Góðan daginn, kæri lesandi!
Ég hef fylgst með uppfærslum og fréttum af Digital Economy forritinu í nokkurn tíma. Frá sjónarhóli innri starfsmanns EGAIS kerfisins er auðvitað ferli í áratugi. Og frá sjónarhóli þróunar, og frá sjónarhóli prófana, afturköllunar og frekari útfærslu, fylgt eftir með óumflýjanlegum og sársaukafullum leiðréttingum alls kyns galla. Engu að síður er málið nauðsynlegt, mikilvægt og tímabært. Aðalviðskiptavinurinn og drifkrafturinn í öllu þessu skemmtilega er auðvitað ríkið. Reyndar eins og um allan heim.
Öll ferli eru löngu runnin yfir í stafrænt eða á leiðinni þangað. Það er samt dásamlegt. Hins vegar eru líka bakhliðar á medalíum til heiðurs. Ég er manneskja sem vinn stöðugt með stafræna undirskrift. Ég er fylgjandi kannski „í gær“, en „gamaldags“ áreiðanlegum og vinna-vinna aðferðum til að vernda rafræna undirskrift með táknum. En stafræn væðing sýnir okkur að allt hefur verið í „skýjunum“ í langan tíma og CEP þarf líka að fara þangað og þarf það mjög hratt.
Ég reyndi að reikna út, hingað til á vettvangi löggjafar- og tæknigrunnsins, þar sem það var mögulegt, hvernig hlutirnir eru með ský ES í okkar landi og í Evrópu. Reyndar hafa fleiri en ein vísindaritgerð þegar verið gefin út um þetta efni. Því skora þeir á kosti í þessu máli að tengjast þróun málaflokksins.
Af hverju er CEP í skýinu aðlaðandi? Reyndar eru jákvæðar hliðar. Þessir plúsar eru nóg. Það er fljótlegt og þægilegt. Það hljómar eins og auglýsingaslagorð, þú munt sammála, en þetta eru hlutlæg einkenni EDS í skýi.
Hraðinn felst í því að geta undirritað skjöl án þess að vera bundin við tákn eða snjallkort. Það skyldar okkur ekki til að nota aðeins skjáborðið. Hundrað prósent saga yfir palla fyrir hvaða stýrikerfi og vafra sem er. Þetta á sérstaklega við um aðdáendur Apple vara, fyrir þá eru ákveðnir erfiðleikar við að styðja ES í MAC kerfinu. Farðu hvar sem er í heiminum, valfrelsi CA (ekki einu sinni rússnesku). Ólíkt CEP vélbúnaði, forðast skýjatölvu flókið hugbúnaðar- og vélbúnaðarsamhæfi. Sem er, já, þægilegt, og já, hratt.
Og hvernig getur maður ekki látið freistast af slíkri fegurð? Djöfullinn er í smáatriðunum. Við skulum tala um öryggi.
„skýjað“ CEP í Rússlandi
Öryggi skýjalausna, og þá sérstaklega stafrænu undirskriftarinnar, er eitt helsta verk öryggisfólks. Hvað nákvæmlega mér líkar ekki, mun lesandinn spyrja mig, því allir hafa notað skýjaþjónustu í langan tíma og með SMS er enn áreiðanlegra að millifæra.
Reyndar aftur, aftur að smáatriðunum. Cloud EDS er framtíðin, sem erfitt er að rífast við. En ekki núna. Til að gera þetta verða að vera reglugerðar- og lagabreytingar sem vernda eiganda skýja EDS.
Hvað höfum við í dag? Til er fjöldi skjala sem skilgreina hugtakið ES, rafræn skjalastjórnun (EDF), auk laga um upplýsingavernd og gagnadreifingu. Sérstaklega er nauðsynlegt að taka mið af borgaralegum lögum (Civil Code of the Russian Federation), sem stjórnar notkun ES í skjölum.
Alríkislög nr. 63-FZ „um rafrænni undirskrift“ dagsett 06.04.2011. apríl XNUMX. Aðal- og rammalög sem lýsir almennri merkingu notkunar rafrænna undirskrifta í viðskiptum af ýmsum toga og veitingu þjónustu.
Alríkislög nr. 149-FZ „Um upplýsingar, upplýsingatækni og upplýsingavernd“ dagsett 27.07.2006. júlí XNUMX. Þetta skjal tilgreinir hugtakið rafrænt skjal og alla tengda hluta.
Það eru fleiri löggjafargerðir sem taka þátt í reglugerð um EDF
Alríkislög 402-FZ „um bókhald“ dagsett 06.12.2011. Í lögunum er kveðið á um kerfissetningu krafna um bókhalds- og bókhaldsskjöl á rafrænu formi.
Þ.m.t. þú getur tekið mið af gerðardómsreglum Rússlands, sem leyfa skjöl undirrituð af ES sem sönnunargögn fyrir dómstólum.
Og það var hér sem mér datt í hug að kafa dýpra í öryggismálið, vegna þess að staðlar okkar fyrir dulritunarverndarverkfæri eru veittir af FSB og tryggja útgáfu samræmisvottorðs. Síðan 18. febrúar hafa nýir GOSTs verið kynntir. Þannig eru lyklarnir sem eru geymdir í skýinu ekki beint verndaðir af FSTEC vottorðum. Vernd lyklanna sjálfra og örugg innkoma í „skýið“ eru hornsteinar sem við höfum ekki enn tekið ákvörðun um. Næst mun ég íhuga dæmi um reglugerð í Evrópusambandinu, sem mun greinilega sýna fram á fullkomnari öryggiskerfi.
Evrópsk reynsla af notkun skýja ES
Byrjum á aðalatriðinu - skýjatækni, ekki aðeins ES, hefur skýran staðal. Grundvöllur CSC (Cloud Standard Coordination) hóps European Telecommunications Standards Institute (ETSI). Hins vegar er enn munur á gagnaverndarstöðlum milli landa.
Grunnurinn fyrir alhliða gagnavernd er skyldubundin vottun fyrir veitendur samkvæmt ISO 27001:2013 fyrir upplýsingaöryggisstjórnunarkerfi (samsvarandi rússneska GOST R ISO / IEC 27001-2006 er byggð á 2006 útgáfu þessa staðals).
ISO 27017 veitir viðbótaröryggisþætti fyrir skýið sem eru ekki í ISO 27002. Fullur opinberi titill þessa staðals er "Code of Practice for information security controls based on ISO/IEC 27002 for cloud services" ("Code of practice for information security" stýringar byggðar á ISO/IEC 27002 fyrir skýjaþjónustu“.
Sumarið 2014 gaf ISO út ISO 27018:2015 um vernd persónuupplýsinga í skýinu og í lok árs 2015 ISO 27017:2015 um upplýsingaöryggiseftirlit fyrir skýjalausnir.
Haustið 2014 tók gildi ný reglugerð Evrópuþingsins nr. 910/2014, sem kallast eIDAS. Nýju reglurnar gera notendum kleift að geyma og nota CEP lykilinn á netþjóni viðurkennds trausts þjónustuaðila, svokallaðs TSP (Trust Service Provider).
Staðlanefnd Evrópu (CEN) samþykkti í október 2013 tækniforskriftina CEN / TS 419241 "Öryggiskröfur fyrir áreiðanleg kerfi sem styður undirritun netþjóna", tileinkað reglugerð um EDS í skýi. Skjalið lýsir nokkrum stigum öryggisreglur. Til dæmis, að uppfylla „stig 2“ sem krafist er til að mynda viðurkennda rafræna undirskrift, er að styðja sterka valkosti fyrir auðkenningu notenda. Samkvæmt kröfum þessa stigs fer auðkenning notenda fram beint á undirskriftarþjóninum, öfugt við til dæmis auðkenninguna sem leyfð er fyrir „stig 1“ í forriti sem, fyrir sína hönd, hefur aðgang að undirskriftarþjóninum. Einnig, í samræmi við þessa forskrift, verða undirskriftarlyklar fyrir myndun viðurkennds ES að vera geymdir í minni sérhæfðs öryggistækis (vélbúnaðaröryggiseining, HSM).
Notendavottun í skýjaþjónustunni verður að vera að minnsta kosti tvíþætt. Að jafnaði er aðgengilegasti og auðveldasti kosturinn að staðfesta inngöngu með kóðanum sem berast í SMS skilaboðum. Svo, til dæmis, hafa flestir persónulegir reikningar RBS rússneskra banka verið innleiddir. Til viðbótar við venjulega dulritunartákn er einnig hægt að nota forrit á snjallsíma og einskiptis lykilorðaframleiðendur (OTP tákn) sem auðkenningartæki.
Ég get dregið saman milliniðurstöðu í bili, varðandi þá staðreynd að skýja CEPs eru enn að myndast í okkar landi og það er of snemmt að hverfa frá járni. Í grundvallaratriðum er þetta náttúrulegt ferli, sem jafnvel í Evrópu (ó, frábært!) stóð í um 13-14 ár, þar til meira eða minna nákvæmar staðlar voru þróaðir.
Þangað til við þróum góða GOST sem stjórna skýjaþjónustu okkar er of snemmt að tala um algera höfnun á vélbúnaðarlausnum. Þeir munu nú, þvert á móti, byrja að færa sig í átt að „blendingum“, það er að segja að vinna líka með undirskrift skýja. Nokkur dæmi sem samsvara evrópskum stöðlum um að vinna með Cloud hafa þegar verið innleidd. En meira um þetta í nýrri grein.
Heimild: www.habr.com