Hiji dinten urang nampi pamenta jasa awan. Urang outlined dina istilah umum naon bakal diperlukeun ti urang jeung dikirim deui daptar patarosan netelakeun rinci. Teras we nganalisa jawaban sareng sadar: palanggan hoyong nempatkeun data pribadi tingkat kadua kaamanan dina méga. Kami ngajawab anjeunna: "Anjeun gaduh data pribadi tingkat kadua, punten, kami ngan ukur tiasa nyiptakeun awan pribadi." Sareng anjeunna: "Anjeun terang, tapi di perusahaan X aranjeunna tiasa ngirimkeun sadayana ka kuring sacara umum."
Poto ku Steve Crisp, Reuters
Hal aneh! Kami angkat ka situs wéb perusahaan X, diajar dokumén sertifikasina, ngoyagkeun sirah kami sareng sadar: aya seueur patarosan terbuka dina panempatan data pribadi sareng aranjeunna kedah dijawab sacara saksama. Éta anu bakal urang laksanakeun dina tulisan ieu.
Kumaha sadayana kedah dianggo
Mimiti, hayu urang terangkeun kriteria naon anu dianggo pikeun ngagolongkeun data pribadi salaku tingkat kaamanan anu sanés. Ieu gumantung kana kategori data, jumlah subjék data ieu nu operator nyimpen jeung prosés, kitu ogé jenis ancaman ayeuna.
Jenis ancaman ayeuna didefinisikeun dina tanggal 1 Nopémber 2012 "Dina persetujuan sarat pikeun panangtayungan data pribadi salami ngolahna dina sistem inpormasi data pribadi":
"Ancaman Tipe 1 relevan pikeun sistem inpormasi upami kalebet ancaman ayeuna patali jeung kalawan ayana kamampuhan undocumented (undeclared). dina software sistemdipaké dina sistem informasi.
Ancaman tina tipe 2nd relevan pikeun hiji sistem informasi lamun eta, kaasup ancaman ayeuna patali jeung kalawan ayana kamampuhan undocumented (undeclared). dina software aplikasidipaké dina sistem informasi.
Ancaman tina tipe 3 relevan pikeun hiji sistem informasi lamun keur eta ancaman nu teu patali kalawan ayana kamampuhan undocumented (undeclared). dina sistem sareng parangkat lunak aplikasidipaké dina sistem informasi."
Hal utama dina definisi ieu nyaéta ayana kamampuan undocumented (undeclared). Pikeun mastikeun henteuna kamampuan parangkat lunak anu teu didokumentasikeun (dina kasus awan, ieu mangrupikeun hypervisor), sertifikasi dilaksanakeun ku FSTEC Rusia. Upami operator PD nampi yén teu aya kamampuan sapertos kitu dina parangkat lunak, maka ancaman anu saluyu henteu relevan. Ancaman tipe 1 jeung 2 jarang pisan dianggap relevan ku operator PD.
Salian nangtukeun tingkat kaamanan PD, operator ogé kudu nangtukeun ancaman ayeuna husus ka awan publik na, dumasar kana tingkat dicirikeun kaamanan PD jeung ancaman ayeuna, nangtukeun ukuran diperlukeun tur sarana panyalindungan ngalawan aranjeunna.
FSTEC jelas daptar sagala ancaman utama dina (database ancaman). Panyadia infrastruktur awan sareng penilai ngagunakeun pangkalan data ieu dina padamelan na. Ieu conto ancaman:
: "Anceman nyaéta kamungkinan ngalanggar kaamanan data pangguna program anu beroperasi di jero mesin virtual ku parangkat lunak jahat anu beroperasi di luar mesin virtual." Ancaman ieu disababkeun ku ayana kerentanan dina parangkat lunak hypervisor, anu mastikeun yén rohangan alamat anu dianggo pikeun nyimpen data pangguna pikeun program anu beroperasi di jero mesin virtual diisolasi tina aksés anu henteu sah ku parangkat lunak jahat anu beroperasi di luar mesin virtual.
Palaksanaan anceman ieu mungkin lamun kode program jahat junun overcomes wates tina mesin virtual, teu ukur ku exploiting vulnerabilities tina hypervisor, tapi ogé ku ngalaksanakeun dampak sapertos ti tingkat handap (relatif ka hypervisor) fungsi sistem."
: "Ancemanna aya dina kamungkinan aksés anu henteu sah kana inpormasi anu ditangtayungan hiji konsumen jasa awan ti anu sanés. Ancaman ieu disababkeun ku kanyataan yén, kusabab sifat téknologi awan, konsumen jasa awan kedah ngabagi infrastruktur awan anu sami. Ancaman ieu tiasa diwujudkeun upami aya kasalahan nalika misahkeun elemen infrastruktur awan antara konsumén jasa awan, ogé nalika ngasingkeun sumber dayana sareng misahkeun data tina unggal anu sanés.
Anjeun ngan bisa ngajaga ngalawan ancaman ieu kalayan bantuan hypervisor a, saprak éta hiji nu ngatur sumberdaya virtual. Ku kituna, hypervisor kudu dianggap salaku sarana panyalindungan.
Jeung luyu jeung tanggal 18 Pébruari 2013, hypervisor kudu disertipikasi salaku non-NDV di tingkat 4, disebutkeun pamakéan tingkat 1 jeung 2 data pribadi kalawan eta bakal ilegal ("Pasal 12. Pikeun mastikeun tingkat 1 sareng 2 kaamanan data pribadi, ogé pikeun mastikeun tingkat 3 kaamanan data pribadi dina sistem inpormasi anu ancaman tipe 2 digolongkeun salaku ayeuna, alat kaamanan inpormasi dianggo, parangkat lunak anu parantos dipasang. diuji sahenteuna nurutkeun 4 tingkat kontrol dina henteuna kamampuhan undeclared").
Ngan hiji hypervisor, dimekarkeun di Rusia, boga tingkat sertifikasi diperlukeun, NDV-4. . Pikeun nempatkeun éta hampang, sanés solusi anu paling populér. Awan komérsial, sakumaha aturan, diwangun dina dasar VMware vSphere, KVM, Microsoft Hyper-V. Taya produk ieu NDV-4 Certified. Naha? Éta kamungkinan yén kéngingkeun sertifikasi sapertos kitu pikeun produsén henteu acan diyakinkeun sacara ékonomis.
Sareng sadaya anu tetep pikeun urang pikeun tingkat 1 sareng 2 data pribadi dina awan umum nyaéta Horizon SM. Sedih tapi leres.
Kumaha sagalana (dina pamadegan urang) bener jalan
Dina glance kahiji, sagalana geus cukup ketat: ancaman ieu kudu dileungitkeun ku leres ngonpigurasikeun mékanisme panyalindungan baku tina hypervisor Certified nurutkeun NDV-4. Tapi aya hiji loophole. Luyu sareng Orde FSTEC No. 21 (Klausa 2 Kaamanan data pribadi nalika diolah dina sistem inpormasi data pribadi (saterusna disebut sistem inpormasi) dipastikeun ku operator atanapi jalma anu ngolah data pribadi atas nama operator saluyu sareng Féderasi Rusia"), panyadia sacara mandiri ngira-ngira relevansi ancaman anu mungkin sareng milih ukuran panyalindungan sasuai. Kukituna, upami anjeun henteu nampi ancaman UBI.44 sareng UBI.101 sapertos ayeuna, maka teu kedah nganggo hypervisor anu disertipikasi dumasar kana NDV-4, anu leres-leres anu kedah masihan panyalindungan ngalawan aranjeunna. Sareng ieu bakal cekap pikeun kéngingkeun sertipikat patuh awan umum kalayan tingkat 1 sareng 2 kaamanan data pribadi, anu Roskomnadzor bakal wareg pisan.
Tangtosna, salian Roskomnadzor, FSTEC tiasa sumping sareng pamariksaan - sareng organisasi ieu langkung taliti dina hal téknis. Manehna meureun bakal museurkeun naha persis ancaman UBI.44 na UBI.101 dianggap teu relevan? Tapi biasana FSTEC ngalaksanakeun pamariksaan ngan nalika nampi inpormasi ngeunaan sababaraha kajadian anu penting. Dina hal ieu, ladenan féderal munggaran sumping ka operator data pribadi - nyaéta, palanggan jasa awan. Dina kasus anu paling parah, operator nampi denda leutik - contona, pikeun Twitter dina awal taun dina kasus sarupa amounted ka 5000 rubles. Teras FSTEC langkung jauh ka panyadia jasa awan. Anu ogé tiasa dicabut lisénsi kusabab gagal sasuai sareng sarat pangaturan - sareng ieu mangrupikeun résiko anu béda-béda, boh pikeun panyadia awan sareng klienna. Tapi, kuring ulang, Pikeun pariksa FSTEC, anjeun biasana peryogi alesan anu jelas. Jadi panyadia awan daék nyandak resiko. Nepi ka kajadian serius kahiji.
Aya ogé grup panyadia "langkung tanggung jawab" anu yakin yén kasebut nyaéta dimungkinkeun pikeun nutup sagala ancaman ku nambahkeun hiji add-on kawas vGate mun hypervisor nu. Tapi dina lingkungan maya disebarkeun diantara konsumén pikeun sababaraha ancaman (Contona, UBI.101 luhur), hiji mékanisme panyalindungan éféktif ngan bisa dilaksanakeun dina tingkat hypervisor a Certified nurutkeun NDV-4, saprak sagala tambihan-on sistem ka fungsi baku tina hypervisor pikeun ngatur sumberdaya (khususna, RAM) teu mangaruhan.
Kumaha urang dianggo
Kami ngagaduhan bagean awan anu dilaksanakeun dina hypervisor anu disertipikasi ku FSTEC (tapi tanpa sertifikasi pikeun NDV-4). Bagéan ieu disertipikasi, ku kituna data pribadi tiasa disimpen dina méga dumasar kana éta 3 jeung 4 tingkat kaamanan - syarat pikeun panyalindungan ngalawan kamampuhan undeclared teu perlu dititénan di dieu. Ku jalan kitu, ieu arsitéktur bagéan awan aman kami:
Systems pikeun data pribadi 1 jeung 2 tingkat kaamanan Urang nerapkeun ukur dina parabot dedicated. Ngan dina hal ieu, contona, anceman UBI.101 saleresna henteu relevan, sabab rak server anu henteu dihijikeun ku hiji lingkungan maya teu tiasa mangaruhan silih sanajan ayana di pusat data anu sami. Pikeun kasus sapertos kitu, kami nawiskeun jasa nyéwa peralatan khusus (disebut ogé Hardware salaku jasa).
Upami anjeun henteu yakin kana tingkat kaamanan anu diperyogikeun pikeun sistem data pribadi anjeun, kami ogé ngabantosan dina ngagolongkeunana.
kacindekan
Panaliti pasar leutik urang nunjukkeun yén sababaraha operator awan rada daék ngabahayakeun kaamanan data palanggan sareng masa depan sorangan pikeun nampi pesenan. Tapi dina urusan ieu kami taat kana kawijakan anu béda, anu kami sakedap dijelaskeun di luhur. Kami bakal resep ngajawab patarosan anjeun dina koméntar.
sumber: www.habr.com