Sikret sky på DF Cloud-plattformen 

FZ-152 «Om beskyttelse av personopplysninger» gjelder for alle eksisterende subjekter: fysiske og juridiske personer, føderale myndigheter og lokale myndigheter. Faktisk gjelder denne loven for alle organisasjoner som behandler informasjon og personopplysninger om borgere i Russland, uavhengig av eierskapsform og størrelsen på organisasjonen.

En organisasjon kan plutselig oppdage helt uventede informasjonssystemer for personopplysninger (PDi). For eksempel, et selskap anses som en operatør av personopplysninger hvis deres nettsted har skjemaer for tilbakemelding, registrering, autorisering og andre datainnsamlingsskjemaer som kan identifisere subjektet.

Kontroll og tilsyn med hensyn til overholdelsen av kravene i den føderale loven «Om personopplysninger» utføres av regulatorer:

• Roskomnadzor angående beskyttelse av rettighetene til subjekter av personopplysninger;
• FSB Russland i forhold til overholdelse av krav innen kryptografi;
• FSTEK Russland i forhold til overholdelse av krav til beskyttelse av informasjon mot uautorisert tilgang og lekkasje gjennom tekniske kanaler.

Ettersom FZ «Om personopplysninger» bare er grunnlaget for rettslig sikring av beskyttelse av PDi, har kravene blitt spesifisert videre i dokumenter fra Russlands regjering, Kommunikasjonsministeriet, og andre normative og metodiske dokumenter fra regulatorene.

Føderale organer som regulerer aktiviteter innen behandling av personopplysninger

• Roskomnadzor (Føderal tjeneste for tilsyn med kommunikasjon og massemedier) - overvåker og kontrollerer overholdelsen av behandling av PDi i henhold til lovgivningen.
• FSTEK Russland (Føderal tjeneste for teknisk og eksportkontroll) - fastsetter metoder og måter å beskytte informasjon ved hjelp av tekniske midler.
• FSB Russland (Føderal sikkerhetstjeneste i Russland) - fastsetter metoder og måter å beskytte informasjon innenfor sine myndighetsområder (bruksområde for kryptografiske midler for informasjonssikring)

Hver organisasjon som behandler personopplysninger, står overfor problemet med å tilpasse sine informasjonssystemer i henhold til lovgivningens krav. Beskyttelse av personopplysninger er en av de mest aktuelle problemstillingene, ikke bare i Russland, men også i andre land. 

Typer personopplysninger

I henhold til Føderal lov nr. 152, er personopplysninger hvilken som helst informasjon som relaterer seg til en bestemt eller identifiserbar fysisk person (subjekt av personopplysninger). For eksempel: fullt navn, fødselsdato og -sted, adresse, familie-, sosiale-, økonomiske forhold, utdannelse osv.

Personopplysninger deles inn i flere kategorier:

Særlige

Personopplysninger som angår rase, etnisitet, politiske synspunkter, religiøse eller filosofiske overbevisninger, helsetilstand, intimliv

Biometriske

Personopplysninger som karakteriserer fysiologiske og biologiske trekk ved en person, som kan brukes til å fastslå vedkommendes identitet, og som brukes av operatøren for å identifisere subjektet av personopplysninger

Andre

Personopplysninger som relaterer seg til en direkte eller indirekte bestemt eller bestembar fysisk person, og som ikke tilhører de ovennevnte kategoriene

Offentlig tilgjengelige

Personopplysninger som er innhentet fra offentlige kilder hvor dataene ble publisert med skriftlig samtykke fra subjektet av personopplysninger

Behandling av personopplysninger er enhver handling (operasjon) eller kombinasjon av handlinger med personopplysninger ved bruk av automatiserte eller ikke-automatiserte midler, inkludert:

• innsamling,
• registrering,
• systematisering,
• akkumulering,
• lagring,
• presisering (oppdatering, endring),
• uttrekking,
• bruk,
• overføring (distribusjon, tilveiebringelse, tilgang),
• avpersonaliserte,
• blokkering,
• sletting,
• ødeleggelse av personopplysninger.

Ansvar for overtredelser

I henhold til artikkel 24 i Føderal lov nr. 152, kan personer holdes ansvarlige for brudd på loven i samsvar med lovgivningen i Den russiske føderasjonen.

Når de vurderer selskaper, styres regulatorene av Føderal lov nr. 152 og en rekke underordnede bestemmelser. Kontrollen kan være både planlagt og uplanlagt - ved brudd på loven, samt for å overvåke tidligere utstedte pålegg om å rette opp i feilene.

Personer som bryter kravene til beskyttelse av personopplysninger kan ikke bare møte sivilrettslige og disiplinære konsekvenser, men også administrativ og til og med strafferettslig ansvar.
 

Hvordan overholde kravene i føderal lov nr. 152?

Så, et selskap eller en organisasjon som behandler personopplysninger eller annen informasjon med begrenset tilgang, må beskytte denne informasjonen i samsvar med lovgivningen. Dette krever ikke bare betydelig ekspertise, kunnskap og erfaring, men innebærer også tekniske utfordringer og betydelige kostnader.

Ifølge den offisielle definisjonen godkjent av FSTEK, «...Sikkerhet for personopplysninger er en tilstand av beskyttelse av personopplysninger, preget av evnen til brukere, tekniske midler og informasjonsteknologi til å sikre konfidensialitet, integritet og tilgjengelighet av personopplysninger under behandling i informasjonssystemer for personopplysninger...».

For å oppfylle de organisatoriske, juridiske og tekniske kravene i føderal lov nr. 152 på egenhånd, må en ikke bare studere selve loven, men også dens underlagte forskrifter, og forstå hvilke spesifikke tiltak som må iverksettes. Outsourcing-spesialister kan studere prosessene for behandling av personopplysninger i selskapet, utarbeide nødvendige dokumenter, implementere beskyttelsestiltak osv.

Et omfattende informasjonssikkerhetssystem inkluderer:

• Innbruddsforebyggingsverktøy (IDS).
• Brannmur (FW).
• Beskyttelse mot skadelig programvare.
• Overvåkings- og sikkerhetshendelsesregistersystem.
• System for kryptografisk beskyttelse av kommunikasjonskanaler (kryptering).
• Beskyttelsesmidler for virtuell miljø, system for beskyttelse mot uautorisert tilgang (UAT), identifikasjon og tilgangskontroll.
• System for sårbarhetsanalyse/oppdagelse av sårbarheter osv.

I tillegg forutsetter omfattende informasjonssikkerhet ikke bare tekniske tiltak, men også organisatoriske tiltak.

Føderal lov nr. 152: egenskaper ved implementering

En rekke russiske tilbydere tilbyr tjenester for å gi skyinfrastruktur for hosting av informasjonssystemer i samsvar med kravene i føderal lovgivning vedrørende personopplysninger. Når kundens systemer plasseres i skyen, påtar tilbyderen seg ansvaret for mange sikkerhetsspørsmål, inkludert beskyttelse av personopplysninger. Ved migrering til skyen vil de sikre IT-infrastrukturens sikkerhet, og dette vil redusere kundens ansvar. For eksempel oppfyller tilbyderen kravene i lov nr. 152 angående beskyttelse av virtualiseringsmiljøet.

Leverandører kan også gi kundene ekspertbistand for å løse databeskyttelse: definere nødvendig sikkerhetsnivå og deretter tilby en implementeringsløsning; utvikle dokumentasjon for å oppfylle kravene i russisk lovgivning.

En sikker sky vil bidra til å optimalisere kostnadene til organisasjonen ved å redusere utgiftene til opprettelse og vedlikehold av IT-infrastruktur og interne informationsbeskyttelsessystemer. Som regel gir kvalifiserte eksperter omfattende teknisk støtte og oppfølging, inkludert rådgivning og utvikling av dokumentpakker for sertifisering hos regulatoriske organer, mens plattformen for tjenestelevering oppfyller strenge tekniske standarder og tilfredsstiller nødvendige organisatoriske krav. Kunder kan benytte seg av tjenester for å forberede nødvendig dokumentasjon og beskytte informasjonssystemer for personopplysninger på applikasjons- og operativsystemnivå.

Det er også prosesser for risikohåndtering og sårbarhetsvurdering, hendelseshåndtering, interne og eksterne sikkerhetsrevisjoner, samt regelmessig overvåking og testing av nettverk, systemer og sikkerhetsprosesser. Kvalifiserte spesialister sikrer døgnet rundt oppfølging av IT-infrastrukturen.

Samlet sett sikrer disse tiltakene overholdelse av føderal lovgivning vedrørende beskyttelse av personopplysninger.

Sertifisert plattform

IBS DataFort tilbyr en slik tjeneste basert på den sertifiserte plattformen DF Cloud. All teknisk infrastruktur, administrasjon og virtualiseringsverktøy for denne plattformen er i samsvar med normene og kravene i lov nr. 152.
Arkitekturen til den sikre skyen IBS DataFort.

Plattformen garanterar skydd av personuppgifter (upp till 1:a skyddsnivån inklusive), GIS (upp till 1:a skyddsklassen inklusive) och säker lagring av data i Tier III-datacenter. Plattformen använder certifierade brandväggar, system för detektering och förebyggande av intrång (IDS/IPS), kryptering av kommunikationskanaler (GOST VPN), antivirusbeskydd, skydd mot obehörig åtkomst, skydd av virtualiseringsmiljön samt sårbarhetsskanning.

Moln FZ-152 — även ett lämpligt alternativ för dem som ställer höga krav på konfidentialitet och dataskydd, vill stärka sitt affärsomdöme eller erhålla en konkurrensfördel genom en bekräftad hög nivå av informationssäkerhet.

Hur "flyttar" man till ett sådant moln? Är "sömlös migration" möjlig? Absolut. Till exempel, IBS DataFort genomför en säker överföring av personuppgifter till sitt skyddade moln, vilket minimerar driftstopp och påverkan på företagets affärsprocesser (inklusive från utländska plattformar).

Anpassa IT-infrastrukturen enligt FZ-152

Processen att anpassa kundens IT-infrastruktur till kraven i FZ-152 börjar med en revision och bedömning av det nuvarande skyddsnivån.

Revisionen av kundens IT-infrastruktur inkluderar granskning av processer för behandling och skydd av personuppgifter samt inspektion av kundens personuppgiftssystem. En rapport om inspektionen sammanställs med en detaljerad beskrivning av processerna för behandling av personuppgifter ur teknisk synvinkel.

Arbetet omfattar även hot- och angriparmodellering och upprättande av en rapport som definierar skyddsnivån för personuppgifter. Baserat på revisionsresultaten upprättas en specifik teknisk beskrivning för skyddssystemet för personuppgifter och definierar krav på den planerade systemet.

Ett set av policys, instruktioner, regler och andra dokument för skydd av personuppgifter tas fram. Samtidigt strävar specialisterna efter att optimera kundens kostnader för implementering av skyddsåtgärder.

IBS DataFort erbjuder tjänster för att förbereda dokumentation och skydd av personuppgifter för att följa federal lagstiftning om skydd av personuppgifter och kan hjälpa till med att förbereda och genomgå certifiering (personuppgiftssystem, GIS, AS).

Sertifiseringen utføres av uavhengige revisorer med lisenser fra FSTEK og FSB i Russland. Bestått sertifisering bekrefter pålitelig beskyttelse av personopplysninger for selskapets partnere og kunder mot eksterne trusler, samt fullstendig overholdelse av regulatoriske krav. Det er viktig at kundene får bekvemmeligheten med «én dør»: alt leveres av ett selskap – IBS DataFort.

For operatøren av personopplysninger betyr dette beredskap til inspeksjoner fra Roskomnadzor, FSTEK og FSB, utelukkelse av risiko for blokkering av ressurser, samt fravær av klager og sanksjoner fra regulatoren.

Denne tjenesten er relevant for mange kategorier av kunder innen offentlig og bedriftssegmentet, og kan være etterspurt av operatører av personopplysninger som ønsker å tilpasse sin virksomhet til lovgivningen. Plassering av informasjonssystemer i den lukkede delen av leverandørens infrastruktur, sertifisert i henhold til alle nødvendige standarder og krav, frigjør kunden fra å måtte organisere alle arbeider selv.

Kilde: habr.com