Säker moln på plattformen DF Cloud 

Lag 152 "Om skydd av personuppgifter" gäller för alla befintliga ämnen: fysiska och juridiska personer, federala organ för statlig makt och lokal självstyrelse. Faktiskt gäller denna lag för alla organisationer som behandlar information och personuppgifter om medborgare i Ryssland, oavsett ägandeform och storlek på organisationen.

Ibland kan en organisation oväntat upptäcka ursprungligen otydliga informationssystem för personuppgifter (PUp). Till exempel anses ett företag vara en operatör av personuppgifter om dess webbplats har kontaktformulär, registrerings- och inloggningsformulär samt andra former av datainsamling som gör det möjligt att identifiera subjektet.

Kontroll och övervakning av efterlevnaden av kraven i den federala lagen "Om personuppgifter" utförs av regulatorer:

• Roskomnadzor när det gäller skydd av rättigheterna för ämnena av personuppgifter;
• FSB i Ryssland när det gäller uppfyllandet av krav inom kryptografi;
• FSTEK i Ryssland när det gäller att säkerställa efterlevnaden av krav för att skydda information från obehörig åtkomst och läckage via tekniska kanaler.

Eftersom lag 152 "Om personuppgifter" endast är grunden för den juridiska ramverkskyddet av PUp, har dess krav senare preciserats i akter från den ryska regeringen och ministeriet för kommunikation samt andra normativt-metodiska dokument från regulatorerna.

Federala organ som reglerar verksamhet inom området för behandling av personuppgifter

• Roskomnadzor (Den federala tjänsten för övervakning inom kommunikation och masskommunikation) - utför kontroll och övervakning av överensstämmelsen i behandlingen av PUp med lagstiftningen.
• FSTEK i Ryssland (Den federala tjänsten för teknisk och exportkontroll) - fastställer metoder och sätt för att skydda information med hjälp av tekniska medel.
• FSB i Ryssland (Den federala säkerhetstjänsten i Ryssland) - fastställer metoder och sätt för att skydda information inom sina befogenheter (området för användning av kryptografiska skydd medel).

Varje organisation som hanterar personuppgifter står inför utmaningen att anpassa sina informationssystem i enlighet med lagstiftningens krav. Skydd av personuppgifter är en av de mest brännande frågorna, inte bara i Ryssland utan även i andra länder. 

Typer av personuppgifter

Enligt FZ-152 är personuppgifter all information som rör en fysisk person (subjekt för personuppgifter) som kan identifieras eller identifieras på grundval av sådan information. Exempelvis: namn, födelsedatum och plats, adress, familjeförhållanden, social, ekonomisk status, utbildning etc.

Personuppgifter delas in i flera kategorier:

Speciella

Personuppgifter som rör ras, nationell tillhörighet, politiska åsikter, religiösa eller filosofiska övertygelser, hälsotillstånd, privatliv

Biometriska

Personuppgifter som kännetecknar en persons fysiologiska och biologiska egenskaper, som kan användas för att identifiera dem och som används av operatören för att fastställa identiteten hos subjektet för personuppgifter

Övriga

Personuppgifter som direkt eller indirekt hänför sig till en identifierad eller identifierbar fysisk person, och som inte omfattar de ovan nämnda kategorierna

Offentliga

Personuppgifter som erhållits från offentliga källor där uppgifterna har publicerats med den registrerades skriftliga samtycke

Behandling av personuppgifter är varje åtgärd (operation) eller uppsättning av åtgärder med personuppgifter genom automatisering eller utan, inklusive:

• insamling,
• registrering,
• systematisering,
• ackumulering,
• lagring,
• skärpning (uppdatering, ändring),
• utvinning,
• användning,
• överföring (spridning, tillhandahållande, åtkomst),
• avpersonifiering,
• blockering,
• borttagning,
• förstörelse av personuppgifter.

Ansvar för överträdelser

Enligt artikel 24 FZ-152 bär individer ansvar för att bryta mot lagen i enlighet med Rysslands federala lagstiftning.

Vid granskning av ett företag följer tillsynsmyndigheterna FZ-152 och flera underliggande akter. Granskningen kan vara planerad eller oplanerad — på grund av överträdelser, samt för att kontrollera ett tidigare utfärdat föreläggande om deras avhjälpande.

Personer som bryter mot kraven för skydd av personuppgifter kan riskera inte bara civilrättsligt och disciplinär ansvar, utan också administrativt och till och med straffrättsligt ansvar.
 

Hur uppfylla kraven enligt lag 152?

Således måste ett företag eller en organisation som behandlar personuppgifter eller annan information som har begränsad tillgång skydda denna information i enlighet med lagstiftningen. Detta kräver inte bara omfattande expertis, kunskap och erfarenhet, utan är också förknippat med tekniska svårigheter och betydande kostnader.

Enligt den officiella definition som godkänts av FSTEK är "... Säkerhet för personuppgifter - ett tillstånd av skydd för personuppgifter, karakteriserat av förmågan hos användare, tekniska medel och informationstekniker att säkerställa konfidentialitet, integritet och tillgänglighet av personuppgifter vid deras behandling i informationssystem för personuppgifter..."

För att uppfylla de organisatoriska, rättsliga och tekniska kraven i lag 152 på egen hand, måste man studera inte bara själva lagen, utan också dess underordnade akter, och förstå vilka åtgärder som behöver vidtas. Outsourcing-specialister kan genomlysa processerna för behandling av personuppgifter i företaget, upprätta nödvändiga dokument, implementera skyddsåtgärder osv.

Ett omfattande informationsskyddssystem inkluderar:

• Intrångsdetekteringssystem (IDS).
• Brandvägg (FW).
• Skydd mot skadlig programvara.
• Ett system för övervakning och registrering av säkerhetshändelser.
• Ett system för kryptering av kommunikationskanaler.
• Skyddsåtgärder för virtuella miljöer, system för skydd mot obehörig åtkomst (NSA), identifiering och åtkomsthantering.
• Ett system för sårbarhetsanalys och upptäckte sårbarheter, med mera.

Dessutom innebär ett omfattande informationssäkerhetssystem inte bara tekniska, utan också organisatoriska åtgärder.

Molnet enligt lag 152: särdrag av implementering

Flera ryska leverantörer erbjuder tjänster för att tillhandahålla molninfrastruktur för placering av informationssystem i enlighet med kraven i den federala lagstiftningen angående personuppgifter. Vid placering av kundsystem i molnet tar leverantören på sig att lösa många frågor kring informationssäkerhet, inklusive skydd av personuppgifter. Vid migrering till molnet säkerställer de skydd av IT-infrastruktur, vilket avlastar kunden från en del av ansvaret. Till exempel uppfyller leverantören kraven i FZ-152 som rör skyddet av virtualiseringsmiljön.

Leverantörer kan också erbjuda kunder expertstöd i att lösa dataskyddsproblematik: fastställa den erforderliga skyddsnivån och därmed föreslå en genomförandeplan; utveckla dokumentation för att uppfylla kraven i den ryska lagstiftningen.

Ett skyddat moln hjälper till att optimera organisationens kostnader, vilket minskar utgifterna för skapande och underhåll av IT-infrastruktur och interna informationsskyddssystem. Som regel tillhandahåller kvalificerade experter omfattande teknisk support och assistans, inklusive konsulttjänster och utveckling av dokumentpaket för certifiering hos tillsynsmyndigheter, och plattformen för tjänsteleveranser uppfyller strikta tekniska standarder och tillgodoser nödvändiga organisatoriska krav. Kunder kan dra nytta av tjänster för att förbereda den nödvändiga dokumentationen och skydda personuppgifter på applikations- och operativsystemsnivå.

Det finns också processer för risk- och sårbarhetshantering, incidentutredning, interna och externa säkerhetsrevisioner, samt regelbunden övervakning och testning av nätverk, system och processer för informationssäkerhet. Kvalificerade specialister säkerställer dygnet runt-support av IT-infrastrukturen.

Sammanfattningsvis säkerställer dessa åtgärder efterlevnaden av den federala lagstiftningen angående skydd av personuppgifter.

Certifierad plattform

IBS DataFort erbjuder denna tjänst baserat på certifierad plattform DF Cloud. All teknisk del, administration och virtualiseringsverktyg på denna plattform uppfyller normer och krav i FZ-152.
Arkitekturen av det skyddade molnet IBS DataFort.

Plattformen erbjuder garant skydd för personuppgifter (upp till skyddsnivå 1 inklusive), GIS (upp till skyddsklass 1 inklusive) och säker lagring av data i Tier III datacenter. Plattformen använder certifierade brandväggar, intrångsdetekterings- och förebyggande system (IDS/IPS), kryptering av kommunikationskanaler (GOST VPN), antivirus skydd, skydd mot obehörig åtkomst, skydd av virtualiseringsmiljö samt sårbarhetsskanning.

Moln FZ-152 — också en lämplig lösning för dem som har höga krav på sekretess och dataskydd, vill stärka sitt företags rykte eller få en konkurrensfördel som ett bekräftat högt informationssäkerhetsnivå.

Hur "flyttar" man till ett sådant moln? Är "smidig migrering" möjlig? Absolut. Till exempel genomför IBS DataFort en säker överföring av personuppgifter till sitt skyddade moln, vilket minimerar driftstopp och påverkan på företagets affärsprocesser (även från utländska platser).

Anpassning av it-infrastruktur till FZ-152

Processen för anpassning av kundens it-infrastruktur till kraven i FZ-152 inleds med en revision och utvärdering av det nuvarande skyddsnivån.

Kundens it-infrastrukturgranskning omfattar inspektion av processer för behandling och skydd av personuppgifter samt inspektion av kundens personuppgifter. En rapport om inspektionen upprättas med en detaljerad beskrivning av processerna för behandling av personuppgifter ur ett tekniskt perspektiv.

Arbetet omfattar också hot- och överträdelsemodellering samt upprättande av en rapport för bestämning av skyddsnivå för personuppgifter. Baserat på revisionsresultaten upprättas en specifik kravspecifikation för skyddssystemet för personuppgifter och definierar krav för det planerade systemet.

Ett antal riktlinjer, instruktioner, regler och andra dokument för skydd av personuppgifter utvecklas. Samtidigt försöker specialisterna optimera kundens kostnader för implementering av skyddssystem.

IBS DataFort erbjuder tjänster för förberedelse av dokumentation och skydd av personuppgifter för att följa federal lagstiftning om skydd av personuppgifter och kan hjälpa till med förberedelse och genomgång av certifiering (personuppgifter, GIS, AS).

Certifieringen genomförs av oberoende revisorer som har FSB och FSTEK-licenser från Ryssland. Genomförandet av denna certifiering bekräftar en pålitlig skydd av partnernas och kundernas personuppgifter från externa hot och att man uppfyller regulatoriska krav. Det är viktigt att kunderna får enkelhet med en "endast ett fönster": allt tillhandahålls av ett företag — IBS DataFort.

För personuppgiftsansvariga innebär detta beredskap för inspektioner av Roskomnadzor, FSTEK och FSB, uteslutandet av risker för blockering av resurser, samt avsaknaden av klagomål och sanktioner från regulatorer.

Denna tjänst är relevant för många kategorier av beställare inom den statliga och företagssektorn och kan vara efterfrågad av personuppgiftsansvariga som vill anpassa sin verksamhet efter lagstiftningen. Placeringen av informationssystem i en sluten del av leverantörens infrastruktur, certifierad enligt alla nödvändiga standarder och krav, befriar beställaren från behovet av att självständigt organisera allt arbete.

Källa: habr.com