Bir kuni biz bulut xizmatlariga so'rov oldik. Bizdan nima talab qilinishini umumiy ma'noda bayon qildik va tafsilotlarni aniqlashtirish uchun savollar ro'yxatini qaytarib yubordik. Keyin biz javoblarni tahlil qildik va tushundik: mijoz ikkinchi darajadagi xavfsizlikning shaxsiy ma'lumotlarini bulutga joylashtirmoqchi. Biz unga javob beramiz: "Sizda shaxsiy ma'lumotlarning ikkinchi darajasi bor, afsuski, biz faqat shaxsiy bulutni yaratishimiz mumkin." Va u: "Bilasizmi, lekin X kompaniyasida ular menga hamma narsani ochiqchasiga e'lon qilishlari mumkin."
Stiv Krisp surati, Reuters
G'alati narsalar! Biz X kompaniyasining veb-saytiga kirdik, ularning sertifikatlash hujjatlarini o'rganib chiqdik, boshimizni chayqadi va tushundik: shaxsiy ma'lumotlarni joylashtirishda juda ko'p ochiq savollar mavjud va ularni har tomonlama hal qilish kerak. Biz bu postda shunday qilamiz.
Hammasi qanday ishlashi kerak
Birinchidan, shaxsiy ma'lumotlarni u yoki bu xavfsizlik darajasi sifatida tasniflash uchun qanday mezonlar qo'llanilishini aniqlaylik. Bu ma'lumotlar toifasiga, operator saqlaydigan va ishlov beradigan ushbu ma'lumotlarning sub'ektlari soniga, shuningdek, joriy tahdidlar turiga bog'liq.
Joriy tahdidlarning turlari quyidagilarda tavsiflangan 1-yil 2012-noyabrdagi “Shaxsiy ma’lumotlarning axborot tizimlarida qayta ishlash jarayonida shaxsiy ma’lumotlarni himoya qilishga qo‘yiladigan talablarni tasdiqlash to‘g‘risida”gi qarori:
“1-toifa tahdidlar, agar u o'z ichiga olgan bo'lsa, axborot tizimi uchun tegishli bilan bog'liq joriy tahdidlar hujjatsiz (deklaratsiya qilinmagan) imkoniyatlar mavjudligi bilan tizim dasturiy ta'minotidaaxborot tizimida foydalaniladi.
2-toifa tahdidlar axborot tizimi uchun, agar u uchun bo'lsa, shu jumladan bilan bog'liq joriy tahdidlar hujjatsiz (deklaratsiya qilinmagan) imkoniyatlar mavjudligi bilan amaliy dasturlardaaxborot tizimida foydalaniladi.
3-turdagi tahdidlar axborot tizimi uchun, agar u uchun bo'lsa, tegishli bog'liq bo'lmagan tahdidlar hujjatsiz (deklaratsiya qilinmagan) imkoniyatlar mavjudligi bilan tizim va amaliy dasturlardaaxborot tizimida foydalaniladi."
Ushbu ta'riflarda asosiy narsa hujjatlashtirilmagan (deklaratsiya qilinmagan) imkoniyatlarning mavjudligi. Hujjatsiz dasturiy ta'minot imkoniyatlarining yo'qligini tasdiqlash uchun (bulut bo'lsa, bu hipervisor), sertifikatlash Rossiyaning FSTEC tomonidan amalga oshiriladi. Agar PD operatori dasturiy ta'minotda bunday imkoniyatlar mavjud emasligini qabul qilsa, unda tegishli tahdidlar ahamiyatsizdir. 1 va 2 turdagi tahdidlar PD operatorlari tomonidan juda kamdan-kam hollarda tegishli deb hisoblanadi.
Operator PD xavfsizligi darajasini aniqlashdan tashqari, umumiy bulutga nisbatan aniq joriy tahdidlarni ham aniqlashi va PD xavfsizligining aniqlangan darajasi va joriy tahdidlarga asoslanib, ularga qarshi zarur choralar va himoya vositalarini belgilashi kerak.
FSTEC barcha asosiy tahdidlarni aniq sanab o'tadi (tahdid ma'lumotlar bazasi). Bulutli infratuzilma provayderlari va baholovchilar o'z ishlarida ushbu ma'lumotlar bazasidan foydalanadilar. Mana tahdidlarga misollar:
: "Tahdid - virtual mashina ichida ishlaydigan dasturlarning foydalanuvchi ma'lumotlarining xavfsizligini virtual mashinadan tashqarida ishlaydigan zararli dasturlar tomonidan buzish ehtimoli." Ushbu tahdid gipervisor dasturiy ta'minotida zaifliklar mavjudligi bilan bog'liq bo'lib, u virtual mashina ichida ishlaydigan dasturlar uchun foydalanuvchi ma'lumotlarini saqlash uchun foydalaniladigan manzil maydoni virtual mashinadan tashqarida ishlaydigan zararli dasturlar tomonidan ruxsatsiz kirishdan ajratilishini ta'minlaydi.
Ushbu tahdidni amalga oshirish, agar zararli dastur kodi virtual mashinaning chegaralarini muvaffaqiyatli yengib chiqsa, nafaqat gipervizorning zaifliklaridan foydalangan holda, balki pastroq (gipervisorga nisbatan) bunday ta'sirni amalga oshirish orqali amalga oshirilishi mumkin. tizimning ishlashi."
: “Xavf bitta bulut xizmati isteʼmolchisining boshqasidan himoyalangan maʼlumotlariga ruxsatsiz kirish imkoniyatidadir. Bu tahdid bulutli texnologiyalarning tabiatiga ko‘ra bulutli xizmatlar iste’molchilari bir xil bulutli infratuzilmani baham ko‘rishlari kerakligi bilan bog‘liq. Agar bulutli infratuzilma elementlarini bulutli xizmatlar iste’molchilari o‘rtasida ajratishda, shuningdek, ularning resurslarini ajratish va ma’lumotlarni bir-biridan ajratishda xatolarga yo‘l qo‘yilsa, bu tahdidni amalga oshirish mumkin”.
Siz ushbu tahdidlardan faqat gipervisor yordamida himoya qilishingiz mumkin, chunki u virtual resurslarni boshqaradi. Shunday qilib, gipervisor himoya vositasi sifatida ko'rib chiqilishi kerak.
Va shunga muvofiq 18-yil 2013-fevralda gipervisor 4-darajada NDV bo'lmagan deb sertifikatlangan bo'lishi kerak, aks holda u bilan 1 va 2-darajali shaxsiy ma'lumotlardan foydalanish noqonuniy bo'ladi (“12-modda. ... Shaxsiy ma'lumotlar xavfsizligining 1 va 2 darajalarini ta'minlash, shuningdek, 3-toifa tahdidlar joriy deb tasniflanadigan axborot tizimlarida shaxsiy ma'lumotlar xavfsizligining 2-darajasini ta'minlash uchun dasturiy ta'minot ishlab chiqilgan axborot xavfsizligi vositalaridan foydalaniladi. e'lon qilinmagan imkoniyatlarning yo'qligi ustidan kamida 4-darajali nazorat bo'yicha sinovdan o'tgan.).
Rossiyada ishlab chiqilgan faqat bitta gipervisor NDV-4 sertifikatiga ega. . Yumshoq qilib aytganda, eng mashhur yechim emas. Tijorat bulutlari, qoida tariqasida, VMware vSphere, KVM, Microsoft Hyper-V asosida qurilgan. Ushbu mahsulotlarning hech biri NDV-4 sertifikatiga ega emas. Nega? Ehtimol, ishlab chiqaruvchilar uchun bunday sertifikatni olish hali iqtisodiy jihatdan oqlanmagan.
Ommaviy bulutdagi 1 va 2-darajali shaxsiy ma'lumotlar uchun biz uchun faqat Horizon BC qoladi. Qayg'uli, lekin haqiqiy.
Hamma narsa (bizning fikrimizcha) qanday ishlaydi
Bir qarashda, hamma narsa juda qattiq: bu tahdidlarni NDV-4 bo'yicha sertifikatlangan hipervisorning standart himoya mexanizmlarini to'g'ri sozlash orqali yo'q qilish kerak. Ammo bitta bo'shliq bor. 21-sonli FSTEC buyrug'iga muvofiq (2-band Shaxsiy ma'lumotlarning axborot tizimida (bundan buyon matnda axborot tizimi deb yuritiladi) qayta ishlanganda shaxsiy ma'lumotlarning xavfsizligi operator yoki operator nomidan shaxsiy ma'lumotlarni qayta ishlovchi shaxs tomonidan ta'minlanadi. Rossiya Federatsiyasi"), provayderlar mumkin bo'lgan tahdidlarning dolzarbligini mustaqil ravishda baholaydilar va shunga ko'ra himoya choralarini tanlaydilar. Shuning uchun, agar siz UBI.44 va UBI.101 tahdidlarini joriy sifatida qabul qilmasangiz, NDV-4 bo'yicha sertifikatlangan gipervisordan foydalanishga hojat qolmaydi, aynan shu narsa ulardan himoyalanishni ta'minlashi kerak. Va bu Roskomnadzorni to'liq qoniqtiradigan shaxsiy ma'lumotlar xavfsizligining 1 va 2 darajalariga ommaviy bulutning muvofiqligi sertifikatini olish uchun etarli bo'ladi.
Albatta, Roskomnadzorga qo'shimcha ravishda, FSTEC tekshiruvi bilan kelishi mumkin - va bu tashkilot texnik masalalarda ancha ehtiyotkorlik bilan ishlaydi. U, ehtimol, nima uchun aynan UBI.44 va UBI.101 tahdidlari ahamiyatsiz deb hisoblangani bilan qiziqadi? Ammo, odatda, FSTEC faqat biron bir muhim voqea haqida ma'lumot olganida tekshirishni amalga oshiradi. Bunday holda, federal xizmat birinchi navbatda shaxsiy ma'lumotlar operatoriga - ya'ni bulut xizmatlarining mijoziga keladi. Eng yomon holatda, operator kichik jarima oladi - masalan, yil boshida Twitter uchun shunga o'xshash holatda 5000 rublni tashkil etdi. Keyin FSTEC bulutli xizmat ko'rsatuvchi provayderga o'tadi. Normativ talablarga rioya qilmaslik tufayli litsenziyadan mahrum bo'lishi mumkin - va bu bulut provayderi uchun ham, uning mijozlari uchun ham mutlaqo boshqa xavflar. Ammo takror aytaman, FSTECni tekshirish uchun odatda aniq sabab kerak. Shunday qilib, bulut provayderlari tavakkal qilishga tayyor. Birinchi jiddiy hodisaga qadar.
Bundan tashqari, gipervisorga vGate kabi qo'shimchani qo'shish orqali barcha tahdidlarni yopish mumkinligiga ishonadigan "mas'uliyatliroq" provayderlar guruhi mavjud. Ammo ba'zi tahdidlar uchun mijozlar o'rtasida taqsimlangan virtual muhitda (masalan, yuqoridagi UBI.101), samarali himoya mexanizmi faqat NDV-4 bo'yicha sertifikatlangan gipervisor darajasida amalga oshirilishi mumkin, chunki har qanday qo'shimcha tizimlar Resurslarni boshqarish uchun gipervisorning standart funktsiyalari (xususan, RAM) ta'sir qilmaydi.
Biz qanday ishlaymiz
Bizda FSTEC tomonidan sertifikatlangan (lekin NDV-4 uchun sertifikatsiz) gipervisorda amalga oshirilgan bulutli segment mavjud. Ushbu segment sertifikatlangan, shuning uchun shaxsiy ma'lumotlar uning asosida bulutda saqlanishi mumkin 3 va 4 darajadagi xavfsizlik - bu erda e'lon qilinmagan imkoniyatlardan himoya qilish talablariga rioya qilish shart emas. Aytgancha, bizning xavfsiz bulut segmentimiz arxitekturasi:
Shaxsiy ma'lumotlar uchun tizimlar 1 va 2 darajadagi xavfsizlik Biz faqat maxsus jihozlarda amalga oshiramiz. Faqat bu holatda, masalan, UBI.101 tahdidi haqiqatan ham ahamiyatli emas, chunki bitta virtual muhit bilan birlashtirilmagan server raflari bir xil ma'lumotlar markazida joylashgan bo'lsa ham, bir-biriga ta'sir qila olmaydi. Bunday holatlar uchun biz maxsus uskunani ijaraga berish xizmatini taklif qilamiz (u xizmat sifatida Uskuna deb ham ataladi).
Agar shaxsiy ma'lumotlar tizimingiz uchun qanday xavfsizlik darajasi talab qilinishiga ishonchingiz komil bo'lmasa, biz uni tasniflashda ham yordam beramiz.
xulosa
Bizning kichik bozor tadqiqotimiz shuni ko'rsatdiki, ba'zi bulut operatorlari buyurtma olish uchun mijozlar ma'lumotlari xavfsizligini ham, o'z kelajagini ham xavf ostiga qo'yishga tayyor. Ammo bu masalalarda biz yuqorida qisqacha tavsiflangan boshqa siyosatga amal qilamiz. Izohlarda savollaringizga javob berishdan xursand bo'lamiz.
Manba: www.habr.com