"Dan ia akan berlaku": bahawa penyedia awan tidak berunding tentang data peribadi

Pada suatu hari kami menerima permintaan untuk perkhidmatan awan. Kami menggariskan secara umum perkara yang diperlukan daripada kami dan menghantar semula senarai soalan untuk menjelaskan butirannya. Kemudian kami menganalisis jawapan dan menyedari: pelanggan ingin meletakkan data peribadi tahap kedua keselamatan dalam awan. Kami menjawabnya: "Anda mempunyai data peribadi tahap kedua, maaf, kami hanya boleh mencipta awan peribadi." Dan dia: "Anda tahu, tetapi dalam syarikat X mereka boleh menyiarkan segala-galanya kepada saya secara terbuka."

Foto oleh Steve Crisp, Reuters

Perkara pelik! Kami pergi ke laman web syarikat X, mengkaji dokumen pensijilan mereka, menggelengkan kepala dan menyedari: terdapat banyak soalan terbuka dalam penempatan data peribadi dan mereka harus ditangani dengan teliti. Itulah yang akan kami lakukan dalam siaran ini.

Bagaimana semuanya harus berfungsi

Mula-mula, mari kita fikirkan kriteria yang digunakan untuk mengklasifikasikan data peribadi sebagai satu atau satu lagi tahap keselamatan. Ini bergantung pada kategori data, bilangan subjek data ini yang disimpan dan diproses oleh pengendali, serta jenis ancaman semasa.

Jenis ancaman semasa ditakrifkan dalam Dekri Kerajaan Persekutuan Rusia No. 1119 bertarikh 1 November 2012 "Mengenai kelulusan keperluan untuk perlindungan data peribadi semasa pemprosesannya dalam sistem maklumat data peribadi":

“Ancaman jenis 1 adalah relevan untuk sistem maklumat jika ia termasuk ancaman semasa berkaitan dengan kehadiran keupayaan yang tidak didokumentasikan (tidak diisytiharkan). dalam perisian sistemdigunakan dalam sistem maklumat.

Ancaman jenis ke-2 adalah relevan untuk sistem maklumat jika untuknya, termasuk ancaman semasa berkaitan dengan kehadiran keupayaan yang tidak didokumentasikan (tidak diisytiharkan). dalam perisian aplikasidigunakan dalam sistem maklumat.

Ancaman jenis ke-3 adalah relevan untuk sistem maklumat jika untuknya ancaman yang tidak berkaitan dengan kehadiran keupayaan yang tidak didokumentasikan (tidak diisytiharkan). dalam sistem dan perisian aplikasidigunakan dalam sistem maklumat."

Perkara utama dalam definisi ini ialah kehadiran keupayaan yang tidak didokumentasikan (tidak diisytiharkan). Untuk mengesahkan ketiadaan keupayaan perisian tidak berdokumen (dalam kes awan, ini adalah hypervisor), pensijilan dijalankan oleh FSTEC Rusia. Jika pengendali PD menerima bahawa tiada keupayaan sedemikian dalam perisian, maka ancaman yang sepadan adalah tidak relevan. Ancaman jenis 1 dan 2 sangat jarang dianggap relevan oleh pengendali PD.

Selain menentukan tahap keselamatan PD, pengendali juga mesti menentukan ancaman semasa khusus kepada awan awam dan, berdasarkan tahap keselamatan PD yang dikenal pasti dan ancaman semasa, menentukan langkah dan cara perlindungan yang perlu terhadapnya.

FSTEC menyenaraikan dengan jelas semua ancaman utama dalam NOS (pangkalan data ancaman). Penyedia dan penilai infrastruktur awan menggunakan pangkalan data ini dalam kerja mereka. Berikut adalah contoh ancaman:

UBI.44: "Ancaman ialah kemungkinan melanggar keselamatan data pengguna program yang beroperasi di dalam mesin maya oleh perisian hasad yang beroperasi di luar mesin maya." Ancaman ini disebabkan oleh kehadiran kelemahan dalam perisian hypervisor, yang memastikan bahawa ruang alamat yang digunakan untuk menyimpan data pengguna untuk program yang beroperasi di dalam mesin maya diasingkan daripada capaian yang tidak dibenarkan oleh perisian hasad yang beroperasi di luar mesin maya.

Pelaksanaan ancaman ini adalah mungkin dengan syarat bahawa kod program berniat jahat berjaya mengatasi sempadan mesin maya, bukan sahaja dengan mengeksploitasi kelemahan hypervisor, tetapi juga dengan melaksanakan kesan sedemikian daripada tahap yang lebih rendah (berbanding dengan hypervisor) sistem berfungsi."

UBI.101: “Ancamannya terletak pada kemungkinan akses tanpa kebenaran kepada maklumat yang dilindungi satu pengguna perkhidmatan awan daripada yang lain. Ancaman ini disebabkan oleh hakikat bahawa, disebabkan sifat teknologi awan, pengguna perkhidmatan awan perlu berkongsi infrastruktur awan yang sama. Ancaman ini boleh direalisasikan jika ralat dibuat apabila memisahkan elemen infrastruktur awan antara pengguna perkhidmatan awan, serta apabila mengasingkan sumber mereka dan memisahkan data antara satu sama lain."

Anda hanya boleh melindungi daripada ancaman ini dengan bantuan hypervisor, kerana ia adalah yang menguruskan sumber maya. Oleh itu, hypervisor mesti dianggap sebagai alat perlindungan.

Dan sesuai dengan dengan perintah FSTEC No. 21 bertarikh 18 Februari 2013, hypervisor mesti disahkan sebagai bukan NDV pada tahap 4, jika tidak, penggunaan data peribadi tahap 1 dan 2 dengannya akan menyalahi undang-undang (“Fasal 12. ... Untuk memastikan tahap 1 dan 2 keselamatan data peribadi, serta memastikan tahap 3 keselamatan data peribadi dalam sistem maklumat yang ancaman jenis 2 diklasifikasikan sebagai semasa, alat keselamatan maklumat digunakan, perisian yang telah digunakan. diuji sekurang-kurangnya mengikut 4 tahap kawalan ke atas ketiadaan keupayaan yang tidak diisytiharkan").

Hanya satu hypervisor, dibangunkan di Rusia, mempunyai tahap pensijilan yang diperlukan, NDV-4. Cakrawala matahari. Secara ringkasnya, bukan penyelesaian yang paling popular. Awan komersial biasanya dibina berdasarkan VMware vSphere, KVM, Microsoft Hyper-V. Tiada produk ini disahkan NDV-4. kenapa? Berkemungkinan memperoleh pensijilan sedemikian untuk pengilang belum lagi wajar dari segi ekonomi.

Dan semua yang tinggal untuk kami untuk data peribadi tahap 1 dan 2 dalam awan awam ialah Horizon BC. Sedih tapi benar.

Bagaimana semuanya (pada pendapat kami) benar-benar berfungsi

Pada pandangan pertama, semuanya agak ketat: ancaman ini mesti dihapuskan dengan mengkonfigurasi mekanisme perlindungan standard hypervisor yang diperakui mengikut NDV-4 dengan betul. Tetapi ada satu kelemahan. Selaras dengan Perintah FSTEC No. 21 (“fasal 2 Keselamatan data peribadi apabila diproses dalam sistem maklumat data peribadi (selepas ini dirujuk sebagai sistem maklumat) dipastikan oleh pengendali atau orang yang memproses data peribadi bagi pihak pengendali mengikut undang-undang Persekutuan Russia"), pembekal secara bebas menilai kaitan kemungkinan ancaman dan memilih langkah perlindungan dengan sewajarnya. Oleh itu, jika anda tidak menerima ancaman UBI.44 dan UBI.101 sebagai semasa, maka tidak perlu menggunakan hypervisor yang diperakui mengikut NDV-4, iaitu apa yang sepatutnya memberikan perlindungan terhadapnya. Dan ini akan mencukupi untuk mendapatkan sijil pematuhan awan awam dengan tahap 1 dan 2 keselamatan data peribadi, yang Roskomnadzor akan berpuas hati sepenuhnya.

Sudah tentu, sebagai tambahan kepada Roskomnadzor, FSTEC mungkin datang dengan pemeriksaan - dan organisasi ini lebih teliti dalam hal teknikal. Dia mungkin akan berminat tentang mengapa sebenarnya ancaman UBI.44 dan UBI.101 dianggap tidak relevan? Tetapi biasanya FSTEC menjalankan pemeriksaan hanya apabila ia menerima maklumat tentang beberapa insiden penting. Dalam kes ini, perkhidmatan persekutuan mula-mula datang kepada pengendali data peribadi - iaitu, pelanggan perkhidmatan awan. Dalam kes yang paling teruk, pengendali menerima denda kecil - contohnya, untuk Twitter pada awal tahun denda dalam kes yang sama berjumlah 5000 rubel. Kemudian FSTEC pergi lebih jauh ke penyedia perkhidmatan awan. Yang mungkin dilucutkan lesen kerana kegagalan untuk mematuhi keperluan kawal selia - dan ini adalah risiko yang sama sekali berbeza, untuk penyedia awan dan untuk pelanggannya. Tetapi, saya ulangi, Untuk menyemak FSTEC, anda biasanya memerlukan sebab yang jelas. Jadi penyedia awan sanggup mengambil risiko. Sehingga kejadian serius pertama.

Terdapat juga sekumpulan penyedia "lebih bertanggungjawab" yang percaya bahawa adalah mungkin untuk menutup semua ancaman dengan menambahkan alat tambah seperti vGate pada hipervisor. Tetapi dalam persekitaran maya yang diedarkan di kalangan pelanggan untuk beberapa ancaman (contohnya, UBI.101 di atas), mekanisme perlindungan yang berkesan hanya boleh dilaksanakan pada tahap hypervisor yang diperakui mengikut NDV-4, memandangkan sebarang sistem tambahan untuk fungsi standard hipervisor untuk mengurus sumber (khususnya, RAM) tidak menjejaskan.

Bagaimana kita bekerja

Kami mempunyai segmen awan yang dilaksanakan pada hipervisor yang diperakui oleh FSTEC (tetapi tanpa pensijilan untuk NDV-4). Segmen ini diperakui, jadi data peribadi boleh disimpan dalam awan berdasarkannya 3 dan 4 tahap keselamatan — keperluan untuk perlindungan terhadap keupayaan yang tidak diisytiharkan tidak perlu dipatuhi di sini. Di sini, secara kebetulan, adalah seni bina segmen awan selamat kami:

Sistem untuk data peribadi 1 dan 2 tahap keselamatan Kami melaksanakan hanya pada peralatan khusus. Hanya dalam kes ini, sebagai contoh, ancaman UBI.101 benar-benar tidak relevan, kerana rak pelayan yang tidak disatukan oleh satu persekitaran maya tidak boleh mempengaruhi satu sama lain walaupun terletak di pusat data yang sama. Untuk kes sedemikian, kami menawarkan perkhidmatan penyewaan peralatan khusus (ia juga dipanggil Perkakasan sebagai perkhidmatan).

Jika anda tidak pasti tahap keselamatan yang diperlukan untuk sistem data peribadi anda, kami juga membantu dalam mengklasifikasikannya.

Output

Penyelidikan pasaran kecil kami menunjukkan bahawa sesetengah pengendali awan agak bersedia untuk mempertaruhkan kedua-dua keselamatan data pelanggan dan masa depan mereka sendiri untuk menerima pesanan. Tetapi dalam perkara ini kami mematuhi dasar yang berbeza, yang kami terangkan secara ringkas di atas. Kami dengan senang hati akan menjawab soalan anda dalam ulasan.

Sumber: www.habr.com