En gÄng kom det in en begÀran om molntjÀnster. Vi skissade pÄ vad vi behövde och skickade en lista med frÄgor för att klargöra detaljerna. DÀrefter analyserade vi svaren och insÄg att kunden vill lagra personuppgifter med andra skyddsnivÄer. Vi svarade: "Ni har den andra nivÄn av personuppgifter, tyvÀrr kan vi bara göra en privat molnlösning." Och han sa: "Vet ni, pÄ företag X kan jag lagra allt i det offentliga."
Foto Steve Crisp, Reuters
MÀrkliga saker! Vi gick till företag X:s webbplats, granskade deras certifikatdokument, skakade pÄ huvudet och insÄg att det finns mÄnga obesvarade frÄgor kring lagringen av personuppgifter och att de mÄste ventileras noggrant. Det Àr vad vi ska göra i det hÀr inlÀgget.
SÄ hÀr borde allt fungera
Först och frÀmst ska vi gÄ igenom vad som avgör pÄ vilka grunder personuppgifter klassas till olika skyddsnivÄer. Det beror pÄ datakategorin, antalet personer vars data operatören lagrar och bearbetar, samt typen av aktuella hot.
Definitionen av typer av aktuella hot anges i frÄn den 1 november 2012 "Om godkÀnnande av krav pÄ skydd av personuppgifter vid deras bearbetning i informationssystem för personuppgifter":
"Hot av typ 1 Àr aktuella för ett informationssystem om det för detta system bland annat Àr aktuella hot som Àr kopplade till förekomsten av odokumenterade (oinskrivna) möjligheter i systemprogramvaran, som anvÀnds i informationssystemet.
Hot av typ 2 Àr aktuella för ett informationssystem om det för detta system bland annat Àr aktuella hot som Àr kopplade till förekomsten av odokumenterade (oinskrivna) möjligheter i tillÀmpad programvara, som anvÀnds i informationssystemet.
Hot av typ 3 Àr aktuella för ett informationssystem om det för detta system Àr aktuella hot som inte Àr kopplade till förekomsten av odokumenterade (oinskrivna) möjligheter i systemprogramvara och tillÀmpad programvara, som anvÀnds i informationssystemet."
Det viktigaste i dessa definitioner Àr förekomsten av odokumenterade (oinskrivna) möjligheter. För att bekrÀfta avsaknaden av odokumenterade möjligheter i programvara (i fallet med molnet, hypervisorn) genomförs certifiering av FSTEK i Ryssland. Om PDU-operatören anser att sÄdana möjligheter inte finns i programvaran, sÄ Àr de aktuella hoten irrelevanta. Hot av typ 1 och 2 betraktas mycket sÀllan som aktuella av PDU-operatörer.
Förutom att faststÀlla nivÄn pÄ skyddet av personuppgifter mÄste operatören ocksÄ identifiera specifika aktuella hot för det offentliga molnet och, baserat pÄ den identifierade skyddsnivÄn och aktuella hot, faststÀlla nödvÀndiga ÄtgÀrder och skyddsmedel mot dem.
Hos FSTEK Àr alla huvudhot tydligt upprÀknade i (hotdatabasen). Leverantörer och certifierare av molninfrastrukturer anvÀnder denna databas i sitt arbete. HÀr Àr exempel pÄ hot:
: "Hotet ligger i möjligheten av att sÀkerheten för anvÀndardata kan Àventyras av program som körs inom en virtuell maskin av skadlig programvara som fungerar utanför den virtuella maskinen." Detta hot beror pÄ sÄrbarheter i hypervisorns programvara, som sÀkerstÀller isoleringen av adressutrymmet som anvÀnds för att lagra anvÀndardata frÄn obehörig Ätkomst av skadlig programvara som fungerar utanför den virtuella maskinen.
Genomförandet av detta hot Àr möjligt om skadlig kod lyckas övervinna grÀnserna för den virtuella maskinen, inte bara genom att utnyttja hypervisorns sÄrbarheter utan ocksÄ genom att Ästadkomma detta frÄn lÀgre (i förhÄllande till hypervisorn) nivÄer av systemets funktion.
: "Hotet ligger i möjligheten av obehörig Ätkomst till skyddad information frÄn en molntjÀnstkonsument av en annan. Detta hot beror pÄ att konsumenter av molntjÀnster behöver dela samma molninfrastruktur pÄ grund av egenskaperna hos molnteknologier. Genomförande av detta hot Àr möjligt om det görs misstag vid uppdelningen av element av molninfrastrukturen mellan molntjÀnstkonsumenter samt vid isoleringen av deras resurser och separeringen av data frÄn varandra."
För att skydda sig mot dessa hot krÀvs endast hypervisorn, eftersom det Àr den som hanterar virtuella resurser. DÀrför bör hypervisorn betraktas som ett skyddsmedel.
Och i enlighet med FrÄn och med den 18 februari 2013 mÄste hypervisorn certifieras för att vara fri frÄn dolda funktioner enligt nivÄ 4, annars blir anvÀndningen av personuppgifter pÄ nivÄ 1 och 2 olaglig (»p.12. ⊠För att sÀkerstÀlla skyddsnivÄerna 1 och 2 för personuppgifter, samt för att uppnÄ skyddsnivÄ 3 för personuppgifter i informationssystem dÀr aktuella hot klassificeras som typ 2, anvÀnds informationsskyddsmedel vars mjukvara har genomgÄtt kontroll pÄ minst nivÄ 4 för avsaknad av dolda funktioner«).
Den nödvĂ€ndiga certifieringsnivĂ„n, NDF-4, innehas endast av en hypervisor, som Ă€r en rysk utveckling â . För att sĂ€ga det milt, en av de mindre populĂ€ra lösningarna. Kommersiella moln byggs vanligtvis pĂ„ VMware vSphere, KVM, Microsoft Hyper-V. Ingen av dessa produkter har certifiering enligt NDF-4. Varför? Troligen Ă€r det ekonomiskt ofördelaktigt för tillverkare att skaffa sĂ„dan certifiering Ă€n sĂ„ lĂ€nge.
Och för personuppgifter pÄ nivÄ 1 och 2 i publika moln kvarstÄr endast Horizont VS. Sorgligt men sant.
SÄ hÀr (enligt vÄr uppfattning) fungerar allt i verkligheten
Vid första ögonkastet verkar allt ganska strikt: de angivna hoten mĂ„ste Ă„tgĂ€rdas genom korrekt konfiguration av de inbyggda skyddsmekanismerna hos hypervisorn, certifierad enligt NDF-4. Men det finns ett kryphĂ„l. Enligt FSTEK-ordern â21 (»p.2 SĂ€kerheten för personuppgifter vid deras behandling i en informationssystem för personuppgifter (hĂ€danefter - informationssystemet) sĂ€kerstĂ€lls av operatören eller av den person som behandlar personuppgifter pĂ„ uppdrag av operatören i enlighet med i Ryska federationen«), bedömer leverantörerna sjĂ€lva relevansen av möjliga hot och vĂ€ljer Ă„tgĂ€rder för skydd i enlighet med detta. DĂ€rför, om hoten UBI.44 och UBI.101 inte betraktas som aktuella, kommer det inte att finnas nĂ„got behov av att anvĂ€nda en hypervisor certifierad enligt NDF-4, vilken just ska skydda mot dem. Och det Ă€r tillrĂ€ckligt för att fĂ„ ett intyg om överensstĂ€mmelse för det publika molnet med skyddsnivĂ„er 1 och 2 för personuppgifter, vilket kommer att tillfredsstĂ€lla Roskomnadzor.
SjĂ€lvklart, förutom Roskomnadzor kan FSATEK komma för att göra en kontroll â och denna organisation Ă€r betydligt mer detaljrik nĂ€r det gĂ€ller tekniska frĂ„gor. De kommer garanterat att vara intresserade av varför just hoten UBI.44 och UBI.101 har bedömts som irrelevanta? Men vanligtvis genomför FSATEK kontroller endast nĂ€r de fĂ„r information om nĂ„gon uppseendevĂ€ckande incident. I sĂ„dana fall gĂ„r den federala myndigheten först till operatören av personuppgifter â det vill sĂ€ga kunden av molntjĂ€nster. I vĂ€rsta fall fĂ„r operatören en liten böter â till exempel 5000 rubel för Twitter i början av Ă„ret. i liknande fall uppgick till 5000 rubel. DĂ€refter gĂ„r FSATEK vidare till tillhandahĂ„llaren av molntjĂ€nster, som mycket vĂ€l kan förlora sin licens pĂ„ grund av bristande efterlevnad av regelverken â och det innebĂ€r helt andra risker, bĂ„de för molnleverantören och för dess kunder. Men jag upprepar, för att FSATEK ska genomföra en kontroll krĂ€vs vanligtvis ett tydligt skĂ€l. SĂ„ molnleverantörer Ă€r beredda att ta risker. Fram till den första allvarliga incidenten.
Det finns ocksÄ en grupp "mer ansvarsfulla" leverantörer som anser att de kan stÀnga av alla hot genom att komplettera hypervisorn med en lösning som vGate. Men i en miljö som Àr distribuerad mellan kunderna kan effektiva skyddsmekanismer för vissa hot (som nÀmnda UBI.101) endast genomföras pÄ nivÄ med en certifierad hypervisor enligt NDV-4, eftersom alla system som Àr tillÀgg pÄverkar inte hypervisorns standardfunktioner för resursadministration (sÀrskilt minneshantering).
SÄ hÀr arbetar vi
Vi har ett molnsegment implementerat pĂ„ en hypervisor som Ă€r certifierad av FSATEK (men utan certifiering till NDV-4). Detta segment Ă€r certifierat, sĂ„ personuppgifter kan lagras i molnet baserat pĂ„ det. nivĂ„ 3 och 4 av skydd â kraven för skydd mot icke-deklarerade funktioner behöver hĂ€r inte följas. HĂ€r Ă€r förresten arkitekturen för vĂ„rt skyddade molnsegment:
System för personuppgifter nivÄ 1 och 2 av skydd Vi implementerar endast pÄ dedikerad utrustning. Endast i det hÀr fallet, till exempel, Àr hotet UBI.101 faktiskt inte aktuellt, eftersom serverrack, som inte Àr sammankopplade i en virtuell miljö, inte kan pÄverka varandra ens nÀr de placeras i samma datacenter. För sÄdana fall erbjuder vi tjÀnsten att hyra dedikerad utrustning (detta kallas ibland Hardware as a Service, utrustning som en tjÀnst).
Om du Àr osÀker pÄ vilken nivÄ av sÀkerhet som krÀvs för ditt personuppgiftssystem hjÀlper vi ocksÄ till med deras klassificering.
Utdata
VÄr lilla marknadsundersökning visade: vissa molnoperatörer Àr villiga att riskera bÄde sÀkerheten för kundernas data och sin egen framtid för att fÄ en bestÀllning. Men vi har en annan policy nÀr det gÀller dessa frÄgor, vilket vi kortfattat beskrivit lite högre upp. Vi ser fram emot att svara pÄ dina frÄgor i kommentarerna.
KĂ€lla: habr.com
