Темы



Локализация соответствия требованиям в масштабах бизнеса: получение сертификата ISMS в Южной Корее22.10.2026 16:00

Коротко сгенерировано ИИ по тексту статьи
  • Cloudflare получила южнокорейский сертификат ISMS-P после аудита KISA: проверка 80 требований заняла десять дней.
  • В Южной Корее регистрация требует согласия с тремя обязательными пунктами; вход через Google, Apple и GitHub отключён.
  • Подготовка к сертификации заняла полтора года; сертификат действует три года при ежегодных аудитах.

Почему это важно: Сертификат даёт организациям в Корее местный ориентир для оценки соответствия Cloudflare требованиям и проверки рисков поставщика.

01M5G8NJVXNM9DRRQJ5VYMS2HQ.01M5G8NKJYW5D2XYREE348C9VT.png

В течение десяти дней назначенные Корейским агентством по интернету и безопасности (KISA) аудиторы работали вместе с нами, проверяя 80 контрольных требований. Именно столько времени понадобилось компании со штаб-квартирой в США, которая управляет глобальной сетью для корейских пользователей, чтобы получить сертификацию в Южной Корее. Теперь Cloudflare получила сертификат системы управления информационной безопасностью Южной Кореи (ISMS) в соответствии с системой ISMS-P.

Для клиентов в Корее это не просто формальная отметка о соответствии требованиям. Сертификат подтверждает, что программу Cloudflare в области безопасности и конфиденциальности проверили не только на наличие необходимых средств контроля, но и на то, как они работают с учётом корейского законодательства, корейского языка и особых ожиданий корейских регуляторов.

Что видит пользователь в Корее при регистрации

Для большинства регионов мира над кнопкой регистрации размещён текст:»Продолжая, я соглашаюсь с условиями Cloudflare, политикой конфиденциальности и политикой использования файлов cookie.»

Пользователь, регистрирующийся из Южной Кореи, видит другое. Корейский вариант отображается в зависимости от выбранной при регистрации страны и геолокации IP-адреса в Южной Корее. Вместо одного общего соглашения он разбит на четыре отдельных пункта с соответствующими пометками «обязательный» или «необязательный». Каждый пункт ведёт к полному тексту документа, а также есть возможность принять все условия сразу:

  • Согласиться со всем (Согласиться со всем)
  • [Обязательно] Условия предоставления услуг ([Обязательно] Условия предоставления услуг)
  • [Обязательно] Сбор и использование персональных данных ([Обязательно] Сбор и использование персональных данных)
  • [Обязательно] Передача ограниченного объёма персональных данных за рубеж ([Обязательно] Передача ограниченного объёма персональных данных за рубеж)
  • [Необязательно] Передача ограниченного объёма персональных данных третьим лицам ([Необязательно] Передача ограниченного объёма персональных данных маркетинговым партнёрам)

Три обязательных пункта — непреодолимое условие для продолжения регистрации. Кнопка регистрации остаётся неактивной, пока пользователь не отметит все три пункта, поэтому создать аккаунт, не подтвердив согласие с каждым из них, невозможно. Необязательный пункт касается только разрешения на маркетинговые коммуникации: если оставить его неотмеченным, это никак не повлияет на создание аккаунта — пользователь лишь откажется от получения маркетинговых сообщений.

Самая сложная задача: способы регистрации, при которых форма не отображается

Перечислить пункты согласия в форме, которую мы контролируем, несложно. Трудность представляли способы регистрации, при которых эта форма вообще не открывается.

Во всём мире создать аккаунт Cloudflare можно с помощью Google, Apple или GitHub. В этих сценариях пользователь перенаправляется к поставщику идентификационных услуг, а затем возвращается с подтверждённой учётной записью. Наша собственная форма регистрации при этом не отображается, а именно в ней содержатся четыре пункта согласия. В процессе перенаправления нет шага, на котором мы могли бы показать три обязательных пункта, дать ссылки на их полные тексты на корейском языке и потребовать подтвердить согласие с каждым до создания аккаунта. Мы не можем изменить экран поставщика идентификационных услуг.

Мы могли либо создать отдельный этап подтверждения согласия после аутентификации для одной страны, либо убрать способы регистрации, позволяющие обойти уже существующий этап. Мы выбрали второй вариант. В Южной Корее регистрация через социальные сети недоступна, поэтому каждый аккаунт создаётся через форму регистрации Cloudflare, которая требует подтвердить обязательные пункты согласия.

Сигнал о стране доступен любому клиенту Cloudflare. Cloudflare определяет двухбуквенный код страны по IP-адресу клиента и передаёт его в запросе — в виде CF-IPCountry заголовка на исходном сервере и как request.cf.country внутри Worker. Если свести логику к основным элементам, она представляет собой сравнение строк: 

// Illustrative: the shape of the check, not Cloudflare's own dashboard code.
export default {
  async fetch(request) {
    // Two-letter country code derived from the client IP.
    // Same value as the CF-IPCountry request header.
    // Cloudflare's network populates this on the incoming request, so there is
    // no geolocation database, lookup service, or extra round trip of our own.
    const country = request.cf?.country;

    if (country === "KR") {
      return renderSignUp({
        locale: "ko-KR",
        consent: "itemized",  // four separate items, three of them required
        socialLogin: false,   // no path that skips the consent form
      });
    }

    return renderSignUp({ locale: "en-US", consent: "combined", socialLogin: true });
  },
};

Однако этот пример не показывает, почему код страны — не единственный фактор, определяющий отображение формы. Мы описываем ограничения геолокации по IP-адресу: это приблизительная оценка, а не точная наука; адреса меняются и переходят к новым владельцам, поэтому в случаях, критически важных для выполнения требований, геолокация не должна быть единственным сигналом. Резидент Кореи, который путешествует за границей или пользуется VPN либо услугами мобильного оператора, применяющего NAT, может подключиться не с корейского адреса. Поэтому геолокация по IP определяет, какая форма отображается по умолчанию, но выбранная пользователем при регистрации страна имеет приоритет и далее определяет решение. IP-адрес показывает, откуда поступил запрос; только сам пользователь может сообщить нам, где он проживает. Разделение этих двух понятий позволяет сделать согласие осознанным, а не предполагаемым.

Это небольшое изменение. Но оно потребовало принять продуктовое решение на уровне страны и изменить процесс создания аккаунта.

Что такое ISMS и почему это важно

ISMS — это подробный стандарт сертификации, адаптированный к местным условиям. Он охватывает политику безопасности, контроль доступа, управление аутентификацией и разрешениями, шифрование, реагирование на инциденты, управление рисками и аварийное восстановление. При этом оценивается реальное перемещение персональных данных по системам организации, а также соблюдение корейского Закона о защите персональных данных и связанных с ним нормативных рекомендаций.

Для получения сертификата необходим независимый аудит, который проводит назначенный KISA аудитор. KISA — государственное учреждение при Министерстве науки и ИКТ (MSIT). Затем результаты рассматривает специальный комитет. Сертификат действует три года, при этом для его сохранения необходимо проходить ежегодный аудит.

Сертификация ISMS в первую очередь основана на статье 47 корейского Закона о содействии использованию сетей информационных и коммуникационных технологий и защите информации и других соответствующих нормативных актах. Критерии и порядок сертификации установлены в постановлении о его применении и в опубликованном MSIT уведомлении о сертификации ISMS.

Что проверяли аудиторы

Cloudflare уже сертифицирована по стандартам ISO/IEC 27001, ISO/IEC 27701, ISO/IEC 27017, ISO/IEC 27018 и многим другим международно признанным системам. ISMS не заменяет ни одну из них. Это адаптация тех же принципов к местным условиям с учётом требований корейского законодательства. Поэтому аудиторы обращают внимание на другие аспекты и проверяют их иначе.

Проверка контрольных требований началась с анализа потоков данных. Мы представили подробные схемы, показывающие все пути, по которым сотрудники могли получить доступ к персональным данным, собираемым, обрабатываемым и хранимым Cloudflare. Сами потоки данных не специфичны для Кореи. Отличались требования к форме доказательств: аудиторы не готовы были ограничиться текстовым описанием перемещения данных — им нужны были схемы, которые можно изучать и анализировать. Для каждой схемы они проверили все уровни контроля доступа и оценили их эффективность во внутренних системах, на наших общедоступных сайтах, страницах мероприятий и панели управления Cloudflare. Проверка охватывала весь жизненный цикл пользовательских данных — от первого взаимодействия до их уничтожения. Эти схемы не публикуются по соображениям конфиденциальности.

Аудиторы также тщательно изучили язык и терминологию, используемые при сборе согласий: точные формулировки при регистрации, структуру каждого уведомления и то, насколько раздельно и понятно представлены пункты. Именно такие детали и призвана выявлять система ISMS.

Почему процесс занял полтора года

Отчасти причина в том, как устроены циклы аудита. Аудит ISMS охватывает один год, и все доказательства, документация и системы должны соответствовать именно этому периоду. Подготовка у нас вышла за пределы одного года аудита и продолжилась в следующем. Поэтому пришлось заново переводить обновлённые политики для нового периода, повторно собирать и оценивать доказательства, публиковать обновлённую политику конфиденциальности, а также учитывать изменения форматирования и дизайна, которые за это время внесли команды маркетинга и веб-разработки.

Что охватывает сертификат

KISA определяет область сертификации как границы услуги, а не как перечень продуктов, входящих в её сферу действия. Заявление об области действия, представленное в KISA, описывает эти границы в трёх частях:

  • организационные и операционные границы: организации, команды и процессы Cloudflare, обеспечивающие работу услуги;
  • инфраструктурные границы: сеть и платформа, на которых работает сертифицированная услуга;
  • информационные активы и потоки персональных данных, входящие в эти границы в соответствии с набором контрольных требований ISMS.

Если продукт Cloudflare, которым пользуется клиент, предоставляется в рамках этих сертифицированных границ — то есть работает на той же сертифицированной платформе, обслуживается теми же сертифицированными командами и подпадает под действие той же системы ISMS, — он охвачен сертификатом. Сертификат выдан Cloudflare, Inc.

Это отличается от формата отчётов, с которыми обычно работают отделы закупок. В отчёте SOC 2 или сертификате ISO 27001 описывается система, на которую распространяется документ, и перечисляются включённые в него услуги. Поэтому область действия подтверждается наличием продукта в списке. В сертификате ISMS такого списка нет. Область действия определяется способом предоставления услуги — независимо от того, упомянут ли продукт где-либо в документе.

Что это значит для клиентов

Для организаций, работающих в Корее, это местный ориентир для оценки соответствия требованиям, доступный юридическим командам, специалистам по безопасности и отделам закупок наряду с более широкой программой Cloudflare в области соответствия стандартам. ISO/IEC 27001 и SOC 2 подтверждают общий уровень безопасности. ISMS отражает конкретные правовые и нормативные требования Кореи. Это различие важно при оценке рисков, связанных с третьими сторонами, и подготовке к собственным проверкам соответствия.

Запись о Cloudflare можно найти в общедоступном реестре сертифицированных организаций KISA — это независимое и поддающееся проверке подтверждение, на которое можно сослаться при оценке рисков. Дополнительные материалы о конфиденциальности и защите данных доступны в центре доверия Cloudflare.

Обычно при проверке Cloudflare поставщиками возникает вопрос, входит ли конкретный используемый продукт в область действия сертификата. В сертификате нет ответа по названию продукта, поскольку перечень продуктов в нём отсутствует. Ответ определяется границами действия: продукт охвачен сертификатом, если предоставляется в рамках сертифицированной услуги.

Для международных команд, отвечающих за безопасность в разных регионах, сертификация подтверждает, что программу Cloudflare проверили на соответствие местным требованиям одного из важнейших цифровых рынков Азии, а не просто разработали с расчётом на глобальный масштаб.

Создаём лучший Интернет для всех

ISMS — не более сложная сертификация, чем другие проверки, которые мы проходим. Она просто требует более тонкого подхода. Стандарт разработан с учётом нормативных потребностей конкретного региона и предполагает реальные усилия по изучению и внедрению этих требований, а не их формальное сопоставление с универсальной системой контроля.

Этот процесс помог Cloudflare стать более глобальной компанией. Он заставил нас серьёзно задуматься о том, что значит обслуживать пользователей с учётом конкретного местного контекста: местного языка, ожиданий в отношении согласия и требований к защите данных. И мы внедрили эти принципы в поведение продукта, а не только зафиксировали их в документе.

Это соответствует нашей цели: помогать создавать лучший Интернет для всех — не только в регионах, где нормативные требования проще, но и повсюду.

Узнать больше о программах Cloudflare в области соответствия требованиям и подтверждения надёжности можно в нашем центре доверия.

© Cloudflare Blog