“그렇게 될 것입니다”: 클라우드 제공업체는 개인 데이터에 대해 협상하지 않습니다.

어느 날 우리는 클라우드 서비스에 대한 요청을 받았습니다. 우리는 우리에게 요구되는 사항을 일반적인 용어로 설명하고 세부 사항을 명확히 하기 위해 질문 목록을 다시 보냈습니다. 그런 다음 답변을 분석하고 고객이 두 번째 보안 수준의 개인 데이터를 클라우드에 배치하기를 원한다는 것을 깨달았습니다. 우리는 그에게 이렇게 대답했습니다. "두 번째 수준의 개인 데이터가 있습니다. 죄송합니다. 프라이빗 클라우드만 만들 수 있습니다." 그리고 그는 “아시겠지만 X 회사에서는 모든 것을 나에게 공개적으로 게시할 수 있습니다.”라고 말했습니다.

사진: Steve Crisp, 로이터

이상한 것들! 우리는 X 회사의 웹사이트에 가서 해당 회사의 인증 문서를 조사한 후 고개를 저으며 깨달았습니다. 개인 데이터 배치에 대한 미해결 질문이 많고 철저하게 해결해야 한다는 것입니다. 이것이 바로 이번 포스팅에서 할 일입니다.

모든 것이 어떻게 작동해야 하는가

먼저, 개인 데이터를 하나 또는 다른 보안 수준으로 분류하는 데 어떤 기준이 사용되는지 알아 보겠습니다. 이는 데이터 카테고리, 운영자가 저장하고 처리하는 이 데이터의 주제 수, 현재 위협 유형에 따라 다릅니다.

현재 위협의 유형은 다음에 정의되어 있습니다. 러시아 연방 정부 법령 No. 1119 1년 2012월 XNUMX일자 "개인 데이터 정보 시스템에서 처리하는 동안 개인 데이터 보호에 대한 요구 사항 승인 시":

“유형 1 위협은 다음을 포함하는 경우 정보 시스템과 관련이 있습니다. 현재 위협과 관련된 문서화되지 않은(선언되지 않은) 기능이 있는 경우 시스템 소프트웨어에서정보시스템에 사용됩니다.

두 번째 유형의 위협은 다음을 포함하여 정보 시스템과 관련이 있습니다. 현재 위협과 관련된 문서화되지 않은(선언되지 않은) 기능이 있는 경우 응용 소프트웨어에서정보시스템에 사용됩니다.

세 번째 유형의 위협은 정보 시스템과 관련이 있습니다. 관련이 없는 위협 문서화되지 않은(선언되지 않은) 기능이 있는 경우 시스템 및 응용 소프트웨어에서정보시스템에 사용됩니다."

이러한 정의에서 가장 중요한 것은 문서화되지 않은(선언되지 않은) 기능이 있다는 것입니다. 문서화되지 않은 소프트웨어 기능(클라우드의 경우 하이퍼바이저)이 없음을 확인하기 위해 러시아 FSTEC에서 인증을 수행합니다. PD 운영자가 소프트웨어에 그러한 기능이 없다는 것을 인정하면 해당 위협은 관련이 없습니다. 유형 1과 2의 위협은 PD 운영자가 관련성이 있는 것으로 간주하는 경우가 거의 없습니다.

PD 보안 수준을 결정하는 것 외에도 운영자는 퍼블릭 클라우드에 대한 특정 현재 위협을 결정하고, 식별된 PD 보안 수준과 현재 위협을 기반으로 이에 대한 필요한 조치와 보호 수단을 결정해야 합니다.

FSTEC은 모든 주요 위협을 명확하게 나열합니다. NOS (위협 데이터베이스). 클라우드 인프라 제공업체 및 평가자는 업무에 이 데이터베이스를 사용합니다. 위협의 예는 다음과 같습니다.

UBI.44: “위협은 가상머신 외부에서 동작하는 악성 소프트웨어가 가상머신 내부에서 동작하는 프로그램의 사용자 데이터 보안을 침해할 가능성이다.” 이 위협은 가상 머신 내부에서 작동하는 프로그램에 대한 사용자 데이터를 저장하는 데 사용되는 주소 공간이 가상 머신 외부에서 작동하는 악성 소프트웨어의 무단 액세스로부터 격리되도록 보장하는 하이퍼바이저 소프트웨어의 취약점으로 인해 발생합니다.

이 위협의 구현은 악성 프로그램 코드가 하이퍼바이저의 취약성을 악용할 뿐만 아니라 하이퍼바이저에 비해 더 낮은 수준에서 그러한 영향을 수행함으로써 가상 머신의 경계를 성공적으로 극복하는 경우 가능합니다. 시스템이 작동하고 있습니다."

UBI.101: “위협은 한 클라우드 서비스 소비자의 보호된 정보에 다른 소비자가 무단으로 액세스할 가능성에 있습니다. 이러한 위협은 클라우드 기술의 특성상 클라우드 서비스 소비자가 동일한 클라우드 인프라를 공유해야 하기 때문에 발생합니다. 클라우드 서비스 소비자 간에 클라우드 인프라 요소를 분리할 때뿐만 아니라 리소스를 분리하고 데이터를 서로 분리할 때 오류가 발생하면 이러한 위협이 실현될 수 있습니다.”

가상 리소스를 관리하는 하이퍼바이저를 통해서만 이러한 위협으로부터 보호할 수 있습니다. 따라서 하이퍼바이저는 보호 수단으로 간주되어야 합니다.

그리고에 따라 FSTEC No. 21의 명령에 따라 18년 2013월 4일자 하이퍼바이저는 레벨 1에서 비NDV로 인증되어야 합니다. 그렇지 않으면 하이퍼바이저와 함께 레벨 2 및 XNUMX 개인 데이터를 사용하는 것이 불법이 됩니다(“12항. ... 유형 1 위협이 현재 분류되는 정보 시스템에서 개인 데이터 보안 레벨 2 및 3를 보장하고 개인 데이터 보안 레벨 2을 보장하기 위해 정보 보안 도구가 사용되며, 해당 소프트웨어는 다음과 같습니다. 선언되지 않은 기능이 없는 경우 최소한 4가지 제어 수준에 따라 테스트되었습니다.").

러시아에서 개발된 단 하나의 하이퍼바이저만이 필수 인증 수준인 NDV-4를 보유하고 있습니다. 태양의 지평선. 가볍게 말하면 가장 인기있는 솔루션은 아닙니다. 상업용 클라우드는 일반적으로 VMware vSphere, KVM, Microsoft Hyper-V를 기반으로 구축됩니다. 이들 제품 중 어느 것도 NDV-4 인증을 받지 않았습니다. 왜? 제조업체가 이러한 인증을 획득하는 것은 아직 경제적으로 타당하지 않을 가능성이 높습니다.

그리고 퍼블릭 클라우드의 레벨 1 및 2 개인 데이터에 대해 우리에게 남은 것은 Horizon BC뿐입니다. 슬프지만 사실이야.

(우리 의견으로는) 모든 것이 실제로 작동하는 방식

언뜻 보면 모든 것이 매우 엄격합니다. 이러한 위협은 NDV-4에 따라 인증된 하이퍼바이저의 표준 보호 메커니즘을 올바르게 구성하여 제거해야 합니다. 그러나 한 가지 허점이 있습니다. FSTEC 명령 번호 21(“2항 개인 데이터 정보 시스템(이하 정보 시스템)에서 처리되는 개인 데이터의 보안은 운영자 또는 운영자를 대신하여 개인 데이터를 처리하는 사람에 의해 보장됩니다. 법률 제정 러시아연방"), 공급자는 가능한 위협의 관련성을 독립적으로 평가하고 그에 따라 보호 조치를 선택합니다. 따라서 UBI.44 및 UBI.101 위협을 현재의 위협으로 받아들이지 않으면 NDV-4에 따라 인증된 하이퍼바이저를 사용할 필요가 없습니다. 이는 정확하게 이들에 대한 보호를 제공해야 하는 것입니다. 이는 Roskomnadzor가 완전히 만족할 개인 데이터 보안 레벨 1 및 2의 퍼블릭 클라우드 준수 인증서를 획득하는 데 충분합니다.

물론 Roskomnadzor 외에도 FSTEC이 검사를 실시할 수 있으며 이 조직은 기술 문제에 훨씬 더 세심합니다. 그녀는 UBI.44 및 UBI.101 위협이 왜 관련 없는 것으로 간주되었는지에 관심을 가질 것입니다. 그러나 일반적으로 FSTEC은 중요한 사건에 대한 정보를 받은 경우에만 검사를 수행합니다. 이 경우 연방 서비스는 먼저 개인 데이터 운영자, 즉 클라우드 서비스 고객에게 제공됩니다. 최악의 경우 운영자는 연초에 트위터의 경우와 같이 소액의 벌금을 받게 됩니다. 훌륭한 비슷한 경우에는 5000 루블에 달했습니다. 그러면 FSTEC은 더 나아가 클라우드 서비스 제공업체로 나아갑니다. 규제 요구 사항을 준수하지 않아 라이선스가 박탈될 수 있으며 이는 클라우드 제공업체와 고객 모두에게 완전히 다른 위험입니다. 하지만 반복합니다. FSTEC을 확인하려면 일반적으로 명확한 이유가 필요합니다. 따라서 클라우드 제공업체는 기꺼이 위험을 감수합니다. 첫 번째 심각한 사건까지.

하이퍼바이저에 vGate와 같은 추가 기능을 추가하면 모든 위협을 차단할 수 있다고 믿는 "보다 책임감 있는" 제공업체 그룹도 있습니다. 그러나 일부 위협(예: 위의 UBI.101)에 대해 고객에게 분산된 가상 환경에서 효과적인 보호 메커니즘은 NDV-4에 따라 인증된 하이퍼바이저 수준에서만 구현할 수 있습니다. 리소스(특히 RAM) 관리를 위한 하이퍼바이저의 표준 기능은 영향을 받지 않습니다.

우리가 일하는 방식

FSTEC 인증을 받은 하이퍼바이저에 클라우드 세그먼트가 구현되어 있습니다(NDV-4 인증은 없음). 이 세그먼트는 인증되었으므로 이를 기반으로 개인 데이터를 클라우드에 저장할 수 있습니다. 3단계 및 4단계 보안 — 선언되지 않은 기능에 대한 보호 요구 사항은 여기서 준수할 필요가 없습니다. 그런데 보안 클라우드 부문의 아키텍처는 다음과 같습니다.

개인정보 시스템 1단계 및 2단계 보안 전용 장비에만 구현합니다. 예를 들어 이 경우에만 UBI.101의 위협은 실제로 관련이 없습니다. 하나의 가상 환경으로 통합되지 않은 서버 랙은 동일한 데이터 센터에 있더라도 서로 영향을 미칠 수 없기 때문입니다. 이러한 경우 당사는 전용 장비 임대 서비스(Hardware as a Service라고도 함)를 제공합니다.

귀하의 개인 데이터 시스템에 필요한 보안 수준이 확실하지 않은 경우 당사는 이를 분류하는 데 도움을 드립니다.

출력

소규모 시장 조사에 따르면 일부 클라우드 운영자는 주문을 받기 위해 고객 데이터의 보안과 자신의 미래를 모두 위험에 빠뜨릴 의향이 있는 것으로 나타났습니다. 그러나 이러한 문제에 있어서 우리는 위에서 간략하게 설명한 다른 정책을 고수합니다. 댓글을 통해 귀하의 질문에 기꺼이 답변해 드리겠습니다.

출처 : habr.com