Un diwrnod cawsom gais am wasanaethau cwmwl. Amlinellwyd yn gyffredinol yr hyn y byddai ei angen gennym ac anfonwyd rhestr o gwestiynau yn ôl i egluro'r manylion. Yna fe wnaethom ddadansoddi'r atebion a sylweddoli: mae'r cwsmer eisiau gosod data personol yr ail lefel o ddiogelwch yn y cwmwl. Rydyn ni'n ei ateb: “Mae gennych chi ail lefel o ddata personol, mae'n ddrwg gennyf, dim ond cwmwl preifat y gallwn ei greu.” Ac fe: “Rydych chi'n gwybod, ond yng nghwmni X gallant bostio popeth ataf yn gyhoeddus.”
Llun gan Steve Crisp, Reuters
Pethau rhyfedd! Aethon ni i wefan cwmni X, astudio eu dogfennau ardystio, ysgwyd ein pennau a sylweddoli: mae yna lawer o gwestiynau agored wrth leoli data personol a dylid mynd i'r afael â nhw'n drylwyr. Dyna beth fyddwn ni'n ei wneud yn y post hwn.
Sut y dylai popeth weithio
Yn gyntaf, gadewch i ni ddarganfod pa feini prawf a ddefnyddir i ddosbarthu data personol fel lefel neu lefel arall o ddiogelwch. Mae hyn yn dibynnu ar y categori o ddata, nifer y pynciau o'r data hwn y mae'r gweithredwr yn ei storio a'i brosesu, yn ogystal â'r math o fygythiadau cyfredol.
Diffinnir y mathau o fygythiadau presennol yn dyddiedig Tachwedd 1, 2012 “Ar ôl cymeradwyo gofynion ar gyfer diogelu data personol wrth eu prosesu mewn systemau gwybodaeth data personol”:
“Mae bygythiadau math 1 yn berthnasol i system wybodaeth os yw’n cynnwys bygythiadau presennol yn ymwneud â gyda phresenoldeb galluoedd heb eu dogfennu (heb eu datgan). mewn meddalwedd systema ddefnyddir yn y system wybodaeth.
Mae bygythiadau o'r 2il fath yn berthnasol i system wybodaeth os amdani, gan gynnwys bygythiadau presennol yn ymwneud â gyda phresenoldeb galluoedd heb eu dogfennu (heb eu datgan). mewn meddalwedd cymhwysiada ddefnyddir yn y system wybodaeth.
Mae bygythiadau o'r 3ydd math yn berthnasol i system wybodaeth os amdani bygythiadau nad ydynt yn gysylltiedig gyda phresenoldeb galluoedd heb eu dogfennu (heb eu datgan). mewn meddalwedd system a rhaglennicael ei ddefnyddio yn y system wybodaeth."
Y prif beth yn y diffiniadau hyn yw presenoldeb galluoedd heb eu dogfennu (heb eu datgan). Er mwyn cadarnhau absenoldeb galluoedd meddalwedd heb eu dogfennu (yn achos y cwmwl, hypervisor yw hwn), cynhelir ardystiad gan FSTEC o Rwsia. Os yw'r gweithredwr PD yn derbyn nad oes unrhyw alluoedd o'r fath yn y meddalwedd, yna mae'r bygythiadau cyfatebol yn amherthnasol. Anaml iawn y caiff bygythiadau o fathau 1 a 2 eu hystyried yn berthnasol gan weithredwyr PD.
Yn ogystal â phennu lefel diogelwch PD, rhaid i'r gweithredwr hefyd bennu bygythiadau cyfredol penodol i'r cwmwl cyhoeddus ac, yn seiliedig ar y lefel a nodwyd o ddiogelwch PD a bygythiadau cyfredol, pennu'r mesurau a'r dulliau amddiffyn angenrheidiol yn eu herbyn.
Mae FSTEC yn rhestru'n glir yr holl brif fygythiadau yn (cronfa ddata bygythiad). Mae darparwyr ac aseswyr seilwaith cwmwl yn defnyddio'r gronfa ddata hon yn eu gwaith. Dyma enghreifftiau o fygythiadau:
: “Y bygythiad yw’r posibilrwydd o dorri diogelwch data defnyddwyr rhaglenni sy’n gweithredu y tu mewn i beiriant rhithwir gan feddalwedd maleisus sy’n gweithredu y tu allan i’r peiriant rhithwir.” Mae'r bygythiad hwn oherwydd presenoldeb gwendidau yn y meddalwedd hypervisor, sy'n sicrhau bod y gofod cyfeiriad a ddefnyddir i storio data defnyddwyr ar gyfer rhaglenni sy'n gweithredu y tu mewn i'r peiriant rhithwir wedi'i ynysu rhag mynediad anawdurdodedig gan feddalwedd maleisus sy'n gweithredu y tu allan i'r peiriant rhithwir.
Mae gweithredu'r bygythiad hwn yn bosibl ar yr amod bod y cod rhaglen maleisus yn goresgyn ffiniau'r peiriant rhithwir yn llwyddiannus, nid yn unig trwy fanteisio ar wendidau'r hypervisor, ond hefyd trwy gyflawni effaith o'r fath o lefelau is (o'i gymharu â'r hypervisor) o gweithrediad system."
: “Mae'r bygythiad yn gorwedd yn y posibilrwydd o fynediad heb awdurdod i wybodaeth warchodedig un defnyddiwr gwasanaeth cwmwl gan un arall. Mae'r bygythiad hwn oherwydd y ffaith, oherwydd natur technolegau cwmwl, bod yn rhaid i ddefnyddwyr gwasanaethau cwmwl rannu'r un seilwaith cwmwl. Gellir gwireddu’r bygythiad hwn os gwneir gwallau wrth wahanu elfennau seilwaith cwmwl rhwng defnyddwyr gwasanaethau cwmwl, yn ogystal ag wrth ynysu eu hadnoddau a gwahanu data oddi wrth ei gilydd.”
Dim ond gyda chymorth hypervisor y gallwch chi amddiffyn rhag y bygythiadau hyn, gan mai dyma'r un sy'n rheoli adnoddau rhithwir. Felly, rhaid ystyried y hypervisor fel ffordd o amddiffyn.
Ac yn unol â dyddiedig Chwefror 18, 2013, rhaid i'r hypervisor gael ei ardystio fel un nad yw'n NDV ar lefel 4, fel arall bydd defnyddio data personol lefel 1 a 2 gydag ef yn anghyfreithlon (“Cymal 12. ... Er mwyn sicrhau lefelau 1 a 2 o ddiogelwch data personol, yn ogystal â sicrhau lefel 3 o ddiogelwch data personol mewn systemau gwybodaeth y mae bygythiadau math 2 yn cael eu dosbarthu fel rhai cyfredol, mae offer diogelwch gwybodaeth yn cael eu defnyddio, y mae eu meddalwedd wedi'i ddefnyddio. profi o leiaf yn ôl 4 lefel o reolaeth dros absenoldeb galluoedd heb eu datgan").
Dim ond un hypervisor, a ddatblygwyd yn Rwsia, sydd â'r lefel ofynnol o ardystiad, NDV-4. . I'w roi yn ysgafn, nid yr ateb mwyaf poblogaidd. Mae cymylau masnachol fel arfer yn cael eu hadeiladu ar sail VMware vSphere, KVM, Microsoft Hyper-V. Nid oes yr un o'r cynhyrchion hyn wedi'u hardystio gan NDV-4. Pam? Mae'n debygol nad oes cyfiawnhad economaidd eto i gael ardystiad o'r fath ar gyfer gweithgynhyrchwyr.
A’r cyfan sydd ar ôl i ni ar gyfer data personol lefel 1 a 2 yn y cwmwl cyhoeddus yw Horizon BC. Drist ond yn wir.
Sut mae popeth (yn ein barn ni) yn gweithio mewn gwirionedd
Ar yr olwg gyntaf, mae popeth yn eithaf llym: rhaid dileu'r bygythiadau hyn trwy ffurfweddu'n gywir fecanweithiau amddiffyn safonol hypervisor a ardystiwyd yn unol â NDV-4. Ond mae un bwlch. Yn unol â Gorchymyn FSTEC Rhif 21 (cymal 2 Mae diogelwch data personol pan gaiff ei brosesu yn y system gwybodaeth data personol (y cyfeirir ati o hyn ymlaen fel y system wybodaeth) yn cael ei sicrhau gan y gweithredwr neu'r person sy'n prosesu data personol ar ran y gweithredwr yn unol â Ffederasiwn Rwseg"), mae darparwyr yn asesu perthnasedd bygythiadau posibl yn annibynnol ac yn dewis mesurau amddiffyn yn unol â hynny. Felly, os na fyddwch yn derbyn y bygythiadau UBI.44 ac UBI.101 fel rhai cyfredol, yna ni fydd angen defnyddio hypervisor wedi'i ardystio yn ôl NDV-4, sef yr union beth ddylai ddarparu amddiffyniad yn eu herbyn. A bydd hyn yn ddigon i gael tystysgrif cydymffurfiaeth y cwmwl cyhoeddus â lefelau 1 a 2 o ddiogelwch data personol, y bydd Roskomnadzor yn gwbl fodlon â hi.
Wrth gwrs, yn ogystal â Roskomnadzor, gall FSTEC ddod ag arolygiad - ac mae'r sefydliad hwn yn llawer mwy manwl mewn materion technegol. Mae'n debyg y bydd ganddi ddiddordeb mewn pam yn union yr ystyriwyd bod y bygythiadau UBI.44 ac UBI.101 yn amherthnasol? Ond fel arfer dim ond pan fydd yn derbyn gwybodaeth am ryw ddigwyddiad arwyddocaol y mae FSTEC yn cynnal arolygiad. Yn yr achos hwn, daw'r gwasanaeth ffederal yn gyntaf i'r gweithredwr data personol - hynny yw, cwsmer gwasanaethau cwmwl. Yn yr achos gwaethaf, mae'r gweithredwr yn derbyn dirwy fach - er enghraifft, ar gyfer Twitter ar ddechrau'r flwyddyn mewn achos tebyg i gyfanswm o 5000 rubles. Yna mae FSTEC yn mynd ymhellach i'r darparwr gwasanaeth cwmwl. A all yn wir gael ei amddifadu o drwydded oherwydd methiant i gydymffurfio â gofynion rheoleiddio - ac mae'r rhain yn risgiau hollol wahanol, i'r darparwr cwmwl ac i'w gleientiaid. Ond, ailadroddaf, I wirio FSTEC, fel arfer mae angen rheswm clir arnoch. Felly mae darparwyr cwmwl yn barod i fentro. Tan y digwyddiad difrifol cyntaf.
Mae yna hefyd grŵp o ddarparwyr “mwy cyfrifol” sy'n credu ei bod hi'n bosibl cau pob bygythiad trwy ychwanegu ychwanegiad fel vGate i'r hypervisor. Ond mewn amgylchedd rhithwir a ddosberthir ymhlith cwsmeriaid ar gyfer rhai bygythiadau (er enghraifft, yr UBI.101 uchod), dim ond ar lefel hypervisor ardystiedig yn ôl NDV-4 y gellir gweithredu mecanwaith amddiffyn effeithiol, gan fod unrhyw systemau ychwanegol i nid yw swyddogaethau safonol y hypervisor ar gyfer rheoli adnoddau (yn arbennig , RAM) yn effeithio.
Sut rydym yn gweithio
Mae gennym segment cwmwl wedi'i weithredu ar hypervisor a ardystiwyd gan FSTEC (ond heb ardystiad ar gyfer NDV-4). Mae'r segment hwn wedi'i ardystio, felly gellir storio data personol yn y cwmwl yn seiliedig arno 3 a 4 lefel o ddiogelwch — nid oes angen cadw at y gofynion ar gyfer amddiffyn rhag galluoedd heb eu datgan yma. Yma, gyda llaw, mae pensaernïaeth ein segment cwmwl diogel:
Systemau ar gyfer data personol 1 a 2 lefel o ddiogelwch Rydym yn gweithredu ar offer pwrpasol yn unig. Dim ond yn yr achos hwn, er enghraifft, nid yw bygythiad UBI.101 yn berthnasol mewn gwirionedd, gan na all raciau gweinydd nad ydynt yn cael eu huno gan un amgylchedd rhithwir ddylanwadu ar ei gilydd hyd yn oed pan fyddant wedi'u lleoli yn yr un ganolfan ddata. Ar gyfer achosion o'r fath, rydym yn cynnig gwasanaeth rhentu offer pwrpasol (fe'i gelwir hefyd yn Caledwedd fel gwasanaeth).
Os nad ydych yn siŵr pa lefel o ddiogelwch sy’n ofynnol ar gyfer eich system data personol, rydym hefyd yn helpu i’w dosbarthu.
Allbwn
Dangosodd ein hymchwil marchnad fach fod rhai gweithredwyr cwmwl yn ddigon parod i fentro diogelwch data cwsmeriaid a'u dyfodol eu hunain i dderbyn archeb. Ond yn y materion hyn rydym yn cadw at bolisi gwahanol, a ddisgrifiwyd gennym yn fras ychydig uchod. Byddwn yn hapus i ateb eich cwestiynau yn y sylwadau.
Ffynhonnell: hab.com