Облако за стеной

Автор: Александр Колыбельников

Александр Колыбельников, продакт-менеджер по информационной безопасности компании «Микротест», рассказывает о том, как ведущие провайдеры облачных услуг защищают свои облака.

Последние два года в России наблюдается переход от разговоров об облачных сервисах к реальному использованию их в бизнесе. Даже мелкий бизнес все чаще переводит свою информацию и сервисы в облака, используя различные сетевые сервисы, такие как Google Docs, Yandex Disk и прочие. Это обусловлено тем, что подключиться к ним гораздо быстрее, чем развертывать у себя в сети новые серверы. И гораздо удобнее управлять доступом в случае совместного использования ресурса распределенными офисами.

Провайдеры предлагают клиентам различные варианты cloud-решений — инфраструктуру как сервис, программное обеспечение как сервис, рабочее место как сервис. Эти услуги очень удобны в применении практически для всех типов бизнеса.

Но процесс принятия решения о переходе в облако сильно осложнен опасениями, высказываемыми со стороны клиента. Один из основных вопросов — безопасность данных. Перевод на облачную платформу электронного правительства, телемедицины — систем, которые содержат персональные данные и конфиденциальную информацию, — требует серьезного подхода к их защите. Клиенты до момента передачи данных или ПО провайдеру хотят удостовериться в том, что их информация будет надежно защищена как от хакеров, так и от недобросовестных сотрудников провайдера услуг.

Для того чтобы защитить свою инфраструктуру провайдеры создают специализированные системы информационной безопасности. Самые «продвинутые» провайдеры формируют эти системы с возможностью предоставления пользователям дополнительного сервиса «Безопасность как услуга».

Создание систем информационной безопасности для облачных сервисов и инфраструктуры подразумевает ряд нюансов, которые необходимо учитывать при их разработке и внедрении. Дело в том, что использование специального программного обеспечения для создания облачной среды ведет к появлению новых уязвимостей в системе и новых угроз информационной безопасности. Для того чтобы их проиллюстрировать, необходимо вкратце рассмотреть, как работает облако.

На рисунке ниже облако представлено схематично, нижний уровень — это инфраструктура провайдера, уровнем выше находится программное обеспечение для управления виртуальными машинами — гипервизор, еще выше — виртуальные машины, на которых и размещается ПО или сервис для клиентов.

Как устроено облако

В такой схеме возможен вариант, когда одна из зараженных вирусом виртуальных машин становится источником угрозы для всех остальных. Хакер, арендовав одну из виртуальных машин, может производить атаку на машины остальных клиентов провайдера. Кроме того, есть ряд рисков, связанных с кражей сотрудниками провайдера резервных копий виртуальных машин. Помимо техногенных угроз, следует также учитывать вопросы законодательного регулирования, в частности, требования Закона «О персональных данных». Есть еще ряд сложностей с масштабируемостью выбранного решения, к которым провайдер также должен быть готов.

Предусмотреть все перечисленные ключевые моменты для высококвалифицированного провайдера — рабочая задача. При создании системы безопасности для облачных сервисов и облачной инфраструктуры проводятся научно-исследовательские работы по оценке рисков информационной безопасности при переходе к Cloud-модели, создаются модели угроз и модель нарушителя. Также просчитывается масштабирование решения, учитываются особенности разделения прав пользователей, соответствие требованиям законодательства.

Любой заказчик, решившийся воспользоваться облаком, где применяется подсистема защиты информации, может создать полностью изолированное защищенное пространство или сервис. Мы для этого используем специализированное программное обеспечение TrendMicro Deep Security и VMware vSphere, которое позволяет масштабировать защиту без ограничения числа облачных абонентов. При необходимости систему защиты персональных данных можно аттестовать, что будет свидетельствовать о ее соответствии требованиям российского законодательства.

Читать оригинал интервью на сайте digit.ru

Источник: Digit.ru/РИА «Новости»