![\"IaaS](\"\/wp-content\/uploads\/2020\/09\/d91a5d152754f82316e0027fd3447b53.jpg\")
<\/p>\n<\/p>\n
Oavsett hur mycket myter och legender som diskuteras kring \u00f6verensst\u00e4mmelse med 152-FZ, finns det alltid n\u00e5got som f\u00f6rblir osynligt. Idag vill vi diskutera de inte alltid uppenbara nuance som b\u00e5de stora f\u00f6retag och sm\u00e5 f\u00f6retag kan m\u00f6ta:<\/p>\n
nuancer i klassificeringen av PDb i kategorier - n\u00e4r en liten e-handel samlar in data som tillh\u00f6r en speciell kategori utan att ens veta om det;<\/p>\n<\/li>\n
var man kan lagra backuper av insamlade PDb och utf\u00f6ra operationer p\u00e5 dem;<\/p>\n<\/li>\n
vad som skiljer ett certifikat fr\u00e5n ett \u00f6verensst\u00e4mmelsedokument, vilka dokument som \u00f6verhuvudtaget b\u00f6r beg\u00e4ras fr\u00e5n leverant\u00f6ren och allt som h\u00f6r till \u00e4mnet.<\/p>\n<\/li>\n<\/ul>\n
Till sist kommer vi att dela med oss av v\u00e5r egen erfarenhet av att genomg\u00e5 certifiering. L\u00e5t oss b\u00f6rja!<\/p>\n
Experten i den dagens artikel \u00e4r Aleksej Afanasjev<\/strong>, specialist p\u00e5 fr\u00e5gor om cybers\u00e4kerhet hos cloudleverant\u00f6rerna \u00ab\u0418\u0422-\u0413\u0420\u0410\u0414\u00bb och #Cloud\u041c\u0422S (som ing\u00e5r i MTS-gruppen).<\/em><\/p>\n Vi st\u00f6ter ofta p\u00e5 klientens \u00f6nskan att snabbt, utan audit av informationssystem, best\u00e4mma den n\u00f6dv\u00e4ndiga skyddsniv\u00e5n f\u00f6r ISPDb. Vissa material p\u00e5 internet om detta \u00e4mne ger ett falskt intryck av att det \u00e4r en enkel uppgift och att det \u00e4r sv\u00e5rt att g\u00f6ra ett misstag.<\/p>\n F\u00f6r att best\u00e4mma skyddsniv\u00e5n m\u00e5ste man f\u00f6rst\u00e5 vilka uppgifter som ska samlas in och behandlas av klientens informationssystem. Ibland \u00e4r det inte l\u00e4tt att entydigt definiera krav p\u00e5 skydd och kategori av PDb som f\u00f6retaget arbetar med. Samma typer av personuppgifter kan bed\u00f6mas och klassificeras helt olika. D\u00e4rf\u00f6r kan f\u00f6retags\u00e5sikter ibland skilja sig fr\u00e5n auditorns eller till och med inspekt\u00f6rens \u00e5sikter. L\u00e5t oss titta p\u00e5 n\u00e5gra exempel.<\/p>\n Fordon.<\/strong> Det verkar som en ganska traditionell typ av verksamhet. M\u00e5nga transportf\u00f6retag har funnits i decennier, och deras \u00e4gare anst\u00e4ller egenf\u00f6retagare och privatpersoner. I regel omfattas anst\u00e4lldas data av krav p\u00e5 UZ-4. Men f\u00f6r att arbeta med chauff\u00f6rer m\u00e5ste man inte bara samla in registreringsdata, utan ocks\u00e5 genomf\u00f6ra medicinska kontroller p\u00e5 transportf\u00f6retagets omr\u00e5de innan de g\u00e5r p\u00e5 skift, och den information som samlas in i processen klassas direkt som medicinska data \u2013 vilket \u00e4r personlig data av s\u00e4rskild kategori. Dessutom kan transportf\u00f6retaget beg\u00e4ra intyg som sedan kommer att f\u00f6rvaras i f\u00f6rarens akt. En skanning av ett s\u00e5dant intyg i elektronisk form \u2013 data om h\u00e4lsotillst\u00e5nd, personlig data av s\u00e4rskild kategori. Det inneb\u00e4r att UZ-4 inte l\u00e4ngre r\u00e4cker, minst UZ-3 kr\u00e4vs.<\/p>\n Webbutik. <\/strong>Det verkar som de insamlade namnen, e-postadresserna och telefonnumren faller inom en allm\u00e4nt tillg\u00e4nglig kategori. Men om dina kunder anger kostpreferenser, exempelvis halal eller kosher, kan s\u00e5dan information betraktas som uppgifter om religi\u00f6s tillh\u00f6righet och \u00f6vertygelser. D\u00e4rf\u00f6r kan en inspekterande person vid kontroll eller andra \u00f6vervaknings\u00e5tg\u00e4rder klassificera de data som du samlar in som en s\u00e4rskild kategori av personuppgifter. Om webbutiken samlade information om huruvida kunden f\u00f6redrar k\u00f6tt eller fisk, skulle uppgifterna kunna kategoriseras som \u00f6vriga personuppgifter. F\u00f6rresten, vad g\u00f6r man med vegetarianer? F\u00f6r det kan ocks\u00e5 klassificeras som filosofiska \u00f6vertygelser, som ocks\u00e5 tillh\u00f6r den s\u00e4rskilda kategorin. \u00c5 andra sidan kan det helt enkelt vara en persons st\u00e4llningstagande f\u00f6r att utesluta k\u00f6tt fr\u00e5n sin diet. Tyv\u00e4rr finns det ingen tabell som tydligt definierar kategorin av personuppgifter i s\u00e5dana \"finst\u00e4mda\" situationer.<\/p>\n Reklambyr\u00e5 <\/strong>genom en v\u00e4sterl\u00e4ndsk molntj\u00e4nst behandlar offentlig information om sina kunder \u2013 namn, e-postadresser och telefonnummer. Dessa uppgifter omfattas sj\u00e4lvklart av personuppgiftslagstiftningen. Fr\u00e5gan uppst\u00e5r: \u00e4r det lagligt att utf\u00f6ra s\u00e5dan behandling? Kan man \u00f6verhuvudtaget flytta s\u00e5dana data utan anonymisering utanf\u00f6r Ryssland, till exempel lagra backuper i n\u00e5gon utl\u00e4ndsk molntj\u00e4nst? Sj\u00e4lvklart kan man g\u00f6ra det. \u00c4ven om f\u00f6retaget har r\u00e4tt att lagra dessa data utanf\u00f6r Ryssland, m\u00e5ste den ursprungliga insamlingen, enligt v\u00e5r lagstiftning, ske p\u00e5 ryska territoriet. Om du s\u00e4kerhetskopierar s\u00e5dan information, baserar statistik p\u00e5 den, genomf\u00f6r forskning eller utf\u00f6r andra typer av operationer med den \u2013 allt detta kan g\u00f6ras p\u00e5 v\u00e4sterl\u00e4ndska resurser. Den avg\u00f6rande punkten ur ett lagligt perspektiv \u00e4r var personuppgifterna samlas in. D\u00e4rf\u00f6r \u00e4r det viktigt att inte blanda samman initial insamling och behandling.<\/p>\n Som framg\u00e5r av dessa korta exempel \u00e4r det inte alltid enkelt att arbeta med personuppgifter. Det kr\u00e4vs inte bara att veta att man arbetar med dem, utan ocks\u00e5 att kunna klassificera dem korrekt, f\u00f6rst\u00e5 hur informationssystemet fungerar f\u00f6r att korrekt fastst\u00e4lla den erforderliga skyddsniv\u00e5n. I vissa fall kan fr\u00e5gan st\u00e4llas om vilken m\u00e4ngd personuppgifter som faktiskt \u00e4r n\u00f6dv\u00e4ndig f\u00f6r organisationens arbete. \u00c4r det m\u00f6jligt att avst\u00e5 fr\u00e5n de mest \"k\u00e4nsliga\" eller helt enkelt \u00f6verfl\u00f6diga uppgifterna? Dessutom rekommenderar tillsynsmyndigheten att anonymisera personuppgifter d\u00e4r det \u00e4r m\u00f6jligt. <\/p>\n Som i exemplen ovan kan man ibland st\u00f6ta p\u00e5 att tillsynsmyndigheterna tolkas de insamlade personuppgifterna n\u00e5got annorlunda \u00e4n hur du sj\u00e4lv har bed\u00f6mt dem.<\/p>\n Sj\u00e4lvklart kan man ta hj\u00e4lp av en revisor eller systemintegrat\u00f6r, men kommer \"hj\u00e4lparen\" att vara ansvarig f\u00f6r de valda l\u00f6sningarna vid en granskning? Det \u00e4r v\u00e4rt att notera att ansvaret alltid ligger p\u00e5 \u00e4garen av personuppgiftsbehandlingen \u2013 operat\u00f6ren av personuppgifter. Det \u00e4r d\u00e4rf\u00f6r viktigt att n\u00e4r ett f\u00f6retag genomf\u00f6r s\u00e5dana arbeten att v\u00e4nda sig till seri\u00f6sa akt\u00f6rer p\u00e5 marknaden f\u00f6r s\u00e5dana tj\u00e4nster, till exempel f\u00f6retag som genomf\u00f6r certifieringsarbeten. Certifieringsf\u00f6retag har mycket erfarenhet av att genomf\u00f6ra s\u00e5dana arbeten.<\/p>\n Byggandet av en ISPDn \u00e4r inte bara en teknisk fr\u00e5ga, utan i stor utstr\u00e4ckning \u00e4ven en juridisk fr\u00e5ga. IT-chefen eller s\u00e4kerhetschefen b\u00f6r absolut r\u00e5dg\u00f6ra med en jurist. Eftersom det ofta saknas en specialist med r\u00e4tt profil i f\u00f6retaget kan det vara v\u00e4rt att \u00f6verv\u00e4ga att anlita externa revisorer. M\u00e5nga av de knepiga aspekterna \u00e4r inte alltid uppenbara.<\/p>\n Konsultationen kommer att hj\u00e4lpa till att fastst\u00e4lla vilka personuppgifter ni hanterar och vilken skyddsniv\u00e5 som kr\u00e4vs f\u00f6r dem. Ni f\u00e5r d\u00e4rf\u00f6r en \u00f6versikt \u00f6ver IS:et som beh\u00f6ver skapas eller kompletteras med skydds\u00e5tg\u00e4rder och ORD.<\/p>\n Ofta st\u00e5r valet f\u00f6r f\u00f6retaget mellan tv\u00e5 alternativ:<\/p>\n Att bygga det l\u00e4mpliga IS:et p\u00e5 sina egna programvaru- och h\u00e5rdvarul\u00f6sningar, f\u00f6rmodligen i sin egen serverhall.<\/p>\n<\/li>\n Att v\u00e4nda sig till en molnleverant\u00f6r och v\u00e4lja en flexibel l\u00f6sning, en redan certifierad \"virtuell serverhall\".<\/p>\n<\/li>\n<\/ol>\n De flesta IS:er som hanterar personuppgifter anv\u00e4nder en traditionell metod som, utifr\u00e5n ett aff\u00e4rsperspektiv, \u00e4r sv\u00e5r att kalla l\u00e4tt och framg\u00e5ngsrik. Vid val av detta alternativ \u00e4r det viktigt att f\u00f6rst\u00e5 att det tekniska projektet kommer att inkludera en beskrivning av utrustningen, inklusive programvaru- och h\u00e5rdvarul\u00f6sningar samt plattformar. Det betyder att ni kommer att beh\u00f6va m\u00f6ta f\u00f6ljande sv\u00e5righeter och begr\u00e4nsningar:<\/p>\n sv\u00e5righeter med skalbarhet;<\/p>\n<\/li>\n l\u00e5ng tid f\u00f6r projektgenomf\u00f6rande: det kr\u00e4vs tid f\u00f6r att v\u00e4lja, k\u00f6pa, installera, konfigurera och dokumentera systemet;<\/p>\n<\/li>\n en m\u00e4ngd \"pappersarbete\", som till exempel att utveckla ett komplett dokumentationspaket f\u00f6r hela ISPDn.<\/p>\n<\/li>\n<\/ul>\n Dessutom \u00e4r f\u00f6retag vanligtvis bara bekanta med den \"\u00f6vre\" niv\u00e5n av sitt IS - de anv\u00e4nda aff\u00e4rsapplikationerna. Med andra ord \u00e4r IT-personalen kvalificerad inom sitt sn\u00e4va omr\u00e5de. Det finns en brist p\u00e5 f\u00f6rst\u00e5else f\u00f6r hur alla \"l\u00e4gre niv\u00e5er\" fungerar: programvaru- och h\u00e5rdvaruskydd, lagringssystem, backup och naturligtvis hur man, med beaktande av alla krav, konfigurerar skydds\u00e5tg\u00e4rder och bygger den \"maskinella\" delen av konfigurationen. Det \u00e4r viktigt att f\u00f6rst\u00e5: det h\u00e4r \u00e4r en stor m\u00e4ngd kunskap som ligger bortom kundens aff\u00e4r. H\u00e4r kan erfarenheten fr\u00e5n en molnleverant\u00f6r, som tillhandah\u00e5ller en certifierad \"virtuell serverhall\", verkligen g\u00f6ra skillnad.<\/p>\n \u00c5 sin sida har molnleverant\u00f6rer en rad f\u00f6rdelar som utan \u00f6verdrift kan tillfredsst\u00e4lla 99 % av f\u00f6retagens behov inom skydd av personuppgifter:<\/p>\n kapitalkostnader omvandlas till driftkostnader;<\/p>\n<\/li>\n leverant\u00f6ren garanterar en n\u00f6dv\u00e4ndig niv\u00e5 av s\u00e4kerhet och tillg\u00e4nglighet baserat p\u00e5 bepr\u00f6vade standardl\u00f6sningar;<\/p>\n<\/li>\n det \u00e4r inte n\u00f6dv\u00e4ndigt att ha en personalstyrka som ska s\u00e4kerst\u00e4lla att ISPDat arbetar p\u00e5 'maskinniv\u00e5';<\/p>\n<\/li>\n leverant\u00f6rer erbjuder mycket mer flexibla och elastiska l\u00f6sningar;<\/p>\n<\/li>\n leverant\u00f6rens experter har alla n\u00f6dv\u00e4ndiga certifikat;<\/p>\n<\/li>\n compliance \u00e4r inte l\u00e4gre \u00e4n vid byggandet av egen arkitektur, med h\u00e4nsyn till krav och rekommendationer fr\u00e5n reglerande myndigheter.<\/p>\n<\/li>\n<\/ul>\n Den gamla myten om att man inte kan lagra personuppgifter i molnet \u00e4r fortfarande oerh\u00f6rt popul\u00e4r. Den \u00e4r endast delvis sann: personuppgifter f\u00e5r faktiskt inte lagras i ett slumpm\u00e4ssigt<\/em> moln. Det kr\u00e4vs efterlevnad av vissa tekniska \u00e5tg\u00e4rder, anv\u00e4ndning av s\u00e4rskilda certifierade l\u00f6sningar. Om leverant\u00f6ren uppfyller alla lagkrav minimeras riskerna f\u00f6r l\u00e4ckage av personuppgifter. M\u00e5nga leverant\u00f6rer har en separat infrastruktur f\u00f6r behandling av personuppgifter i enlighet med 152-FZ. Men ocks\u00e5 valet av leverant\u00f6r beh\u00f6ver g\u00f6ras med k\u00e4nnedom om vissa kriterier, som vi kommer att ta upp nedan. <\/p>\n Kunder kommer ofta till oss med vissa bekymmer om att lagra personuppgifter i leverant\u00f6rens moln. L\u00e5t oss diskutera dem direkt.<\/p>\n Data kan stj\u00e4las under \u00f6verf\u00f6ring eller migration.<\/p>\n<\/li>\n<\/ul>\n Det finns ingen anledning att frukta detta \u2014 leverant\u00f6ren erbjuder kunden att skapa en s\u00e4ker datakanal baserad p\u00e5 certifierade l\u00f6sningar, f\u00f6rst\u00e4rkta autentiserings\u00e5tg\u00e4rder f\u00f6r motparter och anst\u00e4llda. Det \u00e5terst\u00e5r att v\u00e4lja l\u00e4mpliga skydds\u00e5tg\u00e4rder och implementera dem i arbetet med kunden.<\/p>\n Maskerade personer kommer att dyka upp och ta bort\/embagera\/st\u00e4nga av servern.<\/p>\n<\/li>\n<\/ul>\n Det \u00e4r helt f\u00f6rst\u00e5eligt att kunder oroar sig f\u00f6r att deras aff\u00e4rsprocesser kan st\u00f6ras p\u00e5 grund av otillr\u00e4cklig kontroll \u00f6ver infrastrukturen. Vanligtvis \u00e4r det de kunder som tidigare haft sin utrustning i sm\u00e5 serverrum, snarare \u00e4n specialiserade datacenter, som t\u00e4nker s\u00e5. I verkligheten \u00e4r datacentren utrustade med moderna medel f\u00f6r s\u00e5v\u00e4l fysisk som informationsskydd. N\u00e5gra operationer i ett s\u00e5dant datacenter kan knappast genomf\u00f6ras utan tillr\u00e4ckliga bevis och dokument, och s\u00e5dana aktiviteter kr\u00e4ver att ett helt antal procedurer f\u00f6ljs. Dessutom kan \"utdragningen\" av din server fr\u00e5n datacentret p\u00e5verka andra kunder hos leverant\u00f6ren, och det beh\u00f6ver ingen. Ingen kan peka ut \"din\" virtuella server, s\u00e5 om n\u00e5gon vill stj\u00e4la den eller arrangera en maskerad, m\u00e5ste de f\u00f6rst st\u00f6tte p\u00e5 en m\u00e4ngd byr\u00e5kratiska hinder. Under den tiden har du sannolikt hunnit migrera flera g\u00e5nger till en annan plats.<\/p>\n Hackare kommer att hacka molnet och stj\u00e4la data<\/p>\n<\/li>\n<\/ul>\n Internet och tryckt media sv\u00e4mmar \u00f6ver av rubriker om hur \u00e4nnu ett moln blivit offer f\u00f6r cyberskurkar, och miljoner poster med personuppgifter har l\u00e4ckt ut p\u00e5 n\u00e4tet. I de allra flesta fall uppt\u00e4cktes s\u00e5rbarheterna inte hos leverant\u00f6ren, utan i offrets informationssystem: svaga eller i princip standardl\u00f6senord, 'h\u00e5l' i webbplats- och databasmotorer, och f\u00f6retagets grundl\u00e4ggande v\u00e5rdsl\u00f6shet n\u00e4r det g\u00e4ller val av skydds\u00e5tg\u00e4rder och organisering av procedurer f\u00f6r datatillg\u00e5ng. Alla certifierade l\u00f6sningar kontrolleras f\u00f6r s\u00e5rbarheter. Vi genomf\u00f6r ocks\u00e5 regelbundet 'kontroll'-pentester och s\u00e4kerhetsgranskningar, b\u00e5de p\u00e5 egen hand och med hj\u00e4lp av externa organisationer. F\u00f6r leverant\u00f6ren handlar det om rykte och aff\u00e4rer som helhet.<\/p>\n Leverant\u00f6ren\/leverant\u00f6rens anst\u00e4llda kommer att stj\u00e4la personuppgifter i sj\u00e4lviska syften<\/p>\n<\/li>\n<\/ul>\n Det h\u00e4r \u00e4r en k\u00e4nslig fr\u00e5ga. Ett antal f\u00f6retag inom cybers\u00e4kerhet \"skr\u00e4ms\" sina kunder och insisterar p\u00e5 att \"intern personal \u00e4r farligare \u00e4n externa hackare\". I vissa fall kan detta st\u00e4mma, men ett f\u00f6retag kan inte byggas utan f\u00f6rtroende. D\u00e5 och d\u00e5 dyker det upp nyheter om att f\u00f6retagets egna anst\u00e4llda l\u00e4cker kunddata till illvilliga akt\u00f6rer, och den interna s\u00e4kerheten \u00e4r ofta mycket s\u00e4mre organiserad \u00e4n den externa. H\u00e4r \u00e4r det viktigt att f\u00f6rst\u00e5 att varje stor leverant\u00f6r \u00e4r extremt ointresserad av negativa fall. Leverant\u00f6rens anst\u00e4lldas handlingar \u00e4r v\u00e4l reglerade, rollerna och ansvarsomr\u00e5dena \u00e4r delade. Alla aff\u00e4rsprocesser \u00e4r utformade s\u00e5 att datal\u00e4ckagesfall \u00e4r extremt osannolika och alltid m\u00e4rkbara f\u00f6r interna tj\u00e4nster, s\u00e5 kunder beh\u00f6ver inte oroa sig f\u00f6r problem fr\u00e5n den sidan.<\/p>\n Du betalar lite eftersom du betalar f\u00f6r tj\u00e4nster med dina aff\u00e4rsuppgifter.<\/p>\n<\/li>\n<\/ul>\n En annan myt: en kund som hyr en s\u00e4ker infrastruktur till ett rimligt pris betalar i sj\u00e4lva verket med sina data \u2013 s\u00e5 t\u00e4nker ofta specialister som g\u00e4rna l\u00e4ser ett par konspirationsteorier innan de g\u00e5r till s\u00e4ngs. F\u00f6r det f\u00f6rsta \u00e4r m\u00f6jligheten att genomf\u00f6ra n\u00e5gra operationer med dina data ut\u00f6ver dem som anges i uppdraget i praktiken noll. F\u00f6r det andra v\u00e4rdes\u00e4tter en seri\u00f6s leverant\u00f6r relationerna med sina kunder och sitt omd\u00f6me \u2013 f\u00f6rutom dig har han m\u00e5nga andra kunder. Det \u00e4r mer troligt att den motsatta situationen uppst\u00e5r, d\u00e4r leverant\u00f6ren entusiastiskt skyddar sina kunders data, som ocks\u00e5 \u00e4r en del av hans verksamhet.<\/p>\n I dagsl\u00e4get erbjuder marknaden m\u00e5nga l\u00f6sningar f\u00f6r f\u00f6retag som \u00e4r operat\u00f6rer av PDL. Nedan f\u00f6ljer en allm\u00e4n lista med rekommendationer f\u00f6r att v\u00e4lja r\u00e4tt.<\/p>\n Leverant\u00f6ren b\u00f6r vara beredd att ing\u00e5 ett officiellt avtal som beskriver parternas skyldigheter, SLA och ansvar inom ramen f\u00f6r hanteringen av PDL. Faktiskt, mellan dig och leverant\u00f6ren b\u00f6r det, f\u00f6rutom tj\u00e4nsteavtalet, undertecknas ett uppdrag f\u00f6r hantering av PDL. I vilket fall som helst b\u00f6r du studera dem noggrant. Det \u00e4r viktigt att f\u00f6rst\u00e5 gr\u00e4nserna f\u00f6r ansvar mellan dig och leverant\u00f6ren.<\/p>\n<\/li>\n Observera att segmentet m\u00e5ste uppfylla kraven, vilket inneb\u00e4r att det ska ha ett certifikat som anger en s\u00e4kerhetsniv\u00e5 som inte \u00e4r l\u00e4gre \u00e4n vad som kr\u00e4vs av ditt informationssystem. Ibland publicerar leverant\u00f6rer endast f\u00f6rsta sidan av certifikatet, vilket ger lite klarhet, eller h\u00e4nvisar till revision eller efterlevnadsprocedurer utan att publicera sj\u00e4lva certifikatet (\"fanns pojken?\"). Det \u00e4r v\u00e4rt att beg\u00e4ra det \u2014 det \u00e4r ett offentligt dokument d\u00e4r det anges vem som har genomf\u00f6rt certifieringen, giltighetstid, molnens plats osv.<\/p>\n<\/li>\n Leverant\u00f6ren m\u00e5ste tillhandah\u00e5lla information om var deras platser (skyddsobjekt) \u00e4r bel\u00e4gna, s\u00e5 att du kan kontrollera var dina data \u00e4r lagrade. Vi p\u00e5minner om att den initiala insamlingen av personuppgifter m\u00e5ste ske inom Rysslands gr\u00e4nser, d\u00e4rf\u00f6r \u00e4r det \u00f6nskv\u00e4rt att se adresserna f\u00f6r datacenter i avtalet\/certifikatet.<\/p>\n<\/li>\n Leverant\u00f6ren m\u00e5ste anv\u00e4nda certifierade skyddssystem och kryptografiska skyddssystem. Naturligtvis annonserar de flesta leverant\u00f6rer inte de tekniska skydds\u00e5tg\u00e4rder och l\u00f6sningars arkitektur som anv\u00e4nds. Men du som kund kan inte vara ovetande om detta. Till exempel, f\u00f6r att fj\u00e4rransluta till hanteringssystemet (hanteringsportalen) m\u00e5ste skydds\u00e5tg\u00e4rder anv\u00e4ndas. Leverant\u00f6ren kan inte kringg\u00e5 detta krav och kommer att f\u00f6rse dig (eller kr\u00e4va att du anv\u00e4nder) certifierade l\u00f6sningar. Testa resurserna och du kommer snart att f\u00f6rst\u00e5 hur och vad som \u00e4r uppbyggt. <\/p>\n<\/li>\n Det \u00e4r mycket \u00f6nskv\u00e4rt att molnleverant\u00f6ren erbjuder ytterligare tj\u00e4nster inom informationss\u00e4kerhet. Dessa kan vara olika tj\u00e4nster: skydd mot DDoS-attacker och WAF, antivirusservice eller sandbox och liknande. Allt detta g\u00f6r att du kan f\u00e5 skydd som en tj\u00e4nst, utan att beh\u00f6va avleda uppm\u00e4rksamheten till att bygga skyddssystem, och ist\u00e4llet fokusera p\u00e5 aff\u00e4rsapplikationer.<\/p>\n<\/li>\n Leverant\u00f6ren m\u00e5ste ha licenser fr\u00e5n FSTEK och FSB. Vanligtvis publiceras s\u00e5dan information direkt p\u00e5 webbplatsen. Se till att beg\u00e4ra dessa dokument och kontrollera om tj\u00e4nsternas adresser, leverant\u00f6rens f\u00f6retagsnamn osv. anges korrekt. <\/p>\n<\/li>\n<\/ul>\n L\u00e5t oss sammanfatta. Hyra av infrastruktur g\u00f6r det m\u00f6jligt att avst\u00e5 fr\u00e5n CAPEX och beh\u00e5lla endast sina aff\u00e4rsapplikationer och data under sin kontroll, medan det tunga ansvaret f\u00f6r certifiering av \"h\u00e5rdvara\" och programvaru- och h\u00e5rdvarul\u00f6sningar \u00f6verl\u00e4mnas till leverant\u00f6ren.<\/p>\n Nyligen genomf\u00f6rde vi framg\u00e5ngsrikt en reattestation av infrastrukturen f\u00f6r \"Skyddat moln FZ-152\" f\u00f6r att s\u00e4kerst\u00e4lla att den uppfyller kraven f\u00f6r arbete med personuppgifter. Arbetet utf\u00f6rdes av \"Nationella certifieringscentret\".<\/p>\n F\u00f6r n\u00e4rvarande \u00e4r \"Skyddat moln FZ-152\" certifierat f\u00f6r placering av informationssystem som deltar i hantering, lagring eller \u00f6verf\u00f6ring av personuppgifter (ISPD) enligt kraven f\u00f6r niv\u00e5 UZ-3.<\/p>\n Certifieringsproceduren inneb\u00e4r en kontroll av molnleverant\u00f6rens infrastruktur f\u00f6r att s\u00e4kerst\u00e4lla att den uppfyller skyddsniv\u00e5n. Sj\u00e4lva leverant\u00f6ren tillhandah\u00e5ller IaaS-tj\u00e4nster och \u00e4r inte en operat\u00f6r f\u00f6r personuppgifter. Processen involverar utv\u00e4rdering av b\u00e5de organisatoriska (dokumentation, order etc.) och tekniska \u00e5tg\u00e4rder (konfiguration av skydds\u00e5tg\u00e4rder etc.).<\/p>\n Det kan inte kallas trivialt. Trots att GOST f\u00f6r program och metoder f\u00f6r genomf\u00f6rande av certifierings\u00e5tg\u00e4rder inf\u00f6rdes redan 2013, finns det fortfarande inga strikta program f\u00f6r molnobjekt. Certifieringscentren utvecklar dessa program baserat p\u00e5 sin egen expertis. Med framkomsten av ny teknologi blir programmen mer komplexa och uppdateras, d\u00e4rf\u00f6r m\u00e5ste certifieraren ha erfarenhet av att arbeta med molnl\u00f6sningar och f\u00f6rst\u00e5 specifikationerna.<\/p>\n I v\u00e5rt fall best\u00e5r skyddsobjektet av tv\u00e5 platser.<\/p>\n Inom datacentret finns de molnbaserade resurserna (servrar, lagringssystem, n\u00e4tverksinfrastruktur, skyddsmekanismer etc.). Sj\u00e4lvklart \u00e4r det virtuella datacentret anslutet till allm\u00e4nna n\u00e4tverk, vilket inneb\u00e4r att vissa krav f\u00f6r brandskydd m\u00e5ste uppfyllas, till exempel anv\u00e4ndning av certifierade brandv\u00e4ggar.<\/p>\n<\/li>\n Den andra delen av objektet \u00e4r verktyg f\u00f6r molnhantering. Det handlar om arbetsstationer (administrat\u00f6rsarbetsplatser) varifr\u00e5n den skyddade sektionen hanteras.<\/p>\n<\/li>\n<\/ul>\nNuancer i klassificeringen<\/h2>\n
Alternativ f\u00f6r att bygga personuppgiftsbehandling<\/h2>\n
\n
\n
\n
\n
\n
\n
\n
\n
V\u00e4lja en molnleverant\u00f6r f\u00f6r PDL<\/h2>\n
\n
Hur vi genomgick certifieringen<\/h3>\n
\n
![\"IaaS](\"\/wp-content\/uploads\/2020\/09\/611ca4c92615fffb675864b72dcaa2f8.jpg\")
Strukturschema \"utifr\u00e5n certifierarens perspektiv\"<\/p>\n![\"IaaS](\"\/wp-content\/uploads\/2020\/09\/4b0f5c72f8460c2a81068887efc8c9b1.jpg\")
Abstraktionsniv\u00e5indelning<\/p>\n