უსაფრთხო ღრუბელი DF Cloud პლატფორმაზე 

ფედერალური კანონი No152 „პერსონალური მონაცემების დაცვის შესახებ“ ვრცელდება ყველა არსებულ სუბიექტზე: ფიზიკურ და იურიდიულ პირებზე, ფედერალური მთავრობის ორგანოებსა და ადგილობრივი თვითმმართველობის ორგანოებზე. ფაქტობრივად, ეს კანონი ვრცელდება ნებისმიერ ორგანიზაციაზე, რომელიც ამუშავებს რუსეთის მოქალაქეების ინფორმაციას და პერსონალურ მონაცემებს, მისი საკუთრების ფორმისა და ზომის მიუხედავად.

ზოგჯერ, ორგანიზაციამ შეიძლება მოულოდნელად აღმოაჩინოს თავდაპირველად დამალული პერსონალური მონაცემების (PD) საინფორმაციო სისტემები. მაგალითად, კომპანია ითვლება პერსონალური მონაცემების ოპერატორად, თუ მისი ვებსაიტი შეიცავს უკუკავშირის ფორმებს, რეგისტრაციის/ავტორიზაციის ფორმებს და მონაცემთა შეგროვების სხვა ფორმებს, რომელთა გამოყენება შესაძლებელია სუბიექტის იდენტიფიცირებისთვის.

ფედერალური კანონის „პერსონალური მონაცემების შესახებ“ მოთხოვნების დაცვაზე კონტროლსა და ზედამხედველობას ახორციელებენ მარეგულირებლები:

• როსკომნადზორი პერსონალური მონაცემების სუბიექტების უფლებების დაცვის თვალსაზრისით;
• რუსეთის FSB კრიპტოგრაფიის სფეროში მოთხოვნების შესრულების თვალსაზრისით;
• რუსეთის FSTEC ტექნიკური არხებით არაავტორიზებული წვდომისა და გაჟონვისგან ინფორმაციის დაცვის მოთხოვნების დაცვასთან დაკავშირებით.

ვინაიდან „პერსონალური მონაცემების შესახებ“ ფედერალური კანონი მხოლოდ პერსონალური მონაცემების სამართლებრივი დაცვის საფუძველს წარმოადგენს, მისი მოთხოვნები შემდგომში განისაზღვრა რუსეთის ფედერაციის მთავრობისა და კომუნიკაციების სამინისტროს აქტებში და მარეგულირებლების სხვა მარეგულირებელ დოკუმენტებში.

ფედერალური ორგანოები, რომლებიც არეგულირებენ საქმიანობას პერსონალური მონაცემების დამუშავების სფეროში

• როსკომნაზორი (კომუნიკაციების, ინფორმაციული ტექნოლოგიებისა და მასმედიის ზედამხედველობის ფედერალური სამსახური) — აკონტროლებს და ზედამხედველობს პერსონალური მონაცემების დამუშავების კანონმდებლობის მოთხოვნებთან შესაბამისობას.
• რუსეთის FSTEC (ტექნიკური და ექსპორტის კონტროლის ფედერალური სამსახური) — ადგენს ინფორმაციის დაცვის მეთოდებსა და საშუალებებს ტექნიკური საშუალებების გამოყენებით.
• რუსეთის FSB (რუსეთის ფედერაციის ფედერალური უსაფრთხოების სამსახური) - ადგენს ინფორმაციის დაცვის მეთოდებსა და საშუალებებს მისი უფლებამოსილების ფარგლებში (ინფორმაციის დაცვის კრიპტოგრაფიული საშუალებების გამოყენების ფარგლები)

პერსონალური მონაცემების დამმუშავებელი ყველა ორგანიზაცია თავისი ინფორმაციული სისტემების საკანონმდებლო მოთხოვნებთან შესაბამისობაში მოყვანის გამოწვევის წინაშე დგას. პერსონალური მონაცემების დაცვა ერთ-ერთი ყველაზე აქტუალური საკითხია არა მხოლოდ რუსეთში, არამედ სხვა ქვეყნებშიც. 

პერსონალური მონაცემების ტიპები

ფედერალური კანონის 152-ე მუხლის თანახმად, პერსონალური მონაცემები არის ნებისმიერი ინფორმაცია, რომელიც დაკავშირებულია ფიზიკურ პირთან (პერსონალური მონაცემების სუბიექტთან), რომელიც იდენტიფიცირებულია ან იდენტიფიცირებადია ასეთი ინფორმაციის საფუძველზე. მაგალითად: სრული სახელი, დაბადების თარიღი და ადგილი, მისამართი, ოჯახი, სოციალური და ფინანსური მდგომარეობა, განათლება და ა.შ.

პერსონალური მონაცემები რამდენიმე კატეგორიად იყოფა:

სპეციალური

პერსონალური მონაცემები რასის, ეროვნების, პოლიტიკური შეხედულებების, რელიგიური ან ფილოსოფიური შეხედულებების, ჯანმრთელობის მდგომარეობის, ინტიმური ცხოვრების შესახებ

ბიომეტრია

PDn, რომლებიც ახასიათებენ პირის ფიზიოლოგიურ და ბიოლოგიურ მახასიათებლებს, რომელთა საფუძველზეც შესაძლებელია მისი ვინაობის დადგენა და რომლებსაც ოპერატორი იყენებს პერსონალური მონაცემების სუბიექტის ვინაობის დასადგენად.

სხვა

პერსონალური მონაცემები, რომლებიც პირდაპირ ან ირიბად ეხება კონკრეტულ ან განსაზღვრად პირს და არ ეხება ზემოთ ჩამოთვლილ კატეგორიებს

საჯაროდ ხელმისაწვდომი

საჯაროდ ხელმისაწვდომი წყაროებიდან მიღებული PDn, რომლებშიც მონაცემები გამოქვეყნდა პერსონალური მონაცემების სუბიექტის წერილობითი თანხმობით

პერსონალური მონაცემების დამუშავება არის ნებისმიერი მოქმედება (ოპერაცია) ან მოქმედებათა ერთობლიობა პერსონალურ მონაცემებთან, ავტომატიზაციის ინსტრუმენტების გამოყენებით ან მის გარეშე, მათ შორის:

• კოლექცია,
• ჩაწერა,
• სისტემატიზაცია,
• დაგროვება,
• შენახვა,
• დაზუსტება (განახლება, შეცვლა),
• ექსტრაქცია,
• გამოყენება,
• გადაცემა (განაწილება, უზრუნველყოფა, წვდომა),
• დეპერსონალიზაცია,
• ბლოკირება,
• მოხსნა,
• პერსონალური მონაცემების განადგურება.

პასუხისმგებლობა დარღვევებზე

ფედერალური კანონის 152-ე მუხლის 24-ე მუხლის თანახმად, ფიზიკური პირები პასუხისმგებელნი არიან კანონის დარღვევისთვის რუსეთის ფედერაციის კანონმდებლობის შესაბამისად.

კომპანიის შემოწმებისას მარეგულირებლები ხელმძღვანელობენ 152-ე ფედერალური კანონით და რიგი კანონქვემდებარე აქტებით. შემოწმებები შეიძლება იყოს როგორც დაგეგმილი, ასევე დაუგეგმავი — დარღვევების საფუძველზე ან მათი გამოსწორების მიზნით ადრე გამოცემული ბრძანების შესაბამისად.

პირები, რომლებიც არღვევენ პერსონალური მონაცემების დაცვის მოთხოვნებს, შეიძლება დაეკისროთ არა მხოლოდ სამოქალაქო და დისციპლინური პასუხისმგებლობა, არამედ ადმინისტრაციული და სისხლისსამართლებრივი პასუხისმგებლობაც კი.
 

როგორ დავიცვათ ფედერალური კანონის 152-ე პუნქტის მოთხოვნები?

ამიტომ, კომპანიამ ან ორგანიზაციამ, რომელიც ამუშავებს პერსონალურ მონაცემებს ან სხვა მგრძნობიარე ინფორმაციას, უნდა დაიცვას ეს ინფორმაცია კანონის შესაბამისად. ეს არა მხოლოდ მნიშვნელოვან ექსპერტიზას, ცოდნასა და გამოცდილებას მოითხოვს, არამედ ტექნიკურ სირთულეებთან და მნიშვნელოვან ხარჯებთანაც არის დაკავშირებული.

ტექნიკური და ექსპორტის კონტროლის ფედერალური სამსახურის (FSTEC) მიერ დამტკიცებული ოფიციალური განმარტების თანახმად, „...პერსონალური მონაცემების უსაფრთხოება არის პერსონალური მონაცემების დაცვის მდგომარეობა, რომელიც ხასიათდება მომხმარებლების, ტექნიკური საშუალებებისა და ინფორმაციული ტექნოლოგიების უნარით, უზრუნველყონ პერსონალური მონაცემების კონფიდენციალურობა, მთლიანობა და ხელმისაწვდომობა პერსონალური მონაცემების საინფორმაციო სისტემებში დამუშავებისას...“

152-ე ფედერალური კანონის ორგანიზაციული, სამართლებრივი და ტექნიკური მოთხოვნების დამოუკიდებლად შესასრულებლად, თქვენ უნდა შეისწავლოთ არა მხოლოდ თავად კანონი, არამედ მისი დებულება და გაიგოთ კონკრეტული ზომები, რომლებიც უნდა იქნას მიღებული. აუთსორსინგის სპეციალისტებს შეუძლიათ შეისწავლონ კომპანიის პერსონალური მონაცემების დამუშავების პროცესები, შეადგინონ საჭირო დოკუმენტები, განახორციელონ უსაფრთხოების ზომები და სხვა.

ინფორმაციული უსაფრთხოების ყოვლისმომცველი სისტემა მოიცავს:

• შეჭრის პრევენციის სისტემები (IDS).
• Firewall (FW).
• მავნე პროგრამებისგან დაცვა.
• უსაფრთხოების მოვლენების მონიტორინგისა და ჩაწერის სისტემა.
• საკომუნიკაციო არხების კრიპტოგრაფიული დაცვის სისტემა (დაშიფვრა).
• ვირტუალური გარემოს დაცვის საშუალებები, არაავტორიზებული წვდომისგან (UAP) დაცვის სისტემა, იდენტიფიკაცია და წვდომის კონტროლი.
• უსაფრთხოების ანალიზის/დაუცველობის აღმოჩენის სისტემა და ა.შ.

უფრო მეტიც, ყოვლისმომცველი ინფორმაციული უსაფრთხოება მოიცავს არა მხოლოდ ტექნიკურ, არამედ ორგანიზაციულ ზომებსაც.

Cloud FZ-152: განხორციელების მახასიათებლები

პერსონალური მონაცემების დაცვის შესახებ ფედერალური კანონმდებლობის შესაბამისად, ინფორმაციული სისტემების ჰოსტინგისთვის ღრუბლოვანი ინფრასტრუქტურის სერვისების რიგი რუსი პროვაიდერები გვთავაზობენ. კლიენტის სისტემების ღრუბელში ჰოსტინგისას, პროვაიდერი ინფორმაციული უსაფრთხოების მრავალ საკითხს იღებს თავზე, მათ შორის პერსონალური მონაცემების დაცვასთან დაკავშირებულ საკითხებს. ღრუბლოვან მიგრაციის დროს, პროვაიდერი უზრუნველყოფს IT ინფრასტრუქტურის დაცვას, რითაც კლიენტს გარკვეული პასუხისმგებლობებისგან ათავისუფლებს. მაგალითად, პროვაიდერი იცავს ვირტუალიზაციის გარემოს დაცვის შესახებ №152 ფედერალური კანონის მოთხოვნებს.

პროვაიდერებს ასევე შეუძლიათ მომხმარებლებს გაუწიონ ექსპერტული მხარდაჭერა მონაცემთა უსაფრთხოებასთან დაკავშირებული გამოწვევების მოგვარებაში: საჭირო უსაფრთხოების დონის განსაზღვრასა და შესაბამისად განხორციელების ვარიანტების შეთავაზებაში; და რუსეთის სამართლებრივი მოთხოვნების დასაკმაყოფილებლად დოკუმენტაციის შემუშავებაში.

უსაფრთხო ღრუბელს შეუძლია ორგანიზაციის ხარჯების ოპტიმიზაციაში დახმარება IT ინფრასტრუქტურისა და შიდა ინფორმაციული უსაფრთხოების სისტემის შექმნისა და შენარჩუნების ხარჯების შემცირებით. კვალიფიციური ექსპერტები, როგორც წესი, უზრუნველყოფენ ყოვლისმომცველ ტექნიკურ მხარდაჭერასა და დახმარებას, მათ შორის კონსულტაციას და მარეგულირებელი ორგანოების მიერ დამტკიცებისთვის დოკუმენტაციის შემუშავებას, ხოლო მომსახურების პლატფორმა შეესაბამება მკაცრ ტექნიკურ სტანდარტებს და აკმაყოფილებს ყველა ორგანიზაციულ მოთხოვნას. კლიენტებს შეუძლიათ ისარგებლონ საჭირო დოკუმენტაციის მომზადებისა და პერსონალური მონაცემების საინფორმაციო სისტემების დაცვის სერვისებით აპლიკაციისა და ოპერაციული სისტემის დონეზე.

ასევე შედის რისკებისა და დაუცველობის მართვის პროცესები, ინციდენტების გამოძიება, შიდა და გარე უსაფრთხოების აუდიტი და ქსელის, სისტემებისა და ინფორმაციული უსაფრთხოების პროცესების რეგულარული მონიტორინგი და ტესტირება. კვალიფიციური სპეციალისტები უზრუნველყოფენ IT ინფრასტრუქტურის 24/7 მხარდაჭერას.

ერთად აღებული, ეს ზომები უზრუნველყოფს პერსონალური მონაცემების დაცვასთან დაკავშირებული ფედერალური კანონმდებლობის დაცვას.

სერტიფიცირებული პლატფორმა

IBS DataFort ასეთ მომსახურებას სთავაზობს, რომელიც დაფუძნებულია სერტიფიცირებული DF Cloud პლატფორმაამ პლატფორმის ყველა ტექნიკური კომპონენტი, ადმინისტრირება და ვირტუალიზაციის ინსტრუმენტი შეესაბამება ფედერალური კანონის №152 სტანდარტებსა და მოთხოვნებს.
უსაფრთხო ღრუბლოვანი IBS DataFort-ის არქიტექტურა.

პლატფორმა უზრუნველყოფს პერსონალური მონაცემთა სისტემების (უსაფრთხოების დონე 1-მდე), გეოგრაფიული საინფორმაციო სისტემების (უსაფრთხოების კლასი 1-მდე) და მონაცემთა უსაფრთხო შენახვის გარანტირებულ დაცვას მესამე დონის მონაცემთა ცენტრებში. პლატფორმა იყენებს სერტიფიცირებულ firewall-ებს, შეჭრის აღმოჩენისა და პრევენციის სისტემებს (IDS/IPS), დაშიფრულ საკომუნიკაციო არხებს (GOST VPN), ანტივირუსულ დაცვას, შეჭრის პრევენციას, ვირტუალიზაციის გარემოს დაცვას და დაუცველობის სკანირებას.

ღრუბელი FZ-152 — ასევე შესაფერისი გადაწყვეტაა მათთვის, ვისაც აქვს კონფიდენციალურობისა და მონაცემთა დაცვის მაღალი მოთხოვნები, სურს გააძლიეროს თავისი ბიზნეს რეპუტაცია ან მოიპოვოს კონკურენტული უპირატესობა, როგორიცაა ინფორმაციული უსაფრთხოების დადასტურებული მაღალი დონე.

როგორ „გადავიდეთ“ ასეთ ღრუბელზე? შესაძლებელია თუ არა „უწყვეტი მიგრაცია“? აბსოლუტურად. მაგალითად, IBS DataFort უსაფრთხოდ ახდენს პერსონალური მონაცემების საინფორმაციო სისტემების მიგრაციას თავის დაცულ ღრუბელში, რაც მინიმუმამდე ამცირებს შეფერხებებს და კომპანიის ბიზნეს პროცესებზე (მათ შორის საერთაშორისო საიტებიდან) ზემოქმედებას.

IT ინფრასტრუქტურის 152-ე ფედერალურ კანონთან შესაბამისობაში მოყვანა

კლიენტის IT ინფრასტრუქტურის 152-ე ფედერალური კანონის მოთხოვნებთან შესაბამისობაში მოყვანის პროცესი იწყება უსაფრთხოების მიმდინარე დონის აუდიტითა და შეფასებით.

კლიენტის IT ინფრასტრუქტურის აუდიტი მოიცავს პერსონალური მონაცემების დამუშავებისა და დაცვის პროცესების შემოწმებას და კლიენტის პერსონალური მონაცემების საინფორმაციო სისტემის (ISPD) შემოწმებას. შემოწმების ანგარიში მზადდება პერსონალური მონაცემების დამუშავების პროცესების დეტალური აღწერით ტექნიკური თვალსაზრისით.

სამუშაო ასევე მოიცავს საფრთხისა და შემოჭრის მოდელირებას და პერსონალური მონაცემების საინფორმაციო სისტემის (PDIS) უსაფრთხოების შეფასების ანგარიშის მომზადებას. აუდიტის შედეგების საფუძველზე, შემუშავებულია პერსონალური მონაცემების საინფორმაციო სისტემის (PDIS) უსაფრთხოების სისტემის სპეციფიკური ტექნიკური სპეციფიკაცია, რომელიც განსაზღვრავს შემუშავებული სისტემის მოთხოვნებს.

პერსონალური მონაცემების დაცვის შესახებ პოლიტიკის, ინსტრუქციების, რეგულაციებისა და სხვა დოკუმენტების ერთობლიობა მუშავდება. ამავდროულად, სპეციალისტები ცდილობენ კლიენტის უსაფრთხოების ზომების დანერგვის ხარჯების ოპტიმიზაციას.

IBS DataFort უზრუნველყოფს დოკუმენტაციის მომზადებისა და პერსონალური მონაცემების საინფორმაციო სისტემების (ISPD) დაცვის მომსახურებას, რათა უზრუნველყოს პერსონალური მონაცემების დაცვის შესახებ ფედერალური კანონმდებლობის დაცვა და შეუძლია დახმარება გაუწიოს სერტიფიცირებისთვის მომზადებასა და გავლაში (ISPD, GIS, AS).

სერტიფიკაციას ატარებენ დამოუკიდებელი აუდიტორები, რომლებიც ლიცენზირებული არიან ტექნიკური და ექსპორტის კონტროლის ფედერალური სამსახურის (FSTEC) და ფედერალური უსაფრთხოების სამსახურის (FSB) მიერ. ამ სერტიფიკატის გავლა ადასტურებს კომპანიის პარტნიორებისა და კლიენტების პერსონალური მონაცემების საიმედო დაცვას გარე საფრთხეებისგან და მარეგულირებელი მოთხოვნების ყოვლისმომცველ დაცვას. მნიშვნელოვანია, რომ კლიენტები სარგებლობენ ერთი „ერთი ფანჯრის“ მოხერხებულობით: ყველაფერს ერთი კომპანია - IBS DataFort - მართავს.

პერსონალური მონაცემების ოპერატორებისთვის ეს ნიშნავს როსკომნადზორის, ტექნიკური და ექსპორტის კონტროლის ფედერალური სამსახურის (FSTEC) და ფედერალური უსაფრთხოების სამსახურის (FSB) მიერ შემოწმებისთვის მზადყოფნას, რესურსების დაბლოკვის რისკის აღმოფხვრას და მარეგულირებელი პრეტენზიებისა და სანქციების თავიდან აცილებას.

ეს სერვისი აქტუალურია სამთავრობო და კორპორატიული კლიენტების მრავალი კატეგორიისთვის და შესაძლოა მასზე მოთხოვნადი იყოს პერსონალური მონაცემების ოპერატორები, რომლებიც ცდილობენ თავიანთი ოპერაციები კანონთან შესაბამისობაში მოიყვანონ. საინფორმაციო სისტემის პროვაიდერის ინფრასტრუქტურის დახურულ სეგმენტში განთავსება, რომელიც სერტიფიცირებულია ყველა საჭირო სტანდარტისა და მოთხოვნის შესაბამისად, გამორიცხავს კლიენტისთვის ყველა სამუშაოს დამოუკიდებლად ორგანიზების საჭიროებას.

წყარო: www.habr.com