Хранение и обработка персональных данных в облаке

Предмет этой статьи — всеми нами любимый ФЗ-152 и облако. Многие предприятия, мигрировавшие свою IT-инфраструктуру в облако, сталкиваются с одним подводным камнем — соответствием ФЗ-152. Ведь при «переезде в облако» происходит перенос в облако и персональных данных.

Без облака

Когда облака нет, то все достаточно понятно (мы не пишем «просто»). Нужно определить уровень защищенности и принять предписанные законом меры по защите персональных данных — установить сертифицированные ФСТЭК антивирус, брандмауэр, настроить шифрование данных — при необходимости, «поднять» VPN, а также принять другие требуемые законодательством меры для защиты персональных данных. Кроме установки программного обеспечения, закон требует обеспечить и физическую охрану данных.

Появилось облако

Любая организация, старающаяся идти в ногу со временем, использует в той или иной мере облака. Кто-то арендует виртуальный терминальный сервер и устанавливает на него 1C, кто-то просто покупает облачное хранилище для хранения резервных копий, а вместе с резервными копиями в облако попадают и персональные данные.

При использовании облака, получается, что вы доверяете третьей стороне хранение и обработку персональных данных (сотрудников, клиентов и т. д.). Очень просто нарушить закон (что обойдется вам в копеечку), если вы сделаете неправильный выбор облачного провайдера.

Выбор облачного провайдера с точки зрения ФЗ-152

При выборе облачного провайдера обратите внимание на два фактора: собственник дата-центра и наличие необходимых лицензий ФСТЭК и ФСБ. Другими словами, провайдер должен иметь собственный ЦОД и все необходимые лицензии ФСТЭК и ФСБ. В противном случае хранение персональных данных в таком ЦОД будет нарушением закона.

Компания Xelent предлагает услугу виртуальный дата центр, Virtual Datacenter, которая строится на модели IaaS (infrastructure as a service). Данная услуга — идеальное решение для средних и крупных компаний. Клиент получает пул ресурсов, а затем создает нужное количество машин. Управление виртуальным дата-центром производится через личный кабинет клиента.

Преимущества виртуального дата-центра от Xelent следующие:

1. Физически VDC размещен в собственном охраняемом ЦОД уровня TIER III.
2. Наличие лицензий ФСТЭК и ФСБ.
3. Наличие сертификата PCI DSS
4. Стандартный SLA 99,9%
5. Круглосуточная техническая поддержка
6. Масштабируемость — клиент может изменить производительность на любом этапе жизненного проекта.
7. Xelent обладает всеми необходимыми лицензиями для оказания услуг в области защиты персональных данных.
8. Отсутствие затрат на электроснабжение и модернизацию аппаратуры.
9. Возможность получить предустановленное ПО.
10. Централизованное управление.

Виртуальный дата-центр решает сразу множество проблем: вам не нужно беспокоиться ни о лицензиях (все лицензии есть у Xelent), ни о безопасности ваших данных (надежность услуги подтверждается теми же лицензиями ФСБ и ФСТЭК, а также сертификатом PCI DSS), ни о физической охране персональных данных. Все, что вам нужно — это воспользоваться услугой VDC от Xelent.

Аудитория

Услуга VDC будет актуальной для следующих предприятий:

• Интернет-магазины.
• Системы маркетинговых коммуникаций.
• Системы бухгалтерского учета и отдела кадров.
• Системы, осуществляющие обработку платежей.
• Многие другие организации, которые предпочитают облачную инфраструктуру и не хотят иметь проблем с законом.

Дополнительная информация, в том числе конфигуратор виртуального дата-центра, доступна по ссылке: https://www.xelent.ru/services/vdc/

Инфраструктура в облаке: реальный кейс

Рассмотрим реальный случай переноса инфраструктуры компании в облако в соответствии с ФЗ-152. Вкратце предыстория: к нам обратился клиент, которому нужно перенести существующую инфраструктуру в облако с соблюдением всех требований ФЗ-152. При этом системе персональных данных клиента присвоен класс К1, то есть нарушение заданной характеристики безопасности персональных данных, обрабатываемых в такой системе, может привести к значительным негативным последствиям для субъектов персональных данных.

Клиенту очень важно наличие ЦОД, в котором можно хранить и обрабатывать данные класса К1. Клиент попросил предоставить все подтверждающие это сертификаты, лицензии и модели угроз.

Проект подразумевал выделение трех виртуальных машин:

1. Контроллер домена (2CPU/4RAM/50ГБ)
2. Сервер приложения (8CPU/28RAM/500ГБ)
3. Сервер БД (16CPU/48RAM/1000ГБ)

Подключение к ЦОД нужно организовать по защищенному каналу связи.

Также клиента интересовали следующие вопросы:

1. Сроки предоставления всех документов.
2. Есть ли возможность масштабирования выделенных ресурсов?
3. Стоимость аренды оборудования в месяц.

В свою очередь, для расчета стоимости внедрения проекта нам, как провайдеру, понадобилась определенная информация, поэтому клиенту был задан список вопросов. Вопросы и ответы на них приведены в таблице 1.

Таблица 1. Информация, необходимая для произведения расчета стоимости

В соответствии с полученной от заказчика информацией, было подготовлено коммерческое предложение. В нем были учтены следующие моменты:

1. Отображена стоимость аренды пула ресурсов.
2. Стоимость резервного копирования данных.
3. Стоимость серверных средств защиты информации. Нами были предложены следующие средства: средство защиты виртуализации vGate, сертифицированный ФСТЭК антивирус Dr. Web Desktop Security Suite, средство защиты от НСД Secret Net Studio, средство анализа защищенности XSpider.
4. Стоимость средств защиты информации для АРМ: VPN client ГОСТ KC1 и Криптошлюз С-Терра KC1.

В стоимость входит размещение в дата-центре уровня Tier 3 (TIA-942), сертифицированном по PCI/DSS, канал 10/100 Мбит/с, канал для администрирования 20 Мбит/с, защита среды виртуализации для 2-х серверов, выделенная сеть на 8 IPv4-адресов. Подробно обо всем этом написано в приведенном ниже коммерческом предложении.

Таблица 2. Коммерческое предложение: защищенная виртуальная инфраструктура с требованиями ФЗ-152

Гибридная инфраструктура

Гибридная инфраструктура – уникальная услуга для объединения преимуществ виртуальных и физических серверов. Позволяет масштабировать ресурсы вашего бизнеса и провести цифровизацию за несколько рабочих дней.

Защищенное облако 152 ФЗ

Защищенное облако 152 ФЗ – ИТ-инфраструктура, предназначенная для создания информационных систем персональных данных (ИСПДн), соответствующих требованиям федеральных законов.

Отказоустойчивая инфраструктура

Отказоустойчивая инфраструктура – это комплекс решений, направленных на поддержание постоянной работоспособности оборудования: компьютеров, комплектующих, ПО и локальной сети.