מיתוסים לגבי 152-FZ, שעלול להיות יקר עבור מפעיל הנתונים האישיים

שלום לכולם! אני מנהל את מרכז הגנת הסייבר של DataLine. לקוחות מגיעים אלינו עם המשימה לעמוד בדרישות של 152-FZ בענן או בתשתית פיזית.
כמעט בכל פרויקט יש צורך לבצע עבודה חינוכית כדי להפריך את המיתוסים סביב החוק הזה. אספתי את התפיסות השגויות הנפוצות ביותר שעלולות לעלות ביוקר לתקציב ולמערכת העצבים של מפעיל הנתונים האישיים. מיד אסתיג שמקרים של משרדי מדינה (GIS) העוסקים בסודות מדינה, KII וכו' יישארו מחוץ לתחום המאמר הזה.

מיתוס 1. התקנתי אנטי וירוס, חומת אש, והקפתי את המתלים בגדר. האם אני פועל לפי החוק?

152-FZ אינו עוסק בהגנה על מערכות ושרתים, אלא בהגנה על נתונים אישיים של נושאים. לכן, עמידה ב-152-FZ מתחילה לא באנטי-וירוס, אלא במספר רב של פיסות נייר ובבעיות ארגוניות.
המפקח הראשי, Roskomnadzor, לא יבחן את נוכחותם ומצבם של אמצעי הגנה טכניים, אלא על הבסיס המשפטי לעיבוד נתונים אישיים (PD):

• לאיזו מטרה אתה אוסף נתונים אישיים;  
• האם אתה אוסף יותר מהם ממה שאתה צריך למטרותיך;
• כמה זמן אתה מאחסן נתונים אישיים;
• האם קיימת מדיניות לעיבוד נתונים אישיים;
• האם אתה אוסף הסכמה לעיבוד נתונים אישיים, העברה חוצת גבולות, עיבוד על ידי צדדים שלישיים וכו'.

את התשובות לשאלות אלו, כמו גם את התהליכים עצמם, יש לרשום במסמכים מתאימים. הנה רשימה רחוקה מלהיות מלאה של מה שמפעיל נתונים אישיים צריך להכין:

• טופס הסכמה סטנדרטי לעיבוד נתונים אישיים (אלה הם הגיליונות עליהם אנו חותמים כיום כמעט בכל מקום בו אנו משאירים את שמנו המלא ופרטי הדרכון שלנו).
• מדיניות המפעיל לגבי עיבוד נתונים אישיים (כאן יש המלצות לעיצוב).
• צו על מינוי אחראי לארגון עיבוד הנתונים האישיים.  
• תיאור התפקיד של האחראי לארגון עיבוד הנתונים האישיים.
• כללים לבקרה פנימית ו(או) ביקורת של תאימות של עיבוד PD עם דרישות משפטיות.  
• רשימת מערכות מידע אישיות (ISPD).
• תקנות למתן גישה לנבדק לנתוניו האישיים.
• תקנות חקירת אירועים.
• צו קבלת עובדים לעיבוד נתונים אישיים.
• תקנות לאינטראקציה עם רגולטורים.  
• הודעה על RKN וכו'.
• טופס הדרכה לעיבוד PD.
• מודל איומים של ISPD.

לאחר פתרון בעיות אלה, אתה יכול להתחיל לבחור אמצעים ספציפיים ואמצעים טכניים. אילו מהם אתה צריך תלוי במערכות, בתנאי ההפעלה שלהן ובאיומים הנוכחיים. אבל עוד על כך בהמשך.

מציאות: עמידה בחוק היא הקמה ועמידה בתהליכים מסוימים, קודם כל, ורק שנית - שימוש באמצעים טכניים מיוחדים.

מיתוס 2. אני מאחסן נתונים אישיים בענן, מרכז נתונים שעומד בדרישות של 152-FZ. כעת הם אחראים לאכיפת החוק

כאשר אתה מיקור חוץ את אחסון הנתונים האישיים לספק ענן או מרכז נתונים, אתה לא מפסיק להיות מפעיל נתונים אישיים.
הבה נתקשר להגדרה מהחוק לעזרה:

עיבוד נתונים אישיים – כל פעולה (פעולה) או מערך פעולות (פעולות) המבוצעות באמצעות כלי אוטומציה או ללא שימוש באמצעים כאמור עם נתונים אישיים, לרבות איסוף, רישום, שיטתיות, צבירה, אחסון, הבהרה (עדכון, שינוי), חילוץ, שימוש, העברה (הפצה, אספקה, גישה), דה-פרסונליזציה, חסימה, מחיקה, השמדה של נתונים אישיים.
מקור: מאמר 3, 152-FZ

מבין כל הפעולות הללו, נותן השירות אחראי לשמירה והשמדה של נתונים אישיים (כאשר הלקוח מסיים את ההתקשרות עמו). כל השאר מסופק על ידי מפעיל הנתונים האישיים. המשמעות היא שהמפעיל, ולא נותן השירות, קובע את מדיניות עיבוד הנתונים האישיים, מקבל הסכמות חתומות לעיבוד נתונים אישיים מלקוחותיו, מונע וחוקר מקרים של דליפת נתונים אישיים לצדדים שלישיים וכן הלאה.

כתוצאה מכך, מפעיל הנתונים האישיים עדיין חייב לאסוף את המסמכים המפורטים לעיל וליישם אמצעים ארגוניים וטכניים כדי להגן על ה-PDIS שלהם.

בדרך כלל, הספק עוזר למפעיל על ידי הבטחת עמידה בדרישות החוק ברמת התשתית שבה ימוקם ה-ISPD של המפעיל: מתלים עם ציוד או ענן. הוא גם אוסף חבילת מסמכים, נוקט באמצעים ארגוניים וטכניים עבור פיסת התשתית שלו בהתאם ל-152-FZ.

חלק מהספקים מסייעים בניירת ובמתן אמצעי אבטחה טכניים עבור ה-ISDN עצמם, כלומר ברמה מעל התשתית. המפעיל יכול גם לבצע מיקור חוץ של משימות אלו, אך האחריות והחובות על פי חוק אינן נעלמות.

מציאות: על ידי שימוש בשירותיו של ספק או מרכז נתונים, אינך יכול להעביר אליו את תחומי האחריות של מפעיל נתונים אישיים ולהיפטר מאחריות. אם הספק מבטיח לך זאת, אז, בלשון המעטה, הוא משקר.

מיתוס 3. יש לי את החבילה הדרושה של מסמכים ואמצעים. אני מאחסן נתונים אישיים אצל ספק שמבטיח ציות ל-152-FZ. הכל מסודר?

כן, אם אתה זוכר לחתום על ההזמנה. על פי חוק, המפעיל יכול להפקיד את עיבוד הנתונים האישיים לאדם אחר, למשל, אותו ספק שירות. הזמנה היא מעין הסכם שמפרט מה נותן השירות יכול לעשות עם הנתונים האישיים של המפעיל.

למפעיל הזכות להפקיד את עיבוד הנתונים האישיים לאדם אחר בהסכמת נושא הנתונים האישיים, אלא אם כן נקבע אחרת בחוק הפדרלי, על בסיס הסכם שנחתם עם אדם זה, לרבות חוזה מדינה או עירוני, או באימוץ מעשה רלוונטי על ידי גוף ממלכתי או עירוני (להלן מפעיל ההקצאה). האדם המעבד נתונים אישיים מטעם המפעיל מחויב לציית לעקרונות ולכללים לעיבוד נתונים אישיים הקבועים בחוק פדרלי זה.
מקור: סעיף 3, סעיף 6, 152-FZ

כמו כן נקבעה חובת הספק לשמור על סודיות הנתונים האישיים ולהבטיח את אבטחתם בהתאם לדרישות המפורטות:

הנחיות המפעיל חייבות להגדיר רשימה של פעולות (פעולות) בנתונים אישיים שיבוצעו על ידי האדם המעבד את הנתונים האישיים ואת מטרות העיבוד, חובתו של אדם כאמור לשמור על סודיות המידע האישי ולהבטיח את אבטחת המידע האישי. יש לקבוע נתונים במהלך עיבודם, וכן יש לציין דרישות להגנה על נתונים אישיים מעובדים בהתאם סעיף 19 של החוק הפדרלי הזה.
מקור: סעיף 3, סעיף 6, 152-FZ

לכך, הספק אחראי כלפי המפעיל, ולא לנושא הנתונים האישיים:

אם המפעיל מפקיד את עיבוד הנתונים האישיים בידי אדם אחר, המפעיל אחראי לנושא הנתונים האישיים לפעולותיו של האדם שצוין. האדם המעבד נתונים אישיים מטעם המפעיל אחראי כלפי המפעיל.
מקור: 152-FZ.

כמו כן, חשוב לקבוע בצו את החובה להבטיח הגנה על נתונים אישיים:

אבטחת הנתונים האישיים בעת עיבודם במערכת מידע מובטחת על ידי מפעיל מערכת זו, המעבד נתונים אישיים (להלן המפעיל), או על ידי האדם המעבד מידע אישי מטעם המפעיל על בסיס הסכם שנחתם עם אדם זה (להלן האדם המורשה). ההסכם בין המפעיל לבין הגורם המוסמך חייב לקבוע את חובתו של המורשה להבטיח את אבטחת הנתונים האישיים בעת עיבודם במערכת המידע.
מקור: צו של ממשלת הפדרציה הרוסית מיום 1 בנובמבר 2012 מס' 1119

מציאות: אם אתה מוסר נתונים אישיים לספק, אז חתום על ההזמנה. בצו, ציין את הדרישה להבטיח הגנה על הנתונים האישיים של הנבדקים. אחרת, אינך מציית לחוק לגבי העברת עבודת עיבוד נתונים אישיים לצד שלישי, והספק אינו חייב לך דבר בנוגע לעמידה ב-152-FZ.

מיתוס 4. המוסד מרגל אחרי, או בהחלט יש לי UZ-1

חלק מהלקוחות מוכיחים בהתמדה שיש להם ISPD של רמת אבטחה 1 או 2. לרוב זה לא המקרה. בואו נזכור את החומרה כדי להבין למה זה קורה.
ה-LO, או רמת האבטחה, קובעת ממה תגן על הנתונים האישיים שלך.
רמת האבטחה מושפעת מהנקודות הבאות:

• סוג הנתונים האישיים (מיוחדים, ביומטריים, זמינים לציבור ואחרים);
• מי הבעלים של הנתונים האישיים - עובדים או שאינם עובדים של מפעיל הנתונים האישיים;
• מספר נושאי נתונים אישיים - פחות או יותר 100 אלף.
• סוגי איומים נוכחיים.

מספר לנו על סוגי איומים צו של ממשלת הפדרציה הרוסית מיום 1 בנובמבר 2012 מס' 1119. הנה תיאור של כל אחד מהם עם התרגום החופשי שלי לשפה אנושית.

איומים מסוג 1 רלוונטיים למערכת מידע אם איומים הקשורים להימצאות יכולות לא מתועדות (לא מוצהרות) בתוכנת המערכת המשמשת במערכת המידע רלוונטיים גם עבורה.

אם אתה מזהה סוג זה של איום כרלוונטי, אז אתה מאמין בתוקף שסוכני ה-CIA, MI6 או MOSSAD הציבו סימניה במערכת ההפעלה כדי לגנוב נתונים אישיים של נושאים ספציפיים מה-ISPD שלך.

איומים מסוג 2 רלוונטיים עבור מערכת מידע אם איומים הקשורים להימצאות יכולות לא מתועדות (לא מוצהרות) בתוכנת האפליקציה המשמשת במערכת המידע רלוונטיים גם עבורה.

אם אתה חושב שאיומים מהסוג השני הם המקרה שלך, אז אתה ישן ורואה איך אותם סוכנים של ה-CIA, MI6, MOSSAD, האקר בודד או קבוצה מרושע הציבו סימניות בחבילת תוכנה משרדית כלשהי כדי לחפש בדיוק אחר הנתונים האישיים שלך. כן, יש תוכנות אפליקציה מפוקפקות כמו μTorrent, אבל אתה יכול לעשות רשימה של תוכנות מותרות להתקנה ולחתום על הסכם עם משתמשים, לא לתת למשתמשים זכויות מנהל מקומיות וכו'.

איומים מסוג 3 רלוונטיים למערכת מידע אם איומים שאינם קשורים להימצאות יכולות לא מתועדות (לא מוצהרות) במערכת ובתוכנות היישום המשמשות במערכת המידע רלוונטיים לה.

איומים מסוגים 1 ו-2 לא מתאימים לכם, אז זה המקום בשבילכם.

מיינו את סוגי האיומים, עכשיו בואו נסתכל באיזו רמת אבטחה תהיה ל-ISPD שלנו.

טבלה מבוססת על ההתכתבויות המפורטות ב צו של ממשלת הפדרציה הרוסית מיום 1 בנובמבר 2012 מס' 1119.

אם בחרנו בסוג השלישי של איומים ממשיים, אז ברוב המקרים יהיה לנו UZ-3. היוצא מן הכלל היחיד, כאשר איומים מסוגים 1 ו-2 אינם רלוונטיים, אך רמת האבטחה עדיין תהיה גבוהה (UZ-2), הן חברות המעבדות נתונים אישיים מיוחדים של לא עובדים בסכום של יותר מ-100. לדוגמה, חברות העוסקות באבחון רפואי ומתן שירותים רפואיים.

יש גם UZ-4, והוא נמצא בעיקר בחברות שהעסק שלהן אינו קשור לעיבוד נתונים אישיים של לא עובדים, כלומר לקוחות או קבלנים, או שמאגרי הנתונים האישיים קטנים.

למה כל כך חשוב לא להגזים ברמת האבטחה? זה פשוט: מערכת האמצעים ואמצעי ההגנה להבטחת רמת האבטחה הזו תהיה תלויה בכך. ככל שרמת הידע גבוהה יותר, כך יהיה צורך לעשות יותר במונחים ארגוניים וטכניים (קראו: ככל שיהיה צורך להוציא יותר כסף ועצבים).

הנה, למשל, כיצד מערך אמצעי האבטחה משתנה בהתאם לאותו PP-1119.

עכשיו בואו נראה כיצד, בהתאם לרמת האבטחה שנבחרה, רשימת האמצעים הדרושים משתנה בהתאם לפי צו של FSTEC של רוסיה מס' 21 מיום 18.02.2013 בפברואר XNUMX.  למסמך זה יש נספח ארוך, המגדיר את האמצעים הדרושים. ישנם 109 מהם בסך הכל, עבור כל KM אמצעי חובה מוגדרים ומסומנים בסימן "+" - הם מחושבים במדויק בטבלה למטה. אם תשאיר רק את אלה הדרושים ל-UZ-3, תקבל 4.

מציאות: אם אתה לא אוסף בדיקות או ביומטריה מלקוחות, אתה לא פרנואיד לגבי סימניות במערכת ובתוכנות אפליקציות, אז סביר להניח שיש לך UZ-3. יש לו רשימה סבירה של אמצעים ארגוניים וטכניים שניתן ליישם בפועל.

מיתוס 5. כל האמצעים להגנה על נתונים אישיים חייבים להיות מאושרים על ידי FSTEC של רוסיה

אם אתה רוצה או נדרש לבצע הסמכה, סביר להניח שתצטרך להשתמש בציוד מגן מוסמך. ההסמכה תתבצע על ידי בעל רישיון של FSTEC של רוסיה, אשר:

• מעוניין למכור יותר התקני הגנה על מידע מאושרים;
• יחששו מהרישיון שייפסל על ידי הרגולטור אם משהו ישתבש.

אם אינך זקוק להסמכה ואתה מוכן לאשר עמידה בדרישות בדרך אחרת, הנקראת ב מסדר ה-FSTEC של רוסיה מס' 21  "הערכת האפקטיביות של אמצעים המיושמים בתוך מערכת ההגנה על נתונים אישיים כדי להבטיח את אבטחת הנתונים האישיים", אזי מערכות אבטחת מידע מאושרות אינן נדרשות עבורך. אנסה להסביר בקצרה את הרציונל.

В סעיף 2 של סעיף 19 152-FZ קובע כי יש צורך להשתמש בציוד מגן שעבר הליך הערכת התאמה בהתאם לנוהל שנקבע:

הבטחת אבטחת הנתונים האישיים מושגת, בפרט:
[...]
3)применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации.

В סעיף 13 PP-1119 כמו כן קיימת דרישה להשתמש בכלי אבטחת מידע שעברו את הליך הערכת עמידה בדרישות החוק:

[...]
использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.

סעיף 4 של צו FSTEC מס' 21 כמעט משכפל את סעיף PP-1119:

אמצעים להבטחת אבטחת הנתונים האישיים מיושמים, בין היתר, באמצעות שימוש בכלי אבטחת מידע במערכת המידע שעברו את הליך הערכת ההתאמה בהתאם לנוהל שנקבע, במקרים בהם יש צורך בשימוש בכלים כאמור. לנטרל את האיומים הנוכחיים על אבטחת המידע האישי.

מה משותף לניסוחים הללו? זה נכון - הם לא מחייבים שימוש בציוד מגן מוסמך. העובדה היא שישנן מספר צורות של הערכת התאמה (אישור מרצון או חובה, הצהרת התאמה). הסמכה היא רק אחד מהם. המפעיל עשוי להשתמש במוצרים שאינם מאושרים, אך יצטרך להוכיח לרגולטור במהלך הבדיקה שהם עברו צורה כלשהי של הליך הערכת התאמה.

אם המפעיל מחליט להשתמש בציוד מגן מוסמך, יש צורך לבחור את מערכת הגנת המידע בהתאם להגנת האולטרסאונד, המצוינת בבירור ב צו מס' 21 של FSTEC:

אמצעים טכניים להגנה על נתונים אישיים מיושמים באמצעות שימוש בכלי אבטחת מידע, לרבות כלי תוכנה (חומרה) בהם הם מיושמים, בעלי פונקציות האבטחה הדרושות.
בעת שימוש בכלי אבטחת מידע המוסמכים על פי דרישות אבטחת מידע במערכות מידע:

סעיף 12 לצו מס' 21 של FSTEC של רוסיה.

מציאות: החוק אינו מחייב שימוש בציוד מגן מאושר.

מיתוס 6. אני צריך הגנת קריפטו

יש כאן כמה ניואנסים:

1. אנשים רבים מאמינים שהצפנה היא חובה עבור כל ISPD. למעשה, יש להשתמש בהם רק אם המפעיל אינו רואה אמצעי הגנה אחרים עבור עצמו מלבד השימוש בהצפנה.
2. אם אתה לא יכול בלי קריפטוגרפיה, אז אתה צריך להשתמש ב-CIPF מאושר על ידי ה-FSB.
3. לדוגמה, אתה מחליט לארח ISPD בענן של ספק שירות, אבל אתה לא סומך עליו. אתה מתאר את החששות שלך במודל של איום ופולש. יש לך נתונים אישיים, אז החלטת שהקריפטוגרפיה היא הדרך היחידה להגן על עצמך: אתה תצפין מכונות וירטואליות, תבנה ערוצים מאובטחים באמצעות הגנה קריפטוגרפית. במקרה זה, תצטרך להשתמש ב-CIPF מאושר על ידי ה-FSB של רוסיה.
4. CIPF מוסמך נבחרים בהתאם לרמת אבטחה מסוימת לפי הזמנה מס' 378 FSB.

עבור ISPDn עם UZ-3, אתה יכול להשתמש ב-KS1, KS2, KS3. KS1 הוא, למשל, C-Terra Virtual Gateway 4.2 להגנה על ערוצים.

KC2, KS3 מיוצגים רק על ידי מערכות תוכנה וחומרה, כגון: ViPNet Coordinator, APKSH "Continent", S-Terra Gateway וכו'.

אם יש לך UZ-2 או 1, אז תזדקק לאמצעי הגנה קריפטוגרפיים של מחלקה KV1, 2 ו-KA. מדובר במערכות תוכנה וחומרה ספציפיות, הן קשות לתפעול ומאפייני הביצוע שלהן צנועים.

מציאות: החוק אינו מחייב את השימוש ב-CIPF שאושר על ידי ה-FSB.

מקור: www.habr.com