Commvault

Для того чтобы понять, подпадает ли формально российская компания под действие нового закона, надо ответить на три вопроса:

• Имеет ли компания юридические лица на территории ЕС?
• Реализует ли компания товары или услуги на территории ЕС (например, доставка в страны ЕС из интернет-магазина)?
• Принимает ли компания оплату в евро?

Существуют также косвенные факторы, которые свидетельствуют о работе с персональными данными граждан ЕС, – например, версия корпоративного сайта на одном из европейских языков (немецком, французском и пр.).

При утвердительном ответе хотя бы на один из вопросов компания подпадает под действие GDPR.

Несоблюдение требований нового регламента может повлечь штраф в размере до 20 млн евро или до 4% от годового оборота компании. Сразу хотелось бы раскрыть основной посыл этого текста: так или иначе любой бизнес в ближайшее время будет вынужден перейти на новые принципы работы с персональными данными.

Почему? GDPR – это совокупность российских законов: 152-ФЗ (закон о персональных данных), 13-ФЗ от 07.02.17 (штрафы за нарушения закона), 16-ФЗ от 22.02.17 (надзор), 242-ФЗ (хранение данных на территории РФ). С одной стороны, под эти законы подпадает весь российский бизнес (хотя не все об этом задумываются), с другой – если компания уже обеспечила выполнение перечисленных выше законов, то усилия по соблюдению GDPR (GDPR Compliance) будут сводиться к минимальной переработке внутренних регламентов и к юридическому консалтингу. Модернизации ИТ-инфраструктуры и внедрения новых технологий не потребуется.

Другой вопрос, что многие российские компании игнорируют эти законы из-за относительно небольших штрафов. Но вступление в силу GDPR и обсуждение подобных инициатив в Бразилии, США, России и других странах говорят о том, что отношение к персональным данным поменялось кардинально, и ужесточение законодательной базы в этом направлении – дело времени. В России даже не надо ничего законодательно менять, достаточно обеспечить исполнение.

Разложим GDPR на конкретные задачи

На основе нашего европейского и российского опыта работы по GDPR Compliance я предлагаю соотнести 9 основных принципов GDPR с конкретными задачами по их реализации. Одновременно я буду делать отсылки к российским законам. Логика очень проста: можно распределить принципы GDPR по задачам, которые их «закрывают», то есть приводят работу компании в соответствие с требованиями GDPR. Это инфраструктурные задачи, требующие инвестиций в технологии, регламентные или процедурные задачи, а также задачи, которые, по моему опыту, сейчас нерешаемы, но требуют формальных процедур.

Инфраструктурные задачи

Посредством модернизации ИТ-инфраструктуры решается прежде всего первый принцип GDPR «Right to be forgotten» (соответствует российскому закону о «праве на забвение»). Решения класса Data Management корректно справляются с этой проблемой. Удаление данных из продуктивных систем (систем работы с клиентами, поисковых систем и пр.) – это осуществимая процедура, которая может быть выполнена оператором системы вручную. Но представим, что возникла нештатная ситуация и вам пришлось восстанавливать данные, например, годовой давности. В ваших восстановленных данных вполне могут оказаться данные, которые из продуктивных систем уже удалены. И в восстановленные компоненты системы вполне могут попасть персональные данные, которые придется заново «вылавливать». То есть ложится дополнительная, регламентная нагрузка на ИТ-департамент: помимо восстановления данных, каждый раз осуществлять повторный мониторинг и поиск персональных данных. Это неэффективная и трудозатратная работа. Специализированные решения Commvault или другого вендора избавляют от этих сложностей и позволяют мониторить данные не только в продуктивных системах, но и в архивах, бизнес-средах, аналитике, тестовых средах. «Right to be forgotten» – это классический пример принципа GDPR, который сводится к решению конкретной инфраструктурной задачи, выполняемому под ключ определенными игроками.

Компания IDC в отчете «Five Essential Steps for GDPR Compliance» прогнозирует рост спроса на единые платформенные решения по управлению данными, гарантирующие выполнение пункта «Right to be forgotten». Аналитики также рекомендуют использовать единое платформенное решение по управлению данными.

Повторюсь: этот пункт GDPR соответствует российскому закону. И, следовательно, выполнять его придется вне зависимости от того, подпадает ли российская компания формально под действие GDPR.

Второй пункт, требующий инвестиций в инфраструктуру, – «72-hour data breach notification». Он обязывает в течение 72 часов оповещать об утечке данных и о том, какие непосредственно данные утеряны, – статьи GDPR 33 и 34. Эта задача также решается при помощи конкретных продуктов класса DLP.

Процедурные задачи

Многие российские компании приняли решение ограничиться организационными изменениями и не тратить деньги на дополнительные технологии. Для некоторых принципов GDPR это вполне работает – например, «Data minimization principle» (принцип минимизации данных) относится прежде всего к внутренним процедурам. Создание дополнительных копий, архивов, правил хранения – это внутренние процедуры, не связанные напрямую с апгрейдом инфраструктуры. Практический совет: тут нет никаких ограничений, можно использовать и прописать любые доступные компании инструменты, которые способствуют минимизации данных.

В соответствии с принципом «Data protection by design and by default» (защита данных по умолчанию и изначально, статья 25), компаниям придется изначально планировать защиту данных при реализации товаров, работ и услуг, минимизируя объем используемых данных и сроки их обработки. Это также достигается внутренними политиками и регламентами.

При обработке данных пользователей компании обязаны обеспечить защиту их персональных данных от несанкционированной или незаконной обработки и потери – в соответствие с принципом «Security and ensuring, confidentiality, integrity, availability and resilience» (целостность и конфиденциальность). Этот принцип находится на стыке процедурных и инфраструктурных задач и может быть реализован как регламентно, так и технологически. Следовательно, исполнять его необходимо либо закладывая при модернизации инфраструктуры и интеграции решений Data Management, либо прописывая регламенты по аналогии с принципом минимизации данных.

Принцип «Defining use cases and managing consent» (ограничение целей использования персональных данных, статья 6) говорит о том, что данные должны собираться и использоваться исключительно в тех целях, которые заявлены компанией. Мы все столкнулись с этим принципом, когда массово начали получать почтовые рассылки с новыми правилами от европейских и американских компаний и, например, «Аэрофлота». Этот важный принцип также процедурный, но мы советуем незамедлительно прописать его и уведомить пользователей, причем не стоит брать типовые информативы, лучше учесть все исходя из того, что и как реально используется. Он имеет особую важность для компаний, поскольку для регулятора легче всего отследить его исполнение.

Принцип «Data transfers» (передача данных, статьи 44-50) нацелен прежде всего на ИТ-гигантов из США. Большинство американских компаний используют персональные данные граждан ЕС. Теперь они будут обязаны соответствовать и европейскому закону тоже.

Требование «Data portability» (возможность экспорта данных в открытом формате) не устанавливает четкого формата выгрузки персональных данных. Его выполнение будет зависеть от специфики компании. Например, для облачного провайдера, чьи клиенты теперь могут запрашивать перенос данных в другие системы, такие запросы могут стать массовыми и потребовать технологического решения и инфраструктурных инвестиций, для большинства же компаний отдельные (редкие) запросы будут исполняться в ручном режиме. Особенно это актуально для медицинских организаций, которые должны предоставлять, например, выгрузку всех анализов пациента за несколько лет. Одним из наших первых клиентов по GDPR Compliance в Европе стал английский госпиталь Chesterfield Royal Hospital.

Надо отметить, что, после того как мы создали любую процедуру, встает вопрос, к каким данным она будет применяться. Написать процедуру несложно, вопрос в реализации. Должна присутствовать базовая индексация данных. Закон требует гранулярного контроля за каждым субъектом персональных данных, а данные распределены по множествам информационных систем. Поэтому спрос на средства контроля данных уже увеличился и будет расти дальше.

Нереализуемые задачи

Принцип «State-of-the-art» (статьи 25 и 32), на мой взгляд, относится к нереализуемым, утопическим. Предполагается, что текущее решение по управлению данными должно предвосхищать будущие угрозы. Но системы эволюционируют, все вызовы предусмотреть невозможно. Вывод: закон требует невозможного. Могу прокомментировать этот принцип цитатой Джеффа Безоса, главы и основателя Amazon: «Мне часто задают вопрос: что изменится через 10 лет? Но у меня никогда не спрашивают, что не изменится на протяжении 10 лет, хотя второй вопрос, на мой взгляд, гораздо важнее, потому что бизнес можно построить только на том, что останется неизменным в обозримом будущем». Инвестируя в предсказуемые технологии, мы уверены, что эти инвестиции обязательно сработают, а принцип «State-of-the-art» требует от компаний инвестиций в решения, призванные противостоять угрозам, которые еще не случились. Кто, например, всерьез опасался вирусов-шифровальщиков в 2016 году? Поэтому я могу посоветовать только соблюдать вышеизложенные требования, которые все вместе работают и на обеспечение этого принципа.

Не всё так страшно

GDPR не заставляет компании внедрять принципиально новые процедуры. Все понятия, ключевые требования, принципы обработки данных уже существуют, и их учитывают многие компании, ориентированные на внешний рынок. Российским компаниям стоит сначала озаботиться обеспечением соблюдения требований российского законодательства в области обработки и хранения персональных данных (152-ФЗ и 242-ФЗ). Необходимо разделить задачи и понять, какие нормы можно «закрыть» модернизацией инфраструктуры, а какие – новыми политиками. IDC в отчете «Five Essential Steps for GDPR Compliance» рекомендует внедрить единое решение Data Management и заняться идентификацией и индексированием вторичных данных. Кроме того, российским компаниям, работающим на европейском рынке, будет необходим юридический GDPR-консалтинг, который предлагают как некоторые вендоры, выполняющие проекты GDPR Compliance, так и юридические и аудиторские фирмы.

Автор – Андрей Вышлов, глава регионального представительства Commvault в России и СНГ.

Несмотря на непростые условия, компании продолжают инвестировать в обеспечение непрерывности своего бизнеса. Эта категория проектов составляет основную часть новостей, приходящих с ИТ-рынка.

Технологии настолько плотно вросли в нашу жизнь, став неотъемлемой частью даже самых рутинных процессов, что их надежность фактически определяет надежность самих бизнес-процессов. Если даже выход из строя Skype способен сильно сказаться на работе в буквальном смысле всей России, то что уж говорить о более серьезных элементах инфраструктуры компаний. Именно поэтому компании все-таки продолжают выделять бюджеты на повышение надежности ИТ-сервисов.

Дмитрий Медведев, вице-президент по технологиям «Финпромбанка»: «Когда речь идет о надежности, подход не зависит от размера бизнеса и количества используемых ИТ-систем, дело в зрелости подходов и в качественном обращении с информацией»

«Когда речь идет о надежности, подход не зависит от размера бизнеса и количества используемых ИТ-систем, дело в зрелости подходов и в качественном обращении с информацией, – уверен Дмитрий Медведев, вице-президент по технологиям “Финпромбанка”. – Сейчас это дорогого стоит: информация – “наше всё”, надежность вышла на первое место и является гарантом репутации».

Банк «ФПБ» входит в сотню наиболее надежных банков России, и это накладывает очень серьезные требования на ИТ-ландшафт. Банк относительно невелик, но вынужден использовать решения ничуть не хуже, чем у грандов.

С точки зрения архитектуры приложений ИТ-ландшафт банка представляет собой достаточно простое решение: присутствует небольшое количество бизнес-критичных систем – АБС, интернет-банк, почтовый сервис, интеграционная шина. За время работы банка задачи по развитию и поддержке ИТ-инфраструктуры возникали многократно и решались оптимальным на тот момент образом. В результате этого естественного роста сложилось так, что различные бизнес-системы поддерживались несколькими разрозненными решениями для резервного копирования. Это осложняло поддержку и развитие систем, попутно снижалась надежность ИТ-инфраструктуры в целом.

«Решение по резервному копированию было во всех смыслах устаревшим и не отвечало требованиям по совместимости с новым ПО, функционалу и масштабируемости; многие задания проходили с ошибками, – отмечает Медведев. – Кроме того, не было охвата системой всей инфраструктуры, во многом именно из-за проблем совместимости».

Банку требовалось обеспечить повышенную надежность хранения информации во всех информационных системах, независимо от конкретного филиала. Логичным решением в данном случае видится создание новой системы резервного копирования – единой для всех систем.

Централизация резервирования

Главная задача заключалась в охвате всей инфраструктуры системой резервного копирования, которая смогла бы обеспечить надежность хранения и восстановления данных, близкую к 100%. Для соответствия требованиям продукт должен был иметь ряд специфических возможностей – универсальность для физической и виртуальной инфраструктуры, поддержку всех баз данных и восстановление на любой из серверов, а также использование технологии глобальной дедупликации.

В качестве кандидатов тестировались решения различных производителей, в чем активно помогала компания IBS. В итоге был выбран продукт Commvault Simpana, полностью удовлетворяющий требованиям как ИТ, так и бизнеса. Для ИТ были важны удобный интерфейс, полный ежедневный контроль процессов (например, в виде утренних отчетов на почту), а также наличие крупных проектов в России, подтверждающее надежность системы. Бизнес же привлекали относительно невысокая стоимость владения (по сравнению с аналогичными продуктами) и малое время простоев в случае потерь данных.

За счет централизации функции резервного копирования более чем вдвое повысилась эффективность использования дискового пространства

«Выбирая решение, мы в числе прочего ориентировались и на квадрант Gartner по системам резервного копирования, в котором решение Commvault уже несколько лет занимает лидирующую позицию. На практике это означает, что продукт не только обладает широким функционалом, но и действительно работает», – отмечает Медведев. Тем не менее, чтобы окончательно убедиться в правильности решения, был выполнен пилотный проект, давший возможность протестировать систему в реальных условиях. На этапе интеграции решения с существующей инфраструктурой, как обычно, возникали сложности – на некоторых серверах приходилось разбираться с возникающими при прохождении заданий ошибками, но благодаря оперативной помощи со стороны производителя их быстро удалось устранить.

Как выяснилось, выбранное решение обладает рядом эксклюзивных функций. Например, система архивирования в нем уже встроена, что сэкономило деньги как на покупке лицензий, так и на внедрении – у других вендоров пришлось бы приобретать две системы. Встроенная дедупликация позволила использовать для хранения резервных копий дешевые дисковые полки без привязки к производителям.

Результаты оказались весьма заметными: после настройки системы и ее оптимизации удалось впятеро сократить время резервного копирования. За счет централизации функции резервного копирования более чем вдвое повысилась эффективность использования дискового пространства.

Помимо самого внедрения системы, был создан полный комплект документации, по которому новые системные администраторы без труда могут разобраться в продукте и начать его обслуживание.

Аргументы для бизнеса

В результате создания единой системы резервного копирования для всех ИТ-систем бизнес получил гарантированное время восстановления «боевых» сред. Оно сократилось до получаса, причем большую часть времени занимает развертывание системного ПО.

«Раньше у нас были сложные переговоры с бизнесом относительно SLA. Мы не могли представить целостной картины и дать четкие параметры своей работы, приходилось обсуждать с разными владельцами бизнес-процессов части соглашений, чтобы свести их в единые требования», – говорит Медведев. Теперь же обсуждения вышли на совсем другой уровень. ИТ-департамент имеет четкую, прозрачную картину по каждому процессу и может внятно обсуждать вопросы непрерывности по всем параметрам. А главное – сам четко понимает, насколько предложенный SLA выполним и насколько заключенные соглашения выполняются на деле.

Помимо реанимации бизнес-приложений после катастроф, у системы резервного копирования и восстановления есть и еще одно назначение. Когда внутри организации ведется активная разработка, необходимо уметь очень быстро развертывать то или иное приложение для проведения тестирования. Если на это требуется довольно длительное время, то задерживается процесс тестирования, а значит – и запуск проекта в эксплуатацию.

«Любые новации – это деньги. И любой бизнес-руководитель оперирует в первую очередь понятиями эффективности, перспективы и оптимизации стоимости владения», – резюмирует Медведев. Когда к руководству приходят с абстрактной мыслью «сделать мир лучше», обычно это выливается лишь в занимательную дискуссию, если только пришедший не обладает исключительной харизмой и умением зажигать сердца. Однако при грамотной подготовке данных о затратах на обслуживание нынешних решений, стоимости потерь времени и данных при сбоях, статистике сбоев и времени устранения разговор примет другой оборот. Если же подкрепить аргументы информацией о необходимых инвестициях, стоимости владения новой системой и прогнозом сокращения числа инцидентов, бизнес будет вынужден прислушаться. Факты – упрямая вещь, они способны убедить в правильности предлагаемого решения.