![\"IaaS](\"\/wp-content\/uploads\/2020\/09\/d91a5d152754f82316e0027fd3447b53.jpg\")
<\/p>\n<\/p>\n
Qualunque sia l'analisi dei miti e delle leggende che circondano la conformit\u00e0 alla legge 152-FZ, qualcosa resta sempre nell'ombra. Oggi vogliamo discutere i dettagli non sempre evidenti con cui possono confrontarsi sia le grandi aziende che le piccole imprese:<\/p>\n
le sfumature nella classificazione dei dati personali per categorie \u2014 quando un piccolo negozio online raccoglie informazioni appartenenti a categorie speciali senza neppure saperlo;<\/p>\n<\/li>\n
dove \u00e8 possibile conservare i backup dei dati personali raccolti e compiere operazioni su di essi;<\/p>\n<\/li>\n
quali sono le differenze tra un certificato e una dichiarazione di conformit\u00e0, quali documenti richiedere al fornitore, e cos\u00ec via.<\/p>\n<\/li>\n<\/ul>\n
Infine, condivideremo con voi la nostra esperienza nel superare la certificazione. Andiamo!<\/p>\n
L'esperto di oggi sar\u00e0 Aleksey Afanasev<\/strong>, specialista in questioni di sicurezza informatica per i fornitori di servizi cloud di \"IT-GRAD\" e #CloudMTS (parte del gruppo MTS).<\/em><\/p>\n Spesso ci troviamo di fronte alla richiesta del cliente di stabilire rapidamente, senza una valutazione del sistema informativo, il livello di protezione necessario per il trattamento dei dati personali. Alcuni materiali online su questo argomento creano un'illusione errata che si tratti di un compito semplice e che sia difficile commettere un errore.<\/p>\n Per determinare il livello di sicurezza \u00e8 necessario comprendere quali dati verranno raccolti e trattati dal sistema informativo del cliente. A volte \u00e8 complicato definire in modo chiaro i requisiti di protezione e la categoria dei dati personali con cui lavora l'azienda. Gli stessi tipi di dati personali possono essere valutati e classificati in modi completamente diversi. Pertanto, in alcuni casi, l'opinione dell'azienda pu\u00f2 differire dall'opinione dell'auditor o anche dell'ente di controllo. Vediamo alcuni esempi.<\/p>\n Parco veicoli.<\/strong> Sembra un tipo di attivit\u00e0 piuttosto tradizionale. Molti parchi auto operano da decenni e i loro proprietari assumono lavoratori autonomi e persone fisiche. Di norma, i dati dei dipendenti rientrano nei requisiti di UZ-4. Tuttavia, per lavorare con i conducenti non \u00e8 sufficiente raccogliere solo i dati anagrafici, ma \u00e8 necessario anche effettuare controlli medici presso il parco auto prima dell'inizio del turno, e le informazioni raccolte durante il processo rientrano subito nella categoria dei dati medici \u2013 il che significa dati personali di categoria speciale. Inoltre, il parco auto pu\u00f2 richiedere certificati che saranno successivamente archiviati nel fascicolo del conducente. Una scansione di tale certificato in formato elettronico contiene informazioni sullo stato di salute, dati personali di categoria speciale. Pertanto, non \u00e8 sufficiente il UZ-4, \u00e8 necessario almeno un UZ-3.<\/p>\n Negozio online. <\/strong>A prima vista, i nomi, le email e i numeri di telefono raccolti rientrano in una categoria pubblica. Tuttavia, se i vostri clienti indicano preferenze gastronomiche, come halal o kash\u00e8r, tali informazioni possono essere considerate come dati sulla religione e sulle convinzioni. Pertanto, durante un controllo o altre procedure di verifica, l'operatore potrebbe classificare i dati da voi raccolti come appartenenti a categorie speciali di dati personali. Ad esempio, se un negozio online raccogliesse informazioni sulle preferenze alimentari dei suoi clienti, come carne o pesce, i dati potrebbero rientrare in una categoria di dati personali diversi. A proposito, cosa fare con i vegetariani? Anche questo pu\u00f2 essere considerato una convinzione filosofica, che anch'essa appartiene a categorie speciali. D'altra parte, potrebbe semplicemente essere una scelta di qualcuno che ha escluso la carne dalla propria dieta. Purtroppo, non esiste alcun documento che definisca in modo univoco la categoria dei dati personali in queste situazioni cos\u00ec \"sottile\".<\/p>\n Agenzia pubblicitaria <\/strong>con un servizio cloud occidentale elabora i dati pubblici dei propri clienti - nome, indirizzo email e numeri di telefono. Questi dati personali, naturalmente, rientrano nel trattamento dei dati personali. La domanda sorge: \u00e8 legale effettuare tale trattamento? \u00c8 possibile trasferire tali dati senza anonimizzazione al di fuori della Russia, ad esempio, conservare backup in alcuni cloud stranieri? Certamente, \u00e8 possibile. L'agenzia ha il diritto di conservare questi dati anche al di fuori della Russia, tuttavia, la raccolta iniziale, secondo la nostra legislazione, deve essere effettuata nel territorio della Russia. Se si eseguono backup di tali informazioni, si basa su di esse per qualche statistica, si conducono ricerche o si effettuano altre operazioni con esse - tutto ci\u00f2 pu\u00f2 essere fatto anche su risorse occidentali. Il punto chiave dal punto di vista della legislazione \u00e8 dove avviene la raccolta dei dati personali. Pertanto, \u00e8 importante non confondere la raccolta iniziale e il trattamento.<\/p>\n Come dimostrano questi brevi esempi, non sempre gestire i dati personali \u00e8 un compito chiaro e semplice. Non basta sapere che si lavora con questi dati, ma \u00e8 fondamentale saperli classificare correttamente e capire come funziona il sistema informatico per determinare il livello di protezione necessario. In alcuni casi, potrebbe sorgere la questione riguardo alla quantit\u00e0 di dati personali effettivamente necessaria per l'operativit\u00e0 dell'organizzazione. \u00c8 possibile rinunciare ai dati pi\u00f9 \"sensibili\" o semplicemente superflui? Inoltre, l'ente regolatore consiglia di anonimizzare i dati personali quando possibile. <\/p>\n Come nei casi sopra, a volte si pu\u00f2 incorrere nel fatto che le autorit\u00e0 di controllo interpretano i dati personali raccolti in modo diverso rispetto a come li hai valutati tu.<\/p>\n Certo, \u00e8 possibile coinvolgere un auditor o un system integrator, ma il \"collaboratore\" sar\u00e0 responsabile delle decisioni adottate in caso di verifica? \u00c8 importante sottolineare che la responsabilit\u00e0 ricade sempre sul proprietario del sistema di gestione dei dati personali \u2013 l'operatore dei dati personali. \u00c8 per questo motivo che, quando un'azienda intraprende tali attivit\u00e0, \u00e8 fondamentale rivolgersi a professionisti affermati nel settore, come le aziende che svolgono lavori di certificazione. Le aziende di certificazione hanno una vasta esperienza nell'esecuzione di tali compiti.<\/p>\n La costruzione del sistema di gestione dei dati personali non \u00e8 solo una questione tecnica, ma anche in gran parte legale. Il direttore IT o il direttore della sicurezza devono assolutamente consultarsi con un legale. Poich\u00e9 non sempre in azienda si trova uno specialista con il profilo necessario, \u00e8 opportuno considerare la possibilit\u00e0 di rivolgersi a auditor-consulenti. Molti aspetti delicati possono non essere affatto evidenti.<\/p>\n La consulenza permetter\u00e0 di identificare quali dati personali gestite e quale livello di protezione necessitano. Di conseguenza, avrete una visione chiara del sistema informatico da creare o integrare con strumenti di protezione e documentazione operativa.<\/p>\n Spesso le aziende devono scegliere tra due opzioni:<\/p>\n Costruire un sistema informatico adeguato con le proprie soluzioni software e hardware, possibilmente nel proprio data center.<\/p>\n<\/li>\n Rivolgersi a un provider cloud e scegliere una soluzione elastica, gi\u00e0 certificata come 'data center virtuale'.<\/p>\n<\/li>\n<\/ol>\n La maggior parte dei sistemi informatici che elaborano dati personali utilizza un approccio tradizionale, che difficilmente pu\u00f2 essere definito semplice e vantaggioso dal punto di vista aziendale. Scegliendo questa opzione, \u00e8 necessario comprendere che il progetto tecnico includer\u00e0 la descrizione dell'hardware, comprese le soluzioni software e hardware e le piattaforme. Questo significa che dovrete affrontare le seguenti difficolt\u00e0 e limitazioni:<\/p>\n difficolt\u00e0 di scalabilit\u00e0;<\/p>\n<\/li>\n tempo di realizzazione del progetto lungo: \u00e8 necessario selezionare, acquistare, installare, configurare e documentare il sistema;<\/p>\n<\/li>\n la grande quantit\u00e0 di lavoro \"cartaceo\", come esempio, \u00e8 lo sviluppo di un pacchetto completo di documentazione per l'intero sistema di gestione dei dati personali.<\/p>\n<\/li>\n<\/ul>\n Inoltre, le aziende, di norma, si occupano solo del \"livello superiore\" del loro sistema informativo - delle applicazioni aziendali utilizzate. In altre parole, il personale IT \u00e8 altamente specializzato nel proprio settore. Manca la comprensione di come funzionano tutti i \"livelli inferiori\": le soluzioni software e hardware di protezione, i sistemi di storage, il backup e, naturalmente, come configurare i sistemi di protezione nel rispetto di tutti i requisiti e costruire la parte 'hardware' della configurazione. \u00c8 fondamentale comprendere che si tratta di un enorme insieme di conoscenze che va al di l\u00e0 delle competenze aziendali del cliente. \u00c8 proprio qui che pu\u00f2 tornare utile l'esperienza di un fornitore di servizi cloud che offre un \"server virtuale\" certificato.<\/p>\n A sua volta, i fornitori di servizi cloud hanno una serie di vantaggi che, senza esagerare, possono soddisfare il 99% delle esigenze aziendali in materia di protezione dei dati personali:<\/p>\n i costi di capitale si trasformano in costi operativi;<\/p>\n<\/li>\n il fornitore garantisce un adeguato livello di sicurezza e disponibilit\u00e0 basato su una soluzione standard collaudata;<\/p>\n<\/li>\n non \u00e8 necessario mantenere un team di specialisti per garantire il funzionamento del sistema di protezione dei dati personali a livello \"hardware\";<\/p>\n<\/li>\n i fornitori offrono soluzioni molto pi\u00f9 flessibili ed elastiche;<\/p>\n<\/li>\n gli specialisti del fornitore possiedono tutte le certificazioni necessarie;<\/p>\n<\/li>\n la conformit\u00e0 \u00e8 pari, se non superiore, a quella della costruzione di un'architettura propria, tenendo conto dei requisiti e delle raccomandazioni dei regolatori.<\/p>\n<\/li>\n<\/ul>\n Il vecchio mito che non sia possibile ospitare dati personali nel cloud \u00e8 ancora incredibilmente popolare. \u00c8 vero solo in parte: i dati personali non possono realmente essere ospitati nella prima soluzione disponibile<\/em> cloud. \u00c8 necessario seguire alcune misure tecniche e implementare determinate soluzioni certificate. Se il fornitore soddisfa tutti i requisiti normativi, i rischi legati alla violazione dei dati personali sono ridotti al minimo. Molti fornitori hanno un'infrastruttura separata per la gestione dei dati personali in conformit\u00e0 con la legge 152-FZ. Tuttavia, anche la scelta di un fornitore deve essere basata su specifici criteri, ai quali ci riferiremo pi\u00f9 avanti. <\/p>\n I clienti spesso si rivolgono a noi con alcune preoccupazioni riguardo allo stoccaggio dei dati personali nel cloud del fornitore. Bene, discutiamo subito queste preoccupazioni.<\/p>\n I dati possono essere rubati durante la trasmissione o la migrazione<\/p>\n<\/li>\n<\/ul>\n Non c'\u00e8 motivo di preoccuparsi: il fornitore offre al cliente la creazione di un canale di trasmissione dei dati sicuro, basato su soluzioni certificate, e misure di autenticazione rafforzate per i partner e i dipendenti. Resta da scegliere i metodi di protezione adeguati e implementarli nel corso della collaborazione con il cliente.<\/p>\n Arriveranno i mascherati e porteranno via\/ sigilleranno\/ disattiveranno il server<\/p>\n<\/li>\n<\/ul>\n \u00c8 comprensibile che i clienti possano temere che i loro processi aziendali vengano interrotti a causa di una mancata gestione dell'infrastruttura. Di solito, ci\u00f2 \u00e8 una preoccupazione per quei clienti il cui hardware era precedentemente situato in piccole sale server, piuttosto che in data center specializzati. In realt\u00e0, i data center sono dotati di moderni strumenti di protezione, sia fisica che informatica. Qualsiasi operazione in un tale data center \u00e8 praticamente impossibile da effettuare senza giustificazioni e documentazione adeguata, e tali attivit\u00e0 richiedono il rispetto di una serie di procedure. Inoltre, l'\u201cestrazione\u201d del server da un data center pu\u00f2 influenzare anche altri clienti del fornitore, e questo non \u00e8 certamente nella loro intenzione. Inoltre, nessuno sar\u00e0 in grado di identificare specificamente \u201cil tuo\u201d server virtuale, quindi, se qualcuno volesse rubarlo o organizzare uno spettacolo di mascheramento, dovrebbe prima affrontare una serie di ostacoli burocratici. Nel frattempo, \u00e8 probabile che tu riesca a migrare pi\u00f9 volte su un'altra piattaforma.<\/p>\n Gli hacker hackeranno il cloud e ruberanno i dati<\/p>\n<\/li>\n<\/ul>\n Internet e stampa sono pieni di titoli su come un altro cloud sia caduto vittima di cybercriminali, con milioni di registrazioni di dati personali che sono trapelate online. Nella stragrande maggioranza dei casi, le vulnerabilit\u00e0 sono state scoperte non dal lato del fornitore, ma nei sistemi delle vittime: password deboli o addirittura predefinite, \"falle\" nei motori dei siti e nei database, e una banale negligenza delle aziende nella scelta dei mezzi di protezione e nell'organizzazione delle procedure di accesso ai dati. Tutte le soluzioni certificate vengono verificate per individuare vulnerabilit\u00e0. Anche noi conduciamo regolarmente \"test\" di penetrazione e audit di sicurezza, sia in modo autonomo che con l'ausilio di organizzazioni esterne. Per il fornitore, si tratta di una questione di reputazione e di affari in generale.<\/p>\n Il fornitore\/i dipendenti del fornitore ruberanno i dati personali per scopi egoistici<\/p>\n<\/li>\n<\/ul>\n Si tratta di un tema piuttosto delicato. Alcune aziende nel settore della sicurezza informatica \"spaventano\" i propri clienti affermando che \"i dipendenti interni sono pi\u00f9 pericolosi degli hacker esterni\". Questo pu\u00f2 essere vero in alcuni casi, ma non si pu\u00f2 costruire un business senza fiducia. Ogni tanto emergono notizie su dipendenti che forniscono dati dei clienti a malintenzionati, e la sicurezza interna \u00e8 a volte molto meno efficace di quella esterna. \u00c8 fondamentale comprendere che qualsiasi grande fornitore non \u00e8 affatto interessato a casi negativi. Le azioni dei dipendenti del fornitore sono regolate in modo chiaro, con ruoli e responsabilit\u00e0 ben definiti. Tutti i processi aziendali sono strutturati in modo tale che i casi di perdita di dati siano estremamente rari e sempre individuabili dai servizi interni, quindi i clienti non devono preoccuparsi da questo punto di vista.<\/p>\n Paghi poco perch\u00e9 stai pagando i servizi con i dati della tua azienda.<\/p>\n<\/li>\n<\/ul>\n Un altro mito: il cliente che affitta un'infrastruttura sicura a un prezzo accessibile, in realt\u00e0 paga con i propri dati \u2013 questo \u00e8 spesso il pensiero di esperti che sono pronti a leggere qualche teoria del complotto prima di dormire. In primo luogo, la possibilit\u00e0 che vengano effettuate operazioni con i vostri dati al di fuori di quelle indicate nel mandato \u00e8 praticamente zero. In secondo luogo, un provider serio tiene in alta considerazione le relazioni con i propri clienti e la propria reputazione \u2013 oltre a voi ha molti altri clienti. \u00c8 pi\u00f9 probabile lo scenario opposto, in cui il provider protegge con determinazione i dati dei propri clienti, i quali sono essenziali anche per il suo business.<\/p>\n Oggi il mercato offre molte soluzioni per le aziende che operano come titolari del trattamento dei dati personali. Di seguito presentiamo un elenco generale di raccomandazioni per la scelta della soluzione pi\u00f9 adatta.<\/p>\n Il provider deve essere pronto a stipulare un contratto ufficiale che descriva i doveri delle parti, SLA e zone di responsabilit\u00e0 in merito al trattamento dei dati personali. Di fatto, oltre al contratto di servizio, tra voi e il provider dovrebbe essere firmato un incarico per il trattamento dei dati personali. In ogni caso, \u00e8 importante esaminarli attentamente. \u00c8 fondamentale comprendere le delimitazioni delle zone di responsabilit\u00e0 tra voi e il provider.<\/p>\n<\/li>\n Si prega di notare che il segmento deve soddisfare i requisiti, il che significa avere un certificato che indichi un livello di protezione non inferiore a quello richiesto dal vostro sistema informativo. A volte, i provider pubblicano solo la prima pagina del certificato, da cui si comprende poco, o fanno riferimento a audit o procedure di conformit\u00e0 senza pubblicare il certificato stesso (\u00abc'era una volta un ragazzo?\u00bb). \u00c8 consigliabile richiederlo: si tratta di un documento pubblico che indica chi ha effettuato la certificazione, la durata, la posizione del cloud, ecc.<\/p>\n<\/li>\n Il fornitore deve fornire informazioni su dove si trovano le sue strutture (siti di protezione), in modo da poter controllare la collocazione dei vostri dati. Ricordiamo che la raccolta iniziale dei dati personali deve essere effettuata sul territorio della Federazione Russa; pertanto, nel contratto\/certificato sarebbe consigliabile vedere gli indirizzi dei data center.<\/p>\n<\/li>\n Il fornitore deve utilizzare sistemi di protezione delle informazioni e protocolli di sicurezza certificati. Certamente, la maggior parte dei fornitori non divulga i mezzi tecnici di protezione e l'architettura delle soluzioni utilizzate. Ma voi, in quanto clienti, non potete non essere a conoscenza di questo. Ad esempio, per la connessione remota al sistema di gestione (portale di gestione) \u00e8 necessario utilizzare i mezzi di protezione. Il fornitore non potr\u00e0 eludere questo requisito e vi fornir\u00e0 (o richieder\u00e0 di utilizzare) soluzioni certificate. Testate le risorse e capirete immediatamente come e cosa funziona. <\/p>\n<\/li>\n \u00c8 altamente consigliabile che il provider cloud offra servizi aggiuntivi in materia di sicurezza informatica. Questi possono includere vari servizi: protezione DDoS e WAF, servizio antivirus o sandbox, e cos\u00ec via. Tutto ci\u00f2 ti permetter\u00e0 di ricevere la protezione come servizio, senza dover preoccuparti della costruzione di sistemi di difesa, mentre ti concentri sulle applicazioni aziendali.<\/p>\n<\/li>\n Il provider deve essere un licenziatario della FSTEK e della FSB. Di solito, queste informazioni sono disponibili direttamente sul sito. Assicurati di richiedere questi documenti e controllare che gli indirizzi in cui vengono forniti i servizi, il nome dell'azienda del provider e cos\u00ec via siano corretti. <\/p>\n<\/li>\n<\/ul>\n Ricapitolando, l'affitto dell'infrastruttura permetter\u00e0 di rinunciare ai CAPEX e di mantenere sotto la propria responsabilit\u00e0 solo le applicazioni aziendali e i dati stessi, mentre il pesante onere dell'attestazione dell'hardware e dei mezzi software verr\u00e0 trasferito al provider.<\/p>\n Poco tempo fa abbiamo completato con successo la riattestazione dell'infrastruttura del 'Cloud Sicuro FZ-152' per conformit\u00e0 ai requisiti per il trattamento dei dati personali. Il lavoro \u00e8 stato svolto dal 'Centro Nazionale di Attestazione'.<\/p>\n Attualmente, il 'Cloud Sicuro FZ-152' \u00e8 certificato per l'hosting di sistemi informativi che trattano, memorizzano o trasferiscono dati personali (IDP) in conformit\u00e0 ai requisiti di livello UZ-3.<\/p>\n La procedura di certificazione prevede la verifica della conformit\u00e0 dell'infrastruttura del fornitore di servizi cloud rispetto al livello di protezione. Il fornitore offre un servizio IaaS e non \u00e8 un operatore di dati personali. Il processo implica una valutazione sia delle misure organizzative (documentazione, ordini, ecc.) che delle misure tecniche (configurazione dei mezzi di protezione, ecc.).<\/p>\n Non si pu\u00f2 definire triviale. Nonostante la norma GOST riguardante programmi e metodologie per le attivit\u00e0 di certificazione sia stata introdotta nel 2013, non esistono ancora programmi rigorosi per gli oggetti cloud. I centri di certificazione sviluppano questi programmi basandosi sulla propria esperienza. Con l'avvento di nuove tecnologie, i programmi si complicano e si aggiornano, pertanto il certificatore deve avere esperienza con le soluzioni cloud e comprendere la specificit\u00e0.<\/p>\n Nel nostro caso, l'oggetto di protezione \u00e8 costituito da due sedi.<\/p>\n Le risorse cloud (server, storage, infrastruttura di rete, sistemi di protezione, ecc.) sono collocate direttamente nei Data Center. Senza dubbio, questo Data Center virtuale \u00e8 connesso a reti pubbliche, pertanto \u00e8 necessario rispettare determinati requisiti per il firewall, come l'uso di firewall certificati.<\/p>\n<\/li>\n La seconda parte dell'oggetto sono i mezzi di gestione del cloud. Questi sono le postazioni di lavoro (stazioni di lavoro per l'amministratore) da cui si gestisce il segmento protetto.<\/p>\n<\/li>\n<\/ul>\nLe sfumature nella classificazione<\/h2>\n
Opzioni per la costruzione del sistema di gestione dei dati personali<\/h2>\n
\n
\n
\n
\n
\n
\n
\n
\n
Scegliamo un provider cloud per il trattamento dei dati personali<\/h2>\n
\n
Come abbiamo effettuato l'attestazione<\/h3>\n
\n
![\"IaaS](\"\/wp-content\/uploads\/2020\/09\/611ca4c92615fffb675864b72dcaa2f8.jpg\")
Schema strutturale \"agli occhi dell'attestatore\"<\/p>\n![\"IaaS](\"\/wp-content\/uploads\/2020\/09\/4b0f5c72f8460c2a81068887efc8c9b1.jpg\")
Separazione a livello di astrazione<\/p>\n