Nouveau projet de loi sur la protection des données volumineuses (BDP)

Auparavant, seules les grandes entreprises pouvaient se permettre une infrastructure sérieuse pour stocker et analyser les Big Data. Aujourd'hui, le big data trouve des applications de plus en plus diverses dans une grande variété de domaines. Dans le même temps, le développement du Big Data ouvre non seulement des opportunités, mais entraîne également de nombreuses difficultés. Les organisations d'aujourd'hui utilisent de plus en plus l'apprentissage automatique et les technologies cognitives, qui font souvent un meilleur usage des mégadonnées. En outre, dans ce domaine, il existe également les leurs, inhérents aux menaces relativement nouvelles des technologies pour la sécurité de l'information.

Vers 2013, la Cloud Security Alliance (CSA) a analysé les problèmes de sécurité sous-jacents de la technologie des mégadonnées. CSA est une organisation à but non lucratif créée pour promouvoir l'utilisation des meilleures pratiques pour assurer la sécurité du «cloud computing», ainsi que pour sensibiliser toutes les parties intéressées à ce sujet. Sur la base de l'analyse, ils ont identifié 10 principaux:

1. Calcul sécurisé dans les structures de programmation distribuées
2. Recommandations de sécurité pour les entrepôts de données non relationnels
3. Stockage sécurisé des données et journaux de transactions
4. Vérifier / filtrer l'entrée du point de terminaison
5. Surveillance de la sécurité en temps réel
6. Exploration et analyse de données composites et évolutives
7. Sécurité des données cryptographiquement améliorée
8. Contrôle d'accès granulaire
9. Audit granulaire
10. Prédiction des données

Plus tard, 3 nouvelles questions ont été ajoutées:

1. Modélisation: formaliser un modèle de menace qui couvre la plupart des scénarios de cyberattaque ou de fuite de données
2. Analyse: trouver des solutions acceptables basées sur un modèle de menace
3. Implémentation: implémentation de la solution dans les infrastructures existantes

Si quelqu'un est intéressé, la version complète du rapport peut être obtenue sur le lien .

En 2016, le CSA publie sous le titre «Manuel de sécurité et de confidentialité des mégadonnées»: Manuel de sécurité et de confidentialité des mégadonnées. Le matériel est disponible dans le catalogue du groupe de travail pour plus d'informations par référence .

Il signale que les vulnérabilités en matière de sécurité des informations sont déterminées par la variété des sources et des formats de mégadonnées, la nature en continu de la collecte de données et la nécessité de transférer des données entre des infrastructures cloud distribuées. De plus, de grands volumes de ces données contribuent à une augmentation de la surface d'attaque.

2 ans se sont écoulés et le 17 octobre 2018, la nouvelle est apparue sur le site officiel de MegaFon que «l'Association des acteurs du marché du Big Data» a été créée en Russie. MegaFon, Mail.Ru Group, oneFactor, Tinkoff Bank, Yandex et Sberbank créent une association de participants au marché du Big Data. Anna Serebryanikova, directrice des opérations de MegaFon, a été élue présidente de l'organisation.

Citation du communiqué de presse de Megafon:

«Les membres de l'Association créeront des principes et des normes communs pour le traitement, le stockage, la transmission et l'utilisation des mégadonnées. Des développements communs formeront la base de la politique du Big Data pour chaque entreprise participant à l'Association. Les tâches prioritaires de l'organisation consistent à développer une stratégie commerciale pour développer le marché des mégadonnées, à accroître l'efficacité technique et opérationnelle des interactions entre les participants de l'industrie, ainsi qu'à créer un code d'éthique pour protéger les intérêts des utilisateurs. »

L'intrigue de la célèbre vidéo «Seven Red Lines» a fait surface dans ma tête:

«Notre entreprise a développé une nouvelle initiative stratégique pour accroître la pénétration du marché, maximiser la fidélité à la marque et augmenter les actifs incorporels. Pour atteindre ces objectifs ... nous avons lancé un nouveau projet. »

À peu près au même moment, le 23 octobre 2018, un projet de nouvelle loi fédérale apparaît sur le site Web du Système de soutien législatif. Par ce lien, vous pouvez vous familiariser avec l'ensemble des documents soumis pour ce projet.

Nous allons parcourir brièvement les documents d'accompagnement et la loi fédérale elle-même. Pour commencer, je vais lui citer une note explicative:

«Chaque jour, en raison de l'utilisation de divers réseaux sociaux, services, appareils et autres technologies de l'information, les utilisateurs laissent sur Internet un vaste éventail d'informations anonymes sur eux-mêmes, communément appelées« grandes données utilisateur ». Ces informations résultant d'un traitement automatisé vous permettent de déterminer les caractéristiques individuelles des utilisateurs qui sont ensuite utilisées par les grands opérateurs de données utilisateur à leurs propres fins ou transférées par eux à d'autres parties intéressées gratuitement ou moyennant des frais. Cependant, ces données ne sont pas des données personnelles.

Le vide juridique dans le domaine de la réglementation des données de gros utilisateurs en Fédération de Russie prive les individus (utilisateurs) de la protection juridique et du soutien nécessaires. »

De là:

«Par décret du président de la Fédération de Russie du 7 mai 2018 n ° 204« sur les objectifs nationaux et les tâches stratégiques du développement de la Fédération de Russie pour la période allant jusqu'en 2024 », le gouvernement de la Fédération de Russie, conjointement avec les autorités étatiques des entités constitutives de la Fédération de Russie, a été chargé, entre autres, d'assurer la création d'un environnement durable et l'infrastructure sécurisée de l'information et des télécommunications pour la transmission, le traitement et le stockage à grande vitesse de grandes quantités de données, accessible à toutes les organisations et tous les ménages; la création d'une infrastructure mondiale compétitive pour le transfert, le traitement et le stockage des données principalement basée sur les développements nationaux; "la sécurité de l'information basée sur les développements nationaux dans le transfert, le traitement et le stockage des données qui garantissent la protection des intérêts des individus, des entreprises et de l'Etat."

Le projet de loi lui-même propose dans la loi fédérale du 27 juillet 2006 n ° 149-“ «sur l'information, les technologies de l'information et la protection de l'information» de définir les concepts suivants:

• Big data utilisateur
• "Big Data Operator",
• "Traitement de grandes données utilisateur."

Il est également proposé d'établir les caractéristiques de la réglementation étatique du traitement des données volumineuses des utilisateurs (la procédure de collecte, de transmission et de tout autre traitement des données volumineuses des utilisateurs). Et aussi, les responsabilités de l'opérateur de grandes données utilisateur.

Un groupe de députés à la Douma d'État, dirigé par Mikhail Romanov, a proposé de comprendre par de grandes données d'utilisateurs la totalité des informations sur les individus et leur comportement qui ne contiennent pas de données personnelles, mais vous permet d'identifier une personne spécifique sans utiliser d'informations et de traitement supplémentaires. Il est précisé que nous parlons d'informations collectées auprès de diverses sources, dont Internet, dont le nombre dépasse un millier d'adresses réseau.

Il est censé établir une règle selon laquelle les utilisateurs seront tenus d’informer sur ce traitement en affichant de grandes données d’utilisateur sur le site Web de l’opérateur avec le message d’information correspondant, et en l’absence de celui-ci, d’une autre manière accessible. La loi peut introduire une disposition interdisant le traitement de grandes données d'utilisateurs visant à identifier une personne en particulier. Cependant, il est prévu qu'en ce qui concerne le traitement de ces données à la demande des organes exécutifs fédéraux engagés dans des activités de recherche opérationnelle, il ne sera pas appliqué.

Les exigences relatives au message d'information et à sa forme, ainsi que la tenue d'un registre des opérateurs de mégadonnées «par tradition» ont été suspendues à Roskomnadzor. Une analogie évidente suit immédiatement: «opérateur», «données utilisateur», «notifier» ...

La protection des données personnelles ne nous suffit pas, nous commençons maintenant à protéger les Big User Data (BPD) par la loi. Il est possible que le projet GOST, soudainement oublié, «La protection des informations à l'aide des technologies cloud soit retiré du tissu ». Dispositions générales. "

Une étude plus détaillée du traitement des données personnelles en Russie conformément aux actes juridiques réglementaires aidera notre étude:

• Livre blanc sur la loi fédérale n ° 152. Plus de 4 500 téléchargements de livres.