"र त्यसले गर्नेछ": त्यो क्लाउड प्रदायकहरूले व्यक्तिगत डेटाको बारेमा वार्ता गर्दैनन्

एक दिन हामीले क्लाउड सेवाहरूको लागि अनुरोध प्राप्त गर्यौं। हामीले सामान्य सर्तहरूमा हामीलाई के चाहिन्छ भनेर उल्लेख गर्यौं र विवरणहरू स्पष्ट गर्न प्रश्नहरूको सूची फिर्ता पठाएका छौं। त्यसपछि हामीले जवाफहरू विश्लेषण गर्यौं र महसुस गर्यौं: ग्राहकले क्लाउडमा दोस्रो स्तरको सुरक्षाको व्यक्तिगत डेटा राख्न चाहन्छ। हामी उसलाई जवाफ दिन्छौं: "तपाईंसँग व्यक्तिगत डेटाको दोस्रो स्तर छ, माफ गर्नुहोस्, हामी केवल एक निजी क्लाउड सिर्जना गर्न सक्छौं।" र उसले: "तपाईंलाई थाहा छ, तर कम्पनी X मा उनीहरूले मलाई सबै कुरा सार्वजनिक रूपमा पोस्ट गर्न सक्छन्।"

स्टीव क्रिस्प द्वारा फोटो, रोयटर्स

अनौठो कुरा ! हामी कम्पनी X को वेबसाइटमा गयौं, तिनीहरूको प्रमाणीकरण कागजातहरू अध्ययन गर्यौं, हाम्रो टाउको हल्लायौं र महसुस गर्यौं: व्यक्तिगत डेटाको प्लेसमेन्टमा धेरै खुला प्रश्नहरू छन् र तिनीहरूलाई राम्ररी सम्बोधन गर्नुपर्छ। हामी यो पोस्टमा के गर्नेछौं।

सबै कुरा कसरी काम गर्नुपर्छ

पहिले, व्यक्तिगत डेटालाई एक वा अर्को सुरक्षा स्तरको रूपमा वर्गीकृत गर्न कुन मापदण्डहरू प्रयोग गरिन्छ भनेर पत्ता लगाउनुहोस्। यो डाटाको वर्गमा निर्भर गर्दछ, यस डाटाका विषयहरूको संख्या जुन अपरेटरले भण्डारण गर्दछ र प्रक्रिया गर्दछ, साथै हालको खतराहरूको प्रकार।

हालको खतराका प्रकारहरू मा परिभाषित गरिएको छ रूसी संघ नम्बर 1119 को सरकार को आदेश मिति नोभेम्बर 1, 2012 "व्यक्तिगत डेटा सूचना प्रणालीहरूमा प्रशोधन गर्दा व्यक्तिगत डेटाको सुरक्षाको लागि आवश्यकताहरूको स्वीकृतिमा":

"टाइप १ धम्कीहरू सूचना प्रणालीसँग सान्दर्भिक छन् यदि यसमा समावेश छ सम्बन्धित वर्तमान खतराहरू अप्रमाणित (अघोषित) क्षमताहरूको उपस्थितिको साथ प्रणाली सफ्टवेयर मासूचना प्रणालीमा प्रयोग गरिन्छ।

2nd प्रकारको धम्कीहरू सूचना प्रणालीको लागि सान्दर्भिक छन् यदि यसको लागि, सहित सम्बन्धित वर्तमान खतराहरू अप्रमाणित (अघोषित) क्षमताहरूको उपस्थितिको साथ आवेदन सफ्टवेयर मासूचना प्रणालीमा प्रयोग गरिन्छ।

तेस्रो प्रकारका धम्कीहरू सूचना प्रणालीको लागि सान्दर्भिक छन् यदि यसको लागि धम्कीहरू जुन सम्बन्धित छैन अप्रमाणित (अघोषित) क्षमताहरूको उपस्थितिको साथ प्रणाली र अनुप्रयोग सफ्टवेयर मासूचना प्रणालीमा प्रयोग गरिन्छ।"

यी परिभाषाहरूमा मुख्य कुरा अप्रमाणित (अघोषित) क्षमताहरूको उपस्थिति हो। कागजात नभएको सफ्टवेयर क्षमताहरूको अनुपस्थिति पुष्टि गर्न (क्लाउडको अवस्थामा, यो हाइपरभाइजर हो), प्रमाणीकरण रूसको FSTEC द्वारा गरिन्छ। यदि PD अपरेटरले सफ्टवेयरमा त्यस्ता कुनै क्षमताहरू छैनन् भनी स्वीकार गर्दछ भने, त्यसपछि सम्बन्धित धम्कीहरू अप्रासंगिक छन्। प्रकार 1 र 2 को खतरा PD अपरेटरहरू द्वारा अत्यन्तै विरलै सान्दर्भिक मानिन्छ।

PD सुरक्षाको स्तर निर्धारण गर्नुको अतिरिक्त, अपरेटरले सार्वजनिक क्लाउडको लागि निर्दिष्ट वर्तमान खतराहरू पनि निर्धारण गर्नुपर्छ र PD सुरक्षा र हालको खतराहरूको पहिचान गरिएको स्तरको आधारमा, आवश्यक उपायहरू र तिनीहरू विरुद्ध सुरक्षाको माध्यमहरू निर्धारण गर्नुपर्दछ।

FSTEC ले सबै मुख्य खतराहरू स्पष्ट रूपमा सूचीबद्ध गर्दछ NOS (धम्की डाटाबेस)। क्लाउड पूर्वाधार प्रदायक र मूल्याङ्कनकर्ताहरूले आफ्नो काममा यो डाटाबेस प्रयोग गर्छन्। यहाँ धम्कीका उदाहरणहरू छन्:

UBI.44: "धम्की भनेको भर्चुअल मेसिनको बाहिर सञ्चालन हुने दुर्भावनापूर्ण सफ्टवेयरद्वारा भर्चुअल मेसिन भित्र सञ्चालित कार्यक्रमहरूको प्रयोगकर्ता डेटाको सुरक्षा उल्लङ्घन गर्ने सम्भावना हो।" यो खतरा हाइपरभाइजर सफ्टवेयरमा कमजोरीहरूको उपस्थितिको कारणले हो, जसले भर्चुअल मेसिन भित्र सञ्चालित कार्यक्रमहरूको लागि प्रयोगकर्ता डेटा भण्डारण गर्न प्रयोग गरिने ठेगाना ठाउँलाई भर्चुअल मेसिन बाहिर सञ्चालन हुने दुर्भावनापूर्ण सफ्टवेयरद्वारा अनाधिकृत पहुँचबाट अलग गरिएको सुनिश्चित गर्दछ।

यस धम्कीको कार्यान्वयन सम्भव छ यदि द्वेषपूर्ण प्रोग्राम कोडले हाइपरभाइजरको कमजोरीहरूको शोषण गरेर मात्र नभई निम्न (हाइपरभाइजरको सापेक्ष) स्तरबाट यस्तो प्रभाव पारेर भर्चुअल मेसिनको सीमाहरू सफलतापूर्वक पार गर्दछ। प्रणाली कार्य गर्दछ।"

UBI.101: “धम्की एक क्लाउड सेवा उपभोक्ताको अर्कोबाट सुरक्षित जानकारीमा अनधिकृत पहुँचको सम्भावनामा छ। यो खतरा क्लाउड टेक्नोलोजीहरूको प्रकृतिको कारणले गर्दा क्लाउड सेवा उपभोक्ताहरूले समान क्लाउड पूर्वाधार साझा गर्नु पर्ने तथ्यको कारण हो। क्लाउड सेवा उपभोक्ताहरू बीच क्लाउड पूर्वाधार तत्वहरू अलग गर्दा, साथै तिनीहरूका स्रोतहरू अलग गर्दा र डेटा एकअर्काबाट अलग गर्दा त्रुटिहरू भएमा यो खतरा महसुस गर्न सकिन्छ।"

तपाईंले हाइपरभाइजरको मद्दतले मात्र यी खतराहरू विरुद्ध सुरक्षा गर्न सक्नुहुन्छ, किनकि यो भर्चुअल स्रोतहरू व्यवस्थापन गर्ने हो। तसर्थ, हाइपरभाइजरलाई सुरक्षाको माध्यम मान्नु पर्छ।

र अनुसार FSTEC नम्बर 21 को आदेश द्वारा फेब्रुअरी 18, 2013 मा, हाइपरभाइजरलाई स्तर 4 मा गैर-NDV को रूपमा प्रमाणित हुनुपर्छ, अन्यथा स्तर 1 र 2 व्यक्तिगत डेटाको प्रयोग अवैध हुनेछ ("खण्ड 12। ... व्यक्तिगत डेटा सुरक्षाको स्तर 1 र 2 सुनिश्चित गर्न, साथै सूचना प्रणालीहरूमा व्यक्तिगत डेटा सुरक्षाको स्तर 3 सुनिश्चित गर्न जसको लागि टाइप 2 खतराहरू वर्तमानको रूपमा वर्गीकृत गरिएको छ, सूचना सुरक्षा उपकरणहरू प्रयोग गरिन्छ, जसको सफ्टवेयर गरिएको छ। अघोषित क्षमताहरूको अभावमा कम्तिमा 4 स्तरको नियन्त्रण अनुसार परीक्षण गरियो").

केवल एक हाइपरवाइजर, रूस मा विकसित, प्रमाणीकरण को आवश्यक स्तर छ, NDV-4। सूर्य क्षितिज। यसलाई हल्का राख्नको लागि, सबैभन्दा लोकप्रिय समाधान होइन। व्यावसायिक क्लाउडहरू, एक नियमको रूपमा, VMware vSphere, KVM, Microsoft Hyper-V को आधारमा बनाइन्छ। यी उत्पादनहरू मध्ये कुनै पनि NDV-4 प्रमाणित छैन। किन? यो सम्भव छ कि निर्माताहरु को लागी यस्तो प्रमाणीकरण प्राप्त गर्न को लागी आर्थिक रूप देखि न्यायसंगत छैन।

र सार्वजनिक क्लाउडमा स्तर 1 र 2 व्यक्तिगत डेटाको लागि हाम्रो लागि बाँकी रहेको सबै होराइजन BC हो। दुखद तर सत्य।

कसरी सबै कुरा (हाम्रो विचारमा) वास्तवमा काम गर्दछ

पहिलो नजरमा, सबै कुरा एकदम कडा छ: यी खतराहरू NDV-4 अनुसार प्रमाणित हाइपरभाइजरको मानक सुरक्षा संयन्त्रहरू सही रूपमा कन्फिगर गरेर हटाउनु पर्छ। तर त्यहाँ एउटा गल्ती छ। FSTEC आदेश नम्बर 21 अनुसार ("खण्ड 2 व्यक्तिगत डेटा सूचना प्रणालीमा प्रशोधन गर्दा व्यक्तिगत डेटाको सुरक्षा (यसपछि सूचना प्रणाली भनिन्छ) अपरेटर वा अपरेटरको तर्फबाट व्यक्तिगत डेटा प्रशोधन गर्ने व्यक्तिद्वारा सुनिश्चित गरिन्छ। विधान रूसी संघ"), प्रदायकहरूले स्वतन्त्र रूपमा सम्भावित खतराहरूको सान्दर्भिकताको मूल्याङ्कन गर्छन् र तदनुसार सुरक्षा उपायहरू छनौट गर्छन्। त्यसकारण, यदि तपाईंले UBI.44 र UBI.101 लाई हालको रूपमा धम्कीहरू स्वीकार गर्नुहुन्न भने, NDV-4 अनुसार प्रमाणित हाइपरभाइजर प्रयोग गर्न आवश्यक पर्दैन, जुन तिनीहरू विरुद्ध सुरक्षा प्रदान गर्नुपर्छ। र यो व्यक्तिगत डेटा सुरक्षाको स्तर 1 र 2 को साथ सार्वजनिक क्लाउडको अनुपालनको प्रमाणपत्र प्राप्त गर्न पर्याप्त हुनेछ, जुन Roskomnadzor पूर्ण रूपमा सन्तुष्ट हुनेछ।

निस्सन्देह, Roskomnadzor को अतिरिक्त, FSTEC एक निरीक्षण संग आउन सक्छ - र यो संगठन प्राविधिक मामिलामा धेरै सावधान छ। UBI.44 र UBI.101 लाई किन ठ्याक्कै अप्रासंगिक मानिएको थियो भन्ने कुरामा उनी शायद चासो राख्नेछन्? तर सामान्यतया FSTEC ले कुनै महत्त्वपूर्ण घटनाको जानकारी प्राप्त गरेपछि मात्र निरीक्षण गर्छ। यस अवस्थामा, संघीय सेवा पहिले व्यक्तिगत डाटा अपरेटरमा आउँछ - त्यो क्लाउड सेवाहरूको ग्राहक हो। सबैभन्दा खराब अवस्थामा, अपरेटरले सानो जरिवाना प्राप्त गर्दछ - उदाहरणका लागि, वर्षको सुरुमा ट्विटरको लागि राम्रो समान मामला मा 5000 rubles को रकम। त्यसपछि FSTEC क्लाउड सेवा प्रदायकमा जान्छ। जुन नियामक आवश्यकताहरूको पालना गर्न असफल भएको कारणले इजाजतपत्रबाट वञ्चित हुन सक्छ - र यी दुवै क्लाउड प्रदायक र यसका ग्राहकहरूको लागि पूर्ण रूपमा फरक जोखिमहरू हुन्। तर, म दोहोर्‍याउँछु, FSTEC जाँच गर्न, तपाईंलाई सामान्यतया स्पष्ट कारण चाहिन्छ। त्यसैले क्लाउड प्रदायकहरू जोखिम लिन इच्छुक छन्। पहिलो गम्भीर घटना सम्म।

हाइपरभाइजरमा vGate जस्ता एड-अन थपेर सबै खतराहरू बन्द गर्न सम्भव छ भन्ने विश्वास गर्ने "अधिक जिम्मेवार" प्रदायकहरूको समूह पनि छ। तर केही खतराहरू (उदाहरणका लागि, माथिको UBI.101) को लागि ग्राहकहरू बीच वितरित भर्चुअल वातावरणमा, प्रभावकारी सुरक्षा संयन्त्र NDV-4 अनुसार प्रमाणित हाइपरभाइजरको स्तरमा मात्र लागू गर्न सकिन्छ, किनकि कुनै पनि एड-अन प्रणालीहरू स्रोतहरू प्रबन्ध गर्नका लागि हाइपरभाइजरको मानक कार्यहरू (विशेष गरी RAM) लाई असर गर्दैन।

हामी कसरी काम गर्छौं

हामीसँग FSTEC द्वारा प्रमाणित हाइपरभाइजरमा लागू गरिएको क्लाउड खण्ड छ (तर NDV-4 को लागि प्रमाणीकरण बिना)। यो खण्ड प्रमाणित छ, त्यसैले व्यक्तिगत डेटा क्लाउडमा भण्डारण गर्न सकिन्छ सुरक्षा को 3 र 4 स्तर - अघोषित क्षमताहरू विरुद्ध सुरक्षाको लागि आवश्यकताहरू यहाँ अवलोकन गर्न आवश्यक छैन। यहाँ, वैसे, हाम्रो सुरक्षित क्लाउड खण्डको वास्तुकला हो:

व्यक्तिगत डेटा को लागी प्रणाली सुरक्षा को 1 र 2 स्तर हामी केवल समर्पित उपकरणहरूमा लागू गर्दछौं। केवल यस अवस्थामा, उदाहरणका लागि, UBI.101 को खतरा साँच्चै सान्दर्भिक छैन, किनकि एउटै भर्चुअल वातावरणद्वारा एकताबद्ध नभएका सर्भर र्याकहरूले एउटै डाटा केन्द्रमा अवस्थित हुँदा पनि एकअर्कालाई प्रभाव पार्न सक्दैन। त्यस्ता अवस्थाहरूको लागि, हामी एक समर्पित उपकरण भाडा सेवा प्रस्ताव गर्दछौं (यसलाई सेवाको रूपमा हार्डवेयर पनि भनिन्छ)।

यदि तपाइँ तपाइँको व्यक्तिगत डेटा प्रणाली को लागी सुरक्षा को स्तर को आवश्यकता छ भनेर निश्चित हुनुहुन्न भने, हामी यसलाई वर्गीकरण गर्न पनि मद्दत गर्दछौं।

निष्कर्षमा

हाम्रो सानो बजार अनुसन्धानले देखाएको छ कि केहि क्लाउड अपरेटरहरू ग्राहक डेटाको सुरक्षा र अर्डर प्राप्त गर्नको लागि तिनीहरूको आफ्नै भविष्य दुवै जोखिममा पार्न इच्छुक छन्। तर यी मामिलाहरूमा हामी एक फरक नीतिको पालना गर्छौं, जुन हामीले माथि संक्षिप्त रूपमा वर्णन गरेका छौं। हामी टिप्पणीहरूमा तपाईंको प्रश्नहरूको जवाफ दिन खुसी हुनेछौं।

स्रोत: www.habr.com