Українське законодавство про хмарні послуги: що потрібно знати бізнесу
З 16 вересня 2022 року в Україні набув чинності Закон України «Про хмарні послуги» (Закон №2075-IX) 1, який визначає правові засади використання хмарних технологій та встановлює правила взаємодії між постачальниками та користувачами таких сервісів. Цей закон є першим кроком до реалізації стратегії Cloud First у державному секторі та спрямований на створення умов для обробки та захисту даних, а також більш ефективне використання державних ресурсів.
Для державних органів, органів місцевого самоврядування, військових формувань та державних підприємств Закон встановлює особливі вимоги. Зокрема, забороняється обробляти інформацію з державною таємницею та розміщувати державні реєстри у дата-центрах за межами України або на тимчасово окупованих територіях. Уряд також ухвалив постанову, яка регулює хмарне зберігання в держустановах, дозволяючи залишати дані за кордоном у хмарі й не переносити їх назад в Україну після закінчення війни 2, а також запроваджує каталог надавачів хмарних послуг та обов'язкові вимоги до них 2. До 31 грудня 2025 року державні установи можуть закуповувати хмарні сервіси у компаній, які ще не пройшли реєстрацію, однак після завершення цього перехідного періоду реєстрація стане обов'язковою для роботи з державними органами та об'єктами критичної інфраструктури 2.
Приватний бізнес має більше гнучкості у виборі місця зберігання даних, проте все одно зобов'язаний дотримуватися вимог українського законодавства щодо захисту персональних та інших даних. Це включає Закон України «Про захист персональних даних» 3, який є основним у цій сфері.
Ризики дата-резиденції в хмарі для українських компаній
Недотримання вимог щодо дата-резиденції та захисту даних у хмарі може призвести до значних ризиків для українських компаній, особливо в умовах воєнного часу:
- Юридичні наслідки та штрафи. Порушення Закону України «Про хмарні послуги» та Закону України «Про захист персональних даних» може спричинити юридичну відповідальність. Для компаній, що працюють з європейськими партнерами або обробляють дані резидентів ЄС, також актуальним є Загальний регламент про захист даних (GDPR), недотримання якого може мати наслідком серйозні штрафи.
- Втрата контролю над даними. Розміщення даних за кордоном може ускладнити контроль над ними, особливо у випадку запитів правоохоронних органів інших країн.
- Операційні та репутаційні втрати. Витік конфіденційної інформації або несанкціонований доступ до даних через неправильне налаштування хмарних сховищ може завдати значної шкоди. В умовах війни зростає кількість та потужність кібератак, що підвищує ризик втрати даних.
- Кібербезпекові загрози в умовах війни. Під час воєнного стану критична інфраструктура, мережі, реєстри та архіви постійно перебувають під загрозою кібератак. Хоча хмарні технології можуть забезпечити резервне копіювання, шифрування та швидке відновлення даних, що є запорукою безпеки та гарантованого доступу до інформації, вибір провайдера та архітектури хмари має враховувати ці особливості.
Стратегії відповідності: як забезпечити дата-резиденцію та безпеку
Для українського бізнесу, що прагне використовувати переваги хмарних технологій, важливо розробити стратегію, яка поєднує гнучкість та відповідність законодавчим вимогам.
- Гібридна хмара. Ця модель поєднує локальну інфраструктуру, приватну хмару та публічні сервіси, дозволяючи компаніям зберігати чутливі дані локально або в приватній хмарі, використовуючи публічну хмару для менш критичних даних або масштабування.
- Плюси: Гнучкість, масштабованість, економічна доцільність, поетапний перехід сервісів.
- Мінуси: Складність управління, потреба в інтеграції різних середовищ.
- Використання локальних українських провайдерів. Розміщення хмарної інфраструктури в українських дата-центрах допомагає забезпечити відповідність локальним нормативним вимогам та спростити виконання регуляторних процедур. Це також зменшує затримку у роботі сервісів та підвищує стабільність. Деякі українські хмарні провайдери пропонують хмари, що пройшли атестацію відповідності комплексної системи захисту інформації (КСЗІ) та інші сертифікації.
- Плюси: Відповідність локальним вимогам, зменшення затримки, підвищена стабільність.
- Мінуси: Обмежений вибір провайдерів, потенційно вища вартість, менша масштабованість порівняно з глобальними провайдерами.
- Шифрування та анонімізація даних. Шифрування даних на рівні зберігання та під час їх передання перетворює конфіденційну інформацію в нечитабельний код, що робить її непридатною для сторонніх осіб навіть у разі витоку. Управління ключами шифрування є критично важливим для централізованого керування захистом даних.
- Класифікація даних. Важливо ідентифікувати та категоризувати дані за рівнем чутливості. Це дозволяє визначити, які дані потребують суворої локалізації, а які можуть бути розміщені в публічних хмарах, можливо, за межами України, з відповідними заходами захисту.
Контрактні аспекти та сертифікації: що вимагати від хмарного провайдера
При виборі хмарного провайдера критично важливо звернути увагу на його відповідність міжнародним стандартам безпеки та умови, закріплені в договорі.
- Сертифікації безпеки. Шукайте провайдерів, які мають міжнародні сертифікації, такі як ISO 27017 (безпека хмарних сервісів) 4, ISO 27018 (захист персональних даних у публічних хмарах) 5 та ISO 27701 (система управління конфіденційністю) [8]. Ці стандарти демонструють відповідність провайдера кращим міжнародним практикам у сфері захисту даних. ISO 27017 описує специфічні ризики хмарних сервісів та розподіл відповідальності між провайдером і клієнтом, а ISO 27018 фокусується на конфіденційності персональних даних.
- Контрактні положення. Договір з провайдером має чітко визначати місце зберігання та обробки даних, умови доступу до них, відповідальність за витік інформації, а також процедури видалення даних після завершення співпраці. Важливо, щоб провайдер надавав інформацію щодо захисту даних від внутрішніх та зовнішніх загроз, кібератак.
- Відмовостійкість та безперервність. Оцініть відмовостійкість інфраструктури провайдера, яка залежить від безперебійного доступу до інфраструктури та збереження даних у разі несправностей. Надійні провайдери використовують резервування компонентів та пропонують послуги резервного копіювання та післяаварійного відновлення.
Softline IT, як системний інтегратор, надає експертизу в проєктуванні та впровадженні хмарних рішень, що може бути корисним для українського бізнесу у вирішенні викликів дата-резиденції. Дізнатися більше про хмарні рішення Softline IT.
Практичний чекліст для вибору хмарних послуг з урахуванням дата-резиденції
Щоб зробити усвідомлений вибір хмарного провайдера та забезпечити відповідність вимогам дата-резиденції, скористайтеся цим чеклістом:
- Відповідність Закону України «Про хмарні послуги»: Переконайтеся, що провайдер відповідає вимогам цього закону, особливо якщо ви є державним органом або працюєте з державною інформацією. Перевірте наявність провайдера у переліку надавачів хмарних послуг 2.
- Розташування дата-центрів: Визначте, чи потрібне вам зберігання даних виключно в Україні. Якщо так, обирайте провайдерів з дата-центрами на території України.
- Юрисдикція обробки даних: Уточніть, в якій юрисдикції обробляються ваші дані та які закони застосовуються до них.
- Сертифікації безпеки: Перевірте наявність у провайдера сертифікатів ISO 27017, ISO 27018, ISO 27701, а також КСЗІ (для державного сектору) та PCI DSS (для фінансового сектору).
- Контрактні угоди: Ретельно вивчіть договір щодо пунктів про власність даних, доступ до них, процедури видалення, відповідальність за витік та умови обслуговування (SLA).
- Плани аварійного відновлення та безперервності бізнесу: Оцініть, як провайдер забезпечує відмовостійкість та можливість відновлення даних у разі інцидентів.
- Політики шифрування та управління ключами: Дізнайтеся, які методи шифрування використовуються та як управляються ключі доступу до ваших даних.
- Підтримка гібридних хмарних архітектур: Якщо ви плануєте гібридну модель, переконайтеся, що провайдер може інтегруватися з вашою локальною інфраструктурою.
- Можливість сегментації чутливих даних: Перевірте, чи дозволяє провайдер ізолювати та окремо захищати найбільш чутливі дані.
- Можливості реагування на інциденти: Уточніть, як провайдер реагує на інциденти безпеки та які процедури повідомлення клієнтів існують.
