Một ngày nọ, chúng tôi nhận được yêu cầu về dịch vụ đám mây. Chúng tôi phác thảo một cách khái quát những gì sẽ được yêu cầu ở chúng tôi và gửi lại một danh sách các câu hỏi để làm rõ chi tiết. Sau đó, chúng tôi phân tích các câu trả lời và nhận ra: khách hàng muốn đặt dữ liệu cá nhân ở cấp độ bảo mật thứ hai trên đám mây. Chúng tôi trả lời anh ấy: “Bạn có dữ liệu cá nhân cấp thứ hai, xin lỗi, chúng tôi chỉ có thể tạo một đám mây riêng tư”. Và anh ấy: “Anh biết đấy, nhưng ở công ty X họ có thể đăng công khai mọi thứ cho tôi.”
Ảnh của Steve Crisp, Reuters
Những điều kỳ lạ! Chúng tôi truy cập trang web của công ty X, nghiên cứu tài liệu chứng nhận của họ, lắc đầu và nhận ra: có rất nhiều câu hỏi mở trong việc lưu trữ dữ liệu cá nhân và chúng cần được giải quyết triệt để. Đó là những gì chúng tôi sẽ làm trong bài viết này.
Mọi thứ sẽ hoạt động như thế nào
Trước tiên, hãy tìm hiểu tiêu chí nào được sử dụng để phân loại dữ liệu cá nhân theo mức độ bảo mật này hay mức độ bảo mật khác. Điều này phụ thuộc vào loại dữ liệu, số lượng đối tượng của dữ liệu này mà nhà điều hành lưu trữ và xử lý, cũng như loại mối đe dọa hiện tại.
Các loại mối đe dọa hiện tại được xác định trong ngày 1 tháng 2012 năm XNUMX “Về việc phê duyệt các yêu cầu bảo vệ dữ liệu cá nhân trong quá trình xử lý chúng trong hệ thống thông tin dữ liệu cá nhân”:
“Các mối đe dọa loại 1 có liên quan đến một hệ thống thông tin nếu nó bao gồm các mối đe dọa hiện tại liên quan đến với sự hiện diện của các khả năng không có giấy tờ (không được khai báo) trong phần mềm hệ thốngđược sử dụng trong hệ thống thông tin.
Các mối đe dọa loại 2 có liên quan đến hệ thống thông tin nếu có, bao gồm các mối đe dọa hiện tại liên quan đến với sự hiện diện của các khả năng không có giấy tờ (không được khai báo) trong phần mềm ứng dụngđược sử dụng trong hệ thống thông tin.
Các mối đe dọa loại thứ 3 có liên quan đến hệ thống thông tin nếu nó mối đe dọa không liên quan với sự hiện diện của các khả năng không có giấy tờ (không được khai báo) trong hệ thống và phần mềm ứng dụngđược sử dụng trong hệ thống thông tin.”
Điều chính trong các định nghĩa này là sự hiện diện của các khả năng không có giấy tờ (không được khai báo). Để xác nhận sự vắng mặt của các khả năng phần mềm không có giấy tờ (trong trường hợp đám mây, đây là phần mềm ảo hóa), chứng nhận được thực hiện bởi FSTEC của Nga. Nếu nhà điều hành PD chấp nhận rằng không có khả năng như vậy trong phần mềm thì các mối đe dọa tương ứng là không liên quan. Các mối đe dọa loại 1 và 2 cực kỳ hiếm khi được các nhà khai thác PD coi là có liên quan.
Ngoài việc xác định mức độ bảo mật PD, nhà điều hành cũng phải xác định các mối đe dọa hiện tại cụ thể đối với đám mây công cộng và dựa trên mức độ bảo mật PD đã xác định và các mối đe dọa hiện tại, xác định các biện pháp và phương tiện bảo vệ cần thiết chống lại chúng.
FSTEC liệt kê rõ ràng tất cả các mối đe dọa chính trong (cơ sở dữ liệu mối đe dọa). Các nhà cung cấp và đánh giá cơ sở hạ tầng đám mây sử dụng cơ sở dữ liệu này trong công việc của họ. Dưới đây là ví dụ về các mối đe dọa:
: “Mối đe dọa là khả năng vi phạm tính bảo mật dữ liệu người dùng của các chương trình hoạt động bên trong máy ảo bởi phần mềm độc hại hoạt động bên ngoài máy ảo.” Mối đe dọa này là do sự hiện diện của các lỗ hổng trong phần mềm ảo hóa, đảm bảo rằng không gian địa chỉ được sử dụng để lưu trữ dữ liệu người dùng cho các chương trình hoạt động bên trong máy ảo được cách ly khỏi sự truy cập trái phép của phần mềm độc hại hoạt động bên ngoài máy ảo.
Việc thực hiện mối đe dọa này có thể thực hiện được với điều kiện mã chương trình độc hại vượt qua thành công ranh giới của máy ảo, không chỉ bằng cách khai thác các lỗ hổng của trình ảo hóa mà còn bằng cách thực hiện tác động đó từ các cấp độ thấp hơn (so với trình ảo hóa). hệ thống hoạt động."
: “Mối đe dọa nằm ở khả năng truy cập trái phép vào thông tin được bảo vệ của người tiêu dùng dịch vụ đám mây này từ người khác. Mối đe dọa này là do bản chất của công nghệ đám mây, người tiêu dùng dịch vụ đám mây phải chia sẻ cùng một cơ sở hạ tầng đám mây. Mối đe dọa này có thể được nhận ra nếu xảy ra lỗi khi phân tách các thành phần cơ sở hạ tầng đám mây giữa những người sử dụng dịch vụ đám mây, cũng như khi cô lập tài nguyên của họ và phân tách dữ liệu với nhau.”
Bạn chỉ có thể bảo vệ khỏi những mối đe dọa này với sự trợ giúp của trình ảo hóa, vì đây là trình quản lý tài nguyên ảo. Vì vậy, hypervisor phải được coi là một phương tiện bảo vệ.
Và theo quy định ngày 18 tháng 2013 năm 4, trình ảo hóa phải được chứng nhận là không phải NDV ở cấp 1, nếu không việc sử dụng dữ liệu cá nhân cấp 2 và XNUMX với nó sẽ là bất hợp pháp (“Điều 12. ... Để đảm bảo bảo mật dữ liệu cá nhân cấp độ 1 và 2, cũng như đảm bảo bảo mật dữ liệu cá nhân cấp độ 3 trong các hệ thống thông tin được phân loại là mối đe dọa loại 2 hiện tại, các công cụ bảo mật thông tin được sử dụng, phần mềm của chúng đã được được kiểm tra ít nhất theo 4 cấp độ kiểm soát đối với việc không có khả năng chưa được công bố").
Chỉ có một hypervisor được phát triển ở Nga có mức chứng nhận bắt buộc là NDV-4. . Nói một cách nhẹ nhàng thì đây không phải là giải pháp phổ biến nhất. Theo quy định, các đám mây thương mại được xây dựng trên nền tảng VMware vSphere, KVM, Microsoft Hyper-V. Không có sản phẩm nào trong số này được chứng nhận NDV-4. Tại sao? Có khả năng việc đạt được chứng nhận như vậy đối với các nhà sản xuất vẫn chưa hợp lý về mặt kinh tế.
Và tất cả những gì còn lại đối với chúng tôi đối với dữ liệu cá nhân cấp 1 và 2 trên đám mây công cộng là Horizon BC. Đáng buồn nhưng là sự thật.
Mọi thứ (theo ý kiến của chúng tôi) thực sự hoạt động như thế nào
Thoạt nhìn, mọi thứ khá nghiêm ngặt: những mối đe dọa này phải được loại bỏ bằng cách định cấu hình chính xác các cơ chế bảo vệ tiêu chuẩn của bộ ảo hóa được chứng nhận theo NDV-4. Nhưng có một lỗ hổng. Phù hợp với Lệnh số 21 của FSTEC (“Khoản 2 Việc bảo mật dữ liệu cá nhân khi được xử lý trong hệ thống thông tin dữ liệu cá nhân (sau đây gọi là hệ thống thông tin) được đảm bảo bởi nhà điều hành hoặc người xử lý dữ liệu cá nhân thay mặt cho nhà điều hành theo quy định tại Liên bang Nga"), các nhà cung cấp sẽ đánh giá độc lập mức độ liên quan của các mối đe dọa có thể xảy ra và chọn biện pháp bảo vệ phù hợp. Do đó, nếu bạn không chấp nhận các mối đe dọa UBI.44 và UBI.101 như hiện tại thì sẽ không cần phải sử dụng bộ ảo hóa được chứng nhận theo NDV-4, đây chính xác là thứ sẽ cung cấp khả năng bảo vệ chống lại chúng. Và điều này là đủ để có được chứng chỉ tuân thủ đám mây công cộng với cấp độ 1 và 2 về bảo mật dữ liệu cá nhân, điều mà Roskomnadzor sẽ hoàn toàn hài lòng.
Tất nhiên, ngoài Roskomnadzor, FSTEC có thể tiến hành kiểm tra - và tổ chức này tỉ mỉ hơn nhiều trong các vấn đề kỹ thuật. Cô ấy có thể sẽ quan tâm đến việc tại sao chính xác thì các mối đe dọa UBI.44 và UBI.101 lại được coi là không liên quan? Nhưng thông thường FSTEC chỉ tiến hành kiểm tra khi nhận được thông tin về một số sự cố nghiêm trọng. Trong trường hợp này, dịch vụ liên bang trước tiên sẽ đến với nhà điều hành dữ liệu cá nhân - tức là khách hàng của dịch vụ đám mây. Trong trường hợp xấu nhất, nhà điều hành sẽ nhận được một khoản phạt nhỏ - ví dụ: đối với Twitter vào đầu năm trong trường hợp tương tự lên tới 5000 rúp. Sau đó FSTEC tiến xa hơn đến nhà cung cấp dịch vụ đám mây. Điều này có thể bị tước giấy phép do không tuân thủ các yêu cầu quy định - và đây là những rủi ro hoàn toàn khác nhau, đối với cả nhà cung cấp đám mây và khách hàng của họ. Nhưng tôi nhắc lại, Để kiểm tra FSTEC, bạn thường cần một lý do rõ ràng. Vì vậy, các nhà cung cấp đám mây sẵn sàng chấp nhận rủi ro. Cho đến khi xảy ra sự cố nghiêm trọng đầu tiên.
Ngoài ra còn có một nhóm các nhà cung cấp “có trách nhiệm hơn” tin rằng có thể ngăn chặn tất cả các mối đe dọa bằng cách thêm một tiện ích bổ sung như vGate vào bộ ảo hóa. Nhưng trong môi trường ảo được phân phối giữa các khách hàng đối với một số mối đe dọa (ví dụ: UBI.101 ở trên), cơ chế bảo vệ hiệu quả chỉ có thể được triển khai ở cấp độ của một trình ảo hóa được chứng nhận theo NDV-4, vì bất kỳ hệ thống bổ trợ nào các chức năng tiêu chuẩn của trình ảo hóa để quản lý tài nguyên (cụ thể là RAM) không bị ảnh hưởng.
Chúng ta làm việc như thế nào
Chúng tôi có một phân khúc đám mây được triển khai trên bộ ảo hóa được FSTEC chứng nhận (nhưng không có chứng nhận cho NDV-4). Phân khúc này được chứng nhận nên dữ liệu cá nhân có thể được lưu trữ trên đám mây dựa trên phân khúc đó Mức độ bảo mật 3 và 4 - không cần phải tuân thủ các yêu cầu về bảo vệ chống lại các khả năng không được công bố ở đây. Nhân tiện, đây là kiến trúc của phân khúc đám mây an toàn của chúng tôi:
Hệ thống dữ liệu cá nhân Mức độ bảo mật 1 và 2 Chúng tôi chỉ thực hiện trên các thiết bị chuyên dụng. Ví dụ: chỉ trong trường hợp này, mối đe dọa từ UBI.101 thực sự không liên quan, vì các giá đỡ máy chủ không được thống nhất bởi một môi trường ảo không thể ảnh hưởng lẫn nhau ngay cả khi nằm trong cùng một trung tâm dữ liệu. Đối với những trường hợp như vậy, chúng tôi cung cấp dịch vụ cho thuê thiết bị chuyên dụng (còn gọi là dịch vụ Phần cứng).
Nếu bạn không chắc chắn về mức độ bảo mật cần thiết cho hệ thống dữ liệu cá nhân của mình, chúng tôi cũng giúp phân loại nó.
Đầu ra
Nghiên cứu thị trường nhỏ của chúng tôi cho thấy một số nhà khai thác đám mây khá sẵn sàng mạo hiểm cả tính bảo mật của dữ liệu khách hàng và tương lai của chính họ để nhận được đơn đặt hàng. Nhưng trong những vấn đề này, chúng tôi tuân thủ một chính sách khác mà chúng tôi đã mô tả ngắn gọn ở trên. Chúng tôi sẽ sẵn lòng trả lời câu hỏi của bạn trong phần bình luận.
Nguồn: www.habr.com