IaaS 152-FZ: म्हणून, तुम्हाला सुरक्षिततेची आवश्यकता आहे

तुम्ही 152-FZ च्या अनुपालनाभोवती असलेल्या मिथक आणि दंतकथा कितीही सोडवल्या तरीही, काहीतरी नेहमी पडद्यामागे राहते. आज आम्ही अशा काही गोष्टींबद्दल चर्चा करू इच्छितो ज्यांचा सामना मोठ्या कंपन्या आणि अगदी लहान उद्योग दोघांनाही होऊ शकतो:

• श्रेण्यांमध्ये पीडी वर्गीकरणाची सूक्ष्मता - जेव्हा एक लहान ऑनलाइन स्टोअर एखाद्या विशेष श्रेणीशी संबंधित डेटा गोळा करतो तेव्हा त्याबद्दल माहिती नसतानाही;

• जिथे तुम्ही गोळा केलेल्या PD चे बॅकअप साठवू शकता आणि त्यावर ऑपरेशन करू शकता;

• प्रमाणपत्र आणि अनुपालनाचा निष्कर्ष यात काय फरक आहे, आपण प्रदात्याकडून कोणती कागदपत्रे मागितली पाहिजेत आणि यासारख्या गोष्टी.

शेवटी, आम्ही प्रमाणपत्र उत्तीर्ण होण्याचा आमचा स्वतःचा अनुभव तुमच्यासोबत शेअर करू. जा!

आजच्या लेखातील तज्ञ असेल अलेक्सी अफानास्येव, क्लाउड प्रदाते IT-GRAD आणि #CloudMTS (MTS गटाचा भाग) साठी IS विशेषज्ञ.

वर्गीकरण च्या सूक्ष्मता

IS ऑडिटशिवाय, ISPD साठी सुरक्षिततेची आवश्यक पातळी निश्चित करण्याची क्लायंटची इच्छा आम्हाला अनेकदा आढळते. या विषयावरील इंटरनेटवरील काही सामग्री चुकीची छाप देतात की हे एक सोपे काम आहे आणि चूक करणे खूप कठीण आहे.

KM निश्चित करण्यासाठी, क्लायंटच्या IS द्वारे कोणता डेटा संकलित केला जाईल आणि त्यावर प्रक्रिया केली जाईल हे समजून घेणे आवश्यक आहे. कधीकधी संरक्षण आवश्यकता आणि व्यवसाय चालवणार्‍या वैयक्तिक डेटाची श्रेणी निःसंदिग्धपणे निर्धारित करणे कठीण होऊ शकते. समान प्रकारच्या वैयक्तिक डेटाचे मूल्यांकन आणि पूर्णपणे भिन्न प्रकारे वर्गीकरण केले जाऊ शकते. म्हणून, काही प्रकरणांमध्ये, व्यवसायाचे मत ऑडिटर किंवा अगदी निरीक्षकाच्या मतापेक्षा भिन्न असू शकते. चला काही उदाहरणे पाहू.

कार पार्क. हा बर्‍यापैकी पारंपारिक प्रकारचा व्यवसाय असल्यासारखे वाटेल. अनेक वाहने अनेक दशकांपासून कार्यरत आहेत आणि त्यांचे मालक वैयक्तिक उद्योजक आणि व्यक्तींना कामावर घेतात. नियमानुसार, कर्मचारी डेटा UZ-4 च्या आवश्यकतांनुसार येतो. तथापि, ड्रायव्हर्ससह कार्य करण्यासाठी, केवळ वैयक्तिक डेटा संकलित करणे आवश्यक नाही, तर शिफ्टवर जाण्यापूर्वी वाहनांच्या ताफ्याच्या प्रदेशावर वैद्यकीय नियंत्रण करणे देखील आवश्यक आहे आणि प्रक्रियेत गोळा केलेली माहिती त्वरित श्रेणीमध्ये येते. वैद्यकीय डेटा - आणि हा एका विशेष श्रेणीचा वैयक्तिक डेटा आहे. याव्यतिरिक्त, फ्लीट प्रमाणपत्रांची विनंती करू शकते, जे नंतर ड्रायव्हरच्या फाइलमध्ये ठेवले जाईल. इलेक्ट्रॉनिक स्वरूपात अशा प्रमाणपत्राचे स्कॅन - आरोग्य डेटा, विशेष श्रेणीचा वैयक्तिक डेटा. याचा अर्थ UZ-4 आता पुरेसा नाही; किमान UZ-3 आवश्यक आहे.

ऑनलाइन दुकान. असे दिसते की संकलित केलेली नावे, ईमेल आणि दूरध्वनी क्रमांक सार्वजनिक श्रेणीमध्ये बसतात. तथापि, जर तुमचे ग्राहक हलाल किंवा कोशर सारख्या आहारातील प्राधान्ये सूचित करतात, तर अशी माहिती धार्मिक संबद्धता किंवा विश्वास डेटा मानली जाऊ शकते. म्हणून, इतर नियंत्रण क्रियाकलाप तपासताना किंवा पार पाडताना, निरीक्षक आपण संकलित केलेला डेटा वैयक्तिक डेटाची विशेष श्रेणी म्हणून वर्गीकृत करू शकतो. आता, जर एखाद्या ऑनलाइन स्टोअरने त्याचे खरेदीदार मांस किंवा मासे पसंत करतात की नाही याबद्दल माहिती गोळा केली, तर डेटा इतर वैयक्तिक डेटा म्हणून वर्गीकृत केला जाऊ शकतो. तसे, शाकाहारी लोकांचे काय? शेवटी, याचे श्रेय तात्विक विश्वासांना देखील दिले जाऊ शकते, जे एका विशेष श्रेणीशी संबंधित आहे. परंतु दुसरीकडे, ही फक्त अशा व्यक्तीची वृत्ती असू शकते ज्याने त्याच्या आहारातून मांस काढून टाकले आहे. अरेरे, अशा "सूक्ष्म" परिस्थितींमध्ये पीडीची श्रेणी स्पष्टपणे परिभाषित करणारे कोणतेही चिन्ह नाही.

जाहिरात एजन्सी काही वेस्टर्न क्लाउड सेवेचा वापर करून, ते त्याच्या क्लायंटच्या सार्वजनिकरित्या उपलब्ध डेटावर प्रक्रिया करते - पूर्ण नावे, ईमेल पत्ते आणि टेलिफोन नंबर. हा वैयक्तिक डेटा अर्थातच वैयक्तिक डेटाशी संबंधित आहे. प्रश्न उद्भवतो: अशी प्रक्रिया करणे कायदेशीर आहे का? रशियन फेडरेशनच्या बाहेर वैयक्तिकरण न करता असा डेटा हलवणे शक्य आहे, उदाहरणार्थ, काही परदेशी क्लाउडमध्ये बॅकअप संग्रहित करणे? तू नक्कीच करू शकतोस. एजन्सीला हा डेटा रशियाच्या बाहेर संग्रहित करण्याचा अधिकार आहे, तथापि, आमच्या कायद्यानुसार, प्रारंभिक संकलन रशियन फेडरेशनच्या प्रदेशात केले जाणे आवश्यक आहे. आपण अशा माहितीचा बॅकअप घेतल्यास, त्यावर आधारित काही आकडेवारीची गणना करा, संशोधन करा किंवा त्यासह इतर काही ऑपरेशन्स करा - हे सर्व पाश्चात्य संसाधनांवर केले जाऊ शकते. कायदेशीर दृष्टिकोनातून महत्त्वाचा मुद्दा म्हणजे वैयक्तिक डेटा कोठे संकलित केला जातो. म्हणूनच प्रारंभिक संकलन आणि प्रक्रिया गोंधळात टाकू नये हे महत्वाचे आहे.

या लहान उदाहरणांमधून खालीलप्रमाणे, वैयक्तिक डेटासह कार्य करणे नेहमीच सरळ आणि सोपे नसते. तुम्ही त्यांच्यासोबत काम करत आहात हे तुम्हाला फक्त माहित असणे आवश्यक नाही, तर त्यांचे योग्यरित्या वर्गीकरण करण्यात सक्षम असणे आवश्यक आहे, सुरक्षिततेची आवश्यक पातळी योग्यरित्या निर्धारित करण्यासाठी IP कसे कार्य करते हे समजून घेणे आवश्यक आहे. काही प्रकरणांमध्ये, संस्थेला कार्य करण्यासाठी खरोखर किती वैयक्तिक डेटा आवश्यक आहे असा प्रश्न उद्भवू शकतो. सर्वात "गंभीर" किंवा फक्त अनावश्यक डेटा नाकारणे शक्य आहे का? याव्यतिरिक्त, नियामक शक्य असेल तेथे वैयक्तिक डेटा वैयक्तिकृत करण्याची शिफारस करतो. 

वरील उदाहरणांप्रमाणे, काहीवेळा तुम्हाला ही वस्तुस्थिती येऊ शकते की तपासणी अधिकारी संकलित केलेल्या वैयक्तिक डेटाचे तुम्ही स्वतः मूल्यांकन केले त्यापेक्षा थोडे वेगळे अर्थ लावतात.

अर्थात, तुम्ही सहाय्यक म्हणून ऑडिटर किंवा सिस्टम इंटिग्रेटर घेऊ शकता, परंतु ऑडिट झाल्यास निवडलेल्या निर्णयांसाठी "सहाय्यक" जबाबदार असेल का? हे लक्षात घेण्यासारखे आहे की जबाबदारी नेहमीच ISPD च्या मालकावर असते - वैयक्तिक डेटाचा ऑपरेटर. म्हणूनच, जेव्हा एखादी कंपनी असे कार्य करते, तेव्हा अशा सेवांसाठी बाजारपेठेतील गंभीर खेळाडूंकडे वळणे महत्वाचे आहे, उदाहरणार्थ, प्रमाणन कार्य करणार्‍या कंपन्या. प्रमाणित कंपन्यांना असे काम पार पाडण्याचा व्यापक अनुभव आहे.

ISPD तयार करण्यासाठी पर्याय

ISPD चे बांधकाम केवळ तांत्रिकच नाही तर मोठ्या प्रमाणात कायदेशीर समस्या देखील आहे. CIO किंवा सुरक्षा संचालकांनी नेहमी कायदेशीर सल्लागाराचा सल्ला घ्यावा. आपल्याला आवश्यक असलेल्या प्रोफाइलसह कंपनीकडे नेहमीच तज्ञ नसल्यामुळे, ऑडिटर-सल्लागारांकडे लक्ष देणे योग्य आहे. बरेच निसरडे बिंदू अजिबात स्पष्ट नसतील.

सल्लामसलत तुम्हाला कोणता वैयक्तिक डेटा वापरत आहात आणि त्यासाठी कोणत्या स्तराच्या संरक्षणाची आवश्यकता आहे हे निर्धारित करण्यास अनुमती देईल. त्यानुसार, तुम्हाला आयपीची कल्पना मिळेल जी तयार करायची आहे किंवा सुरक्षा आणि ऑपरेशनल सुरक्षा उपायांसह पूरक आहे.

अनेकदा कंपनीची निवड दोन पर्यायांमध्ये असते:

1. तुमच्या स्वतःच्या हार्डवेअर आणि सॉफ्टवेअर सोल्यूशन्सवर, शक्यतो तुमच्या स्वतःच्या सर्व्हर रूममध्ये संबंधित IS तयार करा.

2. क्लाउड प्रदात्याशी संपर्क साधा आणि एक लवचिक समाधान निवडा, आधीपासून प्रमाणित “व्हर्च्युअल सर्व्हर रूम”.

वैयक्तिक डेटावर प्रक्रिया करणार्‍या बहुतेक माहिती प्रणाली पारंपारिक दृष्टिकोन वापरतात, ज्याला व्यवसायाच्या दृष्टिकोनातून, सहज आणि यशस्वी म्हणता येणार नाही. हा पर्याय निवडताना, हे समजून घेणे आवश्यक आहे की तांत्रिक डिझाइनमध्ये सॉफ्टवेअर आणि हार्डवेअर सोल्यूशन्स आणि प्लॅटफॉर्मसह उपकरणांचे वर्णन समाविष्ट असेल. याचा अर्थ तुम्हाला खालील अडचणी आणि मर्यादांचा सामना करावा लागेल:

• स्केलिंगची अडचण;

• दीर्घ प्रकल्प अंमलबजावणी कालावधी: सिस्टम निवडणे, खरेदी करणे, स्थापित करणे, कॉन्फिगर करणे आणि वर्णन करणे आवश्यक आहे;

• बरेच "पेपर" कार्य, उदाहरण म्हणून - संपूर्ण ISPD साठी दस्तऐवजीकरणाच्या संपूर्ण पॅकेजचा विकास.

याव्यतिरिक्त, एक व्यवसाय, नियम म्हणून, त्याच्या आयपीची फक्त "शीर्ष" पातळी समजतो - तो वापरत असलेले व्यवसाय अनुप्रयोग. दुसऱ्या शब्दांत, आयटी कर्मचारी त्यांच्या विशिष्ट क्षेत्रात कुशल असतात. सर्व "लोअर लेव्हल" कसे कार्य करतात हे समजलेले नाही: सॉफ्टवेअर आणि हार्डवेअर संरक्षण, स्टोरेज सिस्टम, बॅकअप आणि अर्थातच, सर्व आवश्यकतांचे पालन करून संरक्षण साधने कशी कॉन्फिगर करायची, कॉन्फिगरेशनचा "हार्डवेअर" भाग तयार करा. हे समजून घेणे महत्त्वाचे आहे: हा ज्ञानाचा एक मोठा स्तर आहे जो क्लायंटच्या व्यवसायाच्या बाहेर आहे. येथे प्रमाणित “व्हर्च्युअल सर्व्हर रूम” प्रदान करणाऱ्या क्लाउड प्रदात्याचा अनुभव उपयोगी येऊ शकतो.

या बदल्यात, क्लाउड प्रदात्यांचे बरेच फायदे आहेत जे अतिशयोक्तीशिवाय, वैयक्तिक डेटा संरक्षणाच्या क्षेत्रातील 99% व्यावसायिक गरजा पूर्ण करू शकतात:

• भांडवली खर्च ऑपरेटिंग खर्चात रूपांतरित केले जातात;

• प्रदाता, त्याच्या भागासाठी, सिद्ध मानक सोल्यूशनवर आधारित सुरक्षा आणि उपलब्धतेच्या आवश्यक पातळीच्या तरतूदीची हमी देतो;

• हार्डवेअर स्तरावर ISPD चे ऑपरेशन सुनिश्चित करणार्या तज्ञांचा कर्मचारी ठेवण्याची आवश्यकता नाही;

• प्रदाते अधिक लवचिक आणि लवचिक उपाय देतात;

• प्रदात्याच्या तज्ञांकडे सर्व आवश्यक प्रमाणपत्रे आहेत;

• नियामकांच्या आवश्यकता आणि शिफारशी लक्षात घेऊन, आपले स्वतःचे आर्किटेक्चर तयार करताना अनुपालनापेक्षा कमी नाही.

क्लाउडमध्ये वैयक्तिक डेटा संग्रहित केला जाऊ शकत नाही ही जुनी समज अजूनही अत्यंत लोकप्रिय आहे. हे केवळ अंशतः सत्य आहे: पीडी खरोखर पोस्ट करणे शक्य नाही पहिल्या उपलब्ध मध्ये ढग काही तांत्रिक उपायांचे पालन करणे आणि काही प्रमाणित उपायांचा वापर करणे आवश्यक आहे. प्रदाता सर्व कायदेशीर आवश्यकतांचे पालन करत असल्यास, वैयक्तिक डेटा लीकशी संबंधित जोखीम कमी केली जातात. अनेक प्रदात्यांकडे 152-FZ नुसार वैयक्तिक डेटावर प्रक्रिया करण्यासाठी स्वतंत्र पायाभूत सुविधा आहे. तथापि, पुरवठादाराची निवड विशिष्ट निकषांच्या ज्ञानासह देखील केली पाहिजे; आम्ही त्यांना खाली निश्चितपणे स्पर्श करू. 

प्रदात्याच्या क्लाउडमध्ये वैयक्तिक डेटाच्या प्लेसमेंटबद्दल काही चिंता घेऊन ग्राहक अनेकदा आमच्याकडे येतात. बरं, त्यांची लगेच चर्चा करूया.

• ट्रान्समिशन किंवा माइग्रेशन दरम्यान डेटा चोरीला जाऊ शकतो

याची भीती बाळगण्याची गरज नाही - प्रदाता क्लायंटला प्रमाणित उपायांवर तयार केलेले सुरक्षित डेटा ट्रान्समिशन चॅनेल तयार करण्याची ऑफर देतो, कंत्राटदार आणि कर्मचार्‍यांसाठी वर्धित प्रमाणीकरण उपाय. फक्त योग्य संरक्षण पद्धती निवडणे आणि क्लायंटसह आपल्या कार्याचा भाग म्हणून त्यांची अंमलबजावणी करणे बाकी आहे.

• शो मास्क येतील आणि सर्व्हरला वीज काढून/सील/कट करतील

पायाभूत सुविधांवरील अपुर्‍या नियंत्रणामुळे त्यांच्या व्यवसाय प्रक्रिया विस्कळीत होतील अशी भीती असलेल्या ग्राहकांसाठी हे अगदी समजण्यासारखे आहे. नियमानुसार, ज्या क्लायंटचे हार्डवेअर पूर्वी विशेष डेटा केंद्रांऐवजी लहान सर्व्हर रूममध्ये होते ते याबद्दल विचार करतात. प्रत्यक्षात, डेटा सेंटर भौतिक आणि माहिती संरक्षण दोन्ही आधुनिक साधनांसह सुसज्ज आहेत. अशा डेटा सेंटरमध्ये पुरेसे आधार आणि कागदपत्रांशिवाय कोणतेही ऑपरेशन करणे जवळजवळ अशक्य आहे आणि अशा क्रियाकलापांसाठी अनेक प्रक्रियांचे पालन करणे आवश्यक आहे. याव्यतिरिक्त, डेटा सेंटरमधून आपला सर्व्हर "खेचणे" प्रदात्याच्या इतर क्लायंटवर परिणाम करू शकते आणि हे निश्चितपणे कोणासाठीही आवश्यक नाही. याव्यतिरिक्त, कोणीही "तुमच्या" व्हर्च्युअल सर्व्हरकडे विशेषत: बोट दाखवू शकणार नाही, म्हणून जर एखाद्याला ते चोरायचे असेल किंवा मास्क शो आयोजित करायचा असेल तर त्यांना प्रथम नोकरशाहीच्या विलंबांना सामोरे जावे लागेल. या काळात, तुम्हाला बहुधा दुसर्‍या साइटवर अनेक वेळा स्थलांतरित होण्याची वेळ येईल.

• हॅकर्स क्लाउड हॅक करून डेटा चोरतील

आणखी एक क्लाउड सायबर गुन्हेगारांना कसा बळी पडला आहे आणि लाखो वैयक्तिक डेटा रेकॉर्ड ऑनलाइन लीक झाले आहेत याबद्दल इंटरनेट आणि प्रिंट प्रेस मथळ्यांनी भरलेले आहेत. बहुसंख्य प्रकरणांमध्ये, असुरक्षा प्रदात्याच्या बाजूने अजिबात आढळल्या नाहीत, परंतु पीडितांच्या माहिती प्रणालीमध्ये आढळल्या: कमकुवत किंवा अगदी डीफॉल्ट संकेतशब्द, वेबसाइट इंजिन आणि डेटाबेसमध्ये "छिद्र" आणि सुरक्षा उपाय निवडताना सामान्य व्यावसायिक निष्काळजीपणा आणि डेटा ऍक्सेस प्रक्रिया आयोजित करणे. सर्व प्रमाणित उपाय भेद्यतेसाठी तपासले जातात. आम्ही नियमितपणे स्वतंत्रपणे आणि बाह्य संस्थांद्वारे "नियंत्रण" पेंटेस्ट आणि सुरक्षा ऑडिट देखील करतो. प्रदात्यासाठी, ही सामान्यतः प्रतिष्ठा आणि व्यवसायाची बाब आहे.

• प्रदात्याचे प्रदाता/कर्मचारी वैयक्तिक फायद्यासाठी वैयक्तिक डेटा चोरतील

हा एक अत्यंत संवेदनशील क्षण आहे. माहिती सुरक्षा जगतातील अनेक कंपन्या त्यांच्या क्लायंटला "घाबरतात" आणि आग्रह करतात की "बाहेरील हॅकर्सपेक्षा अंतर्गत कर्मचारी अधिक धोकादायक आहेत." हे काही प्रकरणांमध्ये खरे असू शकते, परंतु विश्वासाशिवाय व्यवसाय तयार केला जाऊ शकत नाही. वेळोवेळी, बातम्या चमकतात की एखाद्या संस्थेचे स्वतःचे कर्मचारी हल्लेखोरांना ग्राहक डेटा लीक करतात आणि अंतर्गत सुरक्षा कधीकधी बाह्य सुरक्षेपेक्षा खूपच वाईट आयोजित केली जाते. येथे हे समजून घेणे महत्त्वाचे आहे की कोणताही मोठा प्रदाता नकारात्मक प्रकरणांमध्ये अत्यंत रस घेत नाही. प्रदात्याच्या कर्मचार्‍यांच्या कृती चांगल्या प्रकारे नियंत्रित केल्या जातात, भूमिका आणि जबाबदारीचे क्षेत्र विभाजित केले जातात. सर्व व्यवसाय प्रक्रिया अशा प्रकारे संरचित केल्या जातात की डेटा गळतीची प्रकरणे अत्यंत संभव नसतात आणि अंतर्गत सेवांसाठी नेहमीच लक्षात येतात, म्हणून क्लायंटला या बाजूच्या समस्यांपासून घाबरू नये.

• तुम्ही थोडे पैसे देता कारण तुम्ही तुमच्या व्यवसाय डेटासह सेवांसाठी पैसे देता.

आणखी एक मिथक: एक क्लायंट जो आरामदायी किमतीत सुरक्षित पायाभूत सुविधा भाड्याने देतो तो प्रत्यक्षात त्याच्या डेटासह पैसे देतो - याचा विचार बहुतेकदा तज्ञ करतात ज्यांना झोपण्यापूर्वी काही कट सिद्धांत वाचण्यास हरकत नाही. प्रथम, ऑर्डरमध्ये निर्दिष्ट केलेल्या डेटाशिवाय आपल्या डेटासह कोणतीही ऑपरेशन्स करण्याची शक्यता शून्य आहे. दुसरे म्हणजे, एक पुरेसा प्रदाता तुमच्याशी असलेल्या नातेसंबंधाला आणि त्याच्या प्रतिष्ठेला महत्त्व देतो - तुमच्याशिवाय, त्याच्याकडे आणखी बरेच ग्राहक आहेत. उलट परिस्थिती अधिक शक्यता आहे, ज्यामध्ये प्रदाता त्याच्या क्लायंटच्या डेटाचे आवेशाने संरक्षण करेल, ज्यावर त्याचा व्यवसाय अवलंबून आहे.

ISPD साठी क्लाउड प्रदाता निवडत आहे

आज, पीडी ऑपरेटर असलेल्या कंपन्यांसाठी बाजारपेठ अनेक उपाय ऑफर करते. खाली योग्य निवडण्यासाठी शिफारसींची एक सामान्य सूची आहे.

• प्रदाता पक्षांच्या जबाबदाऱ्या, SLA आणि वैयक्तिक डेटावर प्रक्रिया करण्याच्या मुख्य भागांच्या जबाबदारीचे वर्णन करणारा औपचारिक करार करण्यास तयार असणे आवश्यक आहे. खरं तर, तुम्ही आणि प्रदाता यांच्यात, सेवा कराराच्या व्यतिरिक्त, PD प्रक्रियेच्या ऑर्डरवर स्वाक्षरी करणे आवश्यक आहे. कोणत्याही परिस्थितीत, त्यांचा काळजीपूर्वक अभ्यास करणे योग्य आहे. तुम्ही आणि प्रदाता यांच्यातील जबाबदाऱ्यांचे विभाजन समजून घेणे महत्त्वाचे आहे.

• कृपया लक्षात घ्या की सेगमेंटने आवश्यकता पूर्ण केल्या पाहिजेत, याचा अर्थ त्‍याकडे तुमच्‍या IP च्‍या आवश्‍यकतेपेक्षा कमी नसल्‍याची सुरक्षितता दर्शवणारे प्रमाणपत्र असले पाहिजे. असे घडते की प्रदाते प्रमाणपत्राचे फक्त पहिले पृष्ठ प्रकाशित करतात, ज्यावरून थोडेसे स्पष्ट आहे किंवा प्रमाणपत्र स्वतः प्रकाशित न करता ऑडिट किंवा अनुपालन प्रक्रियेचा संदर्भ घ्या (“एक मुलगा होता का?”). हे विचारण्यासारखे आहे - हे एक सार्वजनिक दस्तऐवज आहे जे सूचित करते की प्रमाणन, वैधता कालावधी, क्लाउड स्थान इ.

• प्रदात्याने त्याच्या साइट्स (संरक्षित वस्तू) कोठे आहेत याबद्दल माहिती प्रदान करणे आवश्यक आहे जेणेकरून आपण आपल्या डेटाचे स्थान नियंत्रित करू शकता. आम्ही तुम्हाला आठवण करून देतो की वैयक्तिक डेटाचे प्रारंभिक संकलन रशियन फेडरेशनच्या प्रदेशात केले जाणे आवश्यक आहे; त्यानुसार, करार/प्रमाणपत्रामध्ये डेटा सेंटरचे पत्ते पाहण्याचा सल्ला दिला जातो.

• प्रदात्याने प्रमाणित माहिती सुरक्षा आणि माहिती संरक्षण प्रणाली वापरणे आवश्यक आहे. अर्थात, बहुतेक प्रदाते ते वापरत असलेल्या तांत्रिक सुरक्षा उपायांची आणि सोल्यूशन आर्किटेक्चरची जाहिरात करत नाहीत. परंतु आपण, एक ग्राहक म्हणून, मदत करू शकत नाही परंतु त्याबद्दल जाणून घेऊ शकत नाही. उदाहरणार्थ, व्यवस्थापन प्रणाली (व्यवस्थापन पोर्टल) शी दूरस्थपणे कनेक्ट करण्यासाठी, सुरक्षा उपाय वापरणे आवश्यक आहे. प्रदाता ही आवश्यकता बायपास करू शकणार नाही आणि तुम्हाला प्रमाणित उपाय प्रदान करेल (किंवा तुम्हाला वापरण्याची आवश्यकता आहे). चाचणीसाठी संसाधने घ्या आणि तुम्हाला लगेच समजेल की कसे आणि काय कार्य करते. 

• क्लाउड प्रदात्याने माहिती सुरक्षिततेच्या क्षेत्रात अतिरिक्त सेवा प्रदान करणे अत्यंत इष्ट आहे. या विविध सेवा असू शकतात: DDoS हल्ल्यांपासून संरक्षण आणि WAF, अँटी-व्हायरस सेवा किंवा सँडबॉक्स इ. हे सर्व आपल्याला एक सेवा म्हणून संरक्षण प्राप्त करण्यास अनुमती देईल, संरक्षण प्रणाली तयार करण्याद्वारे विचलित होऊ नये, परंतु व्यवसाय अनुप्रयोगांवर कार्य करू शकेल.

• प्रदाता FSTEC आणि FSB चा परवानाधारक असणे आवश्यक आहे. नियमानुसार, अशी माहिती थेट वेबसाइटवर पोस्ट केली जाते. या दस्तऐवजांची विनंती करण्याचे सुनिश्चित करा आणि सेवा प्रदान करण्याचे पत्ते, प्रदाता कंपनीचे नाव इत्यादी बरोबर आहेत का ते तपासा. 

चला सारांश द्या. पायाभूत सुविधा भाड्याने दिल्याने तुम्हाला CAPEX सोडता येईल आणि तुमच्या जबाबदारीच्या क्षेत्रात फक्त तुमचे व्यवसाय अनुप्रयोग आणि डेटा स्वतःच राखून ठेवता येईल आणि हार्डवेअर आणि सॉफ्टवेअर आणि हार्डवेअरच्या प्रमाणीकरणाचा मोठा भार प्रदात्याकडे हस्तांतरित करता येईल.

आम्ही प्रमाणपत्र कसे उत्तीर्ण केले

अगदी अलीकडे, आम्ही वैयक्तिक डेटासह कार्य करण्याच्या आवश्यकतांचे पालन करण्यासाठी "Secure Cloud FZ-152" च्या पायाभूत सुविधांचे पुन: प्रमाणीकरण यशस्वीरित्या पार केले. हे काम राष्ट्रीय प्रमाणन केंद्राने केले.

सध्या, “FZ-152 सिक्योर क्लाउड” लेव्हल UZ-3 च्या आवश्यकतांनुसार वैयक्तिक डेटा (ISPDn) च्या प्रोसेसिंग, स्टोरेज किंवा ट्रान्समिशनमध्ये गुंतलेल्या माहिती प्रणाली होस्टिंगसाठी प्रमाणित आहे.

प्रमाणन प्रक्रियेमध्ये क्लाउड प्रदात्याच्या पायाभूत सुविधांचे संरक्षण पातळीचे पालन तपासणे समाविष्ट असते. प्रदाता स्वतः IaaS सेवा प्रदान करतो आणि वैयक्तिक डेटाचा ऑपरेटर नाही. प्रक्रियेमध्ये संस्थात्मक (दस्तऐवजीकरण, ऑर्डर इ.) आणि तांत्रिक उपाय (संरक्षणात्मक उपकरणे सेट करणे इ.) दोन्हीचे मूल्यांकन समाविष्ट आहे.

याला क्षुल्लक म्हणता येणार नाही. 2013 मध्ये प्रमाणपत्र क्रियाकलाप आयोजित करण्यासाठी प्रोग्राम्स आणि पद्धतींवरील GOST पुन्हा दिसले हे असूनही, क्लाउड ऑब्जेक्ट्ससाठी कठोर प्रोग्राम अद्याप अस्तित्वात नाहीत. प्रमाणन केंद्रे त्यांच्या स्वतःच्या कौशल्यावर आधारित हे कार्यक्रम विकसित करतात. नवीन तंत्रज्ञानाच्या आगमनाने, कार्यक्रम अधिक जटिल आणि आधुनिक बनतात; त्यानुसार, प्रमाणपत्रकर्त्याला क्लाउड सोल्यूशन्ससह काम करण्याचा अनुभव असणे आवश्यक आहे आणि तपशील समजून घेणे आवश्यक आहे.

आमच्या बाबतीत, संरक्षित ऑब्जेक्टमध्ये दोन स्थाने असतात.

• क्लाउड संसाधने (सर्व्हर, स्टोरेज सिस्टम, नेटवर्क इन्फ्रास्ट्रक्चर, सुरक्षा साधने इ.) थेट डेटा सेंटरमध्ये स्थित आहेत. अर्थात, असे व्हर्च्युअल डेटा सेंटर सार्वजनिक नेटवर्कशी जोडलेले आहे आणि त्यानुसार, विशिष्ट फायरवॉल आवश्यकता पूर्ण करणे आवश्यक आहे, उदाहरणार्थ, प्रमाणित फायरवॉलचा वापर.

• ऑब्जेक्टचा दुसरा भाग क्लाउड मॅनेजमेंट टूल्स आहे. ही वर्कस्टेशन्स (प्रशासकाची वर्कस्टेशन्स) आहेत ज्यामधून संरक्षित विभाग व्यवस्थापित केला जातो.

स्थाने CIPF वर तयार केलेल्या VPN चॅनेलद्वारे संवाद साधतात.

व्हर्च्युअलायझेशन तंत्रज्ञान धोक्यांच्या उदयासाठी पूर्व शर्ती निर्माण करत असल्याने, आम्ही अतिरिक्त प्रमाणित संरक्षण साधने देखील वापरतो.

ब्लॉक आकृती "असेसरच्या नजरेतून"

IaaS भाड्याने दिल्यानंतर, क्लायंटला त्याच्या ISPD चे प्रमाणन आवश्यक असल्यास, त्याला फक्त व्हर्च्युअल डेटा सेंटरच्या पातळीच्या वरच्या माहिती प्रणालीचे मूल्यांकन करावे लागेल. या प्रक्रियेमध्ये पायाभूत सुविधा आणि त्यावर वापरलेले सॉफ्टवेअर तपासणे समाविष्ट आहे. सर्व पायाभूत समस्यांसाठी तुम्ही प्रदात्याच्या प्रमाणपत्राचा संदर्भ घेऊ शकत असल्याने, तुम्हाला फक्त सॉफ्टवेअरसह कार्य करायचे आहे.

अमूर्त स्तरावर पृथक्करण

शेवटी, येथे अशा कंपन्यांसाठी एक छोटी चेकलिस्ट आहे जी आधीच वैयक्तिक डेटासह काम करत आहेत किंवा फक्त योजना आखत आहेत. तर, जळल्याशिवाय ते कसे हाताळायचे.

1. ऑडिट आणि थ्रेट आणि अॅटॅकर मॉडेल्स विकसित करण्यासाठी, प्रमाणन प्रयोगशाळांमधून एक अनुभवी सल्लागार आमंत्रित करा जो आवश्यक कागदपत्रे विकसित करण्यात मदत करेल आणि तुम्हाला तांत्रिक उपायांच्या टप्प्यावर आणेल.

2. क्लाउड प्रदाता निवडताना, प्रमाणपत्राच्या उपस्थितीकडे लक्ष द्या. कंपनीने ते थेट वेबसाइटवर जाहीरपणे पोस्ट केल्यास चांगले होईल. प्रदाता FSTEC आणि FSB चा परवानाधारक असणे आवश्यक आहे आणि तो देत असलेली सेवा प्रमाणित असणे आवश्यक आहे.

3. वैयक्तिक डेटावर प्रक्रिया करण्यासाठी तुमच्याकडे औपचारिक करार आणि स्वाक्षरी केलेली सूचना असल्याची खात्री करा. याच्या आधारावर, तुम्ही अनुपालन तपासणी आणि ISPD प्रमाणपत्र दोन्ही पार पाडण्यास सक्षम असाल. तांत्रिक प्रकल्पाच्या टप्प्यावर हे काम आणि डिझाइन आणि तांत्रिक दस्तऐवजीकरण तयार करणे तुम्हाला कठीण वाटत असल्यास, तुम्ही तृतीय-पक्ष सल्लागार कंपन्यांशी संपर्क साधावा. प्रमाणन प्रयोगशाळांमधून.

वैयक्तिक डेटा प्रक्रियेच्या समस्या तुमच्याशी संबंधित असल्यास, 18 सप्टेंबर, या शुक्रवारी, तुम्हाला वेबिनारमध्ये पाहून आम्हाला आनंद होईल "प्रमाणित ढग तयार करण्याची वैशिष्ट्ये".

स्त्रोत: www.habr.com