Una gran empresa extranjera necesitaba
ingresar a nuestra nube debido a la ley de datos personales. Como ellos mismos están involucrados en la auditoría de otras compañías, abordaron la pregunta como de costumbre: estudiaron el mercado, compilaron una lista de requisitos para la nube y comenzaron a verificar quién y cómo le correspondía.
Todos los sistemas transferidos: entornos de prueba, prueba + prod, preprod, todas las máquinas virtuales, servidores virtuales más todos los sistemas de infraestructura virtual. Incluso su apoyo apareció en Rusia. De nosotros: solo recursos de alquiler.
Nos revisaron notablemente, en términos de escala: una auditoría casi completa del centro de datos. Pero no analizaron el hardware y las especificaciones técnicas en general, sino cómo se construyen los procesos de IB y cómo se observan los diferentes SLA. Desde su punto de vista, son los procesos de estabilidad de SLA los que indican la calidad de la empresa. Y les contamos sobre cada uno de los componentes en detalle.
Quiero compartir una lista de criterios para la verificación. Porque había al menos algún tipo de metodología, porque antes de eso pocos clientes tenían un enfoque tan sistemático del problema.
Opciones generales
Los requisitos principales eran alrededor de dos docenas. Entre ellos se encuentran los básicos, como colocar la plataforma en dos centros de datos, tener una consola para administrar recursos, la capacidad de trabajar a través de la API, pagar los servicios con una granularidad de no más de una hora y la disponibilidad de herramientas de automatización, por ejemplo, Terraform. Otros requisitos no son para decir que nos sorprendió mucho, simplemente no los muestran a todos sin excepción. Entre dicho requisito está la necesidad de poseer un edificio en el que opera un centro de datos en la nube.
Pero aquí todo está claro en general. Aparentemente, este cliente también leyó la historia del mercado de colocación ruso. O algunos de sus clientes ya se han conocido en algún lugar del extranjero. Todo lo demás es estándar en general. El requisito del centro de datos está en Moscú (esto también estaba en la lista): esta es la oportunidad de acudir al administrador y la velocidad de las llamadas durante la replicación. El punto más importante después de dos centros de datos es la métrica detallada en el SLA. Como dije, esto les preocupaba más sobre cada artículo.
Requisitos de personal
Este fue uno de los bloques más difíciles, porque el cliente, con una vasta experiencia en actividades de proyectos (tienen cientos de clientes de producción y minoristas en todo el mundo), lo transfirió en cierta medida a TI. En general, este es un enfoque sólido, pero los requisitos resultaron ser "pesados".
Esto es para lo que fuimos probados:
- La presencia de tres niveles de soporte técnico para la plataforma: la primera línea es la solución de incidentes a nivel de plataforma (HW, virtualización), la segunda línea es la solución de problemas en la infraestructura del cliente ubicada en la plataforma en la nube (OS, DBMS y otro nivel de software de aplicación), la tercera línea es la conexión proveedores y / o proveedores de plataformas en la nube para resolver problemas.
- Modo operativo 24x7x365 de la primera línea de soporte técnico.
- Conocimiento obligatorio de los idiomas ruso e inglés por especialistas de todos los niveles de soporte.
- La capacidad de presentar solicitudes para el incidente por correo electrónico o llamando al servicio de soporte técnico.
- La posibilidad de presentar solicitudes para un incidente llamando al servicio de soporte técnico.
- El tiempo de reacción de los especialistas de soporte técnico para un incidente es de 10 a 15 minutos, dependiendo de la prioridad de la aplicación (el proveedor debe registrar una descripción detallada de las prioridades de los incidentes en el contrato de servicio).
- El tiempo para resolver el incidente es de 90 a 240 minutos, dependiendo de la prioridad de la aplicación (el proveedor debe registrar una descripción detallada de las prioridades de los incidentes en el contrato de servicio).
- Presencia obligatoria de un equipo de proyecto dedicado, que incluye: gerente de cuenta, gerente de proyecto, arquitecto técnico, ingenieros.
- La capacidad de utilizar diversos medios de comunicación entre el equipo del proveedor y el equipo del cliente para resolver problemas más rápidamente (por ejemplo, usando Telegram, WhatsApp y otros mensajeros).
- Arreglando la lista del equipo del proyecto en un contrato firmado para la provisión de servicios de plataforma en la nube. La lista debe incluir el nombre completo, números de contacto de teléfonos móviles, direcciones de correo electrónico de todas las personas involucradas en la actividad del cliente y proveedor.
Aquí, uno de los puntos más importantes para el cliente fue que proporcionaron exactamente tres líneas de soporte. Todos siempre tienen la primera línea, la segunda línea de soporte generalmente está allí, pero los requisitos para ella ya son bastante borrosos. Pero también hay un tercero, que de hecho corta varias fichas. Y nada se subcontrata, como a veces hacen los proveedores pequeños. El proyecto solo trata con sus empleados. No se asigna un equipo de servicio a un gran proyecto de cliente, sino un equipo de proyecto separado, y esto se registra en los documentos.
Un equipo de proyecto dedicado es un punto importante separado. Para un proveedor de servicios en la nube normal, esto generalmente viene en alguna forma de servicio. Pero, de nuevo, no hay un requisito explícito directo para esto, y no hay estándares. En general, hay personas que están directamente involucradas en el soporte al cliente, hay una persona que administra un proyecto específico, hay ingenieros. Es costoso para el cliente reservar tiempo para estas personas, pero es necesario, porque en la mayoría de los casos, fuera de "solo alojamiento", necesita resolver problemas bastante complejos. O simple, pero rápido y la primera vez. Por lo tanto, estas personas del equipo estarán activas 24x7, siempre en contacto y listas para ayudar. Con cualquier tipo de comunicación que sea conveniente para el cliente. Este es un servicio que generalmente se brinda a clientes "queridos", pero con nosotros, a todos. Y está documentado.
Sobre comunicación: es muy importante tener teléfonos personales en los contactos en caso de diferentes estados de emergencia. En proyectos serios, la comunicación pasa por mensajeros para acelerar (hace un par de años no era así, todos se comunicaban por correo). El director de ventas dio un número personal que no se apaga de noche y de vacaciones, esta es la norma. Pero no todos pueden decir esto.
Ahora un poco más en detalle: acerca de los requisitos para subsistemas y procesos individuales.
Requisitos de certificación
Vista- El sistema de contabilidad de los recursos consumidos debe cumplir con los requisitos establecidos de las "Reglas para el uso de sistemas de pago automatizados, aprobados. Orden del Ministerio de Información y Comunicaciones de Rusia de 02.07.2007 No. 73. "
- El proveedor debe tener un certificado actualizado de cumplimiento de los sistemas de gestión de seguridad de la información de la compañía con los requisitos de la norma ISO / IEC 27001: 2013 en relación con la provisión de servicios de outsourcing para centros de datos y centros de datos virtuales.
- Disponibilidad del certificado actual para la plataforma en la nube PCI DSS v3.2.
- El certificado de conformidad PCI DSS 3.2 debe incluir soporte de TI, seguridad física, seguridad de los servicios del sistema, equipos físicos, redes, almacenamiento.
- Certificados de centros de datos de diseño de nivel III, centros de datos de instalaciones de nivel III, centros de datos de sostenibilidad operativa de nivel III.
No hay sorpresas aquí: PCI DSS para datos financieros y T-III para tres certificados. Esto es importante para el negocio del cliente. Para su empresa, necesita crear su propia lista de certificación. Pero el primer punto merece especial atención. Al final resultó que era importante para el cliente que proporcionemos un documento que indique el trabajo competente de nuestro sistema de facturación. Afortunadamente para nosotros, casi un año antes de eso, lo certificamos en el Ministerio de Comunicaciones.
A continuación se muestra una lista de requisitos para los principales elementos de la plataforma en la nube. Como anteriormente trabajamos bastante estrechamente con clientes extranjeros, ya existía una lista similar, pero en una forma muy reducida. En un grado u otro, la información se indicó en el SLA y otros documentos. A pedido de un consultor de negocios, nos encargamos de todo lo que teníamos, organizamos y actualizamos. Como resultado, recibimos un documento bastante sólido en volumen, que podemos ofrecer para familiarizar a otros clientes.
Entonces, lo que se indica específicamente en las listas de verificación con respecto a los parámetros técnicos de la plataforma.
Recursos informáticos
Vista- Debe garantizarse la asignación de recursos informáticos (núcleos virtuales, RAM), excluyendo la posibilidad de influencia mutua de los servidores virtuales del cliente ubicados en un nodo físico entre sí.
- La plataforma en la nube debe proporcionar la capacidad de cambiar la cantidad de recursos informáticos sin volver a crear la VM.
- La posibilidad de una implementación garantizada de máquinas virtuales en diferentes nodos físicos.
- La plataforma en la nube debe proporcionar una opción de clúster (DC) al iniciar una VM.
Discos
Vista- La plataforma en la nube debe proporcionar la capacidad de crear discos virtuales de diferente rendimiento (IOPS) a través de la interfaz de administración basada en web y API.
- La plataforma en la nube debería proporcionar la capacidad de cambiar el rendimiento del disco sobre la marcha.
- Los recursos de disco deben estar disponibles con garantías de rendimiento medidas por el número de IOPS por disco.
- Las garantías de rendimiento del disco deben cubrir hasta 100,000 IOPS.
- La plataforma en la nube debería proporcionar la capacidad de migrar datos entre recursos de disco de diferente rendimiento "sobre la marcha" sin detener el servicio.
Redes
Vista- La plataforma en la nube debería permitirle organizar entornos de red aislados que no están disponibles para otros clientes de la plataforma en la nube.
- Los entornos de red aislados de la plataforma en la nube deberían permitir gestionar el direccionamiento y el enrutamiento de la red de la infraestructura de TI del cliente.
- La plataforma en la nube debe tener funcionalidad para conectar canales de comunicación externos dedicados de los clientes.
- Debe garantizarse la asignación o eliminación de direcciones IP externas a servidores virtuales utilizando la plataforma en la nube.
- La plataforma en la nube debe proporcionar una conexión externa a prueba de fallas a una velocidad de al menos 40 Gb / s.
- La plataforma en la nube debe tener servicios DNS y DHCP integrados.
- La plataforma en la nube debe proporcionar conexiones VPN IPSec.
- La plataforma en la nube debe proporcionar acceso a Internet a prueba de fallas, independiente del proveedor, y agregar al menos cuatro proveedores.
- El ancho de banda entre las máquinas virtuales dentro del mismo centro de datos debe ser de al menos 10 Gb / s.
- Conectividad L2 entre infraestructuras virtuales implementadas en varios centros de datos.
Almacenamiento de objetos
Vista- La plataforma en la nube debe tener un servicio de archivos compatible con la interfaz del software Amazon S3.
- El almacenamiento de objetos debe funcionar de acuerdo con un protocolo que brinde la capacidad de almacenar y recibir cualquier cantidad de datos en cualquier momento desde cualquier lugar en Internet.
- El sistema de almacenamiento de datos para tolerancia a fallas debe distribuirse entre al menos dos sitios del contratista.
- El sistema de almacenamiento debería poder expandirse a medida que se agregan archivos.
- El almacenamiento de objetos debe ser compatible con el control de versiones.
- Cada objeto en el repositorio debe ser replicado entre los sitios del contratista. En el caso de una falla única de cualquiera de los componentes del almacenamiento de objetos, no debería haber impacto en la calidad del servicio.
- Capacidad para trabajar con almacenamiento a través de HTTPS.
- Soporte para la lista de control de acceso (ACL) y la política.
- Compatibilidad con las políticas de Object Lifecycle Object Lifecycle.
- Cifrado del lado del servidor.
- Soporte para sitios web estáticos y nombres de usuario para sitios web como mysite.ru
- El nivel de tolerancia a fallas del servicio de almacenamiento es al menos 99.99%.
IB
Vista- Debe garantizarse la separación del entorno de información del cliente dentro de la plataforma en la nube en varias redes virtuales independientes.
- La administración del acceso a las redes virtuales debe implementarse en varios puertos y protocolos utilizando un firewall integrado gratuito.
- Debe garantizarse que los servidores de la plataforma virtual se combinen en una red privada virtual (VPN) con los servidores físicos o virtuales del cliente ubicados en un sitio remoto o centro de datos.
- El acceso a las funciones de administración de software (API) de la plataforma en la nube se debe proporcionar de tal manera que la seguridad no se vea comprometida incluso cuando se utilizan protocolos de transporte inseguros.
- El protocolo HTTPS debe usarse para acceder a las funciones de administración de software (API) de la plataforma en la nube. Los certificados deben estar firmados por autoridades de certificación confiables.
- Se debe acceder a los servidores virtuales Linux \ UNIX mediante el protocolo SSH mediante la autenticación de clave sin contraseña. La plataforma virtual debe proporcionar la capacidad de administrar claves de autenticación (crear y eliminar), así como también proporcionar un mecanismo accesible desde la VM para la entrega de claves públicas a la VM durante su carga.
- La organización del acceso seguro a los servidores del sistema de TI debe llevarse a cabo utilizando una conexión VPN IPsec.
- La plataforma virtual debe tener un firewall integrado, que se configura por separado para cada red virtual, así como para redes virtuales de entornos de nube aislados.
- La presencia de los resultados de una prueba de penetración con un plazo de no más de 1 año.
Copia de seguridad
Vista- El servicio de respaldo debe ser administrado por el cliente de forma independiente a través de la interfaz de administración basada en la web.
- A través de la interfaz web, la funcionalidad debe estar disponible para establecer el cronograma de copias de seguridad para servidores individuales, así como para hacer copias de seguridad y restaurarlas manualmente.
- El servicio de copia de seguridad de datos debe contabilizarse y pagarse por el uso, a saber, Gigabytes de datos protegidos por mes.
- El servicio de copia de seguridad de datos debe proporcionar la capacidad de hacer una copia de seguridad del sistema corporativo común y el software de aplicación. Los agentes de software instalados en servidores protegidos deben ser gratuitos.
- Gestión de copias de seguridad: a través de la interfaz web y del agente de software.
- Uso de almacenamiento elástico S3 basado en archivos para almacenar copias.
- El uso de la deduplicación.
Facturación
Vista- En una plataforma en la nube, la división lógica de máquinas virtuales en grupos con la opción de facturación separada debería estar disponible.
- Pago solo por el volumen realmente ocupado.
Lo que terminó
La prueba fue realmente agotadora para nosotros, pero gracias a ella aprendimos mucho. Por ejemplo, concentrándose en colegas extranjeros, elaboraron varios procedimientos, trajeron todos los documentos en orden completo. En realidad, trabajamos durante algún tiempo y luego propusimos una asociación estratégica. Porque esta empresa también tiene muchos clientes en Rusia. Ahora todo esto está en discusión, pero ya ha aparecido una metodología de verificación. Por supuesto, las listas de verificación no dan una idea completa de qué y cómo se veían los consultores de negocios, pero intenté descargar la principal, lo que le permitirá construir una metodología de verificación usted mismo. Aquí, por supuesto, hay algo de astucia de mi parte, porque pasamos esta prueba y ganamos, es decir, las listas de verificación son casi totalmente aplicables a nuestra nube. Porque nuestra plataforma correspondía a su gran proyecto. Espero que use el sentido común y entienda lo que su proyecto necesita de la plataforma, y en consecuencia cambie los requisitos.
Si de repente hay preguntas que no son para comentarios, mi correo es NiVasilev@croc.ru