"وهكذا يذهب": أن مقدمي الخدمات السحابية لا يتفقون على البيانات الشخصية

بطريقة ما جاء تطبيق للخدمات السحابية لنا. اكتشفنا بشكل عام ما هو مطلوب منا ، وأرسلنا قائمة من الأسئلة لتوضيح التفاصيل. ثم قمنا بتحليل الإجابات وأدركنا: يريد العميل وضع البيانات الشخصية للمستوى الثاني من الأمان في السحابة. نجيب عليه: "لديك المستوى الثاني من الفرس ، آسف ، لا يمكننا سوى صنع سحابة خاصة." وقال: "أنت تعرف ، لكن في الشركة X يمكنهم وضع كل شيء في مكان عام بالنسبة لي."


تصوير ستيف كريسب ، رويترز

أشياء غريبة! ذهبنا إلى موقع الشركة X ، ودرسنا وثائق التصديق الخاصة بهم ، وهزنا رؤوسنا وفهمناها: هناك الكثير من الأسئلة المفتوحة في وضع البيردان ويجب تهويتها بشكل صحيح. ماذا سنفعل في هذا المنصب.

كيف ينبغي أن تعمل

بادئ ذي بدء ، سوف نفهم وفقًا للمعايير التي تنسب البيانات الشخصية عمومًا إلى مستوى معين من الأمان. يعتمد ذلك على فئة البيانات ، وعلى عدد موضوعات هذه البيانات التي يقوم المشغل بتخزينها ومعالجتها ، وكذلك على نوع التهديدات الفعلية.



يتم تعريف أنواع التهديدات الفعلية في المرسوم الصادر عن حكومة الاتحاد الروسي رقم 1119 المؤرخ 1 نوفمبر 2012 "بشأن الموافقة على متطلبات حماية البيانات الشخصية أثناء معالجتها في أنظمة معلومات البيانات الشخصية":

"تهديدات النوع الأول ذات صلة بنظام المعلومات إذا كانت التهديدات المتعلقة بوجود إمكانات (غير معلنة) غير موثقة في برنامج النظام المستخدمة في نظام المعلومات لها صلة به.

تهديدات النوع الثاني ذات صلة بنظام المعلومات إذا كانت التهديدات المتعلقة بوجود إمكانات غير موثقة (غير معلن عنها) في برنامج التطبيق المستخدم في نظام المعلومات لها صلة به.

تهديدات النوع الثالث ذات صلة بنظام المعلومات إذا كانت التهديدات ذات الصلة لا تتعلق بوجود إمكانات (غير معلنة) غير موثقة في النظام وبرامج التطبيقات المستخدمة في نظام المعلومات. "

الشيء الرئيسي في هذه التعريفات هو وجود فرص (غير معلنة) غير موثقة. لتأكيد عدم وجود إمكانيات برامج غير موثقة (في حالة السحابة ، يكون برنامج Hypervisor) ، معتمدًا من FSTEC of Russia. إذا قبل مشغل PD عدم وجود قدرات من هذا القبيل في البرنامج ، فإن التهديدات المقابلة ليست ذات صلة. نادرًا ما يتم قبول تهديدات النوعين الأول والثاني من قِبل مشغلي PD حسب الاقتضاء.

بالإضافة إلى تحديد مستوى أمان البيانات الشخصية ، يجب على المشغل أيضًا تحديد التهديدات الفعلية المحددة للسحابة العامة ، وبناءً على مستوى الأمان المحدد للبيانات الشخصية والتهديدات الفعلية ، تحديد التدابير والوسائل اللازمة للحماية ضدها.

في FSTEC ، يتم سرد كافة التهديدات الرئيسية بوضوح في BDU (قاعدة بيانات هذه التهديدات). يستخدم مزودو ومصدّقات البنية التحتية السحابية قاعدة البيانات هذه في عملهم. فيما يلي بعض أمثلة التهديدات:

UBI.44 : "يكمن التهديد في إمكانية انتهاك أمان بيانات المستخدم الخاصة بالبرامج التي تعمل داخل الجهاز الظاهري بواسطة برامج ضارة تعمل خارج الجهاز الظاهري." سبب هذا التهديد هو وجود ثغرات أمنية في برنامج المشرف الذي يعزل مساحة العنوان المستخدمة لتخزين بيانات المستخدم الخاصة بالبرامج التي تعمل داخل الجهاز الظاهري عن الوصول غير المصرح به بواسطة البرامج الضارة التي تعمل خارج الجهاز الظاهري.

يمكن تنفيذ هذا التهديد شريطة أن يتغلب البرنامج الضار بنجاح على حدود الجهاز الظاهري ، ليس فقط من خلال استغلال نقاط الضعف في برنامج hypervisor ، ولكن أيضًا من خلال تطبيق هذا التأثير من المستويات الدنيا (فيما يتعلق ببرنامج Hypervisor) لأداء النظام. "

UBI.101 : "يكمن التهديد في إمكانية الوصول غير المصرح به إلى المعلومات المحمية لأحد مستهلكي الخدمات السحابية من آخر. يرجع هذا التهديد إلى حقيقة أنه نظرًا لطبيعة التقنيات السحابية ، يتعين على مستهلكي الخدمات السحابية مشاركة نفس البنية التحتية السحابية. يكون تنفيذ هذا التهديد ممكنًا إذا ارتكبت أخطاء عند مشاركة عناصر البنية التحتية السحابية بين مستهلكي الخدمات السحابية ، وكذلك عند عزل مواردهم وعزل البيانات عن بعضهم البعض. "

لا يمكنك حماية نفسك من هذه التهديدات إلا بمساعدة أحد المشرفين ، لأنه هو الذي يدير الموارد الافتراضية. وبالتالي ، يجب النظر في برنامج hypervisor كوسيلة للحماية.

ووفقًا لترتيب FSTEC رقم 21 الصادر في 18 فبراير 2013 ، يجب اعتماد برنامج مراقبة الأجهزة الافتراضية لغياب NDV في المستوى 4 ، وإلا فإن استخدام البيانات الشخصية للمستويين 1 و 2 سيكون غير قانوني ( "البند 12. ... لتوفير 1 و 2 مستويات أمان البيانات الشخصية ، بالإضافة إلى ضمان 3 مستويات من أمان البيانات الشخصية في أنظمة المعلومات التي تتعلق بتهديدات من النوع الثاني ، يتم استخدام أدوات حماية المعلومات ، والتي تم اختبار برنامجها بما لا يقل عن المستوى 4 من التحكم أنا غير معلنة قدرات ").

يمتلك مستوى الشهادة المطلوب ، NDV-4 ، بواسطة برنامج مراقبة واحد فقط من التطوير الروسي - Horizon VS. بعبارة ملطفة ، وليس الحل الأكثر شعبية. عادةً ما يتم بناء السحب التجارية على أساس VMware vSphere و KVM و Microsoft Hyper-V. لم يتم اعتماد أي من هذه المنتجات للحصول على NDV-4. لماذا؟ من الواضح أن الحصول على مثل هذه الشهادات للمصنعين ليس مبررًا اقتصاديًا بعد.

ويبقى لنا أفق الشمس فقط بالنسبة للمستوى 1 والمستوى 2 في سحابة عامة. حزين ولكن صحيح.

كيف كل شيء (في رأينا) يعمل فعلا

للوهلة الأولى ، كل شيء صارم تمامًا: يجب التخلص من هذه التهديدات عن طريق إعداد آليات حماية قياسية بشكل صحيح لبرنامج Hypervisor المعتمد من NDV-4. ولكن هناك ثغرة واحدة. وفقًا لأمر FSTEC رقم 21 ( "البند 2 ، يتم توفير أمان البيانات الشخصية أثناء معالجتها في نظام معلومات البيانات الشخصية (المشار إليها فيما يلي باسم نظام المعلومات) من قبل المشغل أو الشخص الذي يعالج البيانات الشخصية نيابة عن المشغل وفقًا لتشريعات الاتحاد الروسي" ) ، يقوم مقدمو الخدمة بتقييم أهمية التهديدات المحتملة بشكل مستقل ، ووفقًا لهذا ، اختروا تدابير الحماية. لذلك ، إذا لم يتم قبول تهديدات UBI.44 و UBI.101 على أنها ذات صلة ، فلن تكون هناك حاجة لاستخدام برنامج مراقبة معتمد NDV-4 ، والذي يجب أن يوفر الحماية ضدهم. وسيكون هذا كافيًا للحصول على شهادة امتثال السحابة العامة بالمستويين 1 و 2 من أمان PD ، والذي سيكون Roskomnadzor راضٍ تمامًا عنه.

بالطبع ، بالإضافة إلى Roskomnadzor ، قد تأتي FSTEC مع فحص - وهذه المنظمة أكثر دقة في المسائل الفنية. من المحتمل أن تكون مهتمة بمعرفة السبب في أن تهديدات UBI.44 و UBI.101 على وجه التحديد غير معروفة؟ ولكن عادةً ما يتحقق FSTEC فقط عندما يتلقى معلومات حول بعض الحوادث المذهلة. في هذه الحالة ، تأتي الخدمة الفيدرالية أولاً إلى مشغل Persdan - أي عميل الخدمات السحابية. في أسوأ الحالات ، يتلقى المشغل غرامة صغيرة - على سبيل المثال ، بالنسبة إلى Twitter في بداية العام ، بلغت الغرامة في حالة مماثلة 5000 روبل. ثم ينتقل FSTEC إلى موفر الخدمة السحابية. مما قد يُحرم من الترخيص نظرًا لعدم امتثاله للمتطلبات التنظيمية - وهذه مخاطر مختلفة تمامًا لكل من المزود السحابي وعملائه. ولكن ، أكرر ، هناك حاجة إلى سبب واضح للتحقق من FSTEC. حتى مقدمي السحابة على استعداد لتحمل المخاطر. حتى أول حادثة خطيرة.

هناك أيضًا مجموعة من موفري الخدمات "الأكثر مسؤولية" الذين يعتقدون أنه من الممكن إغلاق جميع التهديدات عن طريق إضافة برنامج مراقبة كبير مع وظيفة إضافية مثل vGate. ولكن في بيئة افتراضية موزعة بين العملاء على بعض التهديدات (على سبيل المثال ، UBI.101 أعلاه) ، لا يمكن تنفيذ آلية حماية فعالة إلا على مستوى برنامج Hypervisor معتمد من NDV-4 ، نظرًا لأن أي أنظمة إضافية للوظائف القياسية لأعمال hypervisor لإدارة الموارد (خاصة ذاكرة الوصول العشوائي) لا تتأثر.

كيف نعمل

لدينا شريحة سحابية يتم تنفيذها على برنامج hypervisor معتمد من FSTEC (ولكن بدون شهادة NDV-4). هذا الجزء معتمد ، بحيث يمكن وضع البيانات الشخصية لمستويات الأمان 3 و 4 في السحابة بناءً عليها - متطلبات الحماية من القدرات غير المعلنة غير مطلوبة هنا. هنا ، بالمناسبة ، بنية قطاع السحابة الآمنة لدينا:


أنظمة للبيانات الشخصية من مستويات الأمان 1 و 2 ننفذ فقط على معدات مخصصة. في هذه الحالة فقط ، على سبيل المثال ، لا يعد تهديد UBI.101 ذا صلة حقًا ، نظرًا لأن رفوف الخادم التي لا تتحد ببيئة افتراضية واحدة لا يمكنها التأثير على بعضها البعض حتى عند وضعها في نفس مركز البيانات. لمثل هذه الحالات ، نحن نقدم خدمة تأجير معدات مخصصة (وتسمى أيضًا الأجهزة كخدمة ، وخدمة كخدمة).

إذا لم تكن متأكدًا من مستوى الأمان المطلوب لنظام بياناتك الشخصية ، فنحن نساعد أيضًا في تصنيفها.

استنتاج

أظهر بحثنا الصغير في السوق أن بعض مشغلي السحابة مستعدون للمخاطرة بكل من أمان بيانات العميل ومستقبلهم الخاص لاستلام الطلب. لكننا نتمسك بسياسة مختلفة في هذه الأمور ، والتي وصفناها بإيجاز أعلى قليلاً. سنكون سعداء للرد في التعليقات أسئلتك.