IaaS 152-FZ: ასე რომ, თქვენ გჭირდებათ უსაფრთხოება

რაც არ უნდა დაალაგოთ მითები და ლეგენდები, რომლებიც ასახავს 152-FZ-ის შესაბამისობას, რაღაც ყოველთვის კულისებში რჩება. დღეს ჩვენ გვინდა განვიხილოთ რამდენიმე არა ყოველთვის აშკარა ნიუანსი, რომელიც შეიძლება შეგვხვდეს როგორც დიდ კომპანიებს, ასევე ძალიან მცირე საწარმოებს:

• PD კლასიფიკაციის დახვეწილობა კატეგორიებად - როდესაც პატარა ონლაინ მაღაზია აგროვებს სპეციალურ კატეგორიასთან დაკავშირებულ მონაცემებს, არც კი იცის ამის შესახებ;

• სადაც შეგიძლიათ შეინახოთ შეგროვებული PD-ის სარეზერვო ასლები და განახორციელოთ ოპერაციები მათზე;

• რა განსხვავებაა სერთიფიკატსა და შესაბამისობის დასკვნას შორის, რა დოკუმენტები უნდა მოითხოვოთ პროვაიდერისგან და მსგავსი რამ.

და ბოლოს, ჩვენ გაგიზიარებთ სერტიფიცირების გავლის საკუთარ გამოცდილებას. წადი!

დღევანდელ სტატიაში ექსპერტი იქნება ალექსეი აფანასიევი, IS სპეციალისტი ღრუბლოვანი პროვაიდერებისთვის IT-GRAD და #CloudMTS (MTS ჯგუფის ნაწილი).

კლასიფიკაციის დახვეწილობა

ჩვენ ხშირად ვაწყდებით კლიენტის სურვილს სწრაფად, IS აუდიტის გარეშე, განსაზღვროს ISPD-ისთვის უსაფრთხოების საჭირო დონე. ამ თემაზე ინტერნეტში არსებული ზოგიერთი მასალა ქმნის ცრუ შთაბეჭდილებას, რომ ეს მარტივი ამოცანაა და შეცდომის დაშვება საკმაოდ რთულია.

KM-ის დასადგენად, აუცილებელია იმის გაგება, თუ რა მონაცემებს შეაგროვებს და დაამუშავებს კლიენტის IS. ზოგჯერ შეიძლება რთული იყოს ცალსახად განსაზღვრა დაცვის მოთხოვნები და პერსონალური მონაცემების კატეგორია, რომელსაც ბიზნესი ახორციელებს. ერთი და იგივე ტიპის პერსონალური მონაცემები შეიძლება შეფასდეს და კლასიფიცირდეს სრულიად განსხვავებული გზით. ამიტომ, ზოგიერთ შემთხვევაში, ბიზნესის აზრი შეიძლება განსხვავდებოდეს აუდიტორის ან თუნდაც ინსპექტორის აზრისგან. მოდით შევხედოთ რამდენიმე მაგალითს.

Მანქანის სადგომი. როგორც ჩანს, ეს საკმაოდ ტრადიციული ტიპის ბიზნესია. ბევრი სატრანსპორტო ფლოტი მუშაობს ათწლეულების განმავლობაში და მათი მფლობელები ქირაობენ ინდივიდუალურ მეწარმეებს და ფიზიკურ პირებს. როგორც წესი, თანამშრომლის მონაცემები ექვემდებარება UZ-4-ის მოთხოვნებს. ამასთან, მძღოლებთან მუშაობისთვის საჭიროა არა მხოლოდ პერსონალური მონაცემების შეგროვება, არამედ სამედიცინო კონტროლის ჩატარება ავტოპარკის ტერიტორიაზე ცვლაში გასვლამდე და ამ პროცესში შეგროვებული ინფორმაცია დაუყოვნებლივ მიეკუთვნება კატეგორიას. სამედიცინო მონაცემები - და ეს არის სპეციალური კატეგორიის პერსონალური მონაცემები. გარდა ამისა, ფლოტს შეუძლია მოითხოვოს სერთიფიკატები, რომლებიც შემდეგ შეინახება მძღოლის ფაილში. ასეთი მოწმობის სკანირება ელექტრონული ფორმით - ჯანმრთელობის მონაცემები, სპეციალური კატეგორიის პერსონალური მონაცემები. ეს ნიშნავს, რომ UZ-4 აღარ არის საკმარისი, მინიმუმ UZ-3 არის საჭირო.

ონლაინ მაღაზია. როგორც ჩანს, შეგროვებული სახელები, ელ. წერილები და ტელეფონის ნომრები ჯდება საჯარო კატეგორიაში. თუმცა, თუ თქვენი მომხმარებლები მიუთითებენ დიეტურ პრეფერენციებზე, როგორიცაა ჰალალი ან კოშერი, ასეთი ინფორმაცია შეიძლება ჩაითვალოს რელიგიური კუთვნილების ან რწმენის მონაცემად. ამიტომ, სხვა საკონტროლო აქტივობების შემოწმებისას ან განხორციელებისას, ინსპექტორს შეუძლია თქვენს მიერ შეგროვებული მონაცემები პერსონალური მონაცემების სპეციალურ კატეგორიად მოახდინოს. ახლა, თუ ონლაინ მაღაზია შეაგროვებს ინფორმაციას იმის შესახებ, ურჩევნია თუ არა მისი მყიდველი ხორცი ან თევზი, ეს მონაცემები შეიძლება კლასიფიცირდეს როგორც სხვა პერსონალური მონაცემები. სხვათა შორის, რაც შეეხება ვეგეტარიანელებს? ეს ხომ შეიძლება ფილოსოფიურ შეხედულებებსაც მივაწეროთ, რომლებიც ასევე განსაკუთრებულ კატეგორიას განეკუთვნება. მაგრამ მეორეს მხრივ, ეს შეიძლება უბრალოდ იყოს იმ ადამიანის დამოკიდებულება, რომელმაც რაციონიდან ხორცი ამოიღო. სამწუხაროდ, არ არსებობს არანაირი ნიშანი, რომელიც ცალსახად განსაზღვრავს PD-ს კატეგორიას ასეთ „დახვეწილ“ სიტუაციებში.

Სარეკლამო სააგენტო ზოგიერთი დასავლური ღრუბლოვანი სერვისის გამოყენებით, ის ამუშავებს თავისი კლიენტების საჯაროდ ხელმისაწვდომ მონაცემებს - სრულ სახელებს, ელექტრონული ფოსტის მისამართებს და ტელეფონის ნომრებს. ეს პერსონალური მონაცემები, რა თქმა უნდა, ეხება პერსონალურ მონაცემებს. ჩნდება კითხვა: კანონიერია თუ არა ასეთი დამუშავების განხორციელება? შესაძლებელია თუ არა ასეთი მონაცემების გადატანა რუსეთის ფედერაციის გარეთ დეპერსონალიზაციის გარეშე, მაგალითად, სარეზერვო ასლების შესანახად ზოგიერთ უცხოურ ღრუბელში? Რა თქმა უნდა შეგიძლიათ. სააგენტოს აქვს უფლება შეინახოს ეს მონაცემები რუსეთის ფარგლებს გარეთ, თუმცა, პირველადი შეგროვება, ჩვენი კანონმდებლობის მიხედვით, უნდა განხორციელდეს რუსეთის ფედერაციის ტერიტორიაზე. თუ თქვენ შექმნით ამ ინფორმაციის სარეზერვო ასლს, მასზე დაყრდნობით გამოთვლით რამდენიმე სტატისტიკას, ჩაატარებთ კვლევას ან შეასრულებთ სხვა ოპერაციებს - ეს ყველაფერი შეიძლება გაკეთდეს დასავლურ რესურსებზე. საკვანძო პუნქტი იურიდიული თვალსაზრისით არის ის, თუ სად გროვდება პერსონალური მონაცემები. ამიტომ მნიშვნელოვანია, რომ არ მოხდეს თავდაპირველი შეგროვება და დამუშავება აღრეული.

როგორც ამ მოკლე მაგალითებიდან ჩანს, პერსონალურ მონაცემებთან მუშაობა ყოველთვის არ არის მარტივი და მარტივი. თქვენ არა მხოლოდ უნდა იცოდეთ, რომ მუშაობთ მათთან, არამედ შეძლოთ მათი სწორად კლასიფიკაცია, იმის გაგება, თუ როგორ მუშაობს IP, რათა სწორად განსაზღვროთ უსაფრთხოების საჭირო დონე. ზოგიერთ შემთხვევაში, შეიძლება გაჩნდეს კითხვა, თუ რა რაოდენობის პერსონალური მონაცემები სჭირდება ორგანიზაციას რეალურად მუშაობისთვის. შესაძლებელია თუ არა უარი თქვას ყველაზე "სერიოზულ" ან უბრალოდ არასაჭირო მონაცემებზე? გარდა ამისა, მარეგულირებელი რეკომენდაციას უწევს პერსონალური მონაცემების დეპერსონალიზაციას, სადაც ეს შესაძლებელია. 

როგორც ზემოთ მოყვანილ მაგალითებში, ზოგჯერ შეიძლება შეგხვდეთ ის ფაქტი, რომ ინსპექტირების ორგანოები შეგროვებულ პერსონალურ მონაცემებს ოდნავ განსხვავებულად განმარტავენ, ვიდრე თქვენ თავად შეაფასეთ ისინი.

რა თქმა უნდა, თქვენ შეგიძლიათ დაიქირაოთ აუდიტორი ან სისტემური ინტეგრატორი ასისტენტად, მაგრამ იქნება თუ არა „ასისტენტი“ პასუხისმგებელი აუდიტის შემთხვევაში არჩეულ გადაწყვეტილებებზე? აღსანიშნავია, რომ პასუხისმგებლობა ყოველთვის ეკისრება ISPD-ის მფლობელს - პერსონალური მონაცემების ოპერატორს. სწორედ ამიტომ, როდესაც კომპანია ახორციელებს ასეთ სამუშაოს, მნიშვნელოვანია მივმართოთ ბაზარზე სერიოზულ მოთამაშეებს ასეთი სერვისებისთვის, მაგალითად, კომპანიებს, რომლებიც ახორციელებენ სასერტიფიკაციო სამუშაოებს. სერტიფიცირების კომპანიებს აქვთ ასეთი სამუშაოს განხორციელების დიდი გამოცდილება.

ISPD-ის შექმნის ვარიანტები

ISPD-ის მშენებლობა არა მხოლოდ ტექნიკური, არამედ დიდწილად იურიდიული საკითხია. CIO ან უსაფრთხოების დირექტორმა ყოველთვის უნდა გაიაროს კონსულტაცია იურიდიულ მრჩეველთან. იმის გამო, რომ კომპანიას ყოველთვის არ ჰყავს საჭირო პროფილის სპეციალისტი, ღირს აუდიტორ-კონსულტანტების მოძიება. ბევრი მოლიპულ წერტილი შეიძლება საერთოდ არ იყოს აშკარა.

კონსულტაცია საშუალებას მოგცემთ განსაზღვროთ, თუ რა პერსონალურ მონაცემებთან გაქვთ საქმე და რა დონის დაცვას მოითხოვს ეს. შესაბამისად, თქვენ მიიღებთ იდეას IP-ზე, რომელიც უნდა შეიქმნას ან დაემატოს უსაფრთხოების და ოპერატიული უსაფრთხოების ზომებით.

ხშირად კომპანიის არჩევანი ორ ვარიანტს შორისაა:

1. შექმენით შესაბამისი IS თქვენს საკუთარ აპარატურულ და პროგრამულ გადაწყვეტილებებზე, შესაძლოა თქვენს საკუთარ სერვერულ ოთახში.

2. დაუკავშირდით ღრუბლოვან პროვაიდერს და შეარჩიეთ ელასტიური გადაწყვეტა, უკვე სერტიფიცირებული „ვირტუალური სერვერის ოთახი“.

პერსონალური მონაცემების დამუშავების საინფორმაციო სისტემების უმეტესობა იყენებს ტრადიციულ მიდგომას, რომელსაც, ბიზნესის თვალსაზრისით, ძნელად შეიძლება ეწოდოს მარტივი და წარმატებული. ამ ვარიანტის არჩევისას აუცილებელია გვესმოდეს, რომ ტექნიკური დიზაინი მოიცავს აღჭურვილობის აღწერას, მათ შორის პროგრამულ და აპარატურულ გადაწყვეტილებებს და პლატფორმებს. ეს ნიშნავს, რომ თქვენ მოგიწევთ გაუმკლავდეთ შემდეგ სირთულეებს და შეზღუდვებს:

• სკალირების სირთულე;

• პროექტის განხორციელების ხანგრძლივი პერიოდი: აუცილებელია სისტემის შერჩევა, შეძენა, ინსტალაცია, კონფიგურაცია და აღწერა;

• ბევრი "ქაღალდის" სამუშაო, მაგალითად - დოკუმენტაციის სრული პაკეტის შემუშავება მთელი ISPD-სთვის.

გარდა ამისა, ბიზნესს, როგორც წესი, ესმის მისი IP-ის მხოლოდ „უმაღლესი“ დონე - ბიზნეს აპლიკაციები, რომელსაც იყენებს. სხვა სიტყვებით რომ ვთქვათ, IT პერსონალი დახელოვნებულია თავის კონკრეტულ სფეროში. არ არის გაგებული, თუ როგორ მუშაობს ყველა "ქვედა დონე": პროგრამული უზრუნველყოფისა და აპარატურის დაცვა, შენახვის სისტემები, სარეზერვო და, რა თქმა უნდა, როგორ უნდა დააკონფიგურიროთ დაცვის ხელსაწყოები ყველა მოთხოვნის შესაბამისად, ააწყოთ კონფიგურაციის "ტექნიკის" ნაწილი. მნიშვნელოვანია გვესმოდეს: ეს არის ცოდნის უზარმაზარი ფენა, რომელიც დევს კლიენტის ბიზნესის მიღმა. ეს არის ის, სადაც ღრუბლოვანი პროვაიდერის გამოცდილება, რომელიც უზრუნველყოფს სერტიფიცირებულ „ვირტუალური სერვერის ოთახს“ შეიძლება სასარგებლო იყოს.

თავის მხრივ, ღრუბლოვან პროვაიდერებს აქვთ მთელი რიგი უპირატესობები, რომლებიც, გადაჭარბების გარეშე, შეუძლიათ დაფარონ ბიზნესის საჭიროებების 99% პერსონალური მონაცემების დაცვის სფეროში:

• კაპიტალური ხარჯები გარდაიქმნება საოპერაციო ხარჯებად;

• პროვაიდერი, თავის მხრივ, უზრუნველყოფს უსაფრთხოებისა და ხელმისაწვდომობის საჭირო დონის უზრუნველყოფას დადასტურებული სტანდარტული გადაწყვეტის საფუძველზე;

• არ არის საჭირო სპეციალისტების პერსონალის შენარჩუნება, რომლებიც უზრუნველყოფენ ISPD-ის მუშაობას აპარატურის დონეზე;

• პროვაიდერები გვთავაზობენ ბევრად უფრო მოქნილ და ელასტიურ გადაწყვეტილებებს;

• პროვაიდერის სპეციალისტებს აქვთ ყველა საჭირო სერთიფიკატი;

• შესაბამისობა არ არის დაბალი, ვიდრე საკუთარი არქიტექტურის აშენებისას, რეგულატორების მოთხოვნებისა და რეკომენდაციების გათვალისწინებით.

ძველი მითი იმის შესახებ, რომ პერსონალური მონაცემების ღრუბელში შენახვა შეუძლებელია, ჯერ კიდევ ძალიან პოპულარულია. ეს მხოლოდ ნაწილობრივ მართალია: PD ნამდვილად არ შეიძლება განთავსდეს პირველ ხელმისაწვდომში ღრუბელი. საჭიროა გარკვეული ტექნიკური ზომების დაცვა და გარკვეული სერტიფიცირებული გადაწყვეტილებების გამოყენება. თუ პროვაიდერი აკმაყოფილებს ყველა იურიდიულ მოთხოვნას, პერსონალური მონაცემების გაჟონვასთან დაკავშირებული რისკები მინიმუმამდეა დაყვანილი. ბევრ პროვაიდერს აქვს ცალკე ინფრასტრუქტურა პერსონალური მონაცემების დასამუშავებლად 152-FZ-ის შესაბამისად. თუმცა, მიმწოდებლის არჩევანს ასევე უნდა მივუდგეთ გარკვეული კრიტერიუმების ცოდნით, რა თქმა უნდა, მათ ქვემოთ შევეხებით. 

კლიენტები ხშირად მოდიან ჩვენთან გარკვეული შეშფოთებით პროვაიდერის ღრუბელში პერსონალური მონაცემების განთავსების შესახებ. კარგად, მოდით, დაუყოვნებლივ განვიხილოთ ისინი.

• მონაცემები შეიძლება მოიპაროს გადაცემის ან მიგრაციის დროს

ამის შიში არ არის საჭირო - პროვაიდერი კლიენტს სთავაზობს მონაცემთა გადაცემის უსაფრთხო არხის შექმნას, რომელიც აგებულია სერტიფიცირებულ გადაწყვეტილებებზე, გაძლიერებული ავთენტიფიკაციის ზომები კონტრაქტორებისა და თანამშრომლებისთვის. რჩება მხოლოდ დაცვის შესაბამისი მეთოდების არჩევა და მათი დანერგვა, როგორც კლიენტთან თქვენი მუშაობის ნაწილი.

• მოვა ნიღბების ჩვენება და სერვერს წაართმევს/დალუქავს/გათიშავს ელექტროენერგიას

სავსებით გასაგებია მომხმარებლებისთვის, რომლებიც შიშობენ, რომ მათი ბიზნეს პროცესები შეფერხდება ინფრასტრუქტურის არასაკმარისი კონტროლის გამო. როგორც წესი, ამაზე ფიქრობენ ის კლიენტები, რომელთა აპარატურა ადრე იყო განთავსებული მცირე სერვერის ოთახებში, ვიდრე სპეციალიზებულ მონაცემთა ცენტრებში. რეალურად, მონაცემთა ცენტრები აღჭურვილია როგორც ფიზიკური, ასევე ინფორმაციის დაცვის თანამედროვე საშუალებებით. თითქმის შეუძლებელია ასეთ მონაცემთა ცენტრში რაიმე ოპერაციების განხორციელება საკმარისი საფუძვლებისა და დოკუმენტების გარეშე და ასეთი აქტივობები მოითხოვს მთელი რიგი პროცედურების დაცვას. გარდა ამისა, თქვენი სერვერის „გაყვანა“ მონაცემთა ცენტრიდან შეიძლება გავლენა იქონიოს პროვაიდერის სხვა კლიენტებზე და ეს ნამდვილად არავისთვის არის საჭირო. გარდა ამისა, ვერავინ შეძლებს კონკრეტულად „თქვენს“ ვირტუალურ სერვერზე თითის გაშლას, ასე რომ, თუ ვინმეს მისი მოპარვა ან ნიღბის შოუს დადგმა სურს, პირველ რიგში, უამრავ ბიუროკრატიულ შეფერხებასთან მოუწევს გამკლავება. ამ დროის განმავლობაში, დიდი ალბათობით გექნებათ დრო, რომ რამდენჯერმე გადახვიდეთ სხვა საიტზე.

• ჰაკერები გატეხენ ღრუბელს და მოიპარავენ მონაცემებს

ინტერნეტი და ბეჭდური პრესა სავსეა სათაურებით იმის შესახებ, თუ როგორ გახდა კიდევ ერთი ღრუბელი კიბერდანაშაულების მსხვერპლი და მილიონობით პირადი მონაცემების ჩანაწერმა გაჟონა ინტერნეტში. უმეტეს შემთხვევაში, დაუცველობა აღმოჩენილი იყო არა პროვაიდერის მხარეს, არამედ დაზარალებულთა საინფორმაციო სისტემებში: სუსტი ან თუნდაც ნაგულისხმევი პაროლები, „ხვრელები“ ​​ვებსაიტების ძრავებსა და მონაცემთა ბაზებში და ბანალური საქმიანი დაუდევრობა უსაფრთხოების ზომების არჩევისას და მონაცემთა წვდომის პროცედურების ორგანიზება. ყველა სერტიფიცირებული გადაწყვეტა შემოწმებულია დაუცველობისთვის. ჩვენ ასევე რეგულარულად ვატარებთ „საკონტროლო“ პენტესტებსა და უსაფრთხოების აუდიტს, როგორც დამოუკიდებლად, ასევე გარე ორგანიზაციების მეშვეობით. პროვაიდერისთვის ეს რეპუტაციისა და ზოგადად ბიზნესის საკითხია.

• პროვაიდერის/პროვაიდერის თანამშრომლები მოიპარავენ პერსონალურ მონაცემებს პირადი სარგებლობისთვის

ეს საკმაოდ მგრძნობიარე მომენტია. ინფორმაციული უსაფრთხოების სამყაროს არაერთი კომპანია „აშინებს“ თავის კლიენტებს და ამტკიცებს, რომ „შიდა თანამშრომლები უფრო სახიფათოა, ვიდრე გარე ჰაკერები“. ეს შეიძლება ზოგიერთ შემთხვევაში მართალია, მაგრამ ბიზნესი ნდობის გარეშე ვერ აშენდება. დროდადრო ციმციმებს ახალი ამბები იმის შესახებ, რომ ორგანიზაციის საკუთარი თანამშრომლები მომხმარებელთა მონაცემებს ავრცელებენ თავდამსხმელებს და შიდა უსაფრთხოება ზოგჯერ გარე უსაფრთხოებაზე ბევრად უარესად არის ორგანიზებული. აქ მნიშვნელოვანია გვესმოდეს, რომ ნებისმიერი დიდი პროვაიდერი უკიდურესად უინტერესოა ნეგატიური შემთხვევებით. პროვაიდერის თანამშრომლების ქმედებები კარგად არის რეგულირებული, როლები და პასუხისმგებლობის სფეროები იყოფა. ყველა ბიზნეს პროცესი სტრუქტურირებულია ისე, რომ მონაცემთა გაჟონვის შემთხვევები უკიდურესად ნაკლებად სავარაუდოა და ყოველთვის შესამჩნევია შიდა სერვისებისთვის, ამიტომ კლიენტებს არ უნდა ეშინოდეთ ამ მხრიდან პრობლემების.

• თქვენ იხდით ცოტას, რადგან იხდით სერვისებს თქვენი ბიზნესის მონაცემებით.

კიდევ ერთი მითი: კლიენტი, რომელიც ქირაობს დაცულ ინფრასტრუქტურას კომფორტულ ფასად, რეალურად იხდის მას თავისი მონაცემებით - ამას ხშირად ფიქრობენ ექსპერტები, რომლებსაც არ აინტერესებთ რამდენიმე შეთქმულების თეორიის წაკითხვა ძილის წინ. პირველ რიგში, თქვენი მონაცემებით სხვა ოპერაციების განხორციელების შესაძლებლობა, გარდა ბრძანებაში მითითებულისა, არსებითად ნულის ტოლია. მეორეც, ადეკვატური პროვაიდერი აფასებს თქვენთან ურთიერთობას და მის რეპუტაციას - თქვენს გარდა მას კიდევ ბევრი კლიენტი ჰყავს. უფრო სავარაუდოა საპირისპირო სცენარი, რომელშიც პროვაიდერი გულმოდგინედ დაიცავს თავისი კლიენტების მონაცემებს, რომლებზეც მისი ბიზნესი ეყრდნობა.

ღრუბლოვანი პროვაიდერის არჩევა ISPD-სთვის

დღეს ბაზარი ბევრ გადაწყვეტილებას სთავაზობს კომპანიებს, რომლებიც PD ოპერატორები არიან. ქვემოთ მოცემულია რეკომენდაციების ზოგადი სია სწორი არჩევისთვის.

• პროვაიდერი მზად უნდა იყოს დადოს ოფიციალური შეთანხმება, რომელიც აღწერს მხარეთა პასუხისმგებლობებს, SLA-ებს და პასუხისმგებლობის სფეროებს პერსონალური მონაცემების დამუშავების გასაღებში. სინამდვილეში, თქვენსა და პროვაიდერს შორის, მომსახურების ხელშეკრულების გარდა, უნდა გაფორმდეს PD დამუშავების შეკვეთა. ნებისმიერ შემთხვევაში, ღირს მათი გულდასმით შესწავლა. მნიშვნელოვანია გვესმოდეს პასუხისმგებლობის განაწილება თქვენსა და პროვაიდერს შორის.

• გთხოვთ გაითვალისწინოთ, რომ სეგმენტი უნდა აკმაყოფილებდეს მოთხოვნებს, რაც იმას ნიშნავს, რომ მას უნდა ჰქონდეს სერთიფიკატი, რომელიც მიუთითებს უსაფრთხოების დონეზე არანაკლებ, ვიდრე ამას მოითხოვს თქვენი IP. ხდება, რომ პროვაიდერები აქვეყნებენ სერტიფიკატის მხოლოდ პირველ გვერდს, საიდანაც ცოტა რამ არის ნათელი, ან მიმართავენ აუდიტს ან შესაბამისობის პროცედურებს თავად სერტიფიკატის გამოქვეყნების გარეშე („იყო ბიჭი?“). ღირს ამის მოთხოვნა - ეს არის საჯარო დოკუმენტი, რომელიც მიუთითებს ვინ ჩაატარა სერტიფიცირება, მოქმედების ვადა, ღრუბლის ადგილმდებარეობა და ა.შ.

• პროვაიდერმა უნდა მიაწოდოს ინფორმაცია იმის შესახებ, თუ სად მდებარეობს მისი საიტები (დაცული ობიექტები), რათა თქვენ შეძლოთ თქვენი მონაცემების განთავსება. შეგახსენებთ, რომ პერსონალური მონაცემების თავდაპირველი შეგროვება უნდა განხორციელდეს რუსეთის ფედერაციის ტერიტორიაზე, შესაბამისად, სასურველია იხილოთ მონაცემთა ცენტრის მისამართები ხელშეკრულებაში/სერთიფიკატში.

• პროვაიდერმა უნდა გამოიყენოს სერტიფიცირებული ინფორმაციის უსაფრთხოებისა და ინფორმაციის დაცვის სისტემები. რა თქმა უნდა, პროვაიდერების უმეტესობა არ აქვეყნებს რეკლამას ტექნიკური უსაფრთხოების ზომებს და გადაწყვეტილებების არქიტექტურას, რომელსაც ისინი იყენებენ. მაგრამ თქვენ, როგორც კლიენტს, არ შეგიძლიათ არ იცოდეთ ამის შესახებ. მაგალითად, მართვის სისტემასთან (მენეჯმენტის პორტალთან) დისტანციურად დასაკავშირებლად აუცილებელია უსაფრთხოების ზომების გამოყენება. პროვაიდერი ვერ შეძლებს ამ მოთხოვნას გვერდის ავლით და მოგაწვდით (ან მოგთხოვთ გამოიყენოთ) სერტიფიცირებულ გადაწყვეტილებებს. აიღეთ რესურსები გამოცდისთვის და მაშინვე მიხვდებით როგორ და რა მუშაობს. 

• უაღრესად სასურველია, რომ ღრუბლოვანი პროვაიდერი უზრუნველყოს დამატებითი სერვისები ინფორმაციის უსაფრთხოების სფეროში. ეს შეიძლება იყოს სხვადასხვა სერვისები: დაცვა DDoS შეტევებისგან და WAF, ანტივირუსული სერვისი ან სავარჯიშო ყუთი და ა.შ. ეს ყველაფერი საშუალებას მოგცემთ მიიღოთ დაცვა, როგორც სერვისი, არ გაგიფანტოთ ყურადღება შენობის დამცავი სისტემებით, არამედ იმუშაოთ ბიზნეს აპლიკაციებზე.

• პროვაიდერი უნდა იყოს FSTEC-ისა და FSB-ის ლიცენზიატი. როგორც წესი, ასეთი ინფორმაცია განთავსებულია პირდაპირ ვებგვერდზე. დარწმუნდით, რომ მოითხოვეთ ეს დოკუმენტები და შეამოწმეთ არის თუ არა სწორი მომსახურების მიწოდების მისამართები, პროვაიდერის კომპანიის სახელი და ა.შ. 

შევაჯამოთ. ინფრასტრუქტურის დაქირავება საშუალებას მოგცემთ მიატოვოთ CAPEX და შეინარჩუნოთ მხოლოდ თქვენი ბიზნეს აპლიკაციები და თავად მონაცემები თქვენს პასუხისმგებლობის არეალში და გადაიტანოთ ტექნიკის და პროგრამული უზრუნველყოფის და ტექნიკის სერტიფიცირების მძიმე ტვირთი პროვაიდერზე.

როგორ გავიარეთ სერთიფიკატი

სულ ახლახან, ჩვენ წარმატებით გავიარეთ "Secure Cloud FZ-152" ინფრასტრუქტურის ხელახალი სერტიფიცირება პერსონალურ მონაცემებთან მუშაობის მოთხოვნებთან შესაბამისობისთვის. სამუშაოები სერტიფიცირების ეროვნულმა ცენტრმა ჩაატარა.

ამჟამად, „FZ-152 Secure Cloud“ სერტიფიცირებულია პერსონალური მონაცემების დამუშავებაში, შენახვაში ან გადაცემაში ჩართული საინფორმაციო სისტემებისთვის (ISPDn) UZ-3 დონის მოთხოვნების შესაბამისად.

სერტიფიცირების პროცედურა გულისხმობს ღრუბლოვანი პროვაიდერის ინფრასტრუქტურის დაცვის დონესთან შესაბამისობის შემოწმებას. თავად პროვაიდერი უზრუნველყოფს IaaS სერვისს და არ არის პერსონალური მონაცემების ოპერატორი. პროცესი მოიცავს როგორც ორგანიზაციული (დოკუმენტაცია, ბრძანებები და ა.შ.), ასევე ტექნიკური ღონისძიებების (დამცავი აღჭურვილობის დაყენება და ა.შ.) შეფასებას.

მას არ შეიძლება ეწოდოს ტრივიალური. იმისდა მიუხედავად, რომ GOST პროგრამებზე და სასერთიფიკატო საქმიანობის ჩატარების მეთოდებზე გამოჩნდა ჯერ კიდევ 2013 წელს, ღრუბლოვანი ობიექტებისთვის მკაცრი პროგრამები ჯერ კიდევ არ არსებობს. სერტიფიცირების ცენტრები ავითარებენ ამ პროგრამებს საკუთარ გამოცდილებაზე დაყრდნობით. ახალი ტექნოლოგიების მოსვლასთან ერთად, პროგრამები ხდება უფრო რთული და მოდერნიზებული, შესაბამისად, სერტიფიკატორს უნდა ჰქონდეს ღრუბლოვანი გადაწყვეტილებების მუშაობის გამოცდილება და გაიგოს სპეციფიკა.

ჩვენს შემთხვევაში, დაცული ობიექტი შედგება ორი ადგილისგან.

• ღრუბლოვანი რესურსები (სერვერები, შენახვის სისტემები, ქსელის ინფრასტრუქტურა, უსაფრთხოების ინსტრუმენტები და ა.შ.) განთავსებულია უშუალოდ მონაცემთა ცენტრში. რა თქმა უნდა, ასეთი ვირტუალური მონაცემთა ცენტრი დაკავშირებულია საჯარო ქსელებთან და, შესაბამისად, უნდა დაკმაყოფილდეს Firewall-ის გარკვეული მოთხოვნები, მაგალითად, სერტიფიცირებული firewall-ის გამოყენება.

• ობიექტის მეორე ნაწილი არის ღრუბლის მართვის ინსტრუმენტები. ეს არის სამუშაო სადგურები (ადმინისტრატორის სამუშაო სადგურები), საიდანაც იმართება დაცული სეგმენტი.

მდებარეობები ურთიერთობენ CIPF-ზე აგებული VPN არხის მეშვეობით.

ვინაიდან ვირტუალიზაციის ტექნოლოგიები ქმნის საფრთხის გაჩენის წინაპირობებს, ჩვენ ასევე ვიყენებთ დამატებით სერტიფიცირებულ დაცვის ინსტრუმენტებს.

ბლოკ-სქემა "შემფასებლის თვალით"

თუ კლიენტი მოითხოვს მისი ISPD-ის სერტიფიცირებას, IaaS-ის დაქირავების შემდეგ მას მხოლოდ ვირტუალური მონაცემთა ცენტრის დონეზე მაღლა მოუწევს საინფორმაციო სისტემის შეფასება. ეს პროცედურა მოიცავს ინფრასტრუქტურისა და მასზე გამოყენებული პროგრამული უზრუნველყოფის შემოწმებას. ვინაიდან თქვენ შეგიძლიათ მიმართოთ პროვაიდერის სერთიფიკატს ინფრასტრუქტურის ყველა საკითხზე, ყველაფერი რაც თქვენ უნდა გააკეთოთ არის პროგრამულ უზრუნველყოფასთან მუშაობა.

გამოყოფა აბსტრაქციის დონეზე

დასასრულს, აქ არის მცირე ჩამონათვალი კომპანიებისთვის, რომლებიც უკვე მუშაობენ პერსონალურ მონაცემებთან ან უბრალოდ გეგმავენ. ასე რომ, როგორ გავუმკლავდეთ მას დამწვრობის გარეშე.

1. საფრთხისა და თავდამსხმელების მოდელების აუდიტისა და შემუშავებისთვის, მოიწვიეთ გამოცდილი კონსულტანტი სერტიფიცირების ლაბორატორიებიდან, რომელიც დაგეხმარებათ შეადგინოთ საჭირო დოკუმენტები და მიგიყვანთ ტექნიკური გადაწყვეტილებების ეტაპზე.

2. ღრუბლოვანი პროვაიდერის არჩევისას ყურადღება მიაქციეთ სერთიფიკატის არსებობას. კარგი იქნება, თუ კომპანია საჯაროდ გამოაქვეყნებს მას პირდაპირ ვებგვერდზე. პროვაიდერი უნდა იყოს FSTEC-ისა და FSB-ის ლიცენზიატი და მის მიერ შეთავაზებული სერვისი უნდა იყოს სერტიფიცირებული.

3. დარწმუნდით, რომ გაქვთ ოფიციალური შეთანხმება და ხელმოწერილი ინსტრუქცია პერსონალური მონაცემების დამუშავების შესახებ. ამის საფუძველზე თქვენ შეძლებთ განახორციელოთ როგორც შესაბამისობის შემოწმება, ასევე ISPD სერტიფიცირება. თუ ეს სამუშაო ტექნიკური პროექტის ეტაპზე და საპროექტო-ტექნიკური დოკუმენტაციის შექმნა დატვირთული გეჩვენებათ, უნდა დაუკავშირდეთ მესამე მხარის საკონსულტაციო კომპანიებს. სასერთიფიკატო ლაბორატორიებიდან.

თუ პერსონალური მონაცემების დამუშავების საკითხები თქვენთვის აქტუალურია, 18 სექტემბერს, ამ პარასკევს, მოხარული ვიქნებით თქვენი ნახვა ვებინარზე "სერთიფიცირებული ღრუბლების აგების თავისებურებები".

წყარო: www.habr.com