Egun batean hodeiko zerbitzuen eskaera jaso genuen. Termino orokorrean zer eskatuko ziguten zehaztu eta galdera zerrenda bat bidali genuen xehetasunak argitzeko. Ondoren, erantzunak aztertu eta konturatu ginen: bezeroak bigarren segurtasun-mailako datu pertsonalak jarri nahi ditu hodeian. Guk erantzun diogu: "Bigarren datu pertsonalen maila duzu, barkatu, hodei pribatu bat baino ezin dugu sortu". Eta hark: "Badakizu, baina X enpresan dena publikoki argitaratu ahal didate".
Steve Crisp, Reuters-en argazkia
Gauza arraroak! X enpresaren webgunera joan ginen, haien ziurtagiri-agiriak aztertu, burua astindu eta konturatu ginen: datu pertsonalak kokatzean galdera asko daude irekita eta ondo landu behar dira. Hori da mezu honetan egingo duguna.
Nola funtzionatu behar duen guztia
Lehenik eta behin, ikus dezagun zer irizpide erabiltzen diren datu pertsonalak segurtasun-maila batean edo bestean sailkatzeko. Datuen kategoriaren, operadoreak gordetzen eta prozesatzen dituen datu horien subjektu kopuruaren eta egungo mehatxu motaren araberakoa da hori.
Unean uneko mehatxu motak definitzen dira 1ko azaroaren 2012ekoa, "Datu pertsonalak datu pertsonalen informazio-sistemetan tratatzean datu pertsonalak babesteko eskakizunak onartzeari buruzkoa":
“1 motako mehatxuak garrantzitsuak dira informazio sistema baterako, baldin eta barne hartzen badu gaur egungo mehatxuak dokumenturik gabeko (deklaratu gabeko) gaitasunen presentziarekin sistemaren softwareaninformazio sisteman erabiltzen da.
2. motako mehatxuak garrantzitsuak dira informazio sistema baterako, horretarako bada, barne gaur egungo mehatxuak dokumenturik gabeko (deklaratu gabeko) gaitasunen presentziarekin aplikazio softwareaninformazio sisteman erabiltzen da.
3. motako mehatxuak garrantzitsuak dira informazio sistema baterako, horretarako bada zerikusirik ez duten mehatxuak dokumenturik gabeko (deklaratu gabeko) gaitasunen presentziarekin sistema eta aplikazio softwareaninformazio sisteman erabiltzen da".
Definizio hauetan gauza nagusia dokumenturik gabeko (deklaratu gabeko) gaitasunen presentzia da. Dokumentatu gabeko software-gaitasunik ez dagoela baieztatzeko (hodeiaren kasuan, hipervisor bat da), Errusiako FSTECek egiten du ziurtagiria. PD operadoreak softwarean horrelako gaitasunik ez dagoela onartzen badu, dagozkion mehatxuek ez dute garrantzirik. 1 eta 2 motako mehatxuak oso gutxitan jotzen dituzte PD operadoreek.
PD segurtasun-maila zehazteaz gain, operadoreak hodei publikoaren egungo mehatxu espezifikoak ere zehaztu behar ditu eta, identifikatutako PD segurtasun-mailaren eta unean uneko mehatxuen arabera, horien aurkako beharrezko neurriak eta babes-bideak zehaztu behar ditu.
FSTECek argi eta garbi zerrendatzen ditu mehatxu nagusi guztiak (mehatxuen datu-basea). Hodeiko azpiegituren hornitzaileek eta ebaluatzaileek datu-base hau erabiltzen dute beren lanean. Hona hemen mehatxuen adibideak:
: "Mehatxua makina birtual baten barruan diharduten programen erabiltzaileen datuen segurtasuna urratzeko aukera da, makina birtualetik kanpo diharduten software gaizto batek." Mehatxu hau hipervisoreko softwarean ahuleziak egoteagatik da, eta horrek bermatzen du makina birtualean diharduten programen erabiltzaileen datuak gordetzeko erabiltzen den helbide-espazioa makina birtualetik kanpo diharduten software maltzurren baimenik gabeko sarbideetatik isolatuta dagoela.
Mehatxu hau ezartzea posible da, baldin eta maltzurren programaren kodea makina birtualaren mugak arrakastaz gainditzen baditu, ez bakarrik hipervisorearen ahultasunak aprobetxatuz, baita inpaktu hori beheko (hipervisorearekiko) maila baxuagoetatik ere eginez. sistemaren funtzionamendua».
: "Mehatxua hodeiko zerbitzuen kontsumitzaile baten informazio babestua baimenik gabe sartzeko aukeran datza. Mehatxu hau hodeiko teknologien izaera dela eta, hodeiko zerbitzuen kontsumitzaileek hodeiko azpiegitura bera partekatu behar dutelako da. Mehatxu hau hodeiko zerbitzuen kontsumitzaileen artean hodeiko azpiegiturako elementuak bereiztean akatsak egiten badira, baita haien baliabideak isolatzean eta datuak elkarrengandik bereiztean ere".
Mehatxu hauen aurka hipervisor baten laguntzarekin soilik babes dezakezu, baliabide birtualak kudeatzen dituena baita. Beraz, hipervisorea babes-bidetzat hartu behar da.
Eta arabera 18ko otsailaren 2013koa, hipervisoreak NDV ez den 4. mailan egiaztatu behar du, bestela, 1. eta 2. mailako datu pertsonalak harekin erabiltzea legez kanpokoa izango da (“12. klausula. ... Datu pertsonalen segurtasunaren 1. eta 2. mailak bermatzeko, bai eta datu pertsonalen segurtasunaren 3. maila bermatzeko ere, 2. motako mehatxuak gaur egungo gisa sailkatzen diren informazio-sistemetan, informazioaren segurtasun-tresnak erabiltzen dira, zeinen softwarea izan da. deklaratu gabeko gaitasunik ezaren gaineko kontrol-mailaren lau mailaren arabera probatu da gutxienez").
Errusian garatutako hipervisor bakarrak du beharrezko ziurtagiri-maila, NDV-4. . Hori gutxi balitz, ez da irtenbiderik ezagunena. Hodei komertzialak, oro har, VMware vSphere, KVM, Microsoft Hyper-V-en oinarrituta eraikitzen dira. Produktu hauetako batek ere ez du NDV-4 ziurtagiririk. Zergatik? Litekeena da fabrikatzaileentzako ziurtagiri hori lortzea oraindik ekonomikoki justifikatuta ez egotea.
Eta hodei publikoko 1. eta 2. mailako datu pertsonaletarako geratzen zaiguna Horizon BC da. Tristea baina egia.
Nola funtzionatzen duen dena (gure ustez).
Lehen begiratuan, dena nahiko zorrotza da: mehatxu hauek ezabatu behar dira NDV-4ren arabera ziurtatutako hipervisore baten babes-mekanismo estandarrak behar bezala konfiguratuta. Baina bada zirrikitu bat. FSTEC Aginduaren 21. zenbakiaren arabera (“2. klausula Datu pertsonalen segurtasuna datu pertsonalen informazio sisteman tratatzen direnean (aurrerantzean informazio sistema deitua) operadoreak edo operadorearen izenean datu pertsonalak tratatzen dituen pertsonak bermatzen du. Errusiako Federazioa"), hornitzaileek modu independentean ebaluatzen dute balizko mehatxuen garrantzia eta horren arabera aukeratzen dituzte babes-neurriak. Hori dela eta, UBI.44 eta UBI.101 mehatxuak egungo gisa onartzen ez badituzu, ez da NDV-4ren arabera ziurtatutako hipervisor bat erabili beharrik izango, hau da, hain zuzen, horien aurkako babesa eman behar duena. Eta hori nahikoa izango da hodei publikoak datu pertsonalen segurtasunaren 1 eta 2 mailekin betetzen duen ziurtagiria lortzeko, Roskomnadzor guztiz pozik egongo dena.
Jakina, Roskomnadzorraz gain, FSTEC ikuskapen batekin etor daiteke, eta erakunde hori askoz zorrotzagoa da gai teknikoetan. Seguruenik interesatuko zaio zergatik jotzen ziren zehazki UBI.44 eta UBI.101 mehatxuak garrantzirik gabekoak? Baina normalean FSTECek ikuskapen bat egiten du gertakari esanguratsu bati buruzko informazioa jasotzen duenean bakarrik. Kasu honetan, zerbitzu federala datu pertsonalen operadoreari heltzen zaio lehenik, hau da, hodeiko zerbitzuen bezeroari. Kasurik txarrenean, operadoreak isun txiki bat jasotzen du —adibidez, urte hasieran Twitterrentzat— antzeko kasu batean 5000 errublo izan ziren. Ondoren, FSTEC hodeiko zerbitzu-hornitzailera doa. Lizentzia kenduko zaio, arauzko eskakizunak ez betetzeagatik, eta arrisku guztiz desberdinak dira, bai hodeiko hornitzailearentzat, bai bere bezeroentzat. Baina, errepikatzen dut, FSTEC egiaztatzeko, normalean arrazoi argi bat behar duzu. Beraz, hodeiko hornitzaileak arriskuak hartzeko prest daude. Lehen gertakari larrira arte.
Hornitzaile "arduratsuagoak" talde bat ere badago mehatxu guztiak ixtea posible dela uste dutenak hipervisorean vGate bezalako gehigarri bat gehituz. Baina mehatxu batzuengatik bezeroen artean banatutako ingurune birtual batean (adibidez, goiko UBI.101), babes-mekanismo eraginkor bat NDV-4-ren arabera ziurtatutako hipervisorearen mailan soilik ezar daiteke, edozein sistema gehigarri ez baita. baliabideak kudeatzeko hipervisorearen funtzio estandarrek (bereziki, RAM) ez dute eragiten.
Nola lan egiten dugun
Hodei-segmentu bat dugu FSTEC-ek ziurtatutako hipervisor batean inplementatuta (baina NDV-4rako ziurtagiririk gabe). Segmentu hau ziurtatuta dago, beraz, datu pertsonalak hodeian gorde daitezke bertan oinarrituta 3 eta 4 segurtasun maila — Adierazi gabeko gaitasunen aurka babesteko baldintzak ez dira hemen bete behar. Hona, bide batez, gure hodeiko segmentu seguruaren arkitektura:
Datu pertsonaletarako sistemak 1 eta 2 segurtasun maila Ekipo dedikatuetan soilik ezartzen dugu. Kasu honetan bakarrik, adibidez, UBI.101 mehatxua ez da benetan garrantzitsua, ingurune birtual batek batzen ez dituen zerbitzari-rack-ek ezin baitute elkarrengan eragin datu-zentro berean kokatuta ere. Horrelako kasuetarako, ekipoen alokairu zerbitzua eskaintzen dugu (Hardware zerbitzu gisa ere deitzen zaio).
Ez bazaude ziur zure datu pertsonalen sistemarako zein segurtasun-maila behar den, hura sailkatzen ere laguntzen dugu.
Irteera
Gure merkatu-ikerketa txikiak erakutsi zuen hodeiko operadore batzuk nahiko prest daudela arriskuan jartzeko bezeroen datuen segurtasuna eta euren etorkizuna eskaera bat jasotzeko. Baina gai hauetan beste politika bati jarraitzen diogu, goian laburki deskribatu duguna. Pozik erantzungo ditugu zure galderei iruzkinetan.
Iturria: www.habr.com