlési és Tömegkommunikációs Szolgáltatások Felügyeleti Szolgálata) — ellenőrzi és felügyeli a személyes adatok kezelésének jogszabályi követelményeknek való megfelelését.
- Az Orosz Föderáció Technológiai és Export Ellenőrzési Szolgálata (A Szövetségi Technológiai és Export Ellenőrzési Szolgálat) — meghatározza az információ védelmének módszereit és eszközeit technikai eszközök alkalmazásával.
- Az Orosz Föderáció Biztonsági Szolgálata (A Szövetségi Biztonsági Szolgálat) — meghatározza az információvédelem módszereit és eszközeit hatáskörén belül (a kriptográfiai védelmi eszközök használatának területén)
Minden szervezet, amely személyes adatokat kezel, szembesül azzal a problémával, hogy informatikai rendszereit a jogszabályi követelményeknek megfelelően alakítsa ki. A személyes adatok védelme az egyik legaktuálisabb kérdés, nemcsak Oroszországban, hanem más országokban is.
Személyes adatok típusai
A 152. számú törvény szerint a személyes adatok olyan információk, amelyek egy meghatározott vagy meghatározható, ilyen információk alapján azonosítható természetes személyhez (személyes adat alanyához) kapcsolódnak. Például: név, születési idő és hely, cím, családi, szociális, jövedelmi és iskolai helyzet, stb.
A személyes adatokat több kategóriába sorolják:
Különleges
A személyes adatok, amelyek a faji, nemzeti hovatartozásra, politikai nézetekre, vallási vagy filozófiai meggyőződésre, egészségi állapotra, intim életre vonatkoznak
Biometrikus
Olyan személyes adatok, amelyek az ember fiziológiai és biológiai tulajdonságait jellemzik, alapján azonosítani lehet a személyt, és amelyeket az üzemeltető arra használ, hogy megállapítsa a személyes adat alanyának kilétét
Egyéb
Olyan személyes adatok, amelyek közvetlenül vagy közvetve meghatározott vagy meghatározható természetes személyhez kapcsolódnak, és nem tartoznak a fenti kategóriák közé
Nyilvános
Olyan személyes adatok, amelyeket nyilvános forrásokból nyertek, ahol az adatokat a személyes adat alanyának írásbeli hozzájárulásával tették közzé
A személyes adatok kezelése bármilyen cselekvés (művelet) vagy a személyes adatokkal végzett cselekvések összessége, automatizált eszközök, vagy anélkül, beleértve:
- gyűjtés,
- rögzítés,
- rendszerezés,
- felhalmozás,
- tárolás,
- pontositás (frissítés, módosítás),
- feldolgozás,
- felhasználás,
- továbbítás (terjesztés, biztosítás, hozzáférés),
- anonimizálás,
- blokkolás,
- törlés,
- a személyes adatok megsemmisítése.
Felelősség a jogsértésekért
A 152. számú törvény 24. cikkelye szerint a személyek felelősséget vállalnak a jogszabály megszegéséért az Orosz Föderáció jogszabályai szerint.
A vállalat ellenőrzése során a szabályozók a 152. számú törvényre és számos jogszabályi aktusra támaszkodnak. Az ellenőrzés lehet tervezett vagy váratlan – jogsértések esetén, valamint a korábban kiadott határozat végrehajtásának ellenőrzésére.
A személyes adatok védelmére vonatkozó követelmények megsértése esetén nemcsak polgári- és fegyelmi, hanem közigazgatási és akár büntetőjogi felelősség is terhelheti az érintett feleket.
Hogyan feleljünk meg a 152. sz. törvény követelményeinek?
Tehát a személyes adatokat vagy más korlátozott hozzáférésű információkat feldolgozó cégnek vagy szervezetnek meg kell védenie ezt az információt a jogszabályoknak megfelelően. Ez nemcsak komoly szakértelmet, tudást és tapasztalatot igényel, hanem technikai nehézségekkel és jelentős költségekkel is jár.
A FSTEK által jóváhagyott hivatalos meghatározás szerint: „...A személyes adatok biztonsága - a személyes adatok védettségi állapota, amelyet a felhasználók, a technikai eszközök és az információs technológiák képességei garantálnak, hogy biztosítsák a személyes adatok titkosságát, integritását és rendelkezésre állását a személyes adatok információs rendszerekben történő feldolgozása során...”
Az FZ-152 jogszabályi, jogi és technikai követelményeinek önálló teljesítéséhez nemcsak a törvényt magát, hanem annak végrehajtási aktusait is tanulmányozni kell, és meg kell érteni, hogy pontosan milyen intézkedéseket szükséges tenni. Az outsourcing szakértők átvizsgálhatják a személyes adatok feldolgozási folyamatait a cégnél, elkészíthetik a szükséges dokumentumokat, bevezethetik a védelmi eszközöket stb.
A komplex információvédelmi rendszer a következőkből áll:
- Behatolásmegelőző rendszerek (IDS).
- Tűzfal (FW).
- Káros szoftver elleni védelem.
- Biztonsági események figyelő- és naplózó rendszere.
- Titkosítással védett kommunikációs csatornák (kriptográfiai védelem).
- Virtuális környezet védelme, jogosulatlan hozzáférés (НСД) elleni védelem, azonosítás és hozzáférés-ellenőrzés rendszere.
- Sebezhetőség elemző/rendszer és egyéb eszközök.
Továbbá a komplex információbiztonság nemcsak technikai, hanem szervezeti intézkedéseket is feltételez.
152. sz. törvény felhő: a végrehajtás jellemzői
Több orosz szolgáltató nyújt felhőinfrastruktúra szolgáltatásokat, amelyek lehetővé teszik az információs rendszerek elhelyezését a szövetségi jogszabályoknak megfelelően, különös figyelmet fordítva a személyes adatok védelmére. Amikor a megrendelő rendszereit a felhőbe helyezik, a szolgáltató számos informatikai biztonsági kérdést átvesz, így a személyes adatok védelme is részét képezi. A felhőbe való migráció során biztosítja az informatikai infrastruktúra védelmét, ezzel bizonyos kötelezettségeket levesz a megrendelő válláról. Például a szolgáltató teljesíti az FZ-152 törvény követelményeit, amelyek a virtualizációs környezet védelmére vonatkoznak.
A szolgáltatók szakmai támogatást is nyújthatnak a megrendelőknek az adatok védelmének megoldásában: meghatározzák a szükséges védelmi szintet, és ennek megfelelően javasolnak megvalósítási lehetőségeket; kidolgozzák a dokumentációt az Oroszország jogszabályainak teljesítéséhez.
A biztonságos felhő segít optimalizálni a szervezet költségeit, csökkentve az informatikai infrastruktúra létrehozásával és fenntartásával, valamint a belső információvédelmi rendszerrel kapcsolatos kiadásokat. Jellemzően a szakképzett szakértők átfogó műszaki támogatást és segítséget nyújtanak, beleértve a tanácsadást és a dokumentumcsomag elkészítését a szabályozó hatóságok számára, míg a szolgáltatási platform megfelel a szigorú technikai előírásoknak és az szükséges szervezeti követelményeknek is. Az ügyfelek igénybe vehetik a szükséges dokumentáció elkészítésére és a személyes adatok védelmére vonatkozó szolgáltatásokat alkalmazások és operációs rendszerek szintjén.
Ezek a folyamatok magukban foglalják a kockázatok és sebezhetőségek kezelését, incidensek kivizsgálását, belső és külső biztonsági auditokat, valamint a hálózatok, rendszerek és informatikai folyamatok folyamatos figyelését és tesztelését. A szakképzett szakemberek 24/7-es támogatást nyújtanak az informatikai infrastruktúrának.
Ezek az intézkedések együttesen biztosítják a szövetségi jogszabályoknak való megfelelést a személyes adatok védelmét illetően.
Tanúsított platform
Az IBS DataFort ilyen szolgáltatást nyújt . A platform technikai elemei, adminisztrációja és virtualizációs eszközei megfelelnek az FZ-152 törvény normáinak és követelményeinek.
Az IBS DataFort védett felhőarchitektúrája.
A platform that guarantees the protection of personal data (up to the first level of security) and geographic information systems (up to the first class of security) and secure data storage in a Tier III data center. The platform uses certified firewalls, intrusion detection and prevention systems (IDS/IPS), encryption of communication channels (GOST VPN), antivirus protection, unauthorized access prevention measures, virtualization environment protection, as well as vulnerability scanning tools.
— also a suitable solution for those who have high demands for confidentiality and data protection, wish to strengthen their business reputation, or gain a competitive advantage through a confirmed high level of information security.
How can you "move" to such a cloud? Is seamless migration possible? Absolutely. For example, IBS DataFort safely transfers personal data to its secure cloud, minimizing downtime and impact on the company’s business processes (including from foreign locations).
Bringing IT infrastructure in line with Federal Law 152
The process of bringing the client's IT infrastructure into compliance with the requirements of Federal Law 152 begins with an audit and assessment of the current level of security.
The client's IT infrastructure audit includes an examination of the processes for handling and protecting personal data and an examination of the client's information systems. A report is compiled detailing the processes for processing personal data from a technical perspective.
The work also includes threat and intruder modeling and the preparation of a security level determination act for personal data. Based on the audit results, a private technical specification for the personal data protection system is developed, defining the requirements for the designed system.
A set of policies, instructions, regulations, and other documents for personal data protection is developed. Specialists strive to optimize the client's costs for implementing protection measures.
IBS DataFort provides services for preparing documentation and securing personal data to comply with federal legislation on personal data protection and can help in the preparation and passing of certification (personal data, GIS, AS).
Az akkreditálást független auditorok végzik, akik a Roszkomnadzor és a FSZB Oroszország által kibocsátott engedéllyel rendelkeznek. Az ilyen akkreditálás teljesítése megerősíti a partnerek és a cégek ügyfeleinek személyes adatainak megbízható védelmét a külső fenyegetésektől, valamint a szabályozók követelményeinek átfogó megfelelését. Fontos, hogy az ügyfelek a „egyablakos” kényelmet élvezhetik: mindent egy cég — az IBS DataFort biztosít.
A személyes adatok kezelőjének ez a Roszkomnadzor, a FSZK és a FSZB ellenőrzéseire való felkészülést, a források blokkolásának kockázatainak kizárását, valamint a szabályozók által támasztott igények és szankciók hiányát jelenti.
Ez a szolgáltatás releváns számos állami és vállalati megrendelő kategória számára, és keresett lehet a személyes adatok kezelői számára, akik szeretnék tevékenységüket a jogszabályoknak megfelelővé tenni. Az informatikai rendszerek elhelyezése a szolgáltató zárt infrastruktúrájában, amely minden szükséges szabványnak és követelménynek megfelel, megszünteti a megrendelő önálló munkálatok szervezésének szükségességét.
Forrás: habr.com
