IaaS 152-FZ: 따라서 보안이 필요합니다

152-FZ 준수를 둘러싼 신화와 전설을 아무리 정리하더라도 그 뒤에는 항상 뭔가가 남아 있습니다. 오늘 우리는 대기업과 중소기업 모두가 직면할 수 있는 항상 명백하지는 않은 몇 가지 미묘한 차이에 대해 논의하고 싶습니다.

• 카테고리별 PD 분류의 미묘함 - 소규모 온라인 상점이 특정 카테고리에 대해 알지도 못한 채 특정 카테고리와 관련된 데이터를 수집하는 경우

• 수집된 PD의 백업을 저장하고 이에 대한 작업을 수행할 수 있는 곳입니다.

• 인증서와 규정 준수 결론의 차이점은 무엇인지, 공급자에게 어떤 문서를 요청해야 하는지 등이 있습니다.

마지막으로, 인증 통과에 대한 우리의 경험을 여러분과 공유하겠습니다. 가다!

오늘 기사의 전문가는 알렉세이 아파 나시 예프, 클라우드 제공업체 IT-GRAD 및 #CloudMTS(MTS 그룹 소속)의 IS 전문가입니다.

분류의 미묘함

우리는 IS 감사 없이 ISPD에 필요한 보안 수준을 신속하게 결정하려는 고객의 요구에 자주 직면합니다. 이 주제에 관한 인터넷의 일부 자료는 이것이 간단한 작업이고 실수하기가 매우 어렵다는 잘못된 인상을 줍니다.

KM을 결정하려면 고객의 IS가 어떤 데이터를 수집하고 처리할지 이해해야 합니다. 때로는 기업이 운영하는 개인 데이터의 보호 요구 사항과 범주를 명확하게 결정하는 것이 어려울 수 있습니다. 동일한 유형의 개인 데이터라도 완전히 다른 방식으로 평가되고 분류될 수 있습니다. 따라서 어떤 경우에는 기업의 의견이 감사인이나 심지어 검사관의 의견과 다를 수도 있습니다. 몇 가지 예를 살펴보겠습니다.

주차장. 그것은 상당히 전통적인 유형의 사업처럼 보일 것입니다. 많은 차량이 수십 년 동안 운영되어 왔으며 소유자는 개인 기업가와 개인을 고용합니다. 일반적으로 직원 데이터는 UZ-4의 요구 사항에 속합니다. 그러나 운전자와 협력하려면 개인 데이터를 수집할 뿐만 아니라 교대근무 전에 차량 영역에서 의료 통제를 수행해야 하며, 이 과정에서 수집된 정보는 즉시 다음 범주에 속합니다. 의료 데이터 - 이는 특수 범주의 개인 데이터입니다. 또한, 차량은 인증서를 요청할 수 있으며, 이는 운전자의 파일에 보관됩니다. 건강 데이터, 특수 범주의 개인 데이터 등 전자 형식의 인증서를 스캔합니다. 즉, UZ-4로는 더 이상 충분하지 않으며 최소한 UZ-3이 필요합니다.

온라인 상점. 수집된 이름, 이메일, 전화번호는 공개 항목에 해당하는 것으로 보입니다. 그러나 고객이 할랄이나 코셔 등 식이 선호도를 표시하는 경우 해당 정보는 종교 또는 신념 데이터로 간주될 수 있습니다. 따라서 기타 통제 활동을 확인하거나 수행할 때 검사관은 귀하가 수집한 데이터를 개인 데이터의 특수 범주로 분류할 수 있습니다. 이제 온라인 상점에서 구매자가 고기를 선호하는지 생선을 선호하는지에 대한 정보를 수집하면 해당 데이터는 기타 개인 데이터로 분류될 수 있습니다. 그런데 채식주의자는 어떻습니까? 결국 이것은 또한 특별한 범주에 속하는 철학적 신념에 기인할 수도 있습니다. 그러나 다른 한편으로 이것은 단순히 식단에서 고기를 배제한 사람의 태도일 수도 있습니다. 아쉽게도 이러한 "미묘한" 상황에서 PD의 범주를 명확하게 정의하는 징후는 없습니다.

광고 대행사 일부 Western 클라우드 서비스를 사용하여 이름, 이메일 주소, 전화번호 등 공개적으로 사용 가능한 고객 데이터를 처리합니다. 물론 이러한 개인 데이터는 개인 데이터와 관련이 있습니다. 문제가 발생합니다. 그러한 처리를 수행하는 것이 합법적입니까? 예를 들어 일부 외국 클라우드에 백업을 저장하기 위해 러시아 연방 외부로 개인화하지 않고 이러한 데이터를 이동할 수도 있습니까? 물론 당신은 할 수. 기관은 이 데이터를 러시아 외부에 저장할 권리가 있지만 당사 법률에 따라 초기 수집은 러시아 연방 영토에서 수행되어야 합니다. 그러한 정보를 백업하고 이를 기반으로 일부 통계를 계산하고 연구를 수행하거나 기타 작업을 수행하는 경우 이 모든 작업은 서양 자원에서 수행될 수 있습니다. 법적 관점에서 볼 때 핵심은 개인 데이터가 수집되는 위치입니다. 따라서 초기 수집과 처리를 혼동하지 않는 것이 중요합니다.

이러한 짧은 예에서 볼 수 있듯이 개인 데이터 작업이 항상 간단하고 간단한 것은 아닙니다. 필요한 보안 수준을 올바르게 결정하려면 해당 IP와 함께 작업하고 있다는 사실을 알아야 할 뿐만 아니라 IP를 올바르게 분류하고 IP 작동 방식을 이해할 수 있어야 합니다. 어떤 경우에는 조직이 실제로 운영하는 데 필요한 개인 데이터의 양에 대한 의문이 생길 수 있습니다. 가장 "심각한" 데이터 또는 단순히 불필요한 데이터를 거부하는 것이 가능합니까? 또한 규제 당국은 가능한 경우 개인 정보를 개인화할 것을 권장합니다. 

위의 예에서와 같이 조사 기관이 수집한 개인 데이터를 귀하가 평가한 것과 약간 다르게 해석하는 경우가 종종 있습니다.

물론 감사자나 시스템 통합자를 보조자로 고용할 수 있지만 감사 시 선택한 결정에 대해 "보조자"가 책임을 지게 됩니까? 책임은 항상 개인 데이터 운영자인 ISPD 소유자에게 있다는 점은 주목할 가치가 있습니다. 그렇기 때문에 회사가 이러한 작업을 수행할 때 인증 작업을 수행하는 회사와 같이 해당 서비스 시장의 주요 업체에 문의하는 것이 중요합니다. 인증 회사는 이러한 작업을 수행하는 데 있어 광범위한 경험을 보유하고 있습니다.

ISPD 구축 옵션

ISPD의 구축은 기술적인 문제일 뿐만 아니라 법적 문제이기도 합니다. CIO 또는 보안 책임자는 항상 법률 고문과 상담해야 합니다. 회사에 필요한 프로필을 갖춘 전문가가 항상 있는 것은 아니기 때문에 감사-컨설턴트를 찾아볼 가치가 있습니다. 많은 미끄러운 지점이 전혀 명확하지 않을 수 있습니다.

상담을 통해 귀하는 귀하가 다루고 있는 개인 데이터와 이에 필요한 보호 수준을 결정할 수 있습니다. 이에 따라 보안 및 운영 보안 조치를 통해 생성되거나 보완되어야 하는 IP에 대한 아이디어를 얻을 수 있습니다.

종종 회사의 선택은 두 가지 옵션 사이에서 이루어집니다.

1. 가능하면 자체 서버실에서 자체 하드웨어 및 소프트웨어 솔루션에 해당 IS를 구축하십시오.

2. 클라우드 제공업체에 문의하여 이미 인증된 "가상 서버룸"인 탄력적인 솔루션을 선택하세요.

개인 데이터를 처리하는 대부분의 정보 시스템은 비즈니스 관점에서 쉽고 성공적이라고 할 수 없는 전통적인 접근 방식을 사용합니다. 이 옵션을 선택할 때는 기술 설계에 소프트웨어, 하드웨어 솔루션 및 플랫폼을 포함한 장비에 대한 설명이 포함된다는 점을 이해해야 합니다. 이는 다음과 같은 어려움과 한계에 직면해야 함을 의미합니다.

• 스케일링의 어려움;

• 긴 프로젝트 구현 기간: 시스템을 선택, 구매, 설치, 구성 및 설명해야 합니다.

• 예를 들어 전체 ISPD에 대한 완전한 문서 패키지 개발과 같은 많은 "종이"작업이 있습니다.

또한 일반적으로 기업은 IP의 "최상위" 수준, 즉 사용하는 비즈니스 애플리케이션만 이해합니다. 즉, IT 직원은 특정 분야에 능숙합니다. 소프트웨어 및 하드웨어 보호, 스토리지 시스템, 백업, 그리고 모든 요구 사항에 따라 보호 도구를 구성하는 방법, 구성의 "하드웨어" 부분을 구축하는 방법 등 모든 "하위 수준"이 어떻게 작동하는지에 대한 이해가 없습니다. 이해하는 것이 중요합니다. 이는 고객의 비즈니스 외부에 있는 거대한 지식 계층입니다. 인증된 "가상 서버룸"을 제공하는 클라우드 제공업체의 경험이 도움이 될 수 있는 곳입니다.

결과적으로, 클라우드 제공업체는 개인 데이터 보호 분야에서 비즈니스 요구 사항의 99%를 과장 없이 처리할 수 있는 여러 가지 장점을 가지고 있습니다.

• 자본 비용은 운영 비용으로 변환됩니다.

• 공급자는 검증된 표준 솔루션을 기반으로 필요한 수준의 보안 및 가용성 제공을 보장합니다.

• 하드웨어 수준에서 ISPD의 작동을 보장할 전문가 직원을 유지할 필요가 없습니다.

• 공급자는 훨씬 더 유연하고 탄력적인 솔루션을 제공합니다.

• 공급자의 전문가는 필요한 모든 인증서를 보유하고 있습니다.

• 규정 준수는 규제 기관의 요구 사항 및 권장 사항을 고려하여 자체 아키텍처를 구축할 때보다 낮지 않습니다.

개인 데이터를 클라우드에 저장할 수 없다는 오래된 통념은 여전히 ​​널리 퍼져 있습니다. 부분적으로만 사실입니다. PD는 실제로 게시할 수 없습니다. 첫 번째로 사용 가능한 구름. 특정 기술 조치를 준수하고 특정 인증 솔루션을 사용해야 합니다. 공급자가 모든 법적 요구 사항을 준수하면 개인 데이터 유출과 관련된 위험이 최소화됩니다. 많은 제공업체는 152-FZ에 따라 개인 데이터를 처리하기 위한 별도의 인프라를 갖추고 있습니다. 그러나 공급자 선택은 특정 기준에 대한 지식을 바탕으로 접근해야 하며 아래에서 이에 대해 확실히 다루겠습니다. 

고객은 종종 공급자의 클라우드에 개인 데이터를 배치하는 것에 대해 몇 가지 우려를 갖고 당사를 방문합니다. 글쎄, 바로 논의해 봅시다.

• 전송 또는 마이그레이션 중에 데이터가 도난당할 수 있습니다.

이를 두려워할 필요가 없습니다. 공급자는 인증된 솔루션을 기반으로 구축된 안전한 데이터 전송 채널 생성, 계약자 및 직원을 위한 향상된 인증 조치를 고객에게 제공합니다. 남은 것은 적절한 보호 방법을 선택하고 이를 고객과의 작업의 일부로 구현하는 것입니다.

• 쇼 마스크가 와서 서버의 전원을 제거/봉인/차단합니다.

인프라에 대한 통제력 부족으로 인해 비즈니스 프로세스가 중단될까 봐 걱정하는 고객의 입장에서는 충분히 이해할 수 있는 일입니다. 일반적으로 이전에 전문 데이터 센터가 아닌 소규모 서버실에 하드웨어가 있던 클라이언트는 이에 대해 생각합니다. 실제로 데이터 센터에는 물리적 보호와 정보 ​​보호를 위한 현대적인 수단이 갖추어져 있습니다. 이러한 데이터센터에서는 충분한 근거와 서류 없이 운영을 수행하는 것이 거의 불가능하며, 이러한 활동에는 여러 절차를 준수해야 합니다. 또한 데이터 센터에서 서버를 "끌어오는" 것은 공급자의 다른 클라이언트에 영향을 미칠 수 있으며 이는 누구에게도 반드시 필요한 것은 아닙니다. 또한, 누구도 "귀하의" 가상 서버를 구체적으로 지적할 수 없으므로 누군가 이를 훔치거나 마스크 쇼를 진행하려는 경우 먼저 많은 관료적 지연을 처리해야 합니다. 이 기간 동안 다른 사이트로 여러 번 마이그레이션할 시간이 있을 것입니다.

• 해커는 클라우드를 해킹하고 데이터를 훔칠 것입니다

인터넷과 인쇄 매체에는 또 다른 클라우드가 어떻게 사이버 범죄의 희생양이 되었고 수백만 개의 개인 데이터 기록이 온라인으로 유출되었는지에 대한 헤드라인이 가득합니다. 대부분의 경우, 취약점은 공급자 측이 아니라 피해자의 정보 시스템에서 발견되었습니다. 취약하거나 심지어 기본 비밀번호, 웹 사이트 엔진 및 데이터베이스의 "구멍", 보안 조치를 선택할 때의 진부한 비즈니스 부주의 및 데이터 액세스 절차를 구성합니다. 인증된 모든 솔루션은 취약점 점검을 거칩니다. 또한 우리는 독립적으로 또는 외부 조직을 통해 정기적으로 "통제" 침투 테스트와 보안 감사를 실시합니다. 공급자에게 이것은 일반적으로 평판과 비즈니스의 문제입니다.

• 공급자/공급자의 직원은 개인적인 이익을 위해 개인 데이터를 훔칩니다.

이것은 다소 민감한 순간입니다. 정보 보안 업계의 많은 기업은 고객을 '겁주'하며 '내부 직원이 외부 해커보다 더 위험하다'고 주장합니다. 어떤 경우에는 이것이 사실일 수도 있지만, 신뢰 없이는 비즈니스를 구축할 수 없습니다. 때때로 조직의 직원이 고객 데이터를 공격자에게 유출하고 내부 보안이 외부 보안보다 훨씬 더 나쁘게 구성된다는 뉴스가 나옵니다. 여기에서 대규모 공급자는 부정적인 경우에 극도로 관심이 없다는 점을 이해하는 것이 중요합니다. 공급자 직원의 행동은 잘 규제되고 역할과 책임 영역이 구분됩니다. 모든 비즈니스 프로세스는 데이터 유출 가능성이 극히 낮고 항상 내부 서비스에 눈에 띄는 방식으로 구성되어 있으므로 고객은 이 측면에서 발생하는 문제를 두려워해서는 안 됩니다.

• 비즈니스 데이터로 서비스에 대한 비용을 지불하기 때문에 비용이 거의 들지 않습니다.

또 다른 신화: 안전한 인프라를 저렴한 가격에 임대하는 고객은 실제로 자신의 데이터로 비용을 지불합니다. 전문가들은 잠자리에 들기 전에 몇 가지 음모론을 읽는 것을 꺼리지 않는 경우가 많습니다. 첫째, 주문에 지정된 데이터 이외의 데이터로 작업을 수행할 가능성은 본질적으로 XNUMX입니다. 둘째, 적절한 공급자는 귀하와의 관계 및 그의 명성을 중요하게 생각합니다. 귀하 외에도 그는 더 많은 고객을 보유하고 있습니다. 공급자가 비즈니스의 기반이 되는 고객의 데이터를 열심히 보호하는 반대 시나리오가 발생할 가능성이 더 높습니다.

ISPD를 위한 클라우드 제공업체 선택

오늘날 시장은 PD 운영업체를 위한 다양한 솔루션을 제공합니다. 다음은 올바른 것을 선택하기 위한 일반적인 권장 사항 목록입니다.

• 공급자는 개인 데이터 처리에 있어 당사자의 책임, SLA 및 책임 영역을 설명하는 공식 계약을 체결할 준비가 되어 있어야 합니다. 실제로 귀하와 서비스 제공자 사이에는 서비스 계약 외에도 PD 처리 명령이 서명되어야 합니다. 어쨌든 주의 깊게 연구해 볼 가치가 있습니다. 귀하와 서비스 제공자 사이의 책임 분담을 이해하는 것이 중요합니다.

• 세그먼트는 요구 사항을 충족해야 합니다. 즉, IP에서 요구하는 보안 수준보다 낮지 않은 보안 수준을 나타내는 인증서가 있어야 합니다. 공급자가 명확하지 않은 인증서의 첫 번째 페이지만 게시하거나 인증서 자체를 게시하지 않고 감사 또는 규정 준수 절차를 참조하는 경우가 있습니다(“남자아이가 있었나요?”). 물어볼 가치가 있습니다. 이는 인증을 수행한 사람, 유효 기간, 클라우드 위치 등을 나타내는 공개 문서입니다.

• 공급자는 귀하가 데이터 배치를 제어할 수 있도록 해당 사이트(보호 개체)의 위치에 대한 정보를 제공해야 합니다. 개인 데이터의 초기 수집은 러시아 연방 영토에서 수행되어야 하므로 계약/인증서에서 데이터 센터 주소를 확인하는 것이 좋습니다.

• 공급자는 인증된 정보 보안 및 정보 보호 시스템을 사용해야 합니다. 물론 대부분의 공급자는 자신이 사용하는 기술적 보안 조치와 솔루션 아키텍처를 광고하지 않습니다. 그러나 고객으로서 당신은 그것에 대해 알 수밖에 없습니다. 예를 들어, 관리 시스템(관리 포털)에 원격으로 연결하려면 보안 조치를 사용해야 합니다. 공급자는 이 요구 사항을 우회할 수 없으며 인증된 솔루션을 제공하거나 사용하도록 요구합니다. 테스트를 위해 리소스를 가져가면 작동 방식과 작동 방식을 즉시 이해할 수 있습니다. 

• 클라우드 제공업체가 정보 보안 분야에서 추가 서비스를 제공하는 것은 매우 바람직합니다. 이는 DDoS 공격 및 WAF에 대한 보호, 바이러스 백신 서비스 또는 샌드박스 등 다양한 서비스일 수 있습니다. 이 모든 기능을 통해 보호 시스템을 구축하는 데 방해가 되지 않고 비즈니스 애플리케이션을 사용하여 작업할 수 있는 서비스로 보호를 받을 수 있습니다.

• 공급자는 FSTEC 및 FSB의 라이센스 보유자여야 합니다. 원칙적으로 이러한 정보는 웹사이트에 직접 게시됩니다. 반드시 해당 서류를 요청하시고, 서비스 제공 주소, 제공업체명 등이 정확한지 확인하시기 바랍니다. 

요약해보자. 인프라를 임대하면 CAPEX를 포기하고 담당 영역의 비즈니스 애플리케이션과 데이터 자체만 유지하고 하드웨어 및 소프트웨어 인증에 대한 무거운 부담을 공급자에게 이전할 수 있습니다.

인증을 통과한 방법

가장 최근에 우리는 개인 데이터 작업 요구 사항을 준수하기 위해 "Secure Cloud FZ-152" 인프라 재인증을 성공적으로 통과했습니다. 이 작업은 국가 인증 센터에서 수행되었습니다.

현재 "FZ-152 보안 클라우드"는 레벨 UZ-3의 요구 사항에 따라 개인 데이터(ISPDn)의 처리, 저장 또는 전송과 관련된 정보 시스템 호스팅에 대해 인증되었습니다.

인증 절차에는 클라우드 공급자 인프라의 보호 수준 준수 여부를 확인하는 작업이 포함됩니다. 공급자 자체는 IaaS 서비스를 제공하며 개인 데이터의 운영자가 아닙니다. 이 프로세스에는 조직적(문서화, 주문 등) 및 기술적 조치(보호 장비 설정 등)에 대한 평가가 포함됩니다.

사소한 일이라고 할 수 없습니다. 인증 활동을 수행하기 위한 프로그램 및 방법에 대한 GOST가 2013년에 등장했음에도 불구하고 클라우드 개체에 대한 엄격한 프로그램은 아직 존재하지 않습니다. 인증 센터는 자체 전문 지식을 바탕으로 이러한 프로그램을 개발합니다. 새로운 기술의 출현으로 프로그램이 더욱 복잡해지고 현대화되고 있으므로 인증자는 클라우드 솔루션 작업 경험이 있어야 하며 세부 사항을 이해해야 합니다.

우리의 경우 보호 개체는 두 위치로 구성됩니다.

• 클라우드 리소스(서버, 스토리지 시스템, 네트워크 인프라, 보안 도구 등)는 데이터 센터에 직접 위치합니다. 물론 이러한 가상 데이터 센터는 공용 네트워크에 연결되어 있으므로 인증된 방화벽 사용 등 특정 방화벽 요구 사항을 충족해야 합니다.

• 개체의 두 번째 부분은 클라우드 관리 도구입니다. 이는 보호된 세그먼트가 관리되는 워크스테이션(관리자의 워크스테이션)입니다.

위치는 CIPF에 구축된 VPN 채널을 통해 통신합니다.

가상화 기술은 위협 출현에 대한 전제 조건을 만들기 때문에 우리는 인증된 보호 도구도 추가로 사용합니다.

"평가자의 눈을 통해" 블록 다이어그램

클라이언트가 IaaS를 임대한 후 ISPD 인증을 요구하는 경우 가상 데이터 센터 수준 이상의 정보 시스템만 평가하면 됩니다. 이 절차에는 사용되는 인프라와 소프트웨어를 확인하는 작업이 포함됩니다. 모든 인프라 문제에 대해 공급자의 인증서를 참조할 수 있으므로 소프트웨어 작업만 하면 됩니다.

추상화 수준에서의 분리

결론적으로 이미 개인 데이터를 다루고 있거나 계획 중인 회사를 위한 간단한 체크리스트가 있습니다. 그렇다면 화상을 입지 않고 처리하는 방법은 무엇입니까?

1. 위협과 침입자의 모델을 감사하고 개발하려면 필요한 문서 개발을 돕고 기술 솔루션 단계로 안내할 인증 실험실 중 숙련된 컨설턴트를 초대하십시오.

2. 클라우드 공급자를 선택할 때 인증서가 있는지 주의하세요. 회사가 홈페이지에 직접 공개해 놓으면 좋을 것 같습니다. 공급자는 FSTEC 및 FSB의 라이센스 보유자여야 하며, 그가 제공하는 서비스는 인증을 받아야 합니다.

3. 개인 데이터 처리에 대한 공식 계약과 서명된 지침이 있는지 확인하십시오. 이를 바탕으로 규정 준수 확인과 ISPD 인증을 모두 수행할 수 있으며, 기술 프로젝트 단계에서 이 작업과 설계 및 기술 문서 작성이 부담스러우면 제XNUMX자 컨설팅 회사에 문의하는 것이 좋습니다. 인증연구소 중에서.

개인 데이터 처리 문제가 귀하와 관련이 있다면 이번 주 금요일인 18월 XNUMX일 웹 세미나에서 만나뵙게 되어 기쁘게 생각합니다. “인증된 클라우드 구축의 특징”.

출처 : habr.com