Qualunque sia l'analisi dei miti e delle leggende che circondano la conformità alla legge 152-FZ, qualcosa resta sempre nell'ombra. Oggi vogliamo discutere i dettagli non sempre evidenti con cui possono confrontarsi sia le grandi aziende che le piccole imprese:
le sfumature nella classificazione dei dati personali per categorie — quando un piccolo negozio online raccoglie informazioni appartenenti a categorie speciali senza neppure saperlo;
dove è possibile conservare i backup dei dati personali raccolti e compiere operazioni su di essi;
quali sono le differenze tra un certificato e una dichiarazione di conformità, quali documenti richiedere al fornitore, e così via.
Infine, condivideremo con voi la nostra esperienza nel superare la certificazione. Andiamo!
L'esperto di oggi sarà Aleksey Afanasev, specialista in questioni di sicurezza informatica per i fornitori di servizi cloud di "IT-GRAD" e #CloudMTS (parte del gruppo MTS).
Le sfumature nella classificazione
Spesso ci troviamo di fronte alla richiesta del cliente di stabilire rapidamente, senza una valutazione del sistema informativo, il livello di protezione necessario per il trattamento dei dati personali. Alcuni materiali online su questo argomento creano un'illusione errata che si tratti di un compito semplice e che sia difficile commettere un errore.
Per determinare il livello di sicurezza è necessario comprendere quali dati verranno raccolti e trattati dal sistema informativo del cliente. A volte è complicato definire in modo chiaro i requisiti di protezione e la categoria dei dati personali con cui lavora l'azienda. Gli stessi tipi di dati personali possono essere valutati e classificati in modi completamente diversi. Pertanto, in alcuni casi, l'opinione dell'azienda può differire dall'opinione dell'auditor o anche dell'ente di controllo. Vediamo alcuni esempi.
Parco veicoli. Sembra un tipo di attività piuttosto tradizionale. Molti parchi auto operano da decenni e i loro proprietari assumono lavoratori autonomi e persone fisiche. Di norma, i dati dei dipendenti rientrano nei requisiti di UZ-4. Tuttavia, per lavorare con i conducenti non è sufficiente raccogliere solo i dati anagrafici, ma è necessario anche effettuare controlli medici presso il parco auto prima dell'inizio del turno, e le informazioni raccolte durante il processo rientrano subito nella categoria dei dati medici – il che significa dati personali di categoria speciale. Inoltre, il parco auto può richiedere certificati che saranno successivamente archiviati nel fascicolo del conducente. Una scansione di tale certificato in formato elettronico contiene informazioni sullo stato di salute, dati personali di categoria speciale. Pertanto, non è sufficiente il UZ-4, è necessario almeno un UZ-3.
Negozio online. A prima vista, i nomi, le email e i numeri di telefono raccolti rientrano in una categoria pubblica. Tuttavia, se i vostri clienti indicano preferenze gastronomiche, come halal o kashèr, tali informazioni possono essere considerate come dati sulla religione e sulle convinzioni. Pertanto, durante un controllo o altre procedure di verifica, l'operatore potrebbe classificare i dati da voi raccolti come appartenenti a categorie speciali di dati personali. Ad esempio, se un negozio online raccogliesse informazioni sulle preferenze alimentari dei suoi clienti, come carne o pesce, i dati potrebbero rientrare in una categoria di dati personali diversi. A proposito, cosa fare con i vegetariani? Anche questo può essere considerato una convinzione filosofica, che anch'essa appartiene a categorie speciali. D'altra parte, potrebbe semplicemente essere una scelta di qualcuno che ha escluso la carne dalla propria dieta. Purtroppo, non esiste alcun documento che definisca in modo univoco la categoria dei dati personali in queste situazioni così "sottile".
Agenzia pubblicitaria con un servizio cloud occidentale elabora i dati pubblici dei propri clienti - nome, indirizzo email e numeri di telefono. Questi dati personali, naturalmente, rientrano nel trattamento dei dati personali. La domanda sorge: è legale effettuare tale trattamento? È possibile trasferire tali dati senza anonimizzazione al di fuori della Russia, ad esempio, conservare backup in alcuni cloud stranieri? Certamente, è possibile. L'agenzia ha il diritto di conservare questi dati anche al di fuori della Russia, tuttavia, la raccolta iniziale, secondo la nostra legislazione, deve essere effettuata nel territorio della Russia. Se si eseguono backup di tali informazioni, si basa su di esse per qualche statistica, si conducono ricerche o si effettuano altre operazioni con esse - tutto ciò può essere fatto anche su risorse occidentali. Il punto chiave dal punto di vista della legislazione è dove avviene la raccolta dei dati personali. Pertanto, è importante non confondere la raccolta iniziale e il trattamento.
Come dimostrano questi brevi esempi, non sempre gestire i dati personali è un compito chiaro e semplice. Non basta sapere che si lavora con questi dati, ma è fondamentale saperli classificare correttamente e capire come funziona il sistema informatico per determinare il livello di protezione necessario. In alcuni casi, potrebbe sorgere la questione riguardo alla quantità di dati personali effettivamente necessaria per l'operatività dell'organizzazione. È possibile rinunciare ai dati più "sensibili" o semplicemente superflui? Inoltre, l'ente regolatore consiglia di anonimizzare i dati personali quando possibile.
Come nei casi sopra, a volte si può incorrere nel fatto che le autorità di controllo interpretano i dati personali raccolti in modo diverso rispetto a come li hai valutati tu.
Certo, è possibile coinvolgere un auditor o un system integrator, ma il "collaboratore" sarà responsabile delle decisioni adottate in caso di verifica? È importante sottolineare che la responsabilità ricade sempre sul proprietario del sistema di gestione dei dati personali – l'operatore dei dati personali. È per questo motivo che, quando un'azienda intraprende tali attività, è fondamentale rivolgersi a professionisti affermati nel settore, come le aziende che svolgono lavori di certificazione. Le aziende di certificazione hanno una vasta esperienza nell'esecuzione di tali compiti.
Opzioni per la costruzione del sistema di gestione dei dati personali
La costruzione del sistema di gestione dei dati personali non è solo una questione tecnica, ma anche in gran parte legale. Il direttore IT o il direttore della sicurezza devono assolutamente consultarsi con un legale. Poiché non sempre in azienda si trova uno specialista con il profilo necessario, è opportuno considerare la possibilità di rivolgersi a auditor-consulenti. Molti aspetti delicati possono non essere affatto evidenti.
La consulenza permetterà di identificare quali dati personali gestite e quale livello di protezione necessitano. Di conseguenza, avrete una visione chiara del sistema informatico da creare o integrare con strumenti di protezione e documentazione operativa.
Spesso le aziende devono scegliere tra due opzioni:
Costruire un sistema informatico adeguato con le proprie soluzioni software e hardware, possibilmente nel proprio data center.
Rivolgersi a un provider cloud e scegliere una soluzione elastica, già certificata come 'data center virtuale'.
La maggior parte dei sistemi informatici che elaborano dati personali utilizza un approccio tradizionale, che difficilmente può essere definito semplice e vantaggioso dal punto di vista aziendale. Scegliendo questa opzione, è necessario comprendere che il progetto tecnico includerà la descrizione dell'hardware, comprese le soluzioni software e hardware e le piattaforme. Questo significa che dovrete affrontare le seguenti difficoltà e limitazioni:
difficoltà di scalabilità;
tempo di realizzazione del progetto lungo: è necessario selezionare, acquistare, installare, configurare e documentare il sistema;
la grande quantità di lavoro "cartaceo", come esempio, è lo sviluppo di un pacchetto completo di documentazione per l'intero sistema di gestione dei dati personali.
Inoltre, le aziende, di norma, si occupano solo del "livello superiore" del loro sistema informativo - delle applicazioni aziendali utilizzate. In altre parole, il personale IT è altamente specializzato nel proprio settore. Manca la comprensione di come funzionano tutti i "livelli inferiori": le soluzioni software e hardware di protezione, i sistemi di storage, il backup e, naturalmente, come configurare i sistemi di protezione nel rispetto di tutti i requisiti e costruire la parte 'hardware' della configurazione. È fondamentale comprendere che si tratta di un enorme insieme di conoscenze che va al di là delle competenze aziendali del cliente. È proprio qui che può tornare utile l'esperienza di un fornitore di servizi cloud che offre un "server virtuale" certificato.
A sua volta, i fornitori di servizi cloud hanno una serie di vantaggi che, senza esagerare, possono soddisfare il 99% delle esigenze aziendali in materia di protezione dei dati personali:
i costi di capitale si trasformano in costi operativi;
il fornitore garantisce un adeguato livello di sicurezza e disponibilità basato su una soluzione standard collaudata;
non è necessario mantenere un team di specialisti per garantire il funzionamento del sistema di protezione dei dati personali a livello "hardware";
i fornitori offrono soluzioni molto più flessibili ed elastiche;
gli specialisti del fornitore possiedono tutte le certificazioni necessarie;
la conformità è pari, se non superiore, a quella della costruzione di un'architettura propria, tenendo conto dei requisiti e delle raccomandazioni dei regolatori.
Il vecchio mito che non sia possibile ospitare dati personali nel cloud è ancora incredibilmente popolare. È vero solo in parte: i dati personali non possono realmente essere ospitati nella prima soluzione disponibile cloud. È necessario seguire alcune misure tecniche e implementare determinate soluzioni certificate. Se il fornitore soddisfa tutti i requisiti normativi, i rischi legati alla violazione dei dati personali sono ridotti al minimo. Molti fornitori hanno un'infrastruttura separata per la gestione dei dati personali in conformità con la legge 152-FZ. Tuttavia, anche la scelta di un fornitore deve essere basata su specifici criteri, ai quali ci riferiremo più avanti.
I clienti spesso si rivolgono a noi con alcune preoccupazioni riguardo allo stoccaggio dei dati personali nel cloud del fornitore. Bene, discutiamo subito queste preoccupazioni.
I dati possono essere rubati durante la trasmissione o la migrazione
Non c'è motivo di preoccuparsi: il fornitore offre al cliente la creazione di un canale di trasmissione dei dati sicuro, basato su soluzioni certificate, e misure di autenticazione rafforzate per i partner e i dipendenti. Resta da scegliere i metodi di protezione adeguati e implementarli nel corso della collaborazione con il cliente.
Arriveranno i mascherati e porteranno via/ sigilleranno/ disattiveranno il server
È comprensibile che i clienti possano temere che i loro processi aziendali vengano interrotti a causa di una mancata gestione dell'infrastruttura. Di solito, ciò è una preoccupazione per quei clienti il cui hardware era precedentemente situato in piccole sale server, piuttosto che in data center specializzati. In realtà, i data center sono dotati di moderni strumenti di protezione, sia fisica che informatica. Qualsiasi operazione in un tale data center è praticamente impossibile da effettuare senza giustificazioni e documentazione adeguata, e tali attività richiedono il rispetto di una serie di procedure. Inoltre, l'“estrazione” del server da un data center può influenzare anche altri clienti del fornitore, e questo non è certamente nella loro intenzione. Inoltre, nessuno sarà in grado di identificare specificamente “il tuo” server virtuale, quindi, se qualcuno volesse rubarlo o organizzare uno spettacolo di mascheramento, dovrebbe prima affrontare una serie di ostacoli burocratici. Nel frattempo, è probabile che tu riesca a migrare più volte su un'altra piattaforma.
Gli hacker hackeranno il cloud e ruberanno i dati
Internet e stampa sono pieni di titoli su come un altro cloud sia caduto vittima di cybercriminali, con milioni di registrazioni di dati personali che sono trapelate online. Nella stragrande maggioranza dei casi, le vulnerabilità sono state scoperte non dal lato del fornitore, ma nei sistemi delle vittime: password deboli o addirittura predefinite, "falle" nei motori dei siti e nei database, e una banale negligenza delle aziende nella scelta dei mezzi di protezione e nell'organizzazione delle procedure di accesso ai dati. Tutte le soluzioni certificate vengono verificate per individuare vulnerabilità. Anche noi conduciamo regolarmente "test" di penetrazione e audit di sicurezza, sia in modo autonomo che con l'ausilio di organizzazioni esterne. Per il fornitore, si tratta di una questione di reputazione e di affari in generale.
Il fornitore/i dipendenti del fornitore ruberanno i dati personali per scopi egoistici
Si tratta di un tema piuttosto delicato. Alcune aziende nel settore della sicurezza informatica "spaventano" i propri clienti affermando che "i dipendenti interni sono più pericolosi degli hacker esterni". Questo può essere vero in alcuni casi, ma non si può costruire un business senza fiducia. Ogni tanto emergono notizie su dipendenti che forniscono dati dei clienti a malintenzionati, e la sicurezza interna è a volte molto meno efficace di quella esterna. È fondamentale comprendere che qualsiasi grande fornitore non è affatto interessato a casi negativi. Le azioni dei dipendenti del fornitore sono regolate in modo chiaro, con ruoli e responsabilità ben definiti. Tutti i processi aziendali sono strutturati in modo tale che i casi di perdita di dati siano estremamente rari e sempre individuabili dai servizi interni, quindi i clienti non devono preoccuparsi da questo punto di vista.
Paghi poco perché stai pagando i servizi con i dati della tua azienda.
Un altro mito: il cliente che affitta un'infrastruttura sicura a un prezzo accessibile, in realtà paga con i propri dati – questo è spesso il pensiero di esperti che sono pronti a leggere qualche teoria del complotto prima di dormire. In primo luogo, la possibilità che vengano effettuate operazioni con i vostri dati al di fuori di quelle indicate nel mandato è praticamente zero. In secondo luogo, un provider serio tiene in alta considerazione le relazioni con i propri clienti e la propria reputazione – oltre a voi ha molti altri clienti. È più probabile lo scenario opposto, in cui il provider protegge con determinazione i dati dei propri clienti, i quali sono essenziali anche per il suo business.
Scegliamo un provider cloud per il trattamento dei dati personali
Oggi il mercato offre molte soluzioni per le aziende che operano come titolari del trattamento dei dati personali. Di seguito presentiamo un elenco generale di raccomandazioni per la scelta della soluzione più adatta.
Il provider deve essere pronto a stipulare un contratto ufficiale che descriva i doveri delle parti, SLA e zone di responsabilità in merito al trattamento dei dati personali. Di fatto, oltre al contratto di servizio, tra voi e il provider dovrebbe essere firmato un incarico per il trattamento dei dati personali. In ogni caso, è importante esaminarli attentamente. È fondamentale comprendere le delimitazioni delle zone di responsabilità tra voi e il provider.
Si prega di notare che il segmento deve soddisfare i requisiti, il che significa avere un certificato che indichi un livello di protezione non inferiore a quello richiesto dal vostro sistema informativo. A volte, i provider pubblicano solo la prima pagina del certificato, da cui si comprende poco, o fanno riferimento a audit o procedure di conformità senza pubblicare il certificato stesso («c'era una volta un ragazzo?»). È consigliabile richiederlo: si tratta di un documento pubblico che indica chi ha effettuato la certificazione, la durata, la posizione del cloud, ecc.
Il fornitore deve fornire informazioni su dove si trovano le sue strutture (siti di protezione), in modo da poter controllare la collocazione dei vostri dati. Ricordiamo che la raccolta iniziale dei dati personali deve essere effettuata sul territorio della Federazione Russa; pertanto, nel contratto/certificato sarebbe consigliabile vedere gli indirizzi dei data center.
Il fornitore deve utilizzare sistemi di protezione delle informazioni e protocolli di sicurezza certificati. Certamente, la maggior parte dei fornitori non divulga i mezzi tecnici di protezione e l'architettura delle soluzioni utilizzate. Ma voi, in quanto clienti, non potete non essere a conoscenza di questo. Ad esempio, per la connessione remota al sistema di gestione (portale di gestione) è necessario utilizzare i mezzi di protezione. Il fornitore non potrà eludere questo requisito e vi fornirà (o richiederà di utilizzare) soluzioni certificate. Testate le risorse e capirete immediatamente come e cosa funziona.
È altamente consigliabile che il provider cloud offra servizi aggiuntivi in materia di sicurezza informatica. Questi possono includere vari servizi: protezione DDoS e WAF, servizio antivirus o sandbox, e così via. Tutto ciò ti permetterà di ricevere la protezione come servizio, senza dover preoccuparti della costruzione di sistemi di difesa, mentre ti concentri sulle applicazioni aziendali.
Il provider deve essere un licenziatario della FSTEK e della FSB. Di solito, queste informazioni sono disponibili direttamente sul sito. Assicurati di richiedere questi documenti e controllare che gli indirizzi in cui vengono forniti i servizi, il nome dell'azienda del provider e così via siano corretti.
Ricapitolando, l'affitto dell'infrastruttura permetterà di rinunciare ai CAPEX e di mantenere sotto la propria responsabilità solo le applicazioni aziendali e i dati stessi, mentre il pesante onere dell'attestazione dell'hardware e dei mezzi software verrà trasferito al provider.
Come abbiamo effettuato l'attestazione
Poco tempo fa abbiamo completato con successo la riattestazione dell'infrastruttura del 'Cloud Sicuro FZ-152' per conformità ai requisiti per il trattamento dei dati personali. Il lavoro è stato svolto dal 'Centro Nazionale di Attestazione'.
Attualmente, il 'Cloud Sicuro FZ-152' è certificato per l'hosting di sistemi informativi che trattano, memorizzano o trasferiscono dati personali (IDP) in conformità ai requisiti di livello UZ-3.
La procedura di certificazione prevede la verifica della conformità dell'infrastruttura del fornitore di servizi cloud rispetto al livello di protezione. Il fornitore offre un servizio IaaS e non è un operatore di dati personali. Il processo implica una valutazione sia delle misure organizzative (documentazione, ordini, ecc.) che delle misure tecniche (configurazione dei mezzi di protezione, ecc.).
Non si può definire triviale. Nonostante la norma GOST riguardante programmi e metodologie per le attività di certificazione sia stata introdotta nel 2013, non esistono ancora programmi rigorosi per gli oggetti cloud. I centri di certificazione sviluppano questi programmi basandosi sulla propria esperienza. Con l'avvento di nuove tecnologie, i programmi si complicano e si aggiornano, pertanto il certificatore deve avere esperienza con le soluzioni cloud e comprendere la specificità.
Nel nostro caso, l'oggetto di protezione è costituito da due sedi.
Le risorse cloud (server, storage, infrastruttura di rete, sistemi di protezione, ecc.) sono collocate direttamente nei Data Center. Senza dubbio, questo Data Center virtuale è connesso a reti pubbliche, pertanto è necessario rispettare determinati requisiti per il firewall, come l'uso di firewall certificati.
La seconda parte dell'oggetto sono i mezzi di gestione del cloud. Questi sono le postazioni di lavoro (stazioni di lavoro per l'amministratore) da cui si gestisce il segmento protetto.
Le località sono collegate tramite VPN-un canale costruito su SKZI.
Poiché le tecnologie di virtualizzazione creano presupposti per l'emergere di minacce, utilizziamo anche strumenti di protezione certificati aggiuntivi.
Schema strutturale "agli occhi dell'attestatore"
Se un cliente necessita della certificazione del suo sistema di protezione dei dati, dopo aver affittato l'IaaS, dovrà solo effettuare una valutazione del sistema informatico a un livello superiore rispetto al data center virtuale. Questa procedura implica un controllo dell'infrastruttura e del software utilizzato. Poiché per tutte le questioni infrastrutturali puoi fare riferimento al certificato del fornitore, dovrai solo occuparti del software.
Separazione a livello di astrazione
In conclusione, presentiamo un breve checklist per le aziende che già lavorano con i dati personali o che stanno solo iniziando. Quindi, come elaborare e non commettere errori.
Per l'audit e lo sviluppo dei modelli di minaccia e del trasgressore, invita un consulente esperto tra i laboratori di certificazione, che ti aiuterà a redigere la documentazione necessaria e ti porterà già alla fase delle soluzioni tecniche.
Nella fase di scelta del fornitore di servizi cloud, presta attenzione alla presenza del certificato. È un buon segno se l'azienda lo ha pubblicamente reso disponibile sul proprio sito. Il fornitore deve essere un licenziatario della FSTEC e del FSB, e il servizio offerto deve essere certificato.
Assicurati di avere un contratto ufficiale e una delega per il trattamento dei dati personali. Sulla base di questo, potrai eseguire sia la verifica di conformità che l'accreditamento del sistema di gestione dei dati personali. Se queste attività ti sembrano gravose nella fase del progetto tecnico e nella creazione della documentazione tecnica, potrebbe essere utile contattare aziende di consulenza esterne tra i laboratori di accreditamento.
Se ti interessano le questioni relative al trattamento dei dati personali, il 18 settembre, questo venerdì, saremo lieti di invitarti al nostro webinar. .
Fonte: habr.com
