Приватность данных в Yandex Cloud

Достаточно разместить базу данных с персональными данными российских граждан и компоненты инфраструктуры, отвечающие за их обработку, на территории РФ (пункт действует с законодательными ограничениями, которые могут быть применимы к полному набору данных и организации).

Дата-центры Yandex Cloud расположены на территории РФ, их инфраструктура отвечает всем требованиям 152-ФЗ. Вам только останется обеспечить соответствие прикладной части вашей системы, выстроить ряд процессов и написать документацию. Эти задачи можно поручить нашим партнёрам.

Ответственность провайдера различается в зависимости от того, какую модель облачных сервисов использует клиент: (IaaS — инфраструктура как услуга, PaaS — платформа как услуга, SaaS — программное обеспечение как услуга) и имеющихся у облачного провайдера защитных механизмов и политик.

Для IaaS: провайдер отвечает за физическую безопасность и отказоустойчивость самой платформы, защищает сеть, собирает и анализирует события безопасности гипервизоров и других компонентов инфраструктуры.

Для PaaS/SaaS: провайдер обеспечивает защиту компонент PaaS/SaaS-сервисов. Например, провайдер защищает виртуальные машины сервиса, выполняет резервное копирование базы данных и шифрует пользовательские данные, помещённые в облако 152-ФЗ.

Клиент должен контролировать права доступа к ресурсам, управлять ими таким образом, чтобы не допустить несанкционированного доступа. Как в локальных, так и в облачных моделях компании сами несут ответственность за то, чтобы данные были маркированы и правильно классифицированы для выполнения любых обязательств по соответствию нормативным требованиям.

Ответственность клиента также различается в зависимости от модели использования им облачных сервисов (IaaS — инфраструктура как услуга, PaaS — платформа как услуга, SaaS — программное обеспечение как услуга). При использовании облачных сервисов по модели IaaS пользователи должны отвечать за безопасность гостевых машин, а также осуществлять резервное копирование виртуальных машин, защищать виртуальную сеть, контролировать доступ к ресурсам и принимать меры по защите учётных записей пользователей облака.

При использовании управляемых сервисов (PaaS/SaaS) клиент обязан классифицировать данные, обеспечить разграничение доступа к данным, настроить процессы для их защиты, а также отвечать за управление своими пользователями и конечными устройствами.

Размещая персональные данные в облаке 152-ФЗ, вы продолжаете оставаться владельцем данных и должны выполнять все обязанности оператора. Например, собирать согласия на обработку персональных данных, уведомлять Роскомнадзор об обработке, моделировать угрозы для своих информационных систем.

Вы можете делать это самостоятельно или с помощью наших партнёров, работающих в сфере информационной безопасности.