Zakon št. 152 o varstvu osebnih podatkov se uporablja za vse obstoječe subjekte: fizične in pravne osebe, zvezne organe državne oblasti in lokalne oblasti. Dejansko se ta zakon nanaša na vse organizacije, ki obdelujejo informacije in osebne podatke državljanov Ruske federacije, ne glede na obliko lastništva in velikost organizacije.
Včasih lahko organizacija povsem nepričakovano odkrije prvotno nejasne informacijske sisteme osebnih podatkov (PDb). Na primer, podjetje se šteje za upravljalca osebnih podatkov, če ima na svoji spletni strani forme za povratne informacije, registracijo, avtorizacijo in druge oblike zbiranja podatkov, na podlagi katerih je mogoče identificirati subjekt.
Nadzor in kontrola v zvezi z upoštevanjem zahtev zveznega zakona o osebnih podatkih izvajajo regulatorji:
- Roskomnadzor v zvezi z varstvom pravic subjektov osebnih podatkov;
- FSB Ruske federacije v zvezi z izpolnjevanjem zahtev na področju kriptografije;
- FSTEK Ruske federacije v zvezi z upoštevanjem zahtev za zaščito informacij pred nepooblaščenim dostopom in uhajanjem po tehničnih kanalih.
Ker je zvezni zakon o osebnih podatkih le osnova pravnega okvira za zaščito PDb, so bile njegove zahteve kasneje konkretizirane v aktih Vlade Ruske federacije in Ministrstva za komunikacije ter v drugih normativno-metodoloških dokumentih regulatorjev.
Zvezni organi, ki urejajo dejavnosti na področju obdelave osebnih podatkov
- Roskomnadzor (Zvezna služba za nadzor komunikacij in množičnih komunikacij) – izvaja nadzor in kontrola nad skladnostjo obdelave PDb z zahtevami zakonodaje.
- FSTEK Ruske federacije (Zvezna služba za tehnični in izvozni nadzor) – določa metode in načine zaščite informacij z uporabo tehničnih sredstev.
- FSB Ruske federacije (Zvezna služba varnosti Ruske federacije) – določa metode in načine zaščite informacij v okviru svojih pooblastil (področje uporabe kriptografskih sredstev zaščite informacij)
Vsaka organizacija, ki obdeluje osebne podatke, se sooča s problemom usklajevanja svojih informacijskih sistemov z zahtevami zakonodaje. Varstvo osebnih podatkov je eno najbolj aktualnih vprašanj, in to ne le v Rusiji, temveč tudi v drugih državah.
Vrste osebnih podatkov
Po ZFZ-152 so osebni podatki kakršne koli informacije, ki se nanašajo na določeno ali določljivo fizično osebo (subjekt osebnih podatkov) na podlagi takšnih informacij. Na primer: ime in priimek, datum in kraj rojstva, naslov, družinski, socialni, premoženski položaj, izobrazba itd.
Osebne podatke delimo na več kategorij:
Posebni
Osebni podatki, ki se nanašajo na rasno, nacionalno pripadnost, politična prepričanja, verska ali filozofska prepričanja, zdravstveno stanje, intimno življenje
Biometrični
Osebni podatki, ki karakterizirajo fizične in biološke značilnosti osebe, na podlagi katerih je mogoče ugotoviti njeno identiteto in ki jih operater uporablja za ugotavljanje identitete subjekta osebnih podatkov
Drugi
Osebni podatki, ki se nanašajo na neposredno ali posredno določeno ali določljivo fizično osebo in se ne nanašajo na zgoraj navedene kategorije
Javno dostopni
Osebni podatki, pridobljeni iz javno dostopnih virov, v katerih so bili podatki objavljeni s pisnim soglasjem subjekta osebnih podatkov
Obdelava osebnih podatkov je vsako dejanje (operacija) ali skupek dejanj z osebnimi podatki z uporabo sredstev avtomatizacije ali brez njih, vključno z:
- zbiranjem,
- beleženjem,
- sistemizacijo,
- kopičenjem,
- hranenjem,
- natančenjem (posodobitvijo, spremembo),
- izvlečkom,
- uporabo,
- prenosom (širjenjem, zagotavljanjem, dostopom),
- anonimizacijo,
- blokiranjem,
- brisanjem,
- uničenjem osebnih podatkov.
Odgovornost za kršitve
Po členu 24 ZFZ-152 osebe odgovarjajo za kršenje zakona v skladu z zakonodajo Ruske federacije.
Pri preverjanju podjetja se regulatorji ravnajo po ZFZ-152 in vrsti podzakonskih aktov. Preverjanje je lahko načrtovano ali izredna kontrola — na podlagi dejstev kršitev ter za nadzor nad prej izdanimi ukazi o njihovem odpravljanju.
Osebam, ki kršijo zahtevke glede zaščite Osebnih podatkov, grozi ne le civilnopravna in disciplinska, temveč tudi upravna in celo kazenska odgovornost.
Kako ustrezati zahtevam ZP-152?
Torej, podjetje ali organizacija, ki obdeluje osebne podatke ali druge informacije omejenega dostopa, mora zaščititi te informacije v skladu z zakonodajo. To zahteva ne le resno strokovno znanje, temveč je tudi povezano s tehničnimi zapletenostmi in znatnimi stroški.
Po uradni opredelitvi, potrjeni s strani FSTEK, je '... Varnost osebnih podatkov stanje zaščitenosti osebnih podatkov, ki se odraža v sposobnosti uporabnikov, tehničnih sredstev in informacijske tehnologije, da zagotovijo zaupnost, celovitost in dostopnost osebnih podatkov pri njihovi obdelavi v informacijskih sistemih osebnih podatkov ...'
Da bi izpolnili organizacijske, pravne in tehnične zahteve ZP-152, je potrebno podrobno preučiti ne le samo zakon, temveč tudi njegove podzakonske akte in razumeti, katere ukrepe je treba sprejeti. Strokovnjaki na področju zunanjega izvajanja lahko preučijo procese obdelave osebnih podatkov v podjetju, pripravijo potrebna dokumenta, uvedejo zaščitna sredstva itd.
Celovit sistem zaščite informacij vključuje:
- Sredstva za preprečevanje vdorov (IDS).
- Ogenjna stena (FW).
- Zaščito pred zlonamernim programske opreme.
- Sistem za spremljanje in beleženje varnostnih dogodkov.
- Sistem kriptografske zaščite komunikacijskih kanalov (šifriranje).
- Sredstva za zaščito virtualnega okolja, sistem zaščite pred nepooblaščenim dostopom (NDA), identifikacijo in upravljanje dostopa.
- Sistem analize zaščitenosti/odkrivanja ranljivosti itd.
Poleg tega celovita informacijska varnost predvideva ne le tehnične, temveč tudi organizacijske ukrepe.
Oblak ZP-152: značilnosti izvajanja
Vrsta ruskih provajdera nudi usluge za pružanje cloud infrastrukture za postavljanje informacionih sistema u skladu sa zahtevima federalnog zakonodavstva vezano za zaštitu ličnih podataka. Kada se sistemi klijenta smeštaju u oblak, provajder preuzima rešenja za mnoge probleme informacione bezbednosti, uključujući i zaštitu ličnih podataka. Tokom migracije u oblak, on obezbeđuje zaštitu IT infrastrukture, što skida deo obaveza sa klijenta. Na primer, provajder ispunjava zahteve FZ-152 u vezi sa zaštitom virtuelizacione sredine.
Provajderi takođe mogu pružiti klijentima stručnu podršku u vezi sa zaštitom podataka: određivati potrebni nivo zaštite i na osnovu toga predlagati rešenja; razvijati dokumentaciju za ispunjenje zahteva zakonodavstva RF.
Zaštićeni oblak pomaže da se optimizuju troškovi organizacije, smanjujući izdatke za kreiranje i održavanje IT infrastrukture i unutrašnjeg sistema zaštite informacija. Obično, kvalifikovani stručnjaci obezbeđuju sveobuhvatnu tehničku podršku, uključujući konsultacije i izradu paketa dokumenata za akreditaciju kod regulative, a platforma za pružanje usluga ispunjava stroge tehničke standarde i zadovoljava neophodne organizacione zahteve. Klijenti mogu koristiti usluge za pripremu neophodne dokumentacije i zaštitu SSPD na nivou aplikacija i operativnog sistema.
Takođe su predviđeni procesi upravljanja rizicima i ranjivostima, istraživanje incidenata, interne i eksterne bezbednosne revizije, kao i redovno praćenje i testiranje mreže, sistema i procesa bezbednosti. Kvalifikovani stručnjaci obezbeđuju 24/7 podršku IT infrastrukturi.
Kombinovane, ove mere garantuju usklađenost sa federalnim zakonodavstvom vezano za zaštitu ličnih podataka.
Sertifikovana platforma
IBS DataFort pruža ovu uslugu na bazi . Cela tehnička komponenta, administracija i sredstva virtualizacije ove platforme usklađena su sa normama i zahtevima FZ-152.
Arhitektura zaštićenog oblaka IBS DataFort.
Platform provides guaranteed protection of personal data (up to level 1 of security), GIS (up to class 1 of security) and secure data storage in Tier III data centers. The platform employs certified firewalls, intrusion detection and prevention systems (IDS/IPS), encrypted communication channels (GOST VPN), antivirus protection, unauthorized access prevention tools, virtualization environment protection, and vulnerability scanning tools.
— also a suitable solution for those who have high demands for confidentiality and data protection, want to strengthen their business reputation, or gain a competitive advantage through a confirmed high level of information security.
How to 'move' to such a cloud? Is 'seamless migration' possible? Absolutely. For example, IBS DataFort carries out a secure transfer of personal data to its protected cloud, minimizing downtime and the impact on the company's business processes (including from foreign locations).
Aligning IT infrastructure with FZ-152
The process of aligning the client's IT infrastructure with the requirements of FZ-152 begins with an audit and assessment of the current level of security.
The audit of the client's IT infrastructure includes examining the processes of handling and protecting personal data and reviewing the client's personal data systems. A report is created detailing the processes of handling personal data from a technical standpoint.
The work also includes threat modeling and evaluator assessment, resulting in a report determining the level of security for personal data systems. Following the audit, a specific technical assignment for the personal data protection system is created, defining the requirements for the design system.
A set of policies, instructions, regulations, and other documents for personal data protection is developed. At the same time, specialists strive to optimize the client's costs for implementing protection tools.
IBS DataFort provides services for preparing documentation and protecting personal data systems in accordance with federal legislation on personal data protection and can assist in preparation and passing certification (personal data systems, GIS, AS).
Akreditacija se sprovodi od strane nezavisnih audita koji poseduju licence FSTEK i FSB Rusije. Prolazak takve akreditacije potvrđuje pouzdanu zaštitu ličnih podataka partnera i klijenata kompanije od spoljašnjih pretnji, kao i usklađenost sa zahtevima regulatora. Važno je napomenuti da klijenti dobijaju pogodnost „jednog prozora“: sve obezbeđuje jedna kompanija — IBS DataFort.
Za operatore ličnih podataka ovo znači spremnost na provere Roskomnadzora, FSTEK-a i FSB-a, isključivanje rizika od blokade resursa, kao i odsustvo pritužbi i sankcija regulatora.
Ova usluga je aktuelna za mnoge kategorije naručilaca iz državnog i korporativnog sektora i može biti tražena od strane operatora ličnih podataka koji žele da usklade svoje poslovanje sa zakonodavstvom. Postavljanje IS u zatvorenoj infrastrukturi provajdera, akreditovane po svim neophodnim standardima i zahtevima, oslobađa naručioca od potrebe za samostalnom organizacijom svih radova.
Izvor: habr.com
