Njëherë morëm një kërkesë për shërbime cloud. Ne përcaktuam kërkesat dhe iu përgjigjëm me një listë pyetjesh për të sqaruar detajet. Më pas i analizuam përgjigjet dhe kuptuam se klienti donte të ruante të dhënat e tij personale (niveli 2 i sigurisë) në cloud. Ne iu përgjigjëm: "Të dhënat tuaja personale janë të nivelit 2 të sigurisë; na vjen keq, ne mund të ofrojmë vetëm një cloud privat." Ai u përgjigj: "E dini, në Kompaninë X ata mund të ruajnë gjithçka për mua në një cloud publik."
Foto nga Steve Crisp, Reuters
Gjëra të çuditshme! Ne shkuam në faqen e internetit të Kompanisë X, shqyrtuam dokumentet e tyre të certifikimit, tundëm kokën dhe kuptuam: ka shumë pyetje të hapura në lidhje me strehimin e të dhënave personale që duhen eksploruar plotësisht. Kjo është ajo që do të bëjmë në këtë postim.
Si duhet të funksionojë
Së pari, le të kuptojmë kriteret sipas të cilave të dhënat personale klasifikohen në nivele të ndryshme sigurie. Kjo varet nga kategoria e të dhënave, numri i subjekteve të të dhënave të ruajtura dhe të përpunuara nga operatori dhe lloji i kërcënimeve aktuale.
Përkufizimi i llojeve të kërcënimeve aktuale është dhënë në nga 1 nëntori 2012 "Për miratimin e kërkesave për mbrojtjen e të dhënave personale gjatë përpunimit të tyre në sistemet e informacionit të të dhënave personale":
“Kërcënimet e Tipit 1 janë të rëndësishme për një sistem informacioni nëse, ndër të tjera, ai kërcënimet që lidhen me të janë të rëndësishme me praninë e aftësive të padokumentuara (të padeklaruara) në softuerin e sistemit, të përdorura në sistemin e informacionit.
Kërcënimet e llojit të dytë janë të rëndësishme për një sistem informacioni nëse, ndër të tjera, ai kërcënimet që lidhen me të janë të rëndësishme me praninë e aftësive të padokumentuara (të padeklaruara) në softuerin e aplikacionit, të përdorura në sistemin e informacionit.
Kërcënimet e tipit të tretë janë të rëndësishme për një sistem informacioni nëse kërcënimet që nuk lidhen me njëra-tjetrën janë relevante me praninë e aftësive të padokumentuara (të padeklaruara) në softuerin e sistemit dhe aplikacionit, të përdorura në sistemin e informacionit."
Çelësi i këtyre përkufizimeve është prania e aftësive të padokumentuara (të padeklaruara). Për të konfirmuar mungesën e aftësive të padokumentuara të softuerit (në rastin e cloud-it, ky është hipervizori), kryhet certifikimi nga Shërbimi Federal Rus për Kontrollin Teknik dhe të Eksportit (FSTEC). Nëse një operator i të dhënave personale pranon se aftësi të tilla mungojnë në softuer, atëherë kërcënimet përkatëse janë të parëndësishme. Operatorët e të dhënave personale shumë rrallë i konsiderojnë kërcënimet e tipit 1 dhe 2 si të rëndësishme.
Përveç përcaktimit të nivelit të sigurisë së të dhënave personale, operatori duhet të identifikojë gjithashtu kërcënime specifike aktuale ndaj cloud-it publik dhe, bazuar në nivelin e identifikuar të sigurisë së të dhënave personale dhe kërcënimeve aktuale, të përcaktojë masat dhe mjetet e nevojshme të mbrojtjes kundër tyre.
FSTEC i ka të gjitha kërcënimet kryesore të listuara qartë në (Baza e të Dhënave të Kërcënimeve). Ofruesit dhe vlerësuesit e infrastrukturës cloud përdorin këtë bazë të dhënash në punën e tyre. Ja disa shembuj të kërcënimeve:
"Kërcënimi qëndron në mundësinë e një shkeljeje të të dhënave të përdoruesit për programet që funksionojnë brenda një makine virtuale nga softuerë dashakeq që funksionojnë jashtë makinës virtuale." Ky kërcënim rrjedh nga dobësitë në softuerin hipervizor që izolon hapësirën e adresave të përdorur për të ruajtur të dhënat e përdoruesit për programet që funksionojnë brenda një makine virtuale nga qasja e paautorizuar nga softuerë dashakeq që funksionojnë jashtë makinës virtuale.
Implementimi i këtij kërcënimi është i mundur me kusht që kodi i softuerit keqdashës të kapërcejë me sukses kufijtë e makinës virtuale jo vetëm duke shfrytëzuar dobësitë e hipervizorit, por edhe duke zbatuar një ndikim të tillë nga nivele më të ulëta (në krahasim me hipervizorin) të funksionimit të sistemit.
"Kërcënimi qëndron në mundësinë e aksesit të paautorizuar në informacionin e mbrojtur të një konsumatori të shërbimit cloud nga një tjetër. Ky kërcënim lind nga fakti se, për shkak të natyrës së teknologjive cloud, konsumatorët e shërbimit cloud janë të detyruar të ndajnë të njëjtën infrastrukturë cloud. Ky kërcënim mund të realizohet nëse bëhen gabime në ndarjen e elementëve të infrastrukturës cloud midis konsumatorëve të shërbimit cloud, si dhe në izolimin e burimeve dhe të dhënave të tyre nga njëri-tjetri."
Këto kërcënime mund të mbrohen vetëm nga një hipervizor, pasi ai menaxhon burimet virtuale. Prandaj, hipervizori duhet të konsiderohet si një mjet sigurie.
Dhe në përputhje me Që nga 18 shkurti 2013, hipervizori duhet të jetë i certifikuar si i lirë nga NDV në nivelin 4, përndryshe përdorimi i të dhënave personale të niveleve 1 dhe 2 me të do të jetë i paligjshëm (“Klauzola 12. … Për të siguruar nivelet 1 dhe 2 të mbrojtjes së të dhënave personale, si dhe për të siguruar nivelin 3 të mbrojtjes së të dhënave personale në sistemet e informacionit për të cilat kërcënimet e tipit 2 konsiderohen të rëndësishme, përdoren mjete të sigurisë së informacionit, softueri i të cilave ka kaluar një test të paktën të nivelit 4 për mungesën e aftësive të padeklaruara.”).
Vetëm një hipervizor, i zhvilluar në Rusi, ka nivelin e kërkuar të certifikimit, NDV-4. Thënë butë, nuk është zgjidhja më e popullarizuar. Retë komerciale zakonisht ndërtohen në VMware vSphere, KVM dhe Microsoft Hyper-V. Asnjë nga këto produkte nuk është i certifikuar NDV-4. Pse? Marrja e një certifikimi të tillë ka të ngjarë të mos jetë ende e realizueshme ekonomikisht për prodhuesit.
Dhe për të dhënat personale të Nivelit 1 dhe Nivelit 2, na mbetet vetëm Horizon BC në cloud-in publik. E trishtueshme, por e vërtetë.
Si funksionon e gjitha (sipas mendimit tonë)
Në shikim të parë, gjithçka duket mjaft strikte: kërcënimet e lartpërmendura duhet të zbuten duke konfiguruar siç duhet mekanizmat standardë të mbrojtjes së një hipervizori të çertifikuar sipas NDV-4. Por ekziston një boshllëk. Në përputhje me Urdhrin FSTEC Nr. 21 ("Klauzola 2 Siguria e të dhënave personale gjatë përpunimit të tyre në sistemin e informacionit të të dhënave personale (në tekstin e mëtejmë i referuar si sistemi i informacionit) sigurohet nga operatori ose personi që përpunon të dhënat personale në emër të operatorit në përputhje me Federata Ruse"), ofruesit vlerësojnë në mënyrë të pavarur rëndësinë e kërcënimeve të mundshme dhe zgjedhin masat e sigurisë në përputhje me rrethanat. Prandaj, nëse kërcënimet UBI.44 dhe UBI.101 nuk konsiderohen të rëndësishme, nuk do të ketë nevojë të përdoret një hipervizor i çertifikuar NDV-4, i cili është pikërisht ai që duhet të ofrojë mbrojtje kundër tyre. Kjo do të jetë e mjaftueshme për të marrë një certifikatë përputhshmërie të reve publike me Nivelet 1 dhe 2 të sigurisë së të dhënave personale, e cila do t'i përmbushë plotësisht kërkesat e Roskomnadzor.
Sigurisht, përveç Roskomnadzor, Shërbimi Federal për Kontrollin Teknik dhe të Eksportit (FSTEC) mund të kryejë gjithashtu një inspektim - dhe kjo organizatë është shumë më e kujdesshme kur bëhet fjalë për çështjet teknike. Sigurisht që do të interesohet pse kërcënimet UBI.44 dhe UBI.101 u konsideruan të parëndësishme. Por FSTEC zakonisht kryen një hetim vetëm kur merr informacion në lidhje me një incident të rëndësishëm. Në raste të tilla, shërbimi federal kontakton së pari operatorin e të dhënave personale - domethënë klientin e shërbimeve cloud. Në skenarin më të keq, operatori merr një gjobë të vogël - siç bëri Twitter më parë këtë vit. Në një rast të ngjashëm, gjoba ishte 5000 rubla. Pastaj FSTEC kalon te ofruesi i shërbimit cloud, të cilit mund t'i revokohet licenca për shkak të mosrespektimit të kërkesave rregullatore - dhe kjo paraqet rreziqe krejtësisht të ndryshme, si për ofruesin e shërbimit cloud ashtu edhe për klientët e tij. Por, e përsëris, Për një inspektim FSTEC, zakonisht nevojitet një arsye e qartë. Pra, ofruesit e shërbimeve cloud janë të gatshëm të marrin rreziqe. Deri në incidentin e parë serioz.
Një grup tjetër ofruesish "më të përgjegjshëm" beson se të gjitha kërcënimet mund të adresohen duke shtuar një shtesë të ngjashme me vGate në hipervizor. Megjithatë, në një mjedis virtual të shpërndarë për kërcënime të caktuara (siç është UBI.101 i përmendur më sipër), një mekanizëm efektiv mbrojtjeje mund të zbatohet vetëm me një hipervizor të çertifikuar nga NDV-4, pasi çdo sistem shtesë nuk ndikon në funksionet standarde të menaxhimit të burimeve të hipervizorit (në veçanti, RAM-in).
Si punojmë
Ne kemi një segment cloud të implementuar në një hipervizor të çertifikuar nga Shërbimi Federal për Kontrollin Teknik dhe të Eksportit (FSTEC) (por jo i çertifikuar nga NDV-4). Ky segment është i çertifikuar, kështu që të dhënat personale mund të ruhen në cloud bazuar në të. 3 dhe 4 nivele sigurie — nuk ka kërkesa për mbrojtje kundër aftësive të padeklaruara këtu. Nga rruga, ja arkitektura e segmentit tonë të sigurt të cloud-it:
Sistemet e të dhënave personale 1 dhe 2 nivele sigurie Ne e zbatojmë këtë zgjidhje vetëm në harduer të dedikuar. Vetëm në këtë rast, për shembull, kërcënimi UBI.101 është vërtet i parëndësishëm, pasi raftet e serverëve që nuk janë të lidhur me një mjedis të vetëm virtual nuk mund të ndikojnë tek njëri-tjetri, edhe kur ndodhen në të njëjtën qendër të dhënash. Për raste të tilla, ne ofrojmë një shërbim të dedikuar me qira të harduerit (i njohur edhe si Hardware as a Service).
Nëse nuk jeni të sigurt se çfarë niveli sigurie kërkohet për sistemin tuaj të të dhënave personale, ne gjithashtu mund t'ju ndihmojmë ta klasifikoni atë.
Prodhim
Hulumtimi ynë i shkurtër i tregut zbuloi se disa ofrues të shërbimeve cloud janë mjaft të gatshëm të rrezikojnë si sigurinë e të dhënave të klientëve të tyre ashtu edhe të ardhmen e tyre për të siguruar një kontratë. Megjithatë, ne kemi një politikë të ndryshme në këto çështje, të cilën e përshkruam shkurtimisht më sipër. Do të jemi të lumtur t'u përgjigjemi pyetjeve tuaja në komente.
Burimi: www.habr.com
