A Lei Federal nº 152 "Sobre a Proteção de Dados Pessoais" aplica-se a todos os sujeitos existentes: pessoas físicas e jurídicas, órgãos federais do poder público e autoridades locais. De fato, essa lei se aplica a qualquer organização que processe informações e dados pessoais de cidadãos da RF, independentemente da forma de propriedade e do tamanho da organização.
Por vezes, uma organização pode descobrir, de forma inesperada, sistemas de informação de dados pessoais (PDn) que eram inicialmente não evidentes. Por exemplo, uma empresa é considerada operadora de dados pessoais se seu site possui formulários de feedback, registro, autorização e outros formulários de coleta de dados que permitem identificar o sujeito.
O controle e a supervisão em relação ao cumprimento dos requisitos da lei federal "Sobre Dados Pessoais" são realizados pelos reguladores:
- Roskomnadzor no que diz respeito à proteção dos direitos dos sujeitos de dados pessoais;
- FSB da Rússia no que diz respeito ao cumprimento de requisitos na área de criptografia;
- FSTEC da Rússia no que diz respeito ao cumprimento dos requisitos de proteção da informação contra acesso não autorizado e vazamentos por canais técnicos.
Como a Lei Federal "Sobre Dados Pessoais" é apenas a base legal para a proteção de PDn, seus requisitos foram posteriormente concretizados em atos do Governo da RF e do Ministério das Comunicações, além de outros documentos normativo-metodológicos dos reguladores.
Órgãos federais que regulam a atividade na área de processamento de dados pessoais
- Roskomnadzor (Serviço Federal de Supervisão na área de Comunicações e Mídia) — realiza controle e supervisão sobre a conformidade do processamento de PDn com os requisitos da legislação.
- FSTEC da Rússia (Serviço Federal de Controle Técnico e Exportação) — estabelece métodos e maneiras de proteger informações utilizando meios técnicos.
- FSB da Rússia (Serviço Federal de Segurança da RF) — estabelece métodos e maneiras de proteger informações dentro de sua autoridade (campo de uso de meios criptográficos de proteção da informação)
Toda organização que processa dados pessoais enfrenta o desafio de alinhar seus sistemas de informação às exigências legais. A proteção de dados pessoais é uma das questões mais relevantes, não apenas na Rússia, mas também em outros países.
Tipos de dados pessoais
De acordo com a Lei Federal 152, dados pessoais são quaisquer informações relacionadas a uma pessoa física identificada ou identificável com base nessas informações (sujeito de dados pessoais). Por exemplo: nome completo, data e local de nascimento, endereço, situação familiar, social, patrimonial, escolaridade, etc.
Os dados pessoais são divididos em várias categorias:
Especiais
Dados pessoais relacionados à raça, nacionalidade, opiniões políticas, crenças religiosas ou filosóficas, estado de saúde, vida íntima
Biométricos
Dados pessoais que caracterizam as características fisiológicas e biológicas de uma pessoa, com base nas quais é possível estabelecer sua identidade e que são utilizados pelo operador para verificar a identidade do sujeito dos dados pessoais
Outros
Dados pessoais que se referem a uma pessoa física identificada ou identificável, e não se enquadram nas categorias acima mencionadas
Públicos
Dados pessoais obtidos de fontes públicas, nas quais os dados foram publicados com o consentimento escrito do sujeito dos dados pessoais
O processamento de dados pessoais é qualquer ação (operação) ou conjunto de ações com dados pessoais, utilizando ou não recursos de automação, incluindo:
- coleta,
- registro,
- sistematização,
- acúmulo,
- armazenamento,
- atualização (alteração, modificação),
- extração,
- uso,
- transferência (distribuição, fornecimento, acesso),
- anonimização,
- bloqueio,
- exclusão,
- destruição de dados pessoais.
Responsabilidade por violações
De acordo com o artigo 24 da Lei Federal 152, as pessoas são responsabilizadas por violar a lei, conforme a legislação da Federação Russa.
Ao inspecionar uma empresa, os reguladores se baseiam na Lei Federal 152 e em uma série de atos legais secundários. A inspeção pode ser planejada ou não planejada — por razões de violação, bem como para controlar uma exigência anterior para sua correção.
Aqueles que violarem os requisitos de proteção de dados pessoais podem enfrentar não apenas responsabilidades civis e disciplinares, mas também administrativas e até criminais.
Como atender aos requisitos da Lei Federal nº 152?
Assim, uma empresa ou organização que processa dados pessoais ou outras informações de acesso restrito deve proteger essas informações de acordo com a legislação. Isso não apenas exige uma experiência, conhecimento e habilidades consideráveis, mas também envolve dificuldades técnicas e custos significativos.
De acordo com a definição oficial aprovada pela FSTEC, "... A segurança dos dados pessoais é o estado de proteção dos dados pessoais, caracterizado pela capacidade de usuários, meios técnicos e tecnologias da informação de garantir a confidencialidade, integridade e disponibilidade dos dados pessoais durante seu processamento em sistemas de informação de dados pessoais..."
Para cumprir os requisitos organizacionais, legais e técnicos da Lei Federal nº 152 de forma independente, é necessário estudar não apenas a própria lei, mas também seus atos normativos, entender quais medidas específicas precisam ser adotadas. Especialistas em outsourcing podem analisar os processos de processamento de dados pessoais na empresa, elaborar a documentação necessária, implementar os meios de proteção, etc.
Um sistema de proteção de informações abrangente inclui:
- Meios de prevenção de intrusões (IDS).
- Firewall (FW).
- Proteção contra malware.
- Sistema de monitoramento e registro de eventos de segurança.
- Sistema de proteção criptográfica de canais de comunicação (criptografia).
- Meios de proteção do ambiente virtual, sistema de proteção contra acesso não autorizado (NSA), identificação e gestão de acesso.
- Sistema de análise de segurança / detecção de vulnerabilidades, etc.
Além disso, a segurança da informação abrangente implica não apenas medidas técnicas, mas também organizacionais.
Nuvem da Lei Federal nº 152: características da implementação
Vários provedores russos oferecem serviços de infraestrutura em nuvem para acomodar sistemas de informação em conformidade com os requisitos da legislação federal referente a dados pessoais. Ao alojar os sistemas do cliente na nuvem, o provedor assume a responsabilidade por diversas questões de segurança da informação, incluindo a proteção dos dados pessoais. Durante a migração para a nuvem, ele garantirá a proteção da infraestrutura de TI, aliviando algumas das responsabilidades do cliente. Por exemplo, o provedor atende aos requisitos da Lei Federal 152, relativos à proteção do ambiente de virtualização.
Os provedores também podem oferecer suporte especializado aos clientes na proteção dos dados: determinar o nível de segurança necessário e, com isso, sugerir uma implementação; desenvolver a documentação necessária para atender aos requisitos da legislação russa.
A nuvem protegida ajudará a otimizar os custos da organização, reduzindo as despesas com a criação e manutenção da infraestrutura de TI e do sistema interno de proteção da informação. Normalmente, especialistas qualificados oferecem suporte técnico abrangente, incluindo consultoria e desenvolvimento de documentos para certificação em órgãos reguladores, e a plataforma que fornece os serviços está em conformidade com rigorosos padrões técnicos e atende às exigências organizacionais necessárias. Os clientes podem usufruir dos serviços de preparação da documentação necessária e proteção de dados pessoais em nível de aplicações e do sistema operacional.
Além disso, são previstos processos de gestão de riscos e vulnerabilidades, investigação de incidentes, auditorias internas e externas de segurança, bem como monitoramento e testes regulares da rede, sistemas e processos de segurança da informação. Especialistas qualificados garantem suporte 24/7 para a infraestrutura de TI.
No conjunto, essas medidas asseguram a conformidade com a legislação federal em matéria de proteção de dados pessoais.
Plataforma certificada
A IBS DataFort oferece esse serviço com base na . Toda a parte técnica, administração e ferramentas de virtualização dessa plataforma atendem às normas e requisitos da Lei Federal 152.
Arquitetura da nuvem protegida da IBS DataFort.
A plataforma garante a proteção de dados pessoais (até o primeiro nível de segurança incluído), sistemas de informação geográfica (até a primeira classe de segurança incluída) e armazenamento seguro de dados em um Data Center Tier III. A plataforma utiliza firewalls certificados, sistemas de detecção e prevenção de intrusões (IDS/IPS), criptografia de canais de comunicação (VPN GOST), proteção antivírus, medidas contra acesso não autorizado, proteção do ambiente de virtualização, assim como ferramentas de varredura de vulnerabilidades.
— também é uma solução adequada para aqueles que possuem altas exigências de privacidade e proteção de dados, desejam fortalecer sua reputação empresarial ou obter uma vantagem competitiva por meio de um elevado nível de segurança da informação comprovada.
Como é possível "mudar-se" para essa nuvem? É viável a "migração sem costura"? Com certeza. Por exemplo, a IBS DataFort realiza a transferência segura de dados pessoais para a sua nuvem protegida, minimizando paradas e impactos nos processos de negócios da empresa (inclusive, de locais no exterior).
Adequação da infraestrutura de TI à Lei Federal 152
O processo de adequação da infraestrutura de TI do cliente às exigências da Lei Federal 152 começa com a auditoria e avaliação do nível atual de segurança.
A auditoria da infraestrutura de TI do cliente inclui a análise dos processos de tratamento e proteção de dados pessoais e a inspeção dos dados pessoais do contratante. Um relatório de auditoria é elaborado com uma descrição detalhada dos processos de tratamento de dados pessoais do ponto de vista técnico.
Os trabalhos incluem também a modelagem de ameaças e infratores e a elaboração de um relatório de definição do nível de segurança para os dados pessoais. Com base nos resultados da auditoria, é elaborado um termo de referência específico para o sistema de proteção de dados pessoais e quais serão os requisitos para o sistema projetado.
Um conjunto de políticas, diretrizes, regulamentos e outros documentos sobre a proteção de dados pessoais é desenvolvido. Assim, os especialistas buscam otimizar os custos do cliente na implementação das medidas de proteção.
A IBS DataFort oferece serviços para a preparação de documentação e proteção de dados pessoais para cumprimento da legislação federal sobre proteção de dados pessoais e pode auxiliar na preparação e certificação (dados pessoais, sistemas de informação geográfica, sistemas automáticos).
A certificação é realizada por auditores independentes, que possuem licenças da FSTEC e da FSB da Rússia. A aprovação nesta certificação confirma a proteção confiável dos dados pessoais dos parceiros e clientes da empresa contra ameaças externas, além de assegurar a conformidade com os requisitos regulatórios. É importante destacar que os clientes têm a conveniência de um "único ponto de contato": tudo é fornecido por uma empresa — IBS DataFort.
Para o operador de dados pessoais, isso significa estar preparado para inspeções da Roskomnadzor, FSTEC e FSB, bem como a exclusão de riscos de bloqueio de recursos, inexistência de reclamações ou sanções por parte do regulador.
Este serviço é relevante para muitas categorias de clientes nos setores governamental e corporativo e pode ser procurado por operadores de dados pessoais que desejam alinhar suas atividades à legislação. O alojamento de Sistemas de Informação em um segmento fechado da infraestrutura do provedor, certificado conforme todos os padrões e requisitos necessários, isenta o cliente da necessidade de organizar todas as atividades de forma independente.
Fonte: habr.com
