მითები 152-FZ-ის შესახებ, რაც შეიძლება ძვირი დაუჯდეს პერსონალური მონაცემების ოპერატორს

Სალამი ყველას! მე ვმართავ DataLine კიბერ თავდაცვის ცენტრს. მომხმარებლები ჩვენთან მოდიან დავალებით დააკმაყოფილონ 152-FZ მოთხოვნები ღრუბელში ან ფიზიკურ ინფრასტრუქტურაზე.
თითქმის ყველა პროექტში აუცილებელია საგანმანათლებლო სამუშაოების ჩატარება ამ კანონის ირგვლივ არსებული მითების გასაქარწყლებლად. მე შევაგროვე ყველაზე გავრცელებული მცდარი წარმოდგენები, რომლებიც შეიძლება ძვირი დაუჯდეს პერსონალური მონაცემების ოპერატორის ბიუჯეტსა და ნერვულ სისტემას. მე დაუყოვნებლივ გავაკეთებ დათქმას, რომ სახელმწიფო უწყებების (GIS) შემთხვევები, რომლებიც ეხება სახელმწიფო საიდუმლოებას, KII და ა.შ. დარჩება ამ სტატიის ფარგლებს გარეთ.

მითი 1. დავაყენე ანტივირუსი, ფაირვოლი და თაროები შემოვიღე ღობით. ვიცავ კანონს?

152-FZ არ ეხება სისტემებისა და სერვერების დაცვას, არამედ სუბიექტების პერსონალური მონაცემების დაცვას. ამიტომ, 152-FZ-თან შესაბამისობა იწყება არა ანტივირუსით, არამედ ქაღალდის დიდი რაოდენობით და ორგანიზაციული საკითხებით.
მთავარი ინსპექტორი, Roskomnadzor, განიხილავს არა ტექნიკური დაცვის საშუალებების არსებობას და მდგომარეობას, არამედ პერსონალური მონაცემების დამუშავების სამართლებრივ საფუძველს (PD):

• რა მიზნით აგროვებთ პერსონალურ მონაცემებს;  
• აგროვებთ თუ არა მათ უფრო მეტს, ვიდრე გჭირდებათ თქვენი მიზნებისთვის;
• რამდენ ხანს ინახავთ პერსონალურ მონაცემებს;
• არსებობს თუ არა პერსონალური მონაცემების დამუშავების პოლიტიკა;
• აგროვებთ თუ არა თანხმობას პერსონალური მონაცემების დამუშავებაზე, ტრანსსასაზღვრო გადაცემაზე, მესამე მხარის მიერ დამუშავებაზე და ა.შ.

ამ კითხვებზე პასუხები, ისევე როგორც თავად პროცესები, უნდა ჩაიწეროს შესაბამის დოკუმენტებში. აქ არის შორს არის სრული სია იმისა, თუ რა უნდა მოამზადოს პერსონალური მონაცემების ოპერატორმა:

• სტანდარტული თანხმობის ფორმა პერსონალური მონაცემების დამუშავებაზე (ეს არის ფურცლები, რომლებსაც ახლა ვაწერთ ხელს თითქმის ყველგან, სადაც ვტოვებთ სრულ სახელს და პასპორტის დეტალებს).
• ოპერატორის პოლიტიკა პერსონალური მონაცემების დამუშავებასთან დაკავშირებით (აქ არის რეკომენდაციები დიზაინისთვის).
• ბრძანება პერსონალური მონაცემების დამუშავების ორგანიზებაზე პასუხისმგებელი პირის დანიშვნის შესახებ.  
• პერსონალური მონაცემების დამუშავების ორგანიზებაზე პასუხისმგებელი პირის სამუშაო აღწერილობა.
• შიდა კონტროლისა და (ან) აუდიტის წესები PD დამუშავების საკანონმდებლო მოთხოვნებთან შესაბამისობის შესახებ.  
• პერსონალური მონაცემების საინფორმაციო სისტემების სია (ISPD).
• რეგულაციები სუბიექტის პერსონალურ მონაცემებზე წვდომის უზრუნველყოფის შესახებ.
• ინციდენტის გამოძიების წესები.
• ბრძანება თანამშრომელთა პერსონალური მონაცემების დამუშავებაზე დაშვების შესახებ.
• რეგულატორებთან ურთიერთობის რეგულაციები.  
• RKN-ის შეტყობინება და ა.შ.
• PD დამუშავების ინსტრუქციის ფორმა.
• ISPD საფრთხის მოდელი.

ამ საკითხების გადაჭრის შემდეგ შეგიძლიათ დაიწყოთ კონკრეტული ზომებისა და ტექნიკური საშუალებების შერჩევა. რომელი მათგანი გჭირდებათ, დამოკიდებულია სისტემებზე, მათ საოპერაციო პირობებზე და მიმდინარე საფრთხეებზე. მაგრამ უფრო ამის შესახებ მოგვიანებით.

რეალობა: კანონთან შესაბამისობა არის გარკვეული პროცესების დამკვიდრება და შესაბამისობა, პირველ რიგში, და მხოლოდ მეორე - სპეციალური ტექნიკური საშუალებების გამოყენება.

მითი 2. მე ვინახავ პერსონალურ მონაცემებს ღრუბელში, მონაცემთა ცენტრში, რომელიც აკმაყოფილებს 152-FZ მოთხოვნებს. ახლა მათ ევალებათ კანონის აღსრულება

როდესაც პერსონალური მონაცემების შენახვას ღრუბლოვან პროვაიდერს ან მონაცემთა ცენტრს უგზავნით, თქვენ არ წყვეტთ პერსონალურ მონაცემთა ოპერატორს.
მოდით, დახმარებისთვის მოვითხოვოთ კანონის განმარტება:

პერსონალური მონაცემების დამუშავება – ნებისმიერი ქმედება (ოპერაცია) ან ქმედება (ოპერაციები) შესრულებული ავტომატიზაციის ხელსაწყოების გამოყენებით ან ასეთი საშუალებების გამოყენების გარეშე პერსონალურ მონაცემებთან, მათ შორის შეგროვება, ჩაწერა, სისტემატიზაცია, დაგროვება, შენახვა, დაზუსტება (განახლება, შეცვლა). პერსონალური მონაცემების მოპოვება, გამოყენება, გადაცემა (გავრცელება, უზრუნველყოფა, წვდომა), დეპერსონალიზაცია, დაბლოკვა, წაშლა, განადგურება.
წყარო: მუხლი 3, 152-FZ

ყველა ამ ქმედებიდან, მომსახურების მიმწოდებელი პასუხისმგებელია პერსონალური მონაცემების შენახვა-განადგურებაზე (როდესაც კლიენტი წყვეტს მასთან ხელშეკრულებას). ყველაფერი დანარჩენი მოცემულია პერსონალური მონაცემების ოპერატორის მიერ. ეს ნიშნავს, რომ ოპერატორი და არა სერვისის პროვაიდერი განსაზღვრავს პერსონალური მონაცემების დამუშავების პოლიტიკას, იღებს ხელმოწერილ თანხმობას მისი კლიენტებისგან პერსონალური მონაცემების დამუშავებაზე, ხელს უშლის და იძიებს პერსონალური მონაცემების მესამე პირებზე გაჟონვის შემთხვევებს და ა.შ.

შესაბამისად, პერსონალური მონაცემების ოპერატორმა კვლავ უნდა შეაგროვოს ზემოთ ჩამოთვლილი დოკუმენტები და განახორციელოს ორგანიზაციული და ტექნიკური ზომები მათი PDIS-ის დასაცავად.

როგორც წესი, პროვაიდერი ეხმარება ოპერატორს სამართლებრივი მოთხოვნების დაცვა ინფრასტრუქტურის დონეზე, სადაც განთავსდება ოპერატორის ISPD: თაროები აღჭურვილობით ან ღრუბელი. ის ასევე აგროვებს დოკუმენტების პაკეტს, იღებს ორგანიზაციულ და ტექნიკურ ზომებს მისი ინფრასტრუქტურის ნაწილისთვის 152-FZ შესაბამისად.

ზოგიერთი პროვაიდერი ეხმარება დოკუმენტაციას და უზრუნველყოს ტექნიკური უსაფრთხოების ზომები თავად ISDN-ებისთვის, ანუ ინფრასტრუქტურის მაღალ დონეზე. ოპერატორს შეუძლია ამ ამოცანების აუთსორსინგიც, მაგრამ კანონით გათვალისწინებული პასუხისმგებლობა და ვალდებულებები არ ქრება.

რეალობა: პროვაიდერის ან მონაცემთა ცენტრის სერვისების გამოყენებით, თქვენ არ შეგიძლიათ მას გადასცეთ პერსონალური მონაცემების ოპერატორის პასუხისმგებლობა და გათავისუფლდეთ პასუხისმგებლობისგან. თუ პროვაიდერი გპირდებათ ამას, მაშინ, რბილად რომ ვთქვათ, ის იტყუება.

მითი 3. მაქვს საბუთებისა და ღონისძიებების საჭირო პაკეტი. მე ვინახავ პერსონალურ მონაცემებს პროვაიდერთან, რომელიც გვპირდება 152-FZ-ის დაცვას. ყველაფერი რიგზეა?

დიახ, თუ გახსოვთ ბრძანების ხელმოწერა. კანონის თანახმად, ოპერატორს შეუძლია პერსონალური მონაცემების დამუშავება ანდოს სხვა პირს, მაგალითად, იმავე სერვისის პროვაიდერს. შეკვეთა არის ერთგვარი შეთანხმება, რომელიც ჩამოთვლის რა შეუძლია მომსახურების მიმწოდებელს გააკეთოს ოპერატორის პერსონალურ მონაცემებთან.

ოპერატორს უფლება აქვს ანდოს პერსონალური მონაცემების დამუშავებას სხვა პირს პერსონალური მონაცემების სუბიექტის თანხმობით, თუ ფედერალური კანონით სხვა რამ არ არის გათვალისწინებული, ამ პირთან დადებული ხელშეკრულების საფუძველზე, მათ შორის სახელმწიფო ან მუნიციპალური ხელშეკრულება. ან სახელმწიფო ან მუნიციპალური ორგანოს (შემდგომში - დავალების ოპერატორი) მიერ შესაბამისი აქტის მიღებით. პირი, რომელიც ამუშავებს პერსონალურ მონაცემებს ოპერატორის სახელით, ვალდებულია დაიცვას ამ ფედერალური კანონით გათვალისწინებული პერსონალური მონაცემების დამუშავების პრინციპები და წესები.
წყარო: პუნქტი 3, მუხლი 6, 152-FZ

ასევე დადგენილია პროვაიდერის ვალდებულება შეინარჩუნოს პერსონალური მონაცემების კონფიდენციალურობა და უზრუნველყოს მისი უსაფრთხოება მითითებული მოთხოვნების შესაბამისად:

ოპერატორის ბრძანებაში უნდა განისაზღვროს პერსონალური მონაცემებით ქმედებების (ოპერაციების) სია, რომელსაც განახორციელებს პირი, რომელიც ამუშავებს პერსონალურ მონაცემებს და დამუშავების მიზნებს, უნდა დადგინდეს ასეთი პირის ვალდებულება შეინარჩუნოს პერსონალური მონაცემების კონფიდენციალობა და უზრუნველყოს პერსონალური მონაცემების უსაფრთხოება მათი დამუშავებისას, ისევე როგორც დამუშავებული პერსონალური მონაცემების დაცვის მოთხოვნები უნდა განისაზღვროს მუხლი 19 ამ ფედერალური კანონის.
წყარო: პუნქტი 3, მუხლი 6, 152-FZ

ამისათვის პროვაიდერი პასუხისმგებელია ოპერატორის წინაშე და არა პერსონალური მონაცემების საგანზე:

თუ ოპერატორი პერსონალური მონაცემების დამუშავებას ანდობს სხვა პირს, ოპერატორი პასუხისმგებელია პერსონალური მონაცემების სუბიექტის წინაშე მითითებული პირის ქმედებებისთვის. პირი, რომელიც ამუშავებს პერსონალურ მონაცემებს ოპერატორის სახელით, პასუხისმგებელია ოპერატორის წინაშე.
წყარო: 152-FZ.

ასევე მნიშვნელოვანია ბრძანებაში განისაზღვროს პერსონალური მონაცემების დაცვის უზრუნველყოფის ვალდებულება:

პერსონალური მონაცემების უსაფრთხოებას საინფორმაციო სისტემაში დამუშავებისას უზრუნველყოფს ამ სისტემის ოპერატორი, რომელიც ამუშავებს პერსონალურ მონაცემებს (შემდგომში ოპერატორი), ან პირი, რომელიც ამუშავებს პერსონალურ მონაცემებს ოპერატორის სახელით. ამ პირთან (შემდგომში უფლებამოსილი პირი) დადებული ხელშეკრულება. ოპერატორსა და უფლებამოსილ პირს შორის ხელშეკრულება უნდა ითვალისწინებდეს უფლებამოსილი პირის ვალდებულებას, უზრუნველყოს პერსონალური მონაცემების უსაფრთხოება საინფორმაციო სისტემაში დამუშავებისას.
წყარო: რუსეთის ფედერაციის მთავრობის 1 წლის 2012 ნოემბრის ბრძანებულება No1119.

რეალობა: თუ პერსონალურ მონაცემებს აწვდით პროვაიდერს, მაშინ მოაწერეთ ხელი შეკვეთას. ბრძანებაში მიუთითეთ მოთხოვნა სუბიექტების პერსონალური მონაცემების დაცვის უზრუნველსაყოფად. წინააღმდეგ შემთხვევაში, თქვენ არ იცავთ კანონს პერსონალური მონაცემების დამუშავების სამუშაოების მესამე მხარისათვის გადაცემასთან დაკავშირებით და პროვაიდერი არ არის ვალდებული თქვენთან დაკავშირებით 152-FZ.

მითი 4. Mossad მიყვება ჯაშუშობას, ან მე ნამდვილად მყავს UZ-1

ზოგიერთი მომხმარებელი მუდმივად ამტკიცებს, რომ მათ აქვთ უსაფრთხოების 1 ან 2 დონის ISPD. ყველაზე ხშირად ეს ასე არ არის. მოდით გავიხსენოთ აპარატურა, რათა გავიგოთ, რატომ ხდება ეს.
LO, ანუ უსაფრთხოების დონე, განსაზღვრავს რისგან დაიცავთ თქვენს პერსონალურ მონაცემებს.
უსაფრთხოების დონეზე გავლენას ახდენს შემდეგი პუნქტები:

• პერსონალური მონაცემების ტიპი (სპეციალური, ბიომეტრიული, საჯაროდ ხელმისაწვდომი და სხვა);
• ვინც ფლობს პერსონალურ მონაცემებს - პერსონალური მონაცემების ოპერატორის თანამშრომლები ან არათანამშრომლები;
• პერსონალური მონაცემების სუბიექტების რაოდენობა – მეტ-ნაკლებად 100 ათასი.
• მიმდინარე საფრთხეების სახეები.

გვეუბნება საფრთხის ტიპების შესახებ რუსეთის ფედერაციის მთავრობის 1 წლის 2012 ნოემბრის ბრძანებულება No1119.. აქ არის თითოეულის აღწერა ჩემი თავისუფალი თარგმანით ადამიანურ ენაზე.

1 ტიპის საფრთხეები რელევანტურია საინფორმაციო სისტემისთვის, თუ საინფორმაციო სისტემაში გამოყენებული სისტემურ პროგრამულ უზრუნველყოფაში არადოკუმენტირებული (არადეკლარირებული) შესაძლებლობების არსებობასთან დაკავშირებული საფრთხეები ასევე შესაბამისია.

თუ თქვენ აღიარებთ ამ ტიპის საფრთხეს რელევანტურად, მაშინ მტკიცედ გჯერათ, რომ CIA, MI6 ან MOSSAD-ის აგენტებმა განათავსეს სანიშნე ოპერაციულ სისტემაში, რათა მოიპარონ კონკრეტული სუბიექტების პერსონალური მონაცემები თქვენი ISPD-დან.

მე-2 ტიპის საფრთხეები რელევანტურია საინფორმაციო სისტემისთვის, თუ საინფორმაციო სისტემაში გამოყენებული აპლიკაციის პროგრამულ უზრუნველყოფაში არადოკუმენტირებული (არადეკლარირებული) შესაძლებლობების არსებობასთან დაკავშირებული საფრთხეები ასევე შესაბამისია.

თუ ფიქრობთ, რომ მეორე ტიპის მუქარა თქვენი საქმეა, მაშინ იძინებთ და ხედავთ, როგორ მოათავსეს სანიშნეები CIA-ს, MI6-ის, MOSSAD-ის იგივე აგენტებმა, ბოროტმა მარტოხელა ჰაკერმა ან დაჯგუფებამ რომელიმე საოფისე პროგრამულ პაკეტში, რომ ზუსტად ნადირობდნენ. თქვენი პირადი მონაცემები. დიახ, არსებობს საეჭვო აპლიკაციის პროგრამული უზრუნველყოფა, როგორიცაა μTorrent, მაგრამ შეგიძლიათ შეადგინოთ ინსტალაციისთვის დაშვებული პროგრამული უზრუნველყოფის სია და მოაწეროთ ხელშეკრულება მომხმარებლებთან, არ მისცეთ მომხმარებლებს ადგილობრივი ადმინისტრატორის უფლებები და ა.შ.

მე-3 ტიპის საფრთხეები რელევანტურია საინფორმაციო სისტემისთვის, თუ საფრთხეები, რომლებიც არ არის დაკავშირებული სისტემაში დაუსაბუთებელი (გამოუცხადებელი) შესაძლებლობების არსებობასთან და საინფორმაციო სისტემაში გამოყენებული აპლიკაციის პროგრამულ უზრუნველყოფასთან არის შესაბამისი.

1 და 2 ტიპის საფრთხეები არ არის თქვენთვის შესაფერისი, ამიტომ ეს ადგილი თქვენთვისაა.

ჩვენ დავახარისხეთ საფრთხის ტიპები, ახლა ვნახოთ, უსაფრთხოების რა დონე ექნება ჩვენს ISPD-ს.

ცხრილი, რომელიც ეფუძნება მითითებულ კორესპონდენციებს რუსეთის ფედერაციის მთავრობის 1 წლის 2012 ნოემბრის ბრძანებულება No1119..

თუ ჩვენ ავირჩიეთ მესამე ტიპის რეალური საფრთხე, მაშინ უმეტეს შემთხვევაში გვექნება UZ-3. ერთადერთი გამონაკლისი, როდესაც 1 და 2 ტიპის საფრთხეები არ არის აქტუალური, მაგრამ უსაფრთხოების დონე მაინც მაღალი იქნება (UZ-2), არის კომპანიები, რომლებიც ამუშავებენ არადასაქმებულთა სპეციალურ პერსონალურ მონაცემებს 100-ზე მეტი ოდენობით. მაგალითად, კომპანიები, რომლებიც ეწევიან სამედიცინო დიაგნოსტიკასა და სამედიცინო სერვისების მიწოდებას.

ასევე არის UZ-4 და ის ძირითადად გვხვდება კომპანიებში, რომელთა ბიზნესი არ არის დაკავშირებული არათანამშრომლების, ანუ კლიენტების ან კონტრაქტორების პერსონალური მონაცემების დამუშავებასთან, ან პერსონალური მონაცემთა ბაზები მცირეა.

რატომ არის ასე მნიშვნელოვანი, რომ არ გადააჭარბოთ უსაფრთხოების დონეს? ეს მარტივია: უსაფრთხოების ამ დონის უზრუნველსაყოფად ზომებისა და დაცვის საშუალებების ნაკრები ამაზე იქნება დამოკიდებული. რაც უფრო მაღალია ცოდნის დონე, მით მეტის გაკეთება იქნება საჭირო ორგანიზაციულ-ტექნიკური თვალსაზრისით (წაიკითხეთ: მეტი ფული და ნერვები უნდა დაიხარჯოს).

აი, მაგალითად, როგორ იცვლება უსაფრთხოების ზომების ნაკრები იგივე PP-1119-ის შესაბამისად.

ახლა ვნახოთ, როგორ იცვლება უსაფრთხოების შერჩეული დონის მიხედვით, საჭირო ზომების სია შესაბამისად რუსეთის FSTEC-ის 21 წლის 18.02.2013 თებერვლის NoXNUMX ბრძანებით.  ამ დოკუმენტს აქვს გრძელი დანართი, რომელიც განსაზღვრავს აუცილებელ ზომებს. სულ 109 მათგანია, ყოველი კმ-ისთვის სავალდებულო ზომებია განსაზღვრული და მონიშნული „+“ ნიშნით - ისინი ზუსტად არის გათვლილი ქვემოთ მოცემულ ცხრილში. თუ დატოვებთ მხოლოდ UZ-3-სთვის საჭიროებს, მიიღებთ 4-ს.

რეალობა: თუ არ აგროვებთ ტესტებს ან ბიომეტრიას კლიენტებისგან, არ ხართ პარანოიდული სანიშნეების შესახებ სისტემურ და აპლიკაციის პროგრამულ უზრუნველყოფაში, მაშინ, სავარაუდოდ, თქვენ გაქვთ UZ-3. მას აქვს ორგანიზაციული და ტექნიკური ღონისძიებების გონივრული სია, რომლებიც რეალურად შეიძლება განხორციელდეს.

მითი 5. პერსონალური მონაცემების დაცვის ყველა საშუალება უნდა იყოს დამოწმებული რუსეთის FSTEC-ის მიერ

თუ გსურთ ან გჭირდებათ სერტიფიცირების ჩატარება, მაშინ, სავარაუდოდ, მოგიწევთ სერტიფიცირებული დამცავი აღჭურვილობის გამოყენება. სერტიფიცირებას განახორციელებს რუსეთის FSTEC-ის ლიცენზიატი, რომელიც:

• დაინტერესებულია მეტი სერტიფიცირებული ინფორმაციის დაცვის მოწყობილობების გაყიდვით;
• შეეშინდება მარეგულირებლის მიერ ლიცენზიის გაუქმების, თუ რამე არასწორედ მოხდება.

თუ არ გჭირდებათ სერტიფიცირება და მზად ხართ დაადასტუროთ მოთხოვნების შესრულება სხვა გზით, დასახელებული რუსეთის FSTEC-ის ბრძანება No21  „პერსონალური მონაცემების დაცვის სისტემაში განხორციელებული ღონისძიებების ეფექტურობის შეფასება პერსონალური მონაცემების უსაფრთხოების უზრუნველსაყოფად“, მაშინ ინფორმაციული უსაფრთხოების სერტიფიცირებული სისტემები არ არის საჭირო თქვენთვის. შევეცდები მოკლედ ავხსნა დასაბუთება.

В 2 19-FZ მუხლის მე-152 პუნქტი აცხადებს, რომ აუცილებელია დამცავი აღჭურვილობის გამოყენება, რომელმაც გაიარა შესაბამისობის შეფასების პროცედურა დადგენილი წესით:

მიღწეულია პერსონალური მონაცემების უსაფრთხოების უზრუნველყოფა, კერძოდ:
[…] 3) ინფორმაციული უსაფრთხოების საშუალებების გამოყენება, რომლებმაც გაიარეს შესაბამისობის შეფასების პროცედურა დადგენილი წესით.

В პუნქტი 13 PP-1119 ასევე არსებობს ინფორმაციული უსაფრთხოების ინსტრუმენტების გამოყენების მოთხოვნა, რომლებმაც გაიარეს პროცედურა კანონიერ მოთხოვნებთან შესაბამისობის შესაფასებლად:

ინფორმაციული უსაფრთხოების ინსტრუმენტების გამოყენება, რომლებმაც გაიარეს ინფორმაციული უსაფრთხოების სფეროში რუსეთის ფედერაციის კანონმდებლობის მოთხოვნებთან შესაბამისობის შეფასების პროცედურა, იმ შემთხვევებში, როდესაც ამგვარი საშუალებების გამოყენება აუცილებელია მიმდინარე საფრთხეების გასანეიტრალებლად.

FSTEC No4 ბრძანების მე-21 პუნქტი პრაქტიკულად ამრავლებს პუნქტს PP-1119:

პერსონალური მონაცემების უსაფრთხოების უზრუნველყოფის ღონისძიებები ხორციელდება, მათ შორის, ინფორმაციული უსაფრთხოების ინსტრუმენტების გამოყენებით ინფორმაციულ სისტემაში, რომლებმაც გაიარეს შესაბამისობის შეფასების პროცედურა დადგენილი წესით, იმ შემთხვევებში, როდესაც ასეთი ინსტრუმენტების გამოყენება აუცილებელია. პერსონალური მონაცემების უსაფრთხოებისთვის არსებული საფრთხეების განეიტრალება.

რა საერთო აქვთ ამ ფორმულირებებს? ეს ასეა - ისინი არ საჭიროებენ სერტიფიცირებული დამცავი აღჭურვილობის გამოყენებას. ფაქტია, რომ არსებობს შესაბამისობის შეფასების რამდენიმე ფორმა (ნებაყოფლობითი ან სავალდებულო სერტიფიცირება, შესაბამისობის დეკლარაცია). სერთიფიკატი მხოლოდ ერთი მათგანია. ოპერატორს შეუძლია გამოიყენოს არასერთიფიცირებული პროდუქტები, მაგრამ უნდა აჩვენოს მარეგულირებელს შემოწმების დროს, რომ მათ გაიარეს შესაბამისობის შეფასების პროცედურა.

თუ ოპერატორი გადაწყვეტს სერტიფიცირებული დამცავი აღჭურვილობის გამოყენებას, მაშინ აუცილებელია ინფორმაციის დაცვის სისტემის შერჩევა ულტრაბგერითი დაცვის შესაბამისად, რაც ნათლად არის მითითებული FSTEC ბრძანება No21:

პერსონალური მონაცემების დაცვის ტექნიკური ღონისძიებები ხორციელდება ინფორმაციული უსაფრთხოების ინსტრუმენტების, მათ შორის პროგრამული უზრუნველყოფის (ტექნიკის) ინსტრუმენტების გამოყენებით, რომლებშიც ისინი დანერგილია, რომლებსაც აქვთ უსაფრთხოების აუცილებელი ფუნქციები.
ინფორმაციული უსაფრთხოების მოთხოვნების შესაბამისად სერტიფიცირებული ინფორმაციული უსაფრთხოების ინსტრუმენტების გამოყენებისას საინფორმაციო სისტემებში:

რუსეთის FSTEC-ის No12 ბრძანების მე-21 პუნქტი.

რეალობა: კანონი არ მოითხოვს სერტიფიცირებული დამცავი აღჭურვილობის სავალდებულო გამოყენებას.

მითი 6. მე მჭირდება კრიპტო დაცვა

აქ არის რამდენიმე ნიუანსი:

1. ბევრს მიაჩნია, რომ კრიპტოგრაფია სავალდებულოა ნებისმიერი ISPD-სთვის. ფაქტობრივად, ისინი უნდა იქნას გამოყენებული მხოლოდ იმ შემთხვევაში, თუ ოპერატორი ვერ ხედავს სხვა დაცვის ზომას, გარდა კრიპტოგრაფიის გამოყენებისა.
2. თუ კრიპტოგრაფიის გარეშე არ შეგიძლიათ, მაშინ უნდა გამოიყენოთ FSB-ს მიერ დამოწმებული CIPF.
3. მაგალითად, თქვენ გადაწყვიტეთ ISPD-ის მასპინძლობა სერვისის პროვაიდერის ღრუბელში, მაგრამ არ ენდობით მას. თქვენ აღწერთ თქვენს შეშფოთებას საფრთხისა და თავდამსხმელის მოდელში. თქვენ გაქვთ პერსონალური მონაცემები, ამიტომ გადაწყვიტეთ, რომ კრიპტოგრაფია არის საკუთარი თავის დაცვის ერთადერთი გზა: თქვენ დაშიფვრავთ ვირტუალურ მანქანებს, ააგებთ უსაფრთხო არხებს კრიპტოგრაფიული დაცვის გამოყენებით. ამ შემთხვევაში, თქვენ მოგიწევთ გამოიყენოთ რუსეთის FSB-ს მიერ დამოწმებული CIPF.
4. სერტიფიცირებული CIPF შეირჩევა უსაფრთხოების გარკვეული დონის შესაბამისად ბრძანება No378 FSB.

ISPDn-სთვის UZ-3-ით შეგიძლიათ გამოიყენოთ KS1, KS2, KS3. KS1 არის, მაგალითად, C-Terra Virtual Gateway 4.2 არხების დასაცავად.

KC2, KS3 წარმოდგენილია მხოლოდ პროგრამული და ტექნიკური სისტემებით, როგორიცაა: ViPNet Coordinator, APKSH "Continent", S-Terra Gateway და ა.შ.

თუ თქვენ გაქვთ UZ-2 ან 1, მაშინ დაგჭირდებათ KV1, 2 და KA კლასის კრიპტოგრაფიული დაცვის საშუალებები. ეს არის სპეციფიკური პროგრამული და ტექნიკის სისტემები, მათი მუშაობა რთულია და მათი შესრულების მახასიათებლები მოკრძალებულია.

რეალობა: კანონი არ ავალდებულებს FSB-ს მიერ დამოწმებული CIPF-ის გამოყენებას.

წყარო: www.habr.com