152-FZ'ye uygunluğu çevreleyen mitleri ve efsaneleri ne kadar çözerseniz düzeltin, her zaman perde arkasında bir şeyler kalır. Bugün hem büyük şirketlerin hem de çok küçük işletmelerin karşılaşabileceği, her zaman bariz olmayan bazı nüansları tartışmak istiyoruz:
-
PD'nin kategorilere göre sınıflandırılmasının incelikleri - küçük bir çevrimiçi mağaza, özel bir kategoriyle ilgili verileri bilmeden topladığında;
-
toplanan PD'nin yedeklerini saklayabileceğiniz ve bunlar üzerinde işlem gerçekleştirebileceğiniz yer;
-
sertifika ile uygunluk sonucu arasındaki fark nedir, sağlayıcıdan hangi belgeleri talep etmelisiniz ve bunun gibi şeyler.
Son olarak, sertifikayı geçme konusundaki kendi deneyimimizi sizinle paylaşacağız. Gitmek!
Bugünün makalesindeki uzman olacak Alexey Afanasiev, bulut sağlayıcıları IT-GRAD ve #CloudMTS (MTS grubunun bir parçası) uzmanıdır.
Sınıflandırmanın incelikleri
Genellikle bir müşterinin, ISPD için gerekli güvenlik düzeyini IS denetimi olmadan hızlı bir şekilde belirleme isteğiyle karşılaşırız. İnternetteki bu konuyla ilgili bazı materyaller, bunun basit bir iş olduğu ve hata yapmanın oldukça zor olduğu konusunda yanlış izlenim veriyor.
KM'yi belirlemek için müşterinin IS'si tarafından hangi verilerin toplanıp işleneceğini anlamak gerekir. Bazen bir işletmenin işlettiği kişisel verilerin koruma gerekliliklerini ve kategorisini net bir şekilde belirlemek zor olabilir. Aynı türdeki kişisel veriler tamamen farklı şekillerde değerlendirilip sınıflandırılabilmektedir. Dolayısıyla bazı durumlarda işletmenin görüşü denetçinin, hatta müfettişin görüşünden farklılaşabilmektedir. Birkaç örneğe bakalım.
Otopark. Oldukça geleneksel bir iş türü gibi görünebilir. Birçok araç filosu onlarca yıldır faaliyet gösteriyor ve sahipleri bireysel girişimcileri ve bireyleri işe alıyor. Kural olarak, çalışan verileri UZ-4 gereklilikleri kapsamına girmektedir. Ancak sürücülerle çalışmak için sadece kişisel verilerin toplanması değil, aynı zamanda vardiyaya çıkmadan önce araç filosunun topraklarında tıbbi kontrolün yapılması da gerekli olup, süreçte toplanan bilgiler derhal bilgi kategorisine girmektedir. tıbbi veriler - ve bu özel bir kategorideki kişisel verilerdir. Ayrıca filo, daha sonra sürücünün dosyasında saklanacak sertifikalar talep edebilir. Böyle bir sertifikanın elektronik biçimde taranması - sağlık verileri, özel kategorideki kişisel veriler. Bu, UZ-4'ün artık yeterli olmadığı anlamına gelir; en azından UZ-3'e ihtiyaç vardır.
Çevrimiçi mağaza Toplanan isimler, e-postalar ve telefon numaraları genel kategoriye giriyor gibi görünüyor. Ancak müşterileriniz helal veya koşer gibi beslenme tercihlerini belirtirse bu tür bilgiler dini inanç veya inanç verileri olarak kabul edilebilir. Bu nedenle denetçi, diğer kontrol faaliyetlerini kontrol ederken veya yürütürken topladığınız verileri özel bir kişisel veri kategorisi olarak sınıflandırabilir. Artık bir çevrimiçi mağaza, alıcısının et mi yoksa balık mı tercih ettiğine ilişkin bilgi toplarsa, bu veriler diğer kişisel veriler olarak sınıflandırılabilir. Bu arada vejetaryenler ne olacak? Sonuçta bu, aynı zamanda özel bir kategoriye ait olan felsefi inançlara da atfedilebilir. Ancak öte yandan bu, eti diyetinden çıkarmış bir kişinin tutumu da olabilir. Ne yazık ki, bu tür "ince" durumlarda PD kategorisini açıkça tanımlayan bir işaret yok.
Reklam ajansı Bazı Batılı bulut hizmetlerini kullanarak, müşterilerinin halka açık verilerini (tam adlar, e-posta adresleri ve telefon numaraları) işler. Bu kişisel veriler elbette kişisel verilerle ilgilidir. Şu soru ortaya çıkıyor: Bu tür bir işlemin gerçekleştirilmesi yasal mı? Bu tür verileri, örneğin yedekleri bazı yabancı bulutlarda depolamak için, duyarsızlaştırma olmadan Rusya Federasyonu dışına taşımak mümkün müdür? Tabi ki yapabilirsin. Ajansın bu verileri Rusya dışında saklama hakkı vardır, ancak mevzuatımıza göre ilk toplama işleminin Rusya Federasyonu topraklarında yapılması gerekmektedir. Bu tür bilgileri yedeklerseniz, buna dayalı olarak bazı istatistikler hesaplarsanız, araştırma yaparsanız veya onunla başka işlemler gerçekleştirirseniz - tüm bunlar Batı kaynaklarıyla yapılabilir. Hukuki açıdan kilit nokta, kişisel verilerin nerede toplandığıdır. Bu nedenle ilk toplama ve işlemeyi karıştırmamak önemlidir.
Bu kısa örneklerden de anlaşılacağı üzere kişisel verilerle çalışmak her zaman kolay ve basit değildir. Gerekli güvenlik düzeyini doğru bir şekilde belirlemek için yalnızca onlarla çalıştığınızı bilmeniz değil, aynı zamanda bunları doğru şekilde sınıflandırabilmeniz, IP'nin nasıl çalıştığını anlayabilmeniz gerekir. Bazı durumlarda kuruluşun gerçekte ne kadar kişisel veriyi işlemesi gerektiği sorusu ortaya çıkabilir. En “ciddi” veya basitçe gereksiz verileri reddetmek mümkün mü? Ayrıca düzenleyici kurum, mümkün olduğu durumlarda kişisel verilerin kişiselleştirilmesini önermektedir.
Yukarıdaki örneklerde olduğu gibi bazen denetim yetkililerinin toplanan kişisel verileri sizin değerlendirdiğinizden biraz farklı yorumladığı gerçeğiyle karşılaşabilirsiniz.
Elbette asistan olarak bir denetçi veya sistem entegratörü kiralayabilirsiniz, ancak bir denetim durumunda seçilen kararlardan “asistan” mı sorumlu olacak? Sorumluluğun her zaman kişisel verilerin operatörü olan ISPD'nin sahibine ait olduğunu belirtmekte fayda var. Bu nedenle bir firma böyle bir çalışma yürüttüğünde bu tür hizmetler için pazardaki ciddi oyunculara, örneğin sertifikasyon çalışması yapan firmalara yönelmek önemlidir. Sertifikasyon şirketleri bu tür çalışmaları yürütme konusunda geniş deneyime sahiptir.
ISPD oluşturma seçenekleri
ISPD'nin oluşturulması yalnızca teknik değil aynı zamanda büyük ölçüde hukuki bir konudur. CIO veya güvenlik direktörü her zaman hukuk müşavirine danışmalıdır. Şirket her zaman ihtiyacınız olan profile sahip bir uzmana sahip olmadığından denetçi-danışmanlara yönelmeye değer. Birçok kaygan nokta hiç belirgin olmayabilir.
Danışma, hangi kişisel verilerle ilgilendiğinizi ve bunların ne düzeyde koruma gerektirdiğini belirlemenize olanak tanıyacaktır. Buna göre oluşturulması veya güvenlik ve operasyonel güvenlik önlemleriyle desteklenmesi gereken IP hakkında fikir edineceksiniz.
Çoğu zaman bir şirketin tercihi iki seçenek arasındadır:
-
İlgili IS'yi kendi donanım ve yazılım çözümleriniz üzerinde, muhtemelen kendi sunucu odanızda oluşturun.
-
Bir bulut sağlayıcısına başvurun ve zaten sertifikalı bir "sanal sunucu odası" olan elastik bir çözüm seçin.
Kişisel verileri işleyen çoğu bilgi sistemi, iş açısından bakıldığında pek kolay ve başarılı sayılamayacak geleneksel bir yaklaşım kullanır. Bu seçeneği seçerken teknik tasarımın, yazılım ve donanım çözümleri ve platformları da dahil olmak üzere ekipmanın bir tanımını içereceğini anlamak gerekir. Bu, aşağıdaki zorluklarla ve sınırlamalarla yüzleşmeniz gerektiği anlamına gelir:
-
ölçeklendirmenin zorluğu;
-
uzun proje uygulama süresi: sistemi seçmek, satın almak, kurmak, yapılandırmak ve açıklamak gereklidir;
-
Örnek olarak çok sayıda "kağıt" çalışması - ISPD'nin tamamı için eksiksiz bir belge paketinin geliştirilmesi.
Ek olarak, bir işletme, kural olarak, IP'sinin yalnızca "en üst" seviyesini, yani kullandığı iş uygulamalarını anlar. Başka bir deyişle, BT personeli kendi alanlarında yeteneklidir. Tüm "alt seviyelerin" nasıl çalıştığına dair bir anlayış yok: yazılım ve donanım koruması, depolama sistemleri, yedekleme ve tabii ki koruma araçlarının tüm gereksinimlere uygun olarak nasıl yapılandırılacağı, yapılandırmanın "donanım" kısmının nasıl oluşturulacağı. Anlamak önemlidir: Bu, müşterinin işinin dışında kalan büyük bir bilgi katmanıdır. Sertifikalı bir "sanal sunucu odası" sağlayan bir bulut sağlayıcısının deneyiminin işe yarayabileceği yer burasıdır.
Buna karşılık, bulut sağlayıcıları, kişisel verilerin korunması alanındaki iş ihtiyaçlarının %99'unu abartmadan karşılayabilecek bir dizi avantaja sahiptir:
-
sermaye maliyetleri işletme maliyetlerine dönüştürülür;
-
sağlayıcı ise kanıtlanmış standart bir çözüme dayalı olarak gerekli düzeyde güvenlik ve kullanılabilirliğin sağlanmasını garanti eder;
-
ISPD'nin donanım düzeyinde çalışmasını sağlayacak uzmanlardan oluşan bir kadronun tutulmasına gerek yoktur;
-
sağlayıcılar çok daha esnek ve esnek çözümler sunuyor;
-
sağlayıcının uzmanları gerekli tüm sertifikalara sahiptir;
-
uyumluluk, düzenleyicilerin gerekliliklerini ve önerilerini dikkate alarak kendi mimarinizi oluştururken olduğundan daha düşük değildir.
Kişisel verilerin bulutta saklanamayacağına dair eski efsane hâlâ oldukça popüler. Bu sadece kısmen doğrudur: PD gerçekten yayınlanamaz mevcut olan ilkinde bulut. Belirli teknik önlemlere uyulması ve belirli sertifikalı çözümlerin kullanılması gerekmektedir. Sağlayıcının tüm yasal gerekliliklere uyması durumunda kişisel veri sızıntısıyla ilgili riskler en aza indirilir. Birçok sağlayıcının kişisel verileri 152-FZ uyarınca işlemek için ayrı bir altyapısı vardır. Ancak tedarikçi seçimine de belli kriterleri bilerek yaklaşılmalıdır; bunlara aşağıda mutlaka değineceğiz.
Müşteriler sıklıkla kişisel verilerinin sağlayıcının bulutuna yerleştirilmesiyle ilgili bazı endişelerle bize geliyorlar. Neyse bunları hemen tartışalım.
-
İletim veya geçiş sırasında veriler çalınabilir
Bundan korkmanıza gerek yok - sağlayıcı, müşteriye sertifikalı çözümlere dayalı güvenli bir veri aktarım kanalı oluşturma, yükleniciler ve çalışanlar için gelişmiş kimlik doğrulama önlemleri sunar. Geriye kalan tek şey uygun koruma yöntemlerini seçmek ve bunları müşterinizle yaptığınız çalışmanın bir parçası olarak uygulamaktır.
-
Gösteri maskeleri gelecek ve sunucunun gücünü alacak/mühürleyecek/kesecek
Altyapı üzerinde yetersiz kontrol nedeniyle iş süreçlerinin sekteye uğrayacağından korkan müşteriler için bu oldukça anlaşılır bir durumdur. Kural olarak, donanımı daha önce özel veri merkezleri yerine küçük sunucu odalarında bulunan müşteriler bunu düşünüyor. Gerçekte veri merkezleri hem fiziksel hem de bilgi korumasına yönelik modern araçlarla donatılmıştır. Yeterli gerekçe ve evrak olmadan böyle bir veri merkezinde herhangi bir işlemin gerçekleştirilmesi neredeyse imkansızdır ve bu tür faaliyetler bir takım prosedürlere uyumu gerektirir. Ayrıca sunucunuzu veri merkezinden “çekmek”, sağlayıcının diğer istemcilerini de etkileyebilir ve buna kesinlikle kimse için gerek yoktur. Buna ek olarak, hiç kimse özel olarak "sizin" sanal sunucunuza işaret edemeyecek, dolayısıyla birisi onu çalmak veya bir maske gösterisi düzenlemek isterse, öncelikle birçok bürokratik gecikmeyle uğraşmak zorunda kalacak. Bu süre zarfında büyük olasılıkla birkaç kez başka bir siteye geçiş yapmak için zamanınız olacak.
-
Bilgisayar korsanları bulutu hackleyecek ve verileri çalacak
İnternet ve yazılı basın, bir bulutun daha siber suçluların kurbanı olduğu ve milyonlarca kişisel veri kaydının internete sızdırıldığına dair manşetlerle dolu. Vakaların büyük çoğunluğunda, güvenlik açıkları sağlayıcı tarafında değil, kurbanların bilgi sistemlerinde bulundu: zayıf veya hatta varsayılan şifreler, web sitesi motorlarında ve veritabanlarında "delikler" ve güvenlik önlemlerini seçerken sıradan ticari dikkatsizlik ve Veri erişim prosedürlerini düzenlemek. Sertifikalı tüm çözümler güvenlik açıklarına karşı kontrol edilir. Ayrıca hem bağımsız olarak hem de harici kuruluşlar aracılığıyla düzenli olarak "kontrol" sızma testleri ve güvenlik denetimleri gerçekleştiriyoruz. Sağlayıcı için bu genel olarak bir itibar ve iş meselesidir.
-
Sağlayıcı/sağlayıcının çalışanları kişisel kazanç için kişisel verileri çalacaktır
Bu oldukça hassas bir an. Bilgi güvenliği dünyasından bazı şirketler müşterilerini “korkutuyor” ve “iç çalışanların dışarıdaki bilgisayar korsanlarından daha tehlikeli olduğu” konusunda ısrar ediyor. Bu bazı durumlarda doğru olabilir ancak güven olmadan bir iş kurulamaz. Zaman zaman bir kuruluşun kendi çalışanlarının müşteri verilerini saldırganlara sızdırdığına ve iç güvenliğin bazen dış güvenliğe göre çok daha kötü organize edildiğine dair haberler çıkıyor. Burada herhangi bir büyük sağlayıcının olumsuz vakalarla son derece ilgisiz olduğunu anlamak önemlidir. Sağlayıcının çalışanlarının eylemleri iyi düzenlenmiştir, roller ve sorumluluk alanları bölünmüştür. Tüm iş süreçleri, veri sızıntısı vakalarının son derece düşük olacağı ve dahili hizmetler tarafından her zaman fark edileceği şekilde yapılandırılmıştır, bu nedenle müşterilerin bu taraftaki sorunlardan korkmaması gerekir.
-
Hizmetler için iş verilerinizle ödeme yaptığınız için çok az ödersiniz.
Başka bir efsane: Güvenli altyapıyı rahat bir fiyata kiralayan bir müşteri aslında bunun bedelini verileriyle ödüyor - bu genellikle yatmadan önce birkaç komplo teorisi okumaktan çekinmeyen uzmanlar tarafından düşünülür. Öncelikle verileriniz ile siparişte belirtilenler dışında herhangi bir işlem yapılma ihtimali esasen sıfırdır. İkincisi, yeterli bir sağlayıcı sizinle olan ilişkisine ve itibarına değer verir - sizin dışında çok daha fazla müşterisi vardır. Sağlayıcının, işinin dayandığı müşterilerinin verilerini gayretle koruyacağı ters senaryo daha olasıdır.
ISPD için bir bulut sağlayıcı seçme
Günümüzde piyasada PD operatörü olan firmalara yönelik pek çok çözüm sunulmaktadır. Aşağıda doğru olanı seçmek için genel bir öneri listesi bulunmaktadır.
-
Sağlayıcı, kişisel verilerin işlenmesinde tarafların sorumluluklarını, SLA'ları ve sorumluluk alanlarını açıklayan resmi bir anlaşma yapmaya hazır olmalıdır. Aslında sizinle sağlayıcı arasında hizmet sözleşmesine ek olarak PD işleme için bir siparişin de imzalanması gerekir. Her durumda, onları dikkatlice incelemeye değer. Siz ve sağlayıcı arasındaki sorumluluk dağılımını anlamak önemlidir.
-
Segmentin gereklilikleri karşılaması gerektiğini, yani IP'nizin gerektirdiği güvenlik düzeyini gösteren bir sertifikaya sahip olması gerektiğini lütfen unutmayın. Sağlayıcıların, sertifikanın yalnızca ilk sayfasını yayınladığı ve bu sayfadan çok az şeyin anlaşıldığı veya sertifikanın kendisini yayınlamadan denetimlere veya uyumluluk prosedürlerine atıfta bulunduğu görülür ("erkek çocuk var mıydı?"). Bunu istemeye değer; bu, sertifikayı kimin gerçekleştirdiğini, geçerlilik süresini, bulut konumunu vb. gösteren kamuya açık bir belgedir.
-
Sağlayıcı, verilerinizin yerleşimini kontrol edebilmeniz için sitelerinin (korunan nesnelerin) nerede bulunduğuna ilişkin bilgi sağlamalıdır. Kişisel verilerin ilk toplanmasının Rusya Federasyonu topraklarında yapılması gerektiğini, buna göre sözleşme/sertifikada veri merkezi adreslerinin görülmesi gerektiğini hatırlatalım.
-
Sağlayıcı, sertifikalı bilgi güvenliği ve bilgi koruma sistemlerini kullanmalıdır. Elbette çoğu sağlayıcı kullandıkları teknik güvenlik önlemlerinin ve çözüm mimarisinin reklamını yapmıyor. Ancak siz bir müşteri olarak bunu bilmeden edemezsiniz. Örneğin bir yönetim sistemine (yönetim portalına) uzaktan bağlanmak için güvenlik önlemlerinin kullanılması gerekir. Sağlayıcı bu gereksinimi atlayamayacaktır ve size sertifikalı çözümler sunacaktır (veya kullanmanızı isteyecektir). Kaynakları bir test için kullanın ve nasıl ve neyin işe yaradığını hemen anlayacaksınız.
-
Bulut sağlayıcının bilgi güvenliği alanında ek hizmetler sağlaması oldukça arzu edilir. Bunlar çeşitli hizmetler olabilir: DDoS saldırılarına ve WAF'ye karşı koruma, anti-virüs hizmeti veya sanal alan vb. Tüm bunlar, korumayı bir hizmet olarak almanıza, bina koruma sistemleriyle dikkatinizin dağılmasına değil, iş uygulamaları üzerinde çalışmanıza olanak tanıyacaktır.
-
Sağlayıcının FSTEC ve FSB lisans sahibi olması gerekir. Kural olarak, bu tür bilgiler doğrudan web sitesinde yayınlanır. Bu belgeleri mutlaka talep edin ve hizmet verilen adreslerin, sağlayıcı firmanın adının vb. doğru olup olmadığını kontrol edin.
Özetleyelim. Altyapı kiralamak, CAPEX'ten vazgeçmenize ve yalnızca iş uygulamalarınızı ve sorumluluk alanınızdaki verilerin kendisini tutmanıza ve donanım, yazılım ve donanım sertifikasyonunun ağır yükünü sağlayıcıya aktarmanıza olanak tanır.
Sertifikayı nasıl geçtik
Son olarak “Secure Cloud FZ-152” altyapısının kişisel verilerle çalışma gerekliliklerine uyum açısından yeniden sertifikalandırılması işlemini başarıyla geçtik. Çalışma Ulusal Sertifikasyon Merkezi tarafından gerçekleştirildi.
Şu anda, “FZ-152 Güvenli Bulut”, UZ-3 seviyesinin gerekliliklerine uygun olarak kişisel verilerin (ISPDn) işlenmesi, depolanması veya iletilmesinde yer alan bilgi sistemlerini barındırmak için onaylanmıştır.
Sertifikasyon prosedürü, bulut sağlayıcının altyapısının koruma düzeyine uygunluğunu kontrol etmeyi içerir. Sağlayıcının kendisi IaaS hizmetini sağlar ve kişisel verilerin operatörü değildir. Süreç, hem organizasyonel (dokümantasyon, siparişler vb.) hem de teknik önlemlerin (koruyucu ekipmanın kurulması vb.) değerlendirilmesini içerir.
Önemsiz olarak adlandırılamaz. Sertifikasyon faaliyetlerini yürütmeye yönelik programlar ve yöntemlere ilişkin GOST'un 2013 yılında ortaya çıkmasına rağmen, bulut nesneleri için katı programlar hala mevcut değildir. Sertifikasyon merkezleri bu programları kendi uzmanlıklarına dayanarak geliştirirler. Yeni teknolojilerin ortaya çıkmasıyla birlikte programlar daha karmaşık ve modern hale geliyor; buna göre sertifika verenin bulut çözümleriyle çalışma deneyimine sahip olması ve ayrıntıları anlaması gerekiyor.
Bizim durumumuzda korunan nesne iki konumdan oluşur.
-
Bulut kaynakları (sunucular, depolama sistemleri, ağ altyapısı, güvenlik araçları vb.) doğrudan veri merkezinde bulunur. Elbette, böyle bir sanal veri merkezi genel ağlara bağlıdır ve buna göre, örneğin sertifikalı güvenlik duvarlarının kullanılması gibi belirli güvenlik duvarı gereksinimlerinin karşılanması gerekir.
-
Nesnenin ikinci kısmı bulut yönetim araçlarıdır. Bunlar, korunan bölümün yönetildiği iş istasyonlarıdır (yönetici iş istasyonları).
Konumlar, CIPF üzerine kurulu bir VPN kanalı aracılığıyla iletişim kurar.
Sanallaştırma teknolojileri tehditlerin ortaya çıkması için ön koşullar oluşturduğundan, ek sertifikalı koruma araçları da kullanıyoruz.
Blok şeması “değerlendiricinin gözüyle”
Müşterinin IaaS'yi kiraladıktan sonra ISPD'sinin sertifikasyonunu talep etmesi durumunda, yalnızca sanal veri merkezi seviyesinin üzerindeki bilgi sistemini değerlendirmesi gerekecektir. Bu prosedür, altyapının ve üzerinde kullanılan yazılımların kontrol edilmesini içerir. Tüm altyapı sorunları için sağlayıcının sertifikasına başvurabileceğiniz için tek yapmanız gereken yazılımla çalışmak.
Soyutlama düzeyinde ayırma
Sonuç olarak, halihazırda kişisel verilerle çalışan veya yalnızca planlama yapan şirketler için küçük bir kontrol listesi hazırladık. Peki yanmadan nasıl halledilir?
-
Tehdit ve davetsiz misafirlere ilişkin modelleri denetlemek ve geliştirmek için, sertifikasyon laboratuvarlarından gerekli belgelerin geliştirilmesine yardımcı olacak ve sizi teknik çözümler aşamasına getirecek deneyimli bir danışmanı davet edin.
-
Bulut sağlayıcı seçerken sertifikanın varlığına dikkat edin. Şirketin bunu doğrudan web sitesinde kamuya açık olarak yayınlaması iyi olurdu. Sağlayıcının FSTEC ve FSB lisans sahibi olması ve sunduğu hizmetin sertifikalı olması gerekmektedir.
-
Kişisel verilerin işlenmesine ilişkin resmi bir sözleşmeniz ve imzalı bir talimatınız olduğundan emin olun. Buna dayanarak hem uygunluk kontrolü hem de ISPD sertifikasyonu gerçekleştirebileceksiniz. Teknik proje aşamasındaki bu çalışma, tasarım ve teknik dokümantasyonun oluşturulması size külfetli geliyorsa üçüncü taraf danışmanlık firmalarıyla iletişime geçmelisiniz. Sertifikasyon laboratuvarları arasından.
Kişisel veri işleme konuları sizi ilgilendiriyorsa 18 Eylül Cuma günü gerçekleştireceğimiz webinarda sizleri aramızda görmekten mutluluk duyacağız. .
Kaynak: habr.com