Cloudflare получила сертификацию ISMS в Южной Корее: как локализация комплаенса изменила регистрацию аккаунтов

Cloudflare сообщила о получении сертификации Information Security Management System (ISMS) в Южной Корее в рамках фреймворка ISMS-P. Аудиторы, назначенные Корейским агентством интернета и безопасности (KISA), в течение десяти дней работали совместно с командой компании и проверили 80 контролей. Сертификация особенно значима для компании со штаб-квартирой в США, которая управляет глобальной сетью и обслуживает корейских пользователей. Для клиентов в Корее это не просто формальная отметка о соответствии. Это подтверждение того, что программа безопасности и приватности Cloudflare проверена не только на наличие контролей, но и на то, как они работают в контексте корейского законодательства, корейского языка и специфических ожиданий корейских регуляторов.

Подробности

Самый заметный результат этой работы — страница регистрации аккаунта Cloudflare. В большинстве стран мира над кнопкой регистрации размещена одна строка: «Продолжая, я соглашаюсь с условиями, политикой конфиденциальности и политикой использования cookie Cloudflare». Пользователь, регистрирующийся из Южной Кореи, видит иной интерфейс. Корейская версия срабатывает по выбранной при регистрации стране и по IP-геолокации из Южной Кореи, и разбивает то же самое соглашение на четыре отдельно обозначенных пункта, каждый из которых помечен как обязательный или необязательный, каждый ссылается на полный текст, и при этом доступна опция согласиться со всеми сразу: - 모두 동의 (Согласиться со всеми) - [필수] 서비스 약관 — [Обязательно] Условия обслуживания - [필수] 개인정보 수집 및 이용 — [Обязательно] Сбор и использование персональных данных - [필수] 제한된 범위의 개인정보 해외 이전 — [Обязательно] Передача ограниченного объёма персональных данных за рубеж - [선택] 제한된 범위의 개인정보 제3자 제공 — [Необязательно] Передача ограниченного объёма персональных данных третьим лицам в маркетинговых целях Три обязательных пункта работают как жёсткие ограничители: кнопка регистрации остаётся неактивной, пока все три не отмечены, поэтому пройти форму и создать аккаунт без явного действия по каждому пункту невозможно. Необязательный пункт регулирует только маркетинговое разрешение, и его отсутствие не влияет на создание аккаунта — пользователь лишь отказывается от получения маркетинговых сообщений. Основная сложность заключалась не в форме, которую компания контролирует, а в путях регистрации, которые эту форму полностью обходят. Глобально аккаунт Cloudflare можно создать через Google, Apple или GitHub: такие сценарии передают пользователя провайдеру идентификации и возвращают уже аутентифицированную личность, так и не отрисовав собственную форму регистрации, где и расположены четыре пункта согласия. На экране провайдера идентификации разместить три обязательных пункта со ссылками на полный корейский текст и требованием явного действия невозможно — этот интерфейс компании не принадлежит. В итоге Cloudflare выбирала между отдельным пост-аутентификационным шлюзом согласия для одной страны и удалением путей, обходящих уже существующий шлюз. Компания выбрала второй вариант: социальный вход не предлагается в Южной Корее.

Что делать

- Клиентам и партнёрам Cloudflare, работающим с корейскими пользователями, стоит учитывать, что регистрация из Южной Кореи теперь требует поэтапного подтверждения трёх обязательных пунктов согласия. - При интеграции с Cloudflare через сторонние платформы не рассчитывайте на социальный вход для аккаунтов, создаваемых из Южной Кореи, — этот сценарий недоступен. - Если ваша компания работает на корейском рынке, изучите требования ISMS-P и оцените, какие из ваших собственных интерфейсов согласия и передачи данных за рубеж могут потребовать аналогичной локализации. - Проверьте внутренние процессы согласия на предмет явного разделения обязательных и необязательных пунктов — это ключевое ожидание корейских регуляторов. Сертификация ISMS в Южной Корее демонстрирует, что локализация комплаенса — это не только перевод документов, но и переработка пользовательских сценариев, вплоть до отказа от привычных функций ради соответствия местному законодательству.

Источник: Cloudflare Blog (Security)