{"id":33512,"date":"2019-10-31T21:53:01","date_gmt":"2019-10-31T18:53:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/i-tak-sojdet-chto-oblachnye-provajdery-ne-dogovarivayut-o-personalnyh-dannyh\/"},"modified":"2019-10-31T21:53:01","modified_gmt":"2019-10-31T18:53:01","slug":"i-tak-sojdet-chto-oblachnye-provajdery-ne-dogovarivayut-o-personalnyh-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/i-tak-sojdet-chto-oblachnye-provajdery-ne-dogovarivayut-o-personalnyh-dannyh","title":{"rendered":"\"E cos\u00ec va bene\": cosa non dicono i fornitori di cloud sui dati personali","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Un giorno abbiamo ricevuto una richiesta per servizi cloud. Abbiamo valutato in linea di massima cosa ci sarebbe stato richiesto e abbiamo inviato una lista di domande per chiarire i dettagli. Dopodich\u00e9 abbiamo analizzato le risposte e abbiamo capito: il cliente vuole memorizzare nel cloud dati personali di secondo livello di protezione. Rispondiamo: \u00abHai dati personali di secondo livello, ci dispiace, possiamo fare solo un cloud privato\u00bb. E lui: \u00abSapete, in realt\u00e0 in azienda X possono fare tutto anche nel pubblico\u00bb.<\/p>\n

\""E
\nFoto di Steve Crisp, Reuters<\/i><\/p>\n

Cose strane! Siamo andati sul sito dell\u2019azienda X, abbiamo esaminato i loro documenti di certificazione, abbiamo scosso la testa e abbiamo capito: ci sono molte domande aperte sulla memorizzazione dei dati personali che meritano di essere approfondite. E ci occuperemo di questo in questo post.
\n<\/a><\/noindex><\/p>\n

Come tutto dovrebbe funzionare<\/h2>\n

\nIniziamo quindi a capire quali criteri determinano il livello di protezione dei dati personali. Questo dipende dalla categoria dei dati, dal numero di soggetti di questi dati che l\u2019operatore memorizza e tratta, nonch\u00e9 dal tipo di minacce attuali.<\/p>\n

\""E
\n
\nLa definizione dei tipi di minacce attuali \u00e8 fornita in decreto del Governo della Federazione Russa n. 1119<\/a><\/noindex> del 1 novembre 2012 \u00abSulla conferma dei requisiti per la protezione dei dati personali durante il loro trattamento nei sistemi informatici dei dati personali\u00bb:<\/p>\n

\u00abLe minacce di primo tipo sono rilevanti per il sistema informatico se per esso, tra l'altro, sono rilevanti le minacce associate<\/i> alla presenza di possibilit\u00e0 non documentate (non dichiarate) nel software di sistema<\/i>, utilizzato nel sistema informatico.<\/p>\n

Le minacce di secondo tipo sono rilevanti per il sistema informatico se per esso, tra l'altro, sono rilevanti le minacce associate<\/i> alla presenza di possibilit\u00e0 non documentate (non dichiarate) nel software applicativo<\/i>, utilizzato nel sistema informatico.<\/p>\n

Le minacce di terzo tipo sono rilevanti per il sistema informatico se per esso sono rilevanti le minacce che non sono associate<\/i> alla presenza di possibilit\u00e0 non documentate (non dichiarate) nel software di sistema e applicativo<\/i>, utilizzato nel sistema informatico.\u00bb<\/p><\/blockquote>\n

\nL'aspetto principale di queste definizioni \u00e8 la presenza di possibilit\u00e0 non documentate (non dichiarate). Per confermare l'assenza di possibilit\u00e0 non documentate nel software (nel caso del cloud, si tratta del hypervisor) viene effettuata la certificazione da parte del FSTEC della Russia. Se l'operatore dei dati personali ritiene che tali possibilit\u00e0 non siano presenti nel software, le minacce corrispondenti non sono rilevanti. Gli operatori di dati personali raramente considerano rilevanti le minacce di primo e secondo tipo.<\/p>\n

Oltre a definire il livello di protezione dei Dati Personali, l'operatore deve anche identificare le minacce attuali specifiche per il cloud pubblico e, sulla base del livello di protezione dei Dati Personali identificato e delle minacce attuali, determinare le misure e i mezzi di protezione necessari contro di esse.<\/p>\n

L'FSTEK ha elencato chiaramente tutte le principali minacce in BDS<\/a><\/noindex> (database delle minacce). I fornitori e gli auditor delle infrastrutture cloud utilizzano questa base nel loro lavoro. Ecco alcuni esempi di minacce:<\/p>\n

UBI.44<\/a><\/noindex>: \u00abLa minaccia consiste nella possibilit\u00e0 di violazione della sicurezza dei dati degli utenti da parte di programmi che operano all'interno di una macchina virtuale, da software malevolo che opera al di fuori della macchina virtuale\u00bb. Questa minaccia \u00e8 determinata dalla presenza di vulnerabilit\u00e0 nel software del hypervisor, che deve garantire l'isolamento dello spazio di indirizzamento utilizzato per memorizzare i dati degli utenti dei programmi all'interno della macchina virtuale, da accessi non autorizzati da parte di software malevolo che opera al di fuori della macchina virtuale.<\/p>\n

L'attuazione di questa minaccia \u00e8 possibile se il codice malevolo riesce a superare i confini della macchina virtuale non solo sfruttando le vulnerabilit\u00e0 del hypervisor, ma anche esercitando un tale impatto da livelli operativi inferiori (rispetto al hypervisor) nel funzionamento del sistema\u00bb.<\/p>\n

UBI.101<\/a><\/noindex>: \u00abLa minaccia consiste nella possibilit\u00e0 di accesso non autorizzato alle informazioni protette di un utente di servizi cloud da parte di un altro. Questa minaccia \u00e8 dovuta al fatto che, a causa delle peculiarit\u00e0 delle tecnologie cloud, gli utenti dei servizi cloud devono condividere la stessa infrastruttura cloud. L'attuazione di questa minaccia \u00e8 possibile nel caso di errori commessi nella separazione degli elementi dell'infrastruttura cloud tra gli utenti dei servizi cloud, cos\u00ec come nell'isolamento delle loro risorse e nella separazione dei dati tra loro\u00bb.<\/p><\/blockquote>\n

\nPer proteggersi da queste minacce \u00e8 possibile solo tramite l'hypervisor, poich\u00e9 \u00e8 lui a gestire le risorse virtuali. Pertanto, l'hypervisor deve essere considerato come uno strumento di protezione.<\/p>\n

E in conformit\u00e0 con l'ordinanza n. 21 dell'FSTEK<\/a><\/noindex> Dal 18 febbraio 2013, l'ipervisor deve essere certificato per l'assenza di NDI di livello 4, altrimenti l'uso di dati personali di livello 1 e 2 con esso sar\u00e0 illegale (\u00abp.12. \u2026 Per garantire i livelli 1 e 2 di protezione dei dati personali, nonch\u00e9 per garantire il livello 3 di protezione dei dati personali nei sistemi informativi, per i quali i rischi attuali sono di tipo 2, vengono utilizzati mezzi di protezione delle informazioni, il software dei quali ha superato il controllo a non meno di livello 4 per l'assenza di opportunit\u00e0 non dichiarate\u00bb<\/i>).<\/p>\n

Solo un ipervisor, sviluppato in Russia, possiede il livello di certificazione richiesto, NDI-4 \u2014 Gorizont VS<\/a><\/noindex>. Ad essere gentili, non \u00e8 la soluzione pi\u00f9 popolare. Le nuvole commerciali sono solitamente costruite utilizzando VMware vSphere, KVM, Microsoft Hyper-V. Nessuno di questi prodotti ha ottenuto la certificazione NDI-4. Perch\u00e9? Probabilmente, ottenere tale certificazione non \u00e8 economicamente giustificato per i produttori.<\/p>\n

E ci rimane solo Gorizont VS per i dati personali di livello 1 e 2 nel cloud pubblico. Triste ma vero.<\/p>\n

Come funziona realmente, a nostro avviso<\/h3>\n

\nA prima vista, tutto sembra piuttosto rigoroso: i rischi indicati devono essere mitigati attraverso la corretta configurazione dei meccanismi di protezione standard dell'ipervisor, certificato NDI-4. Ma c'\u00e8 una scappatoia. Secondo l'Ordine del FSTEK n. 21 (\u00abp.2 La sicurezza dei dati personali durante il loro trattamento in un sistema informativo sui dati personali (di seguito denominato \u2014 sistema informativo) \u00e8 garantita dall'operatore o dalla persona che tratta i dati personali per conto dell'operatore in conformit\u00e0 con il legislazione<\/a><\/noindex> della Federazione Russa\u00bb<\/i>), i fornitori valutano autonomamente la pertinenza dei potenziali rischi e scelgono le misure di protezione di conseguenza. Pertanto, se non si considerano pertinenti i rischi UBI.44 e UBI.101, non si avr\u00e0 nemmeno la necessit\u00e0 di utilizzare un ipervisor certificato NDI-4, il quale deve garantire protezione contro di essi. E questo sar\u00e0 sufficiente per ottenere il certificato di conformit\u00e0 del cloud pubblico ai livelli 1 e 2 di protezione dei dati personali, di cui sar\u00e0 pienamente soddisfatto il Roskomnadzor.<\/p>\n

Certo, oltre al Roskomnadzor, anche il FSTEK pu\u00f2 effettuare controlli \u2014 e questa organizzazione \u00e8 molto pi\u00f9 pignola in materia tecnica. Sono sicuramente interessati a sapere perch\u00e9 minacce come UBI.44 e UBI.101 siano state riconosciute come irrilevanti. Ma di solito il FSTEK effettua controlli solo quando riceve informazioni su qualche incidente eclatante. In questo caso, l'agenzia federale si rivolge prima all'operatore di dati personali \u2014 cio\u00e8 al committente dei servizi cloud. Nel peggiore dei casi, l'operatore riceve una piccola multa \u2014 ad esempio, per Twitter all'inizio dell'anno multa<\/a><\/noindex> in un caso simile \u00e8 stata di 5000 rubli. Successivamente, il FSTEK si rivolge al fornitore di servizi cloud. Che potrebbe essere privato della licenza a causa del mancato rispetto dei requisiti normativi \u2014 e questi sono rischi completamente diversi, sia per il fornitore cloud che per i suoi clienti. Ma, ripeto, per un controllo il FSTEK di solito ha bisogno di un chiaro motivo.<\/i> Quindi i fornitori di cloud sono pronti a correre dei rischi. Fino al primo incidente serio. <\/p>\n

C'\u00e8 anche un gruppo di fornitori 'pi\u00f9 responsabili' che ritiene che sia possibile risolvere tutte le minacce, aggiungendo un componente ipervisore come vGate. Ma in un ambiente virtuale distribuito tra i clienti, per alcune minacce (come quella menzionata sopra, UBI.101) un meccanismo di protezione efficace pu\u00f2 essere realizzato solo a livello di ipervisore certificato secondo NDV-4, poich\u00e9 qualsiasi sistema di estensione non influisce sulle funzioni standard dell'ipervisore nella gestione delle risorse (in particolare, della memoria RAM).<\/p>\n

Come lavoriamo noi<\/h3>\n

\nAbbiamo un segmento cloud realizzato su un ipervisore certificato dal FSTEK (ma senza certificazione per NDV-4). Questo segmento \u00e8 attestato, quindi nel cloud basato su di esso \u00e8 possibile ospitare dati personali di livelli 3 e 4 di protezione<\/i> \u2014 i requisiti per la protezione da possibilit\u00e0 non dichiarate non devono essere rispettati qui. Ecco, tra l'altro, l'architettura del nostro segmento cloud protetto:<\/p>\n

\""E
\nSistemi per dati personali di livelli 1 e 2 di protezione<\/i> Realizziamo solo su apparecchiature dedicate. Solo in questo caso, ad esempio, la minaccia UBI.101 non \u00e8 realmente rilevante, poich\u00e9 i rack dei server, non uniti da un ambiente virtuale, non possono influenzarsi a vicenda anche se collocati nello stesso data center. Per tali casi, offriamo il servizio di noleggio di apparecchiature dedicate (noto anche come Hardware as a Service).<\/p>\n

Se non siete sicuri del livello di protezione necessario per il vostro sistema di dati personali, vi aiuteremo anche nella loro classificazione.<\/p>\n

Conclusione<\/h3>\n

\nLa nostra piccola ricerca di mercato ha rivelato: alcuni operatori cloud sono disposti a mettere a rischio la sicurezza dei dati dei clienti e il proprio futuro per ottenere un contratto. Ma noi adottiamo una politica diversa in queste questioni, che abbiamo brevemente descritto poco sopra. Saremo felici di rispondere alle vostre domande nei commenti.
\n
Fonte: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041f\u0440\u0438\u0448\u043b\u0430 \u043a\u0430\u043a-\u0442\u043e \u043a \u043d\u0430\u043c \u0437\u0430\u044f\u0432\u043a\u0430 \u043d\u0430 \u0443\u0441\u043b\u0443\u0433\u0438 \u043e\u0431\u043b\u0430\u043a\u0430. \u041c\u044b \u043f\u0440\u0438\u043a\u0438\u043d\u0443\u043b\u0438 \u0432 \u043e\u0431\u0449\u0438\u0445 \u0447\u0435\u0440\u0442\u0430\u0445, \u0447\u0442\u043e \u043e\u0442 \u043d\u0430\u0441 \u043f\u043e\u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f, \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u043b\u0438 \u0432 \u043e\u0442\u0432\u0435\u0442 \u0441\u043f\u0438\u0441\u043e\u043a \u0432\u043e\u043f\u0440\u043e\u0441\u043e\u0432 \u0434\u043b\u044f \u0443\u0442\u043e\u0447\u043d\u0435\u043d\u0438\u044f \u0434\u0435\u0442\u0430\u043b\u0435\u0439. \u0417\u0430\u0442\u0435\u043c \u043f\u0440\u043e\u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043b\u0438 \u043e\u0442\u0432\u0435\u0442\u044b \u0438 \u043f\u043e\u043d\u044f\u043b\u0438: \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a \u0445\u043e\u0447\u0435\u0442 \u0440\u0430\u0437\u043c\u0435\u0449\u0430\u0442\u044c \u0432 \u043e\u0431\u043b\u0430\u043a\u0435 \u043f\u0435\u0440\u0441\u043e\u043d\u0430\u043b\u044c\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u0432\u0442\u043e\u0440\u043e\u0433\u043e \u0443\u0440\u043e\u0432\u043d\u044f \u0437\u0430\u0449\u0438\u0449\u0435\u043d\u043d\u043e\u0441\u0442\u0438. \u041e\u0442\u0432\u0435\u0447\u0430\u0435\u043c \u0435\u043c\u0443: \u00ab\u0423 \u0432\u0430\u0441 \u0432\u0442\u043e\u0440\u043e\u0439 \u0443\u0440\u043e\u0432\u0435\u043d\u044c \u043f\u0435\u0440\u0441\u0434\u0430\u043d\u043d\u044b\u0445, \u0438\u0437\u0432\u0438\u043d\u0438\u0442\u0435, \u043c\u043e\u0436\u0435\u043c \u0442\u043e\u043b\u044c\u043a\u043e \u0447\u0430\u0441\u0442\u043d\u043e\u0435 \u043e\u0431\u043b\u0430\u043a\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c\u00bb. \u0410 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":25212,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-33512","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47\u00abE cos\u00ec va bene\u00bb: cosa non dicono i fornitori di cloud sui dati personali | ProHoster","description":"Un giorno ci \u00e8 arrivata una richiesta per i servizi cloud. Abbiamo valutato in linea di massima cosa ci sarebbe stato necessario e abbiamo inviato in risposta un elenco di domande per chiarire i dettagli.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/i-tak-sojdet-chto-oblachnye-provajdery-ne-dogovarivayut-o-personalnyh-dannyh","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u00ab\u0418 \u0442\u0430\u043a \u0441\u043e\u0439\u0434\u0435\u0442\u00bb: \u0447\u0442\u043e \u043e\u0431\u043b\u0430\u0447\u043d\u044b\u0435 \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u044b \u043d\u0435 \u0434\u043e\u0433\u043e\u0432\u0430\u0440\u0438\u0432\u0430\u044e\u0442 \u043e \u043f\u0435\u0440\u0441\u043e\u043d\u0430\u043b\u044c\u043d\u044b\u0445 \u0434\u0430\u043d\u043d\u044b\u0445 | ProHoster","og:description":"\u041f\u0440\u0438\u0448\u043b\u0430 \u043a\u0430\u043a-\u0442\u043e \u043a \u043d\u0430\u043c \u0437\u0430\u044f\u0432\u043a\u0430 \u043d\u0430 \u0443\u0441\u043b\u0443\u0433\u0438 \u043e\u0431\u043b\u0430\u043a\u0430. \u041c\u044b \u043f\u0440\u0438\u043a\u0438\u043d\u0443\u043b\u0438 \u0432 \u043e\u0431\u0449\u0438\u0445 \u0447\u0435\u0440\u0442\u0430\u0445, \u0447\u0442\u043e \u043e\u0442 \u043d\u0430\u0441 \u043f\u043e\u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f, \u0438 \u043e\u0442\u043f\u0440\u0430\u0432\u0438\u043b\u0438 \u0432 \u043e\u0442\u0432\u0435\u0442 \u0441\u043f\u0438\u0441\u043e\u043a \u0432\u043e\u043f\u0440\u043e\u0441\u043e\u0432 \u0434\u043b\u044f \u0443\u0442\u043e\u0447\u043d\u0435\u043d\u0438\u044f \u0434\u0435\u0442\u0430\u043b\u0435\u0439.","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/i-tak-sojdet-chto-oblachnye-provajdery-ne-dogovarivayut-o-personalnyh-dannyh","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:53:01+00:00","article:modified_time":"2019-10-31T18:53:01+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"33512","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 15:35:22","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 02:39:23","updated":"2026-01-21 15:35:22","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/33512","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=33512"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/33512\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/25212"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=33512"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=33512"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=33512"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}