ИааС 152-ФЗ: Дакле, потребна вам је сигурност

Без обзира колико се испитују митови и легенде које окружују усклађеност са 152-ФЗ, увек нешто остаје иза кулиса. Данас желимо да разговарамо о неким не увек очигледним нијансама са којима се могу сусрести и велике компаније и веома мала предузећа:

• суптилности ПД класификације у категорије – када мала онлајн продавница прикупља податке који се односе на посебну категорију, а да за то и не зна;

• где можете чувати резервне копије прикупљених ПД-а и обављати операције на њима;

• која је разлика између сертификата и закључка о усклађености, које документе треба тражити од провајдера и слично.

На крају, поделићемо са вама сопствено искуство полагања сертификата. Иди!

Стручњак у данашњем чланку ће бити Алексеј Афанасиев, ИС специјалиста за цлоуд провајдере ИТ-ГРАД и #ЦлоудМТС (део МТС групе).

Суптилности класификације

Често се сусрећемо са жељом клијента да брзо, без ревизије ИС-а, утврди потребан ниво безбедности за ИСПД. Неки материјали на Интернету на ову тему дају лажан утисак да је ово једноставан задатак и да је прилично тешко погрешити.

За одређивање КМ потребно је разумјети које податке ће прикупљати и обрађивати клијентов ИС. Понекад може бити тешко недвосмислено одредити захтеве заштите и категорију личних података којима предузеће послује. Исте врсте личних података могу се проценити и класификовати на потпуно различите начине. Стога се у неким случајевима мишљење пословања може разликовати од мишљења ревизора или чак инспектора. Погледајмо неколико примера.

Паркиралиште. То би изгледало као прилично традиционална врста пословања. Многи возни паркови раде деценијама, а њихови власници ангажују самосталне предузетнике и физичка лица. Подаци о запосленима по правилу потпадају под услове УЗ-4. Међутим, за рад са возачима потребно је не само прикупљање личних података, већ и обављање медицинске контроле на територији возног парка пре одласка у смену, а информације прикупљене у том процесу одмах спадају у категорију медицински подаци – а ово су лични подаци посебне категорије. Поред тога, флота може затражити сертификате, који ће се затим чувати у досијеу возача. Скенирање таквог сертификата у електронском облику - здравствени подаци, лични подаци посебне категорије. То значи да УЗ-4 више није довољан минимум УЗ-3.

Онлине продавница. Чини се да се прикупљена имена, мејлови и бројеви телефона уклапају у јавну категорију. Међутим, ако ваши клијенти наведу преференције у исхрани, као што су халал или кошер, такве информације се могу сматрати подацима о верској припадности или веровању. Стога, приликом провере или обављања других контролних радњи, инспектор може податке које прикупљате сврстати у посебну категорију личних података. Сада, ако би онлајн продавница прикупила информације о томе да ли њен купац преферира месо или рибу, подаци би се могли класификовати као други лични подаци. Узгред, шта је са вегетаријанцима? На крају крајева, ово се може приписати и филозофским веровањима, која такође припадају посебној категорији. Али с друге стране, ово може бити једноставно став особе која је избацила месо из своје исхране. Нажалост, не постоји знак који недвосмислено дефинише категорију ПД у таквим „суптилним“ ситуацијама.

Рекламна агенција Користећи неки западни сервис у облаку, обрађује јавно доступне податке својих клијената – пуна имена, адресе е-поште и бројеве телефона. Ови лични подаци се, наравно, односе на личне податке. Поставља се питање: да ли је легално вршити такву обраду? Да ли је уопште могуће премештати такве податке без деперсонализације ван Руске Федерације, на пример, чувати резервне копије у неким страним облацима? Наравно да можете. Агенција има право да чува ове податке ван Русије, међутим, почетно прикупљање, према нашем законодавству, мора се извршити на територији Руске Федерације. Ако направите резервну копију таквих информација, на основу њих израчунате неку статистику, спроведете истраживање или извршите неке друге операције – све се то може урадити на западним ресурсима. Кључна тачка са правне тачке гледишта је где се прикупљају лични подаци. Стога је важно не мешати почетно сакупљање и обраду.

Као што следи из ових кратких примера, рад са личним подацима није увек јасан и једноставан. Морате не само да знате да радите са њима, већ и да будете у стању да их правилно класификујете, разумете како ИП функционише како бисте правилно одредили потребан ниво безбедности. У неким случајевима може се поставити питање колико је личних података организацији потребно за рад. Да ли је могуће одбити најозбиљније или једноставно непотребне податке? Поред тога, регулатор препоручује деперсонализацију личних података где је то могуће. 

Као иу горњим примерима, понекад можете наићи на чињеницу да инспекцијски органи прикупљене личне податке тумаче нешто другачије него што сте их сами проценили.

Наравно, можете ангажовати ревизора или систем интегратора као асистента, али да ли ће „помоћник“ бити одговоран за одлуке које се изаберу у случају ревизије? Вреди напоменути да одговорност увек лежи на власнику ИСПД-а – оператеру личних података. Зато је, када компанија обавља такав посао, важно да се обратите озбиљним играчима на тржишту за такве услуге, на пример, компанијама које обављају послове сертификације. Компаније за сертификацију имају велико искуство у обављању таквих послова.

Опције за изградњу ИСПД-а

Изградња ИСПД-а није само техничко, већ и у великој мери правно питање. ЦИО или директор безбедности увек треба да се консултује са правним саветником. Пошто компанија нема увек стручњака са профилом који вам је потребан, вреди се обратити ревизорима-консултантима. Многе клизаве тачке можда уопште нису очигледне.

Консултације ће вам омогућити да утврдите са којим личним подацима имате посла и који ниво заштите им је потребан. Сходно томе, добићете идеју о ИП-у који треба креирати или допунити безбедносним и оперативним безбедносним мерама.

Често је избор за компанију између две опције:

1. Изградите одговарајући ИС на сопственим хардверским и софтверским решењима, евентуално у сопственој серверској соби.

2. Обратите се добављачу облака и изаберите еластично решење, већ сертификовану „виртуелну серверску собу“.

Већина информационих система који обрађују личне податке користи традиционални приступ, који се са пословне тачке гледишта тешко може назвати лаким и успешним. Приликом избора ове опције потребно је схватити да ће технички дизајн укључивати опис опреме, укључујући софтверска и хардверска решења и платформе. То значи да ћете се морати суочити са следећим потешкоћама и ограничењима:

• тешкоћа скалирања;

• дуг период имплементације пројекта: потребно је изабрати, купити, инсталирати, конфигурисати и описати систем;

• пуно „папирног“ посла, као пример - израда комплетног пакета документације за цео ИСПД.

Поред тога, предузеће, по правилу, разуме само „највиши“ ниво свог ИП-а – пословне апликације које користи. Другим речима, ИТ особље је вешто у својој специфичној области. Нема разумевања како функционишу сви „нижи нивои“: софтверска и хардверска заштита, системи за складиштење, резервна копија и, наравно, како конфигурисати алате за заштиту у складу са свим захтевима, изградити „хардверски“ део конфигурације. Важно је разумети: ово је огроман слој знања који се налази изван посла клијента. Овде може добро доћи искуство провајдера у облаку који пружа сертификовану „виртуелну серверску собу“.

Заузврат, добављачи облака имају низ предности које, без претеривања, могу покрити 99% пословних потреба у области заштите личних података:

• капитални трошкови се претварају у оперативне трошкове;

• провајдер, са своје стране, гарантује обезбеђење потребног нивоа сигурности и доступности на основу провереног стандардног решења;

• нема потребе за одржавањем особља стручњака који ће осигурати рад ИСПД-а на хардверском нивоу;

• провајдери нуде много флексибилнија и еластичнија решења;

• стручњаци провајдера имају све потребне сертификате;

• усклађеност није нижа него код изградње сопствене архитектуре, узимајући у обзир захтеве и препоруке регулатора.

Стари мит да се лични подаци не могу чувати у облацима и даље је изузетно популаран. То је само делимично тачно: ПД заиста не може да се поставља у првом доступном облак. Потребна је усклађеност са одређеним техничким мерама и употреба одређених сертификованих решења. Ако провајдер поштује све законске захтеве, ризици повезани са цурењем личних података су минимизирани. Многи провајдери имају засебну инфраструктуру за обраду личних података у складу са 152-ФЗ. Међутим, избору добављача се такође мора приступити са познавањем одређених критеријума, свакако ћемо их дотакнути у наставку. 

Клијенти нам се често обраћају са забринутошћу око постављања личних података у облак провајдера. Па, хајде да разговарамо о њима одмах.

• Подаци могу бити украдени током преноса или миграције

Овога се не треба плашити - провајдер нуди клијенту стварање безбедног канала за пренос података изграђеног на сертификованим решењима, побољшаним мерама аутентификације за извођаче и запослене. Остаје само да изаберете одговарајуће методе заштите и примените их у оквиру свог рада са клијентом.

• Схов маске ће доћи и одузети/запечатити/искључити напајање серверу

Сасвим је разумљиво за купце који страхују да ће им пословни процеси бити поремећени због недовољне контроле над инфраструктуром. По правилу, о томе размишљају они клијенти чији се хардвер раније налазио у малим серверским просторијама, а не у специјализованим дата центрима. У стварности, дата центри су опремљени савременим средствима физичке и информационе заштите. Готово је немогуће обављати било какве операције у оваквом дата центру без довољно основа и папира, а такве активности захтевају поштовање низа процедура. Поред тога, „извлачење“ вашег сервера из центра података може утицати на друге клијенте провајдера, а то дефинитивно није потребно никоме. Поред тога, нико неће моћи да упире прстом конкретно у „ваш” виртуелни сервер, па ако неко жели да га украде или приреди шоу са маскама, прво ће морати да се носи са много бирократских кашњења. Током овог времена, највероватније ћете имати времена да неколико пута мигрирате на другу локацију.

• Хакери ће хаковати облак и украсти податке

Интернет и штампана штампа су пуни наслова о томе како је још један облак постао жртва сајбер криминалаца, а милиони записа о личним подацима процурили су на мрежи. У великој већини случајева, рањивости нису пронађене уопште на страни провајдера, већ у информационим системима жртава: слабе или чак подразумеване лозинке, „рупе“ у машинама веб сајтова и базама података и банална пословна непажња при избору безбедносних мера и организовање процедура приступа подацима. Сва сертификована решења се проверавају на рањивости. Такође редовно спроводимо „контролне“ пентестове и безбедносне провере, независно и преко спољних организација. За провајдера, ово је питање угледа и пословања уопште.

• Провајдер/запослени код провајдера ће украсти личне податке ради личне користи

Ово је прилично осетљив тренутак. Бројне компаније из света информационе безбедности „плаше“ своје клијенте и инсистирају да су „интерни запослени опаснији од спољних хакера“. Ово може бити тачно у неким случајевима, али посао се не може изградити без поверења. С времена на време бљесне вести да запослени у организацији пропуштају податке о клијентима нападачима, а интерна безбедност је понекад организована много лошије од спољне безбедности. Овде је важно разумети да је сваки велики провајдер изузетно незаинтересован за негативне случајеве. Поступци запослених у провајдеру су добро регулисани, улоге и области одговорности су подељене. Сви пословни процеси су структуирани тако да су случајеви цурења података изузетно мало вероватни и увек су уочљиви интерним сервисима, тако да клијенти не треба да се плаше проблема са ове стране.

• Плаћате мало јер услуге плаћате својим пословним подацима.

Још један мит: клијент који изнајмљује сигурну инфраструктуру по повољној цени заправо то плаћа својим подацима - ово често мисле стручњаци којима не смета да прочитају неколико теорија завере пре спавања. Прво, могућност обављања било каквих операција са вашим подацима осим оних наведених у налогу је у суштини нула. Друго, адекватан провајдер цени однос са вама и своју репутацију - осим вас, он има много више клијената. Вероватнији је супротан сценарио, у којем ће провајдер ревносно штитити податке својих клијената, на којима почива његово пословање.

Избор добављача облака за ИСПД

Данас тржиште нуди многа решења за компаније које су ПД оператери. Испод је општа листа препорука за избор правог.

• Провајдер мора бити спреман да уђе у формални споразум који описује одговорности страна, СЛА и области одговорности у кључу за обраду личних података. У ствари, између вас и провајдера, поред уговора о услузи, мора бити потписан налог за обраду ПД. У сваком случају, вреди их пажљиво проучити. Важно је разумети поделу одговорности између вас и добављача.

• Имајте на уму да сегмент мора да испуњава захтеве, што значи да мора имати сертификат који указује на ниво безбедности који није нижи од оног који захтева ваш ИП. Дешава се да провајдери објављују само прву страницу сертификата, са које је мало шта јасно, или се позивају на ревизије или процедуре усклађености без објављивања самог сертификата („да ли је било дечака?“). Вреди то тражити - ово је јавни документ који показује ко је извршио сертификацију, период важења, локацију у облаку итд.

• Провајдер мора да пружи информације о томе где се налазе његови сајтови (заштићени објекти) како бисте могли да контролишете постављање својих података. Подсећамо да се почетно прикупљање личних података мора извршити на територији Руске Федерације, препоручљиво је видети адресе центра података у уговору/сертификату.

• Провајдер мора да користи сертификоване системе безбедности и заштите информација. Наравно, већина провајдера не рекламира техничке мере безбедности и архитектуру решења које користе. Али ви, као клијент, не можете а да не знате за то. На пример, да бисте се даљински повезали са системом управљања (портал за управљање), потребно је користити мере безбедности. Провајдер неће моћи да заобиђе овај захтев и пружиће вам (или захтевати да користите) сертификована решења. Узмите ресурсе за тест и одмах ћете разумети како и шта функционише. 

• Веома је пожељно да цлоуд провајдер пружа додатне услуге у области информационе безбедности. То могу бити различите услуге: заштита од ДДоС напада и ВАФ-а, антивирусни сервис или сандбок итд. Све ово ће вам омогућити да добијете заштиту као услугу, да вас не ометају системи заштите зграда, већ да радите на пословним апликацијама.

• Провајдер мора бити лиценцирани ФСТЕЦ и ФСБ. По правилу, такве информације се објављују директно на веб страници. Обавезно затражите ова документа и проверите да ли су тачне адресе за пружање услуга, назив компаније провајдера итд. 

Хајде да сумирамо. Инфраструктура за изнајмљивање ће вам омогућити да напустите ЦАПЕКС и задржите само своје пословне апликације и саме податке у вашој области одговорности, и пребаците тежак терет сертификације хардвера и софтвера и хардвера на провајдера.

Како смо прошли сертификацију

Недавно смо успешно прошли рецертификацију инфраструктуре „Сецуре Цлоуд ФЗ-152“ за усклађеност са захтевима за рад са личним подацима. Радове је извео Национални сертификациони центар.

Тренутно је „ФЗ-152 Сецуре Цлоуд“ сертификован за хостовање информационих система укључених у обраду, складиштење или пренос личних података (ИСПДн) у складу са захтевима нивоа УЗ-3.

Процедура сертификације подразумева проверу усклађености инфраструктуре клауд провајдера са нивоом заштите. Сам провајдер пружа ИааС услугу и није оператер личних података. Процес подразумева процену како организационих (документација, налози и сл.) тако и техничких мера (постављање заштитне опреме и сл.).

То се не може назвати тривијалним. Упркос чињеници да се ГОСТ о програмима и методама за спровођење активности сертификације појавио још 2013. године, строги програми за објекте у облаку још увек не постоје. Центри за сертификацију развијају ове програме на основу сопствене стручности. Са појавом нових технологија, програми постају сложенији и модернизовани у складу са тим, сертификатор мора имати искуство у раду са решењима у облаку и разумети специфичности;

У нашем случају, заштићени објекат се састоји од две локације.

• Ресурси у облаку (сервери, системи за складиштење, мрежна инфраструктура, безбедносни алати, итд.) се налазе директно у центру података. Наравно, такав виртуелни дата центар је повезан са јавним мрежама и сходно томе морају бити испуњени одређени захтеви за заштитни зид, на пример, коришћење сертификованих заштитних зидова.

• Други део објекта су алати за управљање облаком. То су радне станице (радне станице администратора) са којих се управља заштићеним сегментом.

Локације комуницирају преко ВПН канала изграђеног на ЦИПФ-у.

Пошто технологије виртуелизације стварају предуслове за настанак претњи, користимо и додатне сертификоване алате заштите.

Блок дијаграм „очима проценитеља“

Уколико клијент захтева сертификацију свог ИСПД-а, након изнајмљивања ИааС-а, мораће само да процени информациони систем изнад нивоа виртуелног дата центра. Овај поступак подразумева проверу инфраструктуре и софтвера који се на њој користи. Пошто се за сва инфраструктурна питања можете обратити на сертификат провајдера, све што треба да урадите је да радите са софтвером.

Раздвајање на нивоу апстракције

У закључку, ево мале контролне листе за компаније које већ раде са личним подацима или тек планирају. Дакле, како се носити са тим без опекотина.

1. За ревизију и развој модела претњи и уљеза, позовите искусног консултанта из сертификационих лабораторија који ће вам помоћи у изради потребних докумената и довести вас у фазу техничких решења.

2. Приликом избора провајдера у облаку обратите пажњу на присуство сертификата. Било би добро да га компанија јавно објави директно на веб страници. Провајдер мора бити лиценцирани ФСТЕЦ и ФСБ, а услуга коју нуди мора бити сертификована.

3. Уверите се да имате формални уговор и потписано упутство за обраду личних података. На основу тога, моћи ћете да извршите и проверу усаглашености и ИСПД сертификацију. из реда сертификационих лабораторија.

Уколико су за Вас релевантна питања обраде личних података, 18. септембра, овог петка, биће нам драго да Вас видимо на вебинару „Карактеристике изградње сертификованих облака“.

Извор: ввв.хабр.цом