Диссертация (1138927), страница 17
Текст из файла (страница 17)
Не допускается привлечение к деятельности провайдера облачных технологий в отсутствие доказательств проверки и одобрения аккредитованной при Федеральной программе управления рисками и авторизацией организацией-аудитором предлагаемыхим мер безопасности.То есть, федеральные органы государственной власти освобождены от необходимости отбора провайдеров облачных технологи на основании самостоятельнойоценки уровня безопасности проводимой ими обработки данных, что предотвращаетдублирование усилий по управлению рисками и даст возможность максимальнойоптимизации системы к условиям использования конкретным органом государственной власти.
Национальным институтом стандартизации и технологий Соеди 130См.: Toohey T.J. Piracy, Privacy, and Internet Openness: The Changing Face of Cyberspace Law / Understanding Developments in Cyberspace Law: Leading Lawyers on Analyzing Recent Trends, Case Laws, and Legal Strategies Affecting theInternet Landscape (Inside the Minds) // Aspatore.
2012. P. 97-125.131Рекомендации Национального института стандартов и технологий Соединенных Штатов Америки «Рекомендуемые меры безопасности для федеральных информационных систем и организаций, сбои в безопасности которых способны оказать небольшое или умеренное воздействие на деятельность государственных органов» (NIST SP 800-53R3:Recommended Security Controls for Federal Information Systems and Organizations), «Руководство по применению Концепции управления рисками использования федеральных информационных систем» (NIST SP 800-37 Guide for Applying the Risk Management Framework to Federal Information Systems) // http://csrc.nist.gov/publications/nistpubs/800-53Rev3/sp800-53-rev3-final.pdf; http://csrc.nist.gov/publications/nistpubs/800-37-rev1/sp800-37-rev1-final.pdf, (дата обращения: 15 октября 2017 года). 74 ненных Штатов Америки было опубликовано «Руководство по решению проблембезопасности и конфиденциальности информации, хранящейся в общедоступныхоблачных вычислительных системах»132, которое адресовано всем вовлеченным вправоотношения субъектам (в первую очередь, крупным пользователям) и содержитанализ потенциальных сложностей.
Таким образом, в Соединённых Штатах Америки в целях обеспечения гибкости и эффективности правового регулирования со стороны властей организованы предпосылки для развития системы аудита облачныхинформационных систем и деятельности провайдеров облачных технологий.Практически в то же время, 25 января 2012 года, Европейской комиссией быланачата комплексная реформа законодательства о защите данных, а 4 мая 2016 годаофициальный текст Регламента Европейского Парламента и Совета Европейскогосоюза о защите физических лиц в отношении обработки персональных данных и освободном перемещении таких данных133 и Директивы Европейского парламента иСовета Европейского союза о защите физических лиц при обработке персональныхданных компетентными органами в целях предотвращения, расследования, обнаружения или судебного преследования уголовных преступлений или исполнения уголовных наказаний и свободного движения таких данных был принят134.
В полноймере новый порядок защиты персональных данных в Европейском Союзе вступил всилу 25 мая 2018 года, заменив собой прежнее регулирование.Европейской Комиссией заранее был обозначен план мероприятий, которыенеобходимо провести в целях совершенствования нормативно-правового регулирования правоотношений, в том числе, с использованием облачных технологий135, ко 132Руководство Национального института стандартизации и технологий Соединенных Штатов Америки было опубликовано «О решении проблем безопасности и конфиденциальности информации, хранящейся в общедоступных облачных вычислительных системах» NIST SP 800-144 «Guidelines on Security and Privacy in Public Cloud Computing»http://www.nist.gov/customcf/get_pdf.cfm?pub_id=909494, (дата обращения: 15 октября 2017 года).133Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC(General Data Protection Regulation) // Official Journal of the European Union.
2016. № 119. P. 1–88, (дата обращения: 20января 2018 года).134Directive (EU) 2016/680 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data by competent authorities for the purposes of the prevention, investigation,detection or prosecution of criminal offences or the execution of criminal penalties, and on the free movement of such data,and repealing Council Framework Decision 2008/977/JHA // Official Journal of the European Union. 2016.
№ 119. P. 89-131.135Gonsavles M.E., Gameiro M.I. Security, Privacy and Freedom and the EU Legal and Policy Framework for biometrics //Computer Law and Security Review. 2012. № 28 (3). Р. 322, (дата обращения: 15 октября 2017 года). 75 торый потом был включен в уже рассматриваемые масштабные мероприятия по созданию Единого цифрового рынка в Европейском Союзе.В рамках Стратегии развития использования облачных технологий в Европе2012 года были реализованы действия по внедрению схем сертификации (Отраслевой группой по облачным вычислениям (C-SIG), подгруппой по разработке схемсертификации (SIG-Cert) с участием Агентства по сетевой и информационной безопасности (ENISA))136.Именно оказание помощи в выборе безопасной и надежной облачной информационной системы пользователям из частного и публичного секторов стало основной целью внедрения схем сертификации, поскольку использование облачных технологий осуществляется на основе не простой модели с различными технологическими компонентами (кабелями, крупными центрами обработки данных, программным обеспечением и т.д.).
Учитывая, что поток пользовательских данных огромен (иэто основная идея облачных технологий) в случае осуществления такой непростойоценки выполнения облачным провайдером требований к безопасности каждымклиентом работа будет дублироваться. Концепция сертификации – однократная квалифицированная проверка базового набора требований к безопасности, что оптимизирует процедуру пользовательского выбора.
Между тем, схемы сертификации незаменяют необходимость должной осмотрительности при выборе облачного провайдера, а только упрощают этот процесс137.Так, был разработан перечень сертификационных схем (добровольных) дляоблачных информационных систем в целях предоставления возможности реалистичной оценки уровня безопасности потенциальными пользователями в упрощенной форме, которые были разработаны различными профессиональными сообществами и экспертными организациями и акцентируются на отдельных блоках значимых характеристик облачных технологий. Например, Кодекс практики облачнойиндустрии, разработанный Сообществом облачной индустрии, наиболее интересен в 136Cloud Select Industry Group // Официальный сайт: https://ec.europa.eu/digital-agenda/en/cloud-select-industry-groupservice-level-agreements, (дата обращения: 20 января 2018 года).137Cloud Computing Certification - CCSL and CCSM // https://resilience.enisa.europa.eu/cloud-computing-certification, (датаобращения: 20 января 2018 года). 76 случае использования нескольких облачных информационных систем на профессиональной основе организациями138.
Всего в перечень включены тринадцать схемсертификаций, при этом, перечень планируется дополнять.Но даже с использованием вышеуказанных документов осуществление оценкидеятельности провайдера достаточно кропотливый процесс. Поэтому, была внедренаособая интерактивная оценочная таблица сертификации, задачей которой являетсянезависимое сопоставление реализуемых облачными провайдерами мер безопасности139.К актам саморегулирования также следует отнести уже упоминаемые Рекомендации по стандартизации соглашений об уровне обслуживания (англ. Cloud Service Level Agreement Standardization Guidelines) и Кодекс делового поведения и этики по защите данных для облачных провайдеров) (англ.
Data Protection Code of Conduct for Cloud Service Providers).Итак, очевидно, что предварительным условием использования облачной информационной системы для обработки персональных данных должна быть комплексная, полная и квалифицированная оценка технических, организационных иправовых аспектов ее функционирования.Многие субъекты, предоставляющие услуги с использованием сети Интернетуже осознали ответственность и возможные последствия пользования современными технологиями.
Учитывая, что количество облачных информационных системрастет, как и облачных провайдеров, пользовательский выбор сложен, но крайневажен. При этом, уже сейчас гораздо большее значение отдается сформировавшемуся имиджу компании с позиции информационной безопасности, поскольку разобраться в сложных правовых моментах не просто пользователям140.Данный факт является предпосылкой для развития института независимойоценки деятельности облачных провайдеров, уже получившей свое развитие в некоторых иностранных государствах. Инструмент предварительной оценки и удостове 138CloudIndustryForumCodeofPractice.CloudIndustryForum//cloudindustryforum.org/code-of-practice/cop, (дата обращения: 20 января 2018 года).139The Cloud Certification Schemes Metaframework // https://ec.europa.eu/digital-single-market/en/cloud-select-industrygroup-certification-schemes, (дата обращения: 20 января 2018 года).140Шмидт Э., Коэн Д.
Новый цифровой мир. – М.: Манн, Иванов и Фербер, 2013. С. 79. 77 рения уровня обеспечиваемой облачным провайдером безопасности призван облегчить пользовательский выбор и способствовать развитию правоотношений по использованию облачных технологий в сравнительно безопасном правовом поле.Конституционный Суд Российской Федерации, подчеркивая публичноправовой характер деятельности, осуществляемой профессиональными объединениями141, указывает на необходимость наличия начал самоуправления и автономии вэкономической сфере для становления гражданского общества, проявлением чегоявляется создание саморегулируемых организаций142.Механизмы саморегулирования существуют в ряде сфер деятельности и могутстать целесообразным решением для сферы облачных технологий (как и в отношении деятельности других интернет-посредников). Как правило, они формируются напринципах самоорганизации, регулируются исключительно корпоративными нормами и опираются на самостоятельно выработанные правила профессиональной деятельности143.
В качестве примеров такой саморегуляции можно вспомнить, профессиональную журналистскую деятельность, рекламную деятельность; деятельностьжилищных накопительных кооперативов; деятельность патентных поверенных; посредническую деятельность по урегулированию споров; деятельность микрофинансовых организаций и пр.)144, членство в которых для субъектов профессиональнойили предпринимательской деятельности является добровольным145. 141См.: Определение Конституционного Суда Российской Федерации «Об отказе в принятии к рассмотрению жалобыобщества с ограниченной ответственностью «Предприятие группы «Городской центр экспертиз – «Городской центрэкспертиз – энергетика» на нарушение конституционных прав и свобод пунктами 3 и 4 части 2 статьи 18 Федерального закона «Об аудиторской деятельности» от 13 мая 2010 года № 686-О-О // Вестник Конституционного Суда РФ.2012.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
