Eines Tages erhielten wir eine Anfrage zu Cloud-Diensten. Wir überlegten grob, was von uns benötigt werden würde, und schickten eine Liste mit Fragen zur Klärung der Details als Antwort. Dann analysierten wir die Antworten und verstanden: Der Kunde möchte personenbezogene Daten der zweiten Schutzstufe in der Cloud speichern. Unsere Antwort lautete: „Sie haben die zweite Stufe der personenbezogenen Daten, entschuldigen Sie, wir können nur eine private Cloud erstellen.“ Und er: „Wissen Sie, in der Firma X kann ich alles in der Öffentlichkeit speichern.“
Foto Steve Crisp, Reuters
Seltsame Dinge! Wir besuchten die Website der Firma X, studierten ihre Zertifizierungsdokumente, schüttelten den Kopf und erkannten: Es gibt viele offene Fragen zur Speicherung personenbezogener Daten, die gründlich überprüft werden müssen. Damit werden wir uns in diesem Beitrag beschäftigen.
Wie alles funktionieren sollte
Zunächst klären wir, nach welchen Kriterien personenbezogene Daten überhaupt einer bestimmten Schutzstufe zugeordnet werden. Dies hängt von der Kategorie der Daten, der Anzahl der Personen, deren Daten der Betreiber speichert und verarbeitet, sowie von der Art der aktuellen Bedrohungen ab.
Die Definition der Arten aktueller Bedrohungen ist in vom 1. November 2012 „Über die Genehmigung der Anforderungen an den Schutz personenbezogener Daten bei deren Verarbeitung in Informationssystemen personenbezogener Daten“ festgelegt:
„Bedrohungen des 1. Typs sind relevant für ein Informationssystem, wenn für dieses unter anderem Bedrohungen im Zusammenhang mit dem Vorhandensein von nicht dokumentierten (nichterklärten) Möglichkeiten in der Systemsoftware, die im Informationssystem verwendet wird.
Bedrohungen des 2. Typs sind relevant für ein Informationssystem, wenn für dieses unter anderem Bedrohungen im Zusammenhang mit dem Vorhandensein von nicht dokumentierten (nichterklärten) Möglichkeiten in der Anwendungssoftware, die im Informationssystem verwendet wird.
Bedrohungen des 3. Typs sind relevant für ein Informationssystem, wenn für dieses Bedrohungen, die nicht mit mit dem Vorhandensein von nicht dokumentierten (nichterklärten) Möglichkeiten der System- und Anwendungssoftware, die im Informationssystem verwendet wird, verbunden sind.“
Das Wesentliche in diesen Definitionen ist das Vorhandensein von nicht dokumentierten (nichterklärten) Möglichkeiten. Um das Fehlen nicht dokumentierter Möglichkeiten in der Software zu bestätigen (im Falle der Cloud ist dies der Hypervisor), erfolgt eine Zertifizierung durch den FSTEC Russlands. Wenn der Betreiber der personenbezogenen Daten akzeptiert, dass es solche Möglichkeiten in der Software nicht gibt, dann sind auch die entsprechenden Bedrohungen irrelevant. Die Bedrohungen des 1. und 2. Typs werden von den Betreibern personenbezogener Daten äußerst selten als relevant erachtet.
Neben der Bestimmung des Sicherheitsniveaus der personenbezogenen Daten muss der Betreiber auch die spezifischen aktuellen Bedrohungen für die Public Cloud festlegen und auf der Grundlage des ermittelten Sicherheitsniveaus und der relevanten Bedrohungen die erforderlichen Schutzmaßnahmen und -mittel bestimmen.
Bei der FSTEK sind alle wesentlichen Bedrohungen klar aufgelistet in (Datenbank der Bedrohungen). Anbieter und Zertifizierer von Cloud-Infrastrukturen nutzen in ihrer Arbeit diese Datenbank. Hier sind einige Beispiele für Bedrohungen:
: „Die Bedrohung besteht in der Möglichkeit einer Sicherheitsverletzung der Benutzerdaten durch Programme, die innerhalb einer virtuellen Maschine arbeiten, durch schädliche Software, die außerhalb der virtuellen Maschine funktioniert.“ Diese Bedrohung rührt von Schwachstellen der Hypervisor-Software her, die die Isolierung des Adressraums, der verwendet wird, um die Benutzerdaten der Programme in der virtuellen Maschine zu speichern, vor unbefugtem Zugriff durch schädliche Software, die außerhalb der virtuellen Maschine arbeitet, gewährleisten soll.
Die Umsetzung dieser Bedrohung ist möglich, wenn es dem schädlichen Programmcode gelingt, die Grenzen der virtuellen Maschine zu überwinden, nicht nur durch die Ausnutzung von Schwachstellen des Hypervisors, sondern auch durch die Erzeugung solcher Einwirkungen von tiefer liegenden (im Verhältnis zum Hypervisor) Betriebsebenen des Systems.
: „Die Bedrohung besteht in der Möglichkeit des unbefugten Zugriffs auf die geschützten Informationen eines Nutzers von Cloud-Diensten durch einen anderen. Diese Bedrohung ergibt sich daraus, dass aufgrund der Besonderheiten der Cloud-Technologien die Nutzer von Cloud-Diensten gezwungen sind, dasselbe Cloud-Infrastruktur gemeinsam zu nutzen. Die Umsetzung dieser Bedrohung ist möglich, wenn Fehler bei der Trennung der Elemente der Cloud-Infrastruktur zwischen den Nutzern von Cloud-Diensten auftreten sowie bei der Isolation ihrer Ressourcen und der Abgrenzung der Daten voneinander.“
Sich gegen diese Bedrohungen zu schützen, ist nur mit Hilfe des Hypervisors möglich, da dieser die virtuellen Ressourcen verwaltet. Daher muss der Hypervisor als Schutzmittel betrachtet werden.
Und gemäß Ab dem 18. Februar 2013 muss der Hypervisor eine Zertifizierung auf das Fehlen von NDU auf Stufe 4 durchlaufen, andernfalls ist die Verwendung personenbezogener Daten der Stufen 1 und 2 mit ihm illegal („Abs. 12. … Zur Gewährleistung der Stufen 1 und 2 des Schutzes personenbezogener Daten sowie zur Sicherstellung der Stufe 3 des Schutzes personenbezogener Daten in Informationssystemen, für die aktuelle Bedrohungen des Typs 2 zugeordnet sind, werden Informationsschutzmittel angewendet, deren Software nicht weniger als auf Stufe 4 der Kontrolle des Fehlens nicht deklarierten Möglichkeiten geprüft wurde“).
Das erforderliche Zertifizierungsniveau, NDU-4, wird nur von einem Hypervisor russischer Entwicklung besessen — . Um es milde auszudrücken, nicht die beliebteste Lösung. Kommerzielle Clouds basieren in der Regel auf VMware vSphere, KVM, Microsoft Hyper-V. Keines dieser Produkte hat eine Zertifizierung auf NDU-4. Warum? Wahrscheinlich ist die Erlangung einer solchen Zertifizierung für die Hersteller derzeit wirtschaftlich nicht rentabel.
Und bleibt uns für personenbezogene Daten der Stufen 1 und 2 in der öffentlichen Cloud nur Gorizont VS. Traurig aber wahr.
Wie alles (unserer Meinung nach) tatsächlich funktioniert
Auf den ersten Blick ist alles ziemlich streng: die angegebenen Bedrohungen sollten durch die richtige Konfiguration der integrierten Schutzmechanismen des auf NDU-4 zertifizierten Hypervisors beseitigt werden. Aber es gibt ein Schlupfloch. Gemäß dem FSTEK-Befehl Nr. 21 („Abs. 2 Die Sicherheit personenbezogener Daten bei deren Verarbeitung in einem Informationssystem personenbezogener Daten (im Folgenden — Informationssystem) wird durch den Betreiber oder die Person, die die Verarbeitung personenbezogener Daten im Auftrag des Betreibers gemäß der Russischen Föderation“), bewerten Anbieter selbstständig die Relevanz möglicher Bedrohungen und wählen entsprechend Schutzmaßnahmen aus. Daher, wenn man die Bedrohungen UBI.44 und UBI.101 nicht als relevant erachtet, wird es auch nicht nötig sein, einen auf NDU-4 zertifizierten Hypervisor zu verwenden, der genau für den Schutz vor diesen Bedrohungen sorgen sollte. Und das wird ausreichen, um das Konformitätszertifikat der öffentlichen Cloud für die Schutzniveaus 1 und 2 von PDn zu erhalten, mit dem die Roskomnadsor durchaus zufrieden sein wird.
Natürlich kann neben dem Roskomnadzor auch die FSTEC mit einer Überprüfung kommen – und diese Organisation legt in technischen Fragen wesentlich mehr Wert auf Details. Sie wird sicherlich interessiert sein, warum gerade die Bedrohungen UBI.44 und UBI.101 als nicht mehr relevant erachtet wurden. In der Regel führt die FSTEC jedoch eine Überprüfung nur durch, wenn sie Informationen über einen auffälligen Vorfall erhält. In diesem Fall kommt die Bundesbehörde zuerst zum Betreiber der personenbezogenen Daten – also zum Auftraggeber der Cloud-Dienste. Im ungünstigsten Fall erhält der Betreiber eine kleine Geldstrafe – zum Beispiel für Twitter zu Beginn des Jahres betrug in einem ähnlichen Fall 5000 Rubel. Anschließend geht die FSTEC weiter zum Cloud-Dienstanbieter, der möglicherweise die Lizenz wegen Nichteinhaltung von Normenkriterien verlieren könnte – das sind bereits ganz andere Risiken, sowohl für den Cloud-Anbieter als auch für seine Kunden. Aber ich wiederhole, für eine Prüfung benötigt die FSTEC in der Regel einen klaren Anlass. Deshalb sind Cloud-Anbieter bereit, Risiken einzugehen. Bis zum ersten schwerwiegenden Vorfall.
Es gibt auch eine Gruppe von "verantwortungsbewussteren" Anbietern, die der Meinung sind, dass man alle Bedrohungen durch die Ergänzung des Hypervisors mit einer Art vGate schließen kann. In einer zwischen den Auftraggebern verteilten virtuellen Umgebung kann jedoch für einige Bedrohungen (z. B. das oben genannte UBI.101) ein wirksamer Schutzmechanismus nur auf der Ebene eines nach NDV-4 zertifizierten Hypervisors implementiert werden, da alle Überlagerungssysteme die Standardfunktionen des Hypervisors zur Ressourcenverwaltung (insbesondere des Arbeitsspeichers) nicht beeinträchtigen.
So arbeiten wir
Wir haben ein Cloud-Segment, das auf einem von der FSTEC zertifizierten Hypervisor basiert (aber ohne Zertifizierung nach NDV-4). Dieses Segment ist zertifiziert, sodass personenbezogene Daten auf dessen Grundlage in der Cloud gespeichert werden können Stufen 3 und 4 des Schutzes – die Anforderungen zum Schutz vor nicht deklarierten Möglichkeiten müssen hier nicht eingehalten werden. Hier ist übrigens die Architektur unseres geschützten Cloud-Segments:
Systeme für personenbezogene Daten Stufen 1 und 2 des Schutzes Wir setzen ausschließlich auf dedizierte Hardware. Nur in diesem Fall ist beispielsweise die Bedrohung durch UBI.101 wirklich nicht relevant, da Server-Racks, die nicht in einer gemeinsamen virtuellen Umgebung verbunden sind, sich auch bei Standorten im gleichen Rechenzentrum nicht gegenseitig beeinflussen können. Für solche Fälle bieten wir die Dienstleistung der Anmietung von dedizierter Hardware an (auch als Hardware as a Service, oder Equipment as a Service bekannt).
Wenn Sie sich nicht sicher sind, welches Schutzniveau für Ihr System personenbezogener Daten erforderlich ist, helfen wir Ihnen auch bei deren Klassifizierung.
Ausgabe
Unsere kleine Marktforschung hat gezeigt: Einige Cloud-Anbieter sind durchaus bereit, beim Erlangen von Aufträgen das Risiko für die Sicherheit der Kundendaten und ihre eigene Zukunft einzugehen. Aber wir verfolgen in diesen Angelegenheiten eine andere Politik, die wir oben kurz beschrieben haben. Wir freuen uns darauf, in den Kommentaren Ihre Fragen zu beantworten.
Quelle: habr.com
