Соответствие 152-ФЗ: все о защите персональных данных в облаке SberCloud

• Вебинар посвящен продуктам и сервисам компании Сберклауд, а также защите персональных данных в облаке.  

• Спикер Александр Осипов представляет коллегу Данилу Мешкова, который расскажет о методах защиты персональных данных в облаке и о мерах защиты, реализованных в инфраструктуре облачной платформы Сберклауд.  

• Персональные данные - это любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу.  

• Защита персональных данных граждан РФ осуществляется на основании закона 152-ФЗ о персональных данных.  

• Требования по защите персональных данных определяются правительством РФ.  

• Постановление правительства РФ №11-19 определяет уровни защищенности персональных данных в зависимости от категории обрабатываемой информации, количества субъектов и типов актуальных угроз.  

• Аттестация информационной системы на соответствие требованиям 152-ФЗ является необязательной, но может служить подтверждением соответствия.  

• Облако представляет собой инфраструктуру для размещения информационных систем заказчика.  

• Разграничение зоны ответственности: провайдер отвечает за физическую безопасность инфраструктуры, заказчик - за безопасность своих площадок и каналов связи.  

• В случае использования облачных сервисов, добавляются дополнительные обработчики и поручения на обработку персональных данных.  

• Если обработчик использует облачный сервис, он должен подписать поручение на обработку с провайдером, который предоставляет инфраструктуру.  

• Наличие аттестата не является обязательным, но обязательным является приведение инфраструктуры в соответствие с требованиями 152-ФЗ.  

• Если провайдер хочет доказать соответствие своей системы требованиям, он может аттестовать ее и показать своим клиентам аттестат.  

• Первая инфраструктура облачной платформы предназначена для размещения персональных данных (ПДН) и аттестована на соответствие требованиям 152-ФЗ по первому уровню защищенности.  

• Вторая инфраструктура облачной платформы создана на базе суперкомпьютера Кристофари и аттестована по второму уровню защищенности для обработки любых персональных данных, включая биометрические.  

• Третья инфраструктура облачной платформы предназначена для размещения ПДН на базе облачных платформ Сберклауд и аттестована по первому уровню защищенности.  

• Физическая безопасность обеспечивается размещением инфраструктуры в центрах обработки данных, видеонаблюдением, контролем доступа и запиранием стоек.  

• Сетевой уровень обеспечивает базовую защиту от DDoS-атак, сегментирование внутренней инфраструктуры, межсетевое экранирование и защиту периметра.  

• На уровне приложения обеспечивается защита доступа к порталам и консолям самообслуживания.  

• Все меры защиты, предъявляемые приказом 21-стэк, реализованы и мапируются на средства защиты инфраструктуры облачной платформы.  

• В видео обсуждаются аттестаты, которые являются лучшим способом доказать соответствие требованиям 152-ФЗ для облачных платформ.  

• В настоящее время уже есть три аттестата: публичные, по первому уровню защищенности, на базе которых предоставляется облачная платформа Сберклауд; облачная платформа Сберклауд по третьему уровню защищенности, которая находится в процессе аттестации; и облако ГИС, которое было аттестовано в марте 2020 года по второму уровню защищенности.  

• Также обсуждается аттестат на соответствие максимальному уровню защищенности, который не имеет особого смысла для предоставления услуг по модели обслуживания инфраструктуры как услуга.  

• Отмечается, что стоимость продуктов и сервисов компании не выше цен конкурентов, имеющих аттестаты.  

• В видео обсуждаются вопросы, связанные с GDPR, и как они могут быть актуальны для компаний, работающих в России.  

• Отмечается, что GDPR актуален только для компаний, которые обрабатывают данные граждан Европейского Союза, и что для этого необходимо привести систему в соответствие с требованиями GDPR.  

• Также обсуждаются вопросы, связанные с аттестацией объектов обработки данных и как доказать регулятору, что компания умеет обрабатывать эти данные.  

• В видео подчеркивается, что если компания не хочет аттестовать свою систему, она может нанять компанию, имеющую соответствующую лицензию, которая поможет привести систему в соответствие с требованиями 152-ФЗ.  

• Оператор несет ответственность за все действия, связанные с обработкой персональных данных, и претензии могут быть предъявлены ему.  

• В случае подозрений на утечку персональных данных, субъект должен предъявлять претензии к оператору, а не к обработчику или облачному провайдеру.  

• Сертификация средств защиты не является обязательным требованием для первого уровня защищенности.  

• Выбор средств защиты зависит от модели угроз и архитектуры системы.  

• Использование сертифицированных средств шифрования обязательно только в случае передачи данных по общедоступным каналам связи или при использовании съемных носителей.  

• Представитель ФСБ на конференциях говорит о необходимости использования сертифицированных средств шифрования, но это не является обязательным требованием.  

• Если оператор решил использовать шифрование, он должен использовать сертифицированные средства.  

• Выбор средств шифрования зависит от модели угроз, архитектуры системы и условий эксплуатации.  

• Да, можно передавать данные в облако зарубежной компании, если оператор ПДн подписывается с клиентами и дает согласие на обработку данных.  

• Мастер-данные всегда должны обрабатываться на территории РФ, вторичная копия данных может передаваться в облако.  

• Финляндия относится к списку стран с адекватным уровнем защиты, но требуется согласие субъектов ПДн на трансграничную передачу данных.  

• Размещение данных в Финляндии возможно, но ответственность за соответствие требованиям лежит на заказчике.  

• Открытая часть аттестата доступна для клиентов, закрытая часть содержит информацию о средствах защиты и оборудовании.  

• Аттестаты могут быть опубликованы на сайте, но решение об этом должно быть принято отдельно.  

• Для обучения модели обычно не требуются персональные данные, медицинская информация также относится к ПДн.  

• Перенос данных в Берклауд возможен, но требуется обсуждение с оператором ПДн.  

• Для негосударственного пенсионного фонда требования к защите ПДн могут быть другими.