Международный стандарт защиты данных в облачных системах

Корпорация Microsoft сообщила о том, что ею обеспечено соответствие своих продуктов нормам стандарта ISO/IEC 27018, касающегося защиты персональной идентификационной информации (PII). Независимая проверка ряда продуктов дала положительный результат.

Единый стандартизованный подход к защите пользовательских идентификационных данных обеспечен в таких системах Microsoft, как Azure, Office 365, Dynamics CRM Online и Intune. Поскольку ответственность за утечку данных формально лежит на самих пользователях, при выборе провайдера возникает вполне естественный вопрос, насколько он надёжен. Эту задачу и решает стандарт, по нормам которого может быть проведён аудит: таким образом можно сопоставлять между собой варианты выбора провайдера первого уровня.

Поскольку на поставщиков услуг облачного хранения и обработки данных во многих странах мира «навалились» регулирующие организации, чёткая система критериев оценки защищённости сервиса может стать залогом унифицированного и объективного подхода. Именно эту задачу и решает стандарт ISO 27018, гарантирующий пользователям, в частности, соблюдение следующих принципов:

• хранящимися в «облаке» данными управляет только пользователь;
• все операции с пользовательскими данными известны и прозрачны, как и процедуры обращения с данными, включая их получение, передачу и удаление;
• единственная информация, которая принципиально не может быть предоставлена провайдером, касается физического местонахождения конкретной порции данных;
• все факты обращения к пользовательским данным со стороны третьих лиц, осуществлённые по контрактам либо иным договорённостям, подлежат обязательному журналированию, и пользователь вправе запрашивать у провайдера соответствующие отчёты;
• провайдер обеспечивает надлежащую техническую защиту данных, хранящихся в облаке, и в стандарте прописаны конкретные требования к её обеспечению, в частности, к использованию общедоступных сетей, съёмных накопителей и процедур восстановления данных;
• все сотрудники провайдера и пользователя, непосредственно контактирующие с персональной идентификационной информацией, обязаны соблюдать режим секретности.

Многие корпоративные пользователя в последнее время выражают опасения, что утечка данных из облака позволяет использовать базы персональных данных в целях распространения рекламы. Принятие провайдерами стандарта ISO 27018 делает эту практику невозможной — по крайней мере, без согласия самой организации-пользователя.