2015年9月1日までに外国のインフラストラクチャからロシアへの移行について知っておくべきこと

ロシア国外でデータを処理する個人データオペレーターはブロックされる可能性があります。



以下では、顧客をロシアにインフラストラクチャに移行する際に実際に発生した移行の問題について説明します。 もちろん、最初の質問は法律についてであり、2番目はデータがどのように発作から保護されるかについてです。

メイン

法律で説明されているメカニズムが実際にどのように機能するかはまだ明確ではありません。さらに、リソースへのアクセスを制限（ブロック）する手順が詳細に規定される条例はまだ採用されていません。 したがって、より詳細に掘り下げる必要があります。以下は、いくつか重要ですが、退屈なことです。



法律はロシア人と外国人を分けません、国家制度は外国人に適用されます（すべては法律の前に平等です）。 罰金があるように感じますが、外国人に適用する実際的な可能性はありません。 そして、 罰金はもちろん、最高10,000ルーブルです。 ただし、罰金はサイトをブロックするRoskomnadzorの権限をキャンセルしません。Roskomnadzorはロシアのドメインまたは外国人に無関心であり、ロシアのすべてのユーザーに対して両方をブロックすることができます。



つまり、たとえば、アエロフロートがセイバーチケットシステムにアクセスできない場合、10,000ルーブルの罰金よりもはるかに多くの航空会社のコストがかかります。

個人データについて知っておくべきことは何ですか？

第2条および第4条の242-FZおよび526-FZは、2015年9月1日から個人データを収集する際に、 インターネットでは、オペレーターは、ロシア連邦の領土にあるデータベースを使用して、ロシア連邦の市民の個人データの記録、体系化、蓄積、保管、更新（更新、変更）、抽出を保証する義務があります（第18条第5部）。







他のすべての場合、オペレーターはロシア連邦の領土にあるデータベースを使用してロシア連邦市民の個人データを収集する必要があります。

責任は何ですか？

オペレーターがロシア連邦の行政違反のコードの第13.11条の現行バージョンによると、ロシア連邦の領土にデータベースを配置するための新しい要件の違反を犯した場合、「法律によって確立された市民（個人データ）に関する情報の収集、保存、使用または配布の手順の違反」、オペレーターと彼のマネージャーは管理責任を問われる可能性があります：マネージャー-500〜1000ルーブルの罰金の形で、オペレーター-5000〜10,000ルーブル ブリー。



現在、ロシア連邦下院は法案第683952-6号を検討しています。これは、ロシア連邦行政違反法第13.11条に基づき管理上の責任が生じる個人データに関する法律違反の範囲を制限することになっています。



この記事の新版では、個人データを収集する際にロシア連邦の領土にあるデータベースを使用して、ロシア連邦の市民の個人データの記録、体系化、蓄積、保存、更新、更新、更新を保証するための要件のオペレーターによる違反法案はそのような犯罪を規定していないため、情報通信ネットワークを通じてインターネットは管理上の犯罪にはなりません。

つまり、ロシア連邦に保管することはできませんか？

そうでもない。 行政法の計画的変更は、連邦法No.242-FZの要件の運営者による違反が、それらに対する負の結果を伴うことを意味しない。 2006年7月27日の連邦法の第15.5条No.149-「情報、情報技術、および情報の保護について」をご覧ください。2015年9月1日に施行され、連邦法No.242-FZの採用の結果として法律に登場しました。



この記事によれば、個人データ主体の声明に基づく裁判所の決定が、個人データが個人データ法に違反して事業者のインターネットリソースで処理されたという事実を確認した場合、通信、情報技術およびマスコミュニケーションの監督のための連邦サービス（Roskomnadzor ）裁判所の決定に基づいて個人データ主体の要求に応じて、専門の「違反者の登録」にオペレーター違反者に関する情報を含めることができます 個人データのラビの被験者は、「それが違反を発見された事業者のインターネットリソースへ（ブロック）のアクセスを制限します。



法律は、個人データに関する法律の特定の違反が、Roskomnadzorによるオペレーターのインターネットリソースへのユーザーのアクセスを制限する根拠となることを指定していません。

練習はありますか？

明白な理由により、法律が機能するまで、何をどのように正しく行うかを正確に言うことは困難です。 言葉遣いはかなり広い解釈を可能にし、いつものように、あなたは法執行の実践に集中する必要があります。

これはあなたにとってどんな意味がありますか？

2015年9月1日から、オペレーターは、ロシア連邦にあるデータベースを使用して個人データを処理するための要件を含む、個人データに関する法律の遵守について、いつでもRoskomnadzorによる検証を行う準備ができているはずです。 2008年12月26日の連邦法No.294-の連邦法No.242-の3「州の管理（監督）およびMunitsの実施における法人および個人起業家の権利の保護について」 スリープ制御」により、個人データの処理の制御と監督は、連邦法第294-FZの範囲から削除されます。



おそらく、検査の順序、用語、頻度は、Roskomnadzor自身によって決定されます。 このような検査は、検察当局と調整されず、法人および個々の起業家の年次サマリー検査計画に含まれません。

今、私たちの練習についてお話します

Uptime InstituteのTIER IIIを含む3つのデータセンターを商用クライアント向けに提供しています。 原則として、非常に大規模な企業（銀行、保険会社、小売業のリーダーなど）は、たとえば、このクライアントの50〜60ラックを配置できる特別にフェンスで囲まれたスペースでデータセンターにアクセスします。 技術的な作業であっても、スペースへの通路はこの会社の代表者のみが可能であるため、メンテナンスが必要なものはすべて最初にフェンスから取り出されます。 さらに、他の顧客のカメラが他の人のフェンスの一部に落ちないようにします。 これはかなり単純なレイアウトです。



小規模なプロジェクトをホストしている企業（原則として、Amazonのようなクラウド環境からインフラストラクチャを移行）は、同じAmazon API（EC2、S3）と85％互換性のあるCROCクラウドに入ります。 移行は簡単です-ほとんどすべてのユーティリティは、変更なしで、または最小限の変更でAmazonから機能します。 もちろん、唯一のものは画像のフォーマットを変更する必要があります。 しかし、主なことは、アプローチとイデオロギーが保持されるということです。 別の構造に切り替えると、さまざまな建築の瞬間が出てきて生命を非常に損なうことがよくあることを説明するのは私にとってではないと思います。長い間、そのような驚きはありません。



転送自体には問題はなく、長い間解決されてきました。 質問は異なります。各顧客は新しい法律を心配しています。 また、いくつかのオプションがあります。

• 1つ目は、データセンターでの声明と、FSTEC標準に基づく最終ITソリューションの認証です。 これは古典的なコロケーションです。
• 2番目のオプションは、パブリッククラウドを使用することです。 4年生の認定に成功した経験と、脅威モデル、保護ツール、ペンテストの実施に関する2つのレポート、このペンテストの結果に基づく脆弱性の排除に関するレポート、データセンターの内部規制、運用サービス、HR （リクルーターの規制）。 必要に応じて、このような一連の文書を準備し、さらに検証し、認定認証機関への意見の発行のために顧客に引き渡します。
• 3番目のオプションは、クラウドソリューションを備えたSaaS、特定の脅威モデルから保護するための集中型セキュリティノード（DSS）です。 規制当局の要件により以前は利用できなかった場合でも、クラウドベースのスケーリングモデルを使用できます。 つまり、手順は次のとおりです。1〜2日で、FSTECおよびFSBによって認定されたツールに基づく情報セキュリティサービスを備えた安全な仮想環境が展開されます。 ファイアウォール、IPSec VPN、および侵入防止（IPS）。

データ保存

顧客とのミーティング中によく見られる2番目の一般的な質問は、データの保存方法です。 実際、たとえ彼女が財務部長と一緒に行ったとしても、この質問なしでは会議はほとんどできません。



ここでのポイントはこれです。 2つのデータセンターがあり、合計で約500台の物理サーバーで顧客の仮想マシンが起動されます。 各サーバーには2つのディスクがあります。 また、サイトごとに6台、12台のアレイがこれらの500台のサーバーに接続されています。 ボードサーバー上のローカルディスクには、顧客データは保存されません。 それらはすべて中央リポジトリに保存されます。 検査機関によるデータ押収の問題にアプローチする場合、サーバーに顧客データがないため、サーバー自体を押収するだけでは役に立ちません。 それらはすべて、ストレージエリアネットワーク（SAN）で接続されています。 また、SANを介して接続されたディスクアレイから取得されます。 データが保存されるすべての瞬間（どのサイト）に完全な確実性があります。つまり、顧客は仮想ディスクを作成するときに、VolochaevskayaとCompressorのどちらで起動するかを選択します。 さらに、物理ディスクアレイレベルのこれらのディスクはすべてこの形式で保存されます。これらのディスクは、他の顧客のデータと混合されたすべてのディスクアレイに均等に分散されます。 当然、このデータの所有者のみがこのデータにアクセスできます。 アレイの1つが物理的に削除された場合、データは非整数で一貫性がなくなります。 これはデータの1/6であり、残りのデータは残りのアレイに分散されます。 つまり、それらは価値がありません。 この混乱からいくつかのディスクを収集するためにすべてのアレイを抽出しても、この情報を取得する特定のアクセスなしでは機能しません。







最も簡単な方法は、ログインとパスワードを見つけて、顧客のシステム管理者からこれらの外観のパスワードを取得してセルフサービスポータルにアクセスすることです。 注：クラウドを扱ってきた6年間すべてにおいて、機器の取り外しに関連するこのような事件はありませんでした。

移行自体

原則として、ロシアに駐在員事務所を持つ国際企業が私たちに移動します。 歴史的に、それらはどこかの本社近くでホストされていましたが、現在、ロシアのビジネスはロシアの別のビジネスに選ばれています。 そして、彼らは別々のインフラストラクチャを構築しています。 さらに、顧客の約10％は西側でホストされ、「ホーム」を同様のインフラストラクチャに移動している人です。 信頼性が高いため、オフィスのストレージではなく、データストレージに切り替える人もいます。



重要な機能-多くの場合、英語のライティングサポートと英語を話すマネージャーが必要です。 それは長い間構築されてきました。



移行の主な問題は、Amazonのようなサービスからの移行ではない場合、形式から仮想サーバー形式への変換、アーキテクチャの詳細です。 原則として、これらすべてを無料で行うか、クラウド内でアーキテクチャを構築することについて無料でアドバイスします。 顧客にとっては、すべてが驚くことなく行われ、そのような仕事ですでに犬を食べていた私たちの専門家は、すべての転送を監視しています。 そして、その経験は膨大です。年の初めに、西洋のホスティング企業の企業がcompanies延しました。 彼らは現在、プロジェクトと移行中の両方で、ネットワーク接続とネットワークインフラストラクチャに関するコンサルティングで私たちを引き付けています。 一般的に、顧客がクラウドにナンセンスを積み上げないこと、すべてが正しく美しく構築されていることは、私たちの利益です。 そして、管理者が無知または偶然によって賢明な場所にいる場合、誤った否定性がないようにします。 したがって、無料でお手伝いします。