Një ditë morëm një kërkesë për shërbime cloud. Ne përvijuam në terma të përgjithshëm se çfarë do të kërkohej prej nesh dhe dërguam një listë pyetjesh për të sqaruar detajet. Më pas analizuam përgjigjet dhe kuptuam: klienti dëshiron të vendosë të dhënat personale të nivelit të dytë të sigurisë në cloud. Ne i përgjigjemi atij: "Ju keni një nivel të dytë të të dhënave personale, më falni, ne mund të krijojmë vetëm një re private." Dhe ai: "E dini, por në kompaninë X mund të më postojnë gjithçka publikisht."
Foto nga Steve Crisp, Reuters
Gjëra të çuditshme! Ne shkuam në faqen e internetit të kompanisë X, studiuam dokumentet e tyre të certifikimit, tundëm kokën dhe kuptuam: ka shumë pyetje të hapura në vendosjen e të dhënave personale dhe ato duhet të adresohen tërësisht. Kjo është ajo që ne do të bëjmë në këtë postim.
Si duhet të funksionojë gjithçka
Së pari, le të kuptojmë se cilat kritere përdoren për të klasifikuar të dhënat personale si një ose një nivel tjetër sigurie. Kjo varet nga kategoria e të dhënave, numri i subjekteve të këtyre të dhënave që operatori ruan dhe përpunon, si dhe nga lloji i kërcënimeve aktuale.
Llojet e kërcënimeve aktuale janë të përcaktuara në datë 1 nëntor 2012 “Për miratimin e kërkesave për mbrojtjen e të dhënave personale gjatë përpunimit të tyre në sistemet e informacionit të të dhënave personale”:
“Kërcënimet e tipit 1 janë të rëndësishme për një sistem informacioni nëse përfshin kërcënimet aktuale lidhur me me praninë e aftësive të padokumentuara (të padeklaruara). në softuerin e sistemitpërdoret në sistemin e informacionit.
Kërcënimet e llojit të dytë janë të rëndësishme për një sistem informacioni nëse për të, përfshirë kërcënimet aktuale lidhur me me praninë e aftësive të padokumentuara (të padeklaruara). në softuerin aplikativpërdoret në sistemin e informacionit.
Kërcënimet e llojit të tretë janë të rëndësishme për një sistem informacioni nëse për të kërcënime që nuk kanë lidhje me praninë e aftësive të padokumentuara (të padeklaruara). në softuerin e sistemit dhe aplikimitpërdoret në sistemin e informacionit."
Gjëja kryesore në këto përkufizime është prania e aftësive të padokumentuara (të padeklaruara). Për të konfirmuar mungesën e aftësive të softuerit të padokumentuar (në rastin e cloud, ky është një hipervizor), certifikimi kryhet nga FSTEC i Rusisë. Nëse operatori PD pranon se nuk ka aftësi të tilla në softuer, atëherë kërcënimet përkatëse janë të parëndësishme. Kërcënimet e llojeve 1 dhe 2 konsiderohen jashtëzakonisht rrallë të rëndësishme nga operatorët e PD.
Përveç përcaktimit të nivelit të sigurisë së PD-së, operatori duhet të përcaktojë edhe kërcënimet aktuale specifike ndaj cloud-it publik dhe, bazuar në nivelin e identifikuar të sigurisë së PD-së dhe kërcënimeve aktuale, të përcaktojë masat dhe mjetet e nevojshme të mbrojtjes ndaj tyre.
FSTEC rendit qartë të gjitha kërcënimet kryesore në (data e të dhënave të kërcënimeve). Ofruesit dhe vlerësuesit e infrastrukturës së resë kompjuterike përdorin këtë bazë të dhënash në punën e tyre. Këtu janë shembuj të kërcënimeve:
: "Kërcënimi është mundësia e shkeljes së sigurisë së të dhënave të përdoruesve të programeve që operojnë brenda një makine virtuale nga softuer me qëllim të keq që vepron jashtë makinës virtuale." Ky kërcënim është për shkak të pranisë së dobësive në softuerin e hipervisorit, i cili siguron që hapësira e adresës që përdoret për të ruajtur të dhënat e përdoruesit për programet që veprojnë brenda makinës virtuale është e izoluar nga aksesi i paautorizuar nga softueri me qëllim të keq që vepron jashtë makinës virtuale.
Zbatimi i këtij kërcënimi është i mundur me kusht që kodi i programit me qëllim të keq të kapërcejë me sukses kufijtë e makinës virtuale, jo vetëm duke shfrytëzuar dobësitë e hipervizorit, por edhe duke kryer një ndikim të tillë nga nivelet më të ulëta (në raport me hipervizorin). funksionimin e sistemit."
: “Kërcënimi qëndron në mundësinë e aksesit të paautorizuar në informacionin e mbrojtur të një konsumatori të shërbimit cloud nga një tjetër. Ky kërcënim është për faktin se, për shkak të natyrës së teknologjive cloud, konsumatorët e shërbimeve cloud duhet të ndajnë të njëjtën infrastrukturë cloud. Ky kërcënim mund të realizohet nëse bëhen gabime gjatë ndarjes së elementeve të infrastrukturës cloud midis konsumatorëve të shërbimeve cloud, si dhe kur izolojnë burimet e tyre dhe ndajnë të dhënat nga njëri-tjetri.”
Ju mund të mbroni nga këto kërcënime vetëm me ndihmën e një hipervizori, pasi është ai që menaxhon burimet virtuale. Kështu, hipervizori duhet të konsiderohet si një mjet mbrojtjeje.
Dhe në përputhje me datë 18 shkurt 2013, hipervizori duhet të jetë i certifikuar si jo-NDV në nivelin 4, përndryshe përdorimi i të dhënave personale të nivelit 1 dhe 2 me të do të jetë i paligjshëm (“Klauzola 12. ... Për të garantuar nivelet 1 dhe 2 të sigurisë së të dhënave personale, si dhe për të garantuar nivelin 3 të sigurisë së të dhënave personale në sistemet e informacionit për të cilat kërcënimet e tipit 2 klasifikohen si aktuale, përdoren mjete të sigurisë së informacionit, softueri i të cilave ka qenë testuar të paktën sipas 4 niveleve të kontrollit mbi mungesën e aftësive të padeklaruara").
Vetëm një hipervisor, i zhvilluar në Rusi, ka nivelin e kërkuar të certifikimit, NDV-4. . Për ta thënë butë, jo zgjidhja më popullore. Retë tregtare, si rregull, ndërtohen në bazë të VMware vSphere, KVM, Microsoft Hyper-V. Asnjë prej këtyre produkteve nuk është i certifikuar NDV-4. Pse? Ka të ngjarë që marrja e një certifikate të tillë për prodhuesit nuk është ende e justifikuar ekonomikisht.
Dhe gjithçka që na mbetet për të dhënat personale të nivelit 1 dhe 2 në renë publike është Horizon BC. E trishtushme por e vërtet.
Si funksionon vërtet gjithçka (sipas mendimit tonë).
Në pamje të parë, gjithçka është mjaft e rreptë: këto kërcënime duhet të eliminohen duke konfiguruar saktë mekanizmat standardë të mbrojtjes të një hipervizori të certifikuar sipas NDV-4. Por ka një zbrazëti. Në përputhje me urdhrin nr. 21 të FSTEC (“Klauzola 2 Siguria e të dhënave personale kur përpunohen në sistemin e informacionit të të dhënave personale (në tekstin e mëtejmë, sistemi i informacionit) sigurohet nga operatori ose personi që përpunon të dhënat personale në emër të operatorit në përputhje me Federata Ruse"), ofruesit vlerësojnë në mënyrë të pavarur rëndësinë e kërcënimeve të mundshme dhe zgjedhin masat e mbrojtjes në përputhje me rrethanat. Prandaj, nëse nuk i pranoni kërcënimet UBI.44 dhe UBI.101 si aktuale, atëherë nuk do të ketë nevojë të përdorni një hipervisor të certifikuar sipas NDV-4, i cili është pikërisht ai që duhet të sigurojë mbrojtje ndaj tyre. Dhe kjo do të jetë e mjaftueshme për të marrë një certifikatë të përputhshmërisë së resë publike me nivelet 1 dhe 2 të sigurisë së të dhënave personale, me të cilën Roskomnadzor do të jetë plotësisht i kënaqur.
Sigurisht, përveç Roskomnadzor, FSTEC mund të vijë me një inspektim - dhe kjo organizatë është shumë më e përpiktë në çështjet teknike. Ajo ndoshta do të jetë e interesuar se pse pikërisht kërcënimet UBI.44 dhe UBI.101 u konsideruan të parëndësishme? Por zakonisht FSTEC ndërmerr një inspektim vetëm kur merr informacion për ndonjë incident të rëndësishëm. Në këtë rast, shërbimi federal së pari vjen te operatori i të dhënave personale - domethënë klienti i shërbimeve cloud. Në rastin më të keq, operatori merr një gjobë të vogël - për shembull, për Twitter në fillim të vitit në një rast të ngjashëm arriti në 5000 rubla. Pastaj FSTEC shkon më tej te ofruesi i shërbimit cloud. E cila mund të privohet nga një licencë për shkak të mospërputhjes me kërkesat rregullatore - dhe këto janë rreziqe krejtësisht të ndryshme, si për ofruesin e cloud, ashtu edhe për klientët e tij. Por, e përsëris, Për të kontrolluar FSTEC, zakonisht ju nevojitet një arsye e qartë. Pra, ofruesit e cloud janë të gatshëm të ndërmarrin rreziqe. Deri në incidentin e parë të rëndë.
Ekziston gjithashtu një grup ofruesish "më të përgjegjshëm" që besojnë se është e mundur të mbyllen të gjitha kërcënimet duke shtuar një shtesë si vGate në hipervisor. Por në një mjedis virtual të shpërndarë midis klientëve për disa kërcënime (për shembull, UBI.101 më sipër), një mekanizëm efektiv mbrojtës mund të zbatohet vetëm në nivelin e një hipervizori të certifikuar sipas NDV-4, pasi çdo sistem shtesë për të funksionet standarde të hipervizorit për menaxhimin e burimeve (në veçanti RAM) nuk ndikojnë.
Si punojmë
Ne kemi një segment cloud të zbatuar në një hipervisor të certifikuar nga FSTEC (por pa certifikim për NDV-4). Ky segment është i çertifikuar, kështu që të dhënat personale mund të ruhen në cloud bazuar në të 3 dhe 4 nivele sigurie — Kërkesat për mbrojtje kundër aftësive të padeklaruara nuk kanë nevojë të respektohen këtu. Këtu, nga rruga, është arkitektura e segmentit tonë të sigurt të cloud:
Sistemet për të dhënat personale 1 dhe 2 nivele sigurie Ne zbatojmë vetëm në pajisje të dedikuara. Vetëm në këtë rast, për shembull, kërcënimi i UBI.101 nuk është me të vërtetë i rëndësishëm, pasi raftet e serverëve që nuk janë të bashkuar nga një mjedis virtual nuk mund të ndikojnë njëri-tjetrin edhe kur ndodhen në të njëjtën qendër të dhënash. Për raste të tilla, ne ofrojmë një shërbim të dedikuar me qira të pajisjeve (quhet edhe Hardware si shërbim).
Nëse nuk jeni të sigurt se çfarë niveli sigurie kërkohet për sistemin tuaj të të dhënave personale, ne ju ndihmojmë gjithashtu në klasifikimin e tij.
Prodhim
Hulumtimi ynë i vogël i tregut tregoi se disa operatorë cloud janë mjaft të gatshëm të rrezikojnë sigurinë e të dhënave të klientit dhe të ardhmen e tyre për të marrë një porosi. Por në këto çështje ne i përmbahemi një politike tjetër, të cilën e përshkruam shkurtimisht më lart. Ne do të jemi të lumtur t'u përgjigjemi pyetjeve tuaja në komente.
Burimi: www.habr.com