Кто отвечает за защиту личной информации: оператор персданных или хостинг-провайдер?

В hoster.by уже стало традицией проводить бизнес-завтраки о защите персональных данных. К нам приходят профессионалы из самых разных сфер: от медицины до туризма. Несмотря на такое многообразие участников, некоторые темы обсуждаются почти на каждой встрече. Поэтому решили отвечать на самые популярные вопросы с бизнес-завтраков о защите персданных. 

Итак, поехали! 

Как распределяется ответственность между оператором персональных данных и хостинг-провайдером?

Допустим, ваша компания решила аттестовать систему защиты информации для информационной системы, которая обрабатывает персональные данные. При этом для размещения вашей информационной системы вы используете защищенные сервисы hoster.by. Это позволяет существенно минимизировать затраты на организацию технических мер защиты информации и упросить процессы, связанные с поддержкой этих средств и инфраструктуры в целом. В таком случае провайдер (то есть мы) берет на себя все меры по технической и криптографической защите. А оператору персданных (то есть вам) остается закрыть организационно-правовые меры в соответствии с требованиями закона, в том числе пройти аттестацию системы защиты информации, которую, к слову, с провайдером проходить куда проще, дешевле и быстрее. 

Как распределяются обязанности?

Чтобы прозрачно распределить обязанности по обеспечению безопасности информации, в договоре с клиентом мы формализирует требования Закона о защите персональных данных к оператору и уполномоченному лицу. Также используем матрицу ответственности, где перечисляем зоны ответственности провайдера и клиента. Разберем подробнее, как это устроено на практике. 

1. Аудит и протоколирование событий безопасности 

Сначала определяется, какие события информационной безопасности нужно регистрировать для ваших информационных систем. Затем подбираются инструменты, которые будут фиксировать эти события.  Для систем, которые размещаются у нас, мы предлагаем уже готовые решения, а также собираем и храним эти данные в нашем защищенном контуре. Мы полностью берем на себя вопрос реагирования на события информационной безопасности системы защиты информации (СЗИ). 

2. Защита данных 

Мы берем на себя контроль работы всех технических и программных средств СЗИ и защиту от несанкционированного доступа к ним. 

3. Идентификация и аутентификация 

Для реализации этих требований нужно объединить ваши и наши усилия. Вместе мы настраиваем разграничение доступов, идентификацию и аутентификацию пользователей, управляем учетными записями и защищаем их, контролируем надежность паролей и их регулярное изменение и блокируем неактивных пользователей. 

4. Защита СЗИ информационной системы 

Все требования по этому пункту закрывает хостинг-провайдер. Наши специалисты обеспечивают изменение паролей по умолчанию на надежные, регулярно обновляют программы и синхронизируют временные метки. 

5. Криптографическая защита 

Создавать, проверять и защищать цифровые подписи, а также контролировать безопасность средств шифрования должны и мы, и вы — каждый на своей стороне. 

6. Защита информации в виртуальной инфраструктуре 

Тут все требования ложатся на плечи hoster.by. Безопасно мигрировать виртуальные машины и данные на них, защищать их от атак и бекапировать — все это наша зона ответственности. Для абсолютной надежности у нас зарезервированы дополнительные ресурсы и физически изолирован сегмент виртуальной инфраструктуры с чувствительной информацией. 

7. Другие требования 

Также мы проверяем трафик на вирусы, резервируем важные данные и элементы информационной системы, занимаемся маршрутизацией внешнего трафика, устанавливаем файервол на всех необходимых уровнях, обнаруживаем попытки атак, утечек информации и предотвращаем их, а еще контролируем внешние подключения к системе. 

Как видите, hoster.by отвечает за значительную часть требований по защите информации. Но то, что происходит в вашем офисе, зависит от вас и ваших сотрудников. 

Хотите узнать ответы на другие вопросы о защите личной информации? Приходите на бизнес-завтраки hoster.expert. Зарегистрироваться на следующий можно по ссылке.