"અને તેથી તે કરશે": કે ક્લાઉડ પ્રદાતાઓ વ્યક્તિગત ડેટા વિશે વાટાઘાટ કરતા નથી

એક દિવસ અમને ક્લાઉડ સેવાઓ માટેની વિનંતી મળી. અમને શું જરૂરી છે તે અમે સામાન્ય શબ્દોમાં દર્શાવેલ છે અને વિગતો સ્પષ્ટ કરવા માટે પ્રશ્નોની યાદી પાછી મોકલી છે. પછી અમે જવાબોનું વિશ્લેષણ કર્યું અને સમજાયું: ગ્રાહક ક્લાઉડમાં સુરક્ષાના બીજા સ્તરનો વ્યક્તિગત ડેટા મૂકવા માંગે છે. અમે તેને જવાબ આપીએ છીએ: "તમારી પાસે વ્યક્તિગત ડેટાનું બીજું સ્તર છે, માફ કરશો, અમે ફક્ત એક ખાનગી ક્લાઉડ બનાવી શકીએ છીએ." અને તે: "તમે જાણો છો, પરંતુ કંપની X માં તેઓ મને બધું જ જાહેરમાં પોસ્ટ કરી શકે છે."

સ્ટીવ ક્રિસ્પ દ્વારા ફોટો, રોઇટર્સ

વિચિત્ર વસ્તુઓ! અમે કંપની X ની વેબસાઇટ પર ગયા, તેમના પ્રમાણપત્ર દસ્તાવેજોનો અભ્યાસ કર્યો, માથું હલાવ્યું અને સમજાયું: વ્યક્તિગત ડેટાની પ્લેસમેન્ટમાં ઘણા બધા ખુલ્લા પ્રશ્નો છે અને તેમને સંપૂર્ણ રીતે સંબોધિત કરવા જોઈએ. અમે આ પોસ્ટમાં તે જ કરીશું.

બધું કેવી રીતે કામ કરવું જોઈએ

પ્રથમ, ચાલો જાણીએ કે વ્યક્તિગત ડેટાને સુરક્ષાના એક અથવા બીજા સ્તર તરીકે વર્ગીકૃત કરવા માટે કયા માપદંડોનો ઉપયોગ કરવામાં આવે છે. આ ડેટાની શ્રેણી, આ ડેટાના વિષયોની સંખ્યા કે જે ઓપરેટર સ્ટોર કરે છે અને પ્રક્રિયા કરે છે, તેમજ વર્તમાન ધમકીઓના પ્રકાર પર આધાર રાખે છે.

વર્તમાન ધમકીઓના પ્રકારો માં વ્યાખ્યાયિત કરવામાં આવ્યા છે રશિયન ફેડરેશન નંબર 1119 ની સરકારની હુકમનામું તારીખ 1 નવેમ્બર, 2012 "વ્યક્તિગત ડેટા માહિતી પ્રણાલીઓમાં તેમની પ્રક્રિયા દરમિયાન વ્યક્તિગત ડેટાના રક્ષણ માટેની આવશ્યકતાઓની મંજૂરી પર":

"પ્રકાર 1 ધમકીઓ માહિતી સિસ્ટમ માટે સંબંધિત છે જો તેમાં શામેલ હોય સંબંધિત વર્તમાન ધમકીઓ બિનદસ્તાવેજીકૃત (અઘોષિત) ક્ષમતાઓની હાજરી સાથે સિસ્ટમ સોફ્ટવેર માંમાહિતી સિસ્ટમમાં વપરાય છે.

2જી પ્રકારની ધમકીઓ માહિતી પ્રણાલી માટે સંબંધિત છે, જો તે માટે, સહિત સંબંધિત વર્તમાન ધમકીઓ બિનદસ્તાવેજીકૃત (અઘોષિત) ક્ષમતાઓની હાજરી સાથે એપ્લિકેશન સોફ્ટવેરમાંમાહિતી સિસ્ટમમાં વપરાય છે.

3જી પ્રકારની ધમકીઓ માહિતી પ્રણાલી માટે સંબંધિત છે જો તેના માટે હોય ધમકીઓ જે સંબંધિત નથી બિનદસ્તાવેજીકૃત (અઘોષિત) ક્ષમતાઓની હાજરી સાથે સિસ્ટમ અને એપ્લિકેશન સોફ્ટવેરમાંમાહિતી પ્રણાલીમાં વપરાય છે."

આ વ્યાખ્યાઓમાં મુખ્ય વસ્તુ બિનદસ્તાવેજીકૃત (અઘોષિત) ક્ષમતાઓની હાજરી છે. બિનદસ્તાવેજીકૃત સૉફ્ટવેર ક્ષમતાઓની ગેરહાજરીની પુષ્ટિ કરવા માટે (ક્લાઉડના કિસ્સામાં, આ હાઇપરવાઇઝર છે), રશિયાના FSTEC દ્વારા પ્રમાણપત્ર હાથ ધરવામાં આવે છે. જો PD ઑપરેટર સ્વીકારે છે કે સૉફ્ટવેરમાં આવી કોઈ ક્ષમતાઓ નથી, તો અનુરૂપ ધમકીઓ અપ્રસ્તુત છે. પ્રકાર 1 અને 2 ની ધમકીઓ અત્યંત ભાગ્યે જ PD ઓપરેટરો દ્વારા સંબંધિત માનવામાં આવે છે.

PD સુરક્ષાના સ્તરને નિર્ધારિત કરવા ઉપરાંત, ઑપરેટરે સાર્વજનિક ક્લાઉડ માટે ચોક્કસ વર્તમાન જોખમો પણ નિર્ધારિત કરવા જોઈએ અને, PD સુરક્ષાના ઓળખાયેલ સ્તર અને વર્તમાન ધમકીઓના આધારે, તેમની સામે રક્ષણના જરૂરી પગલાં અને માધ્યમો નક્કી કરવા જોઈએ.

FSTEC સ્પષ્ટપણે તમામ મુખ્ય જોખમોની યાદી આપે છે NOS (ધમકી ડેટાબેઝ). ક્લાઉડ ઇન્ફ્રાસ્ટ્રક્ચર પ્રદાતાઓ અને મૂલ્યાંકનકારો તેમના કાર્યમાં આ ડેટાબેઝનો ઉપયોગ કરે છે. અહીં ધમકીઓના ઉદાહરણો છે:

UBI.44: "વર્ચ્યુઅલ મશીનની બહાર કાર્યરત દૂષિત સૉફ્ટવેર દ્વારા વર્ચ્યુઅલ મશીનની અંદર કાર્યરત પ્રોગ્રામ્સના વપરાશકર્તા ડેટાની સુરક્ષાનું ઉલ્લંઘન કરવાની સંભાવના છે." આ ખતરો હાઇપરવાઇઝર સોફ્ટવેરમાં નબળાઈઓની હાજરીને કારણે છે, જે ખાતરી કરે છે કે વર્ચ્યુઅલ મશીનની અંદર ઓપરેટ થતા પ્રોગ્રામ્સ માટે યુઝર ડેટા સ્ટોર કરવા માટે વપરાતી એડ્રેસ સ્પેસ વર્ચ્યુઅલ મશીનની બહાર કાર્યરત દૂષિત સોફ્ટવેર દ્વારા અનધિકૃત એક્સેસથી અલગ છે.

આ ધમકીનો અમલ શક્ય છે જો કે દૂષિત પ્રોગ્રામ કોડ વર્ચ્યુઅલ મશીનની સીમાઓને સફળતાપૂર્વક પાર કરે છે, માત્ર હાઇપરવાઇઝરની નબળાઈઓનું શોષણ કરીને જ નહીં, પરંતુ નીચલી (હાયપરવાઇઝરને સંબંધિત) સ્તરોથી આવી અસરને વહન કરીને પણ. સિસ્ટમની કામગીરી."

UBI.101: “ખતરો એક ક્લાઉડ સેવા ઉપભોક્તા દ્વારા બીજાથી સુરક્ષિત માહિતીની અનધિકૃત ઍક્સેસની શક્યતામાં રહેલો છે. આ ખતરો એ હકીકતને કારણે છે કે, ક્લાઉડ ટેક્નોલોજીની પ્રકૃતિને કારણે, ક્લાઉડ સર્વિસ ગ્રાહકોએ સમાન ક્લાઉડ ઈન્ફ્રાસ્ટ્રક્ચર શેર કરવું પડે છે. ક્લાઉડ સર્વિસ ગ્રાહકો વચ્ચે ક્લાઉડ ઇન્ફ્રાસ્ટ્રક્ચર તત્વોને અલગ કરતી વખતે, તેમજ તેમના સંસાધનોને અલગ કરતી વખતે અને ડેટાને એકબીજાથી અલગ કરતી વખતે ભૂલો કરવામાં આવે તો આ ખતરો સાકાર થઈ શકે છે."

તમે માત્ર હાઈપરવાઈઝરની મદદથી જ આ જોખમો સામે રક્ષણ કરી શકો છો, કારણ કે તે વર્ચ્યુઅલ સંસાધનોનું સંચાલન કરે છે. આમ, હાઇપરવાઇઝરને રક્ષણના સાધન તરીકે ગણવું આવશ્યક છે.

અને અનુસાર FSTEC નંબર 21 ના ​​આદેશ દ્વારા તારીખ 18 ફેબ્રુઆરી, 2013 ના રોજ, હાઇપરવાઇઝર સ્તર 4 પર બિન-NDV તરીકે પ્રમાણિત હોવું આવશ્યક છે, અન્યથા તેની સાથે સ્તર 1 અને 2 વ્યક્તિગત ડેટાનો ઉપયોગ ગેરકાયદેસર હશે ("કલમ 12. ... વ્યક્તિગત ડેટા સુરક્ષાના સ્તર 1 અને 2ને સુનિશ્ચિત કરવા તેમજ માહિતી પ્રણાલીઓમાં વ્યક્તિગત ડેટા સુરક્ષાના સ્તર 3ને સુનિશ્ચિત કરવા માટે કે જેના માટે પ્રકાર 2 ધમકીઓને વર્તમાન તરીકે વર્ગીકૃત કરવામાં આવે છે, માહિતી સુરક્ષા સાધનોનો ઉપયોગ કરવામાં આવે છે, જેનું સોફ્ટવેર અઘોષિત ક્ષમતાઓની ગેરહાજરી પર નિયંત્રણના ઓછામાં ઓછા 4 સ્તર અનુસાર પરીક્ષણ કરવામાં આવ્યું છે").

રશિયામાં વિકસિત માત્ર એક જ હાઇપરવાઇઝર પાસે પ્રમાણપત્રનું આવશ્યક સ્તર છે, NDV-4. સૂર્ય ક્ષિતિજ. તેને હળવાશથી મૂકવા માટે, સૌથી લોકપ્રિય ઉકેલ નથી. વાણિજ્યિક વાદળો, એક નિયમ તરીકે, VMware vSphere, KVM, Microsoft Hyper-V ના આધારે બનાવવામાં આવે છે. આમાંની કોઈપણ પ્રોડક્ટ NDV-4 પ્રમાણિત નથી. શા માટે? સંભવ છે કે ઉત્પાદકો માટે આવા પ્રમાણપત્ર મેળવવાનું હજુ સુધી આર્થિક રીતે ન્યાયી નથી.

અને પબ્લિક ક્લાઉડમાં લેવલ 1 અને 2 વ્યક્તિગત ડેટા માટે અમારા માટે જે બાકી રહે છે તે છે Horizon BC. દુખ ભર્યું પણ સત્ય.

કેવી રીતે બધું (અમારા મતે) ખરેખર કામ કરે છે

પ્રથમ નજરમાં, બધું એકદમ કડક છે: NDV-4 અનુસાર પ્રમાણિત હાઇપરવાઇઝરની માનક સુરક્ષા પદ્ધતિઓને યોગ્ય રીતે ગોઠવીને આ ધમકીઓને દૂર કરવી આવશ્યક છે. પરંતુ એક છટકબારી છે. FSTEC ઓર્ડર નંબર 21 અનુસાર ("કલમ 2 જ્યારે વ્યક્તિગત ડેટા માહિતી સિસ્ટમમાં પ્રક્રિયા કરવામાં આવે ત્યારે વ્યક્તિગત ડેટાની સુરક્ષા (ત્યારબાદ માહિતી સિસ્ટમ તરીકે ઓળખવામાં આવે છે) ઓપરેટર દ્વારા અથવા ઓપરેટર વતી વ્યક્તિગત ડેટા પર પ્રક્રિયા કરતી વ્યક્તિ દ્વારા સુનિશ્ચિત કરવામાં આવે છે. કાયદો રશિયન ફેડરેશન"), પ્રદાતાઓ સ્વતંત્ર રીતે સંભવિત જોખમોની સુસંગતતાનું મૂલ્યાંકન કરે છે અને તે મુજબ રક્ષણનાં પગલાં પસંદ કરે છે. તેથી, જો તમે UBI.44 અને UBI.101 ધમકીઓને વર્તમાન તરીકે સ્વીકારતા નથી, તો NDV-4 અનુસાર પ્રમાણિત હાઇપરવાઇઝરનો ઉપયોગ કરવાની જરૂર રહેશે નહીં, જે તેમની સામે રક્ષણ પૂરું પાડવું જોઈએ. અને વ્યક્તિગત ડેટા સુરક્ષાના સ્તર 1 અને 2 સાથે સાર્વજનિક ક્લાઉડના પાલનનું પ્રમાણપત્ર મેળવવા માટે આ પૂરતું હશે, જેનાથી Roskomnadzor સંપૂર્ણપણે સંતુષ્ટ થશે.

અલબત્ત, Roskomnadzor ઉપરાંત, FSTEC એક નિરીક્ષણ સાથે આવી શકે છે - અને આ સંસ્થા તકનીકી બાબતોમાં વધુ સાવચેત છે. તેણીને કદાચ એમાં રસ હશે કે શા માટે UBI.44 અને UBI.101 ધમકીઓને અપ્રસ્તુત ગણવામાં આવી હતી? પરંતુ સામાન્ય રીતે FSTEC ત્યારે જ નિરીક્ષણ હાથ ધરે છે જ્યારે તેને કોઈ મહત્વપૂર્ણ ઘટના વિશે માહિતી મળે છે. આ કિસ્સામાં, ફેડરલ સેવા પ્રથમ વ્યક્તિગત ડેટા ઓપરેટર પાસે આવે છે - એટલે કે, ક્લાઉડ સેવાઓના ગ્રાહક. સૌથી ખરાબ કિસ્સામાં, ઓપરેટરને નાનો દંડ મળે છે - ઉદાહરણ તરીકે, વર્ષની શરૂઆતમાં ટ્વિટર માટે સરસ સમાન કિસ્સામાં 5000 રુબેલ્સની રકમ. પછી FSTEC ક્લાઉડ સેવા પ્રદાતા પાસે આગળ વધે છે. જે નિયમનકારી આવશ્યકતાઓનું પાલન કરવામાં નિષ્ફળતાને કારણે લાયસન્સથી વંચિત રહી શકે છે - અને આ ક્લાઉડ પ્રદાતા અને તેના ગ્રાહકો બંને માટે સંપૂર્ણપણે અલગ જોખમો છે. પણ, હું પુનરાવર્તન કરું છું, FSTEC તપાસવા માટે, તમારે સામાન્ય રીતે સ્પષ્ટ કારણની જરૂર હોય છે. તેથી ક્લાઉડ પ્રદાતાઓ જોખમ લેવા તૈયાર છે. પ્રથમ ગંભીર ઘટના સુધી.

"વધુ જવાબદાર" પ્રદાતાઓનું એક જૂથ પણ છે જેઓ માને છે કે હાઇપરવાઇઝરમાં vGate જેવા એડ-ઓન ઉમેરીને તમામ ધમકીઓને બંધ કરવી શક્ય છે. પરંતુ કેટલાક જોખમો (ઉદાહરણ તરીકે, ઉપરોક્ત UBI.101) માટે ગ્રાહકો વચ્ચે વિતરિત વર્ચ્યુઅલ વાતાવરણમાં, અસરકારક સુરક્ષા પદ્ધતિ ફક્ત NDV-4 અનુસાર પ્રમાણિત હાઇપરવાઇઝરના સ્તરે જ લાગુ કરી શકાય છે, કારણ કે કોઈપણ એડ-ઓન સિસ્ટમ સંસાધનોના સંચાલન માટે હાઇપરવાઇઝરના પ્રમાણભૂત કાર્યો (ખાસ કરીને RAM) અસર કરતા નથી.

અમે કેવી રીતે કામ કરીએ છીએ

અમારી પાસે FSTEC (પરંતુ NDV-4 માટે પ્રમાણપત્ર વિના) દ્વારા પ્રમાણિત હાઇપરવાઇઝર પર અમલમાં આવેલ ક્લાઉડ સેગમેન્ટ છે. આ સેગમેન્ટ પ્રમાણિત છે, તેથી તેના આધારે વ્યક્તિગત ડેટા ક્લાઉડમાં સંગ્રહિત કરી શકાય છે સુરક્ષાના 3 અને 4 સ્તર - અઘોષિત ક્ષમતાઓ સામે રક્ષણ માટેની આવશ્યકતાઓને અહીં અવલોકન કરવાની જરૂર નથી. અહીં, માર્ગ દ્વારા, અમારા સુરક્ષિત ક્લાઉડ સેગમેન્ટનું આર્કિટેક્ચર છે:

વ્યક્તિગત ડેટા માટેની સિસ્ટમ્સ સુરક્ષાના 1 અને 2 સ્તર અમે ફક્ત સમર્પિત સાધનો પર અમલ કરીએ છીએ. ફક્ત આ કિસ્સામાં, ઉદાહરણ તરીકે, UBI.101 ની ધમકી ખરેખર સંબંધિત નથી, કારણ કે સર્વર રેક્સ કે જે એક વર્ચ્યુઅલ પર્યાવરણ દ્વારા એકીકૃત નથી તે સમાન ડેટા સેન્ટરમાં સ્થિત હોવા છતાં પણ એકબીજાને પ્રભાવિત કરી શકતા નથી. આવા કિસ્સાઓ માટે, અમે સમર્પિત સાધનો ભાડે આપવાની સેવા ઓફર કરીએ છીએ (તેને સેવા તરીકે હાર્ડવેર પણ કહેવાય છે).

જો તમને ખાતરી ન હોય કે તમારી વ્યક્તિગત ડેટા સિસ્ટમ માટે કયા સ્તરની સુરક્ષા જરૂરી છે, તો અમે તેનું વર્ગીકરણ કરવામાં પણ મદદ કરીએ છીએ.

નિષ્કર્ષ

અમારા નાના બજાર સંશોધન દર્શાવે છે કે કેટલાક ક્લાઉડ ઓપરેટરો ઓર્ડર પ્રાપ્ત કરવા માટે ગ્રાહક ડેટાની સુરક્ષા અને તેમના પોતાના ભવિષ્ય બંનેને જોખમમાં મૂકવા માટે તૈયાર છે. પરંતુ આ બાબતોમાં અમે એક અલગ નીતિનું પાલન કરીએ છીએ, જેનું અમે ઉપર ટૂંકમાં વર્ણન કર્યું છે. ટિપ્પણીઓમાં તમારા પ્રશ્નોના જવાબ આપવામાં અમને આનંદ થશે.

સોર્સ: www.habr.com