![\"IaaS](\"\/wp-content\/uploads\/2020\/09\/d91a5d152754f82316e0027fd3447b53.jpg\")
<\/p>\n<\/p>\n
Qualunque sia la modalit\u00e0 con cui si analizzano i miti e le leggende che circondano la conformit\u00e0 con la Legge 152-FZ, qualcosa rimane sempre nel dimenticatoio. Oggi vogliamo discutere delle sfumature non sempre evidenti con cui possono confrontarsi sia le grandi aziende che le piccole imprese:<\/p>\n
le complessit\u00e0 della classificazione dei dati personali per categorie \u2014 quando un piccolo negozio online raccoglie dati appartenenti a categorie speciali, anche senza saperlo;<\/p>\n<\/li>\n
dove \u00e8 possibile memorizzare i backup dei dati personali raccolti e operare su di essi;<\/p>\n<\/li>\n
quale sia la differenza tra certificato e dichiarazione di conformit\u00e0, quali documenti richiedere al fornitore e tutto ci\u00f2 che ruota attorno a questo argomento.<\/p>\n<\/li>\n<\/ul>\n
Infine, condivideremo con voi la nostra esperienza riguardo al processo di certificazione. Iniziamo!<\/p>\n
L'esperto di oggi sar\u00e0 Aleksej Afanas'ev<\/strong>, specialista in materia di sicurezza informatica per i provider cloud \"IT-GRAD\" e #CloudMTs (parte del gruppo MTS).<\/em><\/p>\n Ci confrontiamo spesso con il desiderio del cliente di determinare rapidamente, senza un audit del sistema informativo, il livello di protezione richiesto per il trattamento dei dati personali. Alcuni materiali disponibili online su questo argomento danno una falsa impressione che si tratti di un compito semplice, rendendo difficile commettere errori.<\/p>\n Per determinare il livello di sicurezza richiesto, \u00e8 fondamentale comprendere quali dati verranno raccolti e trattati nel sistema informativo del cliente. A volte pu\u00f2 essere complicato definire con certezza i requisiti di protezione e la categoria dei dati personali con cui opera l'azienda. Gli stessi tipi di dati personali possono essere valutati e classificati in modi completamente diversi. Pertanto, in alcuni casi, l'opinione dell'azienda pu\u00f2 differire da quella dell'auditor o persino dell'ispezionatore. Esaminiamo alcuni esempi.<\/p>\n Parco auto.<\/strong> Sembra un tipo di attivit\u00e0 tradizionale. Molti parchi auto operano da decenni e i loro proprietari assumono imprenditori individuali e privati. In genere, i dati dei dipendenti rientrano nei requisiti UE-4. Tuttavia, per lavorare con i conducenti \u00e8 necessario non solo raccogliere i dati anagrafici, ma anche effettuare controlli medici sul territorio del parco auto prima di iniziare il turno, e le informazioni raccolte in questo processo rientrano immediatamente nella categoria dei dati medici \u2013 che sono dati personali di categoria speciale. Inoltre, il parco auto pu\u00f2 richiedere certificati, che saranno poi conservati nel fascicolo del conducenti. Uno scan di tale certificato in formato elettronico contiene dati sulla salute, dati personali di categoria speciale. Quindi, non \u00e8 sufficiente l'UE-4, \u00e8 necessario almeno l'UE-3.<\/p>\n Negozio online. <\/strong>Sembra che i nomi, le email e i numeri di telefono raccolti rientrino in una categoria pubblicamente accessibile. Tuttavia, se i vostri clienti indicano preferenze gastronomiche, ad esempio halal o kosher, tali informazioni potrebbero essere considerate dati sulla religione e sulle convinzioni. Pertanto, durante un'ispezione o altre attivit\u00e0 di controllo, l'ispettore potrebbe classificare i dati da voi raccolti come dati personali di categoria speciale. Se il negozio online raccogliesse informazioni su se il cliente preferisce carne o pesce, i dati potrebbero essere classificati come altri dati personali. A proposito, che dire dei vegetariani? Infatti, questo pu\u00f2 essere considerato un credo filosofico, che rientra anche nella categoria speciale. Ma d'altra parte, potrebbe semplicemente essere la posizione di una persona che ha escluso la carne dalla propria dieta. Sfortunatamente, non esiste una tabella che determini in modo univoco la categoria dei dati personali in tali situazioni \"fini\".<\/p>\n Agenzia pubblicitaria <\/strong>attraverso un servizio cloud occidentale gestisce i dati pubblici dei propri clienti - nome, indirizzi e-mail e numeri di telefono. Questi dati, ovviamente, sono considerati dati personali. Nasce la domanda: \u00e8 legittimo effettuare tale trattamento? \u00c8 possibile trasferire questi dati oltre i confini della Russia senza anonimizzarli, ad esempio conservare backup in cloud esteri? Certamente s\u00ec. L'agenzia ha il diritto di conservare questi dati anche al di fuori della Russia, tuttavia, la raccolta iniziale, secondo la nostra legislazione, deve avvenire sul territorio russo. Se stai facendo il backup di queste informazioni, prevedendo di utilizzarle per statistiche, conducendo ricerche o eseguendo altre operazioni - tutto ci\u00f2 pu\u00f2 essere fatto anche su risorse occidentali. Il punto chiave dal punto di vista legislativo \u00e8 dove avviene la raccolta dei dati personali. Pertanto, \u00e8 importante non confondere la raccolta iniziale e il trattamento.<\/p>\n Come mostrano questi brevi esempi, non sempre il lavoro con i dati personali \u00e8 chiaro e semplice. Non \u00e8 sufficiente sapere che stai lavorando con essi, ma \u00e8 necessario saperli classificare correttamente, comprendere come funziona il sistema informativo, per determinare correttamente il livello di protezione richiesto. In alcuni casi, ci si pu\u00f2 chiedere quale volume di dati personali sia realmente necessario per il funzionamento dell'organizzazione. \u00c8 possibile rinunciare ai dati pi\u00f9 'sensibili' o superflui? Inoltre, l'autorit\u00e0 raccomanda di anonimizzare i dati personali dove possibile. <\/p>\n Come nei casi sopra, a volte pu\u00f2 capitare che gli organi di controllo interpretino i dati personali raccolti in modo leggermente diverso da come li hai valutati tu.<\/p>\n Certamente, si pu\u00f2 prendere come ausiliario un revisore o un integratore di sistemi, ma sar\u00e0 'l'assistente' responsabile delle decisioni prese in caso di controllo? \u00c8 importante notare che la responsabilit\u00e0 ricade sempre sul titolare del sistema informativo dei dati personali - l'operatore dei dati personali. Per questo motivo, quando un'azienda svolge tali lavori, \u00e8 importante rivolgersi a attori seri nel mercato di tali servizi, come le aziende che conducono lavori di certificazione. Le aziende certificatrici hanno una grande esperienza nella realizzazione di tali lavori.<\/p>\n La costruzione di un ISPDn non \u00e8 solo una questione tecnica, ma \u00e8 anche in gran parte di natura legale. Il direttore IT o il direttore della sicurezza devono necessariamente consultare un avvocato. Poich\u00e9 in azienda non sempre c'\u00e8 un esperto con il profilo necessario, vale la pena considerare l'opzione di rivolgervi a revisori e consulenti. Molti aspetti scivolosi potrebbero non essere affatto evidenti.<\/p>\n Una consulenza consentir\u00e0 di determinare con quali dati personali avete a che fare e quale livello di protezione \u00e8 necessario. Di conseguenza, avrete un'idea del IS che deve essere creato o integrato con misure di protezione e ORD.<\/p>\n Spesso la scelta per un'azienda si presenta in due opzioni:<\/p>\n Costruire un IS adeguato sulle proprie soluzioni software e hardware, possibilmente nel proprio server.<\/p>\n<\/li>\n Rivolgersi a un fornitore di cloud e scegliere una soluzione elastica, gi\u00e0 certificata come \u2018server virtuale\u2019.<\/p>\n<\/li>\n<\/ol>\n La maggior parte degli IS che gestiscono i PDn utilizza un approccio tradizionale, che dal punto di vista aziendale \u00e8 difficile da definire come semplice e di successo. Scegliendo questa opzione, \u00e8 necessario comprendere che il progetto tecnico includer\u00e0 la descrizione delle attrezzature, comprese le soluzioni software e hardware e le piattaforme. Questo implica che dovrete affrontare le seguenti difficolt\u00e0 e limitazioni:<\/p>\n complessit\u00e0 di scalabilit\u00e0;<\/p>\n<\/li>\n lungo termine di realizzazione del progetto: \u00e8 necessario scegliere, acquistare, installare, configurare e descrivere il sistema;<\/p>\n<\/li>\n una marea di lavoro \u2018cartaceo\u2019, ad esempio, lo sviluppo di un pacchetto completo di documentazione per l'intero ISPDn.<\/p>\n<\/li>\n<\/ul>\n Inoltre, le imprese, in genere, comprendono solo il livello \u2018superiore\u2019 del proprio IS - nelle applicazioni aziendali utilizzate. In altre parole, il personale IT \u00e8 qualificato nella propria area ristretta. Manca la comprensione di come funzionano tutti i \u2018livelli inferiori\u2019: i mezzi di protezione software e hardware, i sistemi di storage, il backup e, naturalmente, come configurare i mezzi di protezione rispettando tutti i requisiti e costruire la parte \u2018hardware\u2019 della configurazione. \u00c8 importante capire: si tratta di una vasta gamma di conoscenze che si trova al di l\u00e0 dell'ambito aziendale del cliente. \u00c8 proprio qui che pu\u00f2 tornare utile l'esperienza di un fornitore di cloud che offre un \u2018server virtuale\u2019 certificato.<\/p>\n Da parte loro, i fornitori di cloud hanno una serie di vantaggi che, senza esagerare, possono soddisfare il 99% delle esigenze aziendali in ambito di protezione dei dati personali:<\/p>\n i costi di capitale si trasformano in costi operativi;<\/p>\n<\/li>\n il fornitore garantisce a sua volta il livello necessario di sicurezza e disponibilit\u00e0 basato su una soluzione standard collaudata;<\/p>\n<\/li>\n non \u00e8 necessario mantenere un team di specialisti che si occupi del funzionamento dei sistemi di informazione per la protezione dei dati a livello hardware;<\/p>\n<\/li>\n i fornitori offrono soluzioni molto pi\u00f9 flessibili ed elastiche;<\/p>\n<\/li>\n gli specialisti del fornitore possiedono tutte le certificazioni necessarie;<\/p>\n<\/li>\n la compliance non \u00e8 inferiore a quella di una propria architettura, tenendo conto delle normative e delle raccomandazioni degli enti di regolamentazione.<\/p>\n<\/li>\n<\/ul>\n Il vecchio mito secondo cui non \u00e8 possibile ospitare dati personali nei cloud \u00e8 ancora incredibilmente popolare. \u00c8 vero solo in parte: i dati personali non possono essere effettivamente ospitati nel primo cloud disponibile<\/em> . \u00c8 necessario rispettare alcune misure tecniche, utilizzare determinate soluzioni certificate. Se il fornitore soddisfa tutti i requisiti legislativi, i rischi associati alla fuga di dati personali sono ridotti al minimo. Molti fornitori hanno un'infrastruttura separata per l'elaborazione dei dati personali in conformit\u00e0 con la 152-FZ. Tuttavia, \u00e8 importante avvicinarsi alla scelta del fornitore con la conoscenza di determinati criteri, che sicuramente toccheremo di seguito. <\/p>\n I clienti spesso si rivolgono a noi con alcune preoccupazioni riguardo all'hosting di dati personali nel cloud del fornitore. Bene, discutiamole subito.<\/p>\n I dati possono essere rubati durante la trasmissione o la migrazione<\/p>\n<\/li>\n<\/ul>\n Non c'\u00e8 da preoccuparsi: il fornitore offre al cliente la creazione di un canale di trasmissione dati sicuro, basato su soluzioni certificate, con misure di autenticazione rinforzate per le controparti e i dipendenti. Rimane da scegliere i metodi di protezione adeguati e implementarli nel contesto del lavoro con il cliente.<\/p>\n Arriveranno i corpi speciali e porteranno via\/ometteranno\/metteranno sotto chiave il server<\/p>\n<\/li>\n<\/ul>\n \u00c8 del tutto comprensibile che i clienti abbiano timori che i loro processi aziendali possano essere interrotti a causa di un controllo insufficiente sull'infrastruttura. Di solito, ne sono preoccupati quei clienti i cui server erano precedentemente collocati in piccole sale server invece che in Data Center specializzati. In realt\u00e0, i Data Center sono dotati di moderne misure di protezione sia fisica che informatica. Qualsiasi operazione in un tale data center \u00e8 praticamente impossibile senza sufficienti motivazioni e documentazione, e tali attivit\u00e0 richiedono l'osservanza di una serie di procedure. Inoltre, il \u00abdistacco\u00bb del vostro server dal Data Center pu\u00f2 influenzare altri clienti del fornitore, e questo di certo non \u00e8 nell'interesse di nessuno. Inoltre, nessuno potr\u00e0 puntare il dito sul vostro server virtuale specifico, quindi, se qualcuno volesse rubarlo o organizzare uno spettacolo di maschere, prima dovr\u00e0 affrontare una serie di lunghe procedure burocratiche. Nel frattempo, probabilmente avrete gi\u00e0 migrato su un'altra piattaforma un paio di volte.<\/p>\n Gli hacktivisti hackereranno il cloud e ruberanno i dati<\/p>\n<\/li>\n<\/ul>\n Internet e la stampa sono saturi di titoli su come un altro cloud sia caduto vittima dei criminali informatici e milioni di registrazioni di dati personali siano trapelate in rete. Nella stragrande maggioranza dei casi, le vulnerabilit\u00e0 sono state trovate non sul lato del fornitore, ma nei sistemi informatici delle vittime: password deboli o addirittura predefinite, \u2018falle\u2019 nei motori dei siti e nei database, banale leggerezza delle aziende nella scelta dei mezzi di protezione e nell'organizzazione delle procedure di accesso ai dati. Tutte le soluzioni certificate vengono controllate per la presenza di vulnerabilit\u00e0. Anche noi conduciamo regolarmente test penetrazione e audit di sicurezza, sia autonomamente che con l'aiuto di organizzazioni esterne. Per il fornitore, questa \u00e8 una questione di reputazione e business in generale.<\/p>\n Il fornitore\/i dipendenti del fornitore ruberanno dati personali per scopi egoistici<\/p>\n<\/li>\n<\/ul>\n Questo \u00e8 un momento piuttosto delicato. Un certo numero di aziende del mondo della sicurezza informatica \"spaventano\" i loro clienti e insistono sul fatto che \"i dipendenti interni sono pi\u00f9 pericolosi degli hacker esterni\". Forse in alcuni casi \u00e8 vero, ma \u00e8 impossibile costruire un business senza fiducia. Di tanto in tanto, emergono notizie su dipendenti di organizzazioni che divulgano dati dei clienti ai malintenzionati, e la sicurezza interna \u00e8 spesso organizzata molto peggio di quella esterna. Qui \u00e8 importante capire che ogni grande fornitore \u00e8 estremamente interessato a evitare casi negativi. Le azioni dei dipendenti del fornitore sono ben regolate, con ruoli e aree di responsabilit\u00e0 distinti. Tutti i processi aziendali sono costruiti in modo tale che i casi di fuga di dati siano estremamente improbabili e sempre visibili ai servizi interni; pertanto, i clienti non devono preoccuparsi di questo aspetto.<\/p>\n Pagate poco, poich\u00e9 state pagando i servizi con i dati della vostra azienda.<\/p>\n<\/li>\n<\/ul>\n Un altro mito: il cliente che noleggia un'infrastruttura sicura a un prezzo confortevole, in realt\u00e0 sta pagando per essa con i propri dati \u2013 cos\u00ec spesso pensano gli esperti che non disdegnano di leggere qualche teoria della cospirazione prima di andare a letto. In primo luogo, la possibilit\u00e0 di eseguire operazioni sui vostri dati al di fuori di quelle specificate nell'incarico \u00e8 praticamente pari a zero. In secondo luogo, un fornitore ragionevole tiene in grande considerazione le relazioni con voi e la propria reputazione: oltre a voi, ha molti altri clienti. \u00c8 pi\u00f9 probabile il contrario, in cui il fornitore protegge strenuamente i dati dei propri clienti, dai quali dipende anche il suo business.<\/p>\n Oggi il mercato offre molte soluzioni per le aziende che sono operatori dei dati personali. Di seguito riportiamo un elenco generale di raccomandazioni per la scelta del fornitore adatto.<\/p>\n Il fornitore deve essere pronto a firmare un contratto ufficiale che descriva i diritti e i doveri delle parti, il SLA e le aree di responsabilit\u00e0 in merito alla gestione dei dati personali. In effetti, tra voi e il fornitore, oltre al contratto di servizio, deve essere firmato un incarico per l'elaborazione dei dati personali. In ogni caso, vale la pena studiarli attentamente. \u00c8 importante comprendere la delimitation delle aree di responsabilit\u00e0 tra voi e il fornitore.<\/p>\n<\/li>\n Si prega di notare che il segmento deve soddisfare i requisiti e deve avere un certificato che indichi un livello di protezione non inferiore a quello richiesto dal vostro sistema informativo. A volte, i provider pubblicano solo la prima pagina del certificato, dalla quale si capisce poco, oppure fanno riferimento a audit o procedure di conformit\u00e0 senza pubblicare il certificato stesso (\u00abc'era un ragazzo?\u00bb). \u00c8 opportuno richiederlo: \u00e8 un documento pubblico che specifica chi ha effettuato la certificazione, la durata, la posizione del cloud e cos\u00ec via.<\/p>\n<\/li>\n Il provider deve fornire informazioni su dove si trovano i suoi siti (oggetti di protezione), in modo che possiate controllare la posizione dei vostri dati. Ricordiamo che la raccolta iniziale dei dati personali deve essere effettuata sul territorio della Federazione Russa; pertanto, nel contratto\/certificato sarebbe desiderabile vedere gli indirizzi dei data center.<\/p>\n<\/li>\n Il provider deve utilizzare sistemi di protezione certificati. Certamente, la maggior parte dei provider non pubblicizza i mezzi di protezione tecnica e l'architettura delle soluzioni utilizzate. Ma voi, come clienti, non potete rimanere all'oscuro di ci\u00f2. Ad esempio, per un accesso remoto al sistema di gestione (portale di gestione) \u00e8 necessario usare mezzi di protezione. Il provider non potr\u00e0 eludere questo requisito e vi fornir\u00e0 (o richieder\u00e0 di usare) soluzioni certificate. Testate le risorse e capirete subito come funzionano le cose. <\/p>\n<\/li>\n \u00c8 estremamente desiderabile che il provider di cloud offra servizi aggiuntivi nel campo della sicurezza informatica. Questi possono includere vari servizi: protezione contro attacchi DDoS e WAF, servizi antivirus o sandbox, ecc. Tutto ci\u00f2 vi permetter\u00e0 di ottenere protezione come servizio, senza dover distrarre risorse per costruire sistemi di protezione, e di concentrarvi sulle applicazioni aziendali.<\/p>\n<\/li>\n Il provider deve essere un licenziatario della FSTEC e del FSB. Di solito, queste informazioni sono pubblicate direttamente sul sito. Assicuratevi di richiedere questi documenti e verificate che gli indirizzi dei servizi, il nome della societ\u00e0 del provider, ecc. siano corretti. <\/p>\n<\/li>\n<\/ul>\n Riepiloghiamo. L'affitto dell'infrastruttura consentir\u00e0 di rinunciare al CAPEX e di mantenere sotto la propria responsabilit\u00e0 solo le proprie applicazioni aziendali e i dati stessi, mentre il pesante onere della certificazione dell'hardware e dei mezzi software viene trasferito al provider.<\/p>\n Recentemente abbiamo superato con successo la riattestazione dell'infrastruttura \"Cloud Sicuro FZ-152\" per la conformit\u00e0 ai requisiti per la gestione dei dati personali. I lavori sono stati effettuati dal \"Centro Nazionale di Attestazione\".<\/p>\n Attualmente, il \"Cloud Sicuro FZ-152\" \u00e8 attestato per l'hosting di sistemi informativi coinvolti nell'elaborazione, nell'archiviazione o nella trasmissione di dati personali (ISPDn) secondo i requisiti di livello UZ-3.<\/p>\n La procedura di attestazione prevede la verifica della conformit\u00e0 dell'infrastruttura del fornitore di cloud rispetto al livello di protezione. Il fornitore offre servizi IaaS e non \u00e8 un operatore di dati personali. Il processo prevede la valutazione sia di misure organizzative (documentazione, ordini, ecc.) che tecniche (configurazione dei mezzi di protezione, ecc.).<\/p>\n Non \u00e8 banale definirlo. Nonostante la norma GOST sui programmi e metodologie per la realizzazione di eventi di attestazione sia stata introdotta gi\u00e0 nel 2013, programmi rigorosi per oggetti cloud non esistono ancora. I centri di attestazione sviluppano questi programmi basandosi sulla propria esperienza. Con l'emergere di nuove tecnologie, i programmi diventano pi\u00f9 complessi e modernizzati; di conseguenza, l'attestatore deve avere esperienza con soluzioni cloud e comprendere la loro specificit\u00e0.<\/p>\n Nel nostro caso, l'oggetto di protezione \u00e8 composto da due localit\u00e0.<\/p>\n Nel Data Center (DC) sono collocate risorse cloud (server, storage, infrastruttura di rete, strumenti di protezione, ecc.). Certamente, tale DC virtuale \u00e8 collegato a reti di uso pubblico, pertanto devono essere rispettati requisiti specifici per il firewall, ad esempio l'uso di firewall certificati.<\/p>\n<\/li>\n La seconda parte dell'oggetto comprende i mezzi di gestione del cloud. Queste sono le stazioni di lavoro (ARM dell'amministratore) da cui viene effettuata la gestione del segmento protetto.<\/p>\n<\/li>\n<\/ul>\nLe complessit\u00e0 della classificazione<\/h2>\n
Opzioni per la costruzione di un sistema informativo sui dati personali<\/h2>\n
\n
\n
\n
\n
\n
\n
\n
\n
Scelta di un fornitore cloud per la gestione dei dati personali<\/h2>\n
\n
Come abbiamo superato la certificazione<\/h3>\n
\n
![\"IaaS](\"\/wp-content\/uploads\/2020\/09\/611ca4c92615fffb675864b72dcaa2f8.jpg\")
Schema strutturale \"visto dall'attestatore\"<\/p>\n![\"IaaS](\"\/wp-content\/uploads\/2020\/09\/4b0f5c72f8460c2a81068887efc8c9b1.jpg\")
Separazione a livello di astrazione<\/p>\n