Niezależnie od tego, ile razy omawiamy mity i legendy związane z zgodnością z ustawą 152-FZ, zawsze coś zostaje niewidoczne. Dziś chcemy omówić mniej oczywiste niuanse, z którymi mogą się zmierzyć zarówno duże firmy, jak i naprawdę małe przedsiębiorstwa:
szczegóły klasyfikacji danych osobowych według kategorii — gdy mały sklep internetowy zbiera dane dotyczące specjalnej kategorii, nawet nie zdając sobie z tego sprawy;
gdzie można przechowywać kopie zapasowe zebranych danych osobowych i wykonywać na nich operacje;
czym różni się certyfikat od opinii o zgodności, jakie w ogóle dokumenty należy żądać od dostawcy i o takich sprawach.
Na koniec podzielimy się z Wami naszym własnym doświadczeniem z procesu certyfikacji. Zaczynajmy!
Ekspertem w dzisiejszym artykule będzie Oleg Afanasjew, specjalista ds. bezpieczeństwa informacji dostawców chmur „IT-GRAD” i #CloudMTS (wchodzą w skład grupy MTS).
Szczegóły klasyfikacji
Często spotykamy się z chęcią klienta, aby szybko, bez audytu systemów informacyjnych, określić wymagany poziom ochrony dla systemów przetwarzania danych osobowych. Niektóre materiały w internecie na ten temat stwarzają fałszywe wrażenie, że to proste zadanie i popełnienie błędu jest dość trudne.
Aby określić poziom ochrony, należy zrozumieć, jakie dane będą zbierane i przetwarzane przez system informacyjny klienta. Czasami jednoznaczne określenie wymagań dotyczących ochrony i kategorii danych osobowych, którymi posługuje się firma, bywa trudne. Te same kategorie danych osobowych mogą być oceniane i klasyfikowane w zupełnie różny sposób. Dlatego w niektórych przypadkach opinia firmy może różnić się od opinii audytora lub nawet kontrolującego. Przyjrzyjmy się kilku przykładom.
Flota. Na pierwszy rzut oka można pomyśleć, że to dość tradycyjny rodzaj działalności. Wiele flot samochodowych działa od dziesięcioleci, a ich właściciele zatrudniają osoby fizyczne prowadzące działalność gospodarczą. Z reguły dane pracowników podlegają wymogom UZ-4. Jednak do pracy z kierowcami nie wystarczy tylko zbierać dane ankietowe, ale także prowadzić kontrolę medyczną na terenie floty przed rozpoczęciem zmiany, a informacje zbierane w trakcie tego procesu natychmiast trafiają do kategorii danych medycznych – a to są dane osobowe specjalnej kategorii. Ponadto flota może żądać zaświadczeń, które będą następnie przechowywane w aktach kierowcy. Skany takich zaświadczeń w formie elektronicznej zawierają informacje o stanie zdrowia oraz dane osobowe specjalnej kategorii. Oznacza to, że UZ-4 nie wystarczy, konieczne jest minimum UZ-3.
Sklep internetowy. Na pierwszy rzut oka wydaje się, że zbierane nazwiska, adresy e-mail i numery telefonów mieszczą się w kategorii ogólnodostępnej. Jednak jeśli Twoi klienci podają preferencje kulinarne, na przykład halal lub koszer, takie informacje mogą być uznane za dane dotyczące przynależności religijnej i przekonań. Dlatego podczas kontroli lub przeprowadzania innych działań kontrolnych, kontrolujący może zaklasyfikować zbierane przez Ciebie dane do specjalnej kategorii danych osobowych. Gdyby sklep internetowy zbierał informacje na temat tego, czy jego klient preferuje mięso czy ryby, dane te można by zaklasyfikować jako inne dane osobowe. A co z wegetarianami? To również można by uznać za przekonania filozoficzne, które również należą do kategorii specjalnej. Z drugiej strony, może to być po prostu wybór osoby, która wykluczyła mięso ze swojej diety. Niestety, nie ma żadnej tabeli, która jednoznacznie określałaby kategorię danych osobowych w takich „delikatnych” sytuacjach.
Agencja reklamowa za pomocą jakiejkolwiek zachodniej usługi chmurowej przetwarza ogólnodostępne dane swoich klientów — imiona i nazwiska, adresy e-mail oraz numery telefonów. Te dane ankietowe oczywiście dotyczą danych osobowych. Pojawia się pytanie: czy takie przetwarzanie jest legalne? Czy można w ogóle przenosić takie dane bez anonimizacji poza granice Rosji, na przykład przechowywać kopie zapasowe w zagranicznych chmurach? Oczywiście, że tak. Agencja ma prawo przechowywać te dane także poza Rosją, jednak wstępne gromadzenie, zgodnie z naszym prawodawstwem, musi odbywać się na terytorium Rosji. Jeśli robisz kopię zapasową takich informacji, opierasz na nich jakąś statystykę, przeprowadzasz badania lub wykonujesz z nimi inne operacje — wszystko to można robić także na zachodnich zasobach. Kluczową kwestią z punktu widzenia prawa jest to, gdzie następuje zbieranie danych osobowych. Dlatego ważne jest, aby nie mylić wstępnego gromadzenia z przetwarzaniem.
Jak wynika z tych krótkich przykładów, praca z danymi osobowymi nie zawsze jest jednoznaczna i prosta. Konieczne jest nie tylko to, aby wiedzieć, że z nimi pracujesz, ale także umieć je poprawnie klasyfikować oraz rozumieć, jak działa system informacyjny, aby poprawnie określić wymagany poziom bezpieczeństwa. W niektórych przypadkach może pojawić się pytanie, jaki zakres danych osobowych jest naprawdę niezbędny organizacji do pracy. Czy można zrezygnować z najbardziej "poważnych" lub po prostu zbędnych danych? Ponadto, organ regulacyjny zaleca anonimizowanie danych osobowych tam, gdzie to możliwe.
Jak w powyższych przykładach, czasami można się natknąć na to, że organy kontrolne interpretują zbierane dane osobowe nieco inaczej niż to zostało ocenione przez ciebie.
Oczywiście można skorzystać z pomocy audytora lub integratora systemów, ale czy "pomocnik" będzie odpowiedzialny za wybrane rozwiązania w przypadku kontroli? Należy zauważyć, że odpowiedzialność zawsze spoczywa na właścicielu systemu przetwarzania danych osobowych – operatorze danych osobowych. Dlatego, gdy firma przeprowadza takie prace, ważne jest, aby zwrócić się do poważnych graczy na rynku takich usług, na przykład do firm prowadzących prace certyfikacyjne. Firmy certyfikujące mają duże doświadczenie w przeprowadzaniu tego typu prac.
Opcje budowy systemu przetwarzania danych osobowych
Budowanie systemu ochrony danych osobowych to nie tylko kwestia techniczna, ale w dużej mierze również prawna. Dyrektor IT lub dyrektor ds. bezpieczeństwa powinien koniecznie skonsultować się z prawnikiem. Ponieważ w firmie nie zawsze znajduje się specjalista o potrzebnym profilu, warto rozważyć skorzystanie z usług audytorów-konsultantów. Wiele trudnych aspektów może być wcale nieoczywistych.
Konsultacja pozwoli określić, z jakimi danymi osobowymi masz do czynienia oraz jaki poziom ochrony jest im potrzebny. W rezultacie uzyskasz wyobrażenie o systemie ochrony, który należy stworzyć lub uzupełnić środkami zabezpieczeń i regulacjami.
Często dla firmy wybór ogranicza się do dwóch opcji:
Zbudować odpowiedni system na własnych rozwiązaniach sprzętowo-programowych, być może w swojej serwerowni.
Zwrócić się do dostawcy chmury i wybrać elastyczne rozwiązanie, już ocenione, taką 'wirtualną serwerownię'.
Większość systemów, które przetwarzają dane osobowe, stosuje tradycyjne podejście, które z punktu widzenia biznesowego trudno nazwać prostym i udanym. Wybierając tę opcję, należy zrozumieć, że projekt techniczny będzie obejmować opis sprzętu, w tym rozwiązania sprzętowo-programowe oraz platformy. A to oznacza, że przyjdzie ci się zmierzyć z następującymi trudnościami i ograniczeniami:
trudność w skalowaniu;
długi czas realizacji projektu: konieczne jest wybranie, zakup, zainstalowanie, skonfigurowanie i opisanie systemu;
mnóstwo pracy 'papierkowej', na przykład – opracowanie pełnego pakietu dokumentacji dla całego systemu ochrony danych osobowych.
Ponadto, biznes zazwyczaj zna tylko 'górny' poziom swojego systemu – używanych aplikacji biznesowych. Innymi słowy, personel IT jest wykwalifikowany w swojej wąskiej dziedzinie. Brakuje zrozumienia, jak funkcjonują wszystkie 'niższe poziomy': środki ochrony sprzętowo-programowe, systemy przechowywania, tworzenie kopii zapasowych, a także jak z zachowaniem wszystkich wymagań skonfigurować środki ochrony, zbudować 'żelazną' część konfiguracji. Ważne jest, aby zrozumieć: to ogromna wiedza, która leży poza granicami biznesu klienta. Tutaj może przydać się doświadczenie dostawcy chmury oferującego ocenioną 'wirtualną serwerownię'.
Z kolei dostawcy usług chmurowych mają szereg zalet, które, bez przesady, mogą zaspokoić 99% potrzeb biznesu w zakresie ochrony danych osobowych:
koszty inwestycyjne przekształcają się w koszty operacyjne;
dostawca z kolei gwarantuje zapewnienie niezbędnego poziomu bezpieczeństwa i dostępności w oparciu o sprawdzone standardowe rozwiązanie;
nie ma potrzeby utrzymywania ekipy specjalistów, którzy będą zapewniać działanie ISPDn na poziomie „sprzętu”;
dostawcy oferują znacznie bardziej elastyczne i elastyczne rozwiązania;
specjaliści dostawcy mają wszystkie niezbędne certyfikaty;
compliance nie niższe niż przy budowie własnej architektury, z uwzględnieniem wymagań i rekomendacji regulatorów.
Stary mit o tym, że nie można umieszczać danych osobowych w chmurach, wciąż cieszy się ogromną popularnością. Jest on prawdziwy tylko częściowo: dane osobowe rzeczywiście nie mogą być umieszczane w przypadkowej chmurze. Wymaga to przestrzegania pewnych środków technicznych oraz stosowania certyfikowanych rozwiązań. Jeśli dostawca spełnia wszystkie wymagania prawne, ryzyka związane z wyciekiem danych osobowych są minimalizowane. Wielu dostawców posiada oddzielną infrastrukturę do przetwarzania danych osobowych zgodnie z 152-FZ. Niemniej jednak wybór dostawcy również należy przeprowadzić z uwzględnieniem określonych kryteriów, które omówimy poniżej.
Klienci często przychodzą do nas z pewnymi obawami dotyczącymi umieszczania danych osobowych w chmurze dostawcy. Cóż, omówmy to od razu.
Dane mogą być porwane podczas przesyłania lub migracji
Nie ma co się tym martwić — dostawca oferuje klientowi stworzenie zabezpieczonego kanału przesyłania danych, opartego na certyfikowanych rozwiązaniach, wzmocnione środki uwierzytelniania dla kontrahentów i pracowników. Pozostaje wybrać odpowiednie metody ochrony i zaimplementować je w ramach współpracy z klientem.
Przyjadą maski-show i zabiorą/zakleją/odłączą serwer
Można zrozumieć klientów, którzy obawiają się, że ich procesy biznesowe mogą zostać zakłócone z powodu niewystarczającej kontroli nad infrastrukturą. Zazwyczaj myślą o tym ci klienci, których sprzęt wcześniej znajdował się w małych serwerowniach, a nie w wyspecjalizowanych centrach danych. W rzeczywistości centra danych są wyposażone w nowoczesne środki ochrony zarówno fizycznej, jak i informacyjnej. Jakiekolwiek operacje w takim centrum danych są praktycznie niemożliwe do przeprowadzenia bez wystarczających podstaw i dokumentów, a takie działania wymagają przestrzegania szeregu procedur. Dodatkowo, 'wyciągnięcie' twojego serwera z centrum danych może wpłynąć na innych klientów dostawcy, a to z pewnością nikomu nie jest na rękę. Nikt też nie będzie mógł wskazać konkretnego 'twojego' wirtualnego serwera, dlatego jeśli ktoś zechce go ukraść lub urządzić pokazowy przeszukania, najpierw będzie musiał zmierzyć się z masą biurokratycznych przeszkód. W tym czasie najprawdopodobniej zdążysz kilka razy zmigrować na inną platformę.
Hakerzy włamią się do chmury i ukradną dane
Internet i prasa drukowana pełne są nagłówków o tym, jak kolejna chmura stała się ofiarą cyberprzestępców, a miliony rekordów z danych osobowych wyciekły do sieci. W zdecydowanej większości przypadków podatności były wykrywane nie po stronie dostawcy, ale w systemach informacyjnych ofiar: słabe lub wręcz domyślne hasła, 'dziury' w silnikach stron internetowych i bazach danych, banalna niedbałość biznesu przy wyborze środków ochrony i organizacji procedur dostępu do danych. Wszystkie certyfikowane rozwiązania są sprawdzane pod kątem podatności. My również regularnie przeprowadzamy 'kontrolne' testy penetracyjne oraz audyty bezpieczeństwa zarówno samodzielnie, jak i przy pomocy zewnętrznych organizacji. Dla dostawcy to kwestia reputacji i całego biznesu.
Dostawca / pracownicy dostawcy ukradną dane osobowe w celach prywatnych
To do to jest dość delikatny temat. Wiele firm w świecie bezpieczeństwa informacyjnego "straszy" swoich klientów, twierdząc, że "wewnętrzni pracownicy są bardziej niebezpieczni niż hakerzy zewnętrzni". Może w niektórych przypadkach jest w tym ziarno prawdy, ale nie można budować biznesu bez zaufania. Od czasu do czasu pojawiają się doniesienia o tym, że własni pracownicy firm sprzedają dane klientów przestępcom, a wewnętrzna ochrona często jest zorganizowana znacznie gorzej niż zewnętrzna. Ważne jest, aby zrozumieć, że każdy duży dostawca jest bardzo niechętny negatywnym przypadkom. Działania pracowników dostawcy są dobrze regulowane, a role i strefy odpowiedzialności są oddzielone. Wszystkie procesy biznesowe są zorganizowane tak, aby przypadki wycieku danych były niezwykle mało prawdopodobne i zawsze widoczne dla służb wewnętrznych, dlatego klienci nie powinni obawiać się tego z tej strony.
Płacisz mało, ponieważ płacisz za usługi danymi swojego biznesu.
Kolejny mit: klient wynajmujący zabezpieczoną infrastrukturę w komfortowej cenie tak naprawdę płaci za nią swoimi danymi – tak często myślą specjaliści, którzy chętnie przeczytają przed snem kilka teorii spiskowych. Po pierwsze, możliwość przeprowadzania jakichkolwiek operacji na twoich danych poza tymi, które są określone w zleceniu, w zasadzie wynosi zero. Po drugie, rzetelny dostawca ceni swoją reputację i relacje z tobą – oprócz ciebie ma jeszcze wielu klientów. Bardziej prawdopodobny jest odwrotny scenariusz, w którym dostawca będzie gorliwie chronić dane swoich klientów, na których opiera się również jego biznes.
Wybór dostawcy chmury dla przetwarzania danych osobowych
Obecnie rynek oferuje wiele rozwiązań dla firm będących operatorami danych osobowych. Poniżej przedstawiamy ogólną listę rekomendacji dotyczących wyboru odpowiedniego dostawcy.
Dostawca powinien być gotowy do zawarcia oficjalnej umowy z opisem obowiązków stron, SLA i stref odpowiedzialności w kontekście przetwarzania danych osobowych. W rzeczywistości, między tobą a dostawcą, oprócz umowy na usługi, powinno być podpisane zlecenie na przetwarzanie danych osobowych. W każdym przypadku warto je dokładnie przeanalizować. Ważne jest, aby zrozumieć podział stref odpowiedzialności między wami a dostawcą.
Zwróć uwagę, że segment musi spełniać wymagania, co oznacza, że musi posiadać certyfikat z określeniem poziomu zabezpieczeń nie niższym niż wymagane przez Twoje IS. Czasami dostawcy publikują tylko pierwszą stronę certyfikatu, z której niewiele wynika, lub odnoszą się do audytu lub procesów zgodności, nie publikując samego certyfikatu («a czy był chłopiec?»). Warto go zażądać — to dokument publiczny, w którym wskazane jest, kto przeprowadził certyfikację, okres ważności, lokalizacja chmury itp.
Dostawca powinien dostarczać informacje o tym, gdzie znajdują się jego obiekty (obiekty ochrony), abyś mógł kontrolować lokalizację swoich danych. Przypomnijmy, że początkowe gromadzenie PPD musi odbywać się na terytorium RF, w związku z czym w umowie/certyfikacie warto zobaczyć adresy centrów danych.
Dostawca powinien korzystać z certyfikowanych SZR oraz SKR. Oczywiście, większość dostawców nie ujawnia używanych środków ochrony technicznej i architektury rozwiązań. Ale jako klient nie będziesz mógł o tym nie wiedzieć. Na przykład, do zdalnego połączenia z systemem zarządzania (portalem zarządzania) należy użyć środków ochrony. Dostawca nie będzie mógł obejść tego wymagania i zapewni Ci (lub zażąda od Ciebie używania) certyfikowanych rozwiązań. Przetestuj zasoby, a od razu zrozumiesz, jak i co jest zorganizowane.
Bardzo pożądane, aby dostawca chmury oferował dodatkowe usługi w zakresie IBezpieczeństwa. Mogą to być różnorodne usługi: ochrona przed atakami DDoS i WAF, usługi antywirusowe lub piaskownica itp. Wszystko to pozwoli Ci uzyskać ochronę jako usługę, nie odciągając się na budowanie systemów ochrony, a skoncentrować się na aplikacjach biznesowych.
Dostawca powinien być licencjonowany przez FSTEC i FSB. Zazwyczaj takie informacje są umieszczane bezpośrednio na stronie internetowej. Koniecznie zażądaj tych dokumentów i sprawdź, czy poprawnie wskazane są adresy świadczenia usług, nazwa firmy dostawcy itp.
Podsumujmy. Wynajem infrastruktury pozwoli zrezygnować z CAPEX i pozostawić w swojej strefie odpowiedzialności jedynie własne aplikacje biznesowe i dane, a ciężki ciężar certyfikacji «sprzętu» i środków programowo-sprzętowych przekazać dostawcy.
Jak przechodziliśmy certyfikację
Niedawno pomyślnie przeszliśmy audyt infrastruktury „Zabezpieczonej chmury FZ-152” w celu potwierdzenia zgodności z wymaganiami dotyczącymi przetwarzania danych osobowych. Prace przeprowadził „Narodowy Centrum Certyfikacji”.
Na chwilę obecną „Zabezpieczona chmura FZ-152” została zatwierdzona do umieszczania systemów informacyjnych uczestniczących w przetwarzaniu, przechowywaniu lub przesyłaniu danych osobowych (ISPDn) zgodnie z wymaganiami poziomu UZ-3.
Procedura certyfikacji polega na sprawdzeniu zgodności infrastruktury dostawcy chmury z poziomem ochrony. Sam dostawca świadczy usługi IaaS i nie jest operatorem danych osobowych. Proces obejmuje ocenę zarówno środków organizacyjnych (dokumentacja, zarządzenia itp.), jak i technicznych (konfiguracja środków ochrony itp.).
Nie można tego nazwać trywialnym. Mimo że standardy dotyczące programów i metod przeprowadzania działań certyfikacyjnych pojawiły się już w 2013 roku, do tej pory nie istnieją surowe programy dla obiektów chmurowych. Centra certyfikacyjne opracowują te programy na podstawie własnej wiedzy. Wraz z pojawieniem się nowych technologii programy stają się coraz bardziej złożone i zaktualizowane, odpowiednio, certyfikator musi mieć doświadczenie w pracy z rozwiązaniami chmurowymi i rozumieć ich specyfikę.
W naszym przypadku obiekt ochrony składa się z dwóch lokalizacji.
Bezpośrednio w Centrum Danych znajdują się zasoby chmurowe (serwery, macierze dyskowe, infrastruktura sieciowa, środki ochrony itp.). Z pewnością taka wirtualna Centrum Danych jest podłączona do publicznych sieci, co oznacza, że muszą być spełnione określone wymagania dotyczące firewalli, na przykład użycie certyfikowanych zapór sieciowych.
Drugą częścią obiektu są środki zarządzania chmurą. Są to stacje robocze (ARM administratora), z których zarządza się zabezpieczonym segmentem.
Lokalizacje są połączone przez VPN-kanał zbudowany na SKZI.
Ponieważ technologie wirtualizacji stwarzają przesłanki do pojawienia się zagrożeń, korzystamy z dodatkowych certyfikowanych środków ochrony.
Schemat strukturalny „oczyma certyfikatora”
Jeśli klient potrzebuje certyfikacji swojego ISPDn, po wynajmie IaaS, pozostanie mu jedynie przeprowadzenie oceny systemu informacyjnego wyżej niż na poziomie wirtualnego centrum danych. Procedura ta obejmuje sprawdzenie infrastruktury oraz używanego na niej oprogramowania. Ponieważ w kwestiach infrastrukturalnych możesz odnosić się do certyfikatu dostawcy, pozostaje jedynie przeprowadzić prace z oprogramowaniem.
Podział na poziomie abstrakcji
Na zakończenie przedstawiamy krótki checklist dla firm, które już pracują z PDn lub dopiero planują. Jak zatem przetwarzać i nie popełnić błędu?
Do audytu i opracowania modeli zagrożeń i naruszyciela zaproś doświadczonego konsultanta z laboratoriów certyfikacyjnych, który pomoże opracować niezbędną dokumentację i doprowadzi Cię do etapu rozwiązań technicznych.
Na etapie wyboru dostawcy chmury zwróć uwagę na posiadanie certyfikatu. Dobrze, jeśli firma publicznie umieściła go bezpośrednio na stronie. Dostawca powinien być licencjonowany przez FSTEK i FSB, a oferowana przez niego usługa powinna być certyfikowana.
Upewnij się, że podpiszesz oficjalną umowę i zlecenie przetwarzania PDn. Na tej podstawie będziesz mógł przeprowadzić zarówno kontrolę zgodności, jak i certyfikację ISPDn. Jeśli te prace na etapie projektu technicznego i tworzenia dokumentacji projektowej wydają Ci się obciążające, warto zwrócić się do zewnętrznych firm konsultingowych z laboratoriów certyfikacyjnych.
Jeśli kwestie przetwarzania PDn są dla Ciebie ważne, 18 września, w tę piątek, z przyjemnością zobaczymy Cię na webinarium .
Źródło: habr.com
