最近、連邦法No. 152「個人データについて」に従って、「クラウド」内の個人データを処理および保護する可能性についてしばしば質問が提起されています。 これはすべて神話の議論によく似ているので、クラウドでISDNを保護する問題についての私の見解を表明し、基本的な質問に答えようとします。
質問のサンプルリストは次のとおりです。
- 原則として、情報を保護する規制当局の要件を考慮して、個人データ情報システム（ISPD）を「クラウド」に配置することは可能ですか？
- 「クラウド」は、個人データ情報システム（ISPD）を構築するためにどのプロパティを使用できる必要がありますか？
- 情報リソースを「クラウド」に転送することにしたPDオペレーターにとって、何を考慮する必要がありますか？
- パブリック「クラウド」でホストされているISPDnを認証することはできますか？
- クラウドプロバイダーに割り当てられた情報セキュリティを確保するタスクは何ですか？
- 近隣の同じ「クラウド」にいる競合他社が確実に分離され、「クラウド」内にいる間は攻撃できないという保証はありますか？
- 特定の「クラウド」で構築できるISPDのクラスを決定するものは何ですか？
現時点では、お客様が個人情報情報システムを配置する可能性に関して、CROC Virtual Data Centerの保護に積極的に取り組んでいるので、この分野で得られたアイデアや経験を共有したいと思います。
クラウドISPDの規制要件へのコンプライアンスの技術的側面に主に重点が置かれることをすぐに指摘します。保護の組織的側面は、やや上に残っています。
私は、CROC Virtual Data Centerを保護するための現在のアプローチの一部として得られた実際の経験に基づいています。
入門
タスクが分散ISPDの構築であり、その一部が組織自体のサイトにあり、他の一部がプロバイダーの「クラウド」にあるとします。 ユーザーの自動ワークステーション（AWP）は組織のオフィスにあり、サーバーコンポーネントと個人データを含むデータベースはクラウドにあります。 「クラウド」自体はロシア連邦の領土にあります。 これはどのように見えるかです：
保護されるべき3つの主要な要素があります。
- 組織側のAWPユーザーのセット。
- 組織のオフィスとクラウド（インターネット）間の通信チャネル。
- 対応するISPDのサーバーソフトウェアが機能している「クラウド」内の仮想マシンのセット。
よくある質問
-そのようなISPDnの技術的保護手段の観点から何が必要ですか？
情報セキュリティに対する脅威を排除するための基本的なポイントは、上記の3つの要素のそれぞれに認定された保護装置を使用する必要があることです。
-ISPD保護システムを構築する際に考慮する必要がある脅威の主な分野は何ですか？
分散ISDNの要素に対する脅威の主な原因：
1.組織自体のサイトにあるISPDリソースに対して攻撃を実行する組織の内部ユーザー。
2.組織のサイトにあるISPDリソースに攻撃を実装する外部の攻撃者。
これらの2つのポイントの脅威は、ワークステーションおよびネットワーク環境の認証された保護手段を使用して、組織自体によって防止される必要があります。
3. ISPDネットワークトラフィックを傍受または歪曲するために、外部から通信チャネルを攻撃する外部の攻撃者。
問題のこの部分は、ネットワークトラフィック用の認定された暗号化保護ツールを使用して解決されます。 クラウドプロバイダーのIBサービスの形式で提供できます。
4.クラウドのコンポーネントを提供するクラウドプロバイダーのスタッフ。
ここでは、クラウドプラットフォームのリソースへの人のアクセス権を差別化するための認定された手段が必要です。これは、プラットフォーム自体に統合できます。 ISPDサーバーコンポーネントに展開された認定セキュリティ機能も使用できます。
5.クラウドベースのデータセンターのデータセンターの外部から「クラウド」リソース、したがって「クラウド」にあるISPDリソースに対して攻撃を実行する外部の攻撃者。
また、クラウドのクライアントにセキュリティサービスとして提供でき、クラウド自体を外部の脅威から保護するためのツールである認定セキュリティツールも必要です。 さらに、ISPDサーバーコンポーネントに展開された認定セキュリティ機能を使用できます。
6.プラットフォームの弱点を使用してクラウド環境から攻撃するクラウドネイバー
この脅威に対処することは、顧客間でクラウドプラットフォームのリソースを区切る手段に役立ちます。 また、認定が必要です。
関連する保護原則の図を次の図に示します。
-原則として、情報を保護する規制当局の要件を考慮してISPDを「クラウド」に配置することは可能ですか？
はい、規制当局の既存の技術要件に従います。 明らかに、主な要件は、再び、治療の証明です。
-クラウドが個人データ情報システムの構築に使用できるようにするには、クラウドにどのような特性が必要ですか？
顧客リソースの範囲を定め、スタッフを監視し、すでに述べた外部の脅威から保護することに加えて、別のポイントが重要です。 「クラウド」は仮想化プラットフォームに基づいて構築されるため、認定されたハイパーバイザーを構築する際に使用する必要が自動的に生じます。
-情報リソースの「クラウド」への転送を決定する際に考慮すべきことは何ですか？
「クラウド」保護コンポーネントの認証を確認し、個人データを保護するために利用可能なサービスを明確にします（上記の脅威ソースのリストをチェックリストとして確認します）。
-パブリックな「クラウド」にあるISPDnを認証することは可能ですか？
現時点では（既存の規制の枠組みでは）、他のクライアントのリソースの近くにあるパブリックな「クラウド」にあるISPDnを認証することはできません。 これは、既存の規制フレームワークが情報化の対象の認証を必要とするという事実によるものです（実際、これらはクラウドプロバイダーのデータセンター/データセンターです）。 これには、特定のISPDの特定の証明書内で使用される機器の修正が含まれます。 しかし、クラウドコンピューティングのコンテキストでは、これは不可能です。「クラウド」のテクノロジーは、異なるクライアントによる同じハードウェアおよびソフトウェアリソースの使用を伴うためです。 この場合、外部の組織を含む特定の組織のサービスにある情報化の特定のオブジェクトを選択することができるため、プライベートな「クラウド」の認証に目に見える制限はありません。
-クラウドプロバイダーにISが割り当てられていることを確認するタスクは何ですか？
- 顧客が次のクラウドにいるサービス担当者や他の顧客からの脅威を実装できないようにする一連の組織的および技術的な保護対策を提供します。
- ISPDをクラウドに配置する顧客が使用できるセキュリティサービス（認定セキュリティ機能に基づく）を提供します。
-近隣の同じ「クラウド」にいる競合他社が確実に分離され、「クラウド」内にいる間は攻撃できないという保証はありますか？
実際、これは、コンピューティングリソースのハイパーバイザー、仮想化されたデータネットワークの管理システム、データストレージシステムの仮想化プラットフォームなどの仮想化メカニズムの認定によって達成されます。
-特定の「クラウド」で構築できるISPDnのクラスを決定するものは何ですか？
クラウド保護の証明書で指定された制限から、標準の観点から意味します。
要約すると、ISPDを「クラウド」に置くという観点からの重要なポイントは、その認定、つまり セキュリティ機能を実装するクラウドのさまざまな要素の証明書の可用性（ハイパーバイザー、クラウドに統合されたセキュリティツール、セキュリティサービスとして顧客に提供されるセキュリティツール）。 現時点では、同僚と私は認定セキュリティツールに基づいてCROCクラウドセキュリティサービスを展開しており、近い将来、クラウドプラットフォームの他のコンポーネントを認定する計画があります。