"और ऐसा ही होगा": कि क्लाउड प्रदाता व्यक्तिगत डेटा के बारे में बातचीत नहीं करते हैं

एक दिन हमें क्लाउड सेवाओं के लिए अनुरोध प्राप्त हुआ। हमने सामान्य शब्दों में बताया कि हमसे क्या अपेक्षित होगा और विवरण स्पष्ट करने के लिए प्रश्नों की एक सूची वापस भेज दी। फिर हमने उत्तरों का विश्लेषण किया और महसूस किया: ग्राहक सुरक्षा के दूसरे स्तर के व्यक्तिगत डेटा को क्लाउड में रखना चाहता है। हम उसे उत्तर देते हैं: "आपके पास व्यक्तिगत डेटा का दूसरा स्तर है, क्षमा करें, हम केवल एक निजी क्लाउड बना सकते हैं।" और वह: "आप जानते हैं, लेकिन कंपनी एक्स में वे मुझे सार्वजनिक रूप से सब कुछ पोस्ट कर सकते हैं।"

फोटो स्टीव क्रिस्प, रॉयटर्स द्वारा

अजीब बातें! हम कंपनी एक्स की वेबसाइट पर गए, उनके प्रमाणन दस्तावेजों का अध्ययन किया, अपना सिर हिलाया और महसूस किया: व्यक्तिगत डेटा के प्लेसमेंट में बहुत सारे खुले प्रश्न हैं और उन्हें पूरी तरह से संबोधित किया जाना चाहिए। इस पोस्ट में हम यही करेंगे.

सब कुछ कैसे काम करना चाहिए

सबसे पहले, आइए जानें कि व्यक्तिगत डेटा को सुरक्षा के एक या दूसरे स्तर के रूप में वर्गीकृत करने के लिए किन मानदंडों का उपयोग किया जाता है। यह डेटा की श्रेणी, इस डेटा के विषयों की संख्या पर निर्भर करता है जिन्हें ऑपरेटर संग्रहीत और संसाधित करता है, साथ ही वर्तमान खतरों के प्रकार पर भी निर्भर करता है।

वर्तमान खतरों के प्रकारों को परिभाषित किया गया है रूसी संघ संख्या 1119 की सरकार का फरमान दिनांक 1 नवंबर, 2012 "व्यक्तिगत डेटा सूचना प्रणालियों में प्रसंस्करण के दौरान व्यक्तिगत डेटा की सुरक्षा के लिए आवश्यकताओं के अनुमोदन पर":

“टाइप 1 खतरे किसी सूचना प्रणाली के लिए प्रासंगिक हैं यदि इसमें शामिल हैं वर्तमान खतरों से संबंधित अनिर्धारित (अघोषित) क्षमताओं की उपस्थिति के साथ सिस्टम सॉफ्टवेयर मेंसूचना प्रणाली में उपयोग किया जाता है।

दूसरे प्रकार के खतरे किसी सूचना प्रणाली के लिए प्रासंगिक हैं, जिसमें शामिल हैं वर्तमान खतरों से संबंधित अनिर्धारित (अघोषित) क्षमताओं की उपस्थिति के साथ एप्लीकेशन सॉफ्टवेयर मेंसूचना प्रणाली में उपयोग किया जाता है।

तीसरे प्रकार के खतरे सूचना प्रणाली के लिए प्रासंगिक हैं ऐसी धमकियाँ जो संबंधित नहीं हैं अनिर्धारित (अघोषित) क्षमताओं की उपस्थिति के साथ सिस्टम और एप्लिकेशन सॉफ़्टवेयर मेंसूचना प्रणाली में उपयोग किया जाता है।"

इन परिभाषाओं में मुख्य बात अप्रलेखित (अघोषित) क्षमताओं की उपस्थिति है। अनिर्दिष्ट सॉफ़्टवेयर क्षमताओं (क्लाउड के मामले में, यह एक हाइपरवाइज़र है) की अनुपस्थिति की पुष्टि करने के लिए, रूस के FSTEC द्वारा प्रमाणीकरण किया जाता है। यदि पीडी ऑपरेटर स्वीकार करता है कि सॉफ़्टवेयर में ऐसी कोई क्षमताएं नहीं हैं, तो संबंधित खतरे अप्रासंगिक हैं। पीडी ऑपरेटरों द्वारा प्रकार 1 और 2 के खतरों को बहुत कम ही प्रासंगिक माना जाता है।

पीडी सुरक्षा के स्तर को निर्धारित करने के अलावा, ऑपरेटर को सार्वजनिक क्लाउड के लिए विशिष्ट वर्तमान खतरों को भी निर्धारित करना होगा और, पीडी सुरक्षा के पहचाने गए स्तर और वर्तमान खतरों के आधार पर, उनके खिलाफ सुरक्षा के आवश्यक उपायों और साधनों का निर्धारण करना होगा।

FSTEC में सभी मुख्य खतरों को स्पष्ट रूप से सूचीबद्ध किया गया है ओपन स्कूल (खतरा डेटाबेस)। क्लाउड इंफ्रास्ट्रक्चर प्रदाता और मूल्यांकनकर्ता अपने काम में इस डेटाबेस का उपयोग करते हैं। यहां खतरों के उदाहरण दिए गए हैं:

यूबीआई.44: "खतरा वर्चुअल मशीन के बाहर संचालित होने वाले दुर्भावनापूर्ण सॉफ़्टवेयर द्वारा वर्चुअल मशीन के अंदर चलने वाले प्रोग्रामों के उपयोगकर्ता डेटा की सुरक्षा का उल्लंघन करने की संभावना है।" यह खतरा हाइपरविजर सॉफ़्टवेयर में कमजोरियों की उपस्थिति के कारण है, जो यह सुनिश्चित करता है कि वर्चुअल मशीन के अंदर चलने वाले प्रोग्रामों के लिए उपयोगकर्ता डेटा को संग्रहीत करने के लिए उपयोग किया जाने वाला पता स्थान वर्चुअल मशीन के बाहर संचालित होने वाले दुर्भावनापूर्ण सॉफ़्टवेयर द्वारा अनधिकृत पहुंच से अलग किया गया है।

इस खतरे का कार्यान्वयन संभव है बशर्ते कि दुर्भावनापूर्ण प्रोग्राम कोड वर्चुअल मशीन की सीमाओं को सफलतापूर्वक पार कर जाए, न केवल हाइपरवाइजर की कमजोरियों का फायदा उठाकर, बल्कि निचले (हाइपरवाइजर के सापेक्ष) स्तरों से ऐसा प्रभाव डालकर भी। सिस्टम कार्य कर रहा है।"

यूबीआई.101: “खतरा एक क्लाउड सेवा उपभोक्ता की संरक्षित जानकारी तक दूसरे से अनधिकृत पहुंच की संभावना में निहित है। यह खतरा इस तथ्य के कारण है कि, क्लाउड प्रौद्योगिकियों की प्रकृति के कारण, क्लाउड सेवा उपभोक्ताओं को समान क्लाउड बुनियादी ढांचे को साझा करना पड़ता है। यदि क्लाउड सेवा उपभोक्ताओं के बीच क्लाउड इंफ्रास्ट्रक्चर तत्वों को अलग करते समय, साथ ही उनके संसाधनों को अलग करते समय और डेटा को एक दूसरे से अलग करते समय त्रुटियां होती हैं तो इस खतरे को महसूस किया जा सकता है।

आप केवल हाइपरवाइजर की मदद से ही इन खतरों से बचाव कर सकते हैं, क्योंकि यह वही है जो आभासी संसाधनों का प्रबंधन करता है। इस प्रकार, हाइपरवाइजर को सुरक्षा के साधन के रूप में माना जाना चाहिए।

और उसके अनुसार एफएसटीईसी संख्या 21 के आदेश से दिनांक 18 फ़रवरी 2013, हाइपरवाइज़र को स्तर 4 पर गैर-एनडीवी के रूप में प्रमाणित किया जाना चाहिए, अन्यथा इसके साथ स्तर 1 और 2 व्यक्तिगत डेटा का उपयोग अवैध होगा (“खंड 12. ... व्यक्तिगत डेटा सुरक्षा के स्तर 1 और 2 को सुनिश्चित करने के लिए, साथ ही सूचना प्रणालियों में व्यक्तिगत डेटा सुरक्षा के स्तर 3 को सुनिश्चित करने के लिए, जिसके लिए टाइप 2 खतरों को वर्तमान के रूप में वर्गीकृत किया गया है, सूचना सुरक्षा उपकरण का उपयोग किया जाता है, जिसका सॉफ्टवेयर बनाया गया है अघोषित क्षमताओं की अनुपस्थिति पर नियंत्रण के कम से कम 4 स्तरों के अनुसार परीक्षण किया गया").

रूस में विकसित केवल एक हाइपरवाइज़र के पास प्रमाणन का आवश्यक स्तर, NDV-4 है। सूर्य क्षितिज. इसे हल्के ढंग से कहें तो, यह सबसे लोकप्रिय समाधान नहीं है। वाणिज्यिक क्लाउड, एक नियम के रूप में, VMware vSphere, KVM, Microsoft हाइपर-V के आधार पर बनाए जाते हैं। इनमें से कोई भी उत्पाद NDV-4 प्रमाणित नहीं है। क्यों? यह संभावना है कि निर्माताओं के लिए ऐसा प्रमाणीकरण प्राप्त करना अभी तक आर्थिक रूप से उचित नहीं है।

और सार्वजनिक क्लाउड में स्तर 1 और 2 के व्यक्तिगत डेटा के लिए हमारे लिए जो कुछ भी बचा है वह होराइजन बीसी है। दुख की बात है लेकिन सच है।

सब कुछ (हमारी राय में) वास्तव में कैसे काम करता है

पहली नज़र में, सब कुछ काफी सख्त है: NDV-4 के अनुसार प्रमाणित हाइपरवाइजर के मानक सुरक्षा तंत्र को सही ढंग से कॉन्फ़िगर करके इन खतरों को समाप्त किया जाना चाहिए। लेकिन एक खामी है. एफएसटीईसी आदेश संख्या 21 के अनुसार ("खंड 2 व्यक्तिगत डेटा सूचना प्रणाली (बाद में सूचना प्रणाली के रूप में संदर्भित) में संसाधित होने पर व्यक्तिगत डेटा की सुरक्षा ऑपरेटर या ऑपरेटर की ओर से व्यक्तिगत डेटा संसाधित करने वाले व्यक्ति द्वारा सुनिश्चित की जाती है विधान रूसी संघ"), प्रदाता स्वतंत्र रूप से संभावित खतरों की प्रासंगिकता का आकलन करते हैं और तदनुसार सुरक्षा उपाय चुनते हैं। इसलिए, यदि आप यूबीआई.44 और यूबीआई.101 खतरों को वर्तमान के रूप में स्वीकार नहीं करते हैं, तो एनडीवी-4 के अनुसार प्रमाणित हाइपरवाइजर का उपयोग करने की कोई आवश्यकता नहीं होगी, जो वास्तव में उनके खिलाफ सुरक्षा प्रदान करना चाहिए। और यह व्यक्तिगत डेटा सुरक्षा के स्तर 1 और 2 के साथ सार्वजनिक क्लाउड के अनुपालन का प्रमाण पत्र प्राप्त करने के लिए पर्याप्त होगा, जिससे रोसकोम्नाडज़ोर पूरी तरह से संतुष्ट होगा।

बेशक, Roskomnadzor के अलावा, FSTEC एक निरीक्षण के साथ आ सकता है - और यह संगठन तकनीकी मामलों में बहुत अधिक सावधानीपूर्वक है। उसे शायद इस बात में दिलचस्पी होगी कि आख़िर UBI.44 और UBI.101 धमकियों को अप्रासंगिक क्यों माना गया? लेकिन आमतौर पर एफएसटीईसी तभी निरीक्षण करता है जब उसे किसी महत्वपूर्ण घटना के बारे में जानकारी मिलती है। इस मामले में, संघीय सेवा सबसे पहले व्यक्तिगत डेटा ऑपरेटर के पास आती है - यानी क्लाउड सेवाओं का ग्राहक। सबसे खराब स्थिति में, ऑपरेटर को एक छोटा जुर्माना मिलता है - उदाहरण के लिए, वर्ष की शुरुआत में ट्विटर के लिए जुर्माना इसी तरह के मामले में 5000 रूबल की राशि। फिर FSTEC क्लाउड सेवा प्रदाता के पास जाता है। जिसे नियामक आवश्यकताओं का अनुपालन करने में विफलता के कारण लाइसेंस से वंचित किया जा सकता है - और ये क्लाउड प्रदाता और उसके ग्राहकों दोनों के लिए पूरी तरह से अलग जोखिम हैं। लेकिन, मैं दोहराता हूँ, FSTEC की जाँच करने के लिए, आपको आमतौर पर एक स्पष्ट कारण की आवश्यकता होती है। इसलिए क्लाउड प्रदाता जोखिम लेने को तैयार हैं। पहली गंभीर घटना तक.

"अधिक जिम्मेदार" प्रदाताओं का एक समूह भी है जो मानता है कि हाइपरवाइज़र में vGate जैसा ऐड-ऑन जोड़कर सभी खतरों को बंद करना संभव है। लेकिन कुछ खतरों (उदाहरण के लिए, उपरोक्त यूबीआई.101) के लिए ग्राहकों के बीच वितरित एक आभासी वातावरण में, एक प्रभावी सुरक्षा तंत्र केवल एनडीवी-4 के अनुसार प्रमाणित हाइपरवाइजर के स्तर पर लागू किया जा सकता है, क्योंकि कोई भी ऐड-ऑन सिस्टम संसाधनों (विशेष रूप से, रैम) के प्रबंधन के लिए हाइपरवाइजर के मानक कार्य प्रभावित नहीं होते हैं।

हम कैसे काम करते हैं

हमारे पास FSTEC द्वारा प्रमाणित हाइपरविजर पर लागू किया गया एक क्लाउड सेगमेंट है (लेकिन NDV-4 के लिए प्रमाणीकरण के बिना)। इस खंड को प्रमाणित किया गया है, इसलिए इसके आधार पर व्यक्तिगत डेटा को क्लाउड में संग्रहीत किया जा सकता है सुरक्षा के 3 और 4 स्तर - अघोषित क्षमताओं के विरुद्ध सुरक्षा की आवश्यकताओं का यहां पालन करने की आवश्यकता नहीं है। वैसे, यहां हमारे सुरक्षित क्लाउड सेगमेंट की वास्तुकला है:

व्यक्तिगत डेटा के लिए सिस्टम सुरक्षा के 1 और 2 स्तर हम केवल समर्पित उपकरणों पर ही कार्यान्वयन करते हैं। केवल इस मामले में, उदाहरण के लिए, यूबीआई.101 का खतरा वास्तव में प्रासंगिक नहीं है, क्योंकि सर्वर रैक जो एक आभासी वातावरण से एकजुट नहीं होते हैं, एक ही डेटा सेंटर में स्थित होने पर भी एक दूसरे को प्रभावित नहीं कर सकते हैं। ऐसे मामलों के लिए, हम एक समर्पित उपकरण किराये की सेवा प्रदान करते हैं (इसे एक सेवा के रूप में हार्डवेयर भी कहा जाता है)।

यदि आप सुनिश्चित नहीं हैं कि आपके व्यक्तिगत डेटा सिस्टम के लिए किस स्तर की सुरक्षा की आवश्यकता है, तो हम इसे वर्गीकृत करने में भी मदद करते हैं।

उत्पादन

हमारे छोटे बाजार अनुसंधान से पता चला है कि कुछ क्लाउड ऑपरेटर ऑर्डर प्राप्त करने के लिए ग्राहक डेटा की सुरक्षा और अपने स्वयं के भविष्य दोनों को जोखिम में डालने के लिए तैयार हैं। लेकिन इन मामलों में हम एक अलग नीति का पालन करते हैं, जिसका हमने ऊपर संक्षेप में वर्णन किया है। हमें टिप्पणियों में आपके प्रश्नों का उत्तर देने में खुशी होगी।

स्रोत: www.habr.com