Государственная канцелярия\rПриказ N 380-A от 03.11.2014 об утверждении Архитектуры безопасности общей правительственной технологической платформы (MCloud)
ГОСУДАРСТВЕННАЯ КАНЦЕЛЯРИЯ
П Р И К А З
об утверждении Архитектуры безопасности общей правительственной
технологической платформы (MCloud)
№ 380-А от 03.11.2014
(в силу 04.12.2014)
Мониторул Офичиал № 358-363 ст.1053 от 04.12.2014
* * *
|
Зарегистрировано: Министерство юстиции Республики Молдова № 1003 от 21 ноября 2014 г. Министр ___________ Олег ЕФРИМ |
В целях повышения эффективности безопасности общей правительственной технологической платформы (MCloud) и в целях исполнения лит. c) подпункта 2) пункта 9 Постановления Правительства № 128 от 20 февраля 2014 г. «Об общей правительственной технологической платформе (MCloud)» (Официальный монитор Республики Молдова, 2014 г., № 47-48, ст.145)
ПРИКАЗЫВАЮ:
1. Утвердить Архитектуру безопасности общей правительственной технологической платформы (MCloud), согласно приложению.
2. Центру электронного управления (E-Government), Государственному предприятию «Центр специальных телекоммуникаций» совместно с министерствами, другими подведомственными Правительству центральными административными органами и организационными структурами, находящимися в сфере их компетенции (подведомственные административные органы, деконцентрированные и подведомственные общественные службы, а также публичные учреждения и государственные предприятия, в которых министерство, Государственная канцелярия или другой центральный административный орган выступает в качестве учредителя), предпринять все необходимые меры для обеспечения безопасности общей правительственной технологической платформы (MCloud).
3. Контроль за исполнением настоящего приказа возложить на Государственную канцелярию.
4. Настоящий приказ вступает в силу со дня опубликования в Официальном мониторе Республики Молдова.
| ГЕНЕРАЛЬНЫЙ СЕКРЕТАРЬ | |
| ПРАВИТЕЛЬСТВА | Виктор БОДЮ |
| № 380-А. Кишинэу, 3 ноября 2014 г. | |
Приложение
к Приказу Генерального
секретаря Правительства
№ 380-А от 3 ноября 2014 г.
АРХИТЕКТУРА БЕЗОПАСНОСТИ
общей правительственной технологической платформы (MCloud)
1. Цель
Цель настоящего документа состоит в том, чтобы представить общее видение относительно безопасности общей правительственной технологической платформы (MCloud (в дальнейшем – платформа MCloud), определив для этого уровни безопасности и минимальные требования в плане безопасности, которые надлежит внедрить и поддерживать в процессе эксплуатации платформы MCloud.
2. Сфера применения
Настоящий документ применяется на уровне платформы MCloud, приложений программного обеспечения (software), размещенных в соответствующей среде, сетевой инфраструктуры (физической и виртуальной) и физической инфраструктуры (дата-центры, коммуникационные сети и пр.), которые необходимы для обеспечения функционирования платформы MCloud.
Настоящий документ предназначен для персонала министерств, других центральных административных органов и организационных структур, находящихся в сфере их компетенции (подведомственные административные органы, деконцентрированные и подведомственные общественные службы, а также публичные учреждения и государственные предприятия, в которых министерство, Государственная канцелярия или другой центральный административный орган выступает в качестве учредителя) (в дальнейшем – ОЦПУ), которые задействованы в:
- оперировании, сохранении и обеспечении безопасности платформы MCloud;
- оперировании, сохранении и обеспечении безопасности информационных систем, размещенных на платформе MCloud.
В то же время документ может быть полезным и для ответственных лиц ОЦПУ, изучающих возможность размещения своих информационных систем на платформе MCloud.
3. Общее описание платформы MCloud
Платформа MCloud является общей правительственной информационной инфраструктурой, функционирующей на основе технологии «cloud computing». Технология «cloud computing» («информационное облако») представляет собой модель поставки IT-услуг, которая позволяет осуществлять сетевой доступ по запросу к конфигурируемой совокупности вычислительных ресурсов, подлежащих виртуализации (к примеру, сети, серверы, оборудование для хранения, приложения и услуги), которые можно быстро предоставить в распоряжение при минимальных усилиях по их администрированию или взаимодействию с поставщиком этих услуг.
Выражение «cloud computing» обусловлено часто встречающимся символическим графическим изображением Интернета в виде облака (на английском «the cloud»), которое используется, когда технические детали Интернета можно опустить.
Платформа MCloud преследует несколько целей, в том числе
• оптимизация процесса обслуживания и администрирования IT-инфраструктуры в государственном секторе;
• разделение IT-систем и IT-ресурсов и максимальное их использование при более низких затратах;
• экономия IT-бюджета в государственном секторе за счет сокращения затрат на закупку лицензионного компьютерного оборудования (hardware) и программного обеспечения (software);
• укрепление и оптимизация дата-центров в государственном секторе.
Услуги, поставляемые в рамках платформы MCloud (в дальнейшем – услуги MCloud), подразделяются в 3 крупные категории, а именно:
• инфраструктура в качестве услуги (IaaS);
• платформа в качестве услуги (PaaS);
• программное обеспечение (software) в качестве услуги (SaaS).
Инфраструктура в качестве услуги (IaaS) позволит ОЦПУ и другим административным органам расширить свой потенциал и свои IT-ресурсы за очень короткое время. Когда запрашиваемые ресурсы уже не нужны, учреждение сможет отключиться и перестать осуществлять платежи за соответствующие услуги
Платформа в качестве услуги (PaaS) основывается на определении и поставке общих функциональных возможностей для целого ряда электронных услуг, предоставляемых ОЦПУ и другим административным органам, таких как аутентификация, уведомление, протоколирование, интероперабельность и электронные платежи. Повторное использование платформы в качестве услуги позволит добиться существенной экономии в государственном секторе.
Программное обеспечение (software) в качестве услуги (SaaS) – конечные электронные услуги, поставляемые в рамках крупномасштабной архитектуры ОЦПУ, гражданам и деловой среде, в том числе: услуги электронной почты, web, SIGEDIA (электронная система управления документами и записями в центральных публичных органах) и пр.
4. Общее представление архитектуры безопасности платформы MCloud
Платформа MCloud представляет собой новаторскую модель поставки, основанную на потреблении инфраструктуры, платформы и программного обеспечения (software) в качестве услуг. Использование ОЦПУ платформы MCloud в качестве первичной платформы поставки электронных услуг во многом зависит от обеспечения безопасности соответствующей платформы. Самые главные проблемы, связанные с безопасностью платформы MCloud, могут быть вызваны:
• используемыми технологиями виртуализации;
• разделением ресурсов компьютерного оборудования (hardware) и программного обеспечения (software);
• централизацией данных и контролем доступа к хранимым данным.
В главе 15 описываются 6 серьезных угроз в плане безопасности, связанных с платформой MCloud, а именно:
• перехват трафика;
• недоброжелательный посредник;
• отказ от услуги;
• недостаточная авторизация;
• атака на компоненты виртуализации;
• некачественное внедрение и оперирование IT-услугами.
Для того чтобы сократить вероятность возникновения этих угроз, архитектура безопасности платформы MCloud предлагает подход к безопасности MCloud с применением принципа «глубокая безопасность» – применение нескольких действующих независимо уровней безопасности, которые преследуют общую цель безопасности и которые обеспечивают безопасность на следующем уровне, если предыдущий не справился. В итоге, определяем 8 уровней безопасности:
• физическая безопасность дата-центров и оборудования для обработки информации;
• безопасность сетевой инфраструктуры;
• безопасность виртуальной инфраструктуры;
• контроль доступа и безопасность данных;
• безопасность приложений программного обеспечения (software);
• мониторинг и тестирование безопасности;
• менеджмент операций;
• менеджмент рисков безопасности информации и непрерывность бизнеса.
Каждый уровень устанавливает минимальные требования в плане безопасности, внедрение которых определяет основной уровень безопасности платформы MCloud. Периодически следует проводить анализ риска в отношении основного уровня, чтобы убедиться в том, что он обеспечивает достаточную защиту при изменениях, которые произошли в процессах бизнеса функционирование/деятельности, а также в профиле угроз.
Архитектура безопасности платформы MCloud разработана в соответствии со следующими профильными техническими регламентами, действующими в Республике Молдова:
• Постановление Правительства №1123 от 14 декабря 2010 г. «Об утверждении Требований по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» (в дальнейшем – ПП №1123);
• Технический регламент «Обеспечение информационной безопасности баз данных при предоставлении электронных публичных услуг», утвержденный приказом Министерства информационных технологий и связи №106 от 20 декабря 2010 года (в дальнейшем – МИТС 106).
В то же время для руководства представлены ссылки на имеющие значение требования/проверки из следующих национальных и международных стандартов в области безопасности информации:
• SM SR ISO/IEC 27002:2006 (в дальнейшем – ISO 27002);
• Payment Card Industry Data Security Standard (в дальнейшем – PCI DSS).
5. Ответственность за обеспечение безопасности платформы MCloud
В процесс обеспечения безопасности платформы MCloud задействованы различные действующие лица: поставщик MCloud (подразделение, ответственное за обеспечение функционирования и развития платформы MCloud) – Центр электронного управления (E-Government), оператор MCloud (подразделение, которое администрирует и обслуживает платформу MCloud) – ГП «Центр специальных телекоммуникаций» и бенефициары платформы MCloud (подразделение, которое использует платформу MCloud для поставки приложений/услуг конечным пользователям) – ОЦПУ и подведомственные структуры. В зависимости от модели услуг MCloud (Iaas, PaaS, SaaS) на каждое действующее лицо возлагается собственная ответственность в процессе внедрения и поддержания архитектуры безопасности платформы MCloud; эта ответственность определена в главе 14 «Матрица ответственности».
6. Физическая безопасность дата-центров и оборудования для обработки информации
Настоящий раздел посвящен физической безопасности дата-центров, серверов, устройств для хранения, сетевых устройств и других физических компонентов, которые являются составляющей частью платформы MCloud.
Физическая безопасность дата-центров, где размещено оборудование для обработки и хранения информации, входящей в платформу MCloud, представляет собой первый уровень безопасности, который обеспечивает защиту соответствующей платформы. Обеспечение физической защиты дата-центров требует целого ряда мер по предупреждению, выявлению и реагированию на несанкционированный физический доступ к оборудованию платформы MCloud. Собственно физическую безопасность дата-центров следует рассматривать как многостороннюю систему защиты с индивидуальными элементами защиты, которые взаимодополняются в многоуровневной защите. Эти элементы должны включать:
• безопасный дизайн дата-центров;
• определение персонала и контроль доступа (в том числе механический, электронный и процедурный);
• мониторин.
Дополнительно необходимы средства для хранения записей всех фактов физического доступа в дата-центры. Записи следует хранить в течение достаточного периода, который позволял бы проведение периодического аудита либо использование в случае расследования.
Наряду с этим необходимо учитывать и аспекты, связанные с собственно защитой оборудования плафтормы Mcloud от случайного или умышленного повреждения. Все коммунальные услуги, как то электричество, отопление/вентиляция, кондиционирование воздуха и пр., должны соответствовать системам, которые они поддерживают, должны проходить надлежащее инспектирование и тестирование для обеспечения нормального функционирования и снижения любого риска, вызванного нарушением функциональности либо поломкой. Чтобы обеспечить непрерывное наличие и целостность, оборудование необходимо содержать в соответствии с требованиями по обслуживанию, рекомендованными поставщиком.
Другой важный аспект, который следует принимать во внимание, это защита сетевого кабеля и кабеля питания от повреждений и несанкционированного перехвата путем:
• закапывания там, где это возможно либо путем применения другой адекватной защиты;
• использования труб либо избегая прокладки через общественные места;
• разделения кабелей питания от коммуникационных кабелей для того, чтобы предупредить помехи.
Минимальные требования безопасности, которые следует внедрять на уровне дата-центров для обеспечения физической безопасности IT-оборудования платформы MCloud, представлены в таблице 1.
|
Таблица 1. МИНИМАЛЬНЫЕ ТРЕБОВАНИЯ безопасности для обеспечения физической безопасности IT-оборудования платформы MCloud |
|||||
| ID | Требования | Технические регламенты и опорные стандарты |
|||
| ПП №1123 | МИТС 106 | ISO 27002 | PCI DSS | ||
| PS01 | Физический периметр безопасности (стены, шлагбаум, ворота с карточной системой доступа, камеры видеонаблюдения и пр.) следует внедрять для защиты зон, где содержится физическое оборудование платформы MCloud. | пп. 26, 27 | п. 9, абзац 6 | 9.1.1 | 9.1 |
| PS02 | Доступ в зоны и из зон, где размещено физическое оборудование платформы MCloud, должен быть ограничен и находиться под мониторингом через механизмы контроля физического доступа с тем, чтобы удостовериться в том, что доступ разрешен лишь авторизованным лицам. | пп. 22, 23, 24, 25, 28, 29 | п. 9, абзац 6 | 9.1.1, 9.1.2 | 9.1, 9.2,9.3, 9.4 |
| PS03 | Доступ в зоны обслуживания и из зон обслуживания (пространство для погрузки и разгрузки) и в другие пункты, куда неавторизованный персонал может получить доступ, подлежит мониторингу, контролю и изолированию от физического оборудования платформы MCloud с тем, чтобы предупредить несанкционированный доступ к соответствующему оборудованию | пп. 22, 23, 24, 25, 28, 29 | п. 9, абзац 6 | 9.1.6 | 9.3,9.4 |
| PS04 | Физическое оборудование платформы MCloud должно быть размещено и защищено таким образом, чтобы можно было уменьшить угрозу его повреждения в случае природных угроз (пожар, наводнение и пр.), в случае стихийного бедствия (землетрясение и пр.) и актов вандализма. | пп. 33,34 | п. 9, абзац 6 | 9.2.1 | --- |
| PS05 | Следует внедрить механизмы дублирования для защиты оборудования от перебоев в поставке коммунальных услуг (электрическая энергия, сбои в работе коммуникационной сети и пр.) | пп.30,31 | п. 9, абзац 6 | 9.2.2 | --- |
| PS06 | Телекоммуникационное оборудование, кабели питания и транспортировки данных необходимо защитить от проникновения или повреждения | п.32 | п. 9, абзац 6 | 9.2.3 | --- |
| PS07 | Перед перемещением оборудования вне основных помещений необходимо получить разрешение в соответствии с установленными процедурам. | п.35 | п. 8, абзац 1c | 9.2.7 | 9.8, 9.9 |
| PS08 | Следует определить и внедрить политику и процедуры относительно изъятия из употребления оборудования и устройств для хранения, составляющих частей платформы MCloud | п.35 | п. 8, абзац 1c | 9.2.6 | 9.8, 9.9, 9.10 |
7. Безопасность сетевой инфраструктуры
Дополнительно к описанным выше мерам физической безопасности следует рассмотреть и безопасность коммуникационной сети. Безопасность сети касается безопасности роутеров, свитчей и другого оборудования, необходимого для эффективного взаимодействия услуг, предоставляемых посредством платформы MCloud.
Безопасность сети будет обеспечена виртуальными устройствами во взаимодействии с традиционными физическими устройствами. На этапе дизайна и внедрения решения безопасности следует изучить интеграцию с возможностями, предоставляемыми гипервайзером, для обеспечения полной визуализации всего трафика на уровне виртуальной сети.
На уровне сетевой инфраструктуры следует использовать контроль безопасности с целью предупреждения и обнаружения, как то:
• доступ VPN;
• коммуникации SSL/TSL;
• firewall (сетевой экран);
• системы обнаружения проникновения/системы предупреждения проникновения (IDS/IPS);
• системы мониторинга событий безопасности и пр.
Также следует изучить возможность сегментирования сети на локальные виртуальные сети (VLAN). Эти VLAN-ы можно внедрять как через физические сетевые свитчи, так и через виртуальные свитчи в качестве составляющей части среды виртуализации. VLAN-ы обеспечат, что пакеты могут перемещаться только через те сегменты сети, которые они должны пересекать. В таком случае все сети вне периметра сети MCloud могут считаться ненадежными и весь трафик, направляемые на эти сети, должен управляться с применением правил firewall.
Мониторинг активных компонентов сети (роутер, firewall и пр.) следует считать частью общего мониторинга безопасности и эта информация должна использоваться для того, чтобы удостовериться, что любая попытка доступа следует по установленным путям к специфическим услугам. Любая несанкционированная попытка доступа к определенной услуге либо виртуальной машине должна завершаться автоматическим блокированием сеанса, блокированием аккаунта и оповещением команды безопасности для проведения дальнейшего расследования. В то же время компоненты программного обеспечения (software) активного сетевого оборудования следует периодически обновлять, в противном случае они могут стать уязвимыми в плане безопасности, а данным фактором смогут воспользоваться. В таблице 2 представлены минимальные требования безопасности, которые необходимо внедрять на уровне сетевой инфраструктуры для обеспечения платформе MCloud основного уровня безопасности.
|
Таблица 2. МИНИМАЛЬНЫЕ ТРЕБОВАНИЯ безопасности на уровне сетевой инфраструктуры |
|||||
| ID | Требования | Технические регламенты и опорные стандарты |
|||
| ПП №1123 | МИТС 106 | ISO 27002 | PCI DSS | ||
| NS01 | Активное сетевое оборудование (firewall и роутеры) следует устанавливать и конфигурировать таким образом, чтобы они обеспечивали изоляцию частной сети платформы MCloud от смежных сетей | п.63 | п. 8, абзацы 4-5 | 10.6.1 | 1.1, 1.2 |
| NS02 | Правила маршрутизации и фильтрации сетевого трафика следует определять и внедрять на уровне firewall-ов и роутеров с тем, чтобы ограничить информационные потоки в частную сеть MCloud и из частной сети MCloud только теми, которые необходимы для функционирования платформы MCloud, и услуг, поставляемых соответствующей платформой | п.63 | п. 8, абзац 5 | 11.4.7 | 1.2,1.3 |
| NS03 | Следует внедрять механизмы разделения частной сети платформы MCloud (физической и виртуальной), чтобы обеспечить: • изоляцию организаций; • внедрение требований безопасности для информационных систем; • соблюдение правовых, регуляторных и договорных требований; • разделение производственной и непроизводственной среды • разделение производственного, управленческого и операционального трафика платформы MCloud |
п.63 | п. 8, абзацы 4-5 | 11.4.5, 11.6.1 11.6.2 | 1.1, 1.2, 1.3 |
| NS04 | Следует внедрять механизмы мониторинга сетевого трафика в режиме реального времени (к примеру, системы IDS/IPS) на уровне частной сети платформы MCloud | пп. 61, 63 | --- | 11.4.7 | 11.4 |
| NS05 | Следует внедрять механизмы, в том числе стандарты конфигурации, которые обеспечат целостность физического и виртуального активного сетевого оборудования в рамках частной сети платформы MCloud | --- | п. 8, абзац 6 | 11.5 | 2.2,2.3 |
| NS06 | Дистанционный административный доступ к административным компонентам платформы MCloud, в том числе к активному сетевому оборудованию, следует разрешать только через выделенную сеть управления, используя механизмы безопасного подключения и аутентификации | пп. 37, 38, 55 | п. 8, абзацы 4-5 | 11.4.1, 11.4.2 11.4.6, 11.7.1 | --- |
| NS07 | Следует внедрять механизмы предупреждения и незамедлительного выявления установки и использования пунктов доступа к беспроводной сети (WiFi, 3G, 4G и пр.) в рамках сети платформы MCloud | п. 56 | --- | 10.6.1, 11.4.3, 11.4.5 | 1.2.3 |
| NS08 | Диаграмма сети и стандарты конфигурации для сетевого оборудования подлежат тщательному протоколированию и обновлению | --- | п. 6, абзац 2 | 10.1.1 | 1.1 |
8. Безопасность виртуальной инфраструктуры
Этот раздел представляет безопасность компонентов системы виртуализации платформы MCloud, которые включают систему управления компонентов виртуализации, гипервайзер и виртуальные машины.
Безопасность гипервайзера следует обеспечить, применяя методы, аналогичные применяемым для защиты других компонентов программного обеспечения (software), которые работают на физических серверах. Они включают:
• ограничение доступа к административным интерфейсам;
• обновление патчами безопасности;
• использование стандартов конфигурации;
• антивирусные программы и пр.
Безопасность всей виртуальной инфраструктуры основывается на безопасности каждого компонента виртуализации, который позволяет администраторам создавать, запускать, останавливать виртуальные машины. Из-за риска в плане безопасности, сопутствующего этим действиям, доступ к административным интерфейсам инфраструктуры виртуализации следует ограничить лишь авторизованными администраторами. Кроме того, следует рассмотреть возможность внедрения различных уровней доступа к различным администраторам на основе принципа «need to know».
Важно обеспечить безопасность каждого административного интерфейса как локального, так и для дистанционного доступа. Так, если на уровне гипервайзера активировано дистанционное администрирование, тогда доступ к интерфейсам дистанционного администрирования следует ограничить через firewall. Наряду с этим, доступ к менеджерскому интерфейсу гипервайзера следует защитить путем внедрения выделенной сети управления, которая отделена от всех остальных сетей и к которой могут получить доступ лишь авторизованные администраторы.
Виртуализованная операционная система (ОС), которая работает в виртуализированной среде, ведет себя практически таким же образом, как и операционная система, работающая на физическом оборудовании. Все соображения безопасности, которые применяются в случае ОС, работающей на физическом оборудовании, должны применяться и в случае виртуализированных ОС. Дополнительно необходимо изучить вариант отключения опции обмена информацией между виртуализированными ОС через общие диски, папки или буферы обмена (clipboard).
В таблице 3 представлены минимальные требования безопасности, которые следует соблюдать для обеспечения безопасности виртуальной инфраструктуры платформы MCloud.
|
Таблица 3. МИНИМАЛЬНЫЕ ТРЕБОВАНИЯ безопасности на уровне виртуальной инфраструктуры |
|||||
| ID | Требования | Технические регламенты и опорные стандарты |
|||
| ПП 1123 | МИТС 106 | ISO 27002 | PCI DSS | ||
| VS1 | Административный доступ к системе управления компонентами платформы виртуализации следует ограничить для авторизованных администраторов и регулярно пересматривать (хорошо бы указать, как часто) | пп. 47, 48 | п. 8, абзац 2 | 11.2.2, 11.2.4 11.6.1, 12.4.1 | 2.2.2 |
| VS2 | Весь неконсольный административный доступ к компонентам системы виртуализации следует осуществлять только с использованием таких технологий, как SSH, VPN либо SSL/TLS | п. 55 | п. 8, абзац 2 | 11.2.4 | 2.3, 4.1 |
| VS3 | Параметры по умолчанию на уровне системы управления компонентами платформы виртуализации, предоставленные поставщиком, в том числе, но не ограничиваясь паролями, SNMP-командами и аккаунтами, в которых нет необходимости, следует изменить либо удалить | --- | п. 8, абзацы 2,7 | 12.1.1 | 2.1 |
| VS4 | Следует активировать только те процессы, услуги и протоколы, которые необходимы для функционирования системы управления компонентами платформы виртуализации | --- | п. 8, абзац 7 | 12.1.1 | 2.2.4 |
| VS5 | Обновления системы управления компонентами платформы виртуализации следует устанавливать тогда, когда они запускаются производителем | --- | п. 8, абзац 7 | 12.6.1 | 6.1, 6.4.5 |
| VS6 | Систему управления компонентами платформы виртуализации следует синхронизировать с авторизованным сервером времени | --- | --- | 10.10.6 | --- |
| VS7 | Услуги безопасности системы управления компонентами системы виртуализации следует активировать, в том числе: • собственные мощности гипервайзера по мониторингу целостности; • мониторинг безопасности виртуальных машин и безопасности их взаимодействия |
--- | п. 8, абзац 7 | --- | 2.2.3 |
| VS8 | Неиспользуемое физическое и виртуальное оборудование (стационарные единицы, CD, сетевые адаптеры, последовательные или параллельные порты и пр.) следует отключить | --- | п. 8, абзацы 2,7 | 12.1.1 | --- |
| VS9 | На уровне системы менеджмента компонентов платформы виртуализации следует внедрять механизмы для предупреждения несанкционированного изменения, создания или отключения виртуальных компонентов | пп.35, 73, 74, 76 | п. 8, абзацы 2,7 | 10.4.1, 10.4.2 12.4.1 | 5.1, 5.2, 6.4.5 |
| VS10 | Следует разработать, внедрять и протоколировать стандарты конфигурации безопасности системы управления виртуальными компонентами | --- | п. 8, абзац 7 | 12.1.1 | 2.2 |
| VS11 | Следует активировать только те процессы, услуги и протоколы, которые минимально необходимы для функционирования виртуальных машин и установленных операционных систем | --- | п. 8, абзац 7 | 12.1.1 | 2.2.4 |
| VS12 | Стандарты безопасной конфигурации виртуальных машин и установленных операционных систем должны быть доработаны, запротоколированы и внедрены | --- | п. 8, абзац 7 | 12.1.1 | 2.2 |
| VS13 | Только одна первичная функция должна быть внедрена на одну виртуальную машину (к примеру, веб-серверы, серверы баз данных и пр.). | --- | --- | 11.6.2 | 2.2.1 |
| VS14 | Обновления безопасности операционных систем, установленных на виртуальных машинах, следует устанавливать тогда, когда их запускает производитель | --- | п. 8, абзац 7 | 12.6.1 | 6.1, 6.4.5 |
| VS15 | Виртуальные машины следует синхронизировать с авторизованным сервером времени | --- | --- | 10.10.6 | --- |
| VS16 | Следует установить механизмы защиты против вредоносных кодов и периодически обновлять их | 73, 74 | п. 9, абзац 3 | 10.4.1 | 5.1, 5.2 |
9. Контроль доступа и безопасность данных
Безопасность данных следует обеспечивать на всем протяжении жизненного цикла: от генерирования данных до их использования и уничтожения. Данные должны быть защищены таким образом, чтобы если они и будут разглашены неавторированной единице, не имели никакой ценности. Этого можно добиться за счет использования адекватного механизма криптирования данных и адекватной программы управления ключами криптования, приемов маскирования данных и пр. Следует внедрить надлежащий механизм backup (создания резервных копий) с тем, чтобы в случае инцидента данные можно было восстановить. Должен существовать надлежащий механизм удаления данных, поскольку данные могут содержать чувствительную информацию и могут нанести урон в случае попадания к третьим лицам. Особое внимание следует уделять предоставлению в наличие виртуальных изображений, содержащих чувствительную информацию.
Необходимо внедрить надлежащий механизм контроля доступа на всех уровнях инфраструктуры MCloud – от сети до приложений и данных. Регистрация пользователей, управление паролями, менеджмент привилегий и пересмотр прав доступа – наиболее важные элементы процесса контроля доступа и требуют надлежащего подхода. Везде где это возможно, интеграция с MPass должна считаться обязательным вариантом для обеспечения безопасного доступа к данным.
Минимальные требования безопасности, которые следует внедрить для контроля над доступом к данным, хранимым на MCloud, и обеспечения их безопасности, представлены в таблице 4.
|
Таблица 4. МИНИМАЛЬНЫЕ ТРЕБОВАНИЯ безопасности для обеспечения безопасности данных и контроля доступа |
|||||
| ID | Требования | Технические регламенты и опорные стандарты |
|||
| ПП 1123 | МИТС 106 | ISO 27002 | PCI DSS | ||
| ADS1 | Объем и период хранения данных следует свести к законным, регуляторным и деловым требованиям | --- | --- | 10.8.1, 10.8.2 10.10.3, 15.3.1 | 3.1, 10.7 |
| ADS2 | (Автору следует пересмотреть абзац) Следует внедрить механизм безопасного изъятия из употребления сред хранения платформы MCloud, обеспечив при этом, что данные невозможно будет восстановить никаким преступным компьютерным способом | --- | --- | 10.7.2 | 3.1 |
| ADS3 | Данные производственной среды не должны повторяться или использоваться в непроизводственных средах | --- | --- | 7.1.3, 10.1.4 12.4.2, 12.5.1 | 6.4.3 |
| ADS4 | Следует внедрить механизмы безопасности с тем, чтобы предупредить утечку данных | п.60 | п. 8, абзац 3; п.9, абзац 7 | 12.5.4 | 1.2, 6.4 6.5, 7.1, 7.2 8.1-8.5, 11.1-11.4 |
| ADS5 | Следует внедрить механизмы безопасности для защиты хранимых данных от несанкционированного доступа и использования, утери и подделки (к примеру, криптографические механизмы) | пп.60, 64, 65 | п. 9, абзац 1-3 | 10.4.1, 10.4.2 11.6.1, 11.6.2 | 4.1, 4.2 5.1, 5.2 6.4, 6.5 7.1,7.2 8.1-8.5 |
| ADS6 | Следует внедрить механизмы создания резервных копий (backup) данных и дублирования для того, чтобы обеспечить соответствие регуляторным, договорным или же деловым требованиям. Тестирование резервных копий следует проводить в запланированные интервалы | пп. 78,79 | п. 9, абзац 5 | 10.5.1 | 12.9.1 |
| ADS7 | Следует внедрять безопасные механизмы для защиты резервных копий (backup) от несанкционированного доступа и использования, утери и подделки | пп.60, 64, 65 | п. 9, абзацы 1-3 | 10.4.1, 10.4.2 11.6.1, 11.6.2 | 4.1, 4.2 5.1, 5.2 6.4, 6.5 7.1,7.2 8.1-8.5 |
| ADS8 | Следует определить стандарты безопасности для креденциалов и паролей пользователей на уровне виртуальных машин, приложений и баз данных, а также внедрить механизмы по ограничению их использования | пп. 37, 38, 40, 41, 43, 44, 51 | п. 9, абзацы 1,2 | 11.1.1, 11.2.1, 11.2.3, 11.3.1 11.5.5 | 8.1-8.5, 10.1 12.2 |
| ADS9 | Следует определить стандарты безопасности для креденциалов и паролей пользователей на уровне систем управления виртуальных компонентов и сети, а также внедрить механизмы по ограничению их использования | пп. 37, 38, 40, 41, 43, 44, 51 | п. 9, абзацы 1,2 | 11.1.1, 11.2.1, 11.2.3, 11.3.1 11.5.5 | 8.1-8.5, 10.1 12.2 |
| ADS10 | Доступ служащих на уровне виртуальной машины, приложений и баз данных следует ограничить, такой доступ должен предоставляться только с одобрения руководства в соответствии с деловыми требованиями, требованиями в плане безопасности и с действующим законодательством | пп. 45, 46, 47, 50 | п. 9, абзацы 1,2 | 11.2.1, 11.2.2, 11.4.1, 11.4.2, 11.6.1 | 7.1, 7.2 |
| ADS11 | Доступ служащих на уровне системы управления виртуальными и сетевыми компонентами следует ограничить, такой доступ должен предоставляться только с одобрения руководства в соответствии с деловыми требованиями, требованиями в плане безопасности и с действующим законодательством | пп. 45, 46, 47, 50 | п. 9, абзацы 1,2 | 11.2.1, 11.2.2, 11.4.1, 11.4.2, 11.6.1 | 7.1, 7.2 |
| ADS12 | Доступ служащих на уровне виртуальных машин, приложений, баз данных следует изменять при любом изменении статуса служащего | пп.40, 46 | п. 9, абзацы 1,2 | 8.3.3, 11.1.1, 11.2.1, 11.2.2 | 8.5.1, 8.5.4, 8.5.5 |
| ADS13 | Доступ служащих на уровне системы управления виртуальными и сетевыми компонентами следует изменять при любом изменении статуса служащего | пп. 40, 46 | п. 9, абзацы 1,2 | 8.3.3, 11.1.1, 11.2.1, 11.2.2 | 8.5.1, 8.5.4, 8.5.5 |
| ADS14 | Все уровни доступа служащих на уровне виртуальных машин, приложений, баз данных руководство должно пересматривать на запланированных интервалах и протоколировать. В случае выявленных нарушений доступа следует применять исправления/санкции | п.48 | п. 9, абзацы 1,2 | 11.2.4 | 7.1.3 |
| ADS15 | Все уровни доступа служащих на уровне систем управления виртуальными и сетевыми компонентами руководство должно пересматривать на запланированных интервалах и протоколировать. В случае выявленных нарушений доступа следует применять исправления. | п. 48 | п. 9, абзацы 1,2 | 11.2.4 | 7.1.3 |
10. Безопасность приложений программного обеспечения (software)
Приложения программного обеспечения (software), размещенные в среде MCloud, это приложения из категории «клиент-сервер», основанные на веб-технологиях. В этой связи положительная практика обеспечения безопасности веб-приложений, которая основывается на принципах «проектируемая безопасность» («security by design») и «безопасность по умолчанию» («security by default»), успешно применяется и в случае приложений программного обеспечения (software), размещенных в среде MCloud:
• определение требований безопасности;
• интеграция безопасности в процессе разработки приложения;
• проведение тестов безопасности приложения и пересмотр кода;
• интеграция пересмотра безопасности приложения в процесс принятия;
• обеспечение того, что безопасность – часть процесса содержания приложения.
В таблице 5 представлены требования безопасности, которые следует внедрить для обеспечения минимального уровня безопасности для приложений программного обеспечения (software), размещенных на платформе MCloud.
|
Таблица 5. МИНИМАЛЬНЫЕ ТРЕБОВАНИЯ безопасности для обеспечения безопасности приложений программного обеспечения (sоftware) |
|||||
| ID | Требования | Технические регламенты и опорные стандарты |
|||
| ПП 1123 | МИТС 106 | ISO 27002 | PCI DSS | ||
| AS1 | Технические характеристики новых приложений программного обеспечения (software) должны четко содержать требования относительно мер безопасности в соответствии с: • деловыми требованиями; • действующим законодательством |
----- | --- | 12.1.1 | ---- |
| AS2 | Для разрабатываемых приложений программного обеспечения (software) необходимо обеспечить, чтобы безопасность приложений была составляющей частью процесса разработки: • на этапе проектирования – путем определения мер безопасности, которые необходимо внедрить; • на этапе разработки приложения – путем осуществления проверок, в том числе на уровне кода, надлежащего внедрения уже определенных мер безопасности; • на этапе тестирования – путем тестирования эффективности внедренных мер безопасности |
--- | п. 7, абзац 3a | 12.5.5 | 6.5 |
| AS3 | В процессе тестирования и приема приложений программного обеспечения (software) необходимо обеспечить, что они не содержат общих уязвимостей в плане безопасности: • инъекции, в частности, SQL-инъекции. Также следует рассмотреть командные инъекции OS, LDAP и XPath, равно как и иные типы инъекций; • уязвимости из категории buffer overflow; • уязвимости из категории cross-site scripting (XSS); • уязвимости из категории cross-site request forgery (CSRF); • небезопасное хранение криптографических компонентов (к примеру, криптографических ключей и пр.); • обмен данными через небезопасные каналы; • неправильное управление ошибками; • неправильная регистрация событий; • неправильный контроль доступа, в том числе слабые пароли или пароли, которые можно легко разгадать |
---- | п. 7, абзац 3c | 12.2 | 6.5 |
| AS4 | Аккаунты и пароли из категории «по умолчанию» для приложений программного обеспечения (software), а также тестовые данные следует удалить до внедрения приложений в производственной среде | п.4.1 | --- | 12.5.1 | 6.3.1, 2.1 |
| AS5 | Конфигурации безопасности по каждому компоненту инфраструктуры приложения (веб-сервер, база данных, серверы приложений) следует определить и внедрить | --- | п. 8, абзацы 2, 3 | --- | 2.2 |
| AS6 | Безопасность приложений и компонентов инфраструктуры приложения следует пересмотреть до миграции в производственную среду | п. 77 | п. 7, абзац 3c | 12.5.2, 12.6.1 | 6.3.2 |
| AS7 | Следует внедрять проверки для предупреждения несанкционированного изменения приложений и/или компонентов инфраструктуры приложения | п. 76 | п. 6, абзац 4 | 12.4.1, 12.4.3, 12.5.1, 12.5.3 | 6.4 |
| AS8 | Приложения и инфраструктурные компоненты приложения следует обновлять последними патчами безопасности, предлагаемыми производителем | --- | --- | 12.6.1 | 6.1 |
| AS9 | Приложения следует постоянно защищать от известных атак (к примеру, инструменты оценивания уязвимости безопасности приложения, web-application firewalls и пр.). | п. 75 | --- | 12.6.1 | 6.2, 6.6 |
| AS10 | Доступ и обмен данными между приложениями и другими третьими системами, в том числе системами пользователей, должен осуществляться только через протоколы, как то: SSL/TLS , SSH, SFTP и пр. | п. 55 | п. 8, абзац 2 | 11.2.4 | 2.3, 4.1 |
| AS11 | Приложения следует интегрировать с платформенными услугами MCloud, как то: правительственная услуга аутентификации и контроля доступа (MPass). | --- | --- | --- | --- |
11. Мониторинг и тестирование безопасности
Механизмы мониторинга и способность следить за действиями пользователей имеют решающее значение для предупреждения, выявления и сокращения воздействия компрометации данных. Наличие записей во всех компонентах инфраструктуры MCloud, в том числе на уровне приложений программного обеспечения (software), позволяет следить, оповещать и производить полный анализ, когда что-то не в порядке. Этого можно добиться за счет полноценного мониторинга: мониторинг физических и виртуальных компонентов платформы MCloud, мониторинг сетевой инфраструктуры, мониторинг приложений программного обеспечения (software) и операций и пр. Должны существовать системы автоматического сбора и управления событиями. Зарегистрированные события необходимо периодически пересматривать и анализировать, также надлежит генерировать для всех заинтересованных сторон отчеты об эффективности механизмов безопасности. В то же время необходимо внедрить систему оповещения в случае, когда выявляется аномалия.
Тестирование безопасности следует использовать для обнаружения и устранения новых уязвимостей на уровне сетевой инфраструктуры, виртуальной инфраструктуры и на уровне приложений программного обеспечения (software). Для проведения тестовых мероприятий можно использовать разнообразные приемы тестирования, как то:
• аудит безопасности;
• сканирование на уязвимость;
• тестирование проникновения ( чьи и куда? Неавторризованных лиц в сеть и т.д.).
В таблице 6 представлены минимальные требования безопасности, которые следует внедрить для обеспечения мониторинга и тестирования платформы MCloud
|
Таблица 6. МИНИМАЛЬНЫЕ ТРЕБОВАНИЯ для обеспечения мониторинга и тестирования платформы MCloud |
|||||
| ID | Требования | Технические регламенты и опорные стандарты |
|||
| ПП 1123 | МИТС 106 | ISO 27002 | PCI DSS | ||
| SMT1 | Следует активировать регистрацию событий на уровне системы управления компонентами платформы виртуализации и компонентов физической сети | п. 66 | п. 9, абзац 4 | 10.10.1 | 10.2 |
| SMT2 | Следует активировать регистрацию событий на уровне виртуальной машины, приложений, баз данных и виртуальной сети в рамках виртуальной организации | п. 66 | п. 9, абзац 4 | 10.10.1 | 10.2 |
| SMT3 | Записи аудита на уровне системы управления компонентами платформы виртуализации и компонентов физической сети, которые регистрируют деятельность пользователей, системных администраторов и системных операторов, а также исключения, ошибки, события безопасности следует генерировать и хранить в соответствии с: • требованиями безопасности; • правовыми, регуляторными и договорными требованиями; • самым успешным международным и национальным опытом |
пп. 67, 68, 71 | п. 9, абзац 4 | 10.10.1, 10.10.4, 10.10.5 | 10.1, 10.2, 10.3 |
| SMT4 | Записи аудита на уровне виртуальной машины, приложений, баз данных и виртуальной сети в рамках виртуальной организации, которые регистрируют деятельность пользователей, системных администраторов и системных операторов, а также исключения, ошибки, события безопасности следует генерировать и хранить в соответствии с: • требованиями безопасности; • правовыми, регуляторными и договорными требованиями; • самым успешным международным и национальным опытом |
пп. 67, 68, 71 | п. 9, абзац 4 | 10.10.1, 10.10.4, 10.10.5 | 10.1, 10.2, 10.3 |
| SMT5 | Аудиторские записи, собранные на уровне системы управления компонентами платформы виртуализации и компонентов физической сети, подлежат агрегации на выделенной системе и защите от подделки и несанкционированного доступа | п. 70 | п. 9, абзац 8 | 10.10.3 | 10.5 |
| SMT6 | Аудиторские записи, собранные на уровне виртуальной машины, приложений, баз данных и виртуальной сети в рамках виртуальной организации, подлежат агрегации на выделенной системе и защите от подделки и несанкционированного доступа | п. 70 | п. 9, абзац 8 | 10.10.3 | 10.5 |
| SMT7 | Аудиторские записи, собранные на уровне системы управления компонентами платформы виртуализации и компонентами физической сети, должны анализироваться регулярно (к примеру, ежедневно) и следует предпринимать меры в соответствии с внутренними операциональными политиками и процедурами | п. 69 | п. 9, абзац 8 | 10.10.2, 10.10.5 | 10.6 |
| SMT8 | Аудиторские записи, собранные на уровне виртуальной машины, приложений, баз данных и виртуальной сети в рамках виртуальной организации, должны анализироваться регулярно (к примеру, ежедневно) и следует предпринимать меры в соответствии с внутренними операциональными политиками и процедурами | п. 69 | п. 9, абзац 8 | 10.10.2, 10.10.5 | 10.6 |
| SMT9 | Использование ресурсов платформы MCloud и сетевых ресурсов подлежит мониторингу и должны проводиться оценивания относительно новых требований в плане мощностей | п. 61 | п. 9, абзац 8; п.7, абзац 1c | 10.3.1 | --- |
| SMT10 | Сканирование безопасности на уровне сети, системы и приложения следует проводить регулярно и после любого существенного изменения на их уровне | п. 72 | --- | 12.6.1, 15.2 | 11.2, 11.3 |
| SMT11 | Тестирование на наличие несанкционированных пунктов беспроводного доступа в инфраструктуре платформы MCloud или в инфраструктурах, которые непосредственно подключены к ней, следует проводить регулярно | --- | --- | 15.2 | 11.1 |
12. Менеджмент операций
Для обеспечения правильного и безопасного функционирования инфраструктуры MCloud следует определить, запротоколировать и внедрить операциональные процедуры по администрированию и обслуживанию платформы MCloud, в том числе информации, которая хранится на соответствующей платформе. Любое изменение в инфраструктуре MCloud должно подвергаться строгому контролю менеджмента. Изменения следует проводить только тогда, когда существует действительная деловая необходимость, как то: рост производительности, снижение уровня риска и пр. Обновление с последними версиями операционных систем или приложений не всегда соответствует интересам бизнеса, так как оно может быть чревато появлением большего числа уязвимостей и большей нестабильностью, чем текущая версия. Для любых изменений, в том числе для новой системы, требования и критерии приема следует определить, запротоколировать, протестировать и интегрировать в процедуру управления изменениями.
В то же время необходимо внедрить разделение задач для того, чтобы сократить риск умышленного или случайного злоупотребления компонентами платформы MCloud.
Оказание услуг третьей стороной должно включать оговоренные обязательства в плане безопасности, определение услуг и аспекты управления услугой. Мониторинг и пересмотр услуг третьих сторон должны обеспечивать соблюдение сроков и условий безопасности информации, закрепленных в соглашениях/договорах, а также надлежащее управление инцидентами и проблемами в плане безопасности.
В таблице 7 представлены минимальные требования безопасности, которые следует внедрить на операциональном уровне, для того, чтобы обеспечить правильное и безопасное функционирование платформы MCloud.
|
Таблица 7. МИНИМАЛЬНЫЕ ТРЕБОВАНИЯ безопасности на уровне операционального менеджмента |
|||||
| ID | Требования | Технические регламенты и опорные стандарты |
|||
| ПП 1123 | МИТС 106 | ISO 27002 | PCI DSS | ||
| OM1 | Процедуры администрирования и оперирования платформы MCloud, а также сопутствующие роли и ответственность необходимо определить, запротоколировать и обновлять | --- | п. 7, абзац 1a | 10.1.1 | 12.2 |
| OM2 | Изменениями в сетевой инфраструктуре, инфраструктуре MCloud и услугах MCloud следует управлять в соответствии с политикой и процедурой менеджмента изменений | п. 76 | п. 6, абзац 4 | 10.1.2 | 6.4.5, 10.5.5 |
| OM3 | Обязательства и сферы ответственности, связанные администрированием платформы и услуг, необходимо разделять | п. 60 | п. 9, абзац 9 | 10.1.3 | 6.4.2 |
| OM4 | Среды развития, среды тестирования и производственные среды в рамках платформы MCloud следует разделять | п. 60 | ---- | 10.1.4 | 6.4.1 |
| OM5 | Внедрение и поддержку проверок безопасности и уровней оказания услуг, включенных в соглашения оказания услуг третьими сторонами, следует регулярно пересматривать | --- | ---- | 10.2.1, 10.2.2 | --- |
| OM6 | Критерии приема для новых информационных систем и модернизации существующих, которые размещены на платформе MCloud, следует определять, а надлежащие тесты приема следует проводить до внедрения в производство | п. 76 | п. 7, абзацы 2c, 3,8; п.8, абзац 1 | 10.3.2 | --- |
13. Менеджмент рисков безопасности информации и непрерывность бизнеса
Политика безопасности должна «задавать тон» безопасности информации для всего подразделения и информировать персонал о том, чего от него ждут. Политика должна отражать требования относительно обеспечения безопасности информации информационных систем. Кроме того, политика безопасности должна обеспечивать общее представление о подходе, необходимом в плане управления рисками безопасности информации.
Минимальные внедряемые требования безопасности должны периодически проходить анализ рисков для приведения в соответствие с изменениями, которые произошли в процессах бизнеса, в профиле угроз и в уязвимости, которым подвергаются информационные системы. В этом смысле процесс оценивания рисков должен определять, измерять и выстраивать приоритетность рисков на основании критериев их принятия. Результаты должны определять действия и приоритеты внедрения дополнительных проверок либо изменения внедряемых для обеспечения надлежащего уровня защиты.
Менеджмент инцидентами и способностями реагирования на инциденты следует внедрить для того, чтобы обеспечить быстрое определение причины и воздействия инцидента, а также для того, чтобы как можно скорее восстановить операциональное состояние информационных систем.
Планы непрерывности бизнеса, планы восстановления, а также неотложные процедуры в случае аварий необходимо разработать для того, чтобы помогать поддерживать безопасность в случае неожиданных событий и обеспечить надлежащую безопасность информации и систем до того, как персонал эвакуируют из помещения, поскольку чрезвычайные происшествия могут использоваться злоумышленниками в качестве возможности получить доступ к системам.
Планы и процедуры восстановления и обеспечения непрерывности функционирования платформы MCloud в случае аварии следует разрабатывать и внедрять в широком масщтабе. В то же время необходимо разработать и внедрять неотложные процедуры, которые обеспечат, что в случае, если возникает необходимость в эвакуации персонала, будет обеспечена надлежащая безопасность платформы MCloud, а также размещенных на этой платформе данных.
В таблице 8 представлены минимальные требования для обеспечения менеджмента рисками безопасности информации и обеспечения непрерывности платформы MCloud.
|
Таблица 8. МИНИМАЛЬНЫЕ ТРЕБОВАНИЯ для обеспечения менеджмента рисками и обеспечения непрерывности бизнеса |
|||||
| ID | Требования | Технические регламенты и опорные стандарты |
|||
| ПП 1123 | МИТС 106 | ISO 27002 | PCI DSS | ||
| PRB1 | Политики и процедуры безопасности информации относительно платформы и услуг MCloud, сетевую инфраструктуру следует регулярно определять, утверждать и пересматривать | Раздел III | п. 6, абзацы 2, 4; | 5.1.1, 5.1.2 | 12.1, 12.3 |
| PRB2 | Оценку рисков безопасности платформы и услуг MCloud, а также сетевой инфраструктуры, которая определяет угрозы, уязвимости, воздействие и действия, необходимые для их уменьшения, следует проводить регулярно или же после существенных изменений, которые произошли на их уровне | --- | п. 6, абзац 1 | 4.1, 4.2 | 12.1.2 |
| PRB3 | Следует внедрять проверку безопасности во время приема на работу и увольнения либо изменения места работы лиц, задействованных в администрирование и поддержку платформы и услуг MCloud, а также сетевой инфраструктуры | --- | ---- | 8.1, 8.3 | 12.7 |
| PRB4 | Ответственность в плане безопасности для лиц, задействованных в администрирование и поддержку платформы и услуг MCloud, а также сетевой инфраструктуры, следует определить, запротоколировать и подписать | п. 50 | п. 9 | 8.1.1, 8.2.1 | 12.4 |
| PRB5 | Обучении в вопросах безопасности необходимо периодически обеспечивать лицам, задействованным в администрирование и поддержку платформы и услуг MCloud, а также сетевой инфраструктуры | --- | --- | 8.2.2 | 12.6 |
| PRB6 | Следует учредить и поддерживать способность выявления, эскалации, реагирования и представления отчетов по инцидентам на уровне платформы и услуг MCloud, а также на уровне сетевой инфраструктуры | пп.86, 87, 88, 89, 90 | п. 6, абзац 3 | 13.1, 13.2 | 12.9 |
| PRB7 | Следует определять и поддерживать планы непрерывности бизнеса и процедуры восстановления после инцидентов/аварий для обеспечения непрерывности платформы и услуг MCloud | пп.78, 79, 80 | п. 6, абзац 5 | 14.1.3, 14.1.4 | 12.9.1 |
| PRB8 | В случае аварий, которые подрывают наличие текущего дата-центра, следует обеспечить необходимую способность для восстановления платформы и услуг MCloud в резервном дата-центре, соблюдая при этом требование PRB9. | п.80 | п. 6, абзац 5 | 14.1.3, 14.1.4 | 12.9.2 |
| PRB9 | Следует обеспечить необходимую способность, чтобы гарантировать наличие платформы и услуг MCloud на уровне не ниже 97.5% в среднем в месяц | п.80 | п. 6, абзац 5 | 14.1.3, 14.1.4 | 12.9.2 |
| PRB10 | Через регулярные интервалы следует проводить тестирование резервных копий, а также планов/процедур восстановления платформы и услуг MCloud, а выявленные недостатки необходимо устранять. | --- | п. 6, абзац 5 | 14.1.5 | 12.9.2 |
| PRB11 | Стороны, с которыми поставщик/оператор заключил договоры, должны через регулярные интервалы проводить внутренние и внешние аудиты для того, чтобы обеспечить внедрение архитектуры безопасности платформы MCloud, а выявленные в ходе аудита недостатки следует устранить. | 81 | п. 6 часть 6 | 15.2.1 | --- |
14. Матрица ответственности
Ответственность в плане внедрения архитектуры безопасности платформы MCloud, определенная на основе модели R.A.C.I., представлена в виде матрицы в таблице 9.
RACI представляет собой аббревиатуру от: Responsable (исполнитель), Accountable (Ответственный), Consulted (консультируемый) и Informed (информируемый).
Именно Ответственное подразделение (A) может предлагать/утверждать изменения, оно определяет требования и планы развития, проверяет процесс внедрения требований и планов развития ответственным (исполнительным? подразделением и т. д. В то же время именно оно может быть привлечено к ответственности, если установленная задача не была выполнена.
Подразделение, наделенное ролью исполнителя (R), будет собственно осуществлять работы, оно способно справиться с этим с точки зрения знаний и навыков.
Ролью консультантов (C), как правило, наделены профильные эксперты, они располагают значимой информацией либо способны каким-либо образом содействовать осуществлению соответствующей деятельности. Коммуникация с ними ведется в оба направления, при этом обмен информацией осуществляется между обеими задействованными сторонами с тем, чтобы выполнить задачу.
Информированными (I) являются те, которые получают по запросу информацию относительно порядка выполнения требований.
В то же время к определению ответственности привлечены следующие действующие лица:
Поставщик - подразделение, ответственное за обеспечение функционирования и развития платформы MCloud (Центр электронного управления),
Оператор - подразделение, которое администрирует и обслуживает платформу MCloud (Центр специальных телекоммуникаций),
бенефициар - подразделение, которое использует платформу MCloud для поставки приложений/услуг конечным пользователям (ОЦПУ и подведомственные структуры).
|
Таблица 9. Матрица ответственности |
|||||||||
| ID требо- вание |
IaaS | SaaS | PaaS | ||||||
| Поставщик | Оператор | Бенефициар | Поставщик | Оператор | Бенефициар | Поставщик | Оператор | Бенефициар | |
|
Безопасность помещений и оборудования для обработки информации |
|||||||||
| PS01 | AC | R | I | AC | R | I | AC | R | I |
| PS02 | AC | R | I | AC | R | I | AC | R | I |
| PS03 | AC | R | I | AC | R | I | AC | R | I |
| PS04 | AC | R | I | AC | R | I | AC | R | I |
| PS05 | AC | R | I | AC | R | I | AC | R | I |
| PS06 | AC | R | I | AC | R | I | AC | R | I |
| PS07 | AC | R | I | AC | R | I | AC | R | I |
| PS08 | AC | R | I | AC | R | I | AC | R | I |
|
Безопасность сетевой инфраструктуры |
|||||||||
| NS01 | AC | R | I | AC | R | I | AC | R | I |
| NS02 | AC | R | I | AC | R | I | AC | R | I |
| NS 03 | AC | R | I | AC | R | I | AC | R | I |
| NS04 | AC | R | I | AC | R | I | AC | R | I |
| NS05 | AC | R | R | AC | R | I | AC | R | I |
| NS06 | AC | R | I | AC | R | I | AC | R | I |
| NS07 | AC | R | I | AC | R | I | AC | R | I |
| NS08 | AC | R | I | AC | R | I | AC | R | I |
| NS09 | AC | R | I | AC | R | I | AC | R | I |
|
Безопасность виртуальной инфраструктуры |
|||||||||
| VS1 | AC | R | I | AC | R | I | AC | R | I |
| VS2 | AC | R | I | AC | R | I | AC | R | I |
| VS3 | AC | R | I | AC | R | I | AC | R | I |
| VS4 | AC | R | I | AC | R | I | AC | R | I |
| VS5 | AC | R | I | AC | R | I | AC | R | I |
| VS6 | AC | R | I | AC | R | I | AC | R | I |
| VS7 | AC | R | I | AC | R | I | AC | R | I |
| VS8 | AC | R | I | AC | R | I | AC | R | I |
| VS9 | AC | R | I | AC | R | I | AC | R | I |
| VS10 | AC | R | I | AC | R | I | AC | R | I |
| VS11 | C | C | AR | AC | R | I | AC | R | I |
| VS12 | C | R | AR | AC | R | I | AC | R | I |
| VS13 | C | C | AR | AC | R | I | AC | R | I |
| VS14 | C | C | AR | AC | R | I | AC | R | I |
| VS15 | C | R | AR | AC | R | I | AC | R | I |
| VS16 | C | R | AR | AC | R | I | AC | R | I |
|
Контроль доступа и безопасность данных |
|||||||||
| ADS1 | C | I | AR | C | R | A | C | R | A |
| ADS2 | AC | R | I | AC | R | I | AC | R | I |
| ADS3 | C | C | AR | AC | R | I | AC | R | I |
| ADS4 | C | R | AR | AC | R | I | AC | R | I |
| ADS5 | C | R | AR | AC | R | I | AC | R | I |
| ADS6 | C | R | AR | AC | R | I | AC | R | I |
| ADS7 | C | C | AR | AC | R | I | AC | R | I |
| ADS8 | C | C | AR | ARC | R | I | ARC | R | I |
| ADS9 | ARC | R | I | ARC | R | I | ARC | R | I |
| ADS10 | C | C | AR | AC | R | R | AC | R | R |
| ADS11 | ARC | R | I | ARC | R | I | ARC | R | I |
| ADS12 | C | C | AR | ARC | R | R | ARC | R | R |
| ADS13 | ARC | R | I | ARC | R | I | ARC | R | I |
| ADS14 | C | C | AR | AC | R | R | AC | R | R |
| ADS15 | AR | R | I | AR | R | I | AR | R | I |
|
Безопасность приложений программного обеспечения (software) |
|||||||||
| AS1 | C | C | AR | AR | C | I | ARC | C | I |
| AS2 | C | C | AR | AR | C | I | ARC | C | I |
| AS3 | C | C | AR | AR | -C | I | AR | C | I |
| AS4 | C | C | AR | AR | C | I | AR | C | I |
| AS5 | C | C | AR | ARC | R | I | ARC | R | I |
| AS6 | C | C | AR | ARC | R | I | ARC | R | I |
| AS7 | C | C | AR | ARC | R | I | ARC | R | I |
| AS8 | C | C | AR | ARC | R | I | ARC | R | I |
| AS9 | C | C | AR | ARC | R | I | ARC | R | I |
| AS10 | C | C | AR | ARC | R | I | ARC | R | I |
| AS11 | C | C | AR | AR | C | I | AR | C | I |
|
Мониторинг и тестирование безопасности |
|||||||||
| SMT1 | AC | R | R | AC | R | I | AC | R | I |
| SMT2 | C | R | AR | AC | R | I | AC | R | I |
| SMT3 | AC | R | I | AC | R | I | AC | R | I |
| SMT4 | C | R | AR | AC | R | I | AC | R | I |
| SMT5 | AC | R | I | AC | R | I | AC | R | I |
| SMT6 | C | R | AR | AC | R | I | AC | R | I |
| SMT7 | AC | R | I | AC | R | I | AC | R | I |
| SMT8 | C | R | AR | AC | R | I | AC | R | I |
| SMT9 | AC | R | I | AC | R | I | AC | R | I |
| SMT10 | AC | R | I | AC | R | I | AC | R | I |
| SMT11 | AC | R | I | AC | R | I | AC | R | I |
|
Менеджмент операций |
|||||||||
| OM1 | ARC | R | I | ARC | R | I | ARC | R | I |
| OM2 | ARC | R | I | ARC | R | I | ARC | R | I |
| OM3 | ARC | R | I | ARC | R | I | ARC | R | I |
| OM4 | ARC | R | R | ARC | R | I | ARC | R | I |
| OM5 | ARC | R | R | ARC | R | I | ARC | R | I |
| OM6 | ARC | C | R | ARC | I | I | ARC | I | I |
|
Менеджмент рисков безопасности информации и непрерывность бизнеса |
|||||||||
| PRB1 | ARC | R | I | ARC | R | I | ARC | R | I |
| PRB2 | ARC | R | I | ARC | R | I | ARC | R | I |
| PRB3 | AC | R | I | AC | R | I | AC | R | I |
| PRB4 | AC | R | I | AC | R | I | AC | R | I |
| PRB5 | AC | R | I | AC | R | I | AC | R | I |
| PRB6 | ARC | R | I | ARC | R | I | ARC | R | I |
| PRB7 | ARC | R | I | ARC | R | I | ARC | R | I |
| PRB8 | ARC | R | I | ARC | R | I | ARC | R | I |
| PRB9 | ARC | R | I | ARC | R | I | ARC | R | I |
| PRB10 | AC | R | I | AC | R | I | AC | R | I |
| PRB11 | AR | I | I | AR | I | I | AR | I | I |
15. Угрозы в плане безопасности
Таблица 10 определяет наиболее серьезные угрозы в плане безопасности, которым подвергается платформа MCloud, а также ссылается на требования, указанные в настоящем документе, которые позволяют сократить вероятность осуществления соответствующих угроз
|
Таблица 10. СПИСОК угроз в плане безопасности |
|||
| ID | Угрозы | Описание | Ссылка на требования безопасности |
| 1 | Перехват трафика | Перехват трафика – атака, которая заключается в пассивном перехвате вредоносными агентами тех данных, которые переданы на платформу MCloud или с платформы MCloud, с целью незаконного сбора информации. | PS01-PS03, PS06, NS01-NS03, NS05-NS08, VS01-VS02, VS7, VS16, ADS8-ADS9, AS10, ADS10-ADS15, SMT1-SMT11, OM1-OM3, PRB1-PRB6, PRB11. |
| 2 | Недоброжелательный посредник | Угроза из категории недоброжелательный посредник заключается в перехвате и изменении вредоносными агентами информации, переданной на платформу MCloud или переданную с платформы MCloud, что может скомпрометировать конфиденциальность и/или целостность соответствующей информации | PS01-PS03, PS06, NS01-NS03, NS05-NS08, VS01-VS02, VS7, VS16, AS10, ADS8-ADS9, ADS10-ADS15, SMT1-SMT11, OM1-OM3, PRB1-PRB6, PRB11. |
| 3 | Отказ от услуги | Угроза из категории отказ от услуги заключается в неправильном функционировании услуг, предоставляемых платформой MCloud, либо вследствие перегрузки ресурсов MCloud (CPU, RAM, Storage, коммуникационная сеть) в результате атаки либо вследствие проблем на уровне компонентов компьютерного оборудования (hardware) платформы | NS04, VS4-VS5, VS11, VS13-VS14, ADS6-ADS7, AS9, SMT1-SMT11, OM1-OM2. |
| 4 | Недостаточная авторизация | Угроза из категории недостаточная авторизация заключается в предоставлении ошибочного доступа к информационным ресурсам либо в том, что предоставленный доступ предполагает чрезмерные привилегии, состоящие в получении доступа к IT-ресурсам, которые обычно защищены. | PS02-PS03, NS06, VS1, ADS2-ADS5, ADS8-ADS15, OM1-OM2, OM6, PRB1-PRB6, PRB11. |
| 5 | Атака на компоненты виртуализации | Угроза из категории атака на компоненты виртуализации заключается в эксплуатации возможной уязвимости на уровне платформы виртуализации MCloud для того, чтобы поставить под угрозу конфиденциальность, целостность и/или наличие соответствующей платформы | VS1-VS16, ADS8-ADS15, SMT1-SMT10, OM1-OM2, OM6, PRB1-PRB6, PRB11. |
| 6 | Некачественное внедрение и оперирование IT-услуг | Проектирование, внедрение и конфигурирование IT- услуг в среде MCloud чреваты пагубными последствиями для всей платформы MCloud. Если компоненты программного обеспечения (software) или компьютерного оборудования (hardware) содержат определенные уязвимости с точки зрения функциональности или же безопасности, тогда ими могут воспользоваться для того, чтобы подорвать целостность и наличие всей платформы MCloud либо определенных специфических услуг. | AS1-AS11, OM1-OM6, PRB1-PRB11, ADS7-ADS9, VS10, VS12, NS08. |