हम FSTEC के नए आदेश के अनुसार व्यक्तिगत डेटा की रक्षा करते हैं। अधिक उत्तर या प्रश्न?

15 मई, 2013 को, न्याय मंत्रालय ने अंततः FSTEC नंबर 21 के आदेश को 18 फरवरी, 2013 को "व्यक्तिगत डेटा सूचना प्रणालियों में उनके प्रसंस्करण के दौरान व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के लिए संगठनात्मक और तकनीकी उपायों की संरचना और सामग्री की मंजूरी पर" दर्ज किया।

यह "लंबे समय से प्रतीक्षित" क्यों है? हां, क्योंकि जिस समय से आरएफ सरकार डिक्री नंबर 1119 (1 नवंबर, 2012) को जारी किया गया था, व्यक्तिगत डेटा की तकनीकी सुरक्षा के बारे में कोई भी सवाल अनिश्चित स्थिति में था। यह इस तरह से निकला: एक नए प्रस्ताव ने व्यक्तिगत डेटा सूचना प्रणाली (आईएसपीडीएन) के पुराने वर्गों को समाप्त कर दिया और "आईएसपीडीएन सुरक्षा स्तरों" की अवधारणा को पेश किया, लेकिन प्रत्येक विशेष मामले में बचाव कैसे और किसके साथ किया गया था, इस बात का इंतजार कर रहे हैं कि हम क्या कर रहे हैं फिर छह महीने।

इंटरनेट पर नए आदेश के प्रकाशन के तुरंत बाद, नए दस्तावेज़ पर उत्साही समीक्षाओं की लहर बह गई। जैसे, यह व्यक्तिगत डेटा संरक्षण कानून के क्षेत्र में एक बड़ा कदम है। कुछ हद तक, यह वास्तव में ऐसा है (यह देखते हुए कि पिछले दस्तावेज़ तुरंत अप्रचलित हो गए थे और आधुनिक सूचना प्रणालियों के कामकाज की कई बारीकियों को ध्यान में नहीं रखा था - मोबाइल प्लेटफ़ॉर्म, वर्चुअलाइज़ेशन, आदि), लेकिन, व्यक्तिगत रूप से, मुझे नए दस्तावेज़ के बारे में बहुत सारी शिकायतें हैं।

इस लेख में, मैं एक सरल भाषा में रूस के नए FSTEC दस्तावेज़ का विश्लेषण करने की कोशिश करूंगा, इसके पेशेवरों और विपक्षों का वजन करूँगा, और इस सवाल का जवाब देने की कोशिश करूंगा कि "अब व्यक्तिगत डेटा ऑपरेटर क्या करते हैं?"

क्या है पूरा दस्तावेज

सामान्य तौर पर, यह वास्तव में व्यक्तिगत डेटा सुरक्षा के क्षेत्र में कानून बनाने के मामले में एक कदम आगे है। अंत में, उपायों की सूची में, हमने मोबाइल उपकरणों और वर्चुअलाइजेशन टूल का उल्लेख देखा, जिन्हें पहले विधायकों ने सावधानी से बचने की कोशिश की थी। अंत में, पिछले आदेश की तरह कोई बाध्यता नहीं है: "यदि आपके पास कक्षा 1 का आईएसपीडी है, तो आपको सूचना सुरक्षा साधनों पर n पैसा खर्च करने की आवश्यकता है, यदि यह 2 वर्ग है, तो nm धन, और यदि 3 वर्ग हैं, तो nmk धन।"

अब स्थिति यह है: हमारे पास अलग-अलग तकनीकी और संगठनात्मक उपायों के 15 समूह हैं, प्रत्येक समूह में 2 से 20 अलग-अलग उपाय हैं, प्रत्येक उपाय के विपरीत यह ध्यान दिया जाता है कि क्या यह उपाय बुनियादी है (मैं उन्हें सशर्त रूप से अनिवार्य कहूंगा) एक निश्चित स्तर की सुरक्षा के लिए (यदि प्लस, तो माप बुनियादी है, यदि नहीं - क्षतिपूर्ति)। यहां यह ध्यान दिया जाना चाहिए कि सूची में कई उपाय हैं जो केवल क्षतिपूर्ति कर सकते हैं, अर्थात, उन्हें सुरक्षा के चार स्तरों में से किसी एक के लिए प्लस के साथ चिह्नित नहीं किया गया है।

व्यक्तिगत डेटा ऑपरेटर निम्न एल्गोरिथम के अनुसार काम करता है:
- पीपी 1119 के अनुसार अपने आईएसपीडीएन की सुरक्षा का स्तर निर्धारित करता है;
- उन सभी उपायों का चयन करता है जो सुरक्षा के चयनित स्तर (बुनियादी उपायों) के लिए प्लस के साथ चिह्नित हैं;
- सूची से उन उपायों को हटाता है जो आईएसपीडीएन में उपयोग नहीं की जाने वाली तकनीकों से जुड़े हैं (उदाहरण के लिए, वर्चुअलाइजेशन टूल का उपयोग नहीं किए जाने पर वर्चुअल इन्फ्रास्ट्रक्चर की सुरक्षा के लिए उपाय निकालें);
- प्राप्त उपायों की सूची को देखता है और खतरे के मॉडल में वास्तविक खतरों के साथ उनकी तुलना करता है, यदि सभी वास्तविक खतरों को चयनित उपायों के साथ बेअसर नहीं किया जाता है, तो उस सूची में क्षतिपूर्ति के उपायों को जोड़ता है जो सभी शेष खतरों को बेअसर करने के लिए आवश्यक हैं;
- सूची में अन्य नियमात्मक कृत्यों में परिभाषित उपायों को शामिल किया गया है (उदाहरण के लिए, पीपी नं। 1119 में उपायों की एक छोटी संख्या, साथ ही FZ-152 में सामान्य आवश्यकताएं हैं), जिसके बाद इसे उन उपायों की अंतिम सूची प्राप्त होती है जिन्हें लेने की आवश्यकता होती है;
- अंतिम सूची से उपाय करता है ...

सब कुछ सरल प्रतीत होता है: हम सुरक्षा के स्तर को निर्धारित करते हैं, खतरों का एक मॉडल बनाते हैं, एफएसटीईसी के नए आदेश से उपायों का चयन और परिष्कृत करते हैं, हम इन उपायों को करते हैं और हमारी नाक मच्छर कम नहीं होगी। लेकिन ...

मरहम में उड़ना

दरअसल, नए दस्तावेज़ और बाकी कानून दोनों की आलोचना यहाँ शुरू होती है।

FSTEC के 21 आदेशों की समस्याएँ पूरी तरह से कई अन्य विधायी दस्तावेजों की तरह ही हैं - अस्पष्ट शब्द का उपयोग, पाठ की दोहरी व्याख्या की संभावना, स्पष्टीकरण की कमी जहाँ वे महत्वपूर्ण हैं।

कोई यह समझ सकता है कि दस्तावेज़ को कितनी अच्छी तरह से तैयार किया गया था और पिछले छह महीनों में कितनी बार फिर से पढ़ा और संपादित किया गया था कि इस क्रम में चौथे पैराग्राफ के तुरंत बाद छठा हो जाता है ... खैर, ठीक है, यह नाइट-पिकिंग है, लेकिन बिंदु क्या है?

गलतफहमी शैली के क्लासिक्स के साथ शुरू होती है, जो कि अनादिकाल से फैली हुई है। दस्तावेज़ के खंड 2 में कहा गया है कि पीडी की सुरक्षा के लिए गोपनीय जानकारी (TZKI) के तकनीकी संरक्षण के लिए लाइसेंस वाले संगठन काम में शामिल हो सकते हैं ।
यह वाक्यांश लंबे समय से दस्तावेज़ से FSTEC दस्तावेज़ के लिए भटक रहा है, लेकिन इसका क्या अर्थ है "हो सकता है" कोई स्पष्ट जवाब नहीं है। स्वाभाविक रूप से, चालाक इंटीग्रेटर्स इसकी व्याख्या करेंगे "अगर वे खुद टीकेकेआई के लिए लाइसेंस नहीं रखते हैं तो वे तीसरे पक्ष के संगठनों को आकर्षित कर सकते हैं।" औपचारिक रूप से, वे सही होंगे, क्योंकि यदि आप अन्य मानक कृत्यों को खोदते हैं, तो यह पता चलता है कि एंटीवायरस की एक तुच्छ स्थापना भी TZKI के अंतर्गत आती है, और TZKI के संबंध में लाइसेंसिंग प्रावधान में कोई आरक्षण नहीं है कि यदि व्यक्तिगत जरूरतों के लिए काम किया जाता है तो लाइसेंस की आवश्यकता नहीं है। लेकिन ऑपरेटरों को पैसा फेंकना पसंद नहीं है और दुर्भाग्य से, चालाक इंटीग्रेटर्स में सामान्य ज्ञान शामिल है और इस प्रस्ताव की व्याख्या "जैसे वे आकर्षित कर सकते हैं, लेकिन वे इसे स्वयं कर सकते हैं।" यह पहला स्थान है जहां यह विशेष रूप से तीसरे पक्ष के संगठनों को आकर्षित करने के लिए शर्तों का वर्णन करने के लिए चोट नहीं पहुंचाएगा।

हम और आगे जा रहे हैं। अनुच्छेद 3 हमें बताता है कि सुरक्षा उपायों का उद्देश्य वर्तमान सुरक्षा खतरों को बेअसर करना चाहिए। दूसरी ओर, FZ-152 हमें बताता है कि व्यक्तिगत डेटा की सुरक्षा के लिए आवश्यकताओं को पूरा करने के लिए संगठनात्मक और तकनीकी उपाय लागू किए जाते हैं। तो फिर भी, क्या हमें स्वतंत्रता या एक और दायित्व है? फिर से स्पष्टीकरण की जरूरत है।

अगला। छठे पैराग्राफ में कहा गया है कि हर 3 साल में एक बार ऑपरेटर, अकेले या तीसरे पक्ष के संगठनों की भागीदारी के साथ, कार्यान्वित पीडी सुरक्षा उपायों की प्रभावशीलता का मूल्यांकन करना चाहिए। यह पता चला कि 152-एफजेड में व्यक्तिगत डेटा के विषय को नुकसान के आकलन के साथ कैसे। यह पता चला है कि मूल्यांकन किए जाने की आवश्यकता है, लेकिन इस तरह के मूल्यांकन का संचालन करने के लिए कोई पद्धति नहीं है। या हो सकता है कि सूचना प्रणाली के प्रमाणन के लिए प्रभावशीलता का एक आकलन एक विकल्प है? फिर ऑपरेटर TZKI के लिए लाइसेंस के बिना स्वतंत्र रूप से इसका संचालन क्यों कर सकता है?

पहली नज़र में दस्तावेज़ का दसवां पैराग्राफ बहुत ही आशाजनक है, यह कहता है " यदि व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के लिए तकनीकी रूप से कुछ चुने हुए उपायों को लागू करना असंभव है, और आर्थिक व्यवहार्यता को ध्यान में रखते हुए, अन्य चरणों को उपायों के मूल सेट के अनुकूलन के चरणों में विकसित किया जा सकता है और (या) उपायों के अनुकूलित बुनियादी सेट का शोधन। "(प्रतिपूरक) उपायों का उद्देश्य व्यक्तिगत डेटा की सुरक्षा के लिए वर्तमान खतरों को बेअसर करना है ।"

ऐसा लगता है कि यहाँ यह है - हम आर्थिक अक्षमता का संदर्भ देते हैं और कोई प्रमाणित उपाय नहीं खरीदते हैं। ठीक है, निम्नलिखित पैराग्राफ हमें उत्साह से बाहर ले जाता है: "इस मामले में, एक व्यक्तिगत डेटा सुरक्षा प्रणाली के विकास के दौरान, व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के लिए प्रतिपूरक उपायों के आवेदन के लिए औचित्य । "

इस प्रकार, यह सिर्फ इंस्पेक्टर को बता रहा है, "दोस्तों और मैंने इसका पता लगा लिया और निर्णय लिया कि प्रमाणित SZI को लागू करना और एक मुफ्त चीनी एंटीवायरस स्थापित करना बहुत महंगा है"। कागज के कुछ टुकड़ों को अन्य उपायों के उपयोग को सही ठहराने के लिए दिखाना आवश्यक है, न कि बुनियादी तौर पर। कैसे करें उचित? अब तक मैं केवल आईएसओ 27001 के अनुसार एक जोखिम विश्लेषण प्रक्रिया को पूरा करने के बारे में सोचता हूं, जो कि अगर किसी तीसरे पक्ष के संगठन को इन उद्देश्यों के लिए रखा जाता है, तो अपने आप में एक बहुत पैसा खर्च हो सकता है। इसके अलावा, यह एक तथ्य नहीं है कि एक जोखिम विश्लेषण यह दिखाएगा कि प्रमाणित एसआईएस को लागू करने के लिए यह आर्थिक रूप से संभव नहीं है ...

वास्तव में यहां हमें दस्तावेज़ का मुख्य भाग मिला - उपायों की एक सूची के साथ एक परिशिष्ट। यहाँ भी इतना सरल नहीं है जितना हम चाहेंगे। ऐसा लगता है कि उपायों को समूहों में विभाजित किया गया है और आसानी से गिने जाते हैं, ऐसा लगता है कि प्लसस के साथ सुविधाजनक कॉलम दिखाते हैं कि क्या इस मामले में यह उपाय सशर्त रूप से अनिवार्य है या नहीं। लेकिन, वैसे भी, उपायों के साथ तालिका का अध्ययन करने के बाद, अनिश्चितता की भावना बनी हुई है। उदाहरण के लिए, आदेश के मुख्य पाठ का अनुच्छेद चार अब बाध्य नहीं है, ऐसा लगता है, केवल प्रमाणित SZI लागू करने के लिए। यह अच्छा है। लेकिन एक ही पैराग्राफ सादे पाठ में यह नहीं कहता है कि गैर-प्रमाणित SZI का उपयोग करना संभव है या SZI का उपयोग करना बिल्कुल भी नहीं है। यहां बताया गया है कि यह कैसे क्रियात्मक लगता है:
व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के उपाय, सूचना प्रणाली में सूचना सुरक्षा उपकरणों के उपयोग के माध्यम से , अन्य बातों को लागू किया जाता है , जिन मामलों में व्यक्तिगत डेटा की सुरक्षा के लिए वर्तमान खतरों को बेअसर करने के लिए ऐसे उपकरणों का उपयोग निर्धारित मामलों में अनुरूपता मूल्यांकन प्रक्रिया से गुजरता है।

उसी समय, सुरक्षा के सभी स्तरों के लिए सशर्त रूप से अनिवार्य पहला उपाय है: "उपयोगकर्ताओं की पहचान और प्रमाणीकरण जो ऑपरेटर के कर्मचारी हैं"। यह स्पष्ट है कि यह उपाय किसी भी ओएस के नियमित साधनों द्वारा भी लागू किया जा सकता है। और ऐसा लगता है कि चौथा पैराग्राफ आपको उसी सीक्रेट नेट या डलास लॉक का उपयोग करने के लिए बाध्य नहीं करता है, लेकिन यह गारंटी कहां है कि परीक्षक नहीं आएगा और कहेगा, "आप सभी को गलत समझा, एक प्रमाणित SZI होना चाहिए, यहां आपके लिए एक नुस्खा है?" कौन निर्धारित करता है कि, किसी विशिष्ट खतरे को बेअसर करने के लिए, एसआईएस को प्रमाणित किया जाना आवश्यक है या क्या इसे तिरस्कृत किया जा सकता है? आप सादे पाठ में यह क्यों नहीं लिख सकते कि प्रमाणित एसआईएस का उपयोग आवश्यक नहीं है, या कुछ विशिष्ट मामलों में आवश्यक है?

वैसे, कभी-कभी उपायों का शब्दांकन बहुत दिलचस्प होता है। उदाहरण के लिए, तीसरे और उच्चतर से सुरक्षा स्तरों के लिए वर्चुअलाइजेशन वातावरण के लिए सुरक्षा की अनिवार्य रूप से अनिवार्य माप:
"एक व्यक्तिगत उपयोगकर्ता और / या उपयोगकर्ताओं के समूह द्वारा व्यक्तिगत डेटा को संसाधित करने के लिए आभासी बुनियादी ढांचे को खंडों में विभाजित करना।"

किसी चीज को खंडित करने का सिद्धांत क्या है? और क्या जरूरत है? बेशक, जब उपायों के एक सेट को परिष्कृत या अनुकूलित करते हैं, तो हम इस उपाय को सूची से निकाल सकते हैं, लेकिन फिर से, और यदि समीक्षक कहता है, "आप सभी को गलत समझा ..."?

मुझे वास्तव में उम्मीद है कि किसी दिन FSTEC के प्रतिनिधि विवादास्पद मुद्दों पर आधिकारिक स्पष्टीकरण देंगे।

इसके बजाय एक फिर से शुरू

सामान्य तौर पर, व्यक्तिगत डेटा सुरक्षा रणनीति चुनने पर ऑपरेटरों को कार्रवाई की अधिक स्वतंत्रता देने के FSTEC के प्रयास ध्यान देने योग्य होते हैं, लेकिन विवादास्पद मुद्दों में नियामक की स्थिति की अस्पष्टता के साथ संयुक्त शब्दों में अस्पष्टता और अस्पष्टता, हमें सावधान करती है।

ऑपरेटरों को अब क्या करना चाहिए?

उन लोगों के लिए जो पहले से ही "पुरानी शैली" में अपने आईएसपीडी का बचाव कर चुके हैं, इसे वर्तमान कानून के अनुरूप लाने के लिए अपने प्रलेखन को थोड़ा संशोधित करें। किसी भी मामले में, सबसे अधिक संभावना है, तकनीकी शब्दों में आपकी सुरक्षा प्रणाली नए दस्तावेज़ के अनुरूप होगी, क्योंकि पहले की आवश्यकताएं कठिन थीं।

बाकी उनके ISPDs को वर्गीकृत करना, एक खतरे का मॉडल बनाना, उपायों की एक सूची तैयार करना और जहां तक ​​संभव हो, उन्हें लागू करना है। इस क्षेत्र में कानून के विकास में विनियामक स्पष्टीकरण, लेखा परीक्षा प्रथाओं, विशेषज्ञ राय और सामान्य रुझानों के बारे में सभी प्रकार की खबरों की निगरानी करें।