ГОСТ Р 70289—2022
Как показано в ГОСТ Р ИСО/МЭК 19941—2021 (пункт 5.2.2.6, таблица 2), пример синтаксической
переносимости данных может поддерживаться популярными форматами, такими как XML или JSON,
доступ к которым осуществляется посредством обмена файлами или через API. Однако для поддержки
семантической переносимости требуется общее понимание определений, схем и структур, описанных в
дополнительной документации и материалах для разработчиков. Переносимость данных между двумя
разными системами всегда требует специальной обработки для сопоставления семантических разли
чий и максимально возможного сохранения «метаданных». Особенно это важно для передачи произво
дных данных, форма и содержание которых зависят от услуги.
В результате поддержка и представление переносимости данных политик для данных контента
клиентов идля производных данных могут быть разными, отсюда и потребность в ориентированном на
таксономию представлении таких политик или практик, определенных в этом разделе.
На рисунке 6 показан пример представления политики переносимости данных на основе катего
рий данных и квалификаторов обезличивания данных.
8.5 Использование данных
Что касается использования данных, структура, приведенная в разделе 6, определяет ряд
вариантов обработки данных в зависимости от целей. На рисунке 7 показано, как эту структуру можно
использовать для определения политик, связанных с конкретным использованием данных. Кроме того,
области использования данных (см. 6.2.4) можно применять для дальнейшего уточнения определения
соответствующих политик.
8.6 Управление данными
8.6.1 Безопасность данных
8.6.1.1 Общие положения
Для того чтобы учесть стратегическую важность данных, можно внедрить эффективную систе
му менеджмента информационной безопасности (СМИБ), как это описано в ГОСТ Р ИСО/МЭК 27001.
СМИБ должна быть расширена таким образом, чтобы включить сторонние потоки данных и управление
данными в сервисах облачных вычислений (см. ГОСТ Р ИСО/МЭК 27017). Данные стандарты
содержат руководства по обеспечению информационной безопасности, но в некоторых случаях таких
мер будет недостаточно, и руководящий орган должен будет полагаться на доверие и проверку.
Безопасность данных обычно определяют с точки зрения трех основных целей обеспечения без
опасности, а именно конфиденциальности, целостности и доступности.
8.6.1.2 Цели обеспечения безопасности данных
Конфиденциальность определяется как недоступность для неавторизованных лиц, объектов
или процессов (см. ГОСТ Р ИСО/МЭК 27000). Политика, обеспечивающая конфиденциальность, обыч
но определяет, кто (то есть какие объекты, такие как люди или системы) имеет доступ к данным и что
ему разрешено с ними делать. Это часто обеспечивается с помощью технологий управления правами
на доступ к данным (IRM) или управления цифровыми правами (DRM), сохраняя данные в зашифро
ванном виде, так что их можно использовать только при соблюдении всех требований политики. Если
данные разрешено перемещать за пределы организации, то необходимо будет иметь гарантию, что
на всем пути перемещения данным будет обеспечена соответствующая (или лучшая) защита.
Политика, связанная с конфиденциальностью, относительно редко непосредственно влияет на
географические ограничения данных1). Адресат гораздо важнее места назначения. Обычно для предот
вращения проблем, связанных с утечкой данных или несанкционированным раскрытием, используются
меры обеспечения безопасности, такие как обязательное использование надежного шифрования при
хранении и передаче, при пересечении границ организации или особенно международных границ.
Пример
—
Документ, хранящийся в облаке, классифицируется и помечается как «Секрет компа
нии», поскольку он содержит важную информацию о предстоящей позиции на переговорах. Применение
географических ограничений нецелесообразно, посколькуэто затруднит или сделает невозможным до
ступ к информации для переговорной группы во время их поездки на встречу. Однако компания исполь
зует IRM, чтобы гарантировать, что эта «конфиденциальная информация компании» будет доступна
только уполномоченному лицу на защищенном устройстве с двухфакторной аутентификацией.
1) За исключением случаев лицензирования авторских прав с географическими ограничениями, когда
сторонний контент, например медиаконтент или специализированные публикации, защищен географически
ограниченной лицензией.
19