DF क्लाउड प्लॅटफॉर्मवर सुरक्षित क्लाउड 

फेडरल कायदा-152 "वैयक्तिक डेटाच्या संरक्षणावर" सर्व विद्यमान घटकांना लागू होतो: व्यक्ती आणि कायदेशीर संस्था, फेडरल सरकारी संस्था आणि स्थानिक सरकारे. खरं तर, हा कायदा कोणत्याही संस्थेला लागू होतो जी रशियन फेडरेशनच्या नागरिकांची माहिती आणि वैयक्तिक डेटावर प्रक्रिया करते, संस्थेच्या मालकीचे स्वरूप आणि आकार विचारात न घेता.

कधीकधी एखादी संस्था, अगदी अनपेक्षितपणे स्वतःसाठी, वैयक्तिक डेटाची (PD) सुरुवातीला अंतर्निहित माहिती प्रणाली शोधू शकते. उदाहरणार्थ, एखाद्या कंपनीच्या वेबसाइटवर फीडबॅक फॉर्म, नोंदणी, अधिकृतता आणि डेटा संकलनाचे इतर प्रकार असतील ज्याद्वारे विषय ओळखला जाऊ शकतो तर ती वैयक्तिक डेटाची ऑपरेटर मानली जाते.

"वैयक्तिक डेटावर" फेडरल कायद्याच्या आवश्यकतांचे पालन करण्याबाबत नियंत्रण आणि पर्यवेक्षण नियामकांद्वारे केले जाते:

• Roskomnadzor वैयक्तिक डेटा विषय अधिकार संरक्षण संबंधित;
• क्रिप्टोग्राफीच्या क्षेत्रातील आवश्यकतांचे पालन करण्याबाबत रशियाचे एफएसबी;
• तांत्रिक चॅनेलद्वारे अनधिकृत प्रवेश आणि गळतीपासून माहितीचे संरक्षण करण्यासाठी आवश्यकतांचे पालन करण्याच्या दृष्टीने रशियाचे FSTEC.

"वैयक्तिक डेटावरील" फेडरल कायदा हा वैयक्तिक डेटाच्या संरक्षणासाठी कायदेशीर समर्थनाचा केवळ आधार असल्याने, त्याची आवश्यकता नंतर रशियन फेडरेशन सरकार आणि दळणवळण मंत्रालयाच्या कृतींमध्ये आणि इतर नियामक आणि पद्धतशीर दस्तऐवजांमध्ये निर्दिष्ट केली गेली. नियामक

वैयक्तिक डेटा प्रक्रियेच्या क्षेत्रातील क्रियाकलापांचे नियमन करणारे फेडरल अधिकारी

• Roskomnadzor (फेडरल सर्व्हिस फॉर पर्यवेक्षण ऑफ कम्युनिकेशन्स अँड मास कम्युनिकेशन्स) - कायदेशीर आवश्यकतांसह पीडी प्रक्रियेचे पालन करण्यावर नियंत्रण आणि पर्यवेक्षण व्यायाम करते.
• रशियाचे FSTEC (तांत्रिक आणि निर्यात नियंत्रणासाठी फेडरल सर्व्हिस) - तांत्रिक माध्यमांचा वापर करून माहितीचे संरक्षण करण्याच्या पद्धती आणि माध्यम स्थापित करते.
• रशियाचे एफएसबी (रशियन फेडरेशनची फेडरल सिक्युरिटी सर्व्हिस) - त्याच्या अधिकारांमध्ये माहितीचे संरक्षण करण्याच्या पद्धती आणि माध्यमे स्थापित करते (माहिती संरक्षणाच्या क्रिप्टोग्राफिक माध्यमांच्या वापराचे क्षेत्र)

वैयक्तिक डेटावर प्रक्रिया करणार्‍या प्रत्येक संस्थेला त्यांच्या माहिती प्रणाली कायदेशीर आवश्यकतांचे पालन करण्याच्या समस्येचा सामना करावा लागतो. वैयक्तिक डेटा संरक्षण ही सर्वात महत्वाची समस्या आहे, केवळ रशियामध्येच नाही तर इतर देशांमध्ये देखील. 

वैयक्तिक डेटाचे प्रकार

फेडरल लॉ क्र. 152 नुसार, वैयक्तिक डेटा ही अशा माहितीच्या आधारे ओळखल्या जाणार्‍या किंवा निर्धारित केलेल्या व्यक्तीशी संबंधित कोणतीही माहिती आहे (वैयक्तिक डेटाचा विषय). उदाहरणार्थ: पूर्ण नाव, जन्मतारीख आणि जन्म ठिकाण, पत्ता, कौटुंबिक, सामाजिक, मालमत्ता स्थिती, शिक्षण इ.

वैयक्तिक डेटा अनेक श्रेणींमध्ये विभागलेला आहे:

विशेष

वंश, राष्ट्रीयत्व, राजकीय विचार, धार्मिक किंवा तात्विक विश्वास, आरोग्य स्थिती, जिव्हाळ्याचे जीवन यासंबंधीचा वैयक्तिक डेटा

बायोमेट्रिक

पीडी, जी एखाद्या व्यक्तीची शारीरिक आणि जैविक वैशिष्ट्ये दर्शवते, ज्याच्या आधारावर त्याची ओळख स्थापित केली जाऊ शकते आणि ज्याचा वापर ऑपरेटरद्वारे वैयक्तिक डेटाच्या विषयाची ओळख स्थापित करण्यासाठी केला जातो.

इतर

प्रत्यक्ष किंवा अप्रत्यक्षपणे ओळखल्या जाणार्‍या किंवा ओळखण्यायोग्य व्यक्तीशी संबंधित आणि वरील श्रेणींमध्ये न येता PD

सार्वजनिकरित्या उपलब्ध

सार्वजनिकरित्या उपलब्ध स्त्रोतांकडून प्राप्त केलेला पीडी ज्यामध्ये वैयक्तिक डेटाच्या विषयाच्या लेखी संमतीने डेटा प्रकाशित केला गेला होता

वैयक्तिक डेटाची प्रक्रिया म्हणजे ऑटोमेशन साधनांचा वापर करून किंवा त्याशिवाय वैयक्तिक डेटा असलेली कोणतीही क्रिया (ऑपरेशन) किंवा क्रियांचा संच, यासह:

• संकलन,
• मुद्रित करणे,
• पद्धतशीरीकरण,
• जमा करणे,
• साठवण,
• स्पष्टीकरण (अद्यतन, बदल),
• काढणे,
• वापर
• प्रसारण (वितरण, तरतूद, प्रवेश),
• वैयक्‍तिकीकरण,
• अवरोधित करणे,
• काढणे,
• वैयक्तिक डेटा नष्ट करणे.

उल्लंघनाची जबाबदारी

फेडरल लॉ क्रमांक 24 च्या अनुच्छेद 152 नुसार, व्यक्ती रशियन फेडरेशनच्या कायद्यानुसार कायद्याचे उल्लंघन करण्यासाठी जबाबदार आहेत.

कंपनी तपासताना, नियामकांना फेडरल लॉ-152 आणि अनेक उपनियमांद्वारे मार्गदर्शन केले जाते. तपासणी एकतर अनुसूचित किंवा अनियोजित असू शकते - उल्लंघनांच्या तथ्यांवर आधारित, तसेच त्यांना दूर करण्यासाठी यापूर्वी जारी केलेल्या आदेशांचे निरीक्षण करण्यासाठी.

वैयक्तिक डेटाच्या संरक्षणाच्या आवश्यकतांचे उल्लंघन करणार्‍या व्यक्तींना केवळ नागरी आणि अनुशासनात्मकच नव्हे तर प्रशासकीय आणि गुन्हेगारी दायित्व देखील सामोरे जावे लागेल.
 

फेडरल लॉ-152 च्या आवश्यकतांचे पालन कसे करावे?

म्हणून, वैयक्तिक डेटा किंवा इतर संवेदनशील माहितीवर प्रक्रिया करणार्‍या कंपनीने किंवा संस्थेने कायद्यानुसार या माहितीचे संरक्षण करणे आवश्यक आहे. यासाठी केवळ गंभीर कौशल्य, ज्ञान आणि अनुभव आवश्यक नाही तर तांत्रिक अडचणी आणि लक्षणीय खर्चाशी देखील संबंधित आहे.

FSTEC ने मंजूर केलेल्या अधिकृत व्याख्येनुसार, “...वैयक्तिक डेटाची सुरक्षा ही वैयक्तिक डेटाच्या सुरक्षिततेची स्थिती आहे, जे वापरकर्त्यांची क्षमता, तांत्रिक माध्यमे आणि माहिती तंत्रज्ञानाद्वारे वैयक्तिक डेटाची गोपनीयता, अखंडता आणि उपलब्धता सुनिश्चित करण्यासाठी वैशिष्ट्यीकृत आहे. वैयक्तिक डेटा माहिती प्रणालींमध्ये प्रक्रिया केली जाते...”

फेडरल लॉ 152 च्या संघटनात्मक, कायदेशीर आणि तांत्रिक आवश्यकता पूर्ण करण्यासाठी, आपण स्वतःच कायद्याचाच नव्हे तर त्याच्या उपविधीचा देखील अभ्यास करणे आवश्यक आहे आणि नेमक्या कोणत्या उपाययोजना करणे आवश्यक आहे हे शोधून काढणे आवश्यक आहे. आउटसोर्सिंग तज्ञ कंपनीमधील वैयक्तिक डेटावर प्रक्रिया करण्याच्या प्रक्रियेचा अभ्यास करू शकतात, आवश्यक कागदपत्रे तयार करू शकतात, सुरक्षा उपायांची अंमलबजावणी करू शकतात.

सर्वसमावेशक माहिती सुरक्षा प्रणालीमध्ये हे समाविष्ट आहे:

• घुसखोरी प्रतिबंधक साधने (IDS).
• फायरवॉल (FW).
• मालवेअर विरुद्ध संरक्षण.
• सुरक्षा कार्यक्रमांचे निरीक्षण आणि रेकॉर्डिंगसाठी सिस्टम.
• संप्रेषण चॅनेलच्या क्रिप्टोग्राफिक संरक्षणाची प्रणाली (एनक्रिप्शन).
• व्हर्च्युअल वातावरणाचे संरक्षण करण्याचे साधन, अनधिकृत प्रवेशापासून संरक्षणाची प्रणाली (ATP), ओळख आणि प्रवेश नियंत्रण.
• सुरक्षा विश्लेषण/असुरक्षा शोध प्रणाली इ.

याव्यतिरिक्त, सर्वसमावेशक माहिती सुरक्षिततेमध्ये केवळ तांत्रिकच नाही तर संस्थात्मक उपाय देखील समाविष्ट आहेत.

क्लाउड FZ-152: अंमलबजावणी वैशिष्ट्ये

वैयक्तिक डेटा संबंधित फेडरल कायद्याच्या आवश्यकतेनुसार अनेक रशियन प्रदाता माहिती प्रणाली होस्ट करण्यासाठी क्लाउड इन्फ्रास्ट्रक्चरच्या तरतुदीसाठी सेवा प्रदान करतात. क्लायंटच्या सिस्टीम क्लाउडमध्ये होस्ट केल्या जातात तेव्हा, प्रदाता वैयक्तिक डेटाच्या संरक्षणाशी संबंधित अनेक माहिती सुरक्षा समस्यांना सामोरे जातो. क्लाउडवर स्थलांतरित करताना, ते आयटी पायाभूत सुविधांचे संरक्षण करेल आणि यामुळे क्लायंटच्या काही जबाबदाऱ्या काढून टाकल्या जातील. उदाहरणार्थ, प्रदाता व्हर्च्युअलायझेशन पर्यावरणाच्या संरक्षणासंबंधी फेडरल लॉ 152 च्या आवश्यकता पूर्ण करतो.

डेटा संरक्षणाच्या समस्येचे निराकरण करण्यासाठी प्रदाते ग्राहकांना तज्ञांचे समर्थन देखील देऊ शकतात: सुरक्षिततेची आवश्यक पातळी निश्चित करणे आणि त्यानुसार, अंमलबजावणीचा पर्याय ऑफर करणे; रशियन फेडरेशनच्या कायद्याच्या आवश्यकतांचे पालन करण्यासाठी कागदपत्रे विकसित करा.

एक सुरक्षित क्लाउड आयटी पायाभूत सुविधा आणि अंतर्गत माहिती सुरक्षा प्रणाली तयार करणे आणि राखण्यासाठी खर्च कमी करून संस्थेच्या खर्चास अनुकूल करण्यात मदत करेल. सामान्यतः, पात्र तज्ञ सर्वसमावेशक तांत्रिक सहाय्य आणि सहाय्य प्रदान करतात, ज्यामध्ये नियामक प्राधिकरणांद्वारे प्रमाणनासाठी दस्तऐवजांच्या पॅकेजचा सल्ला घेणे आणि विकास करणे समाविष्ट आहे आणि सेवा वितरण प्लॅटफॉर्म कठोर तांत्रिक मानकांची पूर्तता करतो आणि आवश्यक संस्थात्मक आवश्यकता पूर्ण करतो. क्लायंट आवश्यक कागदपत्रे तयार करण्यासाठी आणि अनुप्रयोग आणि ऑपरेटिंग सिस्टम स्तरावर ISPD चे संरक्षण करण्यासाठी सेवांचा लाभ घेऊ शकतात.

जोखीम आणि भेद्यता व्यवस्थापन प्रक्रिया, घटना तपास, अंतर्गत आणि बाह्य सुरक्षा ऑडिट, तसेच नेटवर्कचे नियमित निरीक्षण आणि चाचणी, सिस्टम आणि माहिती सुरक्षा प्रक्रिया देखील प्रदान केल्या जातात. पात्र तज्ञ XNUMX/XNUMX IT पायाभूत सुविधा पुरवतात.

एकत्रितपणे, हे उपाय वैयक्तिक डेटाच्या संरक्षणाशी संबंधित फेडरल कायद्यांचे पालन सुनिश्चित करतात.

प्रमाणित व्यासपीठ

IBS DataFort आधारित अशी सेवा प्रदान करते प्रमाणित DF क्लाउड प्लॅटफॉर्म. या प्लॅटफॉर्मचे सर्व तांत्रिक भाग, प्रशासन आणि व्हर्च्युअलायझेशन साधने फेडरल लॉ-152 च्या मानदंड आणि आवश्यकतांचे पालन करतात.
आयबीएस डेटाफोर्ट सुरक्षित क्लाउडचे आर्किटेक्चर.

हे प्लॅटफॉर्म ISPD (पहिल्या सुरक्षा स्तरापर्यंत समावेशी), GIS (पहिल्या सुरक्षा वर्गापर्यंत आणि त्यासह) आणि टियर III डेटा सेंटरमध्ये सुरक्षित डेटा स्टोरेजचे हमीदार संरक्षण प्रदान करते. प्लॅटफॉर्म प्रमाणित फायरवॉल, घुसखोरी शोध आणि प्रतिबंध साधने (IDS/IPS), संप्रेषण चॅनेलचे कूटबद्धीकरण (GOST VPN), अँटी-व्हायरस संरक्षण, अनधिकृत प्रवेशापासून संरक्षण, वर्च्युअलायझेशन वातावरणाचे संरक्षण, तसेच भेद्यता स्कॅनिंग साधने वापरते.

क्लाउड FZ-152 ज्यांना गोपनीयता आणि डेटा संरक्षणासाठी उच्च आवश्यकता आहेत, त्यांची व्यावसायिक प्रतिष्ठा मजबूत करायची आहे किंवा उच्च पातळीची माहिती सुरक्षितता म्हणून असा स्पर्धात्मक फायदा मिळवायचा आहे त्यांच्यासाठी देखील एक योग्य उपाय आहे.

अशा ढगावर "हलवा" कसे? "अखंड स्थलांतर" शक्य आहे का? अगदी. उदाहरणार्थ, IBS DataFort सुरक्षितपणे ISPD ला त्याच्या सुरक्षित क्लाउडवर हस्तांतरित करते, डाउनटाइम आणि कंपनीच्या व्यवसाय प्रक्रियांवर (परदेशी साइट्ससह) प्रभाव कमी करते.

आयटी पायाभूत सुविधांना फेडरल कायदा-152 च्या अनुपालनामध्ये आणणे

क्लायंटच्या IT पायाभूत सुविधांना फेडरल लॉ-152 च्या आवश्यकतांच्या पूर्ततेमध्ये आणण्याची प्रक्रिया सध्याच्या सुरक्षिततेच्या पातळीचे ऑडिट आणि मूल्यांकनासह सुरू होते.

क्लायंटच्या आयटी इन्फ्रास्ट्रक्चरच्या ऑडिटमध्ये वैयक्तिक डेटाच्या प्रक्रियेची आणि संरक्षणाची तपासणी आणि ग्राहकाच्या माहिती प्रणालीची तपासणी समाविष्ट असते. तांत्रिक दृष्टिकोनातून पीडी प्रक्रिया प्रक्रियेच्या तपशीलवार वर्णनासह सर्वेक्षण अहवाल तयार केला जातो.

या कामामध्ये धमक्या आणि घुसखोरांचे मॉडेलिंग करणे आणि ISPD साठी सुरक्षिततेची पातळी निश्चित करण्यासाठी अहवाल तयार करणे देखील समाविष्ट आहे. ऑडिटच्या परिणामांवर आधारित, ISPD संरक्षण प्रणालीसाठी एक खाजगी तांत्रिक तपशील तयार केला जातो आणि डिझाइन केलेल्या सिस्टमसाठी आवश्यकता परिभाषित करतो.

वैयक्तिक डेटाच्या संरक्षणासाठी धोरणे, सूचना, नियम आणि इतर दस्तऐवजांचा संच विकसित केला जात आहे. त्याच वेळी, विशेषज्ञ सुरक्षा उपायांच्या अंमलबजावणीसाठी ग्राहकांच्या खर्चास अनुकूल करण्याचा प्रयत्न करतात.

IBS DataFort वैयक्तिक डेटाच्या संरक्षणावरील फेडरल कायद्याचे पालन करण्यासाठी दस्तऐवज तयार करण्यासाठी आणि ISPD चे संरक्षण करण्यासाठी सेवा प्रदान करते आणि प्रमाणपत्र (ISPD, GIS, AS) तयार करण्यात आणि पास करण्यात मदत करू शकते.

FSTEC आणि रशियाच्या FSB द्वारे परवानाधारक स्वतंत्र ऑडिटर्सद्वारे प्रमाणन केले जाते. असे प्रमाणपत्र उत्तीर्ण केल्याने कंपनीच्या भागीदारांच्या आणि ग्राहकांच्या वैयक्तिक डेटाचे बाह्य धोक्यांपासून विश्वसनीय संरक्षण आणि नियामक आवश्यकतांचे व्यापक अनुपालन याची पुष्टी होते. क्लायंटला "वन-स्टॉप शॉप" ची सुविधा मिळणे महत्त्वाचे आहे: सर्व काही एका कंपनीद्वारे प्रदान केले जाते - IBS DataFort.

वैयक्तिक डेटा ऑपरेटरसाठी, याचा अर्थ Roskomnadzor, FSTEC आणि FSB द्वारे तपासणीसाठी तत्परता, संसाधने अवरोधित करण्याचा धोका आणि नियामकाकडून दावे आणि मंजुरींची अनुपस्थिती दूर करणे.

ही सेवा सरकारी आणि कॉर्पोरेट विभागातील ग्राहकांच्या अनेक श्रेणींसाठी संबंधित आहे आणि वैयक्तिक डेटा ऑपरेटर ज्यांना त्यांचे क्रियाकलाप कायद्याच्या पालनात आणायचे आहेत त्यांची मागणी असू शकते. प्रदात्याच्या पायाभूत सुविधांच्या बंद विभागात आयपी ठेवणे, सर्व आवश्यक मानके आणि आवश्यकतांनुसार प्रमाणित, ग्राहकाला सर्व काम स्वतंत्रपणे आयोजित करण्याच्या गरजेपासून मुक्त करते.

स्त्रोत: www.habr.com