Qualunque sia la modalità con cui si analizzano i miti e le leggende che circondano la conformità con la Legge 152-FZ, qualcosa rimane sempre nel dimenticatoio. Oggi vogliamo discutere delle sfumature non sempre evidenti con cui possono confrontarsi sia le grandi aziende che le piccole imprese:
le complessità della classificazione dei dati personali per categorie — quando un piccolo negozio online raccoglie dati appartenenti a categorie speciali, anche senza saperlo;
dove è possibile memorizzare i backup dei dati personali raccolti e operare su di essi;
quale sia la differenza tra certificato e dichiarazione di conformità, quali documenti richiedere al fornitore e tutto ciò che ruota attorno a questo argomento.
Infine, condivideremo con voi la nostra esperienza riguardo al processo di certificazione. Iniziamo!
L'esperto di oggi sarà Aleksej Afanas'ev, specialista in materia di sicurezza informatica per i provider cloud "IT-GRAD" e #CloudMTs (parte del gruppo MTS).
Le complessità della classificazione
Ci confrontiamo spesso con il desiderio del cliente di determinare rapidamente, senza un audit del sistema informativo, il livello di protezione richiesto per il trattamento dei dati personali. Alcuni materiali disponibili online su questo argomento danno una falsa impressione che si tratti di un compito semplice, rendendo difficile commettere errori.
Per determinare il livello di sicurezza richiesto, è fondamentale comprendere quali dati verranno raccolti e trattati nel sistema informativo del cliente. A volte può essere complicato definire con certezza i requisiti di protezione e la categoria dei dati personali con cui opera l'azienda. Gli stessi tipi di dati personali possono essere valutati e classificati in modi completamente diversi. Pertanto, in alcuni casi, l'opinione dell'azienda può differire da quella dell'auditor o persino dell'ispezionatore. Esaminiamo alcuni esempi.
Parco auto. Sembra un tipo di attività tradizionale. Molti parchi auto operano da decenni e i loro proprietari assumono imprenditori individuali e privati. In genere, i dati dei dipendenti rientrano nei requisiti UE-4. Tuttavia, per lavorare con i conducenti è necessario non solo raccogliere i dati anagrafici, ma anche effettuare controlli medici sul territorio del parco auto prima di iniziare il turno, e le informazioni raccolte in questo processo rientrano immediatamente nella categoria dei dati medici – che sono dati personali di categoria speciale. Inoltre, il parco auto può richiedere certificati, che saranno poi conservati nel fascicolo del conducenti. Uno scan di tale certificato in formato elettronico contiene dati sulla salute, dati personali di categoria speciale. Quindi, non è sufficiente l'UE-4, è necessario almeno l'UE-3.
Negozio online. Sembra che i nomi, le email e i numeri di telefono raccolti rientrino in una categoria pubblicamente accessibile. Tuttavia, se i vostri clienti indicano preferenze gastronomiche, ad esempio halal o kosher, tali informazioni potrebbero essere considerate dati sulla religione e sulle convinzioni. Pertanto, durante un'ispezione o altre attività di controllo, l'ispettore potrebbe classificare i dati da voi raccolti come dati personali di categoria speciale. Se il negozio online raccogliesse informazioni su se il cliente preferisce carne o pesce, i dati potrebbero essere classificati come altri dati personali. A proposito, che dire dei vegetariani? Infatti, questo può essere considerato un credo filosofico, che rientra anche nella categoria speciale. Ma d'altra parte, potrebbe semplicemente essere la posizione di una persona che ha escluso la carne dalla propria dieta. Sfortunatamente, non esiste una tabella che determini in modo univoco la categoria dei dati personali in tali situazioni "fini".
Agenzia pubblicitaria attraverso un servizio cloud occidentale gestisce i dati pubblici dei propri clienti - nome, indirizzi e-mail e numeri di telefono. Questi dati, ovviamente, sono considerati dati personali. Nasce la domanda: è legittimo effettuare tale trattamento? È possibile trasferire questi dati oltre i confini della Russia senza anonimizzarli, ad esempio conservare backup in cloud esteri? Certamente sì. L'agenzia ha il diritto di conservare questi dati anche al di fuori della Russia, tuttavia, la raccolta iniziale, secondo la nostra legislazione, deve avvenire sul territorio russo. Se stai facendo il backup di queste informazioni, prevedendo di utilizzarle per statistiche, conducendo ricerche o eseguendo altre operazioni - tutto ciò può essere fatto anche su risorse occidentali. Il punto chiave dal punto di vista legislativo è dove avviene la raccolta dei dati personali. Pertanto, è importante non confondere la raccolta iniziale e il trattamento.
Come mostrano questi brevi esempi, non sempre il lavoro con i dati personali è chiaro e semplice. Non è sufficiente sapere che stai lavorando con essi, ma è necessario saperli classificare correttamente, comprendere come funziona il sistema informativo, per determinare correttamente il livello di protezione richiesto. In alcuni casi, ci si può chiedere quale volume di dati personali sia realmente necessario per il funzionamento dell'organizzazione. È possibile rinunciare ai dati più 'sensibili' o superflui? Inoltre, l'autorità raccomanda di anonimizzare i dati personali dove possibile.
Come nei casi sopra, a volte può capitare che gli organi di controllo interpretino i dati personali raccolti in modo leggermente diverso da come li hai valutati tu.
Certamente, si può prendere come ausiliario un revisore o un integratore di sistemi, ma sarà 'l'assistente' responsabile delle decisioni prese in caso di controllo? È importante notare che la responsabilità ricade sempre sul titolare del sistema informativo dei dati personali - l'operatore dei dati personali. Per questo motivo, quando un'azienda svolge tali lavori, è importante rivolgersi a attori seri nel mercato di tali servizi, come le aziende che conducono lavori di certificazione. Le aziende certificatrici hanno una grande esperienza nella realizzazione di tali lavori.
Opzioni per la costruzione di un sistema informativo sui dati personali
La costruzione di un ISPDn non è solo una questione tecnica, ma è anche in gran parte di natura legale. Il direttore IT o il direttore della sicurezza devono necessariamente consultare un avvocato. Poiché in azienda non sempre c'è un esperto con il profilo necessario, vale la pena considerare l'opzione di rivolgervi a revisori e consulenti. Molti aspetti scivolosi potrebbero non essere affatto evidenti.
Una consulenza consentirà di determinare con quali dati personali avete a che fare e quale livello di protezione è necessario. Di conseguenza, avrete un'idea del IS che deve essere creato o integrato con misure di protezione e ORD.
Spesso la scelta per un'azienda si presenta in due opzioni:
Costruire un IS adeguato sulle proprie soluzioni software e hardware, possibilmente nel proprio server.
Rivolgersi a un fornitore di cloud e scegliere una soluzione elastica, già certificata come ‘server virtuale’.
La maggior parte degli IS che gestiscono i PDn utilizza un approccio tradizionale, che dal punto di vista aziendale è difficile da definire come semplice e di successo. Scegliendo questa opzione, è necessario comprendere che il progetto tecnico includerà la descrizione delle attrezzature, comprese le soluzioni software e hardware e le piattaforme. Questo implica che dovrete affrontare le seguenti difficoltà e limitazioni:
complessità di scalabilità;
lungo termine di realizzazione del progetto: è necessario scegliere, acquistare, installare, configurare e descrivere il sistema;
una marea di lavoro ‘cartaceo’, ad esempio, lo sviluppo di un pacchetto completo di documentazione per l'intero ISPDn.
Inoltre, le imprese, in genere, comprendono solo il livello ‘superiore’ del proprio IS - nelle applicazioni aziendali utilizzate. In altre parole, il personale IT è qualificato nella propria area ristretta. Manca la comprensione di come funzionano tutti i ‘livelli inferiori’: i mezzi di protezione software e hardware, i sistemi di storage, il backup e, naturalmente, come configurare i mezzi di protezione rispettando tutti i requisiti e costruire la parte ‘hardware’ della configurazione. È importante capire: si tratta di una vasta gamma di conoscenze che si trova al di là dell'ambito aziendale del cliente. È proprio qui che può tornare utile l'esperienza di un fornitore di cloud che offre un ‘server virtuale’ certificato.
Da parte loro, i fornitori di cloud hanno una serie di vantaggi che, senza esagerare, possono soddisfare il 99% delle esigenze aziendali in ambito di protezione dei dati personali:
i costi di capitale si trasformano in costi operativi;
il fornitore garantisce a sua volta il livello necessario di sicurezza e disponibilità basato su una soluzione standard collaudata;
non è necessario mantenere un team di specialisti che si occupi del funzionamento dei sistemi di informazione per la protezione dei dati a livello hardware;
i fornitori offrono soluzioni molto più flessibili ed elastiche;
gli specialisti del fornitore possiedono tutte le certificazioni necessarie;
la compliance non è inferiore a quella di una propria architettura, tenendo conto delle normative e delle raccomandazioni degli enti di regolamentazione.
Il vecchio mito secondo cui non è possibile ospitare dati personali nei cloud è ancora incredibilmente popolare. È vero solo in parte: i dati personali non possono essere effettivamente ospitati nel primo cloud disponibile . È necessario rispettare alcune misure tecniche, utilizzare determinate soluzioni certificate. Se il fornitore soddisfa tutti i requisiti legislativi, i rischi associati alla fuga di dati personali sono ridotti al minimo. Molti fornitori hanno un'infrastruttura separata per l'elaborazione dei dati personali in conformità con la 152-FZ. Tuttavia, è importante avvicinarsi alla scelta del fornitore con la conoscenza di determinati criteri, che sicuramente toccheremo di seguito.
I clienti spesso si rivolgono a noi con alcune preoccupazioni riguardo all'hosting di dati personali nel cloud del fornitore. Bene, discutiamole subito.
I dati possono essere rubati durante la trasmissione o la migrazione
Non c'è da preoccuparsi: il fornitore offre al cliente la creazione di un canale di trasmissione dati sicuro, basato su soluzioni certificate, con misure di autenticazione rinforzate per le controparti e i dipendenti. Rimane da scegliere i metodi di protezione adeguati e implementarli nel contesto del lavoro con il cliente.
Arriveranno i corpi speciali e porteranno via/ometteranno/metteranno sotto chiave il server
È del tutto comprensibile che i clienti abbiano timori che i loro processi aziendali possano essere interrotti a causa di un controllo insufficiente sull'infrastruttura. Di solito, ne sono preoccupati quei clienti i cui server erano precedentemente collocati in piccole sale server invece che in Data Center specializzati. In realtà, i Data Center sono dotati di moderne misure di protezione sia fisica che informatica. Qualsiasi operazione in un tale data center è praticamente impossibile senza sufficienti motivazioni e documentazione, e tali attività richiedono l'osservanza di una serie di procedure. Inoltre, il «distacco» del vostro server dal Data Center può influenzare altri clienti del fornitore, e questo di certo non è nell'interesse di nessuno. Inoltre, nessuno potrà puntare il dito sul vostro server virtuale specifico, quindi, se qualcuno volesse rubarlo o organizzare uno spettacolo di maschere, prima dovrà affrontare una serie di lunghe procedure burocratiche. Nel frattempo, probabilmente avrete già migrato su un'altra piattaforma un paio di volte.
Gli hacktivisti hackereranno il cloud e ruberanno i dati
Internet e la stampa sono saturi di titoli su come un altro cloud sia caduto vittima dei criminali informatici e milioni di registrazioni di dati personali siano trapelate in rete. Nella stragrande maggioranza dei casi, le vulnerabilità sono state trovate non sul lato del fornitore, ma nei sistemi informatici delle vittime: password deboli o addirittura predefinite, ‘falle’ nei motori dei siti e nei database, banale leggerezza delle aziende nella scelta dei mezzi di protezione e nell'organizzazione delle procedure di accesso ai dati. Tutte le soluzioni certificate vengono controllate per la presenza di vulnerabilità. Anche noi conduciamo regolarmente test penetrazione e audit di sicurezza, sia autonomamente che con l'aiuto di organizzazioni esterne. Per il fornitore, questa è una questione di reputazione e business in generale.
Il fornitore/i dipendenti del fornitore ruberanno dati personali per scopi egoistici
Questo è un momento piuttosto delicato. Un certo numero di aziende del mondo della sicurezza informatica "spaventano" i loro clienti e insistono sul fatto che "i dipendenti interni sono più pericolosi degli hacker esterni". Forse in alcuni casi è vero, ma è impossibile costruire un business senza fiducia. Di tanto in tanto, emergono notizie su dipendenti di organizzazioni che divulgano dati dei clienti ai malintenzionati, e la sicurezza interna è spesso organizzata molto peggio di quella esterna. Qui è importante capire che ogni grande fornitore è estremamente interessato a evitare casi negativi. Le azioni dei dipendenti del fornitore sono ben regolate, con ruoli e aree di responsabilità distinti. Tutti i processi aziendali sono costruiti in modo tale che i casi di fuga di dati siano estremamente improbabili e sempre visibili ai servizi interni; pertanto, i clienti non devono preoccuparsi di questo aspetto.
Pagate poco, poiché state pagando i servizi con i dati della vostra azienda.
Un altro mito: il cliente che noleggia un'infrastruttura sicura a un prezzo confortevole, in realtà sta pagando per essa con i propri dati – così spesso pensano gli esperti che non disdegnano di leggere qualche teoria della cospirazione prima di andare a letto. In primo luogo, la possibilità di eseguire operazioni sui vostri dati al di fuori di quelle specificate nell'incarico è praticamente pari a zero. In secondo luogo, un fornitore ragionevole tiene in grande considerazione le relazioni con voi e la propria reputazione: oltre a voi, ha molti altri clienti. È più probabile il contrario, in cui il fornitore protegge strenuamente i dati dei propri clienti, dai quali dipende anche il suo business.
Scelta di un fornitore cloud per la gestione dei dati personali
Oggi il mercato offre molte soluzioni per le aziende che sono operatori dei dati personali. Di seguito riportiamo un elenco generale di raccomandazioni per la scelta del fornitore adatto.
Il fornitore deve essere pronto a firmare un contratto ufficiale che descriva i diritti e i doveri delle parti, il SLA e le aree di responsabilità in merito alla gestione dei dati personali. In effetti, tra voi e il fornitore, oltre al contratto di servizio, deve essere firmato un incarico per l'elaborazione dei dati personali. In ogni caso, vale la pena studiarli attentamente. È importante comprendere la delimitation delle aree di responsabilità tra voi e il fornitore.
Si prega di notare che il segmento deve soddisfare i requisiti e deve avere un certificato che indichi un livello di protezione non inferiore a quello richiesto dal vostro sistema informativo. A volte, i provider pubblicano solo la prima pagina del certificato, dalla quale si capisce poco, oppure fanno riferimento a audit o procedure di conformità senza pubblicare il certificato stesso («c'era un ragazzo?»). È opportuno richiederlo: è un documento pubblico che specifica chi ha effettuato la certificazione, la durata, la posizione del cloud e così via.
Il provider deve fornire informazioni su dove si trovano i suoi siti (oggetti di protezione), in modo che possiate controllare la posizione dei vostri dati. Ricordiamo che la raccolta iniziale dei dati personali deve essere effettuata sul territorio della Federazione Russa; pertanto, nel contratto/certificato sarebbe desiderabile vedere gli indirizzi dei data center.
Il provider deve utilizzare sistemi di protezione certificati. Certamente, la maggior parte dei provider non pubblicizza i mezzi di protezione tecnica e l'architettura delle soluzioni utilizzate. Ma voi, come clienti, non potete rimanere all'oscuro di ciò. Ad esempio, per un accesso remoto al sistema di gestione (portale di gestione) è necessario usare mezzi di protezione. Il provider non potrà eludere questo requisito e vi fornirà (o richiederà di usare) soluzioni certificate. Testate le risorse e capirete subito come funzionano le cose.
È estremamente desiderabile che il provider di cloud offra servizi aggiuntivi nel campo della sicurezza informatica. Questi possono includere vari servizi: protezione contro attacchi DDoS e WAF, servizi antivirus o sandbox, ecc. Tutto ciò vi permetterà di ottenere protezione come servizio, senza dover distrarre risorse per costruire sistemi di protezione, e di concentrarvi sulle applicazioni aziendali.
Il provider deve essere un licenziatario della FSTEC e del FSB. Di solito, queste informazioni sono pubblicate direttamente sul sito. Assicuratevi di richiedere questi documenti e verificate che gli indirizzi dei servizi, il nome della società del provider, ecc. siano corretti.
Riepiloghiamo. L'affitto dell'infrastruttura consentirà di rinunciare al CAPEX e di mantenere sotto la propria responsabilità solo le proprie applicazioni aziendali e i dati stessi, mentre il pesante onere della certificazione dell'hardware e dei mezzi software viene trasferito al provider.
Come abbiamo superato la certificazione
Recentemente abbiamo superato con successo la riattestazione dell'infrastruttura "Cloud Sicuro FZ-152" per la conformità ai requisiti per la gestione dei dati personali. I lavori sono stati effettuati dal "Centro Nazionale di Attestazione".
Attualmente, il "Cloud Sicuro FZ-152" è attestato per l'hosting di sistemi informativi coinvolti nell'elaborazione, nell'archiviazione o nella trasmissione di dati personali (ISPDn) secondo i requisiti di livello UZ-3.
La procedura di attestazione prevede la verifica della conformità dell'infrastruttura del fornitore di cloud rispetto al livello di protezione. Il fornitore offre servizi IaaS e non è un operatore di dati personali. Il processo prevede la valutazione sia di misure organizzative (documentazione, ordini, ecc.) che tecniche (configurazione dei mezzi di protezione, ecc.).
Non è banale definirlo. Nonostante la norma GOST sui programmi e metodologie per la realizzazione di eventi di attestazione sia stata introdotta già nel 2013, programmi rigorosi per oggetti cloud non esistono ancora. I centri di attestazione sviluppano questi programmi basandosi sulla propria esperienza. Con l'emergere di nuove tecnologie, i programmi diventano più complessi e modernizzati; di conseguenza, l'attestatore deve avere esperienza con soluzioni cloud e comprendere la loro specificità.
Nel nostro caso, l'oggetto di protezione è composto da due località.
Nel Data Center (DC) sono collocate risorse cloud (server, storage, infrastruttura di rete, strumenti di protezione, ecc.). Certamente, tale DC virtuale è collegato a reti di uso pubblico, pertanto devono essere rispettati requisiti specifici per il firewall, ad esempio l'uso di firewall certificati.
La seconda parte dell'oggetto comprende i mezzi di gestione del cloud. Queste sono le stazioni di lavoro (ARM dell'amministratore) da cui viene effettuata la gestione del segmento protetto.
Le località sono collegate attraverso VPN-un canale realizzato su SKZI.
Poiché le tecnologie di virtualizzazione creano presupposti per l'emergere di minacce, utilizziamo anche ulteriori mezzi di protezione certificati.
Schema strutturale "visto dall'attestatore"
Se il cliente ha bisogno della certificazione del proprio ISPDN, dopo aver affittato IaaS, dovrà solo effettuare una valutazione del sistema informativo a un livello superiore rispetto al data center virtuale. Questa procedura prevede la verifica dell'infrastruttura e del software utilizzato. Poiché per tutte le questioni infrastrutturali puoi fare riferimento al certificato del fornitore, dovrai solo occuparti del software.
Separazione a livello di astrazione
In conclusione, presentiamo un breve checklist per le aziende che già lavorano con i PDn o che stanno solo pianificando. Quindi, come gestire e non scottarsi.
Per l'audit e lo sviluppo di modelli di minaccia e violatori, invita un consulente esperto tra i laboratori di certificazione, che possono aiutarti a redigere la documentazione necessaria e portarti già alla fase delle soluzioni tecniche.
Quando scegli un fornitore di cloud, fai attenzione alla presenza del certificato. È positivo se l'azienda lo ha pubblicato pubblicamente sul sito web. Il fornitore deve avere una licenza FSTEK e FSB, e il servizio offerto deve essere certificato.
Assicurati di avere un contratto ufficiale e di firmare un mandato per il trattamento dei PDn. Sulla base di ciò, potrai effettuare sia un controllo di conformità che la certificazione dell'ISPDN. Se queste operazioni nella fase del progetto tecnico e della creazione della documentazione progettuale ti sembrano onerose, è consigliabile contattare aziende di consulenza esterne tra i laboratori di certificazione.
Se per te sono rilevanti le questioni relative al trattamento dei PDn, il 18 settembre, questo venerdì, saremo lieti di vederti al webinar .
Fonte: habr.com
