152-FZ बद्दल मिथक, जे वैयक्तिक डेटा ऑपरेटरसाठी महाग असू शकते

सर्वांना नमस्कार! मी डेटालाइन सायबर डिफेन्स सेंटर चालवतो. क्लाउडमध्ये किंवा भौतिक पायाभूत सुविधांवर 152-FZ च्या गरजा पूर्ण करण्याचे काम ग्राहक आमच्याकडे येतात.
जवळजवळ प्रत्येक प्रकल्पात या कायद्याच्या आसपासचे गैरसमज दूर करण्यासाठी शैक्षणिक कार्य करणे आवश्यक आहे. मी सर्वात सामान्य गैरसमज गोळा केले आहेत जे वैयक्तिक डेटा ऑपरेटरच्या बजेट आणि मज्जासंस्थेसाठी महाग असू शकतात. मी ताबडतोब आरक्षण करेन की राज्य कार्यालये (GIS) राज्य गुपिते, KII, इत्यादींशी संबंधित प्रकरणे या लेखाच्या कक्षेबाहेर राहतील.

मान्यता 1. मी अँटीव्हायरस, फायरवॉल स्थापित केले आणि रॅकला कुंपणाने वेढले. मी कायद्याचे पालन करतो का?

152-एफझेड सिस्टम आणि सर्व्हरच्या संरक्षणाबद्दल नाही, परंतु विषयांच्या वैयक्तिक डेटाच्या संरक्षणाबद्दल आहे. म्हणून, 152-FZ चे अनुपालन अँटीव्हायरससह नाही तर मोठ्या संख्येने कागदाचे तुकडे आणि संस्थात्मक समस्यांसह सुरू होते.
मुख्य निरीक्षक, रोस्कोम्नाडझोर, संरक्षणाच्या तांत्रिक माध्यमांची उपस्थिती आणि स्थिती पाहणार नाहीत, परंतु वैयक्तिक डेटा (पीडी) च्या प्रक्रियेसाठी कायदेशीर आधारावर:

• तुम्ही वैयक्तिक डेटा कोणत्या उद्देशाने गोळा करता;  
• तुम्‍ही तुम्‍हाला तुमच्‍या उद्देशांसाठी आवश्‍यकतेपेक्षा त्‍यांच्‍यापेक्षा जास्त गोळा केले आहे का;
• तुम्ही वैयक्तिक डेटा किती काळ साठवता;
• वैयक्तिक डेटावर प्रक्रिया करण्याचे धोरण आहे का;
• तुम्ही वैयक्तिक डेटा प्रोसेसिंग, क्रॉस-बॉर्डर ट्रान्सफर, तृतीय पक्षांद्वारे प्रक्रिया इत्यादीसाठी संमती गोळा करत आहात का?

या प्रश्नांची उत्तरे, तसेच प्रक्रिया स्वतः योग्य दस्तऐवजांमध्ये रेकॉर्ड केल्या पाहिजेत. वैयक्तिक डेटा ऑपरेटरला काय तयार करावे लागेल याची संपूर्ण यादी येथे आहे:

• वैयक्तिक डेटाच्या प्रक्रियेसाठी एक मानक संमती फॉर्म (आम्ही आमची पूर्ण नावे आणि पासपोर्ट तपशील सोडतो त्या ठिकाणी आम्ही आता जवळजवळ सर्वत्र स्वाक्षरी करतो).
• वैयक्तिक डेटाच्या प्रक्रियेबाबत ऑपरेटरचे धोरण (येथे डिझाइनसाठी शिफारसी आहेत).
• वैयक्तिक डेटाची प्रक्रिया आयोजित करण्यासाठी जबाबदार असलेल्या व्यक्तीच्या नियुक्तीचा आदेश.  
• वैयक्तिक डेटाची प्रक्रिया आयोजित करण्यासाठी जबाबदार व्यक्तीचे नोकरीचे वर्णन.
• अंतर्गत नियंत्रणासाठी नियम आणि (किंवा) कायदेशीर आवश्यकतांसह पीडी प्रक्रियेच्या अनुपालनाचे ऑडिट.  
• वैयक्तिक डेटा माहिती प्रणालींची यादी (ISPD).
• विषयाला त्याच्या वैयक्तिक डेटामध्ये प्रवेश प्रदान करण्याचे नियम.
• घटना तपास नियम.
• वैयक्तिक डेटाच्या प्रक्रियेसाठी कर्मचार्‍यांच्या प्रवेशाचा आदेश.
• नियामकांशी संवाद साधण्यासाठी नियम.  
• RKN ची सूचना इ.
• पीडी प्रक्रियेसाठी सूचना फॉर्म.
• ISPD धमकी मॉडेल.

या समस्यांचे निराकरण केल्यानंतर, आपण विशिष्ट उपाय आणि तांत्रिक माध्यमे निवडणे सुरू करू शकता. तुम्हाला कोणत्याची गरज आहे ते सिस्टीम, त्यांच्या ऑपरेटिंग परिस्थिती आणि सध्याच्या धोक्यांवर अवलंबून आहे. पण त्याबद्दल नंतर अधिक.

वास्तविकता: कायद्याचे पालन करणे म्हणजे काही प्रक्रियांची स्थापना आणि अनुपालन, सर्व प्रथम, आणि दुसरे म्हणजे - विशेष तांत्रिक माध्यमांचा वापर.

मान्यता 2. मी क्लाउडमध्ये वैयक्तिक डेटा संचयित करतो, एक डेटा सेंटर जे 152-FZ च्या आवश्यकता पूर्ण करते. आता कायद्याची अंमलबजावणी करण्याची जबाबदारी त्यांच्यावर आहे

जेव्हा तुम्ही वैयक्तिक डेटाचे स्टोरेज क्लाउड प्रदाता किंवा डेटा सेंटरला आउटसोर्स करता तेव्हा तुम्ही वैयक्तिक डेटा ऑपरेटर होण्याचे थांबवत नाही.
मदतीसाठी कायद्यातील व्याख्येला कॉल करूया:

वैयक्तिक डेटावर प्रक्रिया करणे - ऑटोमेशन साधनांचा वापर करून किंवा वैयक्तिक डेटासह अशा माध्यमांचा वापर न करता केलेली कोणतीही क्रिया (ऑपरेशन) किंवा क्रियांचा संच (ऑपरेशन), संकलन, रेकॉर्डिंग, सिस्टीमॅटायझेशन, जमा करणे, स्टोरेज, स्पष्टीकरण (अपडेट करणे, बदलणे), काढणे, वापरणे, हस्तांतरित करणे (वितरण, तरतूद, प्रवेश), वैयक्तिकरण, अवरोधित करणे, हटवणे, वैयक्तिक डेटा नष्ट करणे.
स्रोत: लेख ३, 152-एफझेड

या सर्व क्रियांपैकी, सेवा प्रदाता वैयक्तिक डेटा संचयित आणि नष्ट करण्यासाठी जबाबदार आहे (जेव्हा क्लायंट त्याच्याशी करार संपुष्टात आणतो). बाकी सर्व काही वैयक्तिक डेटा ऑपरेटरद्वारे प्रदान केले जाते. याचा अर्थ ऑपरेटर, आणि सेवा प्रदाता नाही, वैयक्तिक डेटावर प्रक्रिया करण्यासाठी धोरण ठरवतो, त्याच्या क्लायंटकडून वैयक्तिक डेटाच्या प्रक्रियेसाठी स्वाक्षरी केलेल्या संमती प्राप्त करतो, तृतीय पक्षांना वैयक्तिक डेटा लीक होण्याच्या प्रकरणांना प्रतिबंधित करतो आणि तपास करतो आणि याप्रमाणे.

परिणामी, वैयक्तिक डेटा ऑपरेटरने अद्याप वर सूचीबद्ध केलेली कागदपत्रे गोळा करणे आवश्यक आहे आणि त्यांच्या PDIS चे संरक्षण करण्यासाठी संस्थात्मक आणि तांत्रिक उपायांची अंमलबजावणी करणे आवश्यक आहे.

सामान्यतः, प्रदाता ऑपरेटरचे ISPD जेथे असेल त्या पायाभूत सुविधा स्तरावर कायदेशीर आवश्यकतांचे पालन सुनिश्चित करून ऑपरेटरला मदत करतो: उपकरणे किंवा क्लाउडसह रॅक. तो कागदपत्रांचे पॅकेज देखील गोळा करतो, 152-FZ नुसार त्याच्या पायाभूत सुविधांसाठी संघटनात्मक आणि तांत्रिक उपाययोजना करतो.

काही प्रदाते कागदोपत्री मदत करतात आणि स्वतः ISDN साठी तांत्रिक सुरक्षा उपायांची तरतूद करतात, म्हणजे पायाभूत सुविधांच्या वरच्या पातळीवर. ऑपरेटर ही कार्ये आउटसोर्स देखील करू शकतो, परंतु कायद्यानुसार जबाबदारी आणि दायित्वे नाहीशी होत नाहीत.

वास्तविकता: प्रदाता किंवा डेटा सेंटरच्या सेवांचा वापर करून, आपण वैयक्तिक डेटा ऑपरेटरच्या जबाबदाऱ्या त्याच्याकडे हस्तांतरित करू शकत नाही आणि जबाबदारीपासून मुक्त होऊ शकत नाही. जर प्रदात्याने तुम्हाला हे वचन दिले असेल तर, सौम्यपणे सांगायचे तर तो खोटे बोलत आहे.

गैरसमज 3. माझ्याकडे कागदपत्रे आणि उपायांचे आवश्यक पॅकेज आहे. मी 152-FZ चे पालन करण्याचे वचन देणाऱ्या प्रदात्याकडे वैयक्तिक डेटा संग्रहित करतो. सर्वकाही क्रमाने आहे का?

होय, जर तुम्हाला ऑर्डरवर स्वाक्षरी करणे आठवत असेल. कायद्यानुसार, ऑपरेटर वैयक्तिक डेटाची प्रक्रिया दुसर्या व्यक्तीकडे सोपवू शकतो, उदाहरणार्थ, समान सेवा प्रदाता. ऑर्डर हा एक प्रकारचा करार आहे जो सेवा प्रदाता ऑपरेटरच्या वैयक्तिक डेटासह काय करू शकतो याची सूची देतो.

ऑपरेटरला वैयक्तिक डेटाच्या विषयाच्या संमतीने वैयक्तिक डेटाची प्रक्रिया दुसर्या व्यक्तीकडे सोपविण्याचा अधिकार आहे, जोपर्यंत अन्यथा फेडरल कायद्याद्वारे प्रदान केले जात नाही, या व्यक्तीशी झालेल्या कराराच्या आधारावर, राज्य किंवा नगरपालिका करारासह, किंवा राज्य किंवा नगरपालिका संस्थेद्वारे संबंधित कायदा स्वीकारून (यापुढे असाइनमेंट ऑपरेटर म्हणून संदर्भित). ऑपरेटरच्या वतीने वैयक्तिक डेटावर प्रक्रिया करणारी व्यक्ती या फेडरल कायद्याद्वारे प्रदान केलेल्या वैयक्तिक डेटावर प्रक्रिया करण्यासाठी तत्त्वे आणि नियमांचे पालन करण्यास बांधील आहे.
स्त्रोत: कलम 3, लेख 6, 152-FZ

वैयक्तिक डेटाची गोपनीयता राखण्यासाठी आणि निर्दिष्ट आवश्यकतांनुसार त्याची सुरक्षितता सुनिश्चित करण्यासाठी प्रदात्याचे दायित्व देखील स्थापित केले आहे:

ऑपरेटरच्या सूचनांमध्ये वैयक्तिक डेटासह क्रियांची सूची (ऑपरेशन) परिभाषित करणे आवश्यक आहे जी वैयक्तिक डेटावर प्रक्रिया करणार्‍या व्यक्तीद्वारे केली जाईल आणि प्रक्रियेच्या उद्देशाने, अशा व्यक्तीचे दायित्व वैयक्तिक डेटाची गोपनीयता राखण्यासाठी स्थापित केले जाणे आवश्यक आहे आणि याची खात्री करणे आवश्यक आहे. त्यांच्या प्रक्रियेदरम्यान वैयक्तिक डेटाची सुरक्षा, तसेच प्रक्रिया केलेल्या वैयक्तिक डेटाच्या संरक्षणाची आवश्यकता यानुसार निर्दिष्ट करणे आवश्यक आहे कलम 19 या फेडरल कायद्याचे.
स्त्रोत: कलम 3, लेख 6, 152-FZ

यासाठी, प्रदाता ऑपरेटरला जबाबदार आहे, आणि वैयक्तिक डेटाच्या विषयासाठी नाही:

जर ऑपरेटरने वैयक्तिक डेटाची प्रक्रिया दुसर्या व्यक्तीकडे सोपवली तर, ऑपरेटर निर्दिष्ट व्यक्तीच्या कृतींसाठी वैयक्तिक डेटाच्या विषयासाठी जबाबदार आहे. ऑपरेटरच्या वतीने वैयक्तिक डेटावर प्रक्रिया करणारी व्यक्ती ऑपरेटरला जबाबदार आहे.
स्त्रोत: 152-एफझेड.

वैयक्तिक डेटाचे संरक्षण सुनिश्चित करण्याचे बंधन क्रमाने निश्चित करणे देखील महत्त्वाचे आहे:

माहिती प्रणालीमध्ये प्रक्रिया केल्यावर वैयक्तिक डेटाची सुरक्षितता या प्रणालीच्या ऑपरेटरद्वारे सुनिश्चित केली जाते, जो वैयक्तिक डेटावर प्रक्रिया करतो (यानंतर ऑपरेटर म्हणून संदर्भित) किंवा ऑपरेटरच्या वतीने वैयक्तिक डेटावर प्रक्रिया करणार्‍या व्यक्तीद्वारे या व्यक्तीशी करार झाला (यापुढे अधिकृत व्यक्ती म्हणून संदर्भित). ऑपरेटर आणि अधिकृत व्यक्ती यांच्यातील कराराने माहिती प्रणालीमध्ये प्रक्रिया केल्यावर वैयक्तिक डेटाची सुरक्षा सुनिश्चित करण्यासाठी अधिकृत व्यक्तीच्या दायित्वाची तरतूद करणे आवश्यक आहे.
स्त्रोत: 1 नोव्हेंबर 2012 च्या रशियन फेडरेशनच्या सरकारचा डिक्री क्र. 1119

वास्तविकता: आपण प्रदात्याला वैयक्तिक डेटा दिल्यास, ऑर्डरवर स्वाक्षरी करा. क्रमाने, विषयांच्या वैयक्तिक डेटाचे संरक्षण सुनिश्चित करण्याची आवश्यकता सूचित करा. अन्यथा, आपण तृतीय पक्षाकडे वैयक्तिक डेटा प्रक्रिया कार्य हस्तांतरित करण्यासंबंधी कायद्याचे पालन करत नाही आणि 152-FZ च्या अनुपालनाबाबत प्रदात्याने आपल्याला काहीही देणे नाही.

मान्यता 4. मोसाद माझी हेरगिरी करत आहे किंवा माझ्याकडे निश्चितपणे UZ-1 आहे

काही ग्राहक सतत हे सिद्ध करतात की त्यांच्याकडे सुरक्षा स्तर 1 किंवा 2 चा ISPD आहे. बहुतेकदा असे होत नाही. हे का घडते हे शोधण्यासाठी हार्डवेअर लक्षात ठेवूया.
LO, किंवा सुरक्षा स्तर, तुम्ही तुमचा वैयक्तिक डेटा कशापासून संरक्षित कराल हे निर्धारित करते.
सुरक्षिततेची पातळी खालील मुद्द्यांमुळे प्रभावित होते:

• वैयक्तिक डेटाचा प्रकार (विशेष, बायोमेट्रिक, सार्वजनिकरित्या उपलब्ध आणि इतर);
• वैयक्तिक डेटाचे मालक कोण आहेत - वैयक्तिक डेटा ऑपरेटरचे कर्मचारी किंवा गैर-कर्मचारी;
• वैयक्तिक डेटा विषयांची संख्या - कमी किंवा जास्त 100 हजार.
• वर्तमान धोक्यांचे प्रकार.

आम्हाला धमक्यांच्या प्रकारांबद्दल सांगते 1 नोव्हेंबर 2012 च्या रशियन फेडरेशनच्या सरकारचा डिक्री क्र. 1119. मानवी भाषेत माझ्या विनामूल्य भाषांतरासह प्रत्येकाचे वर्णन येथे आहे.

माहिती प्रणालीमध्ये वापरल्या जाणार्‍या सिस्टम सॉफ्टवेअरमधील अदस्तांकित (अघोषित) क्षमतांच्या उपस्थितीशी संबंधित धमक्या देखील संबंधित असल्यास टाइप 1 धमक्या माहिती प्रणालीशी संबंधित आहेत.

जर तुम्ही या प्रकारची धमकी संबंधित म्हणून ओळखत असाल, तर तुमचा ठाम विश्वास आहे की CIA, MI6 किंवा MOSSAD च्या एजंटांनी तुमच्या ISPD मधून विशिष्ट विषयांचा वैयक्तिक डेटा चोरण्यासाठी ऑपरेटिंग सिस्टममध्ये बुकमार्क ठेवला आहे.

माहिती प्रणालीमध्ये वापरल्या जाणार्‍या ऍप्लिकेशन सॉफ्टवेअरमधील अदस्तांकित (अघोषित) क्षमतांच्या उपस्थितीशी संबंधित धमक्या देखील संबंधित असतील तर 2र्‍या प्रकारच्या धमक्या माहिती प्रणालीसाठी संबंधित आहेत.

जर तुम्हाला वाटत असेल की दुसऱ्या प्रकारच्या धमक्या ही तुमची केस आहे, तर तुम्ही झोपा आणि पहा की CIA, MI6, MOSSAD, दुष्ट लोन हॅकर किंवा ग्रुपच्या त्याच एजंटांनी नेमके शोधण्यासाठी काही ऑफिस सॉफ्टवेअर पॅकेजमध्ये बुकमार्क कसे ठेवले आहेत. तुमचा वैयक्तिक डेटा. होय, μTorrent सारखे संदिग्ध ऍप्लिकेशन सॉफ्टवेअर आहे, परंतु तुम्ही इंस्टॉलेशनसाठी परवानगी असलेल्या सॉफ्टवेअरची सूची बनवू शकता आणि वापरकर्त्यांसोबत करार करू शकता, वापरकर्त्यांना स्थानिक प्रशासक अधिकार देऊ नका, इ.

टाइप 3 धमक्या माहिती प्रणालीशी संबंधित आहेत जर सिस्टीममधील अदस्तांकित (अघोषित) क्षमतेच्या उपस्थितीशी संबंधित नसलेल्या धमक्या आणि माहिती प्रणालीमध्ये वापरल्या जाणार्‍या ऍप्लिकेशन सॉफ्टवेअरशी संबंधित असतील.

प्रकार 1 आणि 2 च्या धमक्या तुमच्यासाठी योग्य नाहीत, म्हणून ही जागा तुमच्यासाठी आहे.

आम्ही धमक्यांच्या प्रकारांची क्रमवारी लावली आहे, आता आमच्या ISPD ची सुरक्षा कोणत्या स्तरावर असेल ते पाहू.

मध्ये निर्दिष्ट केलेल्या पत्रव्यवहारांवर आधारित सारणी 1 नोव्हेंबर 2012 च्या रशियन फेडरेशनच्या सरकारचा डिक्री क्र. 1119.

जर आम्ही तिसर्या प्रकारचे वास्तविक धोके निवडले, तर बहुतेक प्रकरणांमध्ये आमच्याकडे UZ-3 असेल. एकमेव अपवाद, जेव्हा प्रकार 1 आणि 2 च्या धमक्या संबंधित नसतात, परंतु सुरक्षिततेचा स्तर अजूनही उच्च असेल (UZ-2), अशा कंपन्या आहेत ज्या 100 पेक्षा जास्त रकमेमध्ये गैर-कर्मचाऱ्यांच्या विशेष वैयक्तिक डेटावर प्रक्रिया करतात. उदाहरणार्थ, वैद्यकीय निदान आणि वैद्यकीय सेवांच्या तरतूदीमध्ये गुंतलेल्या कंपन्या.

UZ-4 देखील आहे, आणि हे प्रामुख्याने अशा कंपन्यांमध्ये आढळते ज्यांचा व्यवसाय गैर-कर्मचारी, म्हणजे ग्राहक किंवा कंत्राटदारांच्या वैयक्तिक डेटाच्या प्रक्रियेशी संबंधित नाही किंवा वैयक्तिक डेटा बेस लहान आहेत.

सुरक्षिततेच्या पातळीसह ते जास्त न करणे इतके महत्त्वाचे का आहे? हे सोपे आहे: सुरक्षिततेची ही पातळी सुनिश्चित करण्यासाठी उपाय आणि संरक्षणाची साधने यावर अवलंबून असतील. ज्ञानाची पातळी जितकी उच्च असेल तितकी संस्थात्मक आणि तांत्रिक संदर्भात अधिक करणे आवश्यक आहे (वाचा: जितके जास्त पैसे आणि मज्जातंतू खर्च करावे लागतील).

येथे, उदाहरणार्थ, समान PP-1119 नुसार सुरक्षा उपायांचा संच कसा बदलतो.

आता सुरक्षेच्या निवडलेल्या स्तरावर अवलंबून, आवश्यक उपाययोजनांची यादी त्यानुसार कशी बदलते ते पाहू. 21 फेब्रुवारी 18.02.2013 च्या रशिया क्रमांक XNUMX च्या FSTEC च्या आदेशानुसार.  या दस्तऐवजात एक लांब परिशिष्ट आहे, जे आवश्यक उपाय परिभाषित करते. त्यापैकी एकूण 109 आहेत, प्रत्येक किमीसाठी अनिवार्य उपाय परिभाषित केले आहेत आणि "+" चिन्हाने चिन्हांकित केले आहेत - ते खालील तक्त्यामध्ये अचूकपणे मोजले आहेत. तुम्ही फक्त UZ-3 साठी आवश्यक असलेले सोडल्यास, तुम्हाला 4 मिळतील.

वास्तविकता: जर तुम्ही क्लायंटकडून चाचण्या किंवा बायोमेट्रिक्स गोळा करत नसाल, तर तुम्ही सिस्टम आणि अॅप्लिकेशन सॉफ्टवेअरमधील बुकमार्क्सबद्दल मूर्ख नसाल, तर बहुधा तुमच्याकडे UZ-3 असेल. त्यात संस्थात्मक आणि तांत्रिक उपायांची वाजवी यादी आहे जी प्रत्यक्षात अंमलात आणली जाऊ शकते.

मान्यता 5. वैयक्तिक डेटाचे संरक्षण करण्याचे सर्व मार्ग रशियाच्या FSTEC द्वारे प्रमाणित केले जाणे आवश्यक आहे

जर तुम्हाला प्रमाणपत्र हवे असेल किंवा आवश्यक असेल, तर बहुधा तुम्हाला प्रमाणित संरक्षणात्मक उपकरणे वापरावी लागतील. प्रमाणन रशियाच्या FSTEC च्या परवानाधारकाद्वारे केले जाईल, जे:

• अधिक प्रमाणित माहिती संरक्षण उपकरणे विकण्यात स्वारस्य आहे;
• काही चूक झाल्यास नियामकाकडून परवाना रद्द होण्याची भीती असेल.

जर तुम्हाला प्रमाणपत्राची आवश्यकता नसेल आणि तुम्ही नावाच्या इतर मार्गाने आवश्यकतांचे पालन केल्याची पुष्टी करण्यास तयार असाल रशिया क्रमांक 21 च्या एफएसटीईसीचा आदेश  "वैयक्तिक डेटाची सुरक्षा सुनिश्चित करण्यासाठी वैयक्तिक डेटा संरक्षण प्रणालीमध्ये अंमलात आणलेल्या उपायांच्या प्रभावीतेचे मूल्यांकन करणे," नंतर प्रमाणित माहिती सुरक्षा प्रणाली आपल्यासाठी आवश्यक नाहीत. मी थोडक्यात तर्क स्पष्ट करण्याचा प्रयत्न करेन.

В लेख 2 19-FZ च्या परिच्छेद 152 असे नमूद करते की स्थापित प्रक्रियेनुसार अनुरूप मूल्यांकन प्रक्रिया पार पाडलेली संरक्षक उपकरणे वापरणे आवश्यक आहे:

वैयक्तिक डेटाची सुरक्षितता सुनिश्चित करणे, विशेषतः:
[...] ३) माहिती सुरक्षेचा वापर म्हणजे ज्यांनी स्थापन केलेल्या प्रक्रियेनुसार अनुपालन मूल्यांकन प्रक्रिया पार केली आहे.

В परिच्छेद 13 PP-1119 माहिती सुरक्षा साधने वापरण्याची देखील आवश्यकता आहे ज्यांनी कायदेशीर आवश्यकतांच्या अनुपालनाचे मूल्यांकन करण्याची प्रक्रिया पार केली आहे:

[...] माहिती सुरक्षा साधनांचा वापर ज्याने माहिती सुरक्षेच्या क्षेत्रात रशियन फेडरेशनच्या कायद्याच्या आवश्यकतांच्या पूर्ततेचे मूल्यांकन करण्याची प्रक्रिया पार केली आहे, अशा प्रकरणांमध्ये जेव्हा अशा साधनांचा वापर सध्याच्या धोक्यांना तटस्थ करण्यासाठी आवश्यक आहे.

FSTEC आदेश क्रमांक 4 मधील कलम 21 PP-1119 परिच्छेद व्यावहारिकपणे डुप्लिकेट करते:

वैयक्तिक डेटाच्या सुरक्षिततेची खात्री करण्यासाठी उपाय, इतर गोष्टींबरोबरच, माहिती प्रणालीमध्ये माहिती सुरक्षा साधनांचा वापर करून, ज्यांनी स्थापित प्रक्रियेनुसार अनुरूप मूल्यांकन प्रक्रिया पार केली आहे, अशा साधनांचा वापर आवश्यक असल्यास वैयक्तिक डेटाच्या सुरक्षिततेसाठी सध्याच्या धोक्यांना तटस्थ करणे.

या फॉर्म्युलेशनमध्ये काय साम्य आहे? ते बरोबर आहे - त्यांना प्रमाणित संरक्षणात्मक उपकरणे वापरण्याची आवश्यकता नाही. वस्तुस्थिती अशी आहे की अनुरूपता मूल्यांकनाचे अनेक प्रकार आहेत (स्वैच्छिक किंवा अनिवार्य प्रमाणपत्र, अनुरूपतेची घोषणा). प्रमाणन हे त्यापैकी फक्त एक आहे. ऑपरेटर गैर-प्रमाणित उत्पादने वापरू शकतो, परंतु त्यांनी काही प्रकारची अनुरूपता मूल्यांकन प्रक्रिया पार केली आहे हे तपासणीनंतर नियामकाला दाखवावे लागेल.

ऑपरेटरने प्रमाणित संरक्षणात्मक उपकरणे वापरण्याचा निर्णय घेतल्यास, अल्ट्रासाऊंड संरक्षणाच्या अनुषंगाने माहिती संरक्षण प्रणाली निवडणे आवश्यक आहे, ज्यामध्ये स्पष्टपणे नमूद केले आहे. FSTEC ऑर्डर क्र. 21:

वैयक्तिक डेटाचे संरक्षण करण्यासाठी तांत्रिक उपाय माहिती सुरक्षा साधनांच्या वापराद्वारे लागू केले जातात, ज्यात सॉफ्टवेअर (हार्डवेअर) साधनांचा समावेश आहे ज्यामध्ये ते लागू केले जातात, ज्यात आवश्यक सुरक्षा कार्ये आहेत.
माहिती सुरक्षा साधने वापरताना माहिती प्रणालींमध्ये माहिती सुरक्षा आवश्यकतांनुसार प्रमाणित:

रशियाच्या FSTEC च्या ऑर्डर क्रमांक 12 मधील कलम 21.

वास्तविकता: कायद्याला प्रमाणित संरक्षणात्मक उपकरणांचा अनिवार्य वापर करण्याची आवश्यकता नाही.

मान्यता 6. मला क्रिप्टो संरक्षणाची गरज आहे

येथे काही बारकावे आहेत:

1. बर्याच लोकांचा असा विश्वास आहे की कोणत्याही ISPD साठी क्रिप्टोग्राफी अनिवार्य आहे. खरेतर, क्रिप्टोग्राफीच्या वापराव्यतिरिक्त ऑपरेटरला स्वतःसाठी इतर कोणतेही संरक्षण उपाय दिसत नसल्यासच त्यांचा वापर केला पाहिजे.
2. तुम्ही क्रिप्टोग्राफीशिवाय करू शकत नसल्यास, तुम्हाला FSB द्वारे प्रमाणित CIPF वापरण्याची आवश्यकता आहे.
3. उदाहरणार्थ, तुम्ही सेवा प्रदात्याच्या क्लाउडमध्ये ISPD होस्ट करण्याचा निर्णय घेतला, परंतु तुमचा त्यावर विश्वास नाही. तुम्ही तुमच्या चिंतांचे वर्णन धमकी आणि घुसखोर मॉडेलमध्ये करता. तुमच्याकडे वैयक्तिक डेटा आहे, म्हणून तुम्ही ठरवले आहे की क्रिप्टोग्राफी हा स्वतःचे संरक्षण करण्याचा एकमेव मार्ग आहे: तुम्ही आभासी मशीन्स कूटबद्ध कराल, क्रिप्टोग्राफिक संरक्षण वापरून सुरक्षित चॅनेल तयार कराल. या प्रकरणात, तुम्हाला रशियाच्या FSB द्वारे प्रमाणित CIPF वापरावे लागेल.
4. प्रमाणित CIPF ची निवड विशिष्ट स्तरावरील सुरक्षिततेनुसार केली जाते ऑर्डर क्रमांक 378 FSB.

UZ-3 सह ISPDn साठी, तुम्ही KS1, KS2, KS3 वापरू शकता. KS1, उदाहरणार्थ, चॅनेल संरक्षणासाठी C-Terra Virtual Gateway 4.2 आहे.

KC2, KS3 हे फक्त सॉफ्टवेअर आणि हार्डवेअर सिस्टीमद्वारे दर्शविले जातात, जसे की: ViPNet समन्वयक, APKSH "महाद्वीप", S-Terra गेटवे इ.

तुमच्याकडे UZ-2 किंवा 1 असल्यास, तुम्हाला KV1, 2 आणि KA वर्गाच्या क्रिप्टोग्राफिक संरक्षण साधनांची आवश्यकता असेल. ही विशिष्ट सॉफ्टवेअर आणि हार्डवेअर प्रणाली आहेत, त्यांना ऑपरेट करणे कठीण आहे आणि त्यांची कार्यक्षमता वैशिष्ट्ये माफक आहेत.

वास्तविकता: कायदा FSB द्वारे प्रमाणित CIPF चा वापर करण्यास बांधील नाही.

स्त्रोत: www.habr.com