უსაფრთხო ღრუბელი DF Cloud პლატფორმაზე 

ფედერალური კანონი-152 „პერსონალური მონაცემების დაცვის შესახებ“ ვრცელდება ყველა არსებულ სუბიექტზე: ფიზიკურ და იურიდიულ პირებზე, ფედერალური ხელისუფლების ორგანოებსა და ადგილობრივ თვითმმართველობებზე. სინამდვილეში, ეს კანონი ვრცელდება ნებისმიერ ორგანიზაციაზე, რომელიც ამუშავებს რუსეთის ფედერაციის მოქალაქეების ინფორმაციას და პერსონალურ მონაცემებს, მიუხედავად ორგანიზაციის საკუთრების ფორმისა და ზომისა.

ზოგჯერ ორგანიზაციას, თავისთვის სრულიად მოულოდნელად, შეუძლია აღმოაჩინოს პერსონალური მონაცემების თავდაპირველად იმპლიციტური საინფორმაციო სისტემები (PD). მაგალითად, კომპანია ითვლება პერსონალური მონაცემების ოპერატორად, თუ მის ვებსაიტს აქვს უკუკავშირის ფორმები, რეგისტრაცია, ავტორიზაცია და მონაცემთა შეგროვების სხვა ფორმები, რომლითაც შესაძლებელია სუბიექტის იდენტიფიცირება.

კონტროლი და ზედამხედველობა ფედერალური კანონის "პერსონალური მონაცემების შესახებ" მოთხოვნების დაცვაზე ახორციელებს მარეგულირებლებს:

• Roskomnadzor პერსონალური მონაცემების სუბიექტების უფლებების დაცვასთან დაკავშირებით;
• რუსეთის FSB კრიპტოგრაფიის სფეროში მოთხოვნებთან შესაბამისობის შესახებ;
• რუსეთის FSTEC ტექნიკური არხებით ინფორმაციის არასანქცირებული წვდომისა და გაჟონვისგან დაცვის მოთხოვნების დაცვის თვალსაზრისით.

ვინაიდან ფედერალური კანონი „პერსონალური მონაცემების შესახებ“ მხოლოდ პერსონალური მონაცემების დაცვის სამართლებრივი მხარდაჭერის საფუძველია, მისი მოთხოვნები შემდგომში დაზუსტდა რუსეთის ფედერაციის მთავრობისა და კომუნიკაციების სამინისტროს აქტებში და სხვა მარეგულირებელ და მეთოდოლოგიურ დოკუმენტებში. რეგულატორები.

ფედერალური ორგანოები, რომლებიც არეგულირებენ საქმიანობას პერსონალური მონაცემების დამუშავების სფეროში

• როსკომნაზორი (კომუნიკაციებისა და მასობრივი კომუნიკაციების ზედამხედველობის ფედერალური სამსახური) - ახორციელებს კონტროლსა და ზედამხედველობას PD დამუშავების კანონიერ მოთხოვნებთან შესაბამისობაზე.
• რუსეთის FSTEC (ტექნიკური და ექსპორტის კონტროლის ფედერალური სამსახური) - ადგენს ტექნიკური საშუალებების გამოყენებით ინფორმაციის დაცვის მეთოდებსა და საშუალებებს.
• რუსეთის FSB (რუსეთის ფედერაციის უსაფრთხოების ფედერალური სამსახური) - ადგენს ინფორმაციის დაცვის მეთოდებსა და საშუალებებს თავისი უფლებამოსილებების ფარგლებში (ინფორმაციის დაცვის კრიპტოგრაფიული საშუალებების გამოყენების სფერო).

ყველა ორგანიზაცია, რომელიც ამუშავებს პერსონალურ მონაცემებს, აწყდება თავისი საინფორმაციო სისტემების კანონიერ მოთხოვნებთან შესაბამისობაში მოყვანის პრობლემას. პერსონალური მონაცემების დაცვა ერთ-ერთი ყველაზე აქტუალური საკითხია არა მხოლოდ რუსეთში, არამედ სხვა ქვეყნებშიც. 

პერსონალური მონაცემების სახეები

№152 ფედერალური კანონის თანახმად, პერსონალური მონაცემები არის ნებისმიერი ინფორმაცია, რომელიც ეხება ინდივიდს, რომელიც იდენტიფიცირებულია ან განისაზღვრება ამ ინფორმაციის საფუძველზე (პერსონალური მონაცემების საგანი). მაგალითად: სრული სახელი, დაბადების თარიღი და ადგილი, მისამართი, ოჯახი, სოციალური, ქონებრივი მდგომარეობა, განათლება და ა.შ.

პერსონალური მონაცემები იყოფა რამდენიმე კატეგორიად:

სპეციალური

პერსონალური მონაცემები, რომლებიც ეხება რასას, ეროვნებას, პოლიტიკურ შეხედულებებს, რელიგიურ ან ფილოსოფიურ შეხედულებებს, ჯანმრთელობის მდგომარეობას, ინტიმურ ცხოვრებას

ბიომეტრიული

PD, რომელიც ახასიათებს პირის ფიზიოლოგიურ და ბიოლოგიურ მახასიათებლებს, რის საფუძველზეც შესაძლებელია მისი ვინაობის დადგენა და რომლებიც გამოიყენება ოპერატორის მიერ პერსონალური მონაცემების სუბიექტის იდენტურობის დასადგენად.

სხვა

PD, რომელიც ეხება პირდაპირ ან ირიბად იდენტიფიცირებულ ან იდენტიფიცირებულ ინდივიდს და არ მიეკუთვნება ზემოთ მოცემულ კატეგორიებს

საჯაროდ ხელმისაწვდომი

PD მიღებული საჯაროდ ხელმისაწვდომი წყაროებიდან, რომლებშიც მონაცემები გამოქვეყნდა პერსონალური მონაცემების სუბიექტის წერილობითი თანხმობით

პერსონალური მონაცემების დამუშავება არის ნებისმიერი ქმედება (ოპერაცია) ან მოქმედებების ნაკრები პერსონალურ მონაცემებთან ავტომატიზაციის ხელსაწყოების გამოყენებით ან მის გარეშე, მათ შორის:

• კოლექცია,
• ჩაწერა,
• სისტემატიზაცია,
• დაგროვება,
• შენახვა,
• დაზუსტება (განახლება, შეცვლა),
• მოპოვება,
• გამოყენება,
• გადაცემა (განაწილება, უზრუნველყოფა, წვდომა),
• დეპერსონალიზაცია,
• დაბლოკვა,
• მოხსნა,
• პერსონალური მონაცემების განადგურება.

პასუხისმგებლობა დარღვევებზე

№24 ფედერალური კანონის 152-ე მუხლის თანახმად, პირები პასუხისმგებელნი არიან კანონის დარღვევაზე რუსეთის ფედერაციის კანონმდებლობის შესაბამისად.

კომპანიის შემოწმებისას, მარეგულირებლები ხელმძღვანელობენ ფედერალური კანონით-152 და რიგი კანონქვემდებარე აქტებით. შემოწმება შეიძლება იყოს როგორც გეგმიური, ასევე არაგეგმიური - დარღვევების ფაქტებზე დაყრდნობით, ასევე მათ აღმოსაფხვრელად ადრე გაცემული ბრძანებების მონიტორინგი.

პირები, რომლებიც არღვევენ პერსონალური მონაცემების დაცვის მოთხოვნებს, შეიძლება დაეკისრონ არა მხოლოდ სამოქალაქო და დისციპლინური, არამედ ადმინისტრაციული და სისხლის სამართლის პასუხისმგებლობაც კი.
 

როგორ შევასრულოთ ფედერალური კანონი-152 მოთხოვნები?

ასე რომ, კომპანია ან ორგანიზაცია, რომელიც ამუშავებს პერსონალურ მონაცემებს ან სხვა მგრძნობიარე ინფორმაციას, უნდა დაიცვას ეს ინფორმაცია კანონის შესაბამისად. ეს არა მარტო სერიოზულ გამოცდილებას, ცოდნას და გამოცდილებას მოითხოვს, არამედ ტექნიკურ სირთულეებთან და მნიშვნელოვან ხარჯებთან არის დაკავშირებული.

FSTEC-ის მიერ დამტკიცებული ოფიციალური დეფინიციის თანახმად, „...პერსონალური მონაცემების უსაფრთხოება არის პერსონალური მონაცემების უსაფრთხოების მდგომარეობა, რომელიც ხასიათდება მომხმარებლების, ტექნიკური საშუალებებისა და საინფორმაციო ტექნოლოგიების უნარით, უზრუნველყონ პერსონალური მონაცემების კონფიდენციალობა, მთლიანობა და ხელმისაწვდომობა, როდესაც დამუშავებული პერსონალური მონაცემების საინფორმაციო სისტემებში...“

იმისათვის, რომ დამოუკიდებლად შეასრულოთ ფედერალური კანონის 152-ე კანონის ორგანიზაციული, სამართლებრივი და ტექნიკური მოთხოვნები, თქვენ უნდა შეისწავლოთ არა მხოლოდ თავად კანონი, არამედ მისი კანონქვემდებარე აქტები და გაარკვიოთ ზუსტად რა ზომები უნდა იქნას მიღებული. აუთსორსინგის სპეციალისტებს შეუძლიათ შეისწავლონ კომპანიაში პერსონალური მონაცემების დამუშავების პროცესები, შეადგინონ საჭირო დოკუმენტები, განახორციელონ უსაფრთხოების ზომები და ა.შ.

ინფორმაციული უსაფრთხოების ყოვლისმომცველი სისტემა მოიცავს:

• შეჭრის პრევენციის ხელსაწყოები (IDS).
• Firewall (FW).
• დაცვა მავნე პროგრამებისგან.
• უსაფრთხოების მოვლენების მონიტორინგისა და ჩაწერის სისტემა.
• საკომუნიკაციო არხების კრიპტოგრაფიული დაცვის სისტემა (დაშიფვრა).
• ვირტუალური გარემოს დაცვის საშუალებები, არაავტორიზებული წვდომისგან დაცვის სისტემა (ATP), იდენტიფიკაცია და წვდომის კონტროლი.
• უსაფრთხოების ანალიზი/დაუცველობის გამოვლენის სისტემა და ა.შ.

გარდა ამისა, ყოვლისმომცველი ინფორმაციული უსაფრთხოება მოიცავს არა მხოლოდ ტექნიკურ, არამედ ორგანიზაციულ ზომებს.

Cloud FZ-152: განხორციელების მახასიათებლები

რიგი რუსი პროვაიდერები ახორციელებენ მომსახურებას ღრუბლოვანი ინფრასტრუქტურის უზრუნველსაყოფად საინფორმაციო სისტემების ჰოსტინგისთვის ფედერალური კანონმდებლობის მოთხოვნების შესაბამისად პერსონალურ მონაცემებთან დაკავშირებით. როდესაც კლიენტის სისტემები ღრუბელშია განთავსებული, პროვაიდერი იღებს ინფორმაციული უსაფრთხოების ბევრ საკითხს, მათ შორის პერსონალური მონაცემების დაცვასთან დაკავშირებულ საკითხებს. ღრუბელში მიგრაციისას, ის დაიცავს IT ინფრასტრუქტურას და ეს მოხსნის გარკვეულ პასუხისმგებლობას კლიენტს. მაგალითად, პროვაიდერი ასრულებს 152 ფედერალური კანონის მოთხოვნებს ვირტუალიზაციის გარემოს დაცვასთან დაკავშირებით.

პროვაიდერებს შეუძლიათ ასევე უზრუნველყონ მომხმარებლებისთვის საექსპერტო მხარდაჭერა მონაცემთა დაცვის პრობლემის გადაჭრაში: უსაფრთხოების საჭირო დონის განსაზღვრა და ამის შესაბამისად განხორციელების ვარიანტის შეთავაზება; შეიმუშავეთ დოკუმენტაცია რუსეთის ფედერაციის კანონმდებლობის მოთხოვნების შესასრულებლად.

უსაფრთხო ღრუბელი ხელს შეუწყობს ორგანიზაციის ხარჯების ოპტიმიზაციას IT ინფრასტრუქტურისა და შიდა ინფორმაციის უსაფრთხოების სისტემის შექმნისა და შენარჩუნების ხარჯების შემცირებით. როგორც წესი, კვალიფიციური ექსპერტები უზრუნველყოფენ ყოვლისმომცველ ტექნიკურ მხარდაჭერას და მხარდაჭერას, მათ შორის კონსულტაციას და მარეგულირებელი ორგანოების მიერ სერტიფიცირებისთვის დოკუმენტების პაკეტის შემუშავებას, ხოლო მომსახურების მიწოდების პლატფორმა აკმაყოფილებს მკაცრ ტექნიკურ სტანდარტებს და აკმაყოფილებს აუცილებელ ორგანიზაციულ მოთხოვნებს. კლიენტებს შეუძლიათ ისარგებლონ მომსახურებით საჭირო დოკუმენტაციის მომზადებისა და ISPD-ის დასაცავად აპლიკაციისა და ოპერაციული სისტემის დონეზე.

ასევე გათვალისწინებულია რისკებისა და დაუცველობის მართვის პროცესები, ინციდენტების გამოძიება, უსაფრთხოების შიდა და გარე აუდიტი, ასევე ქსელის, სისტემებისა და ინფორმაციული უსაფრთხოების პროცესების რეგულარული მონიტორინგი და ტესტირება. კვალიფიციური სპეციალისტები უზრუნველყოფენ XNUMX/XNUMX IT ინფრასტრუქტურის მხარდაჭერას.

ერთად აღებული ეს ზომები უზრუნველყოფს ფედერალური კანონების დაცვას პერსონალური მონაცემების დაცვასთან დაკავშირებით.

სერთიფიცირებული პლატფორმა

IBS DataFort გთავაზობთ ასეთ სერვისს საფუძველზე სერთიფიცირებული DF Cloud პლატფორმა. ამ პლატფორმის ყველა ტექნიკური ნაწილი, ადმინისტრირება და ვირტუალიზაციის ხელსაწყოები შეესაბამება ფედერალური კანონის -152 ნორმებსა და მოთხოვნებს.
IBS DataFort-ის უსაფრთხო ღრუბლის არქიტექტურა.

პლატფორმა უზრუნველყოფს გარანტირებულ დაცვას ISPD (უსაფრთხოების 1-ლი დონის ჩათვლით), GIS (უსაფრთხოების 1-ლი კლასის ჩათვლით) და მონაცემთა უსაფრთხო შენახვას Tier III მონაცემთა ცენტრში. პლატფორმა იყენებს სერტიფიცირებულ ფეიერვოლებს, შეჭრის აღმოჩენისა და პრევენციის ინსტრუმენტებს (IDS/IPS), საკომუნიკაციო არხების დაშიფვრას (GOST VPN), ანტივირუსულ დაცვას, არაავტორიზებული წვდომისგან დაცვას, ვირტუალიზაციის გარემოს დაცვას, ასევე დაუცველობის სკანირების ინსტრუმენტებს.

ღრუბელი FZ-152 ასევე შესაფერისი გამოსავალია მათთვის, ვისაც აქვს მაღალი მოთხოვნები კონფიდენციალურობისა და მონაცემთა დაცვის მიმართ, სურს გააძლიეროს თავისი საქმიანი რეპუტაცია ან მოიპოვოს ისეთი კონკურენტული უპირატესობა, როგორიცაა ინფორმაციული უსაფრთხოების დადასტურებული მაღალი დონე.

როგორ "გადაადგილება" ასეთ ღრუბელში? შესაძლებელია თუ არა „უწყვეტი მიგრაცია“? საკმაოდ. მაგალითად, IBS DataFort უსაფრთხოდ გადასცემს ISPD-ს თავის დაცულ ღრუბელში, მინიმუმამდე დაყვანის დრო და გავლენა კომპანიის ბიზნეს პროცესებზე (მათ შორის, უცხოური საიტებიდან).

IT ინფრასტრუქტურის ფედერალურ კანონთან -152 შესაბამისობაში მოყვანა

კლიენტის IT ინფრასტრუქტურის ფედერალური კანონი-152 მოთხოვნებთან შესაბამისობაში მოყვანის პროცესი იწყება უსაფრთხოების ამჟამინდელი დონის აუდიტითა და შეფასებით.

კლიენტის IT ინფრასტრუქტურის აუდიტი მოიცავს პერსონალური მონაცემების დამუშავებისა და დაცვის შემოწმებას და მომხმარებლის საინფორმაციო სისტემის შემოწმებას. შედგენილია კვლევის ანგარიში ტექნიკური თვალსაზრისით PD დამუშავების პროცესების დეტალური აღწერით.

სამუშაო ასევე მოიცავს საფრთხეებისა და თავდამსხმელების მოდელირებას და ანგარიშის შედგენას ISPD-ის უსაფრთხოების დონის განსაზღვრის შესახებ. აუდიტის შედეგების საფუძველზე დგება ISPD დაცვის სისტემის კერძო ტექნიკური სპეციფიკაცია და განსაზღვრავს დაპროექტებული სისტემის მოთხოვნებს.

მუშავდება პერსონალური მონაცემების დაცვის პოლიტიკის, ინსტრუქციების, რეგულაციებისა და სხვა დოკუმენტების ნაკრები. ამავდროულად, სპეციალისტები ცდილობენ მომხმარებლის ხარჯების ოპტიმიზაციას უსაფრთხოების ზომების განხორციელებისთვის.

IBS DataFort გთავაზობთ მომსახურებას დოკუმენტაციის მომზადებისა და ISPD-ის დასაცავად პერსონალური მონაცემების დაცვის შესახებ ფედერალური კანონმდებლობის შესასრულებლად და შეუძლია დაგეხმაროთ სერტიფიცირების მომზადებასა და გავლაში (ISPD, GIS, AS).

სერტიფიცირებას ახორციელებენ დამოუკიდებელი აუდიტორები, რომლებიც ლიცენზირებულია FSTEC-ისა და რუსეთის FSB-ის მიერ. ასეთი სერტიფიკაციის გავლა ადასტურებს კომპანიის პარტნიორებისა და კლიენტების პერსონალური მონაცემების საიმედო დაცვას გარე საფრთხეებისგან და ყოვლისმომცველ შესაბამისობას მარეგულირებელ მოთხოვნებთან. მნიშვნელოვანია, რომ კლიენტებმა მიიღონ "ერთი ფანჯრის" მოხერხებულობა: ყველაფერს უზრუნველყოფს ერთი კომპანია - IBS DataFort.

პერსონალური მონაცემების ოპერატორისთვის ეს ნიშნავს მზადყოფნას Roskomnadzor-ის, FSTEC-ისა და FSB-ის შემოწმებისთვის, რესურსების დაბლოკვის რისკის აღმოფხვრას და მარეგულირებლის მხრიდან პრეტენზიებისა და სანქციების არარსებობას.

ეს სერვისი რელევანტურია სამთავრობო და კორპორატიული სეგმენტის კლიენტთა მრავალი კატეგორიისთვის და შეიძლება მოთხოვნადი იყოს პერსონალური მონაცემების ოპერატორების მიერ, რომლებსაც სურთ თავიანთი საქმიანობა კანონთან შესაბამისობაში მოიყვანონ. IP-ის განთავსება პროვაიდერის ინფრასტრუქტურის დახურულ სეგმენტში, სერტიფიცირებული ყველა საჭირო სტანდარტისა და მოთხოვნების მიხედვით, ათავისუფლებს მომხმარებელს ყველა სამუშაოს დამოუკიდებლად ორგანიზების აუცილებლობისგან.

წყარო: www.habr.com