![\"IaaS](\"\/wp-content\/uploads\/2020\/09\/d91a5d152754f82316e0027fd3447b53.jpg\")
<\/p>\n<\/p>\n
Niezale\u017cnie od tego, ile razy omawiamy mity i legendy zwi\u0105zane z zgodno\u015bci\u0105 z ustaw\u0105 152-FZ, zawsze co\u015b zostaje niewidoczne. Dzi\u015b chcemy om\u00f3wi\u0107 mniej oczywiste niuanse, z kt\u00f3rymi mog\u0105 si\u0119 zmierzy\u0107 zar\u00f3wno du\u017ce firmy, jak i naprawd\u0119 ma\u0142e przedsi\u0119biorstwa:<\/p>\n
szczeg\u00f3\u0142y klasyfikacji danych osobowych wed\u0142ug kategorii \u2014 gdy ma\u0142y sklep internetowy zbiera dane dotycz\u0105ce specjalnej kategorii, nawet nie zdaj\u0105c sobie z tego sprawy;<\/p>\n<\/li>\n
gdzie mo\u017cna przechowywa\u0107 kopie zapasowe zebranych danych osobowych i wykonywa\u0107 na nich operacje;<\/p>\n<\/li>\n
czym r\u00f3\u017cni si\u0119 certyfikat od opinii o zgodno\u015bci, jakie w og\u00f3le dokumenty nale\u017cy \u017c\u0105da\u0107 od dostawcy i o takich sprawach.<\/p>\n<\/li>\n<\/ul>\n
Na koniec podzielimy si\u0119 z Wami naszym w\u0142asnym do\u015bwiadczeniem z procesu certyfikacji. Zaczynajmy!<\/p>\n
Ekspertem w dzisiejszym artykule b\u0119dzie Oleg Afanasjew<\/strong>, specjalista ds. bezpiecze\u0144stwa informacji dostawc\u00f3w chmur \u201eIT-GRAD\u201d i #CloudMTS (wchodz\u0105 w sk\u0142ad grupy MTS).<\/em><\/p>\n Cz\u0119sto spotykamy si\u0119 z ch\u0119ci\u0105 klienta, aby szybko, bez audytu system\u00f3w informacyjnych, okre\u015bli\u0107 wymagany poziom ochrony dla system\u00f3w przetwarzania danych osobowych. Niekt\u00f3re materia\u0142y w internecie na ten temat stwarzaj\u0105 fa\u0142szywe wra\u017cenie, \u017ce to proste zadanie i pope\u0142nienie b\u0142\u0119du jest do\u015b\u0107 trudne.<\/p>\n Aby okre\u015bli\u0107 poziom ochrony, nale\u017cy zrozumie\u0107, jakie dane b\u0119d\u0105 zbierane i przetwarzane przez system informacyjny klienta. Czasami jednoznaczne okre\u015blenie wymaga\u0144 dotycz\u0105cych ochrony i kategorii danych osobowych, kt\u00f3rymi pos\u0142uguje si\u0119 firma, bywa trudne. Te same kategorie danych osobowych mog\u0105 by\u0107 oceniane i klasyfikowane w zupe\u0142nie r\u00f3\u017cny spos\u00f3b. Dlatego w niekt\u00f3rych przypadkach opinia firmy mo\u017ce r\u00f3\u017cni\u0107 si\u0119 od opinii audytora lub nawet kontroluj\u0105cego. Przyjrzyjmy si\u0119 kilku przyk\u0142adom.<\/p>\n Flota.<\/strong> Na pierwszy rzut oka mo\u017cna pomy\u015ble\u0107, \u017ce to do\u015b\u0107 tradycyjny rodzaj dzia\u0142alno\u015bci. Wiele flot samochodowych dzia\u0142a od dziesi\u0119cioleci, a ich w\u0142a\u015bciciele zatrudniaj\u0105 osoby fizyczne prowadz\u0105ce dzia\u0142alno\u015b\u0107 gospodarcz\u0105. Z regu\u0142y dane pracownik\u00f3w podlegaj\u0105 wymogom UZ-4. Jednak do pracy z kierowcami nie wystarczy tylko zbiera\u0107 dane ankietowe, ale tak\u017ce prowadzi\u0107 kontrol\u0119 medyczn\u0105 na terenie floty przed rozpocz\u0119ciem zmiany, a informacje zbierane w trakcie tego procesu natychmiast trafiaj\u0105 do kategorii danych medycznych \u2013 a to s\u0105 dane osobowe specjalnej kategorii. Ponadto flota mo\u017ce \u017c\u0105da\u0107 za\u015bwiadcze\u0144, kt\u00f3re b\u0119d\u0105 nast\u0119pnie przechowywane w aktach kierowcy. Skany takich za\u015bwiadcze\u0144 w formie elektronicznej zawieraj\u0105 informacje o stanie zdrowia oraz dane osobowe specjalnej kategorii. Oznacza to, \u017ce UZ-4 nie wystarczy, konieczne jest minimum UZ-3.<\/p>\n Sklep internetowy. <\/strong>Na pierwszy rzut oka wydaje si\u0119, \u017ce zbierane nazwiska, adresy e-mail i numery telefon\u00f3w mieszcz\u0105 si\u0119 w kategorii og\u00f3lnodost\u0119pnej. Jednak je\u015bli Twoi klienci podaj\u0105 preferencje kulinarne, na przyk\u0142ad halal lub koszer, takie informacje mog\u0105 by\u0107 uznane za dane dotycz\u0105ce przynale\u017cno\u015bci religijnej i przekona\u0144. Dlatego podczas kontroli lub przeprowadzania innych dzia\u0142a\u0144 kontrolnych, kontroluj\u0105cy mo\u017ce zaklasyfikowa\u0107 zbierane przez Ciebie dane do specjalnej kategorii danych osobowych. Gdyby sklep internetowy zbiera\u0142 informacje na temat tego, czy jego klient preferuje mi\u0119so czy ryby, dane te mo\u017cna by zaklasyfikowa\u0107 jako inne dane osobowe. A co z wegetarianami? To r\u00f3wnie\u017c mo\u017cna by uzna\u0107 za przekonania filozoficzne, kt\u00f3re r\u00f3wnie\u017c nale\u017c\u0105 do kategorii specjalnej. Z drugiej strony, mo\u017ce to by\u0107 po prostu wyb\u00f3r osoby, kt\u00f3ra wykluczy\u0142a mi\u0119so ze swojej diety. Niestety, nie ma \u017cadnej tabeli, kt\u00f3ra jednoznacznie okre\u015bla\u0142aby kategori\u0119 danych osobowych w takich \u201edelikatnych\u201d sytuacjach.<\/p>\n Agencja reklamowa <\/strong>za pomoc\u0105 jakiejkolwiek zachodniej us\u0142ugi chmurowej przetwarza og\u00f3lnodost\u0119pne dane swoich klient\u00f3w \u2014 imiona i nazwiska, adresy e-mail oraz numery telefon\u00f3w. Te dane ankietowe oczywi\u015bcie dotycz\u0105 danych osobowych. Pojawia si\u0119 pytanie: czy takie przetwarzanie jest legalne? Czy mo\u017cna w og\u00f3le przenosi\u0107 takie dane bez anonimizacji poza granice Rosji, na przyk\u0142ad przechowywa\u0107 kopie zapasowe w zagranicznych chmurach? Oczywi\u015bcie, \u017ce tak. Agencja ma prawo przechowywa\u0107 te dane tak\u017ce poza Rosj\u0105, jednak wst\u0119pne gromadzenie, zgodnie z naszym prawodawstwem, musi odbywa\u0107 si\u0119 na terytorium Rosji. Je\u015bli robisz kopi\u0119 zapasow\u0105 takich informacji, opierasz na nich jak\u0105\u015b statystyk\u0119, przeprowadzasz badania lub wykonujesz z nimi inne operacje \u2014 wszystko to mo\u017cna robi\u0107 tak\u017ce na zachodnich zasobach. Kluczow\u0105 kwesti\u0105 z punktu widzenia prawa jest to, gdzie nast\u0119puje zbieranie danych osobowych. Dlatego wa\u017cne jest, aby nie myli\u0107 wst\u0119pnego gromadzenia z przetwarzaniem.<\/p>\n Jak wynika z tych kr\u00f3tkich przyk\u0142ad\u00f3w, praca z danymi osobowymi nie zawsze jest jednoznaczna i prosta. Konieczne jest nie tylko to, aby wiedzie\u0107, \u017ce z nimi pracujesz, ale tak\u017ce umie\u0107 je poprawnie klasyfikowa\u0107 oraz rozumie\u0107, jak dzia\u0142a system informacyjny, aby poprawnie okre\u015bli\u0107 wymagany poziom bezpiecze\u0144stwa. W niekt\u00f3rych przypadkach mo\u017ce pojawi\u0107 si\u0119 pytanie, jaki zakres danych osobowych jest naprawd\u0119 niezb\u0119dny organizacji do pracy. Czy mo\u017cna zrezygnowa\u0107 z najbardziej \"powa\u017cnych\" lub po prostu zb\u0119dnych danych? Ponadto, organ regulacyjny zaleca anonimizowanie danych osobowych tam, gdzie to mo\u017cliwe. <\/p>\n Jak w powy\u017cszych przyk\u0142adach, czasami mo\u017cna si\u0119 natkn\u0105\u0107 na to, \u017ce organy kontrolne interpretuj\u0105 zbierane dane osobowe nieco inaczej ni\u017c to zosta\u0142o ocenione przez ciebie.<\/p>\n Oczywi\u015bcie mo\u017cna skorzysta\u0107 z pomocy audytora lub integratora system\u00f3w, ale czy \"pomocnik\" b\u0119dzie odpowiedzialny za wybrane rozwi\u0105zania w przypadku kontroli? Nale\u017cy zauwa\u017cy\u0107, \u017ce odpowiedzialno\u015b\u0107 zawsze spoczywa na w\u0142a\u015bcicielu systemu przetwarzania danych osobowych \u2013 operatorze danych osobowych. Dlatego, gdy firma przeprowadza takie prace, wa\u017cne jest, aby zwr\u00f3ci\u0107 si\u0119 do powa\u017cnych graczy na rynku takich us\u0142ug, na przyk\u0142ad do firm prowadz\u0105cych prace certyfikacyjne. Firmy certyfikuj\u0105ce maj\u0105 du\u017ce do\u015bwiadczenie w przeprowadzaniu tego typu prac.<\/p>\n Budowanie systemu ochrony danych osobowych to nie tylko kwestia techniczna, ale w du\u017cej mierze r\u00f3wnie\u017c prawna. Dyrektor IT lub dyrektor ds. bezpiecze\u0144stwa powinien koniecznie skonsultowa\u0107 si\u0119 z prawnikiem. Poniewa\u017c w firmie nie zawsze znajduje si\u0119 specjalista o potrzebnym profilu, warto rozwa\u017cy\u0107 skorzystanie z us\u0142ug audytor\u00f3w-konsultant\u00f3w. Wiele trudnych aspekt\u00f3w mo\u017ce by\u0107 wcale nieoczywistych.<\/p>\n Konsultacja pozwoli okre\u015bli\u0107, z jakimi danymi osobowymi masz do czynienia oraz jaki poziom ochrony jest im potrzebny. W rezultacie uzyskasz wyobra\u017cenie o systemie ochrony, kt\u00f3ry nale\u017cy stworzy\u0107 lub uzupe\u0142ni\u0107 \u015brodkami zabezpiecze\u0144 i regulacjami.<\/p>\n Cz\u0119sto dla firmy wyb\u00f3r ogranicza si\u0119 do dw\u00f3ch opcji:<\/p>\n Zbudowa\u0107 odpowiedni system na w\u0142asnych rozwi\u0105zaniach sprz\u0119towo-programowych, by\u0107 mo\u017ce w swojej serwerowni.<\/p>\n<\/li>\n Zwr\u00f3ci\u0107 si\u0119 do dostawcy chmury i wybra\u0107 elastyczne rozwi\u0105zanie, ju\u017c ocenione, tak\u0105 'wirtualn\u0105 serwerowni\u0119'.<\/p>\n<\/li>\n<\/ol>\n Wi\u0119kszo\u015b\u0107 system\u00f3w, kt\u00f3re przetwarzaj\u0105 dane osobowe, stosuje tradycyjne podej\u015bcie, kt\u00f3re z punktu widzenia biznesowego trudno nazwa\u0107 prostym i udanym. Wybieraj\u0105c t\u0119 opcj\u0119, nale\u017cy zrozumie\u0107, \u017ce projekt techniczny b\u0119dzie obejmowa\u0107 opis sprz\u0119tu, w tym rozwi\u0105zania sprz\u0119towo-programowe oraz platformy. A to oznacza, \u017ce przyjdzie ci si\u0119 zmierzy\u0107 z nast\u0119puj\u0105cymi trudno\u015bciami i ograniczeniami:<\/p>\n trudno\u015b\u0107 w skalowaniu;<\/p>\n<\/li>\n d\u0142ugi czas realizacji projektu: konieczne jest wybranie, zakup, zainstalowanie, skonfigurowanie i opisanie systemu;<\/p>\n<\/li>\n mn\u00f3stwo pracy 'papierkowej', na przyk\u0142ad \u2013 opracowanie pe\u0142nego pakietu dokumentacji dla ca\u0142ego systemu ochrony danych osobowych.<\/p>\n<\/li>\n<\/ul>\n Ponadto, biznes zazwyczaj zna tylko 'g\u00f3rny' poziom swojego systemu \u2013 u\u017cywanych aplikacji biznesowych. Innymi s\u0142owy, personel IT jest wykwalifikowany w swojej w\u0105skiej dziedzinie. Brakuje zrozumienia, jak funkcjonuj\u0105 wszystkie 'ni\u017csze poziomy': \u015brodki ochrony sprz\u0119towo-programowe, systemy przechowywania, tworzenie kopii zapasowych, a tak\u017ce jak z zachowaniem wszystkich wymaga\u0144 skonfigurowa\u0107 \u015brodki ochrony, zbudowa\u0107 '\u017celazn\u0105' cz\u0119\u015b\u0107 konfiguracji. Wa\u017cne jest, aby zrozumie\u0107: to ogromna wiedza, kt\u00f3ra le\u017cy poza granicami biznesu klienta. Tutaj mo\u017ce przyda\u0107 si\u0119 do\u015bwiadczenie dostawcy chmury oferuj\u0105cego ocenion\u0105 'wirtualn\u0105 serwerowni\u0119'.<\/p>\n Z kolei dostawcy us\u0142ug chmurowych maj\u0105 szereg zalet, kt\u00f3re, bez przesady, mog\u0105 zaspokoi\u0107 99% potrzeb biznesu w zakresie ochrony danych osobowych:<\/p>\n koszty inwestycyjne przekszta\u0142caj\u0105 si\u0119 w koszty operacyjne;<\/p>\n<\/li>\n dostawca z kolei gwarantuje zapewnienie niezb\u0119dnego poziomu bezpiecze\u0144stwa i dost\u0119pno\u015bci w oparciu o sprawdzone standardowe rozwi\u0105zanie;<\/p>\n<\/li>\n nie ma potrzeby utrzymywania ekipy specjalist\u00f3w, kt\u00f3rzy b\u0119d\u0105 zapewnia\u0107 dzia\u0142anie ISPDn na poziomie \u201esprz\u0119tu\u201d;<\/p>\n<\/li>\n dostawcy oferuj\u0105 znacznie bardziej elastyczne i elastyczne rozwi\u0105zania;<\/p>\n<\/li>\n specjali\u015bci dostawcy maj\u0105 wszystkie niezb\u0119dne certyfikaty;<\/p>\n<\/li>\n compliance nie ni\u017csze ni\u017c przy budowie w\u0142asnej architektury, z uwzgl\u0119dnieniem wymaga\u0144 i rekomendacji regulator\u00f3w.<\/p>\n<\/li>\n<\/ul>\n Stary mit o tym, \u017ce nie mo\u017cna umieszcza\u0107 danych osobowych w chmurach, wci\u0105\u017c cieszy si\u0119 ogromn\u0105 popularno\u015bci\u0105. Jest on prawdziwy tylko cz\u0119\u015bciowo: dane osobowe rzeczywi\u015bcie nie mog\u0105 by\u0107 umieszczane w przypadkowej<\/em> chmurze. Wymaga to przestrzegania pewnych \u015brodk\u00f3w technicznych oraz stosowania certyfikowanych rozwi\u0105za\u0144. Je\u015bli dostawca spe\u0142nia wszystkie wymagania prawne, ryzyka zwi\u0105zane z wyciekiem danych osobowych s\u0105 minimalizowane. Wielu dostawc\u00f3w posiada oddzieln\u0105 infrastruktur\u0119 do przetwarzania danych osobowych zgodnie z 152-FZ. Niemniej jednak wyb\u00f3r dostawcy r\u00f3wnie\u017c nale\u017cy przeprowadzi\u0107 z uwzgl\u0119dnieniem okre\u015blonych kryteri\u00f3w, kt\u00f3re om\u00f3wimy poni\u017cej. <\/p>\n Klienci cz\u0119sto przychodz\u0105 do nas z pewnymi obawami dotycz\u0105cymi umieszczania danych osobowych w chmurze dostawcy. C\u00f3\u017c, om\u00f3wmy to od razu.<\/p>\n Dane mog\u0105 by\u0107 porwane podczas przesy\u0142ania lub migracji<\/p>\n<\/li>\n<\/ul>\n Nie ma co si\u0119 tym martwi\u0107 \u2014 dostawca oferuje klientowi stworzenie zabezpieczonego kana\u0142u przesy\u0142ania danych, opartego na certyfikowanych rozwi\u0105zaniach, wzmocnione \u015brodki uwierzytelniania dla kontrahent\u00f3w i pracownik\u00f3w. Pozostaje wybra\u0107 odpowiednie metody ochrony i zaimplementowa\u0107 je w ramach wsp\u00f3\u0142pracy z klientem.<\/p>\n Przyjad\u0105 maski-show i zabior\u0105\/zaklej\u0105\/od\u0142\u0105cz\u0105 serwer<\/p>\n<\/li>\n<\/ul>\n Mo\u017cna zrozumie\u0107 klient\u00f3w, kt\u00f3rzy obawiaj\u0105 si\u0119, \u017ce ich procesy biznesowe mog\u0105 zosta\u0107 zak\u0142\u00f3cone z powodu niewystarczaj\u0105cej kontroli nad infrastruktur\u0105. Zazwyczaj my\u015bl\u0105 o tym ci klienci, kt\u00f3rych sprz\u0119t wcze\u015bniej znajdowa\u0142 si\u0119 w ma\u0142ych serwerowniach, a nie w wyspecjalizowanych centrach danych. W rzeczywisto\u015bci centra danych s\u0105 wyposa\u017cone w nowoczesne \u015brodki ochrony zar\u00f3wno fizycznej, jak i informacyjnej. Jakiekolwiek operacje w takim centrum danych s\u0105 praktycznie niemo\u017cliwe do przeprowadzenia bez wystarczaj\u0105cych podstaw i dokument\u00f3w, a takie dzia\u0142ania wymagaj\u0105 przestrzegania szeregu procedur. Dodatkowo, 'wyci\u0105gni\u0119cie' twojego serwera z centrum danych mo\u017ce wp\u0142yn\u0105\u0107 na innych klient\u00f3w dostawcy, a to z pewno\u015bci\u0105 nikomu nie jest na r\u0119k\u0119. Nikt te\u017c nie b\u0119dzie m\u00f3g\u0142 wskaza\u0107 konkretnego 'twojego' wirtualnego serwera, dlatego je\u015bli kto\u015b zechce go ukra\u015b\u0107 lub urz\u0105dzi\u0107 pokazowy przeszukania, najpierw b\u0119dzie musia\u0142 zmierzy\u0107 si\u0119 z mas\u0105 biurokratycznych przeszk\u00f3d. W tym czasie najprawdopodobniej zd\u0105\u017cysz kilka razy zmigrowa\u0107 na inn\u0105 platform\u0119.<\/p>\n Hakerzy w\u0142ami\u0105 si\u0119 do chmury i ukradn\u0105 dane<\/p>\n<\/li>\n<\/ul>\n Internet i prasa drukowana pe\u0142ne s\u0105 nag\u0142\u00f3wk\u00f3w o tym, jak kolejna chmura sta\u0142a si\u0119 ofiar\u0105 cyberprzest\u0119pc\u00f3w, a miliony rekord\u00f3w z danych osobowych wyciek\u0142y do sieci. W zdecydowanej wi\u0119kszo\u015bci przypadk\u00f3w podatno\u015bci by\u0142y wykrywane nie po stronie dostawcy, ale w systemach informacyjnych ofiar: s\u0142abe lub wr\u0119cz domy\u015blne has\u0142a, 'dziury' w silnikach stron internetowych i bazach danych, banalna niedba\u0142o\u015b\u0107 biznesu przy wyborze \u015brodk\u00f3w ochrony i organizacji procedur dost\u0119pu do danych. Wszystkie certyfikowane rozwi\u0105zania s\u0105 sprawdzane pod k\u0105tem podatno\u015bci. My r\u00f3wnie\u017c regularnie przeprowadzamy 'kontrolne' testy penetracyjne oraz audyty bezpiecze\u0144stwa zar\u00f3wno samodzielnie, jak i przy pomocy zewn\u0119trznych organizacji. Dla dostawcy to kwestia reputacji i ca\u0142ego biznesu.<\/p>\n Dostawca \/ pracownicy dostawcy ukradn\u0105 dane osobowe w celach prywatnych<\/p>\n<\/li>\n<\/ul>\n To do to jest do\u015b\u0107 delikatny temat. Wiele firm w \u015bwiecie bezpiecze\u0144stwa informacyjnego \"straszy\" swoich klient\u00f3w, twierdz\u0105c, \u017ce \"wewn\u0119trzni pracownicy s\u0105 bardziej niebezpieczni ni\u017c hakerzy zewn\u0119trzni\". Mo\u017ce w niekt\u00f3rych przypadkach jest w tym ziarno prawdy, ale nie mo\u017cna budowa\u0107 biznesu bez zaufania. Od czasu do czasu pojawiaj\u0105 si\u0119 doniesienia o tym, \u017ce w\u0142asni pracownicy firm sprzedaj\u0105 dane klient\u00f3w przest\u0119pcom, a wewn\u0119trzna ochrona cz\u0119sto jest zorganizowana znacznie gorzej ni\u017c zewn\u0119trzna. Wa\u017cne jest, aby zrozumie\u0107, \u017ce ka\u017cdy du\u017cy dostawca jest bardzo niech\u0119tny negatywnym przypadkom. Dzia\u0142ania pracownik\u00f3w dostawcy s\u0105 dobrze regulowane, a role i strefy odpowiedzialno\u015bci s\u0105 oddzielone. Wszystkie procesy biznesowe s\u0105 zorganizowane tak, aby przypadki wycieku danych by\u0142y niezwykle ma\u0142o prawdopodobne i zawsze widoczne dla s\u0142u\u017cb wewn\u0119trznych, dlatego klienci nie powinni obawia\u0107 si\u0119 tego z tej strony.<\/p>\n P\u0142acisz ma\u0142o, poniewa\u017c p\u0142acisz za us\u0142ugi danymi swojego biznesu.<\/p>\n<\/li>\n<\/ul>\n Kolejny mit: klient wynajmuj\u0105cy zabezpieczon\u0105 infrastruktur\u0119 w komfortowej cenie tak naprawd\u0119 p\u0142aci za ni\u0105 swoimi danymi \u2013 tak cz\u0119sto my\u015bl\u0105 specjali\u015bci, kt\u00f3rzy ch\u0119tnie przeczytaj\u0105 przed snem kilka teorii spiskowych. Po pierwsze, mo\u017cliwo\u015b\u0107 przeprowadzania jakichkolwiek operacji na twoich danych poza tymi, kt\u00f3re s\u0105 okre\u015blone w zleceniu, w zasadzie wynosi zero. Po drugie, rzetelny dostawca ceni swoj\u0105 reputacj\u0119 i relacje z tob\u0105 \u2013 opr\u00f3cz ciebie ma jeszcze wielu klient\u00f3w. Bardziej prawdopodobny jest odwrotny scenariusz, w kt\u00f3rym dostawca b\u0119dzie gorliwie chroni\u0107 dane swoich klient\u00f3w, na kt\u00f3rych opiera si\u0119 r\u00f3wnie\u017c jego biznes.<\/p>\n Obecnie rynek oferuje wiele rozwi\u0105za\u0144 dla firm b\u0119d\u0105cych operatorami danych osobowych. Poni\u017cej przedstawiamy og\u00f3ln\u0105 list\u0119 rekomendacji dotycz\u0105cych wyboru odpowiedniego dostawcy.<\/p>\n Dostawca powinien by\u0107 gotowy do zawarcia oficjalnej umowy z opisem obowi\u0105zk\u00f3w stron, SLA i stref odpowiedzialno\u015bci w kontek\u015bcie przetwarzania danych osobowych. W rzeczywisto\u015bci, mi\u0119dzy tob\u0105 a dostawc\u0105, opr\u00f3cz umowy na us\u0142ugi, powinno by\u0107 podpisane zlecenie na przetwarzanie danych osobowych. W ka\u017cdym przypadku warto je dok\u0142adnie przeanalizowa\u0107. Wa\u017cne jest, aby zrozumie\u0107 podzia\u0142 stref odpowiedzialno\u015bci mi\u0119dzy wami a dostawc\u0105.<\/p>\n<\/li>\n Zwr\u00f3\u0107 uwag\u0119, \u017ce segment musi spe\u0142nia\u0107 wymagania, co oznacza, \u017ce musi posiada\u0107 certyfikat z okre\u015bleniem poziomu zabezpiecze\u0144 nie ni\u017cszym ni\u017c wymagane przez Twoje IS. Czasami dostawcy publikuj\u0105 tylko pierwsz\u0105 stron\u0119 certyfikatu, z kt\u00f3rej niewiele wynika, lub odnosz\u0105 si\u0119 do audytu lub proces\u00f3w zgodno\u015bci, nie publikuj\u0105c samego certyfikatu (\u00aba czy by\u0142 ch\u0142opiec?\u00bb). Warto go za\u017c\u0105da\u0107 \u2014 to dokument publiczny, w kt\u00f3rym wskazane jest, kto przeprowadzi\u0142 certyfikacj\u0119, okres wa\u017cno\u015bci, lokalizacja chmury itp.<\/p>\n<\/li>\n Dostawca powinien dostarcza\u0107 informacje o tym, gdzie znajduj\u0105 si\u0119 jego obiekty (obiekty ochrony), aby\u015b m\u00f3g\u0142 kontrolowa\u0107 lokalizacj\u0119 swoich danych. Przypomnijmy, \u017ce pocz\u0105tkowe gromadzenie PPD musi odbywa\u0107 si\u0119 na terytorium RF, w zwi\u0105zku z czym w umowie\/certyfikacie warto zobaczy\u0107 adresy centr\u00f3w danych.<\/p>\n<\/li>\n Dostawca powinien korzysta\u0107 z certyfikowanych SZR oraz SKR. Oczywi\u015bcie, wi\u0119kszo\u015b\u0107 dostawc\u00f3w nie ujawnia u\u017cywanych \u015brodk\u00f3w ochrony technicznej i architektury rozwi\u0105za\u0144. Ale jako klient nie b\u0119dziesz m\u00f3g\u0142 o tym nie wiedzie\u0107. Na przyk\u0142ad, do zdalnego po\u0142\u0105czenia z systemem zarz\u0105dzania (portalem zarz\u0105dzania) nale\u017cy u\u017cy\u0107 \u015brodk\u00f3w ochrony. Dostawca nie b\u0119dzie m\u00f3g\u0142 obej\u015b\u0107 tego wymagania i zapewni Ci (lub za\u017c\u0105da od Ciebie u\u017cywania) certyfikowanych rozwi\u0105za\u0144. Przetestuj zasoby, a od razu zrozumiesz, jak i co jest zorganizowane. <\/p>\n<\/li>\n Bardzo po\u017c\u0105dane, aby dostawca chmury oferowa\u0142 dodatkowe us\u0142ugi w zakresie IBezpiecze\u0144stwa. Mog\u0105 to by\u0107 r\u00f3\u017cnorodne us\u0142ugi: ochrona przed atakami DDoS i WAF, us\u0142ugi antywirusowe lub piaskownica itp. Wszystko to pozwoli Ci uzyska\u0107 ochron\u0119 jako us\u0142ug\u0119, nie odci\u0105gaj\u0105c si\u0119 na budowanie system\u00f3w ochrony, a skoncentrowa\u0107 si\u0119 na aplikacjach biznesowych.<\/p>\n<\/li>\n Dostawca powinien by\u0107 licencjonowany przez FSTEC i FSB. Zazwyczaj takie informacje s\u0105 umieszczane bezpo\u015brednio na stronie internetowej. Koniecznie za\u017c\u0105daj tych dokument\u00f3w i sprawd\u017a, czy poprawnie wskazane s\u0105 adresy \u015bwiadczenia us\u0142ug, nazwa firmy dostawcy itp. <\/p>\n<\/li>\n<\/ul>\n Podsumujmy. Wynajem infrastruktury pozwoli zrezygnowa\u0107 z CAPEX i pozostawi\u0107 w swojej strefie odpowiedzialno\u015bci jedynie w\u0142asne aplikacje biznesowe i dane, a ci\u0119\u017cki ci\u0119\u017car certyfikacji \u00absprz\u0119tu\u00bb i \u015brodk\u00f3w programowo-sprz\u0119towych przekaza\u0107 dostawcy.<\/p>\n Niedawno pomy\u015blnie przeszli\u015bmy audyt infrastruktury \u201eZabezpieczonej chmury FZ-152\u201d w celu potwierdzenia zgodno\u015bci z wymaganiami dotycz\u0105cymi przetwarzania danych osobowych. Prace przeprowadzi\u0142 \u201eNarodowy Centrum Certyfikacji\u201d.<\/p>\n Na chwil\u0119 obecn\u0105 \u201eZabezpieczona chmura FZ-152\u201d zosta\u0142a zatwierdzona do umieszczania system\u00f3w informacyjnych uczestnicz\u0105cych w przetwarzaniu, przechowywaniu lub przesy\u0142aniu danych osobowych (ISPDn) zgodnie z wymaganiami poziomu UZ-3.<\/p>\n Procedura certyfikacji polega na sprawdzeniu zgodno\u015bci infrastruktury dostawcy chmury z poziomem ochrony. Sam dostawca \u015bwiadczy us\u0142ugi IaaS i nie jest operatorem danych osobowych. Proces obejmuje ocen\u0119 zar\u00f3wno \u015brodk\u00f3w organizacyjnych (dokumentacja, zarz\u0105dzenia itp.), jak i technicznych (konfiguracja \u015brodk\u00f3w ochrony itp.).<\/p>\n Nie mo\u017cna tego nazwa\u0107 trywialnym. Mimo \u017ce standardy dotycz\u0105ce program\u00f3w i metod przeprowadzania dzia\u0142a\u0144 certyfikacyjnych pojawi\u0142y si\u0119 ju\u017c w 2013 roku, do tej pory nie istniej\u0105 surowe programy dla obiekt\u00f3w chmurowych. Centra certyfikacyjne opracowuj\u0105 te programy na podstawie w\u0142asnej wiedzy. Wraz z pojawieniem si\u0119 nowych technologii programy staj\u0105 si\u0119 coraz bardziej z\u0142o\u017cone i zaktualizowane, odpowiednio, certyfikator musi mie\u0107 do\u015bwiadczenie w pracy z rozwi\u0105zaniami chmurowymi i rozumie\u0107 ich specyfik\u0119.<\/p>\n W naszym przypadku obiekt ochrony sk\u0142ada si\u0119 z dw\u00f3ch lokalizacji.<\/p>\n Bezpo\u015brednio w Centrum Danych znajduj\u0105 si\u0119 zasoby chmurowe (serwery, macierze dyskowe, infrastruktura sieciowa, \u015brodki ochrony itp.). Z pewno\u015bci\u0105 taka wirtualna Centrum Danych jest pod\u0142\u0105czona do publicznych sieci, co oznacza, \u017ce musz\u0105 by\u0107 spe\u0142nione okre\u015blone wymagania dotycz\u0105ce firewalli, na przyk\u0142ad u\u017cycie certyfikowanych zap\u00f3r sieciowych.<\/p>\n<\/li>\n Drug\u0105 cz\u0119\u015bci\u0105 obiektu s\u0105 \u015brodki zarz\u0105dzania chmur\u0105. S\u0105 to stacje robocze (ARM administratora), z kt\u00f3rych zarz\u0105dza si\u0119 zabezpieczonym segmentem.<\/p>\n<\/li>\n<\/ul>\nSzczeg\u00f3\u0142y klasyfikacji<\/h2>\n
Opcje budowy systemu przetwarzania danych osobowych<\/h2>\n
\n
\n
\n
\n
\n
\n
\n
\n
Wyb\u00f3r dostawcy chmury dla przetwarzania danych osobowych<\/h2>\n
\n
Jak przechodzili\u015bmy certyfikacj\u0119<\/h3>\n
\n
![\"IaaS](\"\/wp-content\/uploads\/2020\/09\/611ca4c92615fffb675864b72dcaa2f8.jpg\")
Schemat strukturalny \u201eoczyma certyfikatora\u201d<\/p>\n![\"IaaS](\"\/wp-content\/uploads\/2020\/09\/4b0f5c72f8460c2a81068887efc8c9b1.jpg\")
Podzia\u0142 na poziomie abstrakcji<\/p>\n