डीएफ क्लाउड पर सुरक्षित बादल

FZ-152 "व्यक्तिगत डेटा की सुरक्षा पर" सभी मौजूदा संस्थाओं पर लागू होता है: व्यक्तियों और कानूनी संस्थाओं, राज्य सत्ता के संघीय निकाय और स्थानीय स्व-सरकार। वास्तव में, यह कानून किसी भी संगठन पर लागू होता है जो संगठन के स्वामित्व और आकार की परवाह किए बिना रूसी संघ के नागरिकों की जानकारी और व्यक्तिगत डेटा को संसाधित करता है।

कभी-कभी एक संगठन, अपने आप में अप्रत्याशित रूप से, व्यक्तिगत डेटा (पीडी) की आरंभिक सूचना प्रणाली का पता लगा सकता है। उदाहरण के लिए, किसी कंपनी को व्यक्तिगत डेटा का ऑपरेटर माना जाता है यदि उसकी वेबसाइट पर फीडबैक फॉर्म, पंजीकरण / प्राधिकरण और डेटा संग्रह के अन्य रूप हैं, जिसके द्वारा विषय की पहचान करना संभव है।



संघीय कानून "व्यक्तिगत डेटा पर" आवश्यकताओं के अनुपालन के संबंध में नियंत्रण और पर्यवेक्षण नियामकों द्वारा किया जाता है:

• व्यक्तिगत डेटा के विषयों के अधिकारों की सुरक्षा के बारे में रोसकोमनादज़ोर;
• क्रिप्टोग्राफी के क्षेत्र में आवश्यकताओं को पूरा करने के मामले में रूस का एफएसबी;
• तकनीकी चैनलों के माध्यम से अनधिकृत पहुंच और रिसाव से जानकारी की रक्षा के लिए आवश्यकताओं के अनुपालन के मामले में रूस का FSTEC।

चूंकि संघीय कानून "व्यक्तिगत डेटा पर" केवल व्यक्तिगत डेटा की सुरक्षा के लिए कानूनी समर्थन का आधार है, इसलिए इसकी आवश्यकताओं को रूसी संघ की सरकार और संचार मंत्रालय की गतिविधियों और नियामकों के अन्य नियामक और कार्यप्रणाली दस्तावेजों में निर्दिष्ट किया गया था।
व्यक्तिगत डेटा को संसाधित करने वाले प्रत्येक संगठन को कानून की आवश्यकताओं के अनुसार अपनी सूचना प्रणाली लाने की समस्या का सामना करना पड़ता है। व्यक्तिगत डेटा की सुरक्षा सबसे अधिक दबाव वाले मुद्दों में से एक है, और न केवल रूस में, बल्कि अन्य देशों में भी।

व्यक्तिगत डेटा के प्रकार

संघीय कानून -152 के अनुसार, व्यक्तिगत डेटा किसी विशिष्ट व्यक्ति (ऐसी जानकारी के आधार पर) (एक व्यक्तिगत डेटा विषय) से संबंधित कोई भी जानकारी है। उदाहरण के लिए: नाम, तिथि और जन्म स्थान, पता, वैवाहिक, सामाजिक, संपत्ति की स्थिति, शिक्षा, आदि।

व्यक्तिगत डेटा को कई श्रेणियों में विभाजित किया गया है:
व्यक्तिगत डेटा को संसाधित करना किसी भी कार्रवाई (संचालन) या स्वचालन डेटा का उपयोग करके या उनके बिना व्यक्तिगत डेटा के साथ क्रियाओं का एक सेट है, जिसमें शामिल हैं:

• संग्रह,
• अभिलेख
• व्यवस्थापन,
• संचय,
• भंडारण,
• स्पष्टीकरण (अपडेट, परिवर्तन),
• निष्कर्षण,
• उपयोग करते हैं,
• संचरण (वितरण, प्रावधान, पहुंच),
• depersonalization,
• अवरुद्ध,
• हटाने,
• व्यक्तिगत डेटा का विनाश।

उल्लंघन के लिए जिम्मेदारी

संघीय कानून -152 के अनुच्छेद 24 के अनुसार, व्यक्ति रूसी संघ के कानून के अनुसार कानून के उल्लंघन के लिए उत्तरदायी हैं।

कंपनी की जाँच करते समय, नियामकों को संघीय कानून -152 और कई उप-कानूनों द्वारा निर्देशित किया जाता है। उल्लंघन के तथ्यों के साथ-साथ उन्हें समाप्त करने के लिए पहले जारी किए गए आदेश को नियंत्रित करने के लिए ऑडिट की योजना बनाई और अनिर्धारित दोनों हो सकती है।

पीडी की सुरक्षा के लिए आवश्यकताओं का उल्लंघन करने वाले व्यक्तियों को न केवल नागरिक और अनुशासनात्मक, बल्कि प्रशासनिक और यहां तक ​​कि आपराधिक दायित्व का भी सामना करना पड़ सकता है।

FZ-152 की आवश्यकताओं को कैसे पूरा करें?

तो, एक कंपनी या संगठन जो व्यक्तिगत डेटा या अन्य प्रतिबंधित सूचनाओं को संसाधित करता है, उसे इस जानकारी को कानून के अनुसार संरक्षित करना चाहिए। इसके लिए न केवल गंभीर विशेषज्ञता, ज्ञान और अनुभव की आवश्यकता होती है, बल्कि इसमें तकनीकी कठिनाइयां और काफी लागतें भी शामिल होती हैं।

FSTEC द्वारा अनुमोदित आधिकारिक परिभाषा के अनुसार, "... व्यक्तिगत डेटा की सुरक्षा, व्यक्तिगत डेटा की सुरक्षा की स्थिति है, जो व्यक्तिगत डेटा सूचना प्रणालियों में संसाधित होने पर व्यक्तिगत डेटा की गोपनीयता, अखंडता और उपलब्धता सुनिश्चित करने के लिए उपयोगकर्ताओं, तकनीकी साधनों और सूचना प्रौद्योगिकी की क्षमता के आधार पर होती है ..."


स्वतंत्र रूप से FZ-152 की संगठनात्मक, कानूनी और तकनीकी आवश्यकताओं को पूरा करने के लिए, आपको न केवल कानून, बल्कि इसके उपनियमों का भी अध्ययन करना होगा, ताकि यह पता लगाया जा सके कि क्या उपाय किए जाने की आवश्यकता है। आउटसोर्सिंग विशेषज्ञ किसी कंपनी में व्यक्तिगत डेटा को संसाधित करने, आवश्यक दस्तावेज तैयार करने, सुरक्षा उपायों को लागू करने आदि की प्रक्रियाओं का अध्ययन कर सकते हैं।

एकीकृत सूचना सुरक्षा प्रणाली में शामिल हैं:

• घुसपैठ रोकथाम उपकरण (आईडीएस)।
• फ़ायरवॉल (एफडब्ल्यू)।
• मालवेयर से सुरक्षा।
• सुरक्षा घटनाओं की निगरानी और रिकॉर्डिंग के लिए एक प्रणाली।
• संचार चैनलों (एन्क्रिप्शन) के क्रिप्टोग्राफिक संरक्षण की प्रणाली।
• आभासी पर्यावरण संरक्षण उपकरण, अनधिकृत पहुंच (एनएसडी), पहचान और अभिगम नियंत्रण के खिलाफ सुरक्षा की व्यवस्था।
• सुरक्षा विश्लेषण / भेद्यता पहचान प्रणाली, आदि।

इसके अलावा, एकीकृत सूचना सुरक्षा में न केवल तकनीकी, बल्कि संगठनात्मक उपाय भी शामिल हैं।

क्लाउड FZ-152: कार्यान्वयन सुविधाएँ

पीडी के बारे में संघीय कानून की आवश्यकताओं के अनुसार सूचना प्रणाली की तैनाती के लिए कई रूसी प्रदाता क्लाउड इंफ्रास्ट्रक्चर सेवाएं प्रदान करते हैं। क्लाउड में क्लाइंट सिस्टम रखते समय, प्रदाता कई आईएस मुद्दों के समाधान को मानता है, जिसमें व्यक्तिगत डेटा की सुरक्षा से संबंधित हैं। क्लाउड पर माइग्रेट होने पर, यह आईटी इन्फ्रास्ट्रक्चर की रक्षा करेगा, और यह क्लाइंट से कुछ जिम्मेदारियों को हटा देगा। उदाहरण के लिए, एक प्रदाता एक वर्चुअलाइजेशन पर्यावरण के संरक्षण के संबंध में FZ-152 की आवश्यकताओं का अनुपालन करता है।

प्रदाता डेटा सुरक्षा समस्या को हल करने में विशेषज्ञ सहायता के साथ ग्राहकों को भी प्रदान कर सकते हैं: सुरक्षा के आवश्यक स्तर का निर्धारण करें और इसके अनुसार, एक कार्यान्वयन विकल्प प्रदान करें; रूसी संघ के कानून की आवश्यकताओं को पूरा करने के लिए प्रलेखन विकसित करना।

एक सुरक्षित क्लाउड आईटी इन्फ्रास्ट्रक्चर और आंतरिक सूचना सुरक्षा प्रणाली बनाने और बनाए रखने की लागत को कम करके संगठन की लागतों को अनुकूलित करने में मदद करेगा। एक नियम के रूप में, योग्य विशेषज्ञ व्यापक तकनीकी सहायता और समर्थन प्रदान करते हैं, जिसमें परामर्श और नियामक अधिकारियों में प्रमाणीकरण के लिए दस्तावेजों के एक पैकेज का विकास शामिल है, और सेवाओं के प्रावधान के लिए मंच कड़े तकनीकी मानकों को पूरा करता है और आवश्यक संगठनात्मक आवश्यकताओं को पूरा करता है। ग्राहक आवश्यक दस्तावेज तैयार करने और आवेदन और ऑपरेटिंग सिस्टम स्तर पर आईएसपीडी की सुरक्षा करने के लिए सेवाओं का उपयोग कर सकते हैं।

जोखिम और भेद्यता प्रबंधन प्रक्रियाएं, घटना की जांच, आंतरिक और बाहरी सुरक्षा ऑडिट, साथ ही नेटवर्क की नियमित निगरानी और परीक्षण, सूचना सुरक्षा प्रणाली और प्रक्रियाएं भी प्रदान की जाती हैं। योग्य विशेषज्ञ आईटी अवसंरचना का चौबीस घंटे समर्थन प्रदान करते हैं।

साथ में, ये उपाय व्यक्तिगत डेटा की सुरक्षा के संबंध में संघीय कानून का अनुपालन सुनिश्चित करते हैं।

प्रमाणित मंच

IBS DataFort प्रमाणित DF क्लाउड प्लेटफॉर्म पर आधारित ऐसी सेवा प्रदान करता है । इस प्लेटफ़ॉर्म के सभी तकनीकी भाग, प्रशासन और वर्चुअलाइज़ेशन उपकरण FZ-152 के मानकों और आवश्यकताओं का अनुपालन करते हैं।
सुरक्षित क्लाउड आर्किटेक्चर IBS DataFort।

प्लेटफॉर्म ISPDN (पहली सुरक्षा स्तर समावेशी तक), GIS (1 सुरक्षा स्तर समावेशी तक) और टियर III डेटा केंद्र में सुरक्षित डेटा संग्रहण के लिए गारंटीकृत सुरक्षा प्रदान करता है। प्लेटफ़ॉर्म में प्रमाणित फ़ायरवॉल, घुसपैठ का पता लगाने और रोकथाम उपकरण (आईडीएस / आईपीएस), संचार चैनल एन्क्रिप्शन (GOST वीपीएन), एंटी-वायरस सुरक्षा, एंटी-अनधिकृत एक्सेस प्रोटेक्शन, वर्चुअलाइज़ेशन पर्यावरण संरक्षण, और भेद्यता स्कैनिंग उपकरण का उपयोग किया जाता है।

क्लाउड FZ-152 उन लोगों के लिए भी एक उपयुक्त समाधान है, जो गोपनीयता और डेटा सुरक्षा पर उच्च मांग रखते हैं, अपनी व्यावसायिक प्रतिष्ठा को मजबूत करना चाहते हैं या सूचना सुरक्षा के एक उच्च स्तर के रूप में इस तरह के प्रतिस्पर्धी लाभ प्राप्त करना चाहते हैं।

ऐसे बादल में "कैसे" जाएँ? क्या "सहज प्रवास" संभव है? यह है। उदाहरण के लिए, IBS DataFort सुरक्षित रूप से ISPDn को अपने सुरक्षित क्लाउड में स्थानांतरित करता है, कंपनी की व्यावसायिक प्रक्रियाओं (विदेशी साइटों से) पर डाउनटाइम और प्रभाव को कम करता है।

फेडरल लॉ -152 के अनुसार आईटी इन्फ्रास्ट्रक्चर लाना

संघीय कानून -152 की आवश्यकताओं के अनुसार ग्राहक के आईटी बुनियादी ढांचे को लाने की प्रक्रिया ऑडिट और सुरक्षा के वर्तमान स्तर के मूल्यांकन के साथ शुरू होती है।

एक ग्राहक के आईटी बुनियादी ढांचे के ऑडिट में पीडी प्रसंस्करण और सुरक्षा प्रक्रियाओं की जांच और ग्राहक की आईएसपीडी की एक परीक्षा शामिल है। एक तकनीकी दृष्टिकोण से पीडी प्रसंस्करण प्रक्रियाओं के विस्तृत विवरण के साथ एक सर्वेक्षण रिपोर्ट तैयार की जाती है।

इस कार्य में मॉडलिंग के खतरे और उल्लंघनकर्ता शामिल हैं और ISPDn के लिए सुरक्षा के स्तर को निर्धारित करने के लिए एक अधिनियम तैयार कर रहे हैं। ऑडिट के परिणामों के आधार पर, काम का एक निजी बयान ISPDn सुरक्षा प्रणाली के लिए संकलित किया गया है और डिज़ाइन किए गए सिस्टम के लिए आवश्यकताओं को परिभाषित करता है।

व्यक्तिगत डेटा की सुरक्षा के लिए नीतियों, निर्देशों, विनियमों और अन्य दस्तावेजों का एक सेट विकसित किया जा रहा है। इसी समय, विशेषज्ञ सुरक्षात्मक उपकरणों के कार्यान्वयन के लिए ग्राहक की लागत का अनुकूलन करने की कोशिश कर रहे हैं।

IBS DataFort व्यक्तिगत डेटा की सुरक्षा पर संघीय कानून का पालन करने के लिए प्रलेखन तैयारी और ISPD सुरक्षा सेवाएँ प्रदान करता है और तैयारी और प्रमाणन (ISPD, GIS, AS) में मदद कर सकता है।

FSTEC और रूस के FSB द्वारा लाइसेंस प्राप्त स्वतंत्र लेखा परीक्षकों द्वारा प्रमाणीकरण किया जाता है। इस तरह के प्रमाणीकरण को पारित करना बाहरी खतरों से कंपनी के भागीदारों और ग्राहकों के व्यक्तिगत डेटा की विश्वसनीय सुरक्षा की पुष्टि करता है, नियामकों की आवश्यकताओं के साथ व्यापक अनुपालन। यह महत्वपूर्ण है कि ग्राहकों को "वन-स्टॉप शॉप" की सुविधा मिले: सब कुछ एक कंपनी द्वारा प्रदान किया जाता है - आईबीएस डेटाफ़ॉर्ट।

व्यक्तिगत डेटा ऑपरेटर के लिए, इसका मतलब है कि रोस्कोम्नाडज़ोर, एफएसटीईसी और एफएसबी का निरीक्षण करने की इच्छा, अवरुद्ध संसाधनों के जोखिमों को समाप्त करना, और नियामक से दावों और प्रतिबंधों की अनुपस्थिति।

ऐसी सेवा राज्य और कॉर्पोरेट खंडों के ग्राहकों की कई श्रेणियों के लिए प्रासंगिक है और व्यक्तिगत डेटा ऑपरेटरों द्वारा दावा किया जा सकता है जो कानून के अनुसार अपनी गतिविधियों को लाना चाहते हैं। प्रदाता के बुनियादी ढांचे के बंद सेगमेंट में आईपी प्लेसमेंट, सभी आवश्यक मानकों और आवश्यकताओं के अनुसार प्रमाणित, ग्राहक को अपने काम को स्वतंत्र रूप से व्यवस्थित करने की आवश्यकता को समाप्त करता है।