Un giorno abbiamo ricevuto una richiesta per i servizi cloud. Abbiamo fatto un'idea generale di cosa ci sarebbe stato richiesto e abbiamo inviato una lista di domande per chiarire i dettagli. Poi abbiamo analizzato le risposte e abbiamo capito: il cliente vuole ospitare nel cloud dati personali di secondo livello di protezione. Rispondiamo: «Hai dati di secondo livello, ci dispiace, possiamo fare solo un cloud privato». E lui: «Sapete, in azienda X mi possono anche ospitare tutto in pubblico».
Foto di Steve Crisp, Reuters
Cose strane! Siamo andati sul sito dell'azienda X, abbiamo esaminato i loro documenti di certificazione, annuendo con la testa abbiamo capito: ci sono molte domande aperte sull'hosting dei dati personali, e meritano una buona ventilazione. Di questo ci occuperemo in questo post.
Come dovrebbe funzionare tutto
Per cominciare, analizziamo in base a quali criteri i dati personali vengono assegnati a uno o all'altro livello di protezione. Questo dipende dalla categoria dei dati, dal numero di soggetti a cui i dati si riferiscono, che l'operatore conserva e tratta, nonché dal tipo di minacce attuali.
La definizione dei tipi di minacce attuali è fornita in dal 1 novembre 2012: «Approvazione dei requisiti per la protezione dei dati personali nel trattamento nei sistemi informatici di dati personali»:
«Le minacce di tipo 1 sono rilevanti per un sistema informatico se, tra l'altro, sono rilevanti minacce correlate alla presenza di funzionalità non documentate (non dichiarate) nel software di sistema, utilizzato nel sistema informatico.
Le minacce di tipo 2 sono rilevanti per un sistema informatico se, tra l'altro, sono rilevanti minacce correlate alla presenza di funzionalità non documentate (non dichiarate) nel software applicativo., utilizzato nel sistema informatico.
Le minacce di tipo 3 sono rilevanti per un sistema informatico se per essa sono rilevanti minacce non correlate alla presenza di funzionalità non documentate (non dichiarate) nel software di sistema e applicativo, utilizzato nel sistema informatico.»
Il punto principale di queste definizioni è la presenza di funzionalità non documentate (non dichiarate). Per confermare l'assenza di tali funzionalità nel software (nel caso del cloud, il hypervisor), viene effettuata la certificazione da parte del FSTEK della Russia. Se l'operatore dei dati personali ritiene che non esistano tali funzionalità nel software, anche le relative minacce non sono attuali. Le minacce di tipo 1 e 2 sono raramente considerate attuali dagli operatori dei dati personali.
Oltre a definire il livello di sicurezza dei dati personali, l'operatore deve anche identificare le specifiche minacce attuali per il cloud pubblico e, sulla base del livello di sicurezza dei dati personali identificato e delle minacce attuali, determinare le misure e i mezzi di protezione necessari contro di esse.
Nel FSTEK tutte le principali minacce sono chiaramente elencate in (banca dati sulle minacce). I fornitori e gli attestatori delle infrastrutture cloud utilizzano questa base nel loro lavoro. Ecco alcuni esempi di minacce:
: «La minaccia risiede nella possibilità di violazione della sicurezza dei dati utente da parte di software che opera al di fuori della macchina virtuale e che sfrutta le vulnerabilità dei programmi all'interno di essa». Questa minaccia è dovuta alla presenza di vulnerabilità nel software dell'hypervisor, che garantisce l'isolamento dello spazio degli indirizzi utilizzato per memorizzare i dati degli utenti da accessi non autorizzati da parte di malware che opera al di fuori della macchina virtuale.
L'attuazione di questa minaccia è possibile se il codice malevolo riesce a oltrepassare i confini della macchina virtuale non solo sfruttando le vulnerabilità dell'hypervisor, ma anche attraverso azioni effettuate a livelli di funzionamento inferiori (rispetto all'hypervisor).
: «La minaccia riguarda la possibilità di accesso non autorizzato alle informazioni protette di un singolo consumatore di servizi cloud da parte di un altro. Questa minaccia è dovuta al fatto che, a causa delle peculiarità delle tecnologie cloud, i consumatori di servizi cloud devono condividere la stessa infrastruttura cloud. La realizzazione di questa minaccia è possibile in caso di errori nella separazione degli elementi dell'infrastruttura cloud tra i consumatori di servizi cloud, nonché nella loro isolazione e separazione dei dati tra loro».
Per proteggersi da queste minacce, è possibile utilizzare solo un hypervisor, poiché è proprio lui a gestire le risorse virtuali. Pertanto, l'hypervisor deve essere considerato come uno strumento di protezione.
E in conformità con del 18 febbraio 2013, l'hypervisor deve essere certificato per la mancanza di vulnerabilità di sicurezza di quarto livello, altrimenti l'uso di dati personali di primo e secondo livello con esso sarà illegale («p.12. … Per garantire i livelli 1 e 2 di protezione dei dati personali, così come per garantire il livello 3 di protezione dei dati personali nei sistemi informativi, per i quali si considerano attuali le minacce di tipo 2, vengono utilizzati strumenti di protezione delle informazioni, il cui software ha superato il controllo non inferiore al 4° livello di controllo dell'assenza di capacità non dichiarate»).
L'unico hypervisor di sviluppo russo che possiede il necessario livello di certificazione, NDV-4, è . Francamente, non è la soluzione più popolare. I cloud commerciali sono generalmente costruiti su VMware vSphere, KVM, Microsoft Hyper-V. Nessuno di questi prodotti ha la certificazione NDV-4. Perché? Probabilmente, ottenere tale certificazione per i produttori non è ancora economicamente giustificato.
E per i dati personali di livello 1 e 2 nel cloud pubblico ci rimane solo Gorizont VS. Triste ma vero.
Come tutto (a nostro avviso) funziona realmente
A prima vista, sembra tutto piuttosto rigoroso: le minacce indicate devono essere eliminate con una corretta configurazione dei meccanismi di sicurezza del hypervisor, certificato secondo NVD-4. Ma c'è una scappatoia. Secondo l'Ordinanza FSTEK n. 21 («p.2 La sicurezza dei dati personali durante il loro trattamento nel sistema informativo dei dati personali (di seguito — sistema informativo) è garantita dall'operatore o dalla persona che svolge il trattamento dei dati personali per conto dell'operatore in conformità con della Federazione Russa»), i fornitori valutano autonomamente la rilevanza delle possibili minacce e scelgono le misure di protezione di conseguenza. Pertanto, se le minacce UBI.44 e UBI.101 non vengono considerate attuali, non ci sarà nemmeno la necessità di utilizzare un hypervisor certificato secondo NVD-4, che è proprio quello che dovrebbe garantire la protezione contro di esse. E questo sarà sufficiente per ottenere il certificato di conformità del cloud pubblico ai livelli 1 e 2 di protezione dei dati personali, di cui sarà pienamente soddisfatto il Roskomnadzor.
Certamente, oltre al Roskomnadzor, la verifica potrebbe essere effettuata dalla FSTEK — e questa organizzazione è molto più meticolosa in questioni tecniche. Sicuramente sarà interessata a sapere perché specificamente le minacce UBI.44 e UBI.101 sono state considerate non più rilevanti. Ma di solito la FSTEK avvia un controllo solo quando riceve informazioni su un incidente eclatante. In questo caso, l'agenzia federale prima si rivolge all'operatore dei dati personali — cioè il cliente dei servizi cloud. Nel peggiore dei casi, l'operatore riceve una leggera multa — per esempio, per Twitter all'inizio dell'anno. in un caso simile ammontava a 5000 rubli. Dopodiché, la FSTEK prosegue verso il fornitore di servizi cloud. Il quale potrebbe essere privato della licenza a causa del mancato rispetto dei requisiti normativi — e questo comporta rischi ben più gravi sia per il fornitore cloud che per i suoi clienti. Ma, ripeto, per un controllo la FSTEK di solito ha bisogno di un motivo chiaro. Quindi i fornitori di servizi cloud sono pronti a correre il rischio. Fino al primo serio incidente.
Esiste anche un gruppo di fornitori «più responsabili» che ritiene sia possibile affrontare tutte le minacce aggiungendo al hypervisor un componente come vGate. Tuttavia, in un ambiente virtuale distribuito tra i clienti, per alcune minacce (come ad esempio la UBI.101 menzionata sopra) un meccanismo di protezione efficace può essere realizzato solo a livello di hypervisor certificato secondo il NDV-4, poiché qualsiasi sistema supplementare non influisce sulle funzionalità standard del hypervisor nella gestione delle risorse (in particolare, la memoria RAM).
Come lavoriamo noi
Abbiamo un segmento cloud realizzato su un hypervisor certificato dalla FSTEK (ma senza certificazione per il NDV-4). Questo segmento è attestato, quindi è possibile ospitare dati personali su di esso nel cloud. Livelli di protezione 3 e 4 — i requisiti di protezione contro le possibilità non dichiarate non devono essere rispettati qui. Ecco, per esempio, l'architettura del nostro segmento cloud sicuro:
Sistemi per dati personali Livelli di protezione 1 e 2 Realizziamo solo su hardware dedicato. Solo in questo caso, ad esempio, la minaccia UBI.101 non è realmente rilevante, poiché le rack dei server, non unite da un'unica ambiente virtuale, non possono influenzarsi a vicenda anche se collocate nello stesso centro dati. Per tali casi offriamo il servizio di affitto di hardware dedicato (noto anche come Hardware as a Service, hardware come servizio).
Se non siete sicuri del livello di protezione necessario per il vostro sistema di dati personali, offriamo anche aiuto nella loro classificazione.
Risultato
La nostra piccola ricerca di mercato ha mostrato: alcuni operatori cloud sono disposti a correre il rischio sulla sicurezza dei dati dei clienti e sul proprio futuro per ottenere un ordine. Ma noi seguiamo una politica diversa in merito, che abbiamo brevemente descritto sopra. Siamo felici di rispondere alle vostre domande nei commenti.
Fonte: habr.com
