"आणि म्हणून ते होईल": क्लाउड प्रदाते वैयक्तिक डेटाबद्दल वाटाघाटी करत नाहीत

एके दिवशी आम्हाला क्लाउड सेवांसाठी विनंती प्राप्त झाली. आम्‍ही आमच्‍यासाठी काय आवश्‍यक आहे ते आम्‍ही रेखांकित केले आणि तपशील स्‍पष्‍ट करण्‍यासाठी प्रश्‍नांची सूची परत पाठवली. मग आम्ही उत्तरांचे विश्लेषण केले आणि लक्षात आले: ग्राहक दुसऱ्या स्तरावरील सुरक्षिततेचा वैयक्तिक डेटा क्लाउडमध्ये ठेवू इच्छितो. आम्ही त्याला उत्तर देतो: "तुमच्याकडे वैयक्तिक डेटाचा दुसरा स्तर आहे, क्षमस्व, आम्ही फक्त एक खाजगी क्लाउड तयार करू शकतो." आणि तो: "तुम्हाला माहित आहे, परंतु कंपनी X मध्ये ते मला सर्व काही सार्वजनिकरित्या पोस्ट करू शकतात."

स्टीव्ह क्रिस्प, रॉयटर्सचे छायाचित्र

विचित्र गोष्टी! आम्ही कंपनी X च्या वेबसाइटवर गेलो, त्यांच्या प्रमाणन दस्तऐवजांचा अभ्यास केला, आमचे डोके हलवले आणि लक्षात आले: वैयक्तिक डेटाच्या प्लेसमेंटमध्ये बरेच खुले प्रश्न आहेत आणि त्यांना पूर्णपणे संबोधित केले पाहिजे. आम्ही या पोस्टमध्ये तेच करू.

सर्वकाही कसे कार्य करावे

प्रथम, वैयक्तिक डेटाचे एक किंवा दुसर्‍या स्तरावरील सुरक्षिततेचे वर्गीकरण करण्यासाठी कोणते निकष वापरले जातात ते शोधूया. हे डेटाच्या श्रेणीवर अवलंबून असते, या डेटाच्या विषयांची संख्या जी ऑपरेटर संग्रहित करते आणि प्रक्रिया करते, तसेच वर्तमान धोक्यांचे प्रकार.

सध्याच्या धोक्यांचे प्रकार यामध्ये परिभाषित केले आहेत रशियन फेडरेशन क्रमांक 1119 च्या सरकारचा डिक्री दिनांक 1 नोव्हेंबर, 2012 "वैयक्तिक डेटा माहिती प्रणालीमध्ये त्यांच्या प्रक्रियेदरम्यान वैयक्तिक डेटाच्या संरक्षणासाठी आवश्यकतेच्या मंजुरीवर":

"प्रकार 1 धमक्या माहिती प्रणालीसाठी संबंधित असतील तर त्यात समाविष्ट आहे संबंधित वर्तमान धमक्या अदस्तांकित (अघोषित) क्षमतांच्या उपस्थितीसह सिस्टम सॉफ्टवेअर मध्येमाहिती प्रणाली मध्ये वापरले.

2 र्या प्रकारच्या धमक्या माहिती प्रणालीसाठी संबंधित आहेत, जर त्यासाठी, यासह संबंधित वर्तमान धमक्या अदस्तांकित (अघोषित) क्षमतांच्या उपस्थितीसह अनुप्रयोग सॉफ्टवेअर मध्येमाहिती प्रणाली मध्ये वापरले.

3र्‍या प्रकारच्या धमक्या माहिती प्रणालीसाठी संबंधित असतील तर संबंधित नसलेल्या धमक्या अदस्तांकित (अघोषित) क्षमतांच्या उपस्थितीसह सिस्टम आणि ऍप्लिकेशन सॉफ्टवेअरमध्येमाहिती प्रणालीमध्ये वापरले जाते."

या व्याख्यांमधील मुख्य गोष्ट म्हणजे अदस्तांकित (अघोषित) क्षमतांची उपस्थिती. कागदपत्र नसलेल्या सॉफ्टवेअर क्षमतांच्या अनुपस्थितीची पुष्टी करण्यासाठी (क्लाउडच्या बाबतीत, हे हायपरवाइजर आहे), प्रमाणन रशियाच्या FSTEC द्वारे केले जाते. PD ऑपरेटरने सॉफ्टवेअरमध्ये अशी कोणतीही क्षमता नसल्याचे मान्य केल्यास, संबंधित धमक्या अप्रासंगिक आहेत. प्रकार 1 आणि 2 च्या धमक्या अत्यंत क्वचितच PD ऑपरेटरद्वारे संबंधित मानल्या जातात.

PD सुरक्षेची पातळी निर्धारित करण्याव्यतिरिक्त, ऑपरेटरने सार्वजनिक क्लाउडसाठी विशिष्ट वर्तमान धोके देखील निर्धारित करणे आवश्यक आहे आणि PD सुरक्षिततेच्या ओळखलेल्या पातळीच्या आधारावर आणि वर्तमान धोक्यांवर आधारित, त्यांच्याविरूद्ध आवश्यक उपाय आणि संरक्षणाची साधने निर्धारित करणे आवश्यक आहे.

FSTEC स्पष्टपणे सर्व मुख्य धोक्यांची यादी करते NOS (धमक्याचा डेटाबेस). क्लाउड इन्फ्रास्ट्रक्चर प्रदाते आणि मूल्यांकनकर्ते त्यांच्या कामात हा डेटाबेस वापरतात. येथे धमक्यांची उदाहरणे आहेत:

UBI.44: "व्हर्च्युअल मशीनच्या बाहेर कार्यरत दुर्भावनापूर्ण सॉफ्टवेअरद्वारे वर्च्युअल मशीनमध्ये कार्यरत असलेल्या प्रोग्राम्सच्या वापरकर्त्याच्या डेटाच्या सुरक्षिततेचे उल्लंघन करण्याची शक्यता आहे." हा धोका हायपरवाइजर सॉफ्टवेअरमधील भेद्यतेच्या उपस्थितीमुळे आहे, जे सुनिश्चित करते की व्हर्च्युअल मशीनमध्ये कार्यरत प्रोग्रामसाठी वापरकर्ता डेटा संचयित करण्यासाठी वापरल्या जाणार्‍या अॅड्रेस स्पेसला आभासी मशीनच्या बाहेर कार्यरत दुर्भावनापूर्ण सॉफ्टवेअरद्वारे अनधिकृत प्रवेशापासून वेगळे केले जाते.

या धोक्याची अंमलबजावणी करणे शक्य आहे जर दुर्भावनापूर्ण प्रोग्राम कोड केवळ हायपरवाइजरच्या असुरक्षिततेचे शोषण करूनच नव्हे तर खालच्या (हायपरवायझरच्या सापेक्ष) स्तरांवरून असा प्रभाव पार पाडून व्हर्च्युअल मशीनच्या सीमांवर यशस्वीरित्या मात करतो. प्रणाली कार्य करते."

UBI.101: “एका क्लाउड सेवा ग्राहकाच्या संरक्षित माहितीवर दुसर्‍याकडून अनधिकृत प्रवेश करण्याच्या शक्यतेमध्ये धोका आहे. हा धोका या वस्तुस्थितीमुळे आहे की, क्लाउड तंत्रज्ञानाच्या स्वरूपामुळे, क्लाउड सेवा ग्राहकांना समान क्लाउड इन्फ्रास्ट्रक्चर सामायिक करावे लागते. क्लाउड सेवा ग्राहकांमधील क्लाउड इन्फ्रास्ट्रक्चर घटक वेगळे करताना, तसेच त्यांची संसाधने विलग करताना आणि डेटा एकमेकांपासून विभक्त करताना चुका झाल्यास हा धोका लक्षात येऊ शकतो.”

तुम्ही केवळ हायपरवाइजरच्या मदतीने या धोक्यांपासून संरक्षण करू शकता, कारण ते आभासी संसाधने व्यवस्थापित करते. अशा प्रकारे, हायपरवाइजरला संरक्षणाचे साधन मानले पाहिजे.

आणि त्यानुसार приказом ФСТЭК №21 दिनांक 18 फेब्रुवारी 2013 रोजी, हायपरवाइजरने स्तर 4 वर गैर-NDV म्हणून प्रमाणित केले पाहिजे, अन्यथा त्याच्यासह स्तर 1 आणि 2 वैयक्तिक डेटाचा वापर बेकायदेशीर असेल ("कलम 12. ... वैयक्तिक डेटा सुरक्षिततेचे स्तर 1 आणि 2 सुनिश्चित करण्यासाठी, तसेच माहिती प्रणालींमध्ये वैयक्तिक डेटा सुरक्षिततेचा स्तर 3 सुनिश्चित करण्यासाठी ज्यासाठी प्रकार 2 धोके वर्तमान म्हणून वर्गीकृत आहेत, माहिती सुरक्षा साधने वापरली जातात, ज्याचे सॉफ्टवेअर अघोषित क्षमतांच्या अनुपस्थितीवर नियंत्रणाच्या 4 स्तरांनुसार चाचणी केली गेली").

केवळ एक हायपरवाइजर, रशियामध्ये विकसित, प्रमाणीकरणाची आवश्यक पातळी आहे, NDV-4. सूर्य क्षितिज. सौम्यपणे सांगायचे तर, सर्वात लोकप्रिय उपाय नाही. व्यावसायिक ढग सहसा VMware vSphere, KVM, Microsoft Hyper-V च्या आधारे तयार केले जातात. यापैकी कोणतीही उत्पादने NDV-4 प्रमाणित नाहीत. का? अशी शक्यता आहे की उत्पादकांसाठी असे प्रमाणपत्र प्राप्त करणे अद्याप आर्थिकदृष्ट्या न्याय्य नाही.

आणि सार्वजनिक क्लाउडमध्ये लेव्हल 1 आणि 2 वैयक्तिक डेटासाठी आमच्यासाठी जे काही शिल्लक आहे ते Horizon BC आहे. दुखद परंतु सत्य.

सर्वकाही (आमच्या मते) खरोखर कसे कार्य करते

पहिल्या दृष्टीक्षेपात, सर्वकाही अगदी कठोर आहे: NDV-4 नुसार प्रमाणित हायपरवाइजरच्या मानक संरक्षण यंत्रणा योग्यरित्या कॉन्फिगर करून हे धोके दूर केले जाणे आवश्यक आहे. पण एक पळवाट आहे. FSTEC आदेश क्रमांक २१ नुसार ("कलम 2 वैयक्तिक डेटा माहिती प्रणालीमध्ये प्रक्रिया केल्यावर वैयक्तिक डेटाची सुरक्षितता (यापुढे माहिती प्रणाली म्हणून संदर्भित) ऑपरेटरद्वारे किंवा ऑपरेटरच्या वतीने वैयक्तिक डेटावर प्रक्रिया करणार्‍या व्यक्तीद्वारे सुनिश्चित केली जाते. कायदा रशियाचे संघराज्य"), प्रदाते स्वतंत्रपणे संभाव्य धोक्यांच्या प्रासंगिकतेचे मूल्यांकन करतात आणि त्यानुसार संरक्षण उपाय निवडतात. त्यामुळे, जर तुम्ही UBI.44 आणि UBI.101 या धमक्या वर्तमान म्हणून स्वीकारत नसाल, तर NDV-4 नुसार प्रमाणित हायपरवाइजर वापरण्याची गरज नाही, जे त्यांच्या विरुद्ध संरक्षण पुरवायला हवे. आणि वैयक्तिक डेटा सुरक्षिततेच्या स्तर 1 आणि 2 सह सार्वजनिक क्लाउडच्या अनुपालनाचे प्रमाणपत्र मिळविण्यासाठी हे पुरेसे असेल, ज्याचे Roskomnadzor पूर्णपणे समाधानी असेल.

अर्थात, Roskomnadzor व्यतिरिक्त, FSTEC तपासणीसह येऊ शकते - आणि ही संस्था तांत्रिक बाबींमध्ये अधिक सावध आहे. UBI.44 आणि UBI.101 या धमक्या नेमक्या का अप्रासंगिक मानल्या गेल्या याविषयी तिला कदाचित रस असेल? परंतु सामान्यतः FSTEC जेव्हा काही महत्त्वाच्या घटनेची माहिती प्राप्त करते तेव्हाच तपासणी करते. या प्रकरणात, फेडरल सेवा प्रथम वैयक्तिक डेटा ऑपरेटरकडे येते - म्हणजेच क्लाउड सेवांचे ग्राहक. सर्वात वाईट परिस्थितीत, ऑपरेटरला एक लहान दंड प्राप्त होतो - उदाहरणार्थ, वर्षाच्या सुरुवातीला ट्विटरसाठी दंड तत्सम प्रकरणात 5000 रूबलची रक्कम. नंतर FSTEC क्लाउड सेवा प्रदात्याकडे जाते. जे नियामक आवश्यकतांचे पालन करण्यात अयशस्वी झाल्यामुळे परवान्यापासून वंचित राहू शकतात - आणि क्लाउड प्रदात्यासाठी आणि त्याच्या क्लायंटसाठी हे पूर्णपणे भिन्न धोके आहेत. पण, मी पुन्हा सांगतो, FSTEC तपासण्यासाठी, तुम्हाला सहसा स्पष्ट कारण आवश्यक असते. त्यामुळे क्लाउड प्रदाते जोखीम घेण्यास तयार आहेत. पहिल्या गंभीर घटनेपर्यंत.

"अधिक जबाबदार" प्रदात्यांचा एक गट देखील आहे ज्यांना विश्वास आहे की हायपरवाइजरमध्ये vGate सारखे अॅड-ऑन जोडून सर्व धोके बंद करणे शक्य आहे. परंतु काही धोक्यांसाठी (उदाहरणार्थ, वरील UBI.101) ग्राहकांमध्ये वितरीत केलेल्या आभासी वातावरणात, एक प्रभावी संरक्षण यंत्रणा केवळ NDV-4 नुसार प्रमाणित हायपरवाइजरच्या स्तरावर लागू केली जाऊ शकते, कारण कोणतीही अॅड-ऑन सिस्टम संसाधने व्यवस्थापित करण्यासाठी हायपरवाइजरची मानक कार्ये (विशेषतः, RAM) प्रभावित होत नाहीत.

आम्ही कसे काम करतो

आमच्याकडे FSTEC द्वारे प्रमाणित हायपरवाइजरवर क्लाउड सेगमेंट लागू केले आहे (परंतु NDV-4 साठी प्रमाणपत्राशिवाय). हा विभाग प्रमाणित केला गेला आहे, त्यामुळे वैयक्तिक डेटा त्यावर आधारित क्लाउडमध्ये संग्रहित केला जाऊ शकतो सुरक्षा 3 आणि 4 स्तर — अघोषित क्षमतांपासून संरक्षणाची आवश्यकता येथे पाळण्याची गरज नाही. येथे, तसे, आमच्या सुरक्षित क्लाउड विभागाचे आर्किटेक्चर आहे:

वैयक्तिक डेटासाठी सिस्टम सुरक्षा 1 आणि 2 स्तर आम्ही केवळ समर्पित उपकरणांवर अंमलबजावणी करतो. केवळ या प्रकरणात, उदाहरणार्थ, UBI.101 ची धमकी खरोखरच संबंधित नाही, कारण सर्व्हर रॅक जे एका आभासी वातावरणाद्वारे एकत्रित नसतात ते एकाच डेटा सेंटरमध्ये असताना देखील एकमेकांवर प्रभाव टाकू शकत नाहीत. अशा प्रकरणांसाठी, आम्ही एक समर्पित उपकरणे भाड्याने देण्याची सेवा ऑफर करतो (याला सेवा म्हणून हार्डवेअर देखील म्हणतात).

तुमच्या वैयक्तिक डेटा सिस्टमसाठी कोणत्या स्तरावरील सुरक्षिततेची आवश्यकता आहे याची तुम्हाला खात्री नसल्यास, आम्ही त्याचे वर्गीकरण करण्यात देखील मदत करतो.

निष्कर्ष

आमच्या लहान बाजार संशोधनात असे दिसून आले आहे की काही क्लाउड ऑपरेटर ऑर्डर प्राप्त करण्यासाठी ग्राहक डेटाची सुरक्षितता आणि त्यांचे स्वतःचे भविष्य दोन्ही धोक्यात घालण्यास तयार आहेत. परंतु या प्रकरणांमध्ये आम्ही एका वेगळ्या धोरणाचे पालन करतो, ज्याचे आम्ही वर वर्णन केले आहे. टिप्पण्यांमध्ये आपल्या प्रश्नांची उत्तरे देण्यात आम्हाला आनंद होईल.

स्त्रोत: www.habr.com