Безопасность различных архитектур облачных...

Безопасность облачных

вычислений: хватит болтать,

пора действовать!

Лукацкий Алексей, бизнес-консультант по ИБ

security-request@cisco.com

ТЕНДЕНЦИИ

ОБЛАЧНЫЕ

СРЕДЫ ВИРТУАЛИЗАЦИЯ

СООТВЕТСТВИЕ

ТРЕБОВАНИЯМ

Уходя от традиционного периметра…

Периметр

Филиал

Приложения и

данные

Офис

Политика

Хакеры Заказчики Партнеры

…к отсутствию контролируемой зоны…

Периметр

Филиал

данные

Офис

Политика

Хакеры Заказчики

Дом

Кафе

Аэропорт

Мобильный

пользователь Партнеры

…и облакам (а также XaaS)…

Периметр

Филиал

данные

Офис

Политика

Хакеры

Дом

Кафе Заказчики

Аэропорт

Мобильный

Platform

as a Service

Infrastructure

as a Service X

as a Service Software

as a Service

…пора подумать о смене парадигмы ИБ…

Периметр

Филиал

данные

Офис

Политика

Хакеры

Дом

Кафе Заказчики

Аэропорт

Мобильный

Platform

as a Service

Infrastructure

as a Service X

as a Service

И создать новую стратегию ИБ!

Политика

Периметр

Филиал

данные

Офис

Политика (Access Control, Acceptable Use, Malware, Data Security) 4

Дом

Хакеры Кафе

Заказчики

Аэропорт

Мобильный

Platform

as a Service

Infrastructure

as a Service X

as a Service

Почему Cisco говорит об облачной безопасности?!

Число CSP (400+)

Finance

Manfacturing

C&C Platform

Consumer IT

Customer Service

Acquisitions

БЕЗОПАСНОСТЬ ОБЛАКА

Если вы решились

• Стратегия безопасности облачных вычислений

– Пересмотрите свой взгляд на понятие «периметра ИБ»

– Оцените риски – стратегические, операционные, юридические

– Сформируйте модель угроз

– Сформулируйте требования по безопасности

– Пересмотрите собственные процессы обеспечения ИБ

– Проведите обучение пользователей

– Продумайте процедуры контроля облачного провайдера

– Юридическая проработка взаимодействия с облачным

провайдером

• Стратегия выбора аутсорсера

– Чеклист оценки ИБ облачного провайдера

Выбор облачного провайдера с точки зрения ИБ

• Защита данных и обеспечение privacy

• Управление уязвимостями

• Управление identity

• Объектовая охрана и персонал

• Доступность и производительность

• Безопасность приложений

• Управление инцидентами

• Непрерывность бизнеса и восстановление после катастроф

• Ведение журналов регистрации (eDiscovery)

• Сompliance

• Финансовые гарантии

• Завершение контракта

• Интеллектуальная собственность

Cisco Cloud Risk Assessment Framework

R1: Data Risk and

Accountability

R2: User Identity

R3: Regulatory Compliance

R4: Business Continuity & Resiliency

R5: User Privacy & Secondary

Usage of Data

R6: Service & Data Integration

R7: Multi-tenancy & Physical Security

R8: Incident Analysis & Forensics

R9: Infrastructure

Security

R10: Non-production

Environment Exposure

Защита данных

• Как мои данные отделены от данных других клиентов?

• Где хранятся мои данные?

• Как обеспечивается конфиденциальность и целостность моих

данных?

• Как осуществляется контроль доступа к моим данным?

• Как данные защищаются при передаче от меня к облачному

провайдеру?

• Как данные защищаются при передаче от одной площадки

облачного провайдера до другой?

• Реализованы ли меры по контролю утечек данных?

• Может ли третья сторона получить доступ к моим данным? Как?

– Оператор связи, аутсорсер облачного провайдера, силовики

• Все ли мои данные удаляются по завершении предоставления

сервиса?

Cisco/Customer Data Чьи данные передаются? Cisco или

клиентов/партнеров?

Классификация данных Данные какой классификации (грифов)

будут отдаваться в облако?

Размещение данных Где физически/географически будут

размещены данные в облаке?

Потоки данных Использование схем потоков данных (если

нужно)

Регуляторика Передаваемые данные (например, ПДн)

подпадают под регуляторные требования?

Данные клиентов Тоже самое для данных клиентов

Пример Cisco: Какие данные и куда вы хотите

передавать?

Управление уязвимостями

• Как часто сканируется сеть и приложения?

– Попадает ли облачный провайдер под требования PCI DSS и

ежеквартального сканирования со стороны ASV?

• Может ли заказчик осуществить внешнее сканирование сети

облачного провайдера с целью контроля его защищенности? На

каких условиях?

• Каков процесс устранения уязвимостей?

Управление identity

• Возможна ли интеграция с моим каталогом учетных записей?

Каким образом?

• Если у облачного провайдера собственная база учетных записей,

– Как она защищается?

– Как осуществляется управление учетными записями?

• Поддерживается ли SSO? Какой стандарт?

• Поддерживается ли федеративная система аутентификации?

Какой стандарт?

Пример Cisco: идентификация и аутентификация

пользователей

Identity Federation

Решение

1. Federated

Identity

2. OAuth для

интеграции с

backend API

Объектовая охрана и персонал

• Контроль доступа на территорию облачного провайдера

осуществляется в режиме 24х7?

• Выделенная инфраструктура или разделяемая с другими

компаниями?

• Регистрируется ли доступ персонала к данным клиентов?

• Есть ли результаты оценки внешнего аудита?

• Какова процедура набора персонала?

Доступность

• Обеспечиваемый уровень доступности в SLA (сколько девяток)

• Какие меры обеспечения доступности используются для защиты

от угроз и ошибок?

– Резервный оператор связи

– Защита от DDoS

• Доказательства высокой доступности облачного провайдера

• План действия во время простоя

• Пиковые нагрузки и возможность облачного провайдера

справляться с ними

• Уровень сертификации ЦОД облачного провайдера

Текущий SLA Amazon

Пример Cisco: уровни критичности сервисов

C-Level Term Impact Description

C1 Mission Imperative Any outage results in immediate cessation of a primary function,

equivalent to immediate and critical impact to revenue

generation, brand name and/or customer satisfaction; no

downtime is acceptable under any circumstances

C2 Mission Critical Any outage results in immediate cessation of a primary function,

equivalent to major impact to revenue generation, brand name

and/or customer satisfaction

C3 Business Critical Any outage results in cessation over time or an immediate

reduction of a primary function, equivalent to minor impact to

revenue generation, brand name and/or customer satisfaction

C4 Business Operational A sustained outage results in cessation or reduction of a primary

function

C5 Business

Administrative

A sustained outage has little to no impact on a primary function

Пример Cisco: матрица доступности сервисов по уровням

критичности

Criticality Classification Matrix v3.0

Operational Continuity

(Planned and Unplanned Downtime) Disaster Recovery

Adjusted

Availabilit

y Ceiling

Planned

Downtime

Acceptabl

Acceptable

Recovery

hours)

Acceptable

Data Loss

Hours)

Reduced

Performance

Acceptable

(Single DC

Loss)?

Recovery

Objective

(RTO, in

Hours)

Recovery

Objective

(RPO, in

Hours)

Reduced

Performance

Acceptable

(Large-Scale

Disaster)?

Criticalit

y Level

Distrib

-ution

99.999% N ~0 ~0 N n/a** n/a n/a C1

< 5% Up to

99.995% N 1 0 N 4 1 N C2

99.99% Y 4 0 N 24 1 Y C3 ~10%

99.9% Y 24 1 Y 48 24 Y C4 > 60%

99.9% Y Best Effort 24 Y Best Effort 1 wk Y C5 < 25%

• ART = Maximum downtime following incidents (up to and including one DC in Metro down)

• ADL = Maximum data loss following incidents (up to and including one DC in Metro down)

• RTO = Maximum downtime for applications following large-scale disaster (multiple Tier-III DCs in Metro down, highly

unlikely)

• RPO = Maximum data loss following large-scale disaster (multiple Tier-III DCs in Metro down, highly unlikely)

** Targeting distributed architectures (active/active over large distance) to meet service continuity requirements without DR

invocation

Безопасность приложений

• Исполнение рекомендаций OWASP при разработке приложений

• Процедура тестирования для внешних приложений и исходного

кода

• Существуют ли приложения третьих фирм при оказании сервиса?

• Используемые меры защиты приложений

– Web Application Firewall

– Database Firewall

– Аудит БД

Управление инцидентами

• План реагирования на инциденты

– Включая метрики оценки эффективности

• Взаимосвязь вашей политики управления инцидентами и

облачного провайдера

– Особенно для зарубежных облачных провайдеров, находящихся

в другом часовом поясе

• Сотрудники облачного провайдера говорят на вашем родном

языке?

– При оперативном реагировании на инциденты времени искать

переводчика не будет

Privacy

• Обезличивание критичных данных и предоставление к ним

доступа только авторизованному персоналу

• Какие данные собираются о заказчике?

– Где хранятся? Как? Как долго?

• Какие условия передачи данныех клиента третьим лицам?

– Законодательство о правоохранительных органах, адвокатские

запросы и т.п.

• Гарантии нераскрытия информации третьим лицам и третьими

лицами?

Непрерывность бизнеса

• План обеспечения непрерывности бизнеса и восстановления

после катастроф

• Есть ли у вас резервный ЦОД, если облачный провайдер уйдет в

небытие?

– Или вы решите не продлевать с ним договор на оказание

облачных услуг

• Проходил ли облачный провайдер внешний аудит по

непрерывности бизнеса?

– Есть ли сертифицированные сотрудники по непрерывности

бизнеса?

Журналы регистрации

• Как облачный провайдер обеспечивает сбор доказательств

несанкционированной деятельности?

• Как долго облачный провайдер хранит логи? Возможно ли

увеличение этого срока?

• Можно ли организовать хранение логов во внешнем хранилище?

Как?

Compliance

Рассмотрим дальше!

Финансовые гарантии

• Какая компенсация подразумевается в случае инцидента

безопасности или нарушения SLA?

– Процент от упущенной выгоды

– Процент от заработка за время простоя

– Процент от стоимости утекшей информации

– Процент от суммы договора на оказание облачных услуг

Интеллектуальная собственность

• Кому принадлежат права на информацию, переданную

облачному провайдеру?

– А на резервные копии?

– А на реплицированные данные?

– А на логи?

– А на приложения?

• Удостоверьтесь, что ваш контракт не приводит к потере прав на

информацию и иные ресурсы, переданные облачному

провайдеру

Завершение контракта

• Процедура завершения контракта?

– Возврат данных? В каком формате?

– Как скоро я получу мои данные обратно?

– Как будут уничтожены все резервные и иные копии моих данных?

Как скоро? Какие гарантии?

• Какие дополнительные затраты на завершение контракта?

ЧАСТНОЕ ИЛИ ПУБЛИЧНОЕ?

Требований даже у ФСТЭК много

СТР-К

Ключевые системы

Персональные данные

Коммерческая тайна

«Служебная тайна» (СТР-К)

МСЭ, СВТ…

Требования по защите

разных видов тайн

Требования к

разработке

средств защиты

Требования к

функциональности

средств защиты

А еще есть требования СТО Банка России, 382-П и т.д.

СТО

Общие положения

1.0-2010

Аудит ИБ 1.1-2007

Методика оценки

соответствия 1.2-2010

Рекомендации по

документации в области ИБ

2.0-2007 v1

Руководство по самооценке

соответствия ИБ

2.1-2007 v1

Методика оценки рисков

2.2-2009 v1

Требования по ИБ ПДн 2.3-2010

Отраслевая частная

модель угроз безопасности

ПДн 2.4-2010

• Применяются не только к банкам

• Планируется накрытие этими требованиями всех участников Национальной платежной системы (НПС)

Требования многих НПА по ИБ во многом схожи

•Разграничение доступа (+ управление потоками)

•Идентификация / аутентификация

•Межсетевое взаимодействие

•Регистрация действий

•Учет и маркировка носителей (+ очистка памяти)

•Документальное сопровождение

•Физический доступ

•Контроль целостности

•Тестирование безопасности

•Сигнализация и реагирование

•Контроль целостности

•Защита каналов связи

•Обнаружение вторжений

•Антивирусная защита

•BCP

•Защита от утечки по техническим каналам

Общие

•Защита специфичных процессов (биллинг, АБС, PCI…)

•Защита приложений (Web, СУБД…)

•Нестандартные механизмы (ловушки, стеганография) Специфичные

Основные функции защиты по мнению отечественных

регуляторов

• Управление доступом

• Регистрация и учет

• Обеспечение целостности

• Анализ защищенности

• Обеспечение безопасного межсетевого взаимодействия

• Обнаружение вторжений

• Антивирусная защита

• Обеспечение конфиденциальности

3 ключевых модели доступа с точки зрения ИБ

Доступ к частному облаку отовсюду

Доступ к публичному облаку из информационной системы

Доступ к публичному облаку из-за пределов информационной системы

Типы облаков с точки зрения ИБ и compliance

Частное

• Управляется организацией или третьим лицом

• Обеспечение безопасности легко реализуемо

• Вопросы законодательного регулирования легко решаемы

Публичное (локальное)

• Управляется одним юридическим лицом

• Обеспечение безопасности реализуемо средними усилиями

• Вопросы законодательного регулирования решаемы средними усилиями

Публичное (глобальное)

• Управляется множеством юридических лиц

• Требования по безопасности различаются в разных странах

• Законодательные требования различаются в разных странах

Internet

Partners

Application

Software

Virtual

Machine VSwitch Access

Aggregation

Services

Core Edge IP-NGN

Backbone

Storage

& SAN Compute

IP-NGN

Application Control (SLB+)

Service Control

Firewall Services

Virtual Device Contexts

Fibre Channel Forwarding

Fabric Extension

Fabric-Hosted Storage

Virtualization

Storage Media

Encryption

Virtual Contexts for FW & SLB

Port Profiles & VN-Link

Line-Rate NetFlow

Virtual Device Contexts

Secure Domain Routing

Service Profiles

Virtual Machine

Optimization

Частное облако vs центр обработки данных – есть ли

разница?

Функции защиты для частного облака

Функция защиты Особенности реализации

Управление доступом Отсутствуют

Регистрация и учет Отсутствуют

Обеспечение целостности Отсутствуют

Анализ защищенности Отсутствуют

Обеспечение безопасного

межсетевого взаимодействия

Отсутствуют

Обнаружение вторжений Отсутствуют

Антивирусная защита Отсутствуют

Обеспечение конфиденциальности Для доступа из ИС – отсутствуют

Для доступа с мобильной

платформы – зависит от

обрабатываемых данных

Безопасное межсетевое взаимодействие

Сегментация с помощью

матрицы коммутации

UCS Fabric Interconnect

Сегментация сети Физическая среда

Виртуальная среда (VLAN, VRF)

Виртуализованная среда (зоны)

Сегментация с помощью

межсетевого экрана Динамический

аварийный/рефлективный список ACL

Мультиконтекстная

сеть VPN

Сегментация с учетом

контекста Метки для групп безопасности (SGT)

Протокол безопасной передачи (SXP)

ACL-списки для групп безопасности

TrustSec

Реализация согласованных политик независимо от физических и виртуальных границ для защиты данных стационарных и мобильных систем

Сегментация с помощью межсетевого экрана Ф

изи

чес

Устройство

Модуль для

коммутатора

• Проверка всего трафика центра обработки данных в

устройстве обеспечения безопасности периметра сети

• Высокая скорость для всех сервисов, включая всю систему

предотвращения вторжений (IPS), благодаря единой среде

передачи данных между зонами доверия

• Разделение внешних и внутренних объектов сети (трафик

«север-юг»)

Трафик «север - юг». Проверка всего входящего и

исходящего трафика центра обработки данных

ртуа

ого

зов

ате

ска

а Виртуальный межсетевой экран контролирует границы сети

Среда виртуализации (VMware, Hyper-V) контролирует зоны

Среда виртуализации

Виртуальный

межсетевой экран

Трафик «восток-запад». Создание безопасных зон доверия

между приложениями и пользователями в центре обработки

данных

• Разделение пользователей в многопользовательских средах

• Разделяет приложения или виртуальные машины у одного

пользователя

Сегментация

Особенности возникают при виртуализации

Группа портов

Администрирование

серверов

Сетевое администрирование

Администрирование

Безопасности

1. VMware и аналоги позволяют

перемещать виртуальные машины

между физическими серверами

Политика безопасности должна

соответствовать этому процессу

2. Администраторам необходима

возможность обзора и применения

политики безопасности к локально

коммутируемому трафику

3. Администраторам необходимо

поддерживать разделение

обязанностей, одновременно

обеспечивая бесперебойную

эксплуатацию

4. Правильная модель угроз позволяет

уйти от применения только

сертифицированных средств защиты

Вирт.

машина

Вирт.

машина

Вирт.

машина

Вирт.

машина

Вирт.

машина

Вирт.

машина

Вирт.

машина

Вирт.

машина

Nexus 1000V

Windows 8 Hyper-V Nexus 1000V

VMware vSphere

VMware vCenter SCVMM

А если у вас не VMware? И не Hyper-V (в ближайшем

будущем)? А если у вас KVM?

• Вам нужно сертифицированное решение по защите

виртуализированной среды или нет?

А что если нельзя защитить виртуализированную среду

на базе сертифицированных решений

• Не имея возможности решить задачу на уровне виртуализации

можно опуститься на уровень сети, где есть все необходимые

решения

• Дизайн сети станет сложнее

• Надо искать компромисс между требованиями регуляторов и

предоставлением сервиса

ПУБЛИЧНОЕ ЛОКАЛЬНОЕ

ОБЛАКО

6 новых задач ИБ для публичных облаков

Изоляция потребителей

Multi-tenancy Регистрация изменений

Криптография (в России)

Контроль провайдера!!!

Доступность

Изменение парадигмы ИБ регуляторов при переходе в

публичное облако

Один объект = один субъект

Один объект = множество субъектов

• Защищать надо не только отдельных субъектов, но и

взаимодействие между ними

• С учетом отсутствия контролируемой зоны и динамической

модели предоставления сервиса

Функции защиты для публичного локального облака

Обеспечение

конфиденциальности

Для доступа из ИС – зависит от договора

с провайдером (унификация СКЗИ)

Для доступа с мобильной платформы –

зависит от обрабатываемых данных

МСЭ с виртуальными контекстами могут решить задачу

(один заказчик = один контекст)

Компания X Компания Y

Виртуальная

машина 1

машина 2

машина 3

МСЭ МСЭ Виртуализованные web-серверы

физическая среда компании X

Физический

сервер 1

Физический

сервер 1

машина 4

машина 5

Физическое

устройство

Cisco ASA Сеть IPsec VPN для связи между объектами

• Компания X намерена развернуть свои web-серверы в облаке,

• Компания X также располагает локально размещенными физическими

серверами

• Разработчикам компании X необходим доступ к web-серверам в

виртуализованной среде.

• В процессе настройки устанавливается VPN-туннель между объектами.

Пример использования:

Разная ответственность за защиту для разных архитектур

облаков

• В зависимости от архитектуры облака часть функций защиты

может решать сам потребитель самостоятельно

Провайдер

Заказчик

VMs/Containers

ОС/Приложения

Данные

Приложения

Провайдер

Заказчик Данные

Провайдер

Типы архитектур облака и средства защиты

• Заказчик облачных услуг может использовать любые средства защиты, устанавливаемые на предоставляемую аппаратную платформу

• Заказчик облачных услуг привязан к предоставляемой платформе

• Выбор СЗИ (особенно сертифицированных) ограничен и, как правило, лежит на облачном провайдере

• Заказчик может настраивать функции защиты приложений

• Компромисс между средствами защиты и облачными услугами

• Заказчик облачных услуг не имеет возможности по выбору средств и механизмов защиты облака

• Выбор лежит на облачном провайдере

ПУБЛИЧНОЕ ГЛОБАЛЬНОЕ

ОБЛАКО

Функции защиты для публичного глобального облака

Обеспечение конфиденциальности Для трансграничной передачи

возможно (с оговорками)

использование СКЗИ иностранного

производства

СООТВЕТСТВИЕ

ТРЕБОВАНИЯМ

Технический compliance: требований много

Законодательный compliance: пока есть вопросы

• Защита конфиденциальной информации

– Обеспечение конфиденциальности

– Уведомление о фактах утечки

– Оказание услуг в области шифрования

– Деятельность по технической защите конфиденциальной

информации

– Обеспечение безопасности

• Местоположение данных

• Защита прав субъектов персональных данных

• Защита интеллектуальной собственности

• Обеспечение СОРМ

• Сбор и хранение данных для судебных разбирательств

(eDiscovery)

• Юрисдикция и ответственность

Рост нормативных требований в зависимости от «типа»

облака

Облако само по себе

Облако обрабатывает информацию ограниченного доступа

Облако предоставляет услуги по защите

ОБЛАКО САМО ПО СЕБЕ

Мнение Минкомсвязи

• «Помимо этого сервер, предоставляющий услугу облачных

вычислений, должен находиться в России. В какой-то

степени такие условия осложняют жизнь хостерам, потому

что придется взаимодействовать с такими службами, как

ФТЭК и ФСБ, но надо с чего-то начинать. Это необходимо

сделать, чтобы облачные платформы в будущем имели

возможность нормальной работы не только с госорганами,

но и с другими структурами»

– Илья Массух, бывший советник министра связи и массовых

коммуникаций на конференции «Защита персональных

данных», 27 октября 2011 года

• Сейчас отмечен очередной этап интереса к теме

регулирования облаков – готовится новая законодательная

база

ОБЛАКО ОБРАБАТЫВАЕТ

ЗАЩИЩАЕМЫЕ СВЕДЕНИЯ

Виды защищаемой информации

• 65 видов тайн в

российском

законодательстве

• Персональные

данные

• Коммерческая тайна

• Банковская тайна

• Тайна переписки

• Инсайдерская

информация

В облака отдают конфиденциальную информацию!

• Управление предприятием (ERP)

• Поддержка пользователей (Service Desk)

• Управление контентом

• Управление персоналом (HRM)

• Управление заказами (ORM)

• Управление затратами и поставщиками (SRM)

• Унифицированные коммуникации

• Управление проектами

• Управление цепочками поставок (SCM)

• Управление электронной почтой и мгновенными сообщениями

• Биллинг

• Пользовательские приложения

Обеспечение конфиденциальности

• Инфраструктура хранения данных в облаке общая

• Требуется обеспечить конфиденциальность для данных каждого

владельца данных, обрабатываемых в облаке, и не дать им

перемешиваться с другими

• Конфиденциальность достигается различными техническими и

организационными мерами

Интеллектуальная собственность

• Какие виды интеллектуальной собственности могут

обрабатываться в облаке?

– Приложения (программы для ЭВМ) и базы данных

– Телевизионное вещание (IPTV)

– Секреты производства (ноу-хау)

– Промышленная собственность (изобретения и т.п.)

– Средства индивидуализации (товарные знаки и т.п.)

• Что с защитой интеллектуальной собственности?

– А она у вас оценена?

• Введен ли режим коммерческой тайны для секретов

производства?

– Если режим защиты КТ сложно ввести у себя на предприятии, то

как его ввести на чужом предприятии?

СОРМ должен волновать провайдера, а не заказчика

• Регулирование

– Постановление Правительства Российской Федерации от 27 августа

2005 г. № 538 «Об утверждении Правил взаимодействия

операторов связи с уполномоченными государственными органами,

осуществляющими оперативно-разыскную деятельность»

– Приказ Мининформсвязи от 16 января 2008 г. № 6 «Об утверждении

требований к сетям электросвязи для проведения оперативно-

разыскных мероприятий. Часть I. Общие требования»

– Приказ Минкомсвязи от 27.05.2010 г. № 73 «Об утверждении

Требований к сетям электросвязи для проведения оперативно -

разыскных мероприятий. Часть II. Требования к сетям передачи

данных»

• Все зависит от типа облачных вычислений

– Для Webex (видео- и Web-конференции) требования СОРМ нет

– Для облачной почты такие требования есть

Юрисдикция или кому подчиняется ваше облако?

• Американские компании, действующие на территории других стран

остаются подотчетными американскому законодательству и

требованиям американских регуляторов

– Американские регуляторы могут затребовать любые данные у

американского облачного провайдера (Google, Oracle,

Microsoft/Skype и т.д.) без согласования с пользователем

облачных услуг

АКЦЕНТ СМЕЩАЕТСЯ В

СТОРОНУ КОНТРОЛЯ

Как контролировать?

• Как проконтролировать выполнение защитных мер в облаке?

– Заказчик вынужден требовать от исполнителя некоторых гарантий,

которые позволят ему выполнять свои обязанности в части

внутреннего контроля над информационными потоками

• Кто у заказчика будет осуществлять мониторинг и контроль

облачного провайдера?

• Есть ли регламенты, процедуры и инструменты?

• Как получить доступ и проверить провайдера облачных услуг,

находящегося заграницей?

О посредниках

• Облачный провайдер становится неотъемлемой частью

инфраструктуры (системы) заказчика облачных услуг

• При любом аудите (PCI DSS, ISO 27001, СТО БР ИББС и т.д.)

аудитор должен будет проверить выполнение требований,

применимых к заказчику облачных услуг и у самого облачного

провайдера

– Облачный провайдер готов к этому?

– В договоре с облачным провайдером это прописано?

• Аудитор контролирует и подразделение облачного заказчика,

ответственное за ИБ, и провайдера, оказывающего услугу

– Кто-то вообще ничего не контролирует

– Кому-то достаточно посмотреть, что между облаком и заказчиком

ходят бумажки с заявками

– Кто-то хочет детально все проверять

ПЕРСОНАЛЬНЫЕ ДАННЫЕ

Персональные данные

• Хранение – это одна из форма обработки

• Трансграничные потоки персональных данных

• Адекватный уровень защиты

• В разных странах Евросоюза могут быть разные требования по

защите персональных данных

– В целом они похожи, но могут быть исключения и отличия

• Согласие на передачу ПДн клиентов/сотрудников облачного

заказчика облачному провайдеру

• Требования ФЗ-152 применяются, в основном, к операторам ПДн,

а не к обработчикам

– Облачный провайдер – это обработчик в терминологии

Европейской Конвенции

– По ФЗ-152 это лицо, осуществляющее обработку персональных

данных по поручению оператора

Субъект ПДн

Требования меняются в зависимости от статуса

Оператор ПДн Обработчик ПДн

Субъект ПДн Обработчик ПДн Оператор ПДн

Облачный провайдер – обработчик ПДн

• Условия обработки ПДн в облаке (должны быть прописаны в

договоре между облачным заказчиком и провайдером)

– Указание перечня действий (операций) с ПДн, которые будут

совершаться обработчиком и цели обработки

– Обеспечение конфиденциальность ПДн

– Обеспечение безопасности ПДн при их обработке

– Требования к защите обрабатываемых ПДн в соответствие с

ст.19 ФЗ-152

• Обработчик не обязан получать согласие субъекта ПДн

• Ответственность перед субъектом за действия обработчика все

равно несет оператор

– Обработчик несет ответственность перед оператором

Трансграничная передача данных

• Трансграничная передача персональных данных на территории

иностранных государств, являющихся сторонами Конвенции

Совета Европы о защите физических лиц при автоматизированной

обработке персональных данных, а также иных иностранных

государств, обеспечивающих адекватную защиту прав субъектов

персональных данных осуществляется в соответствие с ФЗ-152

– Перечень «неадекватных» определяет Роскомнадзор

– Вместе с тем…одним из критериев оценки государства в данном

аспекте может выступать факт ратификации им Конвенции…

• Сторона не должна запрещать или обусловливать специальным

разрешением трансграничные потоки персональных данных,

идущие на территорию другой Стороны, с единственной целью

защиты частной жизни

– Евроконвенция

Страны, обеспечивающие адекватность

• Ратифицировавшие Евроконвенцию

– Австрия, Бельгия, Болгария, Дания, Великобритания, Венгрия,

Германия, Греция, Ирландия, Испания, Италия, Латвия, Литва,

Люксембург, Мальта, Нидерланды, Польша, Португалия,

Румыния, Словакия, Словения, Финляндия, Франция, Чехия,

Швеция, Эстония

• Страны, имеющие общенациональные нормативные правовые

акты в области защиты ПДн и уполномоченный надзорный орган

по защите прав субъектов ПДн

– Андорра, Аргентина, Израиль, Исландия, Канада, Лихтенштейн,

Норвегия, Сербия, Хорватия, Черногория, Швейцария, Южная

Корея, Япония

• Финальный и официальный список «адекватных» стран в России

отсутствует

– Его должен разработать Роскомнадзор

Условия передачи в неадекватные страны

• Письменное согласие на трансграничную передачу

• Наличие международного договора, подписанного Россией

• Наличие федеральных законов

• Исполнение договора, стороной которого является субъект ПДн

• Защита жизни, здоровья и иных жизненно важных интересов

субъекта ПДн или других лиц

Как облачные провайдеры поступают в России

ПОДВОДЯ ИТОГИ

Что все это значит для вас?!

• Технически облако может быть эффективно защищено с

помощью существующих технологий

• В настоящий момент вопросы законодательного регулирования

облачных вычислений находятся только в начале своего

развития

• На законодательном уровне наиболее просто решаются вопросы

регулирования частных облаков

• Наиболее сложный вопрос – публичное глобальное облако

– Разные юрисдикции, разные законы, разные требования по

защите

• Россия готовит ряд нормативных актов, регулирующих облачные

вычисления

– Основной акцент на национальную безопасность

• Ключевой вопрос – что прописано в договоре?!

Завершу анонсом

Спасибо!

Безопасность различных архитектур облачных...

Technology

Методы оптимизации вычислений на CPU

Программирование многоядерных архитектур

Использование облачных технологий

Модель распределенных вычислений MapReduce · Семинар27 Модель распределенных вычислений MapReduce Михаил

Безопасность облачных сервисов

Результаты опроса по использованию Облачных вычислений (Облаков) в организациях (2013)

Архитектур дэд бүтэц

обзор средств разработки для вычислений Gpgpu

Практика и планы по использованию Облачных вычислений (Облаков) в вашей организации

Изменение парадигмы IT -служб предприятия в эпоху «Облачных вычислений»

Прямые продажи облачных сервисов

Архитектура брендов: описание типов Описание архитектур

Услуги КРОК в сфере облачных вычислений

Построение социальных архитектур (2014)

«Проблемы внедрения облачных технологий»

Сервис облачных вычислений Compute Engine

Безопасность облачных вычислений Обзор текущей ситуации

интеграция облачных приложений

Платформа облачных сервисов BMC Sales

МЕТОДЫ ВЫЧИСЛЕНИЙ в классах языка С++lib.iitta.gov.ua/704181/1/NumMeth(A5).pdfА.П. Полищук, С.А. Семериков МЕТОДЫ ВЫЧИСЛЕНИЙ