Aizsargāts mākonis uz DF Cloud platformas 

FZ-152 „Par personas datu aizsardzību“ attiecas uz visiem esošajiem subjektiem: fiziskām un juridiskām personām, federālajām valsts varām un pašvaldībām. Faktiski šis likums attiecas uz jebkurām organizācijām, kas apstrādā informāciju un personiskos datus Krievijas Federācijas iedzīvotāju, neatkarīgi no īpašuma formas un organizācijas lieluma.

Dažkārt organizācija var negaidīti atklāt sākotnēji neizteiktus personālo datu informācijas sistēmas (PDI). Piemēram, uzņēmums tiek uzskatīts par personālo datu operatoru, ja tā tīmekļa vietnē ir atsauksmju, reģistrācijas un autorizācijas formas un citas datu vākšanas formas, ar kuru palīdzību var identificēt subjektu.

Kontroli un uzraudzību par federālā likuma „Par personālo datu aizsardzību“ prasību ievērošanu veic regulatori:

• Roskomnadzor attiecībā uz personālo datu subjektu tiesību aizsardzību;
• FSB Krievijā attiecībā uz prasību izpildi kriptogrāfijas jomā;
• FSTEK Krievijā attiecībā uz prasību ievērošanu, lai aizsargātu informāciju no nesankcionētas piekļuves un noplūdes tehniskajos kanālos.

Tā kā FZ „Par personālo datu aizsardzību“ ir tikai pamats juridiskai aizsardzībai PDI, tā prasības vēlāk tika precizētas Krievijas Federācijas valdības un Sakaru ministrijas aktos un citos normatīvi metodiskajos dokumentos, ko izstrādājuši regulatori.

Federālās iestādes, kas regulē personālo datu apstrādes darbību

• Roskomnadzor (Federālā dienests uzraudzībai sakaru un masu komunikāciju jomā) — veic kontroli un uzraudzību par PDI apstrādes atbilstību normatīvo aktu prasībām.
• FSTEK Krievijā (Federālā dienests tehniskās un eksporta kontroles jomā) — nosaka informācijas aizsardzības metodes un līdzekļus, izmantojot tehniskos instrumentus.
• FSB Krievijā (Federālā drošības dienests Krievijas Federācijā) — nosaka informācijas aizsardzības metodes un līdzekļus savās pilnvarās (kriptogrāfisko informācijas aizsardzības līdzekļu izmantošana).

Katra organizācija, kas apstrādā personas datus, saskaras ar problēmu sakārtot savas informācijas sistēmas atbilstoši likumdošanas prasībām. Personas datu aizsardzība ir viens no vissvarīgākajiem jautājumiem, un tas attiecas ne tikai uz Krieviju, bet arī uz citām valstīm. 

Personas datu veidi

Saskaņā ar FZ-152, personas dati ir jebkāda informācija, kas attiecas uz noteiktu vai noteiktu cilvēku, pamatojoties uz šādu informāciju (personas datu subjektu). Piemēram: vārds, uzvārds, dzimšanas datums un vieta, adrese, ģimenes, sociālā, īpašuma stāvokļa, izglītības u.tml.

Personas dati tiek iedalīti vairākās kategorijās:

Īpaši

Personas dati, kas attiecas uz rasu, etnisko piederību, politiskajiem uzskatiem, reliģiskajiem vai filozofiskajiem uzskatiem, veselības stāvokli, intīmo dzīvi

Biometriskie

Personas dati, kas raksturo cilvēka fizioloģiskās un bioloģiskās īpašības, pamatojoties uz kurām var noteikt viņa identitāti un kurus operators izmanto, lai noteiktu personas datu subjekta identitāti

Citi

Personas dati, kas attiecas uz tieši vai netieši noteiktu vai noteiktu fizisku personu un nav saistīti ar iepriekš minētajām kategorijām

Publiski pieejami

Personas dati, kas iegūti no publiski pieejamiem avotiem, kur dati tika publicēti ar personas datu subjekta rakstisku piekrišanu

Personas datu apstrāde ir jebkura darbība (operācija) vai darbību kopums ar personas datiem, izmantojot automatizācijas līdzekļus vai bez tiem, tostarp:

• vākšana,
• ierakstīšana,
• sistematizēšana,
• uzkrāšana,
• uzglabāšana,
• precizēšana (atjaunināšana, maiņa),
• iegūšana,
• izmantošana,
• pārsūtīšana (izplatīšana, sniegšana, piekļuve),
• anonimizācija,
• bloķēšana,
• dzēšana,
• personas datu iznīcināšana.

Atbildība par pārkāpumiem

Saskaņā ar 24. pantu FZ-152 personas ir atbildīgas par likuma pārkāpumiem saskaņā ar Krievijas Federācijas likumdošanu.

Pārbaudot uzņēmumu, regulatori vadās pēc FZ-152 un virknes apakšlikumu. Pārbaude var būt gan plānota, gan neplānota — saistībā ar pārkāpumiem, kā arī kontrolei par iepriekš izsniegto rīkojumu par to novēršanu.

Personām, kuras pārkāpj personas datu aizsardzības prasības, var draudēt ne tikai civiltiesiskā un disciplīnas atbildība, bet arī administratīvā un pat kriminālatbildība.
 

Kā atbilst FZ-152 prasībām?

Tātad uzņēmumam vai organizācijai, kas apstrādā personas datus vai citu ierobežotas piekļuves informāciju, jāaizsargā šī informācija saskaņā ar likumdošanu. Tas ne tikai prasa nopietnu ekspertīzi, zināšanas un pieredzi, bet arī ir saistīts ar tehniskām grūtībām un ievērojamām izmaksām.

Saskaņā ar oficiālo definīciju, ko apstiprinājusi FSTEK, «… Personas datu drošība – ir personas datu aizsardzības stāvoklis, kas raksturo faktu, ka lietotāji, tehniskie līdzekļi un informācijas tehnoloģijas spēj nodrošināt personas datu konfidencialitāti, integritāti un pieejamību to apstrādes laikā informācijas sistēmās.»

Lai izpildītu FZ-152 organizatoriskās, juridiskās un tehniskās prasības, pats jāiepazīstas ne tikai ar pašu likumu, bet arī ar tā apakšnormatīvajiem aktiem, jāsaprot, kādas konkrētas darbības nepieciešams veikt. Ārpakalpojumu speciālisti var izpētīt personas datu apstrādes procesus uzņēmumā, sastādīt nepieciešamos dokumentus, ieviest aizsardzības līdzekļus utt.

Kompleksā informācijas aizsardzības sistēma ietver:

• Uzbrukumu novēršanas līdzekļus (IDS).
• Ugunsmūri (FW).
• Aizsardzību pret ļaunprātīgu programmatūru.
• Drošības notikumu uzraudzības un reģistrācijas sistēmu.
• Šifrēšanas kanālu kriptogrāfiskās aizsardzības sistēmu.
• Aizsardzības līdzekļus virtuālajā vidē, neautorizētas piekļuves (НСД) aizsardzības sistēmu, identifikāciju un piekļuves pārvaldību.
• Aizsardzības/vainojamības analīzes sistēmu un citus.

Turklāt kompleksā informācijas drošība paredz ne tikai tehniskus, bet arī organizatoriskos pasākumus.

FZ-152 mākonis: īpatnības realizācijā

Vairāki Krievijas pakalpojumu sniedzēji piedāvā mākoņinfrastruktūras pakalpojumus informācijas sistēmu izvietošanai saskaņā ar federālajiem likumiem par personas datiem. Izvietojot klientu sistēmas mākoņos, pakalpojumu sniedzējs uzņemas daudzu informācijas drošības jautājumu risināšanu, tostarp personisko datu aizsardzību. Pārejot uz mākoņu, viņš nodrošinās IT infrastruktūras aizsardzību, tādējādi atvieglojot klienta saistības. Piemēram, pakalpojumu sniedzējs izpilda FZ-152 prasības, kas attiecas uz virtualizācijas vides aizsardzību.

Pakalpojumu sniedzēji arī var sniegt klientiem ekspertu atbalstu datu aizsardzības jautājumu risināšanā: noteikt nepieciešamo aizsardzības līmeni un atbilstoši piedāvāt realizācijas variantus; izstrādāt dokumentāciju, lai izpildītu Krievijas Federācijas likumdošanas prasības.

Aizsargāts mākoņpakalpojums palīdz optimizēt organizācijas izmaksas, samazinot izdevumus IT infrastruktūras izveidei un apkopei, kā arī iekšējās informācijas aizsardzības sistēmas izveidei. Parasti kvalificēti eksperti nodrošina visaptverošu tehnisko atbalstu, tostarp konsultācijas un dokumentu izstrādi normatīvo iestāžu akreditācijai, un pakalpojumu sniegšanas platforma atbilst stingriem tehniskajiem standartiem un apmierina nepieciešamās organizatoriskās prasības. Klienti var izmantot pakalpojumus nepieciešamās dokumentācijas sagatavošanai un personas datu aizsardzībai lietojumprogrammu un operētājsistēmas līmenī.

Tajā arī ir iekļauti riska un ievainojamības pārvaldības procesi, notikumu izmeklēšana, iekšējās un ārējās drošības auditi, kā arī regulāra tīklu, sistēmu un informācijas drošības procesu uzraudzība un testēšana. Kvalificēti speciālisti nodrošina 24/7 IT infrastruktūras atbalstu.

Kopumā šie pasākumi nodrošina federālo likumu ievērošanu personisko datu aizsardzības jomā.

Sertificēta platforma

IBS DataFort piedāvā šo pakalpojumu uz sertificētas DF Cloud platformas. Viss tehniskais nodrošinājums, administrēšana un šīs platformas virtualizācijas līdzekļi atbilst FZ-152 normām un prasībām.
IBS DataFort aizsargātā mākoņu arhitektūra.

Platforma nodrošina garantētu aizsardzību datu aizsardzības sistēmām (līdz 1. aizsardzības līmenim ieskaitot), ģeoinformācijas sistēmām (līdz 1. aizsardzības klasei ieskaitot) un drošu datu glabāšanu Tier III datu centros. Platformā tiek izmantoti sertificēti ugunsmūri, iebrukuma atklāšanas un novēršanas sistēmas (IDS/IPS), sakaru kanālu šifrēšana (GOST VPN), antivīrusu aizsardzība, līdzekļi, lai novērstu nesankcionētu piekļuvi, virtuālās vides aizsardzība, kā arī ievainojamību skenēšanas instrumenti.

FZ-152 mākonis — arī piemērots risinājums tiem, kuri izvirza augstas prasības attiecībā uz konfidencialitāti un datu aizsardzību, vēlas nostiprināt savu biznesa reputāciju vai iegūt tādu konkurences priekšrocību kā apstiprināts augsts informācijas drošības līmenis.

Kā "pārcelties" uz šādu mākoņu? Vai ir iespējama "bezšuvju migrācija"? Noteikti. Piemēram, IBS DataFort veic drošu datu aizsardzības sistēmu pārvietošanu savā aizsargātajā mākoņā, minimizējot dīkstāvi un ietekmi uz uzņēmuma biznesa procesiem (tostarp no ārzemju platformām).

IT infrastruktūras atbilstība FZ-152

Klienta IT infrastruktūras atbilstības nodrošināšanas process sākas ar auditu un pašreizējā aizsardzības līmeņa novērtējumu.

Klienta IT infrastruktūras audits ietver datu apstrādes un aizsardzības procesu izpēti un klienta datu aizsardzības sistēmas pārbaudi. Tiek sastādīts pārskats par izpēti ar sīkām datu apstrādes procesu tehniskā raksturojuma aprakstu.

Darbi paredz arī apdraudējumu un pārkāpēju modelēšanu, kā arī aizsardzības līmeņa noteikšanas akta sagatavošanu datu aizsardzības sistēmai. Audita rezultātā tiek izstrādāts speciāls tehniskais uzdevums datu aizsardzības sistēmas izstrādei, nosakot prasības plānotajai sistēmai.

Tiek izstrādāts politiku, instrukciju, noteikumu un citu dokumentu kopums datu aizsardzībai. Šajā procesā speciālisti cenšas optimizēt klienta izdevumus par aizsardzības līdzekļu ieviešanu.

IBS DataFort sniedz dokumentācijas sagatavošanas un datu aizsardzības pakalpojumus, lai nodrošinātu atbilstību federālajiem likumiem par personu datu aizsardzību un var palīdzēt sagatavot un veikt sertifikāciju (datu aizsardzības sistēmas, ģeoinformācijas sistēmas, automatizētās sistēmas).

A test is conducted by independent auditors who hold licenses from FSTEC and FSB of Russia. Passing such a certification confirms reliable protection of partners' and clients' personal data from external threats, ensuring comprehensive adherence to regulatory requirements. It is important that clients enjoy the convenience of a "single window": everything is provided by one company — IBS DataFort.

For the personal data operator, this means readiness for inspections by Roskomnadzor, FSTEC, and FSB, eliminating the risks of resource blocking, and the absence of complaints and sanctions from the regulator.

Such a service is relevant for many categories of clients in the state and corporate sectors and may be in demand by personal data operators who want to align their activities with legislation. Placing IS in a closed segment of the provider's infrastructure, certified to all necessary standards and requirements, relieves the client from the need to independently organize all work.

Avots: habr.com