152-FZ को बारेमा मिथकहरू, जुन व्यक्तिगत डेटा अपरेटरको लागि महँगो हुन सक्छ

नमस्ते सबै! म डाटालाइन साइबर रक्षा केन्द्र चलाउँछु। ग्राहकहरू क्लाउडमा वा भौतिक पूर्वाधारमा 152-FZ को आवश्यकताहरू पूरा गर्ने कार्य लिएर हामीकहाँ आउँछन्।
लगभग हरेक परियोजनामा ​​यो कानून वरपरका मिथकहरू हटाउन शैक्षिक कार्यहरू गर्न आवश्यक छ। मैले व्यक्तिगत डेटा अपरेटरको बजेट र स्नायु प्रणालीको लागि महँगो हुन सक्ने सबैभन्दा सामान्य गलत धारणाहरू सङ्कलन गरेको छु। म तुरुन्तै रिजर्भेसन गर्छु कि राज्य गोप्य, KII, इत्यादिसँग सम्बन्धित राज्य कार्यालयहरू (GIS) का मामलाहरू यस लेखको दायरा बाहिर रहनेछन्।

मिथक 1. मैले एन्टिभाइरस, फायरवाल स्थापना गरें र र्याकहरूलाई बारले घेरेको थिएँ। के म कानूनको पालना गर्छु?

152-FZ प्रणाली र सर्भरहरूको सुरक्षाको बारेमा होइन, तर विषयहरूको व्यक्तिगत डेटाको सुरक्षाको बारेमा हो। त्यसकारण, 152-FZ को अनुपालन एन्टिभाइरसको साथ सुरु हुँदैन, तर कागजको ठूलो संख्या र संगठनात्मक मुद्दाहरूको साथ।
मुख्य निरीक्षक, Roskomnadzor, सुरक्षाको प्राविधिक माध्यमहरूको उपस्थिति र अवस्थालाई हेर्नेछैन, तर व्यक्तिगत डाटा (PD) को प्रशोधनका लागि कानूनी आधारमा:

• तपाइँ कुन उद्देश्यको लागि व्यक्तिगत डेटा सङ्कलन गर्नुहुन्छ;  
• तपाईंले आफ्नो उद्देश्यका लागि आवश्यकभन्दा बढी सङ्कलन गर्नुभयो भने;
• तपाइँ कति समय सम्म व्यक्तिगत डाटा भण्डार गर्नुहुन्छ;
• त्यहाँ व्यक्तिगत डेटा प्रशोधन को लागी एक नीति छ;
• के तपाइँ व्यक्तिगत डेटा प्रशोधन, क्रस-बोर्डर ट्रान्सफर, तेस्रो पक्षहरू द्वारा प्रशोधन, आदिको लागि सहमति सङ्कलन गर्दै हुनुहुन्छ?

यी प्रश्नहरूको जवाफ, साथै प्रक्रियाहरू आफैलाई उपयुक्त कागजातहरूमा रेकर्ड गरिनुपर्छ। यहाँ व्यक्तिगत डेटा अपरेटरले के तयार गर्न आवश्यक छ भन्ने पूर्ण सूचीबाट टाढा छ:

• व्यक्तिगत डेटाको प्रशोधनका लागि एक मानक सहमति फारम (यी पानाहरू हुन् जुन हामी अब लगभग सबै ठाउँमा हस्ताक्षर गर्छौं जहाँ हामी हाम्रो पूरा नाम र राहदानी विवरणहरू छोड्छौं)।
• व्यक्तिगत डाटाको प्रशोधन सम्बन्धमा अपरेटरको नीति (यहाँ त्यहाँ डिजाइनको लागि सिफारिसहरू छन्)।
• व्यक्तिगत डाटा को प्रशोधन संगठित गर्न को लागी जिम्मेवार व्यक्ति को नियुक्ति मा आदेश।  
• व्यक्तिगत डाटाको प्रशोधन व्यवस्थित गर्न जिम्मेवार व्यक्तिको कार्य विवरण।
• आन्तरिक नियन्त्रण र (वा) कानूनी आवश्यकताहरु संग PD प्रशोधन को अनुपालन को अडिट को लागी नियमहरु।  
• व्यक्तिगत डाटा सूचना प्रणाली (ISPD) को सूची।
• उसको व्यक्तिगत डेटामा पहुँचको साथ विषय प्रदान गर्नका लागि नियमहरू।
• घटना अनुसन्धान नियमहरू।
• व्यक्तिगत डाटा को प्रशोधन मा कर्मचारीहरु को प्रवेश मा आदेश।
• नियामकहरु संग अन्तरक्रिया को लागी नियमहरु।  
• RKN को सूचना, आदि।
• PD प्रशोधनको लागि निर्देशन फारम।
• ISPD खतरा मोडेल।

यी समस्याहरू समाधान गरेपछि, तपाईं विशिष्ट उपायहरू र प्राविधिक माध्यमहरू चयन गर्न सुरु गर्न सक्नुहुन्छ। तपाईलाई कुन चाहिन्छ प्रणालीहरू, तिनीहरूको सञ्चालन अवस्थाहरू, र वर्तमान खतराहरूमा निर्भर गर्दछ। तर त्यसमा पछि थप।

वास्तविकता: कानूनको अनुपालन भनेको निश्चित प्रक्रियाहरूको स्थापना र अनुपालन हो, सबै भन्दा पहिले, र केवल दोस्रो - विशेष प्राविधिक माध्यमहरूको प्रयोग।

मिथक 2. म क्लाउडमा व्यक्तिगत डेटा भण्डार गर्छु, एक डाटा केन्द्र जसले 152-FZ को आवश्यकताहरू पूरा गर्दछ। अब कानुन कार्यान्वयन गर्ने जिम्मेवारी उनीहरुकै हो

जब तपाइँ क्लाउड प्रदायक वा डाटा सेन्टरमा व्यक्तिगत डाटाको भण्डारण आउटसोर्स गर्नुहुन्छ, तपाइँ एक व्यक्तिगत डाटा अपरेटर हुन छोड्नु हुन्न।
हामी मद्दतको लागि कानूनबाट परिभाषामा कल गरौं:

व्यक्तिगत डेटाको प्रशोधन - कुनै पनि कार्य (सञ्चालन) वा कार्यहरूको सेट (अपरेसनहरू) स्वचालन उपकरणहरू प्रयोग गरी वा व्यक्तिगत डेटाको प्रयोग नगरी सङ्कलन, रेकर्डिङ, व्यवस्थितीकरण, सङ्कलन, भण्डारण, स्पष्टीकरण (अद्यावधिक, परिवर्तन), निकासी, प्रयोग, स्थानान्तरण (वितरण, प्रावधान, पहुँच), depersonalization, अवरुद्ध, मेटाउने, व्यक्तिगत डेटा को विनाश।
स्रोत: धारा ३, १152१-एफजेड

यी सबै कार्यहरू मध्ये, सेवा प्रदायक व्यक्तिगत डेटा भण्डारण र नष्ट गर्न जिम्मेवार छ (जब ग्राहकले उहाँसँग सम्झौता समाप्त गर्दछ)। अरू सबै व्यक्तिगत डाटा अपरेटर द्वारा प्रदान गरिएको छ। यसको मतलब अपरेटरले, र सेवा प्रदायकले होइन, व्यक्तिगत डाटा प्रशोधन गर्ने नीति निर्धारण गर्दछ, आफ्ना ग्राहकहरूबाट व्यक्तिगत डाटाको प्रशोधनका लागि हस्ताक्षरित सहमतिहरू प्राप्त गर्दछ, तेस्रो पक्षहरूलाई व्यक्तिगत डाटा चुहावटको घटनाहरूलाई रोक्न र अनुसन्धान गर्दछ, र यस्तै अन्य।

फलस्वरूप, व्यक्तिगत डेटा अपरेटरले अझै पनि माथि सूचीबद्ध गरिएका कागजातहरू सङ्कलन गर्नुपर्छ र तिनीहरूको PDIS सुरक्षित गर्न संगठनात्मक र प्राविधिक उपायहरू लागू गर्नुपर्छ।

सामान्यतया, प्रदायकले अपरेटरको ISPD स्थित हुने पूर्वाधार स्तरमा कानुनी आवश्यकताहरूको पालना सुनिश्चित गरेर अपरेटरलाई मद्दत गर्दछ: उपकरण वा क्लाउडसँग र्याकहरू। उसले कागजातहरूको प्याकेज पनि सङ्कलन गर्दछ, 152-FZ अनुसार आफ्नो पूर्वाधारको टुक्राको लागि संगठनात्मक र प्राविधिक उपायहरू लिन्छ।

केही प्रदायकहरूले कागजी कार्य र ISDN हरूका लागि प्राविधिक सुरक्षा उपायहरूको प्रावधानमा मद्दत गर्छन्, अर्थात् पूर्वाधारभन्दा माथिको स्तरमा। अपरेटरले यी कार्यहरू आउटसोर्स गर्न पनि सक्छ, तर कानून अन्तर्गतको जिम्मेवारी र दायित्वहरू हराउँदैनन्।

वास्तविकता: प्रदायक वा डाटा सेन्टरको सेवाहरू प्रयोग गरेर, तपाइँ उसलाई व्यक्तिगत डाटा अपरेटरको जिम्मेवारी हस्तान्तरण गर्न र जिम्मेवारीबाट मुक्त हुन सक्नुहुन्न। यदि प्रदायकले तपाईंलाई यो प्रतिज्ञा गर्छ भने, त्यसोभए, हल्का रूपमा भन्नुपर्दा, ऊ झूट बोलिरहेको छ।

मिथक 3. मसँग कागजात र उपायहरूको आवश्यक प्याकेज छ। म 152-FZ को अनुपालनको प्रतिज्ञा गर्ने प्रदायकसँग व्यक्तिगत डेटा भण्डारण गर्छु। के सबै कुरा व्यवस्थित छ?

हो, यदि तपाइँ अर्डरमा हस्ताक्षर गर्न सम्झनुहुन्छ भने। कानून द्वारा, अपरेटरले व्यक्तिगत डेटाको प्रशोधन अर्को व्यक्तिलाई सुम्पन सक्छ, उदाहरणका लागि, उही सेवा प्रदायक। अर्डर भनेको एक प्रकारको सम्झौता हो जसले सेवा प्रदायकले अपरेटरको व्यक्तिगत डेटासँग के गर्न सक्छ भन्ने सूची दिन्छ।

अपरेटरलाई व्यक्तिगत डेटाको विषयको सहमतिमा अर्को व्यक्तिलाई व्यक्तिगत डेटाको प्रशोधन सुम्पने अधिकार छ, अन्यथा संघीय कानूनद्वारा प्रदान गरिएको छैन, राज्य वा नगरपालिका सम्झौता सहित यस व्यक्तिसँग भएको सम्झौताको आधारमा, वा राज्य वा नगरपालिका निकाय द्वारा एक सान्दर्भिक कार्य अपनाएर (यसपछि असाइनमेन्ट अपरेटर भनिन्छ)। अपरेटरको तर्फबाट व्यक्तिगत डेटा प्रशोधन गर्ने व्यक्ति यस संघीय कानून द्वारा प्रदान गरिएको व्यक्तिगत डेटा प्रशोधनका लागि सिद्धान्त र नियमहरूको पालना गर्न बाध्य छ।
स्रोत: खण्ड 3, धारा 6, 152-FZ

व्यक्तिगत डेटाको गोपनीयता कायम राख्न र निर्दिष्ट आवश्यकताहरू अनुसार यसको सुरक्षा सुनिश्चित गर्न प्रदायकको दायित्व पनि स्थापित गरिएको छ:

अपरेटरका निर्देशनहरूले व्यक्तिगत डाटाको साथ कार्यहरू (सञ्चालनहरू) को सूची परिभाषित गर्नुपर्दछ जुन व्यक्तिगत डाटा प्रशोधन गर्ने व्यक्ति र प्रशोधनका उद्देश्यहरूद्वारा गरिन्छ, त्यस्तो व्यक्तिको दायित्व व्यक्तिगत डाटाको गोपनीयता कायम राख्न र सुनिश्चित गर्नको लागि स्थापित हुनुपर्छ। तिनीहरूको प्रशोधनको क्रममा व्यक्तिगत डेटाको सुरक्षा, साथै प्रशोधित व्यक्तिगत डेटाको सुरक्षाका लागि आवश्यकताहरू अनुसार निर्दिष्ट हुनुपर्छ। धारा १९ यस संघीय कानून को।
स्रोत: खण्ड 3, धारा 6, 152-FZ

यसका लागि, प्रदायक अपरेटरलाई जिम्मेवार छ, र व्यक्तिगत डेटाको विषयलाई होइन:

यदि अपरेटरले व्यक्तिगत डेटाको प्रशोधन अर्को व्यक्तिलाई सुम्पन्छ भने, अपरेटर निर्दिष्ट व्यक्तिको कार्यहरूको लागि व्यक्तिगत डेटाको विषयको लागि जिम्मेवार हुन्छ। अपरेटरको तर्फबाट व्यक्तिगत डेटा प्रशोधन गर्ने व्यक्ति अपरेटरलाई जिम्मेवार हुन्छ।
स्रोत: १152१-एफजेड.

व्यक्तिगत डेटाको सुरक्षा सुनिश्चित गर्ने दायित्वलाई क्रममा तोक्न पनि महत्त्वपूर्ण छ:

सूचना प्रणालीमा प्रशोधन गर्दा व्यक्तिगत डाटाको सुरक्षा यस प्रणालीको अपरेटरद्वारा सुनिश्चित गरिन्छ, जसले व्यक्तिगत डाटा (यहाँ पछि अपरेटर भनेर चिनिन्छ), वा अपरेटरको तर्फबाट व्यक्तिगत डाटा प्रशोधन गर्ने व्यक्तिद्वारा यस व्यक्तिसँग भएको सम्झौता (यसपछि अधिकृत व्यक्ति भनिन्छ)। अपरेटर र अधिकृत व्यक्ति बीचको सम्झौताले सूचना प्रणालीमा प्रशोधन गर्दा व्यक्तिगत डेटाको सुरक्षा सुनिश्चित गर्न अधिकृत व्यक्तिको दायित्वको लागि प्रदान गर्नुपर्छ।
स्रोत: नोभेम्बर 1, 2012 नम्बर 1119 को रूसी संघ को सरकार को आदेश

वास्तविकता: यदि तपाइँ प्रदायकलाई व्यक्तिगत डेटा दिनुहुन्छ भने, त्यसपछि अर्डरमा हस्ताक्षर गर्नुहोस्। अर्डरमा, विषयहरूको व्यक्तिगत डेटाको सुरक्षा सुनिश्चित गर्न आवश्यकता संकेत गर्नुहोस्। अन्यथा, तपाइँ तेस्रो पक्षमा व्यक्तिगत डेटा प्रशोधन कार्यको स्थानान्तरणको सम्बन्धमा कानूनको पालना गर्नुहुन्न, र प्रदायकले तपाइँलाई 152-FZ को अनुपालनको सम्बन्धमा कुनै पनि ऋण दिदैन।

मिथक ४. मोसादले मेरो जासुसी गरिरहेको छ, वा मसँग पक्कै पनि UZ-4 छ

केही ग्राहकहरूले निरन्तर रूपमा प्रमाणित गर्छन् कि तिनीहरूसँग सुरक्षा स्तर 1 वा 2 को ISPD छ। प्रायः यो मामला होइन। यो किन हुन्छ भनेर पत्ता लगाउन हार्डवेयर सम्झौं।
LO, वा सुरक्षा स्तरले निर्धारण गर्दछ कि तपाइँ तपाइँको व्यक्तिगत डेटा को सुरक्षा गर्नुहुनेछ।
सुरक्षा स्तर निम्न बिन्दुहरु द्वारा प्रभावित छ:

• व्यक्तिगत डेटा को प्रकार (विशेष, बायोमेट्रिक, सार्वजनिक रूपमा उपलब्ध र अन्य);
• व्यक्तिगत डाटाको स्वामित्व कसको छ - व्यक्तिगत डाटा अपरेटरका कर्मचारी वा गैर-कर्मचारीहरू;
• व्यक्तिगत डेटा विषयहरूको संख्या - बढी वा कम 100 हजार।
• वर्तमान खतराहरूको प्रकार।

हामीलाई धम्कीका प्रकारहरू बारे बताउँछ नोभेम्बर 1, 2012 नम्बर 1119 को रूसी संघ को सरकार को आदेश। यहाँ मानव भाषामा मेरो निःशुल्क अनुवादको साथ प्रत्येकको विवरण छ।

टाइप १ धम्कीहरू सूचना प्रणालीमा सान्दर्भिक छन् यदि सूचना प्रणालीमा प्रयोग हुने प्रणाली सफ्टवेयरमा अप्रमाणित (अघोषित) क्षमताहरूको उपस्थितिसँग सम्बन्धित धम्कीहरू पनि यससँग सम्बन्धित छन्।

यदि तपाइँ यस प्रकारको खतरालाई सान्दर्भिक रूपमा चिन्नुहुन्छ भने, तपाइँ दृढ रूपमा विश्वास गर्नुहुन्छ कि CIA, MI6 वा MOSSAD का एजेन्टहरूले तपाइँको ISPD बाट विशिष्ट विषयहरूको व्यक्तिगत डेटा चोरी गर्न अपरेटिङ सिस्टममा बुकमार्क राखेका छन्।

दोस्रो प्रकारको धम्कीहरू सूचना प्रणालीको लागि सान्दर्भिक छन् यदि सूचना प्रणालीमा प्रयोग हुने अनुप्रयोग सफ्टवेयरमा अप्रमाणित (अघोषित) क्षमताहरूको उपस्थितिसँग सम्बन्धित खतराहरू पनि यसको लागि सान्दर्भिक छन्।

यदि तपाइँ सोच्नुहुन्छ कि दोस्रो प्रकारको धम्की तपाइँको मामला हो, तब तपाइँ सुत्नु हुन्छ र हेर्नुहोस् कि कसरी CIA, MI6, MOSSAD, एक दुष्ट एक्लो ह्याकर वा समूहका एजेन्टहरूले ठ्याक्कै खोज्नको लागि केहि अफिस सफ्टवेयर प्याकेजमा बुकमार्कहरू राखेका छन्। आफ्नो व्यक्तिगत डाटा। हो, त्यहाँ μTorrent जस्तै संदिग्ध एप्लिकेसन सफ्टवेयर छ, तर तपाइँ स्थापनाको लागि अनुमति दिइएको सफ्टवेयरको सूची बनाउन सक्नुहुन्छ र प्रयोगकर्ताहरूसँग सम्झौतामा हस्ताक्षर गर्न सक्नुहुन्छ, प्रयोगकर्ताहरूलाई स्थानीय प्रशासक अधिकारहरू नदिनुहोस्, आदि।

टाइप 3 धम्कीहरू सूचना प्रणालीमा सान्दर्भिक हुन्छन् यदि प्रणालीमा कागजात नभएका (अघोषित) क्षमताहरू र सूचना प्रणालीमा प्रयोग हुने अनुप्रयोग सफ्टवेयरको उपस्थितिसँग सम्बन्धित नभएका धम्कीहरू यससँग सान्दर्भिक छन्।

प्रकार १ र २ को धम्कीहरू तपाईंको लागि उपयुक्त छैनन्, त्यसैले यो तपाईंको लागि ठाउँ हो।

हामीले धम्कीका प्रकारहरू क्रमबद्ध गरेका छौं, अब हाम्रो ISPD को सुरक्षाको स्तर हेरौं।

मा निर्दिष्ट पत्राचार मा आधारित तालिका नोभेम्बर 1, 2012 नम्बर 1119 को रूसी संघ को सरकार को आदेश.

यदि हामीले तेस्रो प्रकारको वास्तविक खतराहरू रोज्यौं भने, धेरै जसो अवस्थामा हामीसँग UZ-3 हुनेछ। एकमात्र अपवाद, जब प्रकार 1 र 2 को खतराहरू सान्दर्भिक छैनन्, तर सुरक्षाको स्तर अझै उच्च हुनेछ (UZ-2), कम्पनीहरू जसले गैर-कर्मचारीहरूको विशेष व्यक्तिगत डेटा 100 भन्दा बढी रकममा प्रशोधन गर्दछ। उदाहरण, चिकित्सा निदान र चिकित्सा सेवा को प्रावधान मा संलग्न कम्पनीहरु।

त्यहाँ UZ-4 पनि छ, र यो मुख्यतया कम्पनीहरूमा पाइन्छ जसको व्यवसाय गैर-कर्मचारीहरूको व्यक्तिगत डाटाको प्रशोधनसँग सम्बन्धित छैन, जस्तै ग्राहक वा ठेकेदारहरू, वा व्यक्तिगत डाटा बेसहरू सानो छन्।

सुरक्षाको स्तरको साथ यो अति नबनाउनु किन महत्त्वपूर्ण छ? यो सरल छ: सुरक्षाको यो स्तर सुनिश्चित गर्न उपायहरू र सुरक्षाका साधनहरूको सेट यसमा निर्भर हुनेछ। ज्ञानको स्तर जति उच्च हुन्छ, संगठनात्मक र प्राविधिक सर्तहरूमा धेरै गर्न आवश्यक हुन्छ (पढ्नुहोस्: अधिक पैसा र तंत्रिका खर्च गर्न आवश्यक हुनेछ)।

यहाँ, उदाहरणका लागि, समान PP-1119 अनुसार सुरक्षा उपायहरूको सेट कसरी परिवर्तन हुन्छ।

अब हेरौं, सुरक्षाको चयन गरिएको स्तरको आधारमा, आवश्यक उपायहरूको सूची अनुसार कसरी परिवर्तन हुन्छ। रूस नम्बर २१ को FSTEC को आदेश मिति फेब्रुअरी 21, 18.02.2013 द्वारा।  यस कागजातमा लामो परिशिष्ट छ, जसले आवश्यक उपायहरू परिभाषित गर्दछ। त्यहाँ जम्मा 109 वटा छन्, प्रत्येक KM अनिवार्य उपायहरू परिभाषित र "+" चिन्हको साथ चिन्ह लगाइएको छ - तिनीहरू तलको तालिकामा ठीकसँग गणना गरिएका छन्। यदि तपाईंले UZ-3 को लागि आवश्यक मात्र छोड्नुभयो भने, तपाईंले 4 पाउनुहुनेछ।

वास्तविकता: यदि तपाइँ क्लाइन्टहरूबाट परीक्षण वा बायोमेट्रिकहरू सङ्कलन गर्नुहुन्न भने, तपाइँ प्रणाली र अनुप्रयोग सफ्टवेयरमा बुकमार्कहरूको बारेमा पागल हुनुहुन्न, तब सम्भवतः तपाइँसँग UZ-3 छ। योसँग संगठनात्मक र प्राविधिक उपायहरूको उचित सूची छ जुन वास्तवमा कार्यान्वयन गर्न सकिन्छ।

मिथक 5. व्यक्तिगत डेटा सुरक्षित गर्ने सबै माध्यमहरू रूसको FSTEC द्वारा प्रमाणित हुनुपर्छ

यदि तपाइँ प्रमाणीकरण सञ्चालन गर्न चाहानुहुन्छ वा आवश्यक छ भने, सम्भवतः तपाइँले प्रमाणित सुरक्षा उपकरणहरू प्रयोग गर्नुपर्नेछ। प्रमाणीकरण रूस को FSTEC को एक इजाजत पत्र द्वारा गरिन्छ, जसले:

• थप प्रमाणित जानकारी सुरक्षा उपकरणहरू बेच्न रुचि;
• यदि केहि गलत भयो भने नियामकले लाइसेन्स खारेज गर्ने डर हुनेछ।

यदि तपाईंलाई प्रमाणीकरण आवश्यक छैन र तपाईं अर्को तरिकामा आवश्यकताहरूको अनुपालन पुष्टि गर्न तयार हुनुहुन्छ, नाममा रूस नम्बर 21 को FSTEC को आदेश  "व्यक्तिगत डेटाको सुरक्षा सुनिश्चित गर्न व्यक्तिगत डेटा सुरक्षा प्रणाली भित्र लागू गरिएका उपायहरूको प्रभावकारिताको मूल्याङ्कन गर्दै," त्यसपछि प्रमाणित सूचना सुरक्षा प्रणालीहरू तपाईंलाई आवश्यक पर्दैन। म संक्षेपमा तर्क व्याख्या गर्ने प्रयास गर्नेछु।

В लेख 2 19-FZ को अनुच्छेद 152 बताउँछ कि स्थापित प्रक्रिया अनुसार अनुरूप मूल्याङ्कन प्रक्रिया पार गरेको सुरक्षात्मक उपकरणहरू प्रयोग गर्न आवश्यक छ।:

व्यक्तिगत डेटाको सुरक्षा सुनिश्चित गर्दै हासिल गरिएको छ, विशेष गरी:
[...] 3) सूचना सुरक्षाको प्रयोग भनेको स्थापित प्रक्रिया अनुसार अनुपालन मूल्याङ्कन प्रक्रिया पारित गरेको हो।

В अनुच्छेद १३ PP-13 त्यहाँ सूचना सुरक्षा उपकरणहरू प्रयोग गर्न आवश्यक छ जसले कानुनी आवश्यकताहरूको अनुपालनको मूल्याङ्कन गर्न प्रक्रिया पारित गरेको छ:

[...] सूचना सुरक्षा उपकरणहरूको प्रयोग जसले सूचना सुरक्षाको क्षेत्रमा रूसी संघको कानूनको आवश्यकताहरूको अनुपालनको मूल्याङ्कन गर्न प्रक्रिया पारित गरेको छ, त्यस्ता साधनहरूको प्रयोग वर्तमान खतराहरूलाई बेवास्ता गर्न आवश्यक छ।

FSTEC आदेश नम्बर 4 को क्लज 21 व्यावहारिक रूपमा अनुच्छेद PP-1119 डुप्लिकेट:

व्यक्तिगत डेटाको सुरक्षा सुनिश्चित गर्ने उपायहरू, अन्य कुराहरूका साथसाथै, सूचना प्रणालीमा सूचना सुरक्षा उपकरणहरू प्रयोग गरेर, जसले स्थापित प्रक्रिया अनुसार अनुरूप मूल्याङ्कन प्रक्रिया पारित गरेको छ, त्यस्ता उपकरणहरूको प्रयोग आवश्यक भएको अवस्थामा। व्यक्तिगत डाटाको सुरक्षामा हालको खतराहरूलाई बेअसर गर्नुहोस्।

यी सूत्रहरूमा के समान छ? त्यो सही छ - तिनीहरूलाई प्रमाणित सुरक्षा उपकरणको प्रयोगको आवश्यकता पर्दैन। तथ्य यो हो कि अनुरूप मूल्याङ्कनका धेरै रूपहरू छन् (स्वैच्छिक वा अनिवार्य प्रमाणीकरण, अनुरूपताको घोषणा)। प्रमाणीकरण तिनीहरू मध्ये एक मात्र हो। अपरेटरले गैर-प्रमाणित उत्पादनहरू प्रयोग गर्न सक्छ, तर तिनीहरूले कुनै प्रकारको अनुरूप मूल्याङ्कन प्रक्रिया पार गरेको निरीक्षणमा नियामकलाई प्रदर्शन गर्न आवश्यक हुनेछ।

यदि अपरेटरले प्रमाणित सुरक्षात्मक उपकरणहरू प्रयोग गर्ने निर्णय गर्छ भने, त्यसपछि अल्ट्रासाउन्ड सुरक्षा अनुसार सूचना सुरक्षा प्रणाली चयन गर्न आवश्यक छ, जुन स्पष्ट रूपमा उल्लेख गरिएको छ। FSTEC आदेश नम्बर 21:

व्यक्तिगत डाटा सुरक्षित गर्नका लागि प्राविधिक उपायहरू सूचना सुरक्षा उपकरणहरू प्रयोग गरी लागू गरिन्छ, सफ्टवेयर (हार्डवेयर) उपकरणहरू सहित जसमा तिनीहरू लागू हुन्छन्, जसमा आवश्यक सुरक्षा कार्यहरू छन्।
सूचना प्रणालीमा सूचना सुरक्षा आवश्यकताहरू अनुसार प्रमाणित सूचना सुरक्षा उपकरणहरू प्रयोग गर्दा:

रूस को FSTEC को आदेश नम्बर 12 को क्लज 21.

वास्तविकता: कानूनले प्रमाणित सुरक्षा उपकरणहरूको अनिवार्य प्रयोगको आवश्यकता पर्दैन।

मिथक 6. मलाई क्रिप्टो सुरक्षा चाहिन्छ

यहाँ केही सूक्ष्मताहरू छन्:

1. धेरै मानिसहरू विश्वास गर्छन् कि क्रिप्टोग्राफी कुनै पनि ISPD को लागी अनिवार्य छ। वास्तवमा, यदि अपरेटरले क्रिप्टोग्राफीको प्रयोग बाहेक अरू कुनै सुरक्षा उपायहरू देख्दैन भने मात्र तिनीहरू प्रयोग गरिनु पर्छ।
2. यदि तपाइँ क्रिप्टोग्राफी बिना गर्न सक्नुहुन्न भने, तपाइँ FSB द्वारा प्रमाणित CIPF प्रयोग गर्न आवश्यक छ।
3. उदाहरणका लागि, तपाईंले सेवा प्रदायकको क्लाउडमा ISPD होस्ट गर्ने निर्णय गर्नुभयो, तर तपाईं यसलाई विश्वास गर्नुहुन्न। तपाइँ तपाइँको चिन्तालाई खतरा र घुसपैठ मोडेलमा वर्णन गर्नुहुन्छ। तपाईंसँग व्यक्तिगत डेटा छ, त्यसैले तपाईंले निर्णय गर्नुभयो कि क्रिप्टोग्राफी आफैलाई सुरक्षित गर्ने एक मात्र तरिका हो: तपाईंले भर्चुअल मेसिनहरू इन्क्रिप्ट गर्नुहुनेछ, क्रिप्टोग्राफिक सुरक्षा प्रयोग गरेर सुरक्षित च्यानलहरू निर्माण गर्नुहुनेछ। यस अवस्थामा, तपाईंले रूसको FSB द्वारा प्रमाणित CIPF प्रयोग गर्नुपर्नेछ।
4. प्रमाणित CIPF सुरक्षा को एक निश्चित स्तर अनुसार अनुसार चयन गरिन्छ अर्डर नम्बर ३७८ FSB.

UZ-3 सँग ISPDn को लागि, तपाइँ KS1, KS2, KS3 प्रयोग गर्न सक्नुहुन्छ। KS1, उदाहरणका लागि, च्यानल सुरक्षाको लागि C-Terra भर्चुअल गेटवे 4.2 हो।

KC2, KS3 लाई सफ्टवेयर र हार्डवेयर प्रणालीहरूद्वारा मात्र प्रतिनिधित्व गरिन्छ, जस्तै: ViPNet Coordinator, APKSH "Continent", S-Terra Gateway, आदि।

यदि तपाईंसँग UZ-2 वा 1 छ भने, तपाईंलाई KV1, 2 र KA को क्रिप्टोग्राफिक सुरक्षा साधनहरू चाहिन्छ। यी विशिष्ट सफ्टवेयर र हार्डवेयर प्रणालीहरू हुन्, तिनीहरू सञ्चालन गर्न गाह्रो छन्, र तिनीहरूको प्रदर्शन विशेषताहरू मामूली छन्।

वास्तविकता: कानूनले FSB द्वारा प्रमाणित CIPF को प्रयोग गर्न बाध्य गर्दैन।

स्रोत: www.habr.com