De federale wet 152 ‘Over de bescherming van persoonsgegevens’ is van toepassing op alle bestaande onderwerpen: natuurlijke personen en rechtspersonen, federale overheidsinstanties en lokale overheden. In feite is deze wet van toepassing op alle organisaties die informatie en persoonlijke gegevens van Russische burgers verwerken, ongeacht de eigendomsvorm en de grootte van de organisatie.
Soms kan een organisatie onverwacht ontdekken dat het niet-bedoelde informatiesystemen voor persoonsgegevens (PDP) heeft. Een bedrijf wordt bijvoorbeeld als verwerkingsverantwoordelijke van persoonsgegevens beschouwd als er op zijn website formulieren voor feedback, registratie en andere formulieren voor gegevensverzameling zijn die het mogelijk maken om het onderwerp te identificeren.
Controle en toezicht op de naleving van de vereisten van de federale wet 'Over persoonsgegevens' worden uitgevoerd door de regelgevende instanties:
- Roskomnadzor met betrekking tot de bescherming van de rechten van de betrokken personen;
- FSB Rusland met betrekking tot de uitvoering van eisen op het gebied van cryptografie;
- FSTEC Rusland met betrekking tot de naleving van vereisten voor de bescherming van informatie tegen ongeoorloofde toegang en lekken via technische kanalen.
Aangezien de federale wet ‘Over persoonsgegevens’ slechts de basis vormt voor de juridische bescherming van PDP, zijn de vereisten ervan verder gespecificeerd in de besluiten van de Russische regering en het Ministerie van Communicatie, en andere normatieve en methodologische documenten van de regelgevende instanties.
Federale organen die de activiteiten in het veld van de verwerking van persoonsgegevens reguleren
- Roskomnadzor (Federale dienst voor toezicht op communicatie, informatie en massacommunicatie) - houdt toezicht op de naleving van de verwerking van PDP met de vereisten van de wetgeving.
- FSTEC Rusland (Federale dienst voor technische en exportcontrole) - stelt methoden en manieren vast voor de bescherming van informatie met behulp van technische middelen.
- FSB Rusland (Federale veiligheidsdienst van Rusland) - stelt methoden en manieren vast voor de bescherming van informatie binnen zijn bevoegdheden (gebied van het gebruik van cryptografische middelen voor informatiebeveiliging)
Elke organisatie die persoonlijke gegevens verwerkt, staat voor de uitdaging om haar informatiesystemen in overeenstemming te brengen met de wetgeving. Bescherming van persoonlijke gegevens is een van de meest actuele kwesties, niet alleen in Rusland, maar ook in andere landen.
Soorten persoonlijke gegevens
Volgens de federale wet 152 zijn persoonlijke gegevens elke informatie die betrekking heeft op een bepaalde of bepaalbare natuurlijke persoon op basis van die informatie (betrokkene). Bijvoorbeeld: naam, geboortedatum en -plaats, adres, gezinssituatie, sociale status, eigendom, opleiding, enzovoort.
Persoonlijke gegevens worden in verschillende categorieën verdeeld:
Bijzondere
Persoonlijke gegevens die betrekking hebben op ras, etnische afkomst, politieke opvattingen, religieuze of filosofische overtuigingen, gezondheidstoestand, intieme levenssfeer.
Biometrisch
Persoonlijke gegevens die fysieke en biologische kenmerken van een persoon beschrijven, waarmee diens identiteit kan worden vastgesteld en die door de verwerker worden gebruikt voor identificatie van de betrokkene.
Overige
Persoonlijke gegevens die betrekking hebben op een bepaald of bepaalbaar persoon, en niet in bovenstaande categorieën vallen.
Openbare
Persoonlijke gegevens die zijn verkregen uit openbare bronnen, waarin de gegevens zijn gepubliceerd met schriftelijke toestemming van de betrokkene.
De verwerking van persoonlijke gegevens is elke actie (operatie) of een reeks handelingen met persoonlijke gegevens, met of zonder automatisering, inclusief:
- verzameling,
- registratie,
- systematisering,
- opslag,
- bewaring,
- verduidelijking (bijwerking, wijziging),
- extractie,
- gebruik,
- overdracht (verspreiding, verstrekking, toegang),
- anonimiseren,
- blokkeren,
- verwijderen,
- vernietigen van persoonlijke gegevens.
Aansprakelijkheid voor overtredingen
Volgens artikel 24 van de federale wet 152 zijn personen aansprakelijk voor de schending van de wet in overeenstemming met de wetgeving van de Russische Federatie.
Bij het controleren van een bedrijf baseren toezichthouders zich op federale wet 152 en een aantal regelgevende documenten. De controle kan zowel gepland als ongepland zijn — op basis van feiten van overtredingen, alsmede voor controle van eerder uitgebrachte voorschriften voor hun correctie.
Partijen die de vereisten voor de bescherming van persoonsgegevens overtreden, kunnen niet alleen burgerrechtelijke en disciplinaire, maar ook administratieve en zelfs strafrechtelijke aansprakelijkheid treffen.
Hoe te voldoen aan de vereisten van de wetgeving 152-FZ?
Een bedrijf of organisatie die persoonsgegevens of andere informatie met beperkte toegang verwerkt, moet deze informatie beschermen volgens de wetgeving. Dit vereist niet alleen serieuze expertise, kennis en ervaring, maar brengt ook technische complicaties en aanzienlijke kosten met zich mee.
Volgens de officiële definitie, goedgekeurd door de FSTEC, "... De veiligheid van persoonsgegevens is de staat van bescherming van persoonsgegevens, gekarakteriseerd door de mogelijkheid van gebruikers, technische middelen en informatietechnologieën om de vertrouwelijkheid, integriteit en beschikbaarheid van persoonsgegevens bij de verwerking in informatietechnische systemen van persoonsgegevens te waarborgen..."
Om de organisatorische, juridische en technische vereisten van de wetgeving 152-FZ zelfstandig na te komen, moet men niet alleen de wet zelf maar ook de onderliggende regelgeving bestuderen, en begrijpen welke specifieke maatregelen moeten worden genomen. Outsourcing-specialisten kunnen de processen voor de verwerking van persoonsgegevens in het bedrijf bestuderen, de benodigde documenten opstellen, beschermende middelen implementeren, enz.
Een geïntegreerd informatiebeveiligingssysteem omvat:
- Inbraakpreventiemiddelen (IDS).
- Vuurmuren (FW).
- Bescherming tegen malware.
- Een systeem voor het monitoren en registreren van beveiligingsincidenten.
- Een systeem voor cryptografische bescherming van communicatielijnen (versleuteling).
- Beschermingsmiddelen voor de virtuele omgeving, een systeem ter bescherming tegen ongeautoriseerde toegang (UBA), identificatie en toegangsbeheer.
- Een systeem voor beveiligingsanalyse/en het identificeren van kwetsbaarheden, enz.
Bovendien omvat een geïntegreerde informatiebeveiliging niet alleen technische, maar ook organisatorische maatregelen.
Cloud 152-FZ: kenmerken van de implementatie
Een aantal Russische providers biedt cloudinfrastructuur aan voor het hosten van informatiesystemen in overeenstemming met de eisen van de federale wetgeving met betrekking tot persoonsgegevens. Bij het hosten van klantensystemen in de cloud neemt de provider veel kwesties rondom informatiebeveiliging op zich, inclusief de bescherming van persoonsgegevens. Bij migratie naar de cloud zorgt de provider voor de beveiliging van de IT-infrastructuur, waarmee een deel van de verantwoordelijkheden van de klant wordt verlicht. De provider voldoet bijvoorbeeld aan de eisen van de federale wet FZ-152 met betrekking tot de bescherming van de virtualisatieomgeving.
Providers kunnen ook deskundige ondersteuning bieden aan klanten bij de bescherming van gegevens: het bepalen van het benodigde beschermingsniveau en op basis daarvan een implementatievoorstel doen; en documentatie ontwikkelen om aan de vereisten van de Russische wetgeving te voldoen.
Een beveiligde cloud helpt organisaties om kosten te optimaliseren door uitgaven voor de opzet en het onderhoud van IT-infrastructuur en interne systemen voor informatiebeveiliging te verminderen. Gewoonlijk bieden gekwalificeerde experts uitgebreide technische ondersteuning, inclusief advies en de ontwikkeling van documentatie voor certificering bij toezichthoudende instanties, en het platform voor het verlenen van diensten voldoet aan strikte technische normen en voldoet aan de noodzakelijke organisatorische vereisten. Klanten kunnen gebruikmaken van diensten voor het opstellen van noodzakelijke documentatie en de bescherming van persoonsgegevens op applicatie- en besturingssysteemniveau.
Ook zijn er processen voor risicobeheer en kwetsbaarheid, incidentonderzoek, interne en externe veiligheidsaudits, evenals regelmatig netwerk-, systeem- en procesmonitoring en -testen van informatiebeveiliging. Gekwalificeerde specialisten bieden 24/7 ondersteuning voor de IT-infrastructuur.
Deze maatregelen gezamenlijk zorgen ervoor dat aan de federale wetgeving omtrent de bescherming van persoonsgegevens wordt voldaan.
Gecertificeerd platform
IBS DataFort biedt deze service aan op basis van . Alle technische aspecten, het beheer en de middelen voor virtualisatie van dit platform voldoen aan de normen en eisen van FZ-152.
De architectuur van de beveiligde cloud van IBS DataFort.
Het platform biedt gegarandeerde bescherming van persoonsgegevens (tot en met niveau 1 van bescherming), GIS (tot en met klasse 1 van bescherming) en veilige gegevensopslag in een Tier III datacenter. Het platform maakt gebruik van gecertificeerde firewalls, inbrekingdetectie- en preventiesystemen (IDS/IPS), encryptie van communicatielijnen (GOST VPN), antivirusbescherming, middelen ter bescherming tegen ongeoorloofde toegang, bescherming van de virtualisatieomgeving en middelen voor kwetsbaarheidsscanning.
— ook een geschikte oplossing voor degenen die hoge eisen stellen aan privacy en gegevensbescherming, hun zakelijke reputatie willen versterken of een concurrentievoordeel willen behalen met een bevestigde hoge mate van informatiebeveiliging.
Hoe kun je zo'n cloud 'verhuizen'? Is een 'naadloze migratie' mogelijk? Zeker. Bijvoorbeeld, IBS DataFort verzorgt de veilige overdracht van persoonsgegevens naar zijn beveiligde cloud, met minimale stilstand en impact op de bedrijfsprocessen van het bedrijf (inclusief van buitenlandse locaties).
Aanpassing van de IT-infrastructuur aan FZ-152
Het proces van het aanpassen van de IT-infrastructuur van de klant aan de eisen van FZ-152 begint met een audit en evaluatie van het huidige beschermingsniveau.
De audit van de IT-infrastructuur van de klant omvat het onderzoeken van de processen voor de verwerking en bescherming van persoonsgegevens en het onderzoeken van de persoonsgegevens van de klant. Er wordt een auditrapport opgesteld met een gedetailleerde beschrijving van de processen voor de verwerking van persoonsgegevens vanuit technisch perspectief.
De werkzaamheden omvatten ook het modelleren van bedreigingen en indringers en het opstellen van een verslag voor de bepaling van het beschermingsniveau voor persoonsgegevens. Op basis van de audit wordt een specifiek technisch ontwerp voor het protectiesysteem voor persoonsgegevens opgesteld en de vereisten voor het te ontwerpen systeem bepaald.
Er wordt een set van beleidslijnen, instructies, reglementen en andere documenten ter bescherming van persoonsgegevens ontwikkeld. Hierbij proberen de specialisten de kosten voor de klant voor de implementatie van beschermingsmiddelen te optimaliseren.
IBS DataFort biedt diensten aan voor de voorbereiding van documentatie en de bescherming van persoonsgegevens ter naleving van de federale wetgeving inzake de bescherming van persoonsgegevens en kan helpen bij de voorbereiding en het doorlopen van de certificering (persoonsgegevens, GIS, AС).
De certificering wordt uitgevoerd door onafhankelijke audiitors die beschikken over vergunningen van de FSTEC en de FSB van Rusland. Het doorlopen van een dergelijke certificering bevestigt de betrouwbare bescherming van de persoonlijke gegevens van de partners en klanten van het bedrijf tegen externe bedreigingen, en de volledige naleving van de eisen van de toezichthouders. Het is belangrijk dat klanten het gemak van "één loket" ervaren: alles wordt verzorgd door één bedrijf — IBS DataFort.
Voor de gegevensoperator betekent dit gereedheid voor controles door Roskomnadzor, FSTEC en FSB, het uitsluiten van risico's op blokkering van middelen, en het ontbreken van klachten en sancties van de toezichthouder.
Deze dienst is relevant voor veel categorieën van klanten uit de publieke en zakelijke sector en kan in trek zijn bij gegevensoperators die hun activiteiten in overeenstemming willen brengen met de wetgeving. Het plaatsen van informatiesystemen in een afgesloten segment van de infrastructuur van de provider, gecertificeerd volgens alle noodzakelijke normen en eisen, bevrijdt de klant van de noodzaak om al het werk zelf te organiseren.
Bron: habr.com
