Pewnego dnia dostaliśmy zapytanie o usługi chmurowe. Oszacowaliśmy ogólnie, co może być potrzebne, i wysłaliśmy listę pytań w celu uzyskania szczegółowych informacji. Następnie przeanalizowaliśmy odpowiedzi i zrozumieliśmy: klient chce umieścić w chmurze dane osobowe o drugim poziomie zabezpieczeń. Odpowiadamy: „Macie drugą klasę danych osobowych, przepraszam, możemy zrobić tylko chmurę prywatną”. A on: „Wiecie, w firmie X mogą wrzucić wszystko do publicznej chmury”.
Zdjęcie Steve'a Crispa, Reuters
Dziwne sprawy! Poszliśmy na stronę firmy X, przejrzeliśmy ich dokumenty certyfikacyjne, pokręciliśmy głowami i zrozumieliśmy: istnieje wiele otwartych pytań dotyczących umieszczania danych osobowych, które należy dobrze przeanalizować. Czym się zajmiemy w tym poście.
Jak wszystko powinno działać
Na początek przyjrzymy się kryteriom, według których dane osobowe są kwalifikowane do danego poziomu zabezpieczeń. Zależy to od kategorii danych, liczby podmiotów tych danych, które przechowuje i przetwarza operator, a także od typu aktualnych zagrożeń.
Definicja typów aktualnych zagrożeń została przedstawiona w z dnia 1 listopada 2012 r. „O zatwierdzeniu wymagań dotyczących ochrony danych osobowych podczas ich przetwarzania w informacyjnych systemach danych osobowych”:
„Zagrożenia pierwszego typu są aktualne dla systemu informacyjnego, jeśli dla niego w szczególności są aktualne zagrożenia związane z istnieniem niedokumentowanych (niezadeklarowanych) możliwości w oprogramowaniu systemowym, stosowanym w systemie informacyjnym.
Zagrożenia drugiego typu są aktualne dla systemu informacyjnego, jeśli dla niego w szczególności są aktualne zagrożenia związane z istnieniem niedokumentowanych (niezadeklarowanych) możliwości w oprogramowaniu aplikacyjnym., stosowanym w systemie informacyjnym.
Zagrożenia trzeciego typu są aktualne dla systemu informacyjnego, jeśli dla niego są aktualne zagrożenia, które nie są związane z istnieniem niedokumentowanych (niezadeklarowanych) możliwości w oprogramowaniu systemowym i aplikacyjnym, stosowanym w systemie informacyjnym.”
Kluczowe w tych definicjach jest istnienie niedokumentowanych (niedeklarowanych) możliwości. Aby potwierdzić brak niedokumentowanych możliwości oprogramowania (w przypadku chmury to hipernadzorca), przeprowadza się certyfikację FSTEC Rosji. Jeśli operator danych osobowych uznaje, że takie możliwości nie istnieją w oprogramowaniu, to również odpowiednie zagrożenia stają się nieaktualne. Operatorzy danych osobowych niezwykle rzadko uznają zagrożenia pierwszego i drugiego typu za aktualne.
Oprócz określenia poziomu ochrony danych osobowych, operator musi również zidentyfikować konkretne aktualne zagrożenia dla publicznej chmury i na podstawie wykrytego poziomu ochrony danych osobowych oraz aktualnych zagrożeń określić niezbędne środki i metody obrony przed nimi.
W FSTEC wszystkie główne zagrożenia są wyraźnie wymienione w (bazie danych zagrożeń). Dostawcy i certyfikatorzy infrastruktury chmurowej korzystają z tej bazy w swojej pracy. Oto przykłady zagrożeń:
: „Zagrożenie polega na możliwości naruszenia bezpieczeństwa danych użytkowników programów działających wewnątrz maszyny wirtualnej przez złośliwe oprogramowanie działające poza nią”. To zagrożenie jest spowodowane obecnością luk w oprogramowaniu hipernadzorcy, które zapewnia izolację przestrzeni adresowej używanej do przechowywania danych użytkowników programów działających wewnątrz maszyny wirtualnej przed nieautoryzowanym dostępem z złośliwego oprogramowania działającego poza nią.
Realizacja tego zagrożenia jest możliwa pod warunkiem, że złośliwy kod skutecznie przekroczy granice maszyny wirtualnej, nie tylko poprzez wykorzystanie luk w hipernadzorcy, ale także dzięki wpływowi z niższych poziomów (w odniesieniu do hipernadzorcy) funkcjonowania systemu.
: „Zagrożenie polega na możliwości nieautoryzowanego dostępu do chronionych informacji jednego użytkownika usług chmurowych przez innego. To zagrożenie wynika z faktu, że z powodu specyfiki technologii chmurowych użytkownicy usług chmurowych muszą wspólnie korzystać z tej samej infrastruktury chmurowej. Zrealizowanie tego zagrożenia jest możliwe w przypadku popełnienia błędów podczas podziału elementów infrastruktury chmurowej między użytkowników usług chmurowych, jak również podczas izolacji ich zasobów i oddzielania danych od siebie.”,
Można ochronić się przed tymi zagrożeniami tylko przy użyciu hipernadzorcy, ponieważ to on zarządza zasobami wirtualnymi. Dlatego hipernadzorcę należy traktować jako środek ochrony.
I zgodnie z z dnia 18 lutego 2013 r., hipernadzorca musi przejść certyfikację na brak NDU na poziomie 4, inaczej korzystanie z danych osobowych 1 i 2 poziomu z nim będzie nielegalne („pkt 12. … Aby zapewnić poziomy ochrony danych osobowych 1 i 2, a także aby zapewnić poziom ochrony danych osobowych 3 w systemach informacyjnych, dla których zagrożenia drugiego typu są aktualne, stosuje się środki ochrony informacji, oprogramowanie których przeszło kontrolę na nie niższej niż poziom 4 w zakresie braku niewidocznych możliwości”).
Właściwy poziom certyfikacji, NDU-4, posiada tylko jeden hipernadzorca, opracowany w Rosji — . Mówiąc delikatnie, nie jest to najpopularniejsze rozwiązanie. Komercyjne chmury zazwyczaj opierają się na VMware vSphere, KVM, Microsoft Hyper-V. Żaden z tych produktów nie posiada certyfikacji na NDU-4. Dlaczego? Prawdopodobnie uzyskanie takiej certyfikacji dla producentów na razie nie jest ekonomicznie uzasadnione.
A dla danych osobowych 1 i 2 poziomu w publicznej chmurze pozostaje nam tylko Horyzont VC. Smutne, ale prawdziwe.
Jak wszystko (naszym zdaniem) naprawdę działa
Na pierwszy rzut oka, wszystko wygląda dość surowo: wymienione zagrożenia powinny być eliminowane poprzez prawidłowe skonfigurowanie mechanizmów ochrony hipernadzorcy, certyfikowanego na NDU-4. Ale jest jedno zastrzeżenie. Zgodnie z Zarządzeniem FSTEK nr 21 („p.2 Bezpieczeństwo danych osobowych podczas ich przetwarzania w systemie informacyjnym danych osobowych (dalej — system informacyjny) zapewnia operator lub osoba przetwarzająca dane osobowe na zlecenie operatora zgodnie z Federacji Rosyjskiej”), dostawcy samodzielnie oceniają aktualność potencjalnych zagrożeń i w związku z tym wybierają środki ochrony. Dlatego, jeśli zagrożenia UBI.44 i UBI.101 nie zostaną uznane za aktualne, nie będzie potrzeby korzystania z certyfikowanego hipernadzorcy według NDV-4, który ma zapewniać ochronę przed nimi. I to będzie wystarczające do uzyskania świadectwa zgodności publicznej chmury na poziomie 1 i 2 zabezpieczeń PDn, z którego będzie w pełni zadowolony Roskomnadzor.
Oczywiście, oprócz Roskomnadzoru, kontrolę może przeprowadzić FSTEK — i ta organizacja jest znacznie bardziej dociekliwa w kwestiach technicznych. Z pewnością zainteresuje ją, dlaczego to właśnie zagrożenia UBI.44 i UBI.101 zostały uznane za nieaktualne? Zazwyczaj jednak FSTEK przeprowadza kontrolę tylko wtedy, gdy otrzyma informacje o jakimś głośnym incydencie. W takim przypadku federalna służba najpierw przychodzi do operatora danych osobowych — to znaczy zleceniodawcy usług chmurowych. W najgorszym przypadku operator otrzymuje niewielką grzywnę — na przykład dla Twittera na początku roku w podobnym przypadku wyniosła 5000 rubli. Następnie FSTEK idzie dalej, do dostawcy usług chmurowych. Któremu całkowicie może zostać odebrana licencja z powodu niewykonania wymogów regulacyjnych — a to już zupełnie inne ryzyka, zarówno dla dostawcy chmury, jak i dla jego klientów. Ale, powtarzam, do kontroli FSTEK zazwyczaj potrzebny jest wyraźny powód. Więc dostawcy chmur są gotowi podjąć ryzyko. Do pierwszego poważnego incydentu.
Istnieje jeszcze grupa "bardziej odpowiedzialnych" dostawców, którzy uważają, że można zamknąć wszystkie zagrożenia, uzupełniając hipernadzorcę nadbudową typu vGate. Jednak w rozdzielonym między klientów wirtualnym środowisku dla niektórych zagrożeń (np. wymienione powyżej UBI.101) skuteczny mechanizm ochrony można zrealizować tylko na poziomie certyfikowanej hipernadzorcy według NDW-4, ponieważ jakiekolwiek systemy nadbudowy nie wpływają na standardowe funkcje pracy hipernadzorcy w zakresie zarządzania zasobami (w szczególności pamięcią RAM).
Jak działamy
Mamy segment chmurowy, zrealizowany na hipernadzorcy, certyfikowanej przez FSTEK (ale bez certyfikacji według NDW-4). Ten segment jest zaświadczony, więc w chmurze na jego podstawie można przechowywać dane osobowe. poziomy ochrony 3 i 4 — wymagania dotyczące ochrony przed niedeklarowanymi możliwościami nie muszą być tutaj przestrzegane. Oto zresztą architektura naszego zabezpieczonego segmentu chmurowego:
Systemy dla danych osobowych poziomy ochrony 1 i 2 realizujemy tylko na dedykowanym sprzęcie. Tylko w takim przypadku, na przykład zagrożenie UBI.101 rzeczywiście nie jest aktualne, ponieważ serwerowe szafki, nie połączone jednym wirtualnym środowiskiem, nie mogą wpływać na siebie nawzajem, nawet jeśli znajdują się w tym samym DC. W takich przypadkach oferujemy usługę wynajmu dedykowanego sprzętu (znaną również jako Hardware as a service, sprzęt jako usługa).
Jeśli nie jesteś pewien, jaki poziom ochrony jest wymagany dla twojego systemu danych osobowych, również pomagamy w ich klasyfikacji.
Wnioski
Nasze małe badanie rynku pokazało: niektórzy operatorzy chmurowi są gotowi zaryzykować bezpieczeństwo danych klientów oraz własną przyszłość w celu zdobycia zlecenia. Jednak w tych kwestiach trzymamy się innej polityki, którą krótko opisaliśmy nieco wyżej. Chętnie odpowiemy w komentarzach na twoje pytania.
Źródło: habr.com
