개인 데이터 운영자에게 비용이 많이 들 수 있는 152-FZ에 대한 오해

안녕하세요 여러분! 저는 DataLine 사이버방어센터를 운영하고 있습니다. 고객은 클라우드 또는 물리적 인프라에서 152-FZ의 요구 사항을 충족하는 작업을 가지고 우리에게 왔습니다.
거의 모든 프로젝트에서 이 법칙에 대한 신화를 폭로하기 위한 교육 작업을 수행해야 합니다. 나는 개인 데이터 운영자의 예산과 신경 시스템에 비용을 초래할 수 있는 가장 일반적인 오해를 수집했습니다. 국가 기밀, KII 등을 다루는 국가 기관(GIS)의 사례는 이 기사의 범위에서 제외된다는 점을 즉시 유보하겠습니다.

오해 1. 바이러스 백신과 방화벽을 설치하고 랙을 울타리로 둘러쌌습니다. 나는 법을 준수하고 있나요?

152-FZ는 시스템 및 서버 보호에 관한 것이 아니라 주체의 개인 데이터 보호에 관한 것입니다. 따라서 152-FZ 준수는 바이러스 백신이 아니라 많은 수의 문서 및 조직 문제로 시작됩니다.
주요 검사관인 Roskomnadzor는 기술적 보호 수단의 유무와 상태가 아니라 개인 데이터(PD) 처리에 대한 법적 근거를 살펴봅니다.

• 어떤 목적으로 개인 데이터를 수집합니까?  
• 귀하의 목적에 필요한 것보다 더 많은 정보를 수집하는지 여부
• 개인 데이터를 얼마나 오래 저장합니까?
• 개인 데이터 처리에 대한 정책이 있습니까?
• 개인정보 처리, 국외 이전, 제XNUMX자 처리 등에 대한 동의를 수집하고 있습니까?

이러한 질문에 대한 답변과 프로세스 자체는 적절한 문서에 기록되어야 합니다. 다음은 개인 데이터 운영자가 준비해야 하는 항목의 전체 목록은 아닙니다.

• 개인 데이터 처리에 대한 표준 동의서(이것은 현재 이름과 여권 정보를 남기는 거의 모든 곳에서 서명하는 시트입니다.)
• 개인 데이터 처리에 관한 운영자 정책(여기에 디자인에 대한 권장 사항이 있습니다).
• 개인 데이터 처리 조직을 담당하는 사람의 임명을 명령합니다.  
• 개인 데이터 처리 조직을 담당하는 사람의 직무 설명입니다.
• 내부 통제 및/또는 PD 처리의 법적 요구 사항 준수 감사에 대한 규칙입니다.  
• 개인정보시스템(ISPD) 목록.
• 피험자에게 자신의 개인 데이터에 대한 접근 권한을 제공하는 규정.
• 사건조사규정.
• 직원의 개인 데이터 처리 허용 명령.
• 규제 기관과의 상호 작용에 대한 규정.  
• RKN 등의 통지
• PD처리 지시서 양식입니다.
• ISPD 위협 모델.

이러한 문제를 해결한 후 특정 조치와 기술적 수단을 선택할 수 있습니다. 필요한 것은 시스템, 작동 조건 및 현재 위협에 따라 다릅니다. 그러나 이에 대해서는 나중에 더 자세히 설명합니다.

현실 : 법 준수는 우선 특정 프로세스를 확립하고 준수하는 것이며 두 번째로 특별한 기술적 수단을 사용하는 것입니다.

오해 2. 나는 152-FZ의 요구 사항을 충족하는 데이터 센터인 클라우드에 개인 데이터를 저장합니다. 이제 그들은 법을 집행할 책임이 있습니다.

귀하가 개인 데이터 저장을 클라우드 제공업체 또는 데이터 센터에 아웃소싱하더라도 귀하는 개인 데이터 운영자로서의 역할을 중단하지 않습니다.
도움이 필요하면 법의 정의를 살펴보겠습니다.

개인 데이터 처리 – 수집, 기록, 체계화, 축적, 저장, 명확화(업데이트, 변경), 개인정보의 추출, 이용, 전송(배포, 제공, 접근), 개인화, 차단, 삭제, 파기.
출처: 기사 3, 152-FZ

이 모든 행위 중, 서비스 제공자는 개인정보를 저장하고 파기할 책임이 있습니다(고객이 해당 서비스 제공자와 계약을 종료하는 경우). 그 밖의 모든 것은 개인 데이터 운영자가 제공합니다. 이는 서비스 제공자가 아닌 운영자가 개인 데이터 처리 정책을 결정하고, 고객으로부터 개인 데이터 처리에 대한 동의를 얻고, 개인 데이터가 제XNUMX자에게 유출되는 경우를 방지 및 조사하는 등을 의미합니다.

결과적으로 개인 데이터 운영자는 위에 나열된 문서를 수집하고 PDIS를 보호하기 위한 조직적, 기술적 조치를 구현해야 합니다.

일반적으로 공급자는 운영자의 ISPD가 위치할 인프라 수준(장비가 있는 랙 또는 클라우드)에서 법적 요구 사항을 준수하도록 보장하여 운영자를 돕습니다. 그는 또한 문서 패키지를 수집하고 152-FZ에 따라 인프라에 대한 조직적, 기술적 조치를 취합니다.

일부 공급자는 ISDN 자체에 대한 서류 작업 및 기술적 보안 조치 제공(즉, 인프라보다 높은 수준)을 지원합니다. 운영자는 이러한 업무를 아웃소싱할 수도 있지만 법에 따른 책임과 의무는 사라지지 않습니다.

현실 : 제공자 또는 데이터 센터의 서비스를 이용함으로써 귀하는 개인 데이터 운영자의 책임을 그에게 양도하거나 책임에서 벗어날 수 없습니다. 공급자가 이것을 약속한다면 가볍게 말하면 그는 거짓말을 하고 있는 것입니다.

오해 3. 나는 필요한 문서와 조치 패키지를 가지고 있습니다. 나는 152-FZ 준수를 약속하는 제공업체에 개인 데이터를 저장합니다. 모든 것이 정상인가요?

예, 주문서에 서명하는 것을 기억하신다면 가능합니다. 법에 따라 운영자는 개인정보 처리를 다른 사람(예: 동일한 서비스 제공자)에게 위탁할 수 있습니다. 주문은 서비스 제공자가 운영자의 개인 데이터로 무엇을 할 수 있는지를 나열한 일종의 계약입니다.

운영자는 주 또는 지방자치단체 계약을 포함하여 해당 개인과 체결한 계약에 기초하여 연방법에 의해 달리 규정되지 않는 한 개인 데이터 주체의 동의를 받아 개인 데이터 처리를 다른 사람에게 위탁할 권리가 있습니다. 또는 국가나 지방자치단체(이하 양도사업자라 칭함)가 관련법을 채택한 경우. 운영자를 대신하여 개인정보를 처리하는 사람은 본 연방법에서 규정한 개인정보 처리 원칙과 규칙을 준수할 의무가 있습니다.
출처 : 3-FZ 6항, 152항

개인 데이터의 기밀성을 유지하고 지정된 요구 사항에 따라 보안을 보장해야 하는 공급자의 의무도 확립되어 있습니다.

운영자의 지침은 개인 데이터를 처리하는 사람이 수행할 개인 데이터 작업(운영) 목록과 처리 목적을 정의해야 하며, 해당 사람의 의무는 개인 데이터의 기밀성을 유지하고 다음을 보장해야 합니다. 처리 중 개인 데이터의 보안과 처리된 개인 데이터 보호에 대한 요구 사항은 다음에 따라 지정되어야 합니다. 제19조 이 연방법의.
출처 : 3-FZ 6항, 152항

이에 대해 공급자는 개인 데이터의 주체가 아닌 운영자에 대해 책임을 집니다.

운영자가 개인정보 처리를 다른 사람에게 위탁하는 경우, 운영자는 지정된 사람의 행위에 대해 개인정보주체에 대해 책임을 집니다. 운영자를 대신하여 개인정보를 처리하는 사람은 운영자에 대한 책임을 집니다.
출처 : 152-FZ.

개인 데이터 보호를 보장할 의무를 순서대로 규정하는 것도 중요합니다.

정보 시스템에서 처리되는 개인 데이터의 보안은 개인 데이터를 처리하는 이 시스템의 운영자(이하 운영자) 또는 다음을 기반으로 운영자를 대신하여 개인 데이터를 처리하는 사람에 의해 보장됩니다. 이 사람(이하 권한을 부여받은 사람이라 함)과 체결한 계약입니다. 운영자와 승인된 사람 사이의 계약은 정보 시스템에서 처리될 때 개인 데이터의 보안을 보장하기 위한 승인된 사람의 의무를 규정해야 합니다.
출처 : 1년 2012월 1119일자 러시아 연방 정부 법령 No. XNUMX

현실 : 공급자에게 개인 데이터를 제공하는 경우 주문에 서명하십시오. 순서대로, 주체의 개인 데이터 보호를 보장하기 위한 요구 사항을 표시하십시오. 그렇지 않은 경우, 귀하는 개인 데이터 처리 업무를 제152자에게 양도하는 것과 관련된 법률을 준수하지 않으며, 제공업체는 XNUMX-FZ 준수와 관련하여 귀하에게 어떤 의무도 지지 않습니다.

오해 4. 모사드가 나를 염탐하고 있다. 아니면 나는 확실히 UZ-1을 갖고 있다

일부 고객은 보안 수준 1 또는 2의 ISPD를 보유하고 있음을 지속적으로 증명합니다. 대부분의 경우 그렇지 않습니다. 왜 이런 일이 발생하는지 알아내기 위해 하드웨어를 기억해 봅시다.
LO 또는 보안 수준에 따라 개인 데이터를 무엇으로부터 보호할지 결정됩니다.
보안 수준은 다음 사항의 영향을 받습니다.

• 개인 데이터 유형(특수, 생체 인식, 공개적으로 이용 가능 및 기타)
• 개인 데이터를 소유한 사람 - 개인 데이터 운영자의 직원 또는 비직원
• 개인정보주체의 수 – 대략 100만명.
• 현재 위협 유형.

위협 유형에 대해 알려줍니다. 1년 2012월 1119일자 러시아 연방 정부 법령 No. XNUMX. 여기에 인간 언어로의 무료 번역과 함께 각각에 대한 설명이 있습니다.

정보 시스템에서 사용되는 시스템 소프트웨어의 문서화되지 않은(선언되지 않은) 기능의 존재와 관련된 위협도 정보 시스템과 관련이 있는 경우 첫 번째 유형의 위협은 정보 시스템과 관련이 있습니다.

이러한 유형의 위협이 관련성이 있다고 인식한다면 CIA, MI6 또는 MOSSAD 요원이 ISPD에서 특정 주제의 개인 데이터를 훔치기 위해 운영 체제에 북마크를 설정했다고 굳게 믿는 것입니다.

정보 시스템에서 사용되는 응용 소프트웨어의 문서화되지 않은(선언되지 않은) 기능의 존재와 관련된 위협도 정보 시스템과 관련이 있는 경우 두 번째 유형의 위협은 정보 시스템과 관련이 있습니다.

두 번째 유형의 위협이 귀하의 경우라고 생각한다면 잠을 자면서 CIA, MI6, MOSSAD, 사악한 고독한 해커 또는 그룹의 동일한 에이전트가 정확히 사냥하기 위해 일부 사무실 소프트웨어 패키지에 북마크를 배치한 방법을 확인하십시오. 귀하의 개인 데이터. 예, μTorrent와 같은 의심스러운 응용 프로그램 소프트웨어가 있지만 설치가 허용되는 소프트웨어 목록을 만들고 사용자와 계약을 체결할 수 있으며 사용자에게 로컬 관리자 권한 등을 부여하지 않을 수 있습니다.

정보 시스템에서 사용되는 시스템 및 응용 소프트웨어의 문서화되지 않은(선언되지 않은) 기능의 존재와 관련되지 않은 위협이 정보 시스템과 관련된 경우 유형 3 위협은 정보 시스템과 관련이 있습니다.

유형 1과 2의 위협은 귀하에게 적합하지 않으므로 이곳이 귀하에게 적합합니다.

위협 유형을 정리했으니 이제 ISPD의 보안 수준은 어느 정도인지 살펴보겠습니다.

다음에 지정된 대응을 기반으로 한 표 1년 2012월 1119일자 러시아 연방 정부 법령 No. XNUMX.

세 번째 유형의 실제 위협을 선택하면 대부분의 경우 UZ-3이 사용됩니다. 유형 1과 2의 위협이 관련이 없지만 보안 수준이 여전히 높은 경우(UZ-2) 유일한 예외는 100개를 초과하는 비직원의 특수 개인 데이터를 처리하는 회사입니다. 예를 들어, 의료 진단 및 의료 서비스 제공에 종사하는 회사입니다.

UZ-4도 있으며 비직원의 개인 데이터 처리와 관련이 없는 사업을 하는 회사, 즉 고객이나 계약자 또는 개인 데이터베이스가 작은 회사에서 주로 발견됩니다.

보안 수준을 과도하게 사용하지 않는 것이 왜 그렇게 중요합니까? 간단합니다. 이러한 수준의 보안을 보장하기 위한 일련의 조치와 ​​보호 수단은 이에 따라 달라집니다. 지식 수준이 높을수록 조직적, 기술적 측면에서 더 많은 작업을 수행해야 합니다(읽기: 더 많은 돈과 신경을 써야 함).

예를 들어, 동일한 PP-1119에 따라 보안 조치 세트가 어떻게 변경되는지는 다음과 같습니다.

이제 선택한 보안 수준에 따라 필요한 조치 목록이 어떻게 변경되는지 살펴보겠습니다. 21년 18.02.2013월 XNUMX일자 러시아 FSTEC 제XNUMX호 명령에 의함.  이 문서에는 필요한 조치를 정의하는 긴 부록이 있습니다. 총 109개가 있으며, 각 KM 필수 조치에 대해 정의되고 "+" 기호로 표시됩니다. 아래 표에 정확하게 계산됩니다. UZ-3에 필요한 것만 남겨두면 4가 됩니다.

현실 : 클라이언트로부터 테스트나 생체 인식을 수집하지 않는 경우 시스템 및 응용 프로그램 소프트웨어의 북마크에 대해 편집증이 없다면 UZ-3을 가지고 있을 가능성이 높습니다. 실제로 구현할 수 있는 조직적, 기술적 조치의 합리적인 목록이 있습니다.

오해 5. 개인 데이터를 보호하는 모든 수단은 러시아 FSTEC의 인증을 받아야 합니다.

인증을 원하거나 수행해야 하는 경우 인증된 보호 장비를 사용해야 할 가능성이 높습니다. 인증은 다음과 같은 러시아 FSTEC 라이센스 보유자가 수행합니다.

• 더 많은 인증된 정보 보호 장치 판매에 관심이 있습니다.
• 뭔가 잘못되면 규제 당국이 면허를 취소할까 봐 두려워할 것입니다.

인증이 필요하지 않고 다음과 같은 다른 방법으로 요구 사항 준수를 확인할 준비가 된 경우 러시아 FSTEC 명령 제21호  "개인 데이터의 보안을 보장하기 위해 개인 데이터 보호 시스템 내에서 구현된 조치의 효율성을 평가"하면 인증된 정보 보안 시스템이 필요하지 않습니다. 그 근거를 간략하게 설명하려고 합니다.

В 기사 2 19-FZ의 152항 정해진 절차에 따라 적합성평가 절차를 거친 보호구를 사용해야 함을 명시하고 있습니다.:

특히 다음과 같이 개인 데이터의 보안을 보장합니다.
[...] 3) 정보보안의 사용은 정해진 절차에 따라 준수평가 절차를 통과한 것을 의미합니다.

В 단락 13 PP-1119 법적 요구 사항 준수 여부를 평가하는 절차를 통과한 정보 보안 도구를 사용해야 한다는 요구 사항도 있습니다.

[...] 현재의 위협을 무력화하기 위해 그러한 수단의 사용이 필요한 경우, 정보 보안 분야에서 러시아 연방 법률의 요구 사항 준수 여부를 평가하는 절차를 통과한 정보 보안 도구의 사용.

FSTEC 명령 번호 4의 21항 실제로 PP-1119 단락과 중복됩니다.

개인 데이터의 보안을 보장하기 위한 조치는 특히 확립된 절차에 따라 적합성 평가 절차를 통과한 정보 시스템의 정보 보안 도구를 사용하여 구현됩니다. 개인 데이터 보안에 대한 현재의 위협을 무력화합니다.

이 공식의 공통점은 무엇입니까? 맞습니다. 인증된 보호 장비를 사용할 필요가 없습니다. 사실 적합성 평가에는 여러 형태(자발적 또는 필수 인증, 적합성 선언)가 있습니다. 인증은 그 중 하나일 뿐입니다. 운영자는 인증되지 않은 제품을 사용할 수 있지만 검사 중에 특정 형태의 적합성 평가 절차를 거쳤음을 규제 기관에 입증해야 합니다.

운영자가 인증된 보호 장비를 사용하기로 결정한 경우 초음파 보호에 따라 정보 보호 시스템을 선택해야 하며 이는 FSTEC 주문번호 21:

개인정보를 보호하기 위한 기술적 조치는 필요한 보안 기능을 갖춘 소프트웨어(하드웨어) 도구를 포함하여 정보 보안 도구를 사용하여 구현됩니다.
정보 시스템의 정보 보안 요구 사항에 따라 인증된 정보 보안 도구를 사용하는 경우:

러시아 FSTEC 명령 번호 12의 21항.

현실 : 법에서는 인증된 보호 장비의 의무적 사용을 요구하지 않습니다.

오해 6. 암호화폐 보호가 필요하다

여기에는 몇 가지 뉘앙스가 있습니다.

1. 많은 사람들은 모든 ISPD에 암호화가 필수라고 믿습니다. 실제로 운영자가 암호화 사용 외에 다른 보호 조치를 볼 수 없는 경우에만 사용해야 합니다.
2. 암호화 없이는 할 수 없다면 FSB에서 인증한 CIPF를 사용해야 합니다.
3. 예를 들어 서비스 공급자의 클라우드에서 ISPD를 호스팅하기로 결정했지만 이를 신뢰하지 않습니다. 위협 및 침입자 모델에서 우려 사항을 설명합니다. 개인 데이터가 있으므로 암호화가 자신을 보호하는 유일한 방법이라고 결정했습니다. 가상 머신을 암호화하고 암호화 보호를 사용하여 보안 채널을 구축합니다. 이 경우 러시아 FSB에서 인증한 CIPF를 사용해야 합니다.
4. 공인 CIPF는 다음에 따라 일정 수준의 보안에 따라 선택됩니다. 주문 번호 378 FSB.

UZ-3을 사용하는 ISPDn의 경우 KS1, KS2, KS3을 사용할 수 있습니다. 예를 들어 KS1은 채널 보호를 위한 C-Terra Virtual Gateway 4.2입니다.

KC2, KS3은 ViPNet Coordinator, APKSH "Continent", S-Terra Gateway 등과 같은 소프트웨어 및 하드웨어 시스템으로만 표현됩니다.

UZ-2 또는 1이 있는 경우 KV1, 2 및 KA 클래스의 암호화 보호 수단이 필요합니다. 이는 특정 소프트웨어 및 하드웨어 시스템으로 작동하기 어렵고 성능 특성이 보통 수준입니다.

현실 : 법은 FSB가 인증한 CIPF의 사용을 의무화하지 않습니다.

출처 : habr.com