Интеграция Oracle Agile PLM и Oracle E-Business Suite через PIP.

Далее видеопрезентация на русском языке, в которой наглядно показано и рассказано про технологии AIA (Application Integration Architecture) и как с помощью разработанного PIP (Process Integration Pack) осуществляется взаимодействие учетной системы с системой отвечающей за жизненный цикл изделий.

Демонстрация подготовлена Вячеславом Александровым.

Приложения Oracle и защита персональных данных

eskiz В последнее время снова участились вопросы, связанные с приложениями Oracle и защитой хранимых в них персональных данных.

К сожалению, многие эксперты по защите информации не совсем верно представляют о чем идет речь и в большинстве случаев беседы сводятся к тому, что ВАШЕ ПРИЛОЖЕНИЕ ДОЛЖНО БЫТЬ СЕРТИФИЦИРОВАНО и готовы истово доказывать, что это так. Можно до бесконечности дискутировать на эту тему и спорить до потери пульса, но давайте постараемся спокойно и трезво разобраться с данным вопросом.

Основным регулятором, занимающимся сертификацией является ФСТЭК. Весьма полезной будет следующая ссылка на «Государственный реестр сертифицированных средств защиты информации Системы сертификации средств защиты информации по требованиям безопасности информации». Предлагаю прочитать внимательно, как данная ссылка озаглавлена! Реестр СРЕДСТВ ЗАЩИТЫ ИНФОРМАЦИИ!!! Уважаемые эксперты по безопасности, когда Вы консультируете своих работодателей и заказчиков Ваших услуг, принимайте пожалуйста к сведению, что ФСТЭК сертифицирует средства защиты информации (далее СЗИ), а не бизнес-системы. Бизнес-системы выполняют бизнес задачи, а средства защиты информации должны обеспечивать безопасную работу этих бизнес-систем. Для меня, по крайней мере, это звучит логично.

Резонный вопрос, который может возникнуть после ознакомления с Реестром ФСТЭК. Как же так? Вы говорите, что сертифицируют СЗИ, а вот в реестре есть информационные системы, прошедшие сертификацию. Да, это действительно так. Есть примеры того, что целые информационные системы сертифицированы как СЗИ. С одной стороны замечательно, но есть и другая сторона. Любое обновление и модификация подобной системы автоматически приводит к ситуации, когда требуется ее пересертификация. Я с большим трудом могу представить себе бизнес-систему, в логику которой не вносятся изменения, она не дополняется аналитическими отчетами, в ней не регистрируются новые объекты и т.д. Если ничего из перечисленного не требуется, то наверное да, можно целиком сертифицировать всю систему.

Опять же по закону ФЗ-152 от оператора персональных данных нигде не требуется сертифицировать свою систему, а лишь рекомендуется использовать СЗИ и СКЗИ.

До некоторого времени операторов пугали необходимостью аттестации информационной системы, то теперь и аттестация как таковая не требуется, а возможна проверка (в соответствии с Планом проведения плановых проверок и контроля обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных, который составляется на каждый год и доступен на сайте ФСТЭК). Многие конторы, которые собирались поживиться на оказании «услуг» по аттестации приуныли, т.к. теперь их услуги не окажутся востребованы в полном объеме. Если проверка выявит несоответствие, то появится предписание с замечаниями, которые нужно устранить. В худшем случае, будет предписание и копеечный штраф. Кошмарить и мочить в сортире при этом никого не будут.

Итак. Возвращаемся к бизнес-приложениям компании Oracle. Все осталось неизменным. Oracle CIS продолжает работы по сертификации своих СЗИ. На сегодняшний день, в качестве средств защиты информации, которые могут быть использованы совместно со всеми основными бизнес-приложениями Oracle (E-Business Suite, Siebel CRM, JD Edwards, People Soft, Fusion Applications и т.д) и обеспечить выполнение закона ФЗ-152, сертифицированы ФСТЭК:

1) Oracle Database 11G — сертификат N1849, выдан до 25.05.2012 — обеспечение защиты ПДн до 2 класса включительно;

2) Oracle Identity Access Management Suite 11G — сертификат N2238, выдан до 23.12.2013 — обеспечение защиты ПДн до 1 класса включительно.

Oracle CIS также сертифицировал Oracle IRM и Oracle SSO, которые можно дополнительно использовать для защиты персональных данных.

Хотелось бы подчеркнуть тот факт, что архитектура большинства бизнес-приложений Oracle позволяет осуществлять встраивание сторонних средств защиты и криптозащиты информации, в том числе и Российских производителей. Примеры подобных реализаций уже имеются, как в государственном секторе, так и в коммерческом.

В очередной раз хотелось бы напомнить, что выполнение требований закона ФЗ-152 связано не только с техническими мерами в отношении информационных систем, но и требует выполнения некоторых организационных формальностей. Как минимум с сотрудниками организации следует заключить соглашение по обработке персональных данных, которое необходимо оформить либо в виде дополнения к трудовому договору, либо в качестве заявления/согласия на подобную обработку. Формулировка может быть любая. Проще всего вставить фразу,

«даю свое согласие на обработку моих персональных данных в необходимом объеме и в соответствии с федеральным законом 152-ФЗ«.

Либо подробно описывая, какие возможные действия будут производиться с персональными данными. Как например во фрагменте следующего заявления.

pdn1

Демо. Интеграция Oracle Agile PLM c OEBS

Демонстрация интеграции Oracle Agile PLM c Oracle E-Business Suite с использованием технологий AIA и PIP-а. Демо проводилось для одного из Заказчиков. Язык демонстрации русский.

Защита персональных данных в приложениях Oracle

ora_secВопрос о защите персональных данных сейчас актуален и задается регулярно. Относительно бизнес-приложений, хотелось бы дать некоторые комментарии и разъяснения.

Корпорация Oracle предлагает на рынке великое множество приложений в которых могут обрабатываться конфиденциальные данные, в том числе и набившие оскомину в последние два года, ПДн (персональные данные).

Так или иначе задается один и тот-же вопрос. Сертифицировано то или иное приложение или нет. Для России ответ на сегодняшний день — НЕТ. При этом необходимо дать некоторые комментарии относительно сказанного НЕТ. Если обратиться к нашему законодательству в данной области, можно почерпнуть для себя, что для защиты персональных данных следует использовать СЗИ (средства защиты информации), а для данных определенных классов — СКЗИ (средства криптозащиты информации). Исходя из данных требований, Oracle в РФ приняло решение сертифицировать некоторые из своих продуктов как средства защиты информации. С учетом, что большинство бизнес-приложений Oracle использует в качестве хранилища данных СУБД Oracle, последняя и была сертифицирована в ФСТЭК как средство защиты информации, обеспечивающее защиту персональных данных до 2-ого класса включительно (Сертификат соответствия №1849 от 25.05.2009 — действителен до 25.05.2012). Таким образом, используя СУБД Oracle 11G в работе своих бизнес-приложений, можно выполнить все требования по защите персональных данных в информационных системах до 2-ого класса включительно.

Резонный вопрос, а что делать с 1-ым классом персональных данных? До последнего времени рекомендовалось использовать сторонние средства защиты информации, прошедшие соответствующую сертификацию. Некоторые из таких средств уже хорошо зарекомендовали себя при работе (например с E-Business Suite) и успешно эксплуатируются. Основное — архитектура большинства бизнес-приложений Oracle позволяет осуществлять встраивание сторонних СЗИ и СКЗИ, тем самым предоставляя свободу выбора владельцам информационных систем в вопросе, чем и как защищать свою информацию.

Возвращаясь к защите ПДн 1-ой категории, хочу привести ссылку на статью, размещенную в блоге экспертов по безопасности Oracle о сертификации Oracle Identity & Access Management Suite 11g. Данный программный продукт теперь может быть использован как средство защиты от НСД в автоматизированных системах класса 1Г и ПДн до 1 класса!!!

Подводя некоторый итог. На сегодняшний день обеспечить защиту персональных данных любых классов в бизнес-приложениях Oracle, можно как средствами защиты информации корпорации Oracle (СУБД Oracle для защиты ПДн до 2-ого класса и/или Oracle Identity & Access Management Suite для 1-ого класса), так и применяя СЗИ и СКЗИ сторонних производителей.


2238_IAMS_11g

E-Business Suite и Sun JRE 1.6.0_22

oebs_logo

Если кто-то не читает Стивена Чана (которого категорически рекомендую всем тем, кто занимается технологиями EBS), привожу ссылку на нелицеприятный материал о работе последнего java-плагина Sun JRE 1.6.0_22 (он же JRE 6u22, он же 1.6.0_22-b04) с OEBS.

ССЫЛКА