ទេវកថាអំពី 152-FZ ដែលអាចមានតម្លៃថ្លៃសម្រាប់ប្រតិបត្តិករទិន្នន័យផ្ទាល់ខ្លួន

សួស្តី​អ្នក​ទាំងអស់គ្នា! ខ្ញុំដំណើរការ DataLine Cyber ​​​​Defense Center ។ អតិថិជនមករកយើងជាមួយនឹងភារកិច្ចបំពេញតម្រូវការ 152-FZ នៅក្នុងពពក ឬលើហេដ្ឋារចនាសម្ព័ន្ធរូបវន្ត។
ស្ទើរតែគ្រប់គម្រោង ចាំបាច់ត្រូវអនុវត្តការងារអប់រំ ដើម្បីបំបាត់អាថ៌កំបាំងជុំវិញច្បាប់នេះ។ ខ្ញុំ​បាន​ប្រមូល​ការ​យល់​ខុស​ទូទៅ​បំផុត​ដែល​អាច​ត្រូវ​ចំណាយ​ថវិកា និង​ប្រព័ន្ធ​សរសៃប្រសាទ​របស់​ប្រតិបត្តិករ​ទិន្នន័យ​ផ្ទាល់ខ្លួន។ ខ្ញុំនឹងធ្វើការកក់ទុកភ្លាមៗថា ករណីនៃការិយាល័យរដ្ឋ (GIS) ទាក់ទងនឹងការសម្ងាត់របស់រដ្ឋ KII ជាដើម នឹងនៅក្រៅវិសាលភាពនៃអត្ថបទនេះ។

ទេវកថា 1. ខ្ញុំបានដំឡើងកម្មវិធីកំចាត់មេរោគ ជញ្ជាំងភ្លើង និងឡោមព័ទ្ធដោយរបង។ តើខ្ញុំធ្វើតាមច្បាប់ទេ?

152-FZ មិនមែននិយាយអំពីការការពារប្រព័ន្ធ និងម៉ាស៊ីនមេទេ ប៉ុន្តែនិយាយអំពីការការពារទិន្នន័យផ្ទាល់ខ្លួនរបស់ប្រធានបទ។ ដូច្នេះការអនុលោមតាម 152-FZ ចាប់ផ្តើមមិនមែនដោយកំចាត់មេរោគទេ ប៉ុន្តែជាមួយនឹងក្រដាសមួយចំនួនធំ និងបញ្ហាអង្គការ។
អធិការសំខាន់ Roskomnadzor នឹងមិនមើលទៅលើវត្តមាននិងលក្ខខណ្ឌនៃមធ្យោបាយការពារបច្ចេកទេសទេប៉ុន្តែផ្អែកលើមូលដ្ឋានច្បាប់សម្រាប់ដំណើរការទិន្នន័យផ្ទាល់ខ្លួន (PD)៖

• តើអ្នកប្រមូលទិន្នន័យផ្ទាល់ខ្លួនសម្រាប់គោលបំណងអ្វី;  
• ថាតើអ្នកប្រមូលវាច្រើនជាងអ្នកត្រូវការសម្រាប់គោលបំណងរបស់អ្នកឬអត់?
• តើអ្នករក្សាទុកទិន្នន័យផ្ទាល់ខ្លួនរយៈពេលប៉ុន្មាន;
• តើមានគោលការណ៍សម្រាប់ដំណើរការទិន្នន័យផ្ទាល់ខ្លួនទេ?
• តើអ្នកកំពុងប្រមូលការយល់ព្រមសម្រាប់ដំណើរការទិន្នន័យផ្ទាល់ខ្លួន ការផ្ទេរឆ្លងដែន ដំណើរការដោយភាគីទីបី។ល។

ចម្លើយចំពោះសំណួរទាំងនេះ ក៏ដូចជាដំណើរការដោយខ្លួនឯង គួរតែត្រូវបានកត់ត្រានៅក្នុងឯកសារសមស្រប។ នេះគឺជាបញ្ជីដែលនៅឆ្ងាយពីបញ្ជីពេញលេញនៃអ្វីដែលប្រតិបត្តិករទិន្នន័យផ្ទាល់ខ្លួនត្រូវរៀបចំ៖

• ទម្រង់ការយល់ព្រមស្តង់ដារសម្រាប់ដំណើរការទិន្នន័យផ្ទាល់ខ្លួន (ទាំងនេះគឺជាសន្លឹកដែលឥឡូវនេះយើងចុះហត្ថលេខាស្ទើរតែគ្រប់ទីកន្លែងដែលយើងទុកឈ្មោះពេញ និងព័ត៌មានលម្អិតអំពីលិខិតឆ្លងដែន)។
• គោលការណ៍របស់ប្រតិបត្តិករទាក់ទងនឹងដំណើរការទិន្នន័យផ្ទាល់ខ្លួន (នៅទីនេះ មានការណែនាំសម្រាប់ការរចនា) ។
• បញ្ជាលើការតែងតាំងបុគ្គលដែលទទួលខុសត្រូវក្នុងការរៀបចំដំណើរការទិន្នន័យផ្ទាល់ខ្លួន។  
• ការពិពណ៌នាការងាររបស់អ្នកទទួលខុសត្រូវក្នុងការរៀបចំដំណើរការទិន្នន័យផ្ទាល់ខ្លួន។
• ច្បាប់សម្រាប់ការគ្រប់គ្រងផ្ទៃក្នុង និង (ឬ) សវនកម្មនៃការអនុលោមតាមដំណើរការ PD ជាមួយនឹងតម្រូវការច្បាប់។  
• បញ្ជីប្រព័ន្ធព័ត៌មានទិន្នន័យផ្ទាល់ខ្លួន (ISPD) ។
• បទប្បញ្ញត្តិសម្រាប់ការផ្តល់ឱ្យប្រធានបទនូវការចូលប្រើទិន្នន័យផ្ទាល់ខ្លួនរបស់គាត់។
• បទប្បញ្ញត្តិនៃការស៊ើបអង្កេតឧប្បត្តិហេតុ។
• បញ្ជាលើការទទួលយកបុគ្គលិកទៅដំណើរការទិន្នន័យផ្ទាល់ខ្លួន។
• បទប្បញ្ញត្តិសម្រាប់អន្តរកម្មជាមួយនិយតករ។  
• សេចក្តីជូនដំណឹងរបស់ RKN ។ល។
• ទម្រង់ណែនាំសម្រាប់ដំណើរការ PD ។
• គំរូគំរាមកំហែង ISPD ។

បន្ទាប់ពីដោះស្រាយបញ្ហាទាំងនេះអ្នកអាចចាប់ផ្តើមជ្រើសរើសវិធានការជាក់លាក់និងមធ្យោបាយបច្ចេកទេស។ តើអ្នកត្រូវការមួយណាអាស្រ័យលើប្រព័ន្ធ លក្ខខណ្ឌប្រតិបត្តិការ និងការគំរាមកំហែងបច្ចុប្បន្ន។ ប៉ុន្តែនៅពេលក្រោយទៀត។

ការពិត៖ ការអនុលោមតាមច្បាប់គឺជាការបង្កើតឡើង និងការអនុលោមតាមដំណើរការជាក់លាក់ ជាដំបូងនៃការទាំងអស់ ហើយទីពីរ - ការប្រើប្រាស់មធ្យោបាយបច្ចេកទេសពិសេស។

ទេវកថា 2. ខ្ញុំរក្សាទុកទិន្នន័យផ្ទាល់ខ្លួននៅក្នុងពពក ដែលជាមជ្ឈមណ្ឌលទិន្នន័យដែលត្រូវនឹងតម្រូវការ 152-FZ ។ ឥឡូវ​គេ​ទទួល​ខុស​ត្រូវ​ក្នុង​ការ​អនុវត្ត​ច្បាប់

នៅពេលអ្នកចេញពីប្រភពផ្ទុកទិន្នន័យផ្ទាល់ខ្លួនទៅអ្នកផ្តល់សេវាពពក ឬមជ្ឈមណ្ឌលទិន្នន័យ អ្នកមិនឈប់ធ្វើជាប្រតិបត្តិករទិន្នន័យផ្ទាល់ខ្លួនទេ។
អនុញ្ញាតឱ្យយើងហៅនិយមន័យពីច្បាប់សម្រាប់ជំនួយ:

ដំណើរការទិន្នន័យផ្ទាល់ខ្លួន - សកម្មភាពណាមួយ (ប្រតិបត្តិការ) ឬសំណុំនៃសកម្មភាព (ប្រតិបត្តិការ) ដែលធ្វើឡើងដោយប្រើឧបករណ៍ស្វ័យប្រវត្តិកម្ម ឬដោយគ្មានការប្រើប្រាស់មធ្យោបាយបែបនេះជាមួយនឹងទិន្នន័យផ្ទាល់ខ្លួន រួមទាំងការប្រមូល ការកត់ត្រា ការរៀបចំប្រព័ន្ធ ការប្រមូលផ្តុំ ការផ្ទុក ការបំភ្លឺ (ការធ្វើបច្ចុប្បន្នភាព ការផ្លាស់ប្តូរ) ការទាញយក ការប្រើប្រាស់ ការផ្ទេរ (ការចែកចាយ ការផ្តល់ ការចូលប្រើ) ការធ្វើឱ្យខូចបុគ្គល ការទប់ស្កាត់ ការលុប ការបំផ្លាញទិន្នន័យផ្ទាល់ខ្លួន។
ប្រភព៖ អត្ថបទ ៣, 152-FZ

ក្នុងចំណោមសកម្មភាពទាំងអស់នេះ អ្នកផ្តល់សេវាត្រូវទទួលខុសត្រូវចំពោះការរក្សាទុក និងបំផ្លាញទិន្នន័យផ្ទាល់ខ្លួន (នៅពេលអតិថិជនបញ្ចប់កិច្ចសន្យាជាមួយគាត់)។ អ្វីៗផ្សេងទៀតត្រូវបានផ្តល់ដោយប្រតិបត្តិករទិន្នន័យផ្ទាល់ខ្លួន។ នេះមានន័យថាប្រតិបត្តិករ មិនមែនអ្នកផ្តល់សេវាទេ កំណត់គោលការណ៍សម្រាប់ដំណើរការទិន្នន័យផ្ទាល់ខ្លួន ទទួលបានការយល់ព្រមដែលបានចុះហត្ថលេខាសម្រាប់ដំណើរការទិន្នន័យផ្ទាល់ខ្លួនពីអតិថិជនរបស់ខ្លួន ការពារ និងស៊ើបអង្កេតករណីនៃការលេចធ្លាយទិន្នន័យផ្ទាល់ខ្លួនទៅកាន់ភាគីទីបី។ល។

អាស្រ័យហេតុនេះ ប្រតិបត្តិករទិន្នន័យផ្ទាល់ខ្លួននៅតែត្រូវប្រមូលឯកសារដែលបានរាយបញ្ជីខាងលើ ហើយអនុវត្តវិធានការរៀបចំ និងបច្ចេកទេសដើម្បីការពារ PDIS របស់ពួកគេ។

ជាធម្មតា អ្នកផ្តល់សេវាជួយប្រតិបត្តិករដោយធានាការអនុលោមតាមតម្រូវការច្បាប់នៅកម្រិតហេដ្ឋារចនាសម្ព័ន្ធដែល ISPD របស់ប្រតិបត្តិករនឹងមានទីតាំងនៅ៖ ធ្នើរជាមួយឧបករណ៍ ឬពពក។ គាត់ក៏ប្រមូលឯកសារមួយកញ្ចប់ ចាត់វិធានការរៀបចំ និងបច្ចេកទេសសម្រាប់ផ្នែកហេដ្ឋារចនាសម្ព័ន្ធរបស់គាត់ស្របតាម 152-FZ ។

អ្នកផ្តល់សេវាមួយចំនួនជួយការងារឯកសារ និងការផ្តល់វិធានការសុវត្ថិភាពបច្ចេកទេសសម្រាប់ ISDNs ខ្លួនឯង ពោលគឺនៅកម្រិតខាងលើហេដ្ឋារចនាសម្ព័ន្ធ។ ប្រតិបត្តិករក៏អាចចេញពីការងារទាំងនេះបានដែរ ប៉ុន្តែការទទួលខុសត្រូវ និងកាតព្វកិច្ចក្រោមច្បាប់មិនរលាយបាត់ឡើយ។

ការពិត៖ តាមរយៈការប្រើប្រាស់សេវាកម្មរបស់អ្នកផ្តល់សេវា ឬមជ្ឈមណ្ឌលទិន្នន័យ អ្នកមិនអាចផ្ទេរទៅឱ្យគាត់នូវការទទួលខុសត្រូវរបស់ប្រតិបត្តិករទិន្នន័យផ្ទាល់ខ្លួន និងកម្ចាត់ការទទួលខុសត្រូវបានទេ។ ប្រសិនបើអ្នកផ្តល់សេវាសន្យានឹងអ្នក ដូច្នេះដើម្បីដាក់វាឱ្យស្រាល គាត់កំពុងនិយាយកុហក។

ទេវកថា 3. ខ្ញុំមានកញ្ចប់ឯកសារ និងវិធានការចាំបាច់។ ខ្ញុំរក្សាទុកទិន្នន័យផ្ទាល់ខ្លួនជាមួយអ្នកផ្តល់សេវាដែលសន្យាថានឹងអនុលោមតាម 152-FZ ។ តើអ្វីៗគ្រប់យ៉ាងស្ថិតក្នុងលំដាប់ទេ?

បាទ / ចាសប្រសិនបើអ្នកចាំចុះហត្ថលេខាលើការបញ្ជាទិញ។ តាមច្បាប់ ប្រតិបត្តិករអាចប្រគល់ឱ្យដំណើរការទិន្នន័យផ្ទាល់ខ្លួនទៅមនុស្សម្នាក់ទៀត ឧទាហរណ៍អ្នកផ្តល់សេវាដូចគ្នា។ ការបញ្ជាទិញគឺជាប្រភេទនៃកិច្ចព្រមព្រៀងដែលរាយបញ្ជីអ្វីដែលអ្នកផ្តល់សេវាអាចធ្វើបានជាមួយនឹងទិន្នន័យផ្ទាល់ខ្លួនរបស់ប្រតិបត្តិករ។

ប្រតិបត្តិករមានសិទ្ធិប្រគល់ដំណើរការទិន្នន័យផ្ទាល់ខ្លួនទៅមនុស្សម្នាក់ទៀតដោយមានការយល់ព្រមពីកម្មវត្ថុនៃទិន្នន័យផ្ទាល់ខ្លួន លុះត្រាតែបានផ្តល់ដោយច្បាប់សហព័ន្ធ ដោយផ្អែកលើកិច្ចព្រមព្រៀងដែលបានបញ្ចប់ជាមួយបុគ្គលនេះ រួមទាំងកិច្ចសន្យារដ្ឋ ឬក្រុង។ ឬដោយការអនុម័តនូវទង្វើដែលពាក់ព័ន្ធដោយស្ថាប័នរដ្ឋ ឬក្រុង (តទៅនេះហៅថា ប្រតិបត្តិករចាត់តាំង)។ បុគ្គលដែលដំណើរការទិន្នន័យផ្ទាល់ខ្លួនក្នុងនាមប្រតិបត្តិករត្រូវមានកាតព្វកិច្ចគោរពតាមគោលការណ៍ និងច្បាប់សម្រាប់ដំណើរការទិន្នន័យផ្ទាល់ខ្លួនដែលផ្តល់ដោយច្បាប់សហព័ន្ធនេះ។
ប្រភព: ប្រការ 3 មាត្រា 6 152-FZ

កាតព្វកិច្ចរបស់អ្នកផ្តល់សេវាដើម្បីរក្សាការសម្ងាត់នៃទិន្នន័យផ្ទាល់ខ្លួន និងធានាសុវត្ថិភាពរបស់ខ្លួនស្របតាមតម្រូវការដែលបានបញ្ជាក់ក៏ត្រូវបានបង្កើតឡើងផងដែរ៖

ការណែនាំរបស់ប្រតិបត្តិករត្រូវតែកំណត់បញ្ជីសកម្មភាព (ប្រតិបត្តិការ) ជាមួយនឹងទិន្នន័យផ្ទាល់ខ្លួនដែលនឹងត្រូវបានអនុវត្តដោយបុគ្គលដែលដំណើរការទិន្នន័យផ្ទាល់ខ្លួន និងគោលបំណងនៃដំណើរការ កាតព្វកិច្ចរបស់បុគ្គលបែបនេះត្រូវតែបង្កើតឡើងដើម្បីរក្សាការសម្ងាត់នៃទិន្នន័យផ្ទាល់ខ្លួន និងធានានូវ សុវត្ថិភាពនៃទិន្នន័យផ្ទាល់ខ្លួនក្នុងអំឡុងពេលដំណើរការរបស់ពួកគេ ក៏ដូចជាតម្រូវការសម្រាប់ការការពារទិន្នន័យផ្ទាល់ខ្លួនដែលបានដំណើរការត្រូវតែបញ្ជាក់ដោយអនុលោមតាម មាត្រា ១៩ នៃច្បាប់សហព័ន្ធនេះ។
ប្រភព: ប្រការ 3 មាត្រា 6 152-FZ

ចំពោះបញ្ហានេះ អ្នកផ្តល់សេវាត្រូវទទួលខុសត្រូវចំពោះប្រតិបត្តិករ ហើយមិនមែនចំពោះប្រធានបទនៃទិន្នន័យផ្ទាល់ខ្លួនទេ៖

ប្រសិនបើប្រតិបត្តិករប្រគល់ឱ្យដំណើរការទិន្នន័យផ្ទាល់ខ្លួនទៅមនុស្សម្នាក់ទៀត ប្រតិបត្តិករត្រូវទទួលខុសត្រូវចំពោះកម្មវត្ថុនៃទិន្នន័យផ្ទាល់ខ្លួនសម្រាប់សកម្មភាពរបស់មនុស្សដែលបានបញ្ជាក់។ បុគ្គលដែលដំណើរការទិន្នន័យផ្ទាល់ខ្លួនក្នុងនាមប្រតិបត្តិករត្រូវទទួលខុសត្រូវចំពោះប្រតិបត្តិករ។
ប្រភព: 152-FZ.

វាក៏មានសារៈសំខាន់ផងដែរក្នុងការកំណត់នៅក្នុងលំដាប់កាតព្វកិច្ចដើម្បីធានាការការពារទិន្នន័យផ្ទាល់ខ្លួន៖

សុវត្ថិភាពនៃទិន្នន័យផ្ទាល់ខ្លួននៅពេលដំណើរការក្នុងប្រព័ន្ធព័ត៌មានត្រូវបានធានាដោយប្រតិបត្តិករនៃប្រព័ន្ធនេះ ដែលដំណើរការទិន្នន័យផ្ទាល់ខ្លួន (ហៅកាត់ថាជាប្រតិបត្តិករ) ឬដោយបុគ្គលដែលដំណើរការទិន្នន័យផ្ទាល់ខ្លួនក្នុងនាមប្រតិបត្តិករលើមូលដ្ឋាននៃ កិច្ចព្រមព្រៀងបានបញ្ចប់ជាមួយបុគ្គលនេះ (តទៅនេះហៅថាបុគ្គលដែលមានសិទ្ធិ)។ កិច្ចព្រមព្រៀងរវាងប្រតិបត្តិករ និងបុគ្គលដែលមានការអនុញ្ញាតត្រូវតែផ្តល់កាតព្វកិច្ចរបស់អ្នកដែលមានសិទ្ធិក្នុងការធានាសុវត្ថិភាពនៃទិន្នន័យផ្ទាល់ខ្លួននៅពេលដំណើរការនៅក្នុងប្រព័ន្ធព័ត៌មាន។
ប្រភព: ក្រឹត្យរបស់រដ្ឋាភិបាលនៃសហព័ន្ធរុស្ស៊ីថ្ងៃទី 1 ខែវិច្ឆិកាឆ្នាំ 2012 លេខ 1119

ការពិត៖ ប្រសិនបើអ្នកផ្តល់ទិន្នន័យផ្ទាល់ខ្លួនទៅអ្នកផ្តល់សេវា បន្ទាប់មកចុះហត្ថលេខាលើការបញ្ជាទិញ។ នៅក្នុងលំដាប់ បង្ហាញពីតម្រូវការដើម្បីធានាការការពារទិន្នន័យផ្ទាល់ខ្លួនរបស់ប្រធានបទ។ បើមិនដូច្នេះទេ អ្នកមិនគោរពតាមច្បាប់ទាក់ទងនឹងការផ្ទេរការងារដំណើរការទិន្នន័យផ្ទាល់ខ្លួនទៅឱ្យភាគីទីបីទេ ហើយអ្នកផ្តល់សេវាមិនជំពាក់អ្វីដល់អ្នកទាក់ទងនឹងការអនុលោមតាម 152-FZ ឡើយ។

ទេវកថា 4. Mossad កំពុងធ្វើចារកម្មលើខ្ញុំ ឬខ្ញុំប្រាកដជាមាន UZ-1

អតិថិជនមួយចំនួនបន្តបញ្ជាក់ថាពួកគេមាន ISPD នៃកម្រិតសុវត្ថិភាព 1 ឬ 2។ ភាគច្រើនវាមិនមែនជាករណីនោះទេ។ ចូរយើងចងចាំផ្នែករឹង ដើម្បីស្វែងយល់ថាហេតុអ្វីបានជាវាកើតឡើង។
កម្រិត LO ឬកម្រិតសុវត្ថិភាព កំណត់នូវអ្វីដែលអ្នកនឹងការពារទិន្នន័យផ្ទាល់ខ្លួនរបស់អ្នក។
កម្រិតនៃសន្តិសុខត្រូវបានប៉ះពាល់ដោយចំណុចដូចខាងក្រោម:

• ប្រភេទនៃទិន្នន័យផ្ទាល់ខ្លួន (ពិសេស, ជីវមាត្រ, មានជាសាធារណៈ និងផ្សេងទៀត);
• ដែលជាម្ចាស់ទិន្នន័យផ្ទាល់ខ្លួន - និយោជិត ឬមិនមែននិយោជិតនៃប្រតិបត្តិករទិន្នន័យផ្ទាល់ខ្លួន។
• ចំនួនមុខវិជ្ជាទិន្នន័យផ្ទាល់ខ្លួន - ច្រើនឬតិចជាង 100 ពាន់។
• ប្រភេទនៃការគំរាមកំហែងបច្ចុប្បន្ន។

ប្រាប់យើងអំពីប្រភេទនៃការគំរាមកំហែង ក្រឹត្យរបស់រដ្ឋាភិបាលនៃសហព័ន្ធរុស្ស៊ីថ្ងៃទី 1 ខែវិច្ឆិកាឆ្នាំ 2012 លេខ 1119. នេះ​ជា​ការ​ពិពណ៌នា​នៃ​ការ​បកប្រែ​ដោយ​ឥត​គិត​ថ្លៃ​របស់​ខ្ញុំ​ទៅ​ជា​ភាសា​មនុស្ស។

ការគំរាមកំហែងនៃប្រភេទទី 1 គឺពាក់ព័ន្ធសម្រាប់ប្រព័ន្ធព័ត៌មាន ប្រសិនបើការគំរាមកំហែងដែលទាក់ទងនឹងវត្តមាននៃសមត្ថភាពដែលមិនមានឯកសារ (មិនបានប្រកាស) នៅក្នុងកម្មវិធីប្រព័ន្ធដែលប្រើក្នុងប្រព័ន្ធព័ត៌មានក៏ពាក់ព័ន្ធសម្រាប់វាដែរ។

ប្រសិនបើអ្នកទទួលស្គាល់ប្រភេទនៃការគំរាមកំហែងនេះថាពាក់ព័ន្ធ នោះអ្នកជឿជាក់យ៉ាងមុតមាំថាភ្នាក់ងាររបស់ CIA, MI6 ឬ MOSSAD បានដាក់ចំណាំនៅក្នុងប្រព័ន្ធប្រតិបត្តិការដើម្បីលួចទិន្នន័យផ្ទាល់ខ្លួននៃមុខវិជ្ជាជាក់លាក់ពី ISPD របស់អ្នក។

ការគំរាមកំហែងនៃប្រភេទទី 2 គឺពាក់ព័ន្ធសម្រាប់ប្រព័ន្ធព័ត៌មាន ប្រសិនបើការគំរាមកំហែងដែលទាក់ទងនឹងវត្តមាននៃសមត្ថភាពដែលមិនមានឯកសារ (មិនបានប្រកាស) នៅក្នុងកម្មវិធីកម្មវិធីដែលប្រើក្នុងប្រព័ន្ធព័ត៌មានក៏ពាក់ព័ន្ធសម្រាប់វាដែរ។

ប្រសិនបើអ្នកគិតថាការគំរាមកំហែងនៃប្រភេទទីពីរគឺជាករណីរបស់អ្នក នោះអ្នកដេកហើយមើលថាតើភ្នាក់ងារដូចគ្នានៃ CIA, MI6, MOSSAD ដែលជាពួក Hacker ឯកោអាក្រក់ ឬក្រុមបានដាក់ចំណាំនៅក្នុងកញ្ចប់កម្មវិធីការិយាល័យមួយចំនួនដើម្បីស្វែងរកយ៉ាងពិតប្រាកដ។ ទិន្នន័យផ្ទាល់ខ្លួនរបស់អ្នក។ បាទ/ចាស មានកម្មវិធីកម្មវិធីគួរឱ្យសង្ស័យដូចជា μTorrent ប៉ុន្តែអ្នកអាចបង្កើតបញ្ជីកម្មវិធីដែលបានអនុញ្ញាតសម្រាប់ការដំឡើង និងចុះហត្ថលេខាលើកិច្ចព្រមព្រៀងជាមួយអ្នកប្រើប្រាស់ ដោយមិនផ្តល់ឱ្យអ្នកប្រើប្រាស់នូវសិទ្ធិអ្នកគ្រប់គ្រងក្នុងតំបន់។ល។

ការគំរាមកំហែងប្រភេទទី 3 គឺពាក់ព័ន្ធទៅនឹងប្រព័ន្ធព័ត៌មាន ប្រសិនបើការគំរាមកំហែងដែលមិនទាក់ទងទៅនឹងវត្តមាននៃសមត្ថភាពដែលមិនមានឯកសារ (មិនបានប្រកាស) នៅក្នុងប្រព័ន្ធ និងកម្មវិធីកម្មវិធីដែលប្រើក្នុងប្រព័ន្ធព័ត៌មានគឺពាក់ព័ន្ធជាមួយវា។

ការគំរាមកំហែងនៃប្រភេទទី 1 និងទី 2 មិនសមនឹងអ្នកទេ ដូច្នេះនេះគឺជាកន្លែងសម្រាប់អ្នក។

យើង​បាន​តម្រៀប​ចេញ​ពី​ប្រភេទ​នៃ​ការ​គំរាម​កំហែង ឥឡូវ​នេះ​សូម​មើល​កម្រិត​ណា​នៃ​សុវត្ថិភាព ISPD របស់​យើង​នឹង​មាន។

តារាងផ្អែកលើការឆ្លើយឆ្លងដែលបានបញ្ជាក់នៅក្នុង ក្រឹត្យរបស់រដ្ឋាភិបាលនៃសហព័ន្ធរុស្ស៊ីថ្ងៃទី 1 ខែវិច្ឆិកាឆ្នាំ 2012 លេខ 1119.

ប្រសិនបើយើងជ្រើសរើសប្រភេទទីបីនៃការគំរាមកំហែងពិតប្រាកដនោះក្នុងករណីភាគច្រើនយើងនឹងមាន UZ-3 ។ ករណីលើកលែងតែមួយគត់នៅពេលដែលការគំរាមកំហែងនៃប្រភេទទី 1 និងទី 2 មិនពាក់ព័ន្ធ ប៉ុន្តែកម្រិតនៃសុវត្ថិភាពនឹងនៅតែខ្ពស់ (UZ-2) គឺជាក្រុមហ៊ុនដែលដំណើរការទិន្នន័យផ្ទាល់ខ្លួនពិសេសរបស់បុគ្គលិកមិនមែននិយោជិតក្នុងចំនួនលើសពី 100 សម្រាប់ ឧទាហរណ៍ ក្រុមហ៊ុនដែលចូលរួមក្នុងការធ្វើរោគវិនិច្ឆ័យ និងការផ្តល់សេវាវេជ្ជសាស្រ្ត។

វាក៏មាន UZ-4 ផងដែរ ហើយវាត្រូវបានរកឃើញជាចម្បងនៅក្នុងក្រុមហ៊ុនដែលអាជីវកម្មរបស់ពួកគេមិនទាក់ទងនឹងការដំណើរការទិន្នន័យផ្ទាល់ខ្លួនរបស់អ្នកមិនមែននិយោជិត ពោលគឺអតិថិជន ឬអ្នកម៉ៅការ ឬមូលដ្ឋានទិន្នន័យផ្ទាល់ខ្លួនមានទំហំតូច។

ហេតុអ្វី​បាន​ជា​វា​សំខាន់​ម៉្លេះ​ដែល​មិន​ធ្វើ​លើស​កម្រិត​នៃ​សុវត្ថិភាព? វាសាមញ្ញ៖ សំណុំនៃវិធានការ និងមធ្យោបាយនៃការការពារ ដើម្បីធានាបាននូវកម្រិតនៃសុវត្ថិភាពនេះនឹងអាស្រ័យលើបញ្ហានេះ។ កម្រិត​ចំណេះដឹង​កាន់តែ​ខ្ពស់ នោះ​នឹង​ត្រូវ​ធ្វើ​ច្រើន​ក្នុង​លក្ខខណ្ឌ​រៀបចំ និង​បច្ចេកទេស (​អាន​៖ លុយ និង​សរសៃប្រសាទ​ច្រើន​នឹងត្រូវ​ចំណាយ​)​។

ជាឧទាហរណ៍ នេះជារបៀបដែលសំណុំនៃវិធានការសុវត្ថិភាពផ្លាស់ប្តូរស្របតាម PP-1119 ដូចគ្នា។

ឥឡូវនេះសូមមើលពីរបៀប អាស្រ័យលើកម្រិតសុវត្ថិភាពដែលបានជ្រើសរើស បញ្ជីនៃវិធានការចាំបាច់ផ្លាស់ប្តូរដោយអនុលោមតាម តាមបញ្ជារបស់ FSTEC នៃប្រទេសរុស្ស៊ីលេខ 21 ចុះថ្ងៃទី 18.02.2013 ខែកុម្ភៈឆ្នាំ XNUMX ។  មានឧបសម្ព័ន្ធវែងមួយចំពោះឯកសារនេះ ដែលកំណត់វិធានការចាំបាច់។ មាន 109 ក្នុងចំណោមពួកគេសរុប សម្រាប់វិធានការចាំបាច់ KM នីមួយៗត្រូវបានកំណត់ និងសម្គាល់ដោយសញ្ញា "+" - ពួកគេត្រូវបានគណនាយ៉ាងជាក់លាក់នៅក្នុងតារាងខាងក្រោម។ ប្រសិនបើអ្នកទុកតែអ្វីដែលចាំបាច់សម្រាប់ UZ-3 អ្នកនឹងទទួលបាន 4 ។

ការពិត៖ ប្រសិនបើអ្នកមិនប្រមូលការធ្វើតេស្ត ឬជីវមាត្រពីអតិថិជនទេ អ្នកមិនខ្លាចរញ៉េរញ៉ៃអំពីចំណាំនៅក្នុងកម្មវិធីប្រព័ន្ធ និងកម្មវិធីទេ នោះទំនងជាអ្នកមាន UZ-3។ វាមានបញ្ជីសមហេតុផលនៃវិធានការរៀបចំ និងបច្ចេកទេសដែលអាចអនុវត្តជាក់ស្តែង។

ទេវកថា 5. គ្រប់មធ្យោបាយការពារទិន្នន័យផ្ទាល់ខ្លួនត្រូវតែបញ្ជាក់ដោយ FSTEC នៃប្រទេសរុស្ស៊ី

ប្រសិនបើអ្នកចង់ ឬតម្រូវឱ្យធ្វើវិញ្ញាបនប័ត្រ នោះទំនងជាអ្នកនឹងត្រូវប្រើឧបករណ៍ការពារដែលមានការបញ្ជាក់។ វិញ្ញាបនប័ត្រនឹងត្រូវបានអនុវត្តដោយអ្នកទទួលអាជ្ញាប័ណ្ណនៃ FSTEC នៃប្រទេសរុស្ស៊ីដែល:

• ចាប់អារម្មណ៍ក្នុងការលក់ឧបករណ៍ការពារព័ត៌មានដែលមានការបញ្ជាក់បន្ថែម។
• នឹងខ្លាចអាជ្ញាបណ្ណត្រូវបានដកហូតដោយនិយតករ ប្រសិនបើមានអ្វីខុស។

ប្រសិនបើអ្នកមិនត្រូវការវិញ្ញាបនបត្រទេ ហើយអ្នកត្រៀមខ្លួនរួចរាល់ហើយដើម្បីបញ្ជាក់ការអនុលោមតាមតម្រូវការតាមវិធីមួយផ្សេងទៀតដែលមានឈ្មោះក្នុង លំដាប់នៃ FSTEC នៃប្រទេសរុស្ស៊ីលេខ 21  “ការវាយតម្លៃប្រសិទ្ធភាពនៃវិធានការដែលបានអនុវត្តនៅក្នុងប្រព័ន្ធការពារទិន្នន័យផ្ទាល់ខ្លួន ដើម្បីធានាសុវត្ថិភាពទិន្នន័យផ្ទាល់ខ្លួន” បន្ទាប់មកប្រព័ន្ធសុវត្ថិភាពព័ត៌មានដែលបានបញ្ជាក់មិនត្រូវបានទាមទារសម្រាប់អ្នកទេ។ ខ្ញុំនឹងព្យាយាមពន្យល់ដោយសង្ខេបអំពីហេតុផល។

В កថាខណ្ឌទី 2 នៃមាត្រា 19 152-FZ ចែងថា ចាំបាច់ត្រូវប្រើឧបករណ៍ការពារដែលបានឆ្លងកាត់នីតិវិធីវាយតម្លៃការអនុលោមតាមនីតិវិធីដែលបានបង្កើតឡើង។:

ការធានាសុវត្ថិភាពនៃទិន្នន័យផ្ទាល់ខ្លួនត្រូវបានសម្រេច ជាពិសេស៖
[…] 3)применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации.

В កថាខ័ណ្ឌ 13 PP-1119 ក៏មានតម្រូវការប្រើប្រាស់ឧបករណ៍សុវត្ថិភាពព័ត៌មានដែលបានឆ្លងកាត់នីតិវិធីសម្រាប់ការវាយតម្លៃការអនុលោមតាមតម្រូវការច្បាប់៖

[…] использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства Российской Федерации в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз.

ប្រការ 4 នៃ FSTEC លំដាប់លេខ 21 អនុវត្តស្ទួនកថាខណ្ឌ PP-1119៖

វិធានការដើម្បីធានាសុវត្ថិភាពទិន្នន័យផ្ទាល់ខ្លួនត្រូវបានអនុវត្ត អន្តរកម្ម តាមរយៈការប្រើប្រាស់ឧបករណ៍សុវត្ថិភាពព័ត៌មានក្នុងប្រព័ន្ធព័ត៌មានដែលបានឆ្លងកាត់នីតិវិធីវាយតម្លៃការអនុលោមតាមនីតិវិធីដែលបានបង្កើតឡើង ក្នុងករណីដែលការប្រើប្រាស់ឧបករណ៍បែបនេះគឺចាំបាច់ដើម្បី បន្សាបការគំរាមកំហែងបច្ចុប្បន្នចំពោះសុវត្ថិភាពទិន្នន័យផ្ទាល់ខ្លួន។

តើ​រូបមន្ត​ទាំងនេះ​មាន​អ្វី​ដូចគ្នា​? នោះជាការត្រឹមត្រូវ - ពួកគេមិនតម្រូវឱ្យមានការប្រើប្រាស់ឧបករណ៍ការពារដែលមានការបញ្ជាក់។ ការពិតគឺថាមានទម្រង់ជាច្រើននៃការវាយតម្លៃការអនុលោមភាព (ការបញ្ជាក់ដោយស្ម័គ្រចិត្ត ឬជាកាតព្វកិច្ច ការប្រកាសអំពីការអនុលោមភាព)។ វិញ្ញាបនប័ត្រគឺគ្រាន់តែជាការមួយក្នុងចំណោមពួកគេ។ ប្រតិបត្តិករអាចប្រើប្រាស់ផលិតផលដែលមិនមានការបញ្ជាក់ ប៉ុន្តែនឹងត្រូវបង្ហាញដល់និយតករក្នុងអំឡុងពេលត្រួតពិនិត្យថាពួកគេបានឆ្លងកាត់ទម្រង់បែបបទនៃការវាយតម្លៃការអនុលោមតាមទម្រង់មួយចំនួន។

ប្រសិនបើប្រតិបត្តិករសម្រេចចិត្តប្រើប្រាស់ឧបករណ៍ការពារដែលមានការបញ្ជាក់ នោះចាំបាច់ត្រូវជ្រើសរើសប្រព័ន្ធការពារព័ត៌មានដោយអនុលោមតាមការការពារអ៊ុលត្រាសោន ដែលបានបញ្ជាក់យ៉ាងច្បាស់នៅក្នុង FSTEC លំដាប់លេខ 21:

វិធានការបច្ចេកទេសដើម្បីការពារទិន្នន័យផ្ទាល់ខ្លួនត្រូវបានអនុវត្តតាមរយៈការប្រើប្រាស់ឧបករណ៍សុវត្ថិភាពព័ត៌មាន រួមទាំងឧបករណ៍ផ្នែកទន់ (Hardware) ដែលពួកវាត្រូវបានអនុវត្តដែលមានមុខងារសុវត្ថិភាពចាំបាច់។
នៅពេលប្រើប្រាស់ឧបករណ៍សុវត្ថិភាពព័ត៌មានដែលត្រូវបានបញ្ជាក់ស្របតាមតម្រូវការសុវត្ថិភាពព័ត៌មាននៅក្នុងប្រព័ន្ធព័ត៌មាន៖

ប្រការ 12 នៃលំដាប់លេខ 21 នៃ FSTEC នៃប្រទេសរុស្ស៊ី.

ការពិត៖ ច្បាប់មិនតម្រូវឱ្យប្រើប្រាស់ជាចាំបាច់នូវឧបករណ៍ការពារដែលមានការបញ្ជាក់នោះទេ។

ទេវកថា 6. ខ្ញុំត្រូវការការការពារគ្រីបតូ

មាន nuances មួយចំនួននៅទីនេះ៖

1. មនុស្សជាច្រើនជឿថាការគ្រីបគ្រីបគឺចាំបាច់សម្រាប់ ISPD ណាមួយ។ តាមការពិត ពួកគេគួរតែត្រូវបានប្រើលុះត្រាតែប្រតិបត្តិករមិនឃើញវិធានការការពារផ្សេងទៀតសម្រាប់ខ្លួនគាត់ ក្រៅពីការប្រើប្រាស់គ្រីបគ្រីប។
2. ប្រសិនបើអ្នកមិនអាចធ្វើបានដោយគ្មានការគ្រីបទេនោះ អ្នកត្រូវប្រើ CIPF ដែលបញ្ជាក់ដោយ FSB ។
3. ឧទាហរណ៍ អ្នកសម្រេចចិត្តធ្វើជាម្ចាស់ផ្ទះ ISPD នៅក្នុងពពកនៃអ្នកផ្តល់សេវា ប៉ុន្តែអ្នកមិនទុកចិត្តវាទេ។ អ្នកពិពណ៌នាអំពីកង្វល់របស់អ្នកនៅក្នុងគំរូគំរាមកំហែង និងការឈ្លានពាន។ អ្នកមានទិន្នន័យផ្ទាល់ខ្លួន ដូច្នេះអ្នកសម្រេចចិត្តថាការគ្រីបគ្រីបគឺជាមធ្យោបាយតែមួយគត់ដើម្បីការពារខ្លួនអ្នក៖ អ្នកនឹងអ៊ិនគ្រីបម៉ាស៊ីននិម្មិត បង្កើតបណ្តាញសុវត្ថិភាពដោយប្រើការការពារគ្រីប។ ក្នុងករណីនេះអ្នកនឹងត្រូវប្រើ CIPF ដែលបញ្ជាក់ដោយ FSB នៃប្រទេសរុស្ស៊ី។
4. វិញ្ញាបនប័ត្រ CIPF ត្រូវបានជ្រើសរើសដោយអនុលោមតាមកម្រិតសុវត្ថិភាពជាក់លាក់មួយយោងទៅតាម លំដាប់លេខ 378 FSB.

សម្រាប់ ISPDn ជាមួយ UZ-3 អ្នកអាចប្រើ KS1, KS2, KS3។ KS1 ជាឧទាហរណ៍ C-Terra Virtual Gateway 4.2 សម្រាប់ការពារឆានែល។

KC2, KS3 ត្រូវបានតំណាងដោយប្រព័ន្ធសូហ្វវែរ និងផ្នែករឹងតែប៉ុណ្ណោះ ដូចជា៖ ViPNet Coordinator, APKSH "Continent", S-Terra Gateway ជាដើម។

ប្រសិនបើអ្នកមាន UZ-2 ឬ 1 នោះអ្នកនឹងត្រូវការមធ្យោបាយការពារគ្រីបនៃថ្នាក់ KV1, 2 និង KA ។ ទាំងនេះគឺជាប្រព័ន្ធសូហ្វវែរ និងផ្នែករឹងជាក់លាក់ ពួកវាពិបាកក្នុងការដំណើរការ ហើយលក្ខណៈប្រតិបត្តិការរបស់ពួកគេគឺតិចតួច។

ការពិត៖ ច្បាប់មិនមានកាតព្វកិច្ចប្រើប្រាស់ CIPF ដែលបញ្ជាក់ដោយ FSB ទេ។

ប្រភព: www.habr.com