Персональные данные: особенности публичного облака

В связи с бурным развитием облачных услуг, у компаний возникает множество вопросов по защите персональных данных в облаках, особенно, в публичных. В этом случае информационная система целиком или частично оказывается в пространстве, которое непосредственно владельцем информационной системы не контролируется. В этой статье рассмотрим инструменты для защиты. Наши рекомендации подготовлены экспертами принадлежащего МТС крупного облачного провайдера 1cloud. 

С одной стороны, владелец виртуального сервера им полностью распоряжается и администрирует. С другой — сервер физически находится в центре обработки данных. При этом администратор виртуального сервера среду виртуализации не контролирует. Да и не должен. Кроме того, связь с виртуальным сервером осуществляется через интернет, поэтому требуются дополнительные меры, обеспечивающие безопасную пересылку данных.

Начнём с более простого — канала связи.

Защита канала связи

Уже давно стандартным способом безопасного соединения серверов и подсетей через интернет является VPN (Virtual Private Network, виртуальная частная сеть). В этом случае пересылаемые данные шифруются, после чего они становятся недоступны посторонним лицам.

Такое шифрование может производиться как на аппаратном уровне, так и на программном.

Существует довольно много программных продуктов, обеспечивающих работу VPN-каналов. Часть из них является коммерческими, другая — свободными.

Но в них во всех присутствует криптография, а значит, по закону о персональных данных и связанным нормативным актам у этих продуктов должны иметься сертификаты.

Перечень сертифицированных криптографических средств защиты информации опубликован на сайте Центра по лицензированию, сертификации и защите государственной тайны ФСБ.

Защита операционной системы

Операционную систему виртуальной машины нужно защищать так же, как и операционную систему аппаратного сервера.

Эта задача имеет много аспектов, но в контексте виртуальной среды речь, в первую очередь, идёт не о пользователях и их правах, а о доверенной загрузке самой операционной системы. Владелец сервера должен быть уверен в том, что запустилось только то, что он установил на системный диск. Для этого начальный загрузчик должен проверять как свою целостность, так и неизменность ядра загружаемой операционной системы.

Само собой, доступ в операционную систему и к данным, обрабатываемым в ней, должен быть аутентифицированным и авторизованным.

Защита среды виртуализации

Согласно приказу Федеральной службы по техническому и экспортному контролю № 21 от 18.02.2013 меры защиты могут включать в себя следующее:

• Идентификация и аутентификация субъектов и объектов доступа в виртуальной инфраструктуре, в том числе администраторов управления средствами виртуализации.
• Управление правами субъектов на доступ к объектам в виртуальной инфраструктуре, в том числе внутри виртуальных машин.
• Регистрация событий безопасности в виртуальной инфраструктуре
• Управление перемещением виртуальных машин (контейнеров) и обрабатываемых на них данных.
• Контроль целостности виртуальной инфраструктуры и её конфигураций.
• Резервное копирование данных, резервирование технических средств, программного обеспечения виртуальной инфраструктуры, а также каналов связи внутри виртуальной инфраструктуры.
• Применение антивирусной защиты виртуальной инфраструктуры.
• Разбиение виртуальной инфраструктуры на сегменты.

Подробнее эти меры изложены в ГОСТ Р 56938-2016 «Защита информации. Защита информации при использовании технологий виртуализации. Общие положения».

Очевидно, что все эти меры или их часть должен принимать не владелец информационной системы, размещённой в облаке, а провайдер этого облака.

Публичное облако и зоны ответственности: владелец и облачный провайдер

Когда инфраструктура информационной системы полностью или частично находится в публичном облаке, возникает вопрос о границах ответственности. Всё просто: за безопасность внутри операционной системы отвечает владелец виртуального сервера, а за безопасность в пространстве между операционной системой и границами публичного облака — его провайдер.

Присутствие в публичном облаке информационных систем, в которых обрабатываются персональные данные, не делает провайдера этого облака оператором персональных данных или лицом, уполномоченным на их обработку.

Нужны ли облачному провайдеру лицензии или сертификаты?

Этот вопрос важен для будущего владельца облака при выборе провайдера. Поэтому владельцу важно знать, что если оператор персональных данных или облачный провайдер для защиты своей инфраструктуры и данных, находящихся в ней, применяют технические средства, которые требуют сертификации, наличие соответствующих сертификатов необходимо. По действующему российскому законодательству обязательной сертификации требуют средства защиты информации, если в них используется криптография (шифрование).

Относительно лицензии на оказание услуг по защите информации важно понимать, что ни оператор персональных данных, ни облачный провайдер друг другу таких услуг не оказывают. Каждый из них использует средства защиты исключительно для собственных нужд, поэтому лицензия на оказание услуг по защите информации не требуется.

Персональные данные: подтверждение безопасности облака

Оператор персональных данных, разместивший свою информационную систему в публичном облаке, должен убедиться в том, что среда облака безопасна. Такое подтверждение он может получить от облачного провайдера, хотя аттестация публичных облаков необязательна. Владелец публичного облака может:

• либо провести самостоятельную аттестацию своей системы виртуализации и оформить результат, например, в виде декларации;
• либо пройти добровольную аттестацию лица, имеющего лицензию на оказание услуг в области защиты информации, и получить соответствующий сертификат.

Заключение

Защита персональных данных в облаке — зона совместной ответственности, а потому выбор надёжного партнёра — ключевой этап размещения вашего публичного облачного сервера. Выбирайте исключительно среди опытных игроков рынка, ставящих во главу угла безопасность вашего бизнеса и ваших данных.