На протяжении десяти дней аудиторы, назначенные Корейским агентством по интернету и безопасности (KISA), работали вместе с нами и проверили 80 контрольных требований. Именно столько потребовалось компании со штаб-квартирой в США, управляющей глобальной сетью и обслуживающей корейских пользователей, чтобы получить сертификацию в Южной Корее. Теперь Cloudflare получила сертификацию Системы управления информационной безопасностью (ISMS) Южной Кореи в рамках структуры ISMS-P.
Для клиентов в Корее это не просто формальное подтверждение соответствия. Это свидетельство того, что наша программа безопасности и конфиденциальности была проверена не только на наличие контрольных механизмов, но и на то, как они функционируют в контексте корейского законодательства, корейского языка и специфических ожиданий корейских регуляторов.
Что видит корейский пользователь при регистрации
Наиболее заметный результат этой работы — страница регистрации аккаунта Cloudflare. В большинстве стран мира строка над кнопкой регистрации гласит: «Продолжая, я соглашаюсь с условиями Cloudflare, политикой конфиденциальности и политикой использования файлов cookie.»
Пользователь, регистрирующийся из Южной Кореи, видит другое. Корейский вариант интерфейса активируется на основе страны, выбранной при регистрации, и IP-геолокации из Южной Кореи, и разбивает то же самое соглашение на четыре отдельно обозначенных пункта, каждый из которых помечен как обязательный или необязательный, каждый содержит ссылку на полный текст, а также предусмотрена возможность согласиться со всеми сразу:
- 모두 동의 (Согласиться со всем)
- [필수] 서비스 약관 ([Обязательно] Условия обслуживания)
- [필수] 개인정보 수집 및 이용 ([Обязательно] Сбор и использование персональных данных)
- [필수] 제한된 범위의 개인정보 해외 이전 ([Обязательно] Передача ограниченного объёма персональных данных за рубеж)
- [선택] 제한된 범위의 개인정보 제3자 제공 ([Необязательно] Передача ограниченного объёма персональных данных третьим лицам в маркетинговых целях)
Три обязательных пункта являются жёсткими условиями. Кнопка регистрации остаётся неактивной, пока все три не отмечены, поэтому пройти форму и создать аккаунт без активного действия по каждому из них невозможно. Необязательный пункт регулирует только маркетинговое разрешение, и его неотметка не влияет на создание аккаунта (она лишь означает отказ пользователя от получения маркетинговых сообщений).
Самое сложное: способы регистрации, при которых форма не отображается
Перечислить согласия в форме, которую мы контролируем, несложно. Трудность заключалась в путях регистрации, которые полностью обходят эту форму.
В глобальном масштабе создать аккаунт Cloudflare можно через Google, Apple или GitHub. В таких сценариях пользователь передаётся поставщику идентификации и возвращается с аутентифицированной учётной записью, а наша собственная форма регистрации при этом вообще не отображается — а именно в ней и находятся четыре пункта согласия. В рамках этой передачи нет шага, на котором мы могли бы показать три обязательных пункта, снабдить каждый ссылкой на его полный текст на корейском языке и потребовать явного подтверждения по каждому до создания аккаунта. Экран поставщика идентификации нам не принадлежит, и изменить его мы не можем.
У нас было два варианта: либо создать отдельный шлюз согласия после аутентификации для одной страны, либо убрать пути, обходящие уже существующий у нас шлюз. Мы выбрали второй. В Южной Корее регистрация через социальные сети не предлагается, поэтому каждый создаваемый там аккаунт проходит через форму регистрации Cloudflare, которая обеспечивает соблюдение обязательных согласий.
Сигнал страны — тот же, что доступен любому клиенту Cloudflare. Cloudflare определяет двухбуквенный код страны по IP-адресу клиента и передаёт его в запросе: как заголовок CF-IPCountry на источнике и как request.cf.country внутри Worker. Если свести всё к сути, ветвление представляет собой сравнение строк:
// Illustrative: the shape of the check, not Cloudflare's own dashboard code. export default { async fetch(request) { // Two-letter country code derived from the client IP. // Same value as the CF-IPCountry request header. // Cloudflare's network populates this on the incoming request, so there is // no geolocation database, lookup service, or extra round trip of our own. const country = request.cf?.country; if (country === "KR") { return renderSignUp({ locale: "ko-KR", consent: "itemized", // four separate items, three of them required socialLogin: false, // no path that skips the consent form }); } return renderSignUp({ locale: "en-US", consent: "combined", socialLogin: true }); }, };Однако это не объясняет, почему код страны не является единственным триггером. Мы описываем ограничения IP-геолокации: это оценка, а не точная наука, адреса меняются и переходят к другим владельцам, и её не следует использовать как единственный сигнал там, где речь идёт о критически важном соблюдении локальных требований. Корейский резидент, находящийся за границей, или пользователь за VPN либо за NAT мобильного оператора, может не иметь корейского адреса. Поэтому IP-геолокация определяет, какая форма показывается по умолчанию, но выбранная пользователем при регистрации страна имеет приоритет и далее определяет решение. IP-адрес сообщает нам, откуда пришёл запрос; только сам пользователь может сообщить нам, где он проживает. Именно разделение этих двух понятий делает согласие осмысленным, а не предполагаемым.
Это небольшая функция. Она потребовала продуктового решения на уровне страны и изменения в процессе создания учётной записи.
Что такое ISMS и почему это важно
ISMS — это детализированный, локализованный стандарт сертификации. Он охватывает политику безопасности, контроль доступа, аутентификацию и управление разрешениями, шифрование, реагирование на инциденты, управление рисками и восстановление после сбоев — и всё это оценивается с учётом того, как персональные данные фактически перемещаются по системам организации, а также в соответствии с Законом Кореи о защите персональной информации и связанными с ним регуляторными руководствами.
Для сертификации требуется независимый аудит, проводимый аудитором, назначенным KISA — государственным учреждением, подведомственным Министерству науки и ИКТ (MSIT), — с последующей проверкой специальным комитетом. Сертификат действителен три года, для его поддержания требуется ежегодный аудит.
Сертификация ISMS в первую очередь установлена статьёй 47 Закона Кореи о содействии использованию информационно-коммуникационных сетей и защите информации и т. д., а критерии и процедура сертификации изложены в его Указе о применении и в публичном уведомлении о сертификации ISMS, выпущенном MSIT.
Что проверял аудит
Cloudflare уже сертифицирован по ISO/IEC 27001, ISO/IEC 27701, ISO/IEC 27017, ISO/IEC 27018 и многим другим международно признанным стандартам. ISMS не заменяет ни один из них. Это локализация тех же принципов, дополненная корейскими регуляторными требованиями, и это меняет то, что ищут аудиторы и как они это ищут.
Работа над средствами контроля началась с анализа потоков данных. Мы подготовили детальные схемы движения информации, отражающие все маршруты, по которым сотрудники получают доступ к персональным данным, собираемым, обрабатываемым и хранимым Cloudflare. Сами потоки не имеют специфики, связанной с Кореей. Отличие заключалось в требуемом формате доказательств: аудиторы не желали опираться на текстовое описание перемещения данных — им нужны были схемы, которые можно изучить и проверить. По каждой схеме они исследовали все уровни контроля доступа и проверяли их результативность — в наших внутренних системах, на публичных сайтах, страницах мероприятий и в панели управления Cloudflare, охватывая полный жизненный цикл пользовательских данных от первого взаимодействия до уничтожения. Указанные схемы здесь не публикуются по причине конфиденциальности.
В ходе аудита также тщательно изучались формулировки и терминология при сборе согласий: точный текст при регистрации, структура каждого уведомления, а также то, представлены ли пункты отдельно и понятно. Именно такие детали призвана выявлять система ISMS.
Почему процесс занял полтора года
Отчасти ответ кроется в специфике аудиторских циклов. Аудит ISMS охватывает один годовой период, и все доказательства, документация и системы должны соответствовать этому периоду. Наша подготовка вышла за пределы одного аудиторского года и продолжилась в следующем, что потребовало повторного перевода обновлённых политик для нового аудиторского года, повторного сбора и переоценки доказательств, повторной публикации обновлённой политики конфиденциальности, а также учёта изменений в оформлении и дизайне, внесённых за это время нашими маркетинговыми и веб-командами.
Что охватывает сертификат
KISA определяет сертифицированную область как границу сервиса, а не как перечень входящих в неё продуктов. Заявление об области действия, поданное в KISA, описывает эту границу в трёх частях:
- организационный и операционный периметр: подразделения Cloudflare, команды и процессы, обеспечивающие работу сервиса;
- инфраструктурный периметр: сеть и платформа, на которых функционирует сертифицированный сервис;
- информационные активы и потоки персональных данных, попадающие в границу в рамках набора средств контроля ISMS.
Если продукт Cloudflare, потребляемый заказчиком, поставляется в рамках этой сертифицированной границы услуг — то есть работает на той же сертифицированной платформе, управляется теми же сертифицированными командами и регулируется той же СУИБ, — он покрывается сертификатом. Держателем сертификата является Cloudflare, Inc.
Это иная модель по сравнению с отчётами, с которыми обычно работают закупочные подразделения. Отчёт SOC 2 или сертификат ISO 27001 описывают систему, которую они покрывают, и перечисляют включённые услуги, поэтому покрытие подтверждается нахождением продукта в этом списке. Сертификат СУИБ такого перечня не содержит. Покрытие определяется путём поставки — независимо от того, упомянут ли продукт где-либо.
Что это означает для заказчиков
Для организаций, работающих в Корее, это даёт юридическим, security- и закупочным командам локальный ориентир подтверждения наряду с более широким портфелем соответствия Cloudflare. ISO/IEC 27001 и SOC 2 демонстрируют общий уровень безопасности. ISMS отражает корейские правовые и регуляторные ожидания. Это различие важно при оценке рисков третьих сторон и при подготовке к собственным оценкам соответствия команды.
Запись Cloudflare можно найти в публичном реестре сертифицированных организаций KISA — это независимое, проверяемое подтверждение, на которое можно ссылаться при анализе рисков. Более широкие материалы по конфиденциальности и защите данных размещены на Trust Hub Cloudflare.
Вопрос, который обычно тормозит проверку Cloudflare со стороны поставщика, — входит ли конкретный используемый продукт в область действия. Сертификат не отвечает на это по названию, поскольку не перечисляет продукты. Он отвечает по границе: продукт входит в область действия, если поставляется через сертифицированную услугу.
Для международных команд, управляющих безопасностью в разных регионах, сертификация подтверждает, что программа Cloudflare была проверена на соответствие локальным требованиям одного из важнейших цифровых рынков Азии, а не только спроектирована для глобального масштаба.
Строим лучший Интернет — для всех
ISMS — не более сложная сертификация, чем другие аудиты подтверждения, которые мы проходим. Она более нюансированная. Она построена вокруг регуляторных потребностей одного конкретного региона и требует реальных инвестиций в понимание и внедрение этих потребностей, а не их отображение на общую структуру контролей.
Прохождение через этот процесс сделало Cloudflare более глобальной, а не наоборот. Это заставило нас тщательно продумать, что означает обслуживание пользователей в конкретном локальном контексте — с местным языком, местными ожиданиями относительно согласия и местными требованиями к защите данных, — и воплотить это в поведении продукта, а не только в документе.
Это соответствует тому, к чему мы стремимся: помогать строить лучший Интернет для всех, не только в регионах с простыми регуляторными требованиями, но повсюду.
Чтобы узнать больше о программах соответствия и гарантий Cloudflare, посетите наш Центр доверия.