![\"IaaS](\"\/wp-content\/uploads\/2020\/09\/d91a5d152754f82316e0027fd3447b53.jpg\")
<\/p>\n<\/p>\n
Independentemente de quantas vezes se desmistificam os mitos e lendas que cercam a conformidade com a Lei 152-FZ, algo sempre fica de fora. Hoje, queremos discutir nuances que nem sempre s\u00e3o \u00f3bvias e com as quais tanto grandes empresas quanto pequenos neg\u00f3cios podem se deparar:<\/p>\n
as sutilezas da classifica\u00e7\u00e3o de Dados Pessoais (DP) por categorias \u2014 quando um pequeno e-commerce coleta dados que pertencem a uma categoria especial, mesmo sem saber;<\/p>\n<\/li>\n
onde \u00e9 poss\u00edvel armazenar backups dos DP coletados e realizar opera\u00e7\u00f5es sobre eles;<\/p>\n<\/li>\n
quais as diferen\u00e7as entre um certificado e um laudo de conformidade, quais documentos solicitar ao provedor e tudo mais relacionado.<\/p>\n<\/li>\n<\/ul>\n
Por fim, vamos compartilhar nossa pr\u00f3pria experi\u00eancia com o processo de certifica\u00e7\u00e3o. Vamos l\u00e1!<\/p>\n
O especialista neste artigo ser\u00e1 Alexey Afanasev<\/strong>, especialista em quest\u00f5es de seguran\u00e7a da informa\u00e7\u00e3o de provedores de nuvem \"IT-GRAD\" e #CloudMTS (parte do grupo MTS).<\/em><\/p>\n Frequentemente nos deparamos com o desejo do cliente de definir rapidamente, sem auditoria do Sistema de Informa\u00e7\u00e3o, o n\u00edvel de prote\u00e7\u00e3o necess\u00e1rio para os Dados Pessoais. Alguns materiais na internet sobre esse tema transmitem uma falsa impress\u00e3o de que essa \u00e9 uma tarefa simples e que \u00e9 dif\u00edcil cometer um erro.<\/p>\n Para determinar o N\u00edvel de Seguran\u00e7a, \u00e9 necess\u00e1rio entender quais dados ser\u00e3o coletados e processados pelo Sistema de Informa\u00e7\u00e3o do cliente. \u00c0s vezes, \u00e9 complicado definir claramente os requisitos de prote\u00e7\u00e3o e a categoria de Dados Pessoais com os quais o neg\u00f3cio trabalha. Os mesmos tipos de dados pessoais podem ser avaliados e classificados de maneiras completamente diferentes. Portanto, em alguns casos, a opini\u00e3o da empresa pode divergir da opini\u00e3o do auditor ou at\u00e9 mesmo do fiscalizador. Vamos ver alguns exemplos.<\/p>\n Frota.<\/strong> \u00c0 primeira vista, parece um tipo de neg\u00f3cios bastante tradicional. Muitas frotas operam h\u00e1 d\u00e9cadas, e seus propriet\u00e1rios contratam pessoas f\u00edsicas ou jur\u00eddicas. Em geral, os dados dos funcion\u00e1rios caem sob as exig\u00eancias da UZ-4. No entanto, para trabalhar com motoristas, n\u00e3o basta coletar dados de cadastro; \u00e9 necess\u00e1rio realizar controle m\u00e9dico nas depend\u00eancias da frota antes do in\u00edcio do turno, e as informa\u00e7\u00f5es coletadas nesse processo j\u00e1 s\u00e3o consideradas dados m\u00e9dicos \u2013 ou seja, dados pessoais de categoria especial. Al\u00e9m disso, a frota pode solicitar atestados que ser\u00e3o armazenados no dossi\u00ea do motorista. Um scan desse atestado em formato eletr\u00f4nico cont\u00e9m dados sobre a sa\u00fade, dados pessoais de categoria especial. Portanto, a UZ-4 j\u00e1 n\u00e3o \u00e9 suficiente; \u00e9 necess\u00e1rio, no m\u00ednimo, a UZ-3.<\/p>\n Loja virtual. <\/strong>\u00c0 primeira vista, os nomes, e-mails e telefones coletados parecem se enquadrar em uma categoria p\u00fablica. No entanto, se seus clientes indicarem prefer\u00eancias gastron\u00f4micas, como halal ou kosher, essas informa\u00e7\u00f5es podem ser vistas como dados sobre afilia\u00e7\u00f5es e cren\u00e7as religiosas. Assim, durante uma auditoria ou outras atividades de controle, o auditor pode classificar os dados que voc\u00ea coleta como pertencentes \u00e0 categoria especial de PDn. Se a loja virtual coletasse informa\u00e7\u00f5es sobre a prefer\u00eancia do cliente por carne ou peixe, esses dados poderiam ser classificados como outros PDn. A prop\u00f3sito, o que fazer com os vegetarianos? Pois isso tamb\u00e9m pode ser considerado uma cren\u00e7a filos\u00f3fica, que \u00e9 categorizada como especial. Mas, por outro lado, isso pode ser apenas a posi\u00e7\u00e3o de uma pessoa que excluiu carne da sua dieta. Infelizmente, n\u00e3o h\u00e1 uma tabela que defina de forma inequ\u00edvoca a categoria de PDn em situa\u00e7\u00f5es t\u00e3o \"delicadas\".<\/p>\n Ag\u00eancia de publicidade <\/strong>usando qualquer servi\u00e7o de nuvem ocidental para processar os dados p\u00fablicos de seus clientes \u2014 nomes, endere\u00e7os de e-mail e telefones. Esses dados pessoais, sem d\u00favida, se enquadram na categoria de dados pessoais. Surge a quest\u00e3o: \u00e9 legal realizar tal processamento? \u00c9 poss\u00edvel transferir esses dados sem anonimiza\u00e7\u00e3o para fora da R\u00fassia, por exemplo, armazenar backups em nuvens estrangeiras? Claro que \u00e9. A ag\u00eancia tem o direito de armazenar esses dados fora da R\u00fassia, no entanto, a coleta inicial, de acordo com nossa legisla\u00e7\u00e3o, deve ser realizada no territ\u00f3rio da R\u00fassia. Se voc\u00ea est\u00e1 fazendo backup dessas informa\u00e7\u00f5es, calculando estat\u00edsticas com base nelas, conduzindo pesquisas ou realizando outras opera\u00e7\u00f5es, tudo isso pode ser feito tamb\u00e9m em recursos ocidentais. O ponto chave do ponto de vista legal \u00e9 onde ocorre a coleta de dados pessoais. Portanto, \u00e9 importante n\u00e3o confundir a coleta inicial e o processamento.<\/p>\n Como se pode ver nesses breves exemplos, nem sempre trabalhar com dados pessoais \u00e9 claro e simples. N\u00e3o \u00e9 apenas necess\u00e1rio saber que voc\u00ea est\u00e1 lidando com eles, mas tamb\u00e9m ser capaz de classific\u00e1-los corretamente, entender como o sistema de informa\u00e7\u00e3o funciona para determinar corretamente o n\u00edvel de seguran\u00e7a exigido. Em alguns casos, pode haver a quest\u00e3o de qual volume de dados pessoais \u00e9 realmente necess\u00e1rio para a opera\u00e7\u00e3o da organiza\u00e7\u00e3o. \u00c9 poss\u00edvel abrir m\u00e3o dos dados mais \"s\u00e9rios\" ou simplesmente desnecess\u00e1rios? Al\u00e9m disso, o regulador recomenda anonimizar os dados pessoais sempre que poss\u00edvel. <\/p>\n Como nos exemplos acima, \u00e0s vezes pode-se deparar com o fato de que as autoridades de verifica\u00e7\u00e3o interpretam os dados pessoais coletados de maneira um pouco diferente do que voc\u00ea mesmo os avaliou.<\/p>\n Claro que voc\u00ea pode contar com a ajuda de um auditor ou integrador de sistemas, mas o \"ajudante\" ser\u00e1 respons\u00e1vel pelas decis\u00f5es tomadas em caso de verifica\u00e7\u00e3o? Vale ressaltar que a responsabilidade recai sempre sobre o propriet\u00e1rio do sistema de informa\u00e7\u00f5es de dados pessoais \u2014 operador de dados pessoais. \u00c9 por isso que, quando uma empresa realiza tais obras, \u00e9 importante recorrer a grandes players no mercado desses servi\u00e7os, como empresas que realizam trabalhos de certifica\u00e7\u00e3o. Empresas certificadoras t\u00eam vasta experi\u00eancia na realiza\u00e7\u00e3o desse tipo de trabalho.<\/p>\n A constru\u00e7\u00e3o de uma IGC n\u00e3o \u00e9 apenas uma quest\u00e3o t\u00e9cnica, mas tamb\u00e9m, em grande parte, jur\u00eddica. O diretor de TI ou o diretor de seguran\u00e7a deve obrigatoriamente consultar um advogado. Como na empresa nem sempre h\u00e1 um especialista com o perfil necess\u00e1rio, vale a pena considerar auditores consultores. Muitos pontos escorregadios podem n\u00e3o ser de forma alguma \u00f3bvios.<\/p>\n A consulta permitir\u00e1 determinar com quais dados pessoais voc\u00ea est\u00e1 lidando e qual n\u00edvel de prote\u00e7\u00e3o eles requerem. Consequentemente, voc\u00ea ter\u00e1 uma no\u00e7\u00e3o do sistema de informa\u00e7\u00e3o que precisa ser criado ou complementado com meios de prote\u00e7\u00e3o e documenta\u00e7\u00e3o.<\/p>\n Frequentemente, a escolha para a empresa se resume a duas op\u00e7\u00f5es:<\/p>\n Construir um sistema correspondente em suas solu\u00e7\u00f5es de software e hardware, possivelmente em seu pr\u00f3prio servidor.<\/p>\n<\/li>\n Recorrer a um provedor de nuvem e escolher uma solu\u00e7\u00e3o el\u00e1stica, j\u00e1 atestada, como um \u2018servidor virtual\u2019.<\/p>\n<\/li>\n<\/ol>\n A maioria dos sistemas que processam dados pessoais utiliza uma abordagem tradicional, que, do ponto de vista dos neg\u00f3cios, \u00e9 dif\u00edcil de considerar leve e bem-sucedida. Ao escolher essa op\u00e7\u00e3o, \u00e9 preciso compreender que o projeto t\u00e9cnico incluir\u00e1 a descri\u00e7\u00e3o do equipamento, abrangendo solu\u00e7\u00f5es de software e hardware e plataformas. Assim, voc\u00ea enfrentar\u00e1 as seguintes dificuldades e limita\u00e7\u00f5es:<\/p>\n dificuldade de escalabilidade;<\/p>\n<\/li>\n longo prazo de implementa\u00e7\u00e3o do projeto: \u00e9 necess\u00e1rio escolher, comprar, instalar, configurar e descrever o sistema;<\/p>\n<\/li>\n uma quantidade enorme de \u2018trabalho burocr\u00e1tico\u2019, como exemplo \u2014 desenvolvimento de um pacote completo de documenta\u00e7\u00e3o para toda a IGC.<\/p>\n<\/li>\n<\/ul>\n Al\u00e9m disso, o neg\u00f3cio, como regra, se aprofunda apenas no \u2018n\u00edvel superior\u2019 de seu sistema \u2014 nas aplica\u00e7\u00f5es empresariais utilizadas. Em outras palavras, a equipe de TI \u00e9 qualificada em sua \u00e1rea espec\u00edfica. Falta uma compreens\u00e3o de como todos os \u2018n\u00edveis inferiores\u2019 funcionam: meios de prote\u00e7\u00e3o de software e hardware, sistemas de armazenamento, backup e, claro, como configurar os meios de prote\u00e7\u00e3o de acordo com todos os requisitos, construindo a parte \u2018f\u00edsica\u2019 da configura\u00e7\u00e3o. \u00c9 importante entender que este \u00e9 um vasto campo de conhecimento que est\u00e1 al\u00e9m do escopo do neg\u00f3cio do cliente. \u00c9 justamente aqui que a experi\u00eancia do provedor de nuvem, que oferece um \u2018servidor virtual\u2019 atestado, pode ser \u00fatil.<\/p>\n Por sua vez, os provedores de nuvem possuem uma s\u00e9rie de vantagens que, sem exagero, podem atender a 99% das necessidades de neg\u00f3cios em rela\u00e7\u00e3o \u00e0 prote\u00e7\u00e3o de dados pessoais:<\/p>\n os custos de capital se transformam em custos operacionais;<\/p>\n<\/li>\n o provedor garante um n\u00edvel necess\u00e1rio de seguran\u00e7a e disponibilidade com base em uma solu\u00e7\u00e3o padr\u00e3o comprovada;<\/p>\n<\/li>\n n\u00e3o \u00e9 necess\u00e1rio manter uma equipe de especialistas para garantir o funcionamento do sistema de prote\u00e7\u00e3o de dados pessoais no n\u00edvel de 'hardware';<\/p>\n<\/li>\n os provedores oferecem solu\u00e7\u00f5es muito mais flex\u00edveis e el\u00e1sticas;<\/p>\n<\/li>\n os especialistas do provedor possuem todas as certifica\u00e7\u00f5es necess\u00e1rias;<\/p>\n<\/li>\n compliance n\u00e3o \u00e9 inferior ao que se obt\u00e9m ao construir uma arquitetura pr\u00f3pria, considerando as exig\u00eancias e recomenda\u00e7\u00f5es dos reguladores.<\/p>\n<\/li>\n<\/ul>\n O antigo mito de que dados pessoais n\u00e3o podem ser armazenados nas nuvens ainda \u00e9 extremamente popular. Ele \u00e9 verdade apenas em parte: os dados pessoais realmente n\u00e3o podem ser colocados em qualquer<\/em> nuvem. \u00c9 necess\u00e1rio cumprir algumas medidas t\u00e9cnicas, utilizando solu\u00e7\u00f5es certificadas espec\u00edficas. Se o provedor atender a todos os requisitos legais, os riscos associados \u00e0 viola\u00e7\u00e3o de dados pessoais s\u00e3o minimizados. Muitos provedores t\u00eam uma infraestrutura separada para o processamento de dados pessoais de acordo com a Lei 152-FZ. No entanto, a escolha do fornecedor tamb\u00e9m deve ser feita com conhecimento de certos crit\u00e9rios, os quais abordaremos a seguir. <\/p>\n Os clientes frequentemente chegam at\u00e9 n\u00f3s com algumas preocupa\u00e7\u00f5es sobre o armazenamento de dados pessoais na nuvem do provedor. Bem, vamos discutir isso imediatamente.<\/p>\n Os dados podem ser roubados durante a transmiss\u00e3o ou migra\u00e7\u00e3o<\/p>\n<\/li>\n<\/ul>\n N\u00e3o h\u00e1 motivo para temer isso \u2014 o provedor oferece ao cliente a cria\u00e7\u00e3o de um canal seguro de transmiss\u00e3o de dados, constru\u00eddo sobre solu\u00e7\u00f5es certificadas, com medidas refor\u00e7adas de autentica\u00e7\u00e3o para contrapartes e funcion\u00e1rios. Resta escolher os m\u00e9todos de prote\u00e7\u00e3o adequados e implement\u00e1-los no relacionamento com o cliente.<\/p>\n Chegar\u00e3o com um show de m\u00e1scaras e levar\u00e3o\/selar\u00e3o\/desligar\u00e3o o servidor<\/p>\n<\/li>\n<\/ul>\n \u00c9 compreens\u00edvel que os clientes temam que seus processos de neg\u00f3cios sejam interrompidos devido \u00e0 falta de controle sobre a infraestrutura. Geralmente, isso \u00e9 uma preocupa\u00e7\u00e3o para aqueles cujos servidores estavam anteriormente em pequenos data centers, e n\u00e3o em centros de dados especializados. Na realidade, os data centers s\u00e3o equipados com modernos meios de prote\u00e7\u00e3o f\u00edsica e da informa\u00e7\u00e3o. Qualquer opera\u00e7\u00e3o em um desses data centers \u00e9 praticamente imposs\u00edvel sem justificativas adequadas e documenta\u00e7\u00e3o, e tais atividades requerem a observ\u00e2ncia de uma s\u00e9rie de procedimentos. Al\u00e9m disso, a remo\u00e7\u00e3o do seu servidor do data center pode afetar outros clientes do provedor, e isso definitivamente n\u00e3o \u00e9 desejado. Al\u00e9m disso, ningu\u00e9m poder\u00e1 apontar especificamente para<\/p>\n Hackers invadir\u00e3o a nuvem e roubar\u00e3o dados<\/p>\n<\/li>\n<\/ul>\n A internet e a imprensa impressa est\u00e3o repletas de manchetes sobre como mais uma nuvem foi v\u00edtima de cibercriminosos, resultando no vazamento de milh\u00f5es de registros de dados pessoais. Na maioria esmagadora dos casos, as vulnerabilidades foram descobertas n\u00e3o do lado do provedor, mas nos sistemas das v\u00edtimas: senhas fracas ou at\u00e9 mesmo padr\u00f5es, 'buracos' nos motores de sites e bases de dados, e a pura neglig\u00eancia dos neg\u00f3cios na escolha de medidas de prote\u00e7\u00e3o e na organiza\u00e7\u00e3o de procedimentos de acesso aos dados. Todas as solu\u00e7\u00f5es certificadas s\u00e3o verificadas em busca de vulnerabilidades. N\u00f3s tamb\u00e9m realizamos regularmente testes de penetra\u00e7\u00e3o \u2018de controle\u2019 e auditorias de seguran\u00e7a, tanto internamente quanto com a ajuda de organiza\u00e7\u00f5es externas. Para o provedor, isso \u00e9 uma quest\u00e3o de reputa\u00e7\u00e3o e do neg\u00f3cio como um todo.<\/p>\n O provedor \/ funcion\u00e1rios do provedor roubar\u00e3o dados pessoais para fins de lucro<\/p>\n<\/li>\n<\/ul>\n Este \u00e9 um momento bastante sens\u00edvel. V\u00e1rias empresas do setor de seguran\u00e7a da informa\u00e7\u00e3o \"assustam\" seus clientes e insistem que \"funcion\u00e1rios internos s\u00e3o mais perigosos que hackers externos\". Isso pode ser verdade em alguns casos, mas n\u00e3o se pode construir um neg\u00f3cio sem confian\u00e7a. De tempos em tempos surgem not\u00edcias sobre funcion\u00e1rios que vazam dados de clientes para criminosos, e a seguran\u00e7a interna \u00e0s vezes \u00e9 organizada muito pior do que a externa. \u00c9 importante entender que qualquer grande provedor est\u00e1 extremamente desinteressado em cen\u00e1rios negativos. As a\u00e7\u00f5es dos funcion\u00e1rios do provedor s\u00e3o bem regulamentadas, com pap\u00e9is e zonas de responsabilidade bem definidas. Todos os processos de neg\u00f3cios s\u00e3o estruturados de maneira que os casos de vazamento de dados s\u00e3o extremamente improv\u00e1veis e sempre detect\u00e1veis pelos servi\u00e7os internos, portanto, os clientes n\u00e3o precisam se preocupar com esse lado.<\/p>\n Voc\u00ea paga pouco porque est\u00e1 pagando pelos servi\u00e7os com os dados do seu neg\u00f3cio.<\/p>\n<\/li>\n<\/ul>\n Mais um mito: o cliente que aluga uma infraestrutura segura a um pre\u00e7o acess\u00edvel, na verdade, est\u00e1 pagando por ela com seus dados \u2013 \u00e9 assim que pensam frequentemente os especialistas que gostam de ler algumas teorias da conspira\u00e7\u00e3o antes de dormir. Em primeiro lugar, a possibilidade de realizar opera\u00e7\u00f5es com seus dados al\u00e9m daquelas indicadas na autoriza\u00e7\u00e3o \u00e9 praticamente nula. Em segundo lugar, um provedor adequado valoriza o relacionamento com voc\u00ea e sua reputa\u00e7\u00e3o \u2014 al\u00e9m de voc\u00ea, ele tem muitos outros clientes. \u00c9 mais prov\u00e1vel que o contr\u00e1rio aconte\u00e7a, onde o provedor proteger\u00e1 avidamente os dados de seus clientes, que sustentam, entre outras coisas, seu neg\u00f3cio.<\/p>\n Hoje em dia, o mercado oferece v\u00e1rias solu\u00e7\u00f5es para empresas que s\u00e3o operadoras de dados pessoais. Abaixo, apresentamos uma lista geral de recomenda\u00e7\u00f5es para escolher a op\u00e7\u00e3o adequada.<\/p>\n O provedor deve estar disposto a assinar um contrato oficial que descreva as obriga\u00e7\u00f5es das partes, SLA e zonas de responsabilidade em rela\u00e7\u00e3o ao processamento de dados pessoais. Na pr\u00e1tica, entre voc\u00ea e o provedor, al\u00e9m do contrato de servi\u00e7o, deve haver uma autoriza\u00e7\u00e3o para o processamento de dados pessoais. Em qualquer caso, \u00e9 importante estud\u00e1-los cuidadosamente. \u00c9 crucial entender a divis\u00e3o de responsabilidades entre voc\u00ea e o provedor.<\/p>\n<\/li>\n \u00c9 importante que o segmento atenda \u00e0s exig\u00eancias e, portanto, tenha um certificado indicando um n\u00edvel de seguran\u00e7a n\u00e3o inferior ao exigido pelo seu sistema de informa\u00e7\u00e3o. \u00c0s vezes, os provedores publicam apenas a primeira p\u00e1gina do certificado, que oferece poucas informa\u00e7\u00f5es, ou fazem refer\u00eancia a auditorias ou conformidade, sem publicar o pr\u00f3prio certificado (\"mas havia um menino?\"). Vale a pena solicit\u00e1-lo \u2014 \u00e9 um documento p\u00fablico que indica quem realizou a certifica\u00e7\u00e3o, a validade, a localiza\u00e7\u00e3o da nuvem, etc.<\/p>\n<\/li>\n O provedor deve fornecer informa\u00e7\u00f5es sobre a localiza\u00e7\u00e3o de suas instala\u00e7\u00f5es (objetos de prote\u00e7\u00e3o), para que voc\u00ea possa controlar a localiza\u00e7\u00e3o de seus dados. Lembramos que a coleta inicial de dados pessoais deve ser realizada em territ\u00f3rio russo; portanto, no contrato\/certificado, \u00e9 desej\u00e1vel que os endere\u00e7os dos centros de dados estejam vis\u00edveis.<\/p>\n<\/li>\n O provedor deve utilizar sistemas de prote\u00e7\u00e3o de informa\u00e7\u00f5es certificadas (SPIC) e sistemas de criptografia de informa\u00e7\u00f5es (SKZI). Claro, a maioria dos provedores n\u00e3o divulga os meios t\u00e9cnicos de prote\u00e7\u00e3o e a arquitetura das solu\u00e7\u00f5es utilizadas. Mas voc\u00ea, como cliente, n\u00e3o pode deixar de saber sobre isso. Por exemplo, para conex\u00e3o remota ao sistema de gest\u00e3o (portal de gest\u00e3o), \u00e9 necess\u00e1rio utilizar meios de prote\u00e7\u00e3o. O provedor n\u00e3o poder\u00e1 ignorar essa exig\u00eancia e fornecer\u00e1 a voc\u00ea (ou exigir\u00e1 que voc\u00ea utilize) solu\u00e7\u00f5es certificadas. Teste os recursos e voc\u00ea entender\u00e1 imediatamente como tudo funciona. <\/p>\n<\/li>\n \u00c9 extremamente desej\u00e1vel que o provedor de nuvem ofere\u00e7a servi\u00e7os adicionais na \u00e1rea de seguran\u00e7a da informa\u00e7\u00e3o. Isso pode incluir v\u00e1rios servi\u00e7os: prote\u00e7\u00e3o contra ataques DDoS e WAF, servi\u00e7o antiv\u00edrus ou sandbox, etc. Tudo isso permitir\u00e1 que voc\u00ea obtenha prote\u00e7\u00e3o como um servi\u00e7o, sem se distrair com a constru\u00e7\u00e3o de sistemas de prote\u00e7\u00e3o, e se concentre em aplicativos de neg\u00f3cios.<\/p>\n<\/li>\n O provedor deve ser licenciado pela FSTEC e pela FSB. Normalmente, essas informa\u00e7\u00f5es est\u00e3o dispon\u00edveis diretamente no site. Certifique-se de solicitar esses documentos e verifique se os endere\u00e7os dos servi\u00e7os prestados, o nome da empresa do provedor, etc., est\u00e3o corretos. <\/p>\n<\/li>\n<\/ul>\n Vamos resumir. Alugar infraestrutura permitir\u00e1 que voc\u00ea se livre do CAPEX e mantenha sob sua responsabilidade apenas os aplicativos de neg\u00f3cios e os pr\u00f3prios dados, enquanto o peso da certifica\u00e7\u00e3o de hardware e software \u00e9 transferido para o provedor.<\/p>\n Recentemente, n\u00f3s conclu\u00edmos com sucesso a reavalia\u00e7\u00e3o da infraestrutura da \"Nuvem Segura FZ-152\" para conformidade com os requisitos para o tratamento de dados pessoais. O trabalho foi realizado pelo \"Centro Nacional de Certifica\u00e7\u00e3o\".<\/p>\n Atualmente, a \"Nuvem Segura FZ-152\" est\u00e1 certificada para hospedar sistemas de informa\u00e7\u00e3o que participam do processamento, armazenamento ou transmiss\u00e3o de dados pessoais (ISPDP) de acordo com os requisitos do n\u00edvel UZ-3.<\/p>\n O processo de certifica\u00e7\u00e3o envolve a verifica\u00e7\u00e3o da conformidade da infraestrutura do provedor de nuvem com o n\u00edvel de prote\u00e7\u00e3o. O pr\u00f3prio provedor oferece servi\u00e7os de IaaS e n\u00e3o \u00e9 um operador de dados pessoais. O processo envolve a avalia\u00e7\u00e3o tanto de medidas organizacionais (documenta\u00e7\u00e3o, ordens, etc.) quanto de medidas t\u00e9cnicas (configura\u00e7\u00e3o de ferramentas de prote\u00e7\u00e3o, etc.).<\/p>\n N\u00e3o se pode cham\u00e1-lo de trivial. Embora a norma GOST para programas e metodologias de realiza\u00e7\u00e3o de eventos de certifica\u00e7\u00e3o tenha sido estabelecida em 2013, programas rigorosos para objetos em nuvem ainda n\u00e3o existem. Os centros de certifica\u00e7\u00e3o desenvolvem esses programas com base em sua pr\u00f3pria experi\u00eancia. Com a chegada de novas tecnologias, os programas se tornam mais complexos e s\u00e3o atualizados; portanto, o avaliador deve ter experi\u00eancia com solu\u00e7\u00f5es em nuvem e entender as especificidades.<\/p>\n No nosso caso, o objeto de prote\u00e7\u00e3o consiste em duas localiza\u00e7\u00f5es.<\/p>\n Os recursos em nuvem (servidores, sistemas de armazenamento, infraestrutura de rede, ferramentas de prote\u00e7\u00e3o, etc.) est\u00e3o localizados diretamente no Data Center. Sem d\u00favida, esse Data Center virtual est\u00e1 conectado a redes p\u00fablicas, portanto, deve-se cumprir certos requisitos de firewall, como o uso de firewalls certificados.<\/p>\n<\/li>\n A segunda parte do objeto s\u00e3o as ferramentas de gerenciamento da nuvem. Estas s\u00e3o as esta\u00e7\u00f5es de trabalho (postos de administra\u00e7\u00e3o), a partir das quais \u00e9 realizada a gest\u00e3o do segmento protegido.<\/p>\n<\/li>\n<\/ul>\nSutilezas da Classifica\u00e7\u00e3o<\/h2>\n
Op\u00e7\u00f5es para constru\u00e7\u00e3o de sistemas de informa\u00e7\u00f5es de dados pessoais<\/h2>\n
\n
\n
\n
\n
\n
\n
\n
\n
Escolhendo um provedor de nuvem para processamento de dados pessoais<\/h2>\n
\n
Como n\u00f3s passamos pela certifica\u00e7\u00e3o<\/h3>\n
\n
![\"IaaS](\"\/wp-content\/uploads\/2020\/09\/611ca4c92615fffb675864b72dcaa2f8.jpg\")
Diagrama estrutural \"sob a perspectiva do avaliador\"<\/p>\n![\"IaaS](\"\/wp-content\/uploads\/2020\/09\/4b0f5c72f8460c2a81068887efc8c9b1.jpg\")
Divis\u00e3o no n\u00edvel de abstra\u00e7\u00e3o<\/p>\n