Hi kollha! Jiena nmexxi ċ-Ċentru tad-Difiża Ċibernetika tad-DataLine. Il-klijenti jiġu għandna bil-kompitu li jissodisfaw ir-rekwiżiti ta '152-FZ fil-cloud jew fuq infrastruttura fiżika.
Kważi f’kull proġett hemm bżonn li ssir ħidma edukattiva biex tiċħad il-miti madwar din il-liġi. Ġbart l-iktar kunċetti żbaljati komuni li jistgħu jiswew ħafna flus lill-baġit u s-sistema nervuża tal-operatur tad-dejta personali. Immedjatament se nagħmel riżerva li każijiet ta’ uffiċċji tal-istat (GIS) li jittrattaw is-sigrieti tal-istat, KII, eċċ. se jibqgħu barra mill-ambitu ta’ dan l-artikolu.
Leġġenda 1. Installajt antivirus, firewall, u ddawwar l-ixkafef b'ċint. Qed insegwi l-liġi?
152-FZ mhix dwar il-protezzjoni tas-sistemi u s-servers, iżda dwar il-protezzjoni tad-dejta personali tas-suġġetti. Għalhekk, il-konformità ma '152-FZ tibda mhux b'antivirus, iżda b'numru kbir ta' biċċiet tal-karti u kwistjonijiet organizzattivi.
L-ispettur ewlieni, Roskomnadzor, mhux se jħares lejn il-preżenza u l-kundizzjoni tal-mezzi tekniċi ta’ protezzjoni, iżda lejn il-bażi legali għall-ipproċessar tad-dejta personali (PD):
- għal liema skop tiġbor data personali;
- jekk tiġborx aktar minnhom milli għandek bżonn għall-iskopijiet tiegħek;
- kemm taħżen id-dejta personali;
- hemm politika għall-ipproċessar tad-dejta personali;
- Qed tiġbor il-kunsens għall-ipproċessar tad-dejta personali, it-trasferiment transkonfinali, l-ipproċessar minn partijiet terzi, eċċ.
It-tweġibiet għal dawn il-mistoqsijiet, kif ukoll il-proċessi nfushom, għandhom jiġu rreġistrati f'dokumenti xierqa. Hawnhekk hawn lista mhux kompluta ta' dak li jeħtieġ li jipprepara operatur tad-dejta personali:
- Formola ta’ kunsens standard għall-ipproċessar ta’ data personali (dawn huma l-folji li issa niffirmaw kważi kullimkien fejn inħallu l-ismijiet sħaħ u d-dettalji tal-passaport).
- Politika ta' l-operatur dwar l-ipproċessar ta' data personali ( hemm rakkomandazzjonijiet għad-disinn).
- Ordni dwar il-ħatra ta' persuna responsabbli għall-organizzazzjoni tal-ipproċessar ta' data personali.
- Deskrizzjoni tax-xogħol tal-persuna responsabbli għall-organizzazzjoni tal-ipproċessar tad-dejta personali.
- Regoli għall-kontroll intern u (jew) verifika tal-konformità tal-ipproċessar tal-PD mar-rekwiżiti legali.
- Lista ta' sistemi ta' informazzjoni ta' data personali (ISPD).
- Regolamenti biex is-suġġett jingħata aċċess għad-data personali tiegħu.
- Regolamenti ta' investigazzjoni ta' inċidenti.
- Ordni dwar l-ammissjoni ta' impjegati għall-ipproċessar ta' data personali.
- Regolamenti għall- interazzjoni mar-regolaturi.
- Notifika ta’ RKN, eċċ.
- Formola ta' struzzjoni għall-ipproċessar tal-PD.
- Mudell ta' theddida ISPD.
Wara li ssolvi dawn il-kwistjonijiet, tista 'tibda tagħżel miżuri speċifiċi u mezzi tekniċi. Liema minnhom għandek bżonn jiddependi fuq is-sistemi, il-kundizzjonijiet operattivi tagħhom, u t-theddid attwali. Imma aktar dwar dan aktar tard.
Realtà: konformità mal-liġi hija l-istabbiliment u l-konformità ma 'ċerti proċessi, l-ewwelnett, u t-tieni biss - l-użu ta' mezzi tekniċi speċjali.
Leġġenda 2. Naħżen dejta personali fil-cloud, ċentru tad-dejta li jissodisfa r-rekwiżiti ta '152-FZ. Issa huma responsabbli għall-infurzar tal-liġi
Meta esternalizza l-ħażna tad-dejta personali lil fornitur tal-cloud jew ċentru tad-dejta, ma tieqafx tkun operatur tad-dejta personali.
Ejja nsejħu d-definizzjoni mil-liġi għall-għajnuna:
Ipproċessar ta’ data personali – kwalunkwe azzjoni (operazzjoni) jew sett ta’ azzjonijiet (operazzjonijiet) imwettqa bl-użu ta’ għodod ta’ awtomazzjoni jew mingħajr l-użu ta’ tali mezzi b’data personali, inkluż ġbir, reġistrazzjoni, sistematizzazzjoni, akkumulazzjoni, ħażna, kjarifika (aġġornament, tibdil), estrazzjoni, użu, trasferiment (distribuzzjoni, forniment, aċċess), depersonalizzazzjoni, imblukkar, tħassir, qerda ta’ data personali.
Sors: l-artikolu 3,
Minn dawn l-azzjonijiet kollha, il-fornitur tas-servizz huwa responsabbli għall-ħażna u l-qerda tad-dejta personali (meta l-klijent itemm il-kuntratt miegħu). Kull ħaġa oħra hija pprovduta mill-operatur tad-dejta personali. Dan ifisser li l-operatur, u mhux il-fornitur tas-servizz, jiddetermina l-politika għall-ipproċessar tad-dejta personali, jikseb kunsensi ffirmati għall-ipproċessar ta 'dejta personali mill-klijenti tiegħu, jipprevjeni u jinvestiga każijiet ta' tnixxija ta 'dejta personali lil partijiet terzi, eċċ.
Għalhekk, l-operatur tad-dejta personali xorta jrid jiġbor id-dokumenti li kienu elenkati hawn fuq u jimplimenta miżuri organizzattivi u tekniċi biex jipproteġu l-PDIS tagħhom.
Tipikament, il-fornitur jgħin lill-operatur billi jiżgura konformità mar-rekwiżiti legali fil-livell tal-infrastruttura fejn se jkun jinsab l-ISPD tal-operatur: xtillieri bit-tagħmir jew il-cloud. Jiġbor ukoll pakkett ta 'dokumenti, jieħu miżuri organizzattivi u tekniċi għall-biċċa infrastruttura tiegħu skont 152-FZ.
Xi fornituri jgħinu fil-burokrazija u l-forniment ta’ miżuri ta’ sigurtà tekniċi għall-ISDNs infushom, jiġifieri, f’livell ogħla mill-infrastruttura. L-operatur jista 'wkoll jesternalizza dawn il-kompiti, iżda r-responsabbiltà u l-obbligi taħt il-liġi ma jisparixxux.
Realtà: Billi tuża s-servizzi ta 'fornitur jew ċentru tad-dejta, ma tistax tittrasferih ir-responsabbiltajiet ta' operatur tad-dejta personali u teħles mir-responsabbiltà. Jekk il-fornitur iwiegħdek dan, allura, biex ngħiduha ħafif, qed jigdeb.
Leġġenda 3. Għandi l-pakkett meħtieġ ta' dokumenti u miżuri. Naħżen data personali ma' fornitur li jwiegħed konformità ma' 152-FZ. Huwa kollox fl-ordni?
Iva, jekk tiftakar li tiffirma l-ordni. Bil-liġi, l-operatur jista’ jafda l-ipproċessar tad-dejta personali lil persuna oħra, pereżempju, l-istess fornitur tas-servizz. Ordni hija tip ta’ ftehim li jelenka x’jista’ jagħmel il-fornitur tas-servizz bid-dejta personali tal-operatur.
L-operatur għandu d-dritt li jafda l-ipproċessar tad-dejta personali lil persuna oħra bil-kunsens tas-suġġett tad-dejta personali, sakemm ma jkunx previst mod ieħor mil-Liġi Federali, fuq il-bażi ta’ ftehim konkluż ma’ din il-persuna, inkluż kuntratt statali jew muniċipali, jew bl-adozzjoni ta' att rilevanti minn korp statali jew muniċipali (minn hawn 'il quddiem imsejjaħ l-operatur ta' assenjazzjoni). Il-persuna li tipproċessa data personali f'isem l-operatur hija obbligata li tikkonforma mal-prinċipji u r-regoli għall-ipproċessar tad-data personali previsti minn din il-Liġi Federali.
Sors:
L-obbligu tal-fornitur li jżomm il-kunfidenzjalità tad-dejta personali u jiżgura s-sigurtà tagħha skont ir-rekwiżiti speċifikati huwa stabbilit ukoll:
L-istruzzjonijiet tal-operatur għandhom jiddefinixxu lista ta’ azzjonijiet (operazzjonijiet) b’dejta personali li se titwettaq mill-persuna li tipproċessa d-dejta personali u l-għanijiet tal-ipproċessar, l-obbligu ta’ tali persuna għandu jiġi stabbilit biex tinżamm il-kunfidenzjalità tad-dejta personali u tiżgura l- is-sigurtà tad-dejta personali matul l-ipproċessar tagħhom, kif ukoll ir-rekwiżiti għall-protezzjoni tad-dejta personali pproċessata għandhom jiġu speċifikati skont ta’ din il-Liġi Federali.
Sors:
Għal dan, il-fornitur huwa responsabbli lejn l-operatur, u mhux għas-suġġett tad-dejta personali:
Jekk l-operatur jafda l-ipproċessar tad-dejta personali lil persuna oħra, l-operatur huwa responsabbli għas-suġġett tad-dejta personali għall-azzjonijiet tal-persuna speċifikata. Il-persuna li tipproċessa d-dejta personali f'isem l-operatur hija responsabbli lejn l-operatur.
Sors: .
Huwa importanti wkoll li jiġi stipulat fl-ordni l-obbligu li tiġi żgurata l-protezzjoni tad-dejta personali:
Is-sigurtà tad-dejta personali meta tiġi pproċessata f'sistema ta' informazzjoni hija żgurata mill-operatur ta' din is-sistema, li jipproċessa d-dejta personali (minn hawn 'il quddiem imsejjaħ l-operatur), jew mill-persuna li tipproċessa d-dejta personali f'isem l-operatur fuq il-bażi ta' dejta personali. ftehim konkluż ma' din il-persuna (minn hawn 'il quddiem imsejjaħ il-persuna awtorizzata). Il-ftehim bejn l-operatur u l-persuna awtorizzata għandu jipprovdi għall-obbligu tal-persuna awtorizzata li tiżgura s-sigurtà tad-dejta personali meta tiġi pproċessata fis-sistema tal-informazzjoni.
Sors:
Realtà: Jekk tagħti data personali lill-fornitur, imbagħad iffirma l-ordni. Fl-ordni, indika r-rekwiżit li tiġi żgurata l-protezzjoni tad-dejta personali tas-suġġetti. Inkella, ma tikkonformax mal-liġi dwar it-trasferiment ta 'xogħol ta' pproċessar ta 'data personali lil parti terza, u l-fornitur ma jagħtik xejn rigward il-konformità ma' 152-FZ.
Leġġenda 4. Il-Mossad qed jispia fuqi, jew żgur għandi UZ-1
Xi klijenti jippruvaw b'mod persistenti li għandhom ISPD ta 'livell ta' sigurtà 1 jew 2. Ħafna drabi dan ma jkunx il-każ. Ejja niftakru l-ħardwer biex insemmu għaliex jiġri dan.
Il-LO, jew il-livell tas-sigurtà, jiddetermina minn xiex se tipproteġi d-dejta personali tiegħek.
Il-livell ta' sigurtà huwa affettwat mill-punti li ġejjin:
- tip ta’ data personali (speċjali, bijometrika, disponibbli pubblikament u oħrajn);
- min għandu d-dejta personali - impjegati jew mhux impjegati tal-operatur tad-dejta personali;
- numru ta’ suġġetti tad-dejta personali – bejn wieħed u ieħor 100 elf.
- tipi ta’ theddid kurrenti.
Jgħidilna dwar tipi ta’ theddid . Hawnhekk hawn deskrizzjoni ta 'kull wieħed bit-traduzzjoni ħielsa tiegħi fil-lingwa umana.
It-theddid tat-Tip 1 huwa rilevanti għal sistema ta' informazzjoni jekk it-theddid assoċjat mal-preżenza ta' kapaċitajiet mhux dokumentati (mhux iddikjarati) fis-softwer tas-sistema użat fis-sistema ta' informazzjoni huma wkoll rilevanti għaliha.
Jekk tagħraf dan it-tip ta' theddida bħala rilevanti, allura temmen bis-sħiħ li l-aġenti tas-CIA, MI6 jew MOSSAD poġġew bookmark fis-sistema operattiva biex jisirqu data personali ta' suġġetti speċifiċi mill-ISPD tiegħek.
Theddid tat-2 tip huma rilevanti għal sistema ta' informazzjoni jekk it-theddid assoċjat mal-preżenza ta' kapaċitajiet mhux dokumentati (mhux iddikjarati) fis-softwer tal-applikazzjoni użat fis-sistema ta' informazzjoni huma wkoll rilevanti għaliha.
Jekk taħseb li t-theddid tat-tieni tip huwa l-każ tiegħek, allura torqod u tara kif l-istess aġenti tas-CIA, MI6, MOSSAD, hacker jew grupp ħażen solitarju poġġew bookmarks f'xi pakkett tas-softwer tal-uffiċċju sabiex jikkaċċjaw eżattament għal id-data personali tiegħek. Iva, hemm softwer ta 'applikazzjoni dubjuż bħal μTorrent, iżda tista' tagħmel lista ta 'softwer permess għall-installazzjoni u tiffirma ftehim mal-utenti, ma tagħtix lill-utenti drittijiet ta' amministratur lokali, eċċ.
It-theddid tat-Tip 3 huwa rilevanti għal sistema ta' informazzjoni jekk theddid li ma jkunx relatat mal-preżenza ta' kapaċitajiet mhux dokumentati (mhux iddikjarati) fis-sistema u softwer ta' applikazzjoni użat fis-sistema ta' informazzjoni huma rilevanti għaliha.
Theddid tat-tipi 1 u 2 mhumiex adattati għalik, għalhekk dan huwa l-post għalik.
Irranġajna t-tipi ta 'theddid, issa ejja nħarsu lejn liema livell ta' sigurtà se jkollu l-ISPD tagħna.
Tabella bbażata fuq il-korrispondenzi speċifikati fi .
Jekk għażilna t-tielet tip ta 'theddid attwali, allura f'ħafna każijiet ikollna UZ-3. L-unika eċċezzjoni, meta theddid tat-tipi 1 u 2 mhumiex rilevanti, iżda l-livell ta 'sigurtà xorta se jkun għoli (UZ-2), huma kumpaniji li jipproċessaw data personali speċjali ta' persuni mhux impjegati fl-ammont ta 'aktar minn 100. Għal eżempju, kumpaniji involuti fid-dijanjostika medika u l-provvista ta 'servizzi mediċi.
Hemm ukoll UZ-4, u tinstab prinċipalment f'kumpaniji li n-negozju tagħhom mhuwiex relatat mal-ipproċessar ta' data personali ta' persuni mhux impjegati, jiġifieri klijenti jew kuntratturi, jew il-bażijiet tad-data personali huma żgħar.
Għaliex huwa daqshekk importanti li ma żżejjedx bil-livell ta 'sigurtà? Huwa sempliċi: is-sett ta’ miżuri u mezzi ta’ protezzjoni biex jiġi żgurat dan il-livell ta’ sigurtà stess jiddependi minn dan. Iktar ma jkun għoli l-livell ta 'għarfien, aktar ikun hemm bżonn li jsir f'termini organizzattivi u tekniċi (aqra: aktar flus u nervituri se jkollhom jintefqu).
Hawnhekk, pereżempju, huwa kif is-sett ta 'miżuri ta' sigurtà jinbidel skond l-istess PP-1119.
Issa ejja naraw kif, skont il-livell ta’ sigurtà magħżul, tinbidel il-lista tal-miżuri meħtieġa skont Hemm appendiċi twil għal dan id-dokument, li jiddefinixxi l-miżuri meħtieġa. B'kollox hemm 109 minnhom, għal kull KM miżuri obbligatorji huma definiti u mmarkati b'sinjal "+" - huma kkalkulati b'mod preċiż fit-tabella hawn taħt. Jekk tħalli biss dawk meħtieġa għal UZ-3, ikollok 4.
Realtà: jekk ma tiġborx testijiet jew bijometriċi mill-klijenti, m'intix paranojku dwar bookmarks fis-sistema u s-softwer tal-applikazzjoni, allura x'aktarx ikollok UZ-3. Għandha lista raġonevoli ta' miżuri organizzattivi u tekniċi li fil-fatt jistgħu jiġu implimentati.
Leġġenda 5. Il-mezzi kollha għall-protezzjoni tad-dejta personali għandhom ikunu ċċertifikati mill-FSTEC tar-Russja
Jekk trid jew tkun meħtieġa li twettaq ċertifikazzjoni, allura x'aktarx ikollok tuża tagħmir protettiv iċċertifikat. Iċ-ċertifikazzjoni se titwettaq minn detentur ta' liċenzja tal-FSTEC tar-Russja, li:
- interessati fil-bejgħ ta' tagħmir ta' protezzjoni ta' informazzjoni aktar ċertifikata;
- se jibża’ li l-liċenzja tiġi revokata mir-regolatur jekk xi ħaġa tmur ħażin.
Jekk m'għandekx bżonn ċertifikazzjoni u inti lest li tikkonferma l-konformità mar-rekwiżiti b'mod ieħor, imsemmi fi "L-evalwazzjoni tal-effettività tal-miżuri implimentati fi ħdan is-sistema tal-protezzjoni tad-dejta personali biex tiġi żgurata s-sigurtà tad-dejta personali," allura s-sistemi tas-sigurtà tal-informazzjoni ċċertifikati mhumiex meħtieġa għalik. Se nipprova nispjega fil-qosor ir-raġuni.
В jiddikjara li huwa meħtieġ li jintuża tagħmir protettiv li jkun għadda mill-proċedura ta' valutazzjoni tal-konformità skont il-proċedura stabbilita:
L-iżgurar tas-sigurtà tad-dejta personali tinkiseb, b’mod partikolari:
[…]
3) l-użu ta' mezzi ta' sigurtà tal-informazzjoni li jkunu għaddew mill-proċedura ta' valutazzjoni tal-konformità skont il-proċedura stabbilita.
В Hemm ukoll rekwiżit li jintużaw għodod tas-sigurtà tal-informazzjoni li jkunu għaddew mill-proċedura għall-valutazzjoni tal-konformità mar-rekwiżiti legali:
[…] l-użu ta 'għodod tas-sigurtà tal-informazzjoni li jkunu għaddew mill-valutazzjoni tal-konformità mar-rekwiżiti tal-leġiżlazzjoni tal-Federazzjoni Russa fil-qasam tas-sigurtà tal-informazzjoni, f'każijiet fejn l-użu ta' tali għodod huwa meħtieġ biex jinnewtralizza t-theddid attwali.
prattikament jidduplika l-paragrafu PP-1119:
Miżuri biex tiġi żgurata s-sigurtà tad-dejta personali huma implimentati, inter alia, permezz tal-użu ta’ għodod tas-sigurtà tal-informazzjoni fis-sistema tal-informazzjoni li jkunu għaddew mill-proċedura ta’ valutazzjoni tal-konformità skont il-proċedura stabbilita, f’każijiet fejn l-użu ta’ tali għodod huwa meħtieġ biex jinnewtralizza t-theddid attwali għas-sigurtà tad-dejta personali.
X'għandhom komuni dawn il-formulazzjonijiet? Dak id-dritt - ma jeħtiġux l-użu ta 'tagħmir protettiv iċċertifikat. Il-fatt hu li hemm diversi forom ta' valutazzjoni tal-konformità (ċertifikazzjoni volontarja jew obbligatorja, dikjarazzjoni ta' konformità). Iċ-ċertifikazzjoni hija biss waħda minnhom. L-operatur jista' juża prodotti mhux iċċertifikati, iżda jrid juri lir-regolatur mal-ispezzjoni li jkunu għaddew minn xi forma ta' proċedura ta' valutazzjoni tal-konformità.
Jekk l-operatur jiddeċiedi li juża tagħmir protettiv iċċertifikat, allura huwa meħtieġ li tagħżel is-sistema ta 'protezzjoni tal-informazzjoni skont il-protezzjoni tal-ultrasound, li hija indikata b'mod ċar f' :
Miżuri tekniċi għall-protezzjoni tad-dejta personali huma implimentati permezz tal-użu ta’ għodod ta’ sigurtà tal-informazzjoni, inklużi għodod ta’ softwer (ħardwer) li fihom jiġu implimentati, li għandhom il-funzjonijiet ta’ sigurtà meħtieġa.
Meta tuża għodod tas-sigurtà tal-informazzjoni ċċertifikati skont ir-rekwiżiti tas-sigurtà tal-informazzjoni fis-sistemi tal-informazzjoni:
Realtà: Il-liġi ma teħtieġx l-użu obbligatorju ta 'tagħmir protettiv iċċertifikat.
Mit 6. Għandi bżonn protezzjoni kripto
Hemm ftit sfumaturi hawn:
- Ħafna nies jemmnu li l-kriptografija hija obbligatorja għal kwalunkwe ISPD. Fil-fatt, għandhom jintużaw biss jekk l-operatur ma jara l-ebda miżura ta 'protezzjoni oħra għalih innifsu minbarra l-użu tal-kriptografija.
- Jekk ma tistax tgħaddi mingħajr kriptografija, allura għandek bżonn tuża CIPF iċċertifikat mill-FSB.
- Pereżempju, tiddeċiedi li tospita ISPD fil-cloud ta' fornitur tas-servizz, iżda ma tafdahx. Inti tiddeskrivi t-tħassib tiegħek f'mudell ta' theddid u intruż. Għandek dejta personali, għalhekk iddeċidejt li l-kriptografija hija l-uniku mod biex tipproteġi lilek innifsek: int se tikkriptja magni virtwali, tibni kanali siguri billi tuża protezzjoni kriptografika. F'dan il-każ, ser ikollok tuża CIPF iċċertifikat mill-FSB tar-Russja.
- Ċertifikati CIPF huma magħżula skond ċertu livell ta 'sigurtà skond .
Għal ISPDn b'UZ-3, tista' tuża KS1, KS2, KS3. KS1 huwa, pereżempju, C-Terra Virtual Gateway 4.2 għall-protezzjoni tal-kanali.
KC2, KS3 huma rappreżentati biss minn sistemi ta 'softwer u ħardwer, bħal: ViPNet Coordinator, APKSH "Kontinent", S-Terra Gateway, eċċ.
Jekk għandek UZ-2 jew 1, allura jkollok bżonn mezzi ta 'protezzjoni kriptografika tal-klassi KV1, 2 u KA. Dawn huma sistemi speċifiċi ta 'softwer u ħardwer, huma diffiċli biex joperaw, u l-karatteristiċi tal-prestazzjoni tagħhom huma modesti.
Realtà: Il-liġi ma tobbligax l-użu tas-CIPF iċċertifikat mill-FSB.
Sors: www.habr.com