ענן מאובטח בפלטפורמת DF Cloud 

החוק הפדרלי-152 "על הגנת נתונים אישיים" חל על כל הישויות הקיימות: יחידים וישויות משפטיות, גופי ממשל פדרליים וממשלות מקומיות. למעשה, חוק זה חל על כל ארגון המעבד מידע ונתונים אישיים של אזרחי הפדרציה הרוסית, ללא קשר לצורת הבעלות והגודל של הארגון.

לפעמים ארגון, באופן די בלתי צפוי לעצמו, יכול לגלות מערכות מידע מרומזות בתחילה של נתונים אישיים (PD). לדוגמה, חברה נחשבת למפעילת נתונים אישיים אם באתר שלה יש טפסי משוב, רישום, הרשאה וצורות אחרות של איסוף נתונים שבאמצעותן ניתן לזהות את הנושא.

בקרה ופיקוח לגבי עמידה בדרישות החוק הפדרלי "על נתונים אישיים" מבוצעים על ידי רגולטורים:

• Roskomnadzor בנוגע להגנה על זכויותיהם של נושאי מידע אישיים;
• FSB של רוסיה לגבי עמידה בדרישות בתחום ההצפנה;
• FSTEC מרוסיה במונחים של עמידה בדרישות להגנה על מידע מפני גישה בלתי מורשית ודליפה דרך ערוצים טכניים.

מכיוון שהחוק הפדרלי "על נתונים אישיים" הוא רק הבסיס לתמיכה משפטית להגנה על נתונים אישיים, דרישותיו פורטו לאחר מכן במעשים של ממשלת הפדרציה הרוסית ומשרד התקשורת, ומסמכים רגולטוריים ומתודולוגיים אחרים של הרגולטורים.

רשויות פדרליות המסדירות פעילות בתחום עיבוד נתונים אישיים

• Roskomnadzor (השירות הפדרלי לפיקוח על תקשורת ותקשורת המונים) - מפעיל בקרה ופיקוח על עמידה בעיבוד PD בדרישות החוק.
• FSTEC של רוסיה (השירות הפדרלי לבקרת טכנית ויצוא) - קובע שיטות ואמצעים להגנה על מידע באמצעים טכניים.
• FSB של רוסיה (שירות הביטחון הפדרלי של הפדרציה הרוסית) - קובע שיטות ואמצעים להגנה על מידע במסגרת סמכויותיו (תחום השימוש באמצעי הצפנה להגנה על מידע)

כל ארגון המעבד נתונים אישיים מתמודד עם הבעיה של העמדת מערכות המידע שלו בדרישות החוק. הגנה על נתונים אישיים היא אחד הנושאים הדוחקים ביותר, לא רק ברוסיה, אלא גם במדינות אחרות. 

סוגי נתונים אישיים

על פי החוק הפדרלי מס' 152, נתונים אישיים הם כל מידע הקשור לאדם שזוהה או נקבע על בסיס מידע כזה (נושא לנתונים אישיים). לדוגמא: שם מלא, תאריך ומקום לידה, כתובת, משפחה, חברתי, מצב רכושי, השכלה וכו'.

הנתונים האישיים מחולקים למספר קטגוריות:

מיוחד

נתונים אישיים הקשורים לגזע, לאום, דעות פוליטיות, אמונות דתיות או פילוסופיות, מצב בריאותי, חיים אינטימיים

ביומטרי

PD, המאפיינים את המאפיינים הפיזיולוגיים והביולוגיים של אדם, שעל בסיסם ניתן לקבוע את זהותו ואשר משמשים את המפעיל לקביעת זהותו של נושא הנתונים האישיים.

אחר

PD המתייחס לאדם המזוהה או ניתן לזיהוי באופן ישיר או עקיף ואינו נכלל בקטגוריות שלעיל

זמין לציבור

PD התקבל ממקורות זמינים לציבור שבהם הנתונים פורסמו בהסכמה בכתב של נושא הנתונים האישיים

עיבוד נתונים אישיים הוא כל פעולה (פעולה) או מערך פעולות עם נתונים אישיים באמצעות או בלי כלי אוטומציה, לרבות:

• אוסף,
• הקלטה,
• שִׁיטָתִיוּת,
• הצטברות,
• אִחסוּן,
• הבהרה (עדכון, שינוי),
• הוֹצָאָה,
• נוֹהָג,
• שידור (הפצה, אספקה, גישה),
• דה-פרסונליזציה,
• חסימה,
• הֲסָרָה,
• השמדת נתונים אישיים.

אחריות להפרות

על פי סעיף 24 לחוק הפדרלי מס' 152, אנשים אחראים להפרת החוק בהתאם לחקיקה של הפדרציה הרוסית.

בעת בדיקת חברה, הרגולטורים מונחים על ידי החוק הפדרלי-152 ומספר חוקי עזר. הבדיקה יכולה להיות מתוזמנת או לא מתוכננת - בהתבסס על עובדות של הפרות, כמו גם לפקח על צווים שניתנו בעבר לביטולן.

אנשים המפרים את הדרישות להגנה על מידע אישי עלולים לעמוד בפני אחריות אזרחית ומשמעתית, אלא גם מנהלית ואף פלילית.
 

כיצד לעמוד בדרישות החוק הפדרלי-152?

לכן, חברה או ארגון המעבדים נתונים אישיים או מידע רגיש אחר חייבים להגן על מידע זה בהתאם לחוק. זה לא רק דורש מומחיות רצינית, ידע וניסיון, אלא גם קשור לקשיים טכניים ולעלויות ניכרות.

על פי ההגדרה הרשמית שאושרה על ידי FSTEC, "...אבטחת נתונים אישיים היא מצב האבטחה של נתונים אישיים, המאופיינת ביכולתם של משתמשים, אמצעים טכניים וטכנולוגיות מידע להבטיח את הסודיות, השלמות והזמינות של נתונים אישיים כאשר מעובד במערכות מידע אישיות..."

על מנת לעמוד בדרישות הארגוניות, המשפטיות והטכניות של החוק הפדרלי 152, בעצמך, עליך ללמוד לא רק את החוק עצמו, אלא גם את חוקי העזר שלו, ולהבין בדיוק אילו אמצעים יש לנקוט. מומחי מיקור חוץ יכולים ללמוד את תהליכי עיבוד הנתונים האישיים בחברה, לערוך את המסמכים הדרושים, ליישם אמצעי אבטחה וכו'.

מערכת אבטחת מידע מקיפה כוללת:

• כלים למניעת חדירות (IDS).
• חומת אש (FW).
• הגנה מפני תוכנות זדוניות.
• מערכת לניטור ורישום אירועי אבטחה.
• מערכת הגנה קריפטוגרפית של ערוצי תקשורת (הצפנה).
• אמצעי הגנה על הסביבה הוירטואלית, מערכת הגנה מפני גישה לא מורשית (ATP), זיהוי ובקרת גישה.
• מערכת ניתוח אבטחה/זיהוי פגיעות וכו'.

בנוסף, אבטחת מידע מקיפה כוללת לא רק אמצעים טכניים, אלא גם ארגוניים.

Cloud FZ-152: תכונות יישום

מספר ספקים רוסים מספקים שירותים לאספקת תשתית ענן לאירוח מערכות מידע בהתאם לדרישות החקיקה הפדרלית בנוגע לנתונים אישיים. כאשר המערכות של הלקוח מתארחות בענן, הספק לוקח על עצמו סוגיות רבות של אבטחת מידע, כולל כאלה הקשורות להגנה על נתונים אישיים. בעת ההגירה לענן, זה יגן על תשתית ה-IT, וזה יסיר חלק מהאחריות מהלקוח. לדוגמה, הספק עומד בדרישות החוק הפדרלי 152 בנוגע להגנה על סביבת הוירטואליזציה.

כמו כן, הספקים יכולים להעניק ללקוחות תמיכה מומחים בפתרון בעיית הגנת המידע: קביעת רמת האבטחה הנדרשת ובהתאם לכך הצעת אפשרות יישום; לפתח תיעוד כדי לעמוד בדרישות החקיקה של הפדרציה הרוסית.

ענן מאובטח יעזור לייעל את עלויות הארגון על ידי הפחתת עלויות היצירה והתחזוקה של תשתית IT ומערכת אבטחת מידע פנימית. בדרך כלל, מומחים מוסמכים מספקים תמיכה טכנית מקיפה ותמיכה, כולל ייעוץ ופיתוח של חבילת מסמכים לאישור על ידי רשויות רגולטוריות, ופלטפורמת אספקת השירות עומדת בתקנים טכניים מחמירים ועומדת בדרישות הארגוניות הנדרשות. לקוחות יכולים לנצל את השירותים להכנת התיעוד הדרוש והגנה על ISPD ברמת האפליקציה ומערכת ההפעלה.

כמו כן ניתנים תהליכי ניהול סיכונים ופגיעות, חקירות אירועים, ביקורת אבטחה פנימית וחיצונית וכן ניטור ובדיקות שוטפות של הרשת, המערכות ותהליכי אבטחת המידע. מומחים מוסמכים מספקים תמיכה בתשתית IT XNUMX/XNUMX.

יחד, אמצעים אלה מבטיחים ציות לחוקים הפדרליים בנוגע להגנה על נתונים אישיים.

פלטפורמה מוסמכת

IBS DataFort מספקת שירות כזה על בסיס פלטפורמת DF Cloud מוסמכת. כל החלקים הטכניים, כלי הניהול והווירטואליזציה של פלטפורמה זו עומדים בדרישות ובנורמות של החוק הפדרלי-152.
ארכיטקטורת הענן המאובטח של IBS DataFort.

הפלטפורמה מספקת הגנה מובטחת של ISPD (עד רמת אבטחה 1 כולל), GIS (עד וכולל דרגת אבטחה 1) ואחסון נתונים מאובטח במרכז הנתונים Tier III. הפלטפורמה משתמשת בחומות אש מאושרות, כלי זיהוי ומניעת חדירה (IDS/IPS), הצפנת ערוצי תקשורת (GOST VPN), הגנת אנטי וירוס, הגנה מפני גישה לא מורשית, הגנה על סביבת הוירטואליזציה וכן כלי סריקת פגיעות.

Cloud FZ-152 מהווה פתרון מתאים גם למי שיש להם דרישות גבוהות לסודיות והגנת מידע, רוצה לחזק את המוניטין העסקי שלו או להשיג יתרון תחרותי כמו רמה גבוהה מוכחת של אבטחת מידע.

איך "לעבור" לענן כזה? האם "הגירה חלקה" אפשרית? דַי. לדוגמה, IBS DataFort מעבירה בצורה מאובטחת את ה-ISPD לענן המאובטח שלה, תוך מזעור זמן ההשבתה וההשפעה על התהליכים העסקיים של החברה (כולל מאתרים זרים).

הבאת תשתית ה-IT לעמידה בחוק הפדרלי-152

תהליך הבאת תשתית ה-IT של הלקוח לעמידה בדרישות החוק הפדרלי-152 מתחיל בביקורת והערכה של רמת האבטחה הנוכחית.

ביקורת על תשתית ה-IT של הלקוח כוללת בחינה של עיבוד והגנה על נתונים אישיים ובחינה של מערכת המידע של הלקוח. נערך דוח סקר עם תיאור מפורט של תהליכי עיבוד ה-PD מנקודת מבט טכנית.

העבודה כוללת גם מודלים של איומים ופולשים ועריכת דוח על קביעת רמת האבטחה ל-ISPD. בהתבסס על תוצאות הביקורת, נערך מפרט טכני פרטי למערכת ההגנה של ISPD המגדיר את הדרישות למערכת המתוכננת.

מתפתחת מערכת של מדיניות, הנחיות, תקנות ומסמכים אחרים להגנה על נתונים אישיים. במקביל, מומחים מנסים לייעל את העלויות של הלקוח ליישום אמצעי אבטחה.

IBS DataFort מספקת שירותים להכנת תיעוד והגנה על ISPD כדי לעמוד בחקיקה הפדרלית בנושא הגנה על נתונים אישיים ויכולה לסייע בהכנת והעברת הסמכה (ISPD, GIS, AS).

ההסמכה מתבצעת על ידי מבקרים עצמאיים המורשים על ידי FSTEC וה-FSB של רוסיה. העברת הסמכה כזו מאשרת את ההגנה האמינה על הנתונים האישיים של השותפים והלקוחות של החברה מפני איומים חיצוניים, ועמידה מקיפה בדרישות הרגולטוריות. חשוב שהלקוחות יקבלו את הנוחות של "חנות אחת": הכל מסופק על ידי חברה אחת - IBS DataFort.

עבור מפעיל הנתונים האישיים, משמעות הדבר היא מוכנות לבדיקות של Roskomnadzor, FSTEC וה-FSB, ביטול הסיכון של חסימת משאבים, והיעדר תביעות וסנקציות מהרגולטור.

שירות זה רלוונטי עבור קטגוריות רבות של לקוחות במגזר הממשלתי והארגוני ועשוי להיות מבוקש על ידי מפעילי נתונים אישיים המעוניינים להביא את פעילותם בהתאם לחוק. הצבת ה-IP בקטע סגור של תשתית הספק, מאושר על פי כל התקנים והדרישות הדרושים, פוטרת את הלקוח מהצורך לארגן באופן עצמאי את כל העבודה.

מקור: www.habr.com