Cloudflare, 80 kontrolün on günlük denetiminin ardından Güney Kore'nin ISMS sertifikasını aldı

Cloudflare, blogunda duyurduğu üzere Güney Kore'nin Bilgi Güvenliği Yönetim Sistemi (ISMS) sertifikasını aldı. Cloudflare'ın aktardığına göre, Korea Internet & Security Agency (KISA) tarafından atanan denetçiler, şirketi ISMS-P çerçevesi ve Kore'nin Kişisel Bilgilerin Korunması Kanunu açısından değerlendirmek için on gün boyunca 80 kontrolü inceledi.

Denetim neleri kapsadı

Cloudflare'ın elinde zaten ISO/IEC 27001, 27701, 27017 ve 27018 sertifikaları bulunuyor ve blog, ISMS'nin bunların hiçbirinin yerine geçmediğini açıkça belirtiyor. Şirket, Kore standardını aynı temel ilkelerin, yerel mevzuat gereklilikleriyle katmanlaştırılmış bir yerelleştirmesi olarak tanımlıyor; bu da hem denetçilerin neye baktığını hem de nasıl baktıklarını değiştiriyor.

Denetimde iki şey öne çıktı. Birincisi, değerlendiriciler kişisel verilerin şirkette nasıl dolaştığına dair anlatımsal açıklamaları kabul etmedi; çalışanların kişisel bilgilere ulaşabildiği her yolu kapsayan, okuyup sorgulayabilecekleri veri akış şemaları istediler. Cloudflare, her şemanın dahili sistemler, genel web siteleri, etkinlik sayfaları ve müşteri paneli genelinde test edildiğini ve ilk etkileşimden imhaya kadar kullanıcı verisinin tüm yaşam döngüsünü kapsadığını söylüyor. Şemaların kendileri gizlilik nedeniyle yayımlanmadı.

İkincisi, denetçiler onay metninin kendisini inceledi: kayıt sırasında gösterilen tam ifade, her bildirimin yapısı ve onay maddelerinin ayrı ayrı ve açıkça sunulup sunulmadığı.

Sertifikasyon, Kore'nin Bilgi İletişim Ağı Kullanımının ve Bilginin Korunmasının Teşviki Kanunu'nun 47. maddesine dayanıyor; kriterler kanunun Uygulama Kararnamesi'nde ve Bilim ve Bilgi İletişim Teknolojileri Bakanlığı'nın (MSIT) bir tebliğinde belirlenmiş durumda. MSIT'ye bağlı olan KISA denetçiyi atıyor ve özel bir komite sonucu gözden geçiriyor. Sertifika üç yıl geçerli ve korunması için yıllık denetim gerekiyor.

Kore onay mevzuatına göre yeniden inşa edilen bir kayıt formu

En görünür değişiklik hesap kayıt sayfası. Küresel olarak kullanıcılar, şartları, gizlilik politikasını ve çerez politikasını birlikte kabul eden tek bir satıra tıklıyor. Güney Kore'deki kullanıcılar ise bunun yerine ayrı ayrı etiketlenmiş dört madde görüyor: hizmet şartlarına zorunlu onay, kişisel bilgilerin toplanması ve kullanılmasına zorunlu onay, sınırlı miktarda kişisel bilginin yurt dışına aktarılmasına zorunlu onay ve sınırlı miktarda kişisel bilginin pazarlama ortaklarıyla paylaşılmasına isteğe bağlı onay.

Üç zorunlu madde kapı işlevi görüyor: her biri olumlu şekilde işaretlenene kadar kayıt düğmesi aktifleşmiyor. İsteğe bağlı madde yalnızca pazarlama iletişimlerini etkiliyor ve reddedilmesi hesap oluşturmaya bir etkide bulunmuyor.

Kore'de sosyal giriş neden kayboldu

Cloudflare, başka yerlerdeki kullanıcıların Google, Apple veya GitHub üzerinden hesap açmasına izin veriyor. Bu akışlar kullanıcıyı harici bir kimlik sağlayıcısına aktarıyor ve Cloudflare'ın kendi formunu hiç göstermiyor; dört onay maddesinin de tam olarak bulunduğu yer ise o form ve şirket sağlayıcının ekranını değiştiremiyor. Cloudflare, tek bir ülke için kimlik doğrulama sonrası ayrı bir onay kapısı inşa etmeyi, mevcut formunu atlayan yolları kaldırmayla karşılaştırıp tarttığını söylüyor. Kaldırmayı seçti: Kore'de sosyal kayıt hiç sunulmuyor, böylece her Koreli hesap onayı zorunlu kılan formdan geçiyor.

IP coğrafi konumu tek başına yeterli değildi

Bu dal, herhangi bir Cloudflare müşterisinin erişebildiği aynı ülke sinyaline dayanıyor: istemci IP'sinden türetilen, origin tarafında CF-IPCountry header'ı olarak ve bir Worker içinde request.cf.country olarak sunulan iki harfli kod. Ancak Cloudflare, IP coğrafi konumunun sınırlarını belgeliyor. Bu bir tahmin; adresler döner ve sahip değiştirir, yurt dışında seyahat eden veya VPN arkasındaki bir Kore sakinine ağ Koreli olarak görünmeyebilir. Bu nedenle varsayılan olarak hangi formun görüneceğine IP coğrafi konumu karar verirken, kullanıcının kayıt sırasında seçtiği ülke bunu geçersiz kılıyor ve kararı oradan devralıyor.

Neden on sekiz ay sürdü

Bloga göre zaman çizelgesinin bir kısmı denetim mekaniklerinden kaynaklanıyor. Bir ISMS denetimi tek bir yıllık dönemi kapsıyor ve Cloudflare'ın hazırlığı bir denetim yılını aşıp bir sonrakine sarktı. Bu da güncellenmiş politikaları yeni denetim yılı için yeniden çevirmeyi, kanıtları yeniden toplamayı ve yeniden değerlendirmeyi ve güncellenmiş bir gizlilik politikası yayımlamayı gerektirdi.

Neden önemli

Cloudflare'ın hesabı, ISO 27001 gibi küresel sertifikaların yerelleştirilmiş rejimlere sahip pazarlara otomatik olarak aktarılmadığını gösteriyor. ISMS denetçileri belirli bir biçimde kanıt istedi, onay ifadelerini tek tek cümle düzeyinde inceledi ve şirketi uluslararası bir taban çizgisine değil Kore hukukuna göre değerlendirdi. Pratik sonuç evrak değil, ürün değişikliği: Kore'ye hizmet veren bir şirketin tüm kayıt akışlarını devre dışı bırakması ve tek bir yargı bölgesi için onay deneyimini baştan kurması gerekebilir. Kore'ye satış yapan ABD'li sağlayıcılar, özellikle ağ ölçeğinde kişisel veri işleyenler için bu, uyumluluğun maliyetinin somut bir haritası.