IaaS 152-FZ: त्यसैले, तपाईंलाई सुरक्षा चाहिन्छ

तपाईंले 152-FZ को अनुपालन वरपरका मिथकहरू र किंवदन्तीहरू जतिसुकै क्रमबद्ध गर्नुभयो, केहि कुरा सधैं पर्दा पछाडि रहन्छ। आज हामी ठूला कम्पनीहरू र धेरै साना उद्यमहरूले सामना गर्न सक्ने केही सँधै स्पष्ट न्युनन्सहरू छलफल गर्न चाहन्छौं:

• कोटिहरूमा PD वर्गीकरणको सूक्ष्मताहरू - जब एउटा सानो अनलाइन स्टोरले यसको बारेमा थाहा नपाई एक विशेष कोटीसँग सम्बन्धित डाटा सङ्कलन गर्दछ;

• जहाँ तपाइँ एकत्रित PD को ब्याकअप भण्डारण गर्न सक्नुहुन्छ र तिनीहरूमा सञ्चालन गर्न सक्नुहुन्छ;

• प्रमाणपत्र र अनुपालनको निष्कर्षमा के फरक छ, तपाईंले प्रदायकबाट कुन कागजातहरू अनुरोध गर्नुपर्छ, र त्यस्ता सामग्रीहरू।

अन्तमा, हामी प्रमाणीकरण पास गर्ने हाम्रो आफ्नै अनुभव तपाईसँग साझा गर्नेछौं। जाउ!

आजको लेखमा विशेषज्ञ हुनेछ एलेक्सी Afanasyev, IS क्लाउड प्रदायकहरू IT-GRAD र #CloudMTS (MTS समूहको भाग) को लागि विशेषज्ञ।

वर्गीकरण को सूक्ष्मता

हामीले प्रायः ग्राहकको चाँडो, IS अडिट बिना, ISPD को सुरक्षाको आवश्यक स्तर निर्धारण गर्ने इच्छा सामना गर्छौं। यस विषयमा इन्टरनेटमा केही सामाग्री यो एक साधारण कार्य हो र यो गल्ती गर्न धेरै गाह्रो छ भनेर गलत छाप दिन्छ।

KM निर्धारण गर्न, ग्राहकको IS द्वारा कुन डाटा सङ्कलन र प्रशोधन गरिनेछ भनेर बुझ्न आवश्यक छ। कहिलेकाहीँ यो अस्पष्ट रूपमा सुरक्षा आवश्यकताहरू र व्यवसाय सञ्चालन गर्ने व्यक्तिगत डेटाको वर्ग निर्धारण गर्न गाह्रो हुन सक्छ। एउटै प्रकारको व्यक्तिगत डेटाको मूल्याङ्कन गर्न सकिन्छ र पूर्ण रूपमा फरक तरिकामा वर्गीकृत गर्न सकिन्छ। तसर्थ, केहि अवस्थामा, व्यवसायको राय लेखा परीक्षक वा निरीक्षकको राय भन्दा फरक हुन सक्छ। केही उदाहरणहरू हेरौं।

गाडी बिसाउने। यो एकदम परम्परागत प्रकारको व्यवसाय जस्तो देखिन्छ। धेरै सवारी साधनहरू दशकौंदेखि सञ्चालन गर्दै आएका छन्, र तिनीहरूका मालिकहरूले व्यक्तिगत उद्यमी र व्यक्तिहरूलाई भाडामा लिएका छन्। नियमको रूपमा, कर्मचारी डेटा UZ-4 को आवश्यकताहरू अन्तर्गत पर्दछ। यद्यपि, ड्राइभरहरूसँग काम गर्न, यो व्यक्तिगत डेटा सङ्कलन गर्न मात्र होइन, तर शिफ्टमा जानु अघि सवारी साधनको फ्लीटको क्षेत्रमा मेडिकल नियन्त्रण गर्न पनि आवश्यक छ, र प्रक्रियामा सङ्कलन गरिएको जानकारी तुरुन्तै कोटिमा आउँछ। चिकित्सा डाटा - र यो एक विशेष श्रेणी को व्यक्तिगत डाटा हो। थप रूपमा, फ्लीटले प्रमाणपत्रहरू अनुरोध गर्न सक्छ, जुन त्यसपछि ड्राइभरको फाइलमा राखिनेछ। इलेक्ट्रोनिक फारममा यस्तो प्रमाणपत्रको स्क्यान - स्वास्थ्य डेटा, एक विशेष श्रेणी को व्यक्तिगत डेटा। यसको मतलब UZ-4 अब पर्याप्त छैन; कम्तिमा UZ-3 आवश्यक छ।

अनलाइन स्टोर। सङ्कलन गरिएका नाम, इमेल र टेलिफोन नम्बरहरू सार्वजनिक कोटीमा फिट हुने देखिन्छ। यद्यपि, यदि तपाईंका ग्राहकहरूले हलाल वा कोशेर जस्ता आहार प्राथमिकताहरू संकेत गर्छन् भने, त्यस्ता जानकारीलाई धार्मिक सम्बद्धता वा विश्वास डेटा मान्न सकिन्छ। त्यसकारण, अन्य नियन्त्रण गतिविधिहरू जाँच गर्दा वा सञ्चालन गर्दा, निरीक्षकले तपाईंले सङ्कलन गरेको डाटालाई व्यक्तिगत डाटाको विशेष श्रेणीको रूपमा वर्गीकृत गर्न सक्नुहुन्छ। अब, यदि कुनै अनलाइन स्टोरले यसको खरिदकर्ताले मासु वा माछा मनपर्छ कि भनेर जानकारी सङ्कलन गरेको छ भने, डाटालाई अन्य व्यक्तिगत डेटाको रूपमा वर्गीकृत गर्न सकिन्छ। वैसे, शाकाहारीहरूको बारेमा के हो? आखिर, यो पनि दार्शनिक विश्वास, जो पनि एक विशेष कोटि को लागी जिम्मेवार हुन सक्छ। तर अर्कोतर्फ, यो केवल एक व्यक्तिको मनोवृत्ति हुन सक्छ जसले आफ्नो आहारबाट मासु हटाएको छ। काश, यस्तो "सूक्ष्म" अवस्थाहरूमा PD को वर्गलाई स्पष्ट रूपमा परिभाषित गर्ने कुनै संकेत छैन।

विज्ञापन एजेन्सी केही पश्चिमी क्लाउड सेवा प्रयोग गरेर, यसले आफ्ना ग्राहकहरूको सार्वजनिक रूपमा उपलब्ध डाटा - पूरा नाम, इमेल ठेगाना र टेलिफोन नम्बरहरू प्रशोधन गर्दछ। यी व्यक्तिगत डाटा, निस्सन्देह, व्यक्तिगत डाटा सम्बन्धित। प्रश्न उठ्छ: के यस्तो प्रशोधन गर्न कानूनी छ? के रूसी संघ बाहिर depersonalization बिना यस्तो डाटा सार्न सम्भव छ, उदाहरणका लागि, केही विदेशी क्लाउडहरूमा ब्याकअप भण्डारण गर्न? अवश्य पनि तपाईं सक्नुहुन्छ। एजेन्सीसँग यो डेटा रूस बाहिर भण्डारण गर्ने अधिकार छ, तथापि, प्रारम्भिक सङ्कलन, हाम्रो कानून अनुसार, रूसी संघको क्षेत्रमा हुनुपर्छ। यदि तपाइँ यस्तो जानकारी जगेडा गर्नुहुन्छ भने, त्यसको आधारमा केही तथ्याङ्कहरू गणना गर्नुहोस्, अनुसन्धान गर्नुहोस् वा यससँग केही अन्य कार्यहरू गर्नुहोस् - यो सबै पश्चिमी स्रोतहरूमा गर्न सकिन्छ। कानुनी दृष्टिकोणबाट मुख्य बिन्दु भनेको व्यक्तिगत डाटा कहाँ संकलन गरिन्छ। त्यसैले प्रारम्भिक सङ्कलन र प्रशोधनलाई भ्रमित नगर्नु महत्त्वपूर्ण छ।

यी छोटो उदाहरणहरू बाट निम्नानुसार, व्यक्तिगत डेटा संग काम सधैं सीधा र सरल छैन। तपाईंले तिनीहरूसँग काम गरिरहनु भएको मात्र होइन, तर तिनीहरूलाई सही रूपमा वर्गीकरण गर्न पनि सक्षम हुनु आवश्यक छ, सुरक्षाको आवश्यक स्तर सही रूपमा निर्धारण गर्न IP ले कसरी काम गर्छ भनेर बुझ्नुहोस्। केहि अवस्थामा, प्रश्न उठ्न सक्छ कि संगठनले वास्तवमा कति व्यक्तिगत डेटा सञ्चालन गर्न आवश्यक छ। के यो सबैभन्दा "गम्भीर" वा केवल अनावश्यक डाटा अस्वीकार गर्न सम्भव छ? थप रूपमा, नियामकले सम्भव भएसम्म व्यक्तिगत डेटालाई डिपर्सनलाइज गर्न सिफारिस गर्दछ। 

माथिका उदाहरणहरूमा जस्तै, कहिलेकाहीं तपाईंले तथ्याङ्कको सामना गर्न सक्नुहुन्छ कि निरीक्षण अधिकारीहरूले सङ्कलन गरिएको व्यक्तिगत डेटालाई तपाईंले आफैले मूल्याङ्कन गर्नुभएका भन्दा अलि फरक रूपमा व्याख्या गर्छन्।

निस्सन्देह, तपाइँ सहायकको रूपमा एक लेखा परीक्षक वा प्रणाली एकीकरणकर्तालाई भाडामा लिन सक्नुहुन्छ, तर के "सहायक" लेखापरीक्षणको घटनामा छनौट गरिएका निर्णयहरूको लागि जिम्मेवार हुनेछ? यो ध्यान दिन लायक छ कि जिम्मेवारी सधैं ISPD को मालिक संग निहित छ - व्यक्तिगत डाटा को अपरेटर। त्यसकारण, जब कम्पनीले यस्तो काम गर्दछ, त्यस्ता सेवाहरूको लागि बजारमा गम्भीर खेलाडीहरू फर्कनु महत्त्वपूर्ण छ, उदाहरणका लागि, प्रमाणीकरण कार्य सञ्चालन गर्ने कम्पनीहरू। प्रमाणीकरण गर्ने कम्पनीहरूसँग त्यस्ता कामहरू गर्नको लागि व्यापक अनुभव छ।

ISPD निर्माणका लागि विकल्पहरू

ISPD को निर्माण प्राविधिक मात्र होइन, ठूलो मात्रामा कानुनी मुद्दा पनि हो। CIO वा सुरक्षा निर्देशकले सधैं कानुनी सल्लाहकारसँग परामर्श गर्नुपर्छ। कम्पनीसँग सधैं तपाईलाई चाहिने प्रोफाइलको साथ विशेषज्ञ हुँदैन, यो लेखा परीक्षक-सल्लाहकारहरू तिर हेर्न लायक छ। धेरै चिप्लो बिन्दुहरू स्पष्ट नहुन सक्छ।

परामर्शले तपाईलाई कुन व्यक्तिगत डेटासँग व्यवहार गरिरहनु भएको छ र कुन स्तरको सुरक्षा चाहिन्छ भनेर निर्धारण गर्न अनुमति दिनेछ। तदनुसार, तपाईंले IP को एक विचार प्राप्त गर्नुहुनेछ जुन सिर्जना गर्न वा सुरक्षा र परिचालन सुरक्षा उपायहरूसँग पूरक हुन आवश्यक छ।

प्राय: कम्पनीको लागि छनौट दुई विकल्पहरू बीचको हुन्छ:

1. सम्भावित तपाइँको आफ्नै सर्भर कोठामा तपाइँको आफ्नै हार्डवेयर र सफ्टवेयर समाधानहरूमा सम्बन्धित IS बनाउनुहोस्।

2. क्लाउड प्रदायकलाई सम्पर्क गर्नुहोस् र एक लोचदार समाधान छनौट गर्नुहोस्, पहिले नै प्रमाणित "भर्चुअल सर्भर कोठा"।

व्यक्तिगत डेटा प्रशोधन गर्ने अधिकांश सूचना प्रणालीहरूले परम्परागत दृष्टिकोण प्रयोग गर्छन्, जसलाई व्यापारिक दृष्टिकोणबाट, सजिलो र सफल भन्न सकिँदैन। यो विकल्प छनौट गर्दा, यो बुझ्न आवश्यक छ कि प्राविधिक डिजाइनले सफ्टवेयर र हार्डवेयर समाधान र प्लेटफर्महरू सहित उपकरणहरूको विवरण समावेश गर्दछ। यसको मतलब तपाईंले निम्न कठिनाइहरू र सीमितताहरूको सामना गर्नुपर्नेछ:

• स्केलिंग को कठिनाई;

• लामो परियोजना कार्यान्वयन अवधि: यो प्रणाली चयन, खरिद, स्थापना, कन्फिगर र वर्णन गर्न आवश्यक छ;

• धेरै "कागज" काम, उदाहरणको रूपमा - सम्पूर्ण ISPD को लागि कागजातको पूर्ण प्याकेजको विकास।

थप रूपमा, एक व्यवसाय, एक नियमको रूपमा, यसको IP को "शीर्ष" स्तर मात्र बुझ्दछ - यसले प्रयोग गर्ने व्यावसायिक अनुप्रयोगहरू। अर्को शब्दमा, IT कर्मचारीहरू तिनीहरूको विशिष्ट क्षेत्रमा दक्ष छन्। सबै "तल्लो तहहरू" ले कसरी काम गर्छ भन्ने बारे कुनै बुझाइ छैन: सफ्टवेयर र हार्डवेयर सुरक्षा, भण्डारण प्रणाली, ब्याकअप र अवश्य पनि, सबै आवश्यकताहरूको अनुपालनमा सुरक्षा उपकरणहरू कसरी कन्फिगर गर्ने, कन्फिगरेसनको "हार्डवेयर" भाग निर्माण गर्नुहोस्। यो बुझ्न महत्त्वपूर्ण छ: यो ज्ञानको एक ठूलो तह हो जुन ग्राहकको व्यवसाय बाहिर छ। यो जहाँ क्लाउड प्रदायकको प्रमाणित "भर्चुअल सर्भर कोठा" प्रदान गर्ने अनुभव काममा आउन सक्छ।

बदलामा, क्लाउड प्रदायकहरूसँग धेरै फाइदाहरू छन् जुन, बिना कुनै अतिरञ्जन, व्यक्तिगत डेटा सुरक्षाको क्षेत्रमा 99% व्यापार आवश्यकताहरू पूरा गर्न सक्छ:

• पुँजीगत लागत परिचालन लागतमा परिणत हुन्छ;

• प्रदायक, यसको भाग को लागी, एक प्रमाणित मानक समाधान मा आधारित सुरक्षा र उपलब्धता को आवश्यक स्तर को प्रावधान को ग्यारेन्टी गर्दछ;

• हार्डवेयर स्तरमा ISPD को सञ्चालन सुनिश्चित गर्ने विशेषज्ञहरूको कर्मचारीलाई कायम राख्न आवश्यक छैन;

• प्रदायकहरूले धेरै लचिलो र लोचदार समाधानहरू प्रस्ताव गर्छन्;

• प्रदायकका विशेषज्ञहरूसँग सबै आवश्यक प्रमाणपत्रहरू छन्;

• नियामकहरूको आवश्यकता र सिफारिसहरूलाई ध्यानमा राख्दै, तपाईंको आफ्नै वास्तुकला निर्माण गर्दा अनुपालन कम हुँदैन।

क्लाउडमा व्यक्तिगत डाटा भण्डारण गर्न सकिँदैन भन्ने पुरानो मिथक अझै पनि धेरै लोकप्रिय छ। यो केवल आंशिक सत्य हो: PD वास्तवमा पोस्ट गर्न सकिँदैन पहिलो उपलब्ध मा बादल। निश्चित प्राविधिक उपायहरूको अनुपालन र निश्चित प्रमाणित समाधानहरूको प्रयोग आवश्यक छ। यदि प्रदायकले सबै कानुनी आवश्यकताहरूको पालना गर्छ भने, व्यक्तिगत डेटा चुहावटसँग सम्बन्धित जोखिमहरू कम हुन्छन्। धेरै प्रदायकहरूसँग 152-FZ अनुसार व्यक्तिगत डेटा प्रशोधन गर्नको लागि छुट्टै पूर्वाधार छ। यद्यपि, आपूर्तिकर्ताको छनोट पनि निश्चित मापदण्डको ज्ञानको साथ सम्पर्क गरिनु पर्छ; हामी निश्चित रूपमा तल तिनीहरूलाई छुनेछौं। 

ग्राहकहरू प्राय: प्रदायकको क्लाउडमा व्यक्तिगत डेटाको स्थानको बारेमा केही चिन्ता लिएर हामीकहाँ आउँछन्। खैर, तुरुन्तै तिनीहरूलाई छलफल गरौं।

• ट्रान्समिसन वा माइग्रेसनको समयमा डाटा चोरी हुन सक्छ

यसबाट डराउनु पर्दैन - प्रदायकले ग्राहकलाई प्रमाणित समाधानहरूमा निर्मित सुरक्षित डाटा ट्रान्समिशन च्यानलको निर्माण, ठेकेदार र कर्मचारीहरूको लागि परिष्कृत प्रमाणीकरण उपायहरू प्रदान गर्दछ। सबै बाँकी छ उपयुक्त सुरक्षा विधिहरू छनोट गर्न र ग्राहकसँग तपाईंको कामको भागको रूपमा तिनीहरूलाई लागू गर्न।

• मास्कहरू देखाउनुहोस् र सर्भरमा पावर काट्ने/सील/कटाउनेछ

पूर्वाधारमा अपर्याप्त नियन्त्रणका कारण आफ्नो व्यवसाय प्रक्रिया अवरुद्ध हुने डर हुने ग्राहकहरूका लागि यो एकदमै बुझ्ने कुरा हो। नियमको रूपमा, ती क्लाइन्टहरू जसको हार्डवेयर पहिले साना सर्भर कोठाहरूमा अवस्थित थियो विशेष डाटा केन्द्रहरूको सट्टा यस बारे सोच्नुहोस्। वास्तविकतामा, डेटा केन्द्रहरू भौतिक र सूचना सुरक्षा दुवैको आधुनिक माध्यमहरूले सुसज्जित छन्। पर्याप्त आधार र कागजातहरू बिना यस्तो डाटा सेन्टरमा कुनै पनि अपरेशनहरू गर्न लगभग असम्भव छ, र त्यस्ता गतिविधिहरूको लागि धेरै प्रक्रियाहरूको पालना आवश्यक पर्दछ। थप रूपमा, डाटा सेन्टरबाट तपाइँको सर्भर "तान्नु" ले प्रदायकका अन्य ग्राहकहरूलाई असर गर्न सक्छ, र यो निश्चित रूपमा कसैको लागि आवश्यक छैन। थप रूपमा, कसैले पनि विशेष रूपमा "तपाईंको" भर्चुअल सर्भरमा औंला औंल्याउन सक्षम हुनेछैन, त्यसैले यदि कसैले यसलाई चोर्न वा मास्क शो स्टेज गर्न चाहन्छ भने, उनीहरूले पहिले धेरै नोकरशाही ढिलाइको सामना गर्नुपर्नेछ। यस समयमा, तपाईंसँग धेरै पटक अर्को साइटमा माइग्रेट गर्ने समय हुनेछ।

• ह्याकरहरूले क्लाउड ह्याक गर्नेछन् र डाटा चोरी गर्नेछन्

इन्टरनेट र प्रिन्ट प्रेस कसरी अर्को क्लाउड साइबर अपराधीहरूको शिकार भएको छ, र लाखौं व्यक्तिगत डाटा रेकर्डहरू अनलाइन लीक भएको छ भनेर हेडलाइनहरूले भरिएको छ। धेरै जसो केसहरूमा, कमजोरीहरू प्रदायकको पक्षमा होइन, तर पीडितहरूको सूचना प्रणालीमा फेला परेको थियो: कमजोर वा पूर्वनिर्धारित पासवर्डहरू, वेबसाइट इन्जिनहरू र डाटाबेसहरूमा "प्वालहरू", र सुरक्षा उपायहरू छनौट गर्दा सामान्य व्यापार लापरवाही र डेटा पहुँच प्रक्रियाहरू व्यवस्थित गर्दै। सबै प्रमाणित समाधानहरू कमजोरीहरूको लागि जाँच गरिन्छ। हामी नियमित रूपमा स्वतन्त्र रूपमा र बाह्य संस्थाहरू मार्फत "नियन्त्रण" पेन्टेस्ट र सुरक्षा लेखा परीक्षणहरू पनि सञ्चालन गर्छौं। प्रदायकको लागि, यो सामान्य रूपमा प्रतिष्ठा र व्यवसायको कुरा हो।

• प्रदायकका प्रदायक/कर्मचारीहरूले व्यक्तिगत लाभको लागि व्यक्तिगत डेटा चोरी गर्नेछन्

यो बरु संवेदनशील क्षण हो। सूचना सुरक्षा संसारका धेरै कम्पनीहरूले आफ्ना ग्राहकहरूलाई "डराउँछन्" र जोड दिन्छन् कि "आन्तरिक कर्मचारीहरू बाहिरका ह्याकरहरू भन्दा खतरनाक छन्।" यो केहि अवस्थामा सत्य हुन सक्छ, तर विश्वास बिना व्यापार निर्माण गर्न सकिदैन। समय-समयमा, समाचार आउँदछ कि संगठनका आफ्नै कर्मचारीहरूले ग्राहक डेटा आक्रमणकारीहरूलाई चुहावट गर्छन्, र आन्तरिक सुरक्षा कहिलेकाहीँ बाह्य सुरक्षा भन्दा धेरै खराब संगठित हुन्छ। यहाँ यो बुझ्न महत्त्वपूर्ण छ कि कुनै पनि ठूला प्रदायक नकारात्मक मामिलाहरूमा अत्यन्तै चासो राख्दैन। प्रदायकका कर्मचारीहरूको कार्यहरू राम्ररी विनियमित छन्, भूमिका र जिम्मेवारीका क्षेत्रहरू विभाजित छन्। सबै व्यापार प्रक्रियाहरू यसरी संरचित छन् कि डाटा चुहावटका घटनाहरू अत्यन्तै असम्भव छन् र सधैं आन्तरिक सेवाहरूमा ध्यान दिन योग्य छन्, त्यसैले ग्राहकहरू यस पक्षबाट समस्याहरूबाट डराउनु हुँदैन।

• तपाईंले थोरै तिर्नु हुन्छ किनभने तपाईंले आफ्नो व्यापार डेटाको साथ सेवाहरूको लागि भुक्तानी गर्नुहुन्छ।

अर्को मिथक: एक ग्राहक जसले सहज मूल्यमा सुरक्षित पूर्वाधार भाडामा लिन्छ वास्तवमा आफ्नो डेटाको साथ यसको लागि भुक्तान गर्दछ - यो प्रायः विज्ञहरूले सोचेका छन् जसले सुत्नु अघि केही षड्यन्त्र सिद्धान्तहरू पढ्न मन पराउँदैनन्। पहिलो, क्रम मा निर्दिष्ट ती बाहेक आफ्नो डेटा संग कुनै पनि अपरेसनहरू सञ्चालन गर्ने सम्भावना अनिवार्य रूपमा शून्य छ। दोस्रो, एक पर्याप्त प्रदायकले तपाईसँगको सम्बन्ध र उसको प्रतिष्ठालाई मान्दछ - तपाई बाहेक, उहाँसँग धेरै ग्राहकहरू छन्। विपरित परिदृश्य अधिक सम्भावना छ, जसमा प्रदायकले जोसका साथ आफ्ना ग्राहकहरूको डाटा सुरक्षित गर्नेछ, जसमा यसको व्यवसाय टिक्छ।

ISPD को लागि क्लाउड प्रदायक छनोट गर्दै

आज, बजारले कम्पनीहरूको लागि धेरै समाधानहरू प्रदान गर्दछ जुन PD अपरेटरहरू हुन्। तल सही छनौट गर्न सिफारिसहरूको सामान्य सूची छ।

• प्रदायक पक्षहरू, SLA र व्यक्तिगत डेटा प्रशोधन गर्ने कुञ्जीमा जिम्मेवारीका क्षेत्रहरूका जिम्मेवारीहरू वर्णन गर्ने औपचारिक सम्झौतामा प्रवेश गर्न तयार हुनुपर्छ। वास्तवमा, तपाईं र प्रदायक बीच, सेवा सम्झौताको अतिरिक्त, PD प्रशोधनको लागि एक अर्डरमा हस्ताक्षर हुनुपर्छ। कुनै पनि अवस्थामा, यो तिनीहरूलाई ध्यानपूर्वक अध्ययन गर्न लायक छ। तपाईं र प्रदायक बीचको जिम्मेवारीहरूको विभाजन बुझ्न महत्त्वपूर्ण छ।

• कृपया ध्यान दिनुहोस् कि खण्डले आवश्यकताहरू पूरा गर्नुपर्छ, जसको मतलब योसँग तपाइँको IP द्वारा आवश्यक भन्दा कम सुरक्षाको स्तर देखाउने प्रमाणपत्र हुनुपर्छ। यस्तो हुन्छ कि प्रदायकहरूले प्रमाणपत्रको पहिलो पृष्ठ मात्र प्रकाशित गर्छन्, जसबाट थोरै स्पष्ट छ, वा प्रमाणपत्र आफै प्रकाशित नगरिकन अडिट वा अनुपालन प्रक्रियाहरू सन्दर्भ गर्नुहोस् ("के त्यहाँ केटा थियो?")। यसको लागि सोध्न लायक छ - यो एक सार्वजनिक कागजात हो जसले प्रमाणीकरण, वैधता अवधि, क्लाउड स्थान, इत्यादि कसले गर्यो भनेर संकेत गर्दछ।

• प्रदायकले यसको साइटहरू (सुरक्षित वस्तुहरू) कहाँ अवस्थित छन् भन्ने बारे जानकारी प्रदान गर्नुपर्छ ताकि तपाईंले आफ्नो डाटाको प्लेसमेन्ट नियन्त्रण गर्न सक्नुहुन्छ। हामी तपाईंलाई सम्झना गरौं कि व्यक्तिगत डेटाको प्रारम्भिक सङ्कलन रूसी संघको इलाकामा हुनुपर्छ; तदनुसार, यो सम्झौता / प्रमाणपत्रमा डाटा केन्द्रको ठेगानाहरू हेर्न सल्लाह दिइन्छ।

• प्रदायकले प्रमाणित सूचना सुरक्षा र सूचना सुरक्षा प्रणालीहरू प्रयोग गर्नुपर्छ। अवश्य पनि, धेरै प्रदायकहरूले उनीहरूले प्रयोग गर्ने प्राविधिक सुरक्षा उपायहरू र समाधान वास्तुकलाको विज्ञापन गर्दैनन्। तर तपाईं, एक ग्राहकको रूपमा, मद्दत गर्न सक्नुहुन्न तर यसको बारेमा जान्न सक्नुहुन्छ। उदाहरणका लागि, टाढाबाट व्यवस्थापन प्रणाली (व्यवस्थापन पोर्टल) मा जडान गर्न, यो सुरक्षा उपायहरू प्रयोग गर्न आवश्यक छ। प्रदायकले यो आवश्यकतालाई बाइपास गर्न सक्षम हुने छैन र तपाईंलाई प्रमाणित समाधानहरू प्रदान गर्नेछ (वा तपाईंलाई प्रयोग गर्न आवश्यक छ)। एक परीक्षणको लागि स्रोतहरू लिनुहोस् र तपाइँ कसरी र के काम गर्दछ तुरुन्तै बुझ्नुहुनेछ। 

• क्लाउड प्रदायकको लागि सूचना सुरक्षाको क्षेत्रमा थप सेवाहरू प्रदान गर्न यो अत्यधिक वांछनीय छ। यी विभिन्न सेवाहरू हुन सक्छन्: DDoS आक्रमणहरू र WAF विरुद्ध सुरक्षा, एन्टिभाइरस सेवा वा स्यान्डबक्स, आदि। यी सबैले तपाईंलाई सेवाको रूपमा सुरक्षा प्राप्त गर्न अनुमति दिनेछ, सुरक्षा प्रणालीहरू निर्माण गरेर विचलित नहुन, तर व्यापार अनुप्रयोगहरूमा काम गर्न।

• प्रदायक FSTEC र FSB को इजाजतपत्र प्राप्त हुनुपर्छ। नियमको रूपमा, यस्तो जानकारी सीधा वेबसाइटमा पोस्ट गरिएको छ। यी कागजातहरू अनुरोध गर्न र सेवाहरू प्रदान गर्ने ठेगानाहरू, प्रदायक कम्पनीको नाम, आदि सही छन् कि छैनन् भनी जाँच गर्नुहोस्। 

संक्षेप गरौं। पूर्वाधार भाडाले तपाईंलाई CAPEX छोड्न र तपाईंको जिम्मेवारीको क्षेत्रमा मात्र तपाईंको व्यवसायिक अनुप्रयोगहरू र डाटा राख्न अनुमति दिनेछ, र हार्डवेयर र सफ्टवेयर र हार्डवेयरको प्रमाणीकरणको भारी बोझ प्रदायकलाई हस्तान्तरण गर्नेछ।

हामीले प्रमाणीकरण कसरी पास गर्यौं

भर्खरै, हामीले व्यक्तिगत डेटासँग काम गर्ने आवश्यकताहरूको अनुपालनको लागि "Secure Cloud FZ-152" को पूर्वाधारको पुन: प्रमाणीकरण सफलतापूर्वक पारित गर्यौं। यो काम राष्ट्रिय प्रमाणीकरण केन्द्रले गरेको थियो।

हाल, "FZ-152 सुरक्षित क्लाउड" स्तर UZ-3 को आवश्यकताहरू अनुसार व्यक्तिगत डेटा (ISPDn) को प्रशोधन, भण्डारण वा प्रसारणमा संलग्न सूचना प्रणालीहरू होस्टिंगको लागि प्रमाणित गरिएको छ।

प्रमाणीकरण प्रक्रियामा क्लाउड प्रदायकको पूर्वाधारको सुरक्षा स्तरको अनुपालन जाँच गर्ने समावेश छ। प्रदायक आफैंले IaaS सेवा प्रदान गर्दछ र व्यक्तिगत डेटाको अपरेटर होइन। प्रक्रियामा संगठनात्मक (कागजात, आदेश, आदि) र प्राविधिक उपायहरू (सुरक्षा उपकरणहरू सेटअप गर्ने आदि) दुवैको मूल्याङ्कन समावेश छ।

यसलाई तुच्छ भन्न मिल्दैन । यस तथ्यको बावजुद GOST प्रमाणीकरण गतिविधिहरू सञ्चालन गर्नका लागि कार्यक्रमहरू र विधिहरू 2013 मा देखा पर्‍यो, क्लाउड वस्तुहरूको लागि कडा कार्यक्रमहरू अझै अवस्थित छैनन्। प्रमाणीकरण केन्द्रहरूले यी कार्यक्रमहरू आफ्नै विशेषज्ञताको आधारमा विकास गर्छन्। नयाँ प्रविधिको आगमनको साथ, कार्यक्रमहरू थप जटिल र आधुनिक हुन्छन्; तदनुसार, प्रमाणपत्रकर्तासँग क्लाउड समाधानहरूसँग काम गर्ने अनुभव हुनुपर्दछ र विशिष्टताहरू बुझ्नुपर्छ।

हाम्रो अवस्थामा, संरक्षित वस्तु दुई स्थानहरू समावेश गर्दछ।

• क्लाउड स्रोतहरू (सर्भरहरू, भण्डारण प्रणालीहरू, नेटवर्क पूर्वाधार, सुरक्षा उपकरणहरू, आदि) डाटा केन्द्रमा सीधा अवस्थित छन्। निस्सन्देह, यस्तो भर्चुअल डाटा केन्द्र सार्वजनिक नेटवर्कमा जडान गरिएको छ, र तदनुसार, निश्चित फायरवाल आवश्यकताहरू पूरा गर्नुपर्छ, उदाहरणका लागि, प्रमाणित फायरवालहरूको प्रयोग।

• वस्तुको दोस्रो भाग क्लाउड व्यवस्थापन उपकरण हो। यी कार्यस्थानहरू (प्रशासकको कार्यस्थानहरू) हुन् जसबाट सुरक्षित खण्ड व्यवस्थित हुन्छ।

स्थानहरूले CIPF मा निर्मित VPN च्यानल मार्फत सञ्चार गर्दछ।

भर्चुअलाइजेशन टेक्नोलोजीहरूले खतराहरूको उदयको लागि पूर्व शर्तहरू सिर्जना गर्ने भएकोले, हामी थप प्रमाणित सुरक्षा उपकरणहरू पनि प्रयोग गर्छौं।

ब्लक रेखाचित्र "मूल्याङ्कनकर्ताको आँखा मार्फत"

यदि ग्राहकलाई IaaS भाडामा लिएपछि आफ्नो ISPD को प्रमाणीकरण चाहिन्छ भने, उसले भर्चुअल डाटा केन्द्रको स्तर भन्दा माथिको सूचना प्रणालीको मात्र मूल्याङ्कन गर्नुपर्नेछ। यो प्रक्रियामा प्रयोग गरिएको पूर्वाधार र सफ्टवेयर जाँच गर्न समावेश छ। तपाईंले सबै पूर्वाधार समस्याहरूको लागि प्रदायकको प्रमाणपत्रलाई सन्दर्भ गर्न सक्नुहुन्छ, तपाईंले गर्नुपर्ने भनेको सफ्टवेयरसँग काम गर्नु हो।

अमूर्त स्तरमा विभाजन

निष्कर्षमा, यहाँ कम्पनीहरूको लागि एउटा सानो चेकलिस्ट छ जुन पहिले नै व्यक्तिगत डेटासँग काम गरिरहेका छन् वा योजना बनाउँदै छन्। त्यसोभए, जलेको बिना यसलाई कसरी ह्यान्डल गर्ने।

1. अडिट गर्न र खतराहरू र घुसपैठहरूको मोडेलहरू विकास गर्न, प्रमाणीकरण प्रयोगशालाहरू मध्येबाट एक अनुभवी सल्लाहकारलाई आमन्त्रित गर्नुहोस् जसले आवश्यक कागजातहरू विकास गर्न र तपाईंलाई प्राविधिक समाधानहरूको चरणमा ल्याउन मद्दत गर्नेछ।

2. क्लाउड प्रदायक छनौट गर्दा, प्रमाणपत्रको उपस्थितिमा ध्यान दिनुहोस्। कम्पनीले सार्वजनिक रूपमा सीधै वेबसाइटमा पोष्ट गरेको भए राम्रो हुनेछ। प्रदायक FSTEC र FSB को इजाजतपत्र प्राप्त हुनुपर्दछ, र उसले प्रस्ताव गरेको सेवा प्रमाणित हुनुपर्छ।

3. निश्चित गर्नुहोस् कि तपाइँसँग एक औपचारिक सम्झौता र व्यक्तिगत डेटा प्रशोधन गर्न एक हस्ताक्षर गरिएको निर्देशन छ। यसको आधारमा, तपाईंले अनुपालन जाँच र ISPD प्रमाणीकरण दुवै गर्न सक्षम हुनुहुनेछ। यदि प्राविधिक परियोजनाको चरणमा यो काम र डिजाइन र प्राविधिक कागजातहरू सिर्जना गर्न तपाईंलाई बोझिलो लाग्छ भने, तपाईंले तेस्रो-पक्ष परामर्श कम्पनीहरूसँग सम्पर्क गर्नुपर्छ। प्रमाणीकरण प्रयोगशालाहरू बीचबाट।

यदि व्यक्तिगत डेटा प्रशोधनका मुद्दाहरू तपाईंसँग सान्दर्भिक छन् भने, सेप्टेम्बर 18, यो शुक्रबार, हामी तपाईंलाई वेबिनारमा देख्न पाउँदा खुसी हुनेछौं। "प्रमाणित क्लाउडहरू निर्माण गर्ने सुविधाहरू".

स्रोत: www.habr.com