Хмарна анатомія. Як простими словами пояснити, що таке сертифікати безпеки у хмарі

💡 Усі статті, обговорення, новини про DevOps — в одному місці. Приєднуйтесь до DevOps спільноти!

Я — Кирило Науменко, Chief Technical Officer хмарного провайдера GigaCloud. І якби мені давали цукерку щоразу, коли потенційний клієнт заплутувався у сертифікаціях та стандартах, які необхідні для забезпечення його кіберзахисту, ви б вже не побачили мене за цією горою цукерок.

Спробуйте прочитати це вголос самі: ISO 27017, NIST CSF 2.0, PCI DSS. Для більшості бізнесів це виглядає як медична довідка з купою показників і зовсім не допомагає зробити вибір. Але що саме стоїть за цими назвами та які переваги вони надають клієнту — а також як взагалі пояснити клієнту ці переваги, щоб він не заснув в процесі пояснень?

Мені спала на думку ідея порівняти хмарні стандарти безпеки з людським організмом: кожен стандарт відповідає за окремий орган або функцію, а разом вони показують, наскільки цей організм здоровий і готовий до навантажень. Сподіваюся, тим, хто працює з хмарними послугами, цей текст допоможе пояснювати важливість сертифікатів клієнтам простими словами. А клієнтам — перестати боятися, що ці комбінації цифр і літер викличуть демона, якщо їх прочитати вголос.

ISO/IEC 27001 — серце кіберзахисту

Це базовий і найбільш відомий стандарт безпеки, якого варто дотримуватися всім компаніям без виключення. Його повна назва — «Інформаційна безпека, кібербезпека та захист конфіденційності. Системи керування інформаційною безпекою».

ISO/IEC 27001 допомагає зробити перші кроки в організації вашого кіберзахисту: визначає роль керівництва організації, критерії для політик кібербезпеки, окреслює загальні вимоги до планування системи інформаційної безпеки, її моніторинг, оцінювання ризиків.

Основи для цього стандарту заклав ще в 90-их британський Комерційний центр комп’ютерної безпеки. Саме він сформував перші правила захищенної роботи з електронними ресурсами саме для бізнесу, а не для військових чи держструктур, як це було раніше. Практики центру перетворилися на британський стандарт BS 7799. Згодом їх підхопили на міжнародному рівні, і це стало стандартом для системи управління інформаційною безпекою, який у 2005 році офіційно став ISO/IEC 27001.

ISO/IEC 27017 — легені

Цей стандарт відповідає за те, щоб хмара дихала правильно: безпечно надавала ресурси клієнтам, ізолювала їхні середовища, контролювала адміністрування й чітко розділяла відповідальність між провайдером та користувачем. ISO/IEC 27017 реалізується як доповнення до ISO/IEC 27001 — так само, як легені доповнюють запущений ритм серця.

Повна назва стандарту — «Звід практик стосовно заходів інформаційної безпеки, що ґрунтуються на ISO/IEC 27002, для хмарних послуг». У межах ISO 27017 враховуються не просто загальні ризики інформаційної безпеки, а саме ті з них, які характерні для хмари: контроль ізоляції клієнтських середовищ, суверенітет даних, легкість міграції в інфраструктуру провайдера, залежність від провайдера (vendor lock-in).

ISO/IEC 27018 — нирки

Це фільтраційна система, яка відповідає за правильну і безпечну обробку персональних даних у публічній хмарі. Нирки фільтрують токсини — і так само цей стандарт допомагає відділити дозволену обробку від недозволеної і визначити, хто може отримувати доступ до даних та уникнути шкідливого накопичення зайвих доступів і копій.

ISO 27018 — «Кодекс усталеної практики для захисту персональної ідентифікаційної інформації (РII) у загальнодоступних хмарах, що діють як процесори РII». Він вимагає від провайдера максимальної прозорості: де зберігаються дані клієнта, чи були витоки даних, що доступно субпідрядникам та команді, — а також видалення всіх персональних даних по завершенню співпраці.

Три стандарти (ISO/IEC 27001, ISO/IEC 27017 та ISO/IEC 27018) є основою для провайдерів, щоб увійти до Переліку надавачів хмарних послуг та послуг ЦОД від Держспецзв’язку. Окрім цього, світове та віднедавна й українське законодавство враховують підхід NIST CSF 2.0.

ISO/IEC 27701 — імунна система

Імунна система розпізнає загрози і розбирається з небажаними зайдами іззовні. Так само дей стандарт контролює, хто, навіщо і яким чином має право обробляти персональні дані.

Для хмарного провайдера це означає контроль доступу до персональних даних, правила їхнього зберігання, видалення та передачі третім сторонам. На відміну від ISO/IEC 27018, що відповідає за публічну хмару, ISO/IEC 27701 охоплює усі аспекти керування приватністю в компанії.

NIST Cybersecurity Framework 2.0 — нервова система

Нервова система відповідає за здатність організму розуміти, що з ним відбувається, відчувати подразники, координувати реакцію та повертатися до нормальної роботи після стресу. Так само працює комплексна модель управління кіберризиками NIST Cybersecurity Framework 2.0.

Навіть за будовою цей підхід так само розгалужений, як і нервова система: NIST CSF 2.0 має основне ядро, куди включені функції, категорії та підкатегорії безпеки — у людини це головний мозок, який поділяється на півкулі, ділянки та зони, кожна з яких відповідає за окремі процеси. Функції цього підходу такі ж: усвідомлювати себе (Govern), розпізнати ризики (Identify), дбати про себе (Protect), отримувати сигнали про небезпеку (Detect), запустити план дій (Respond), а потім відновитися (Recover).

ISO/IEC 9001 — м’язи

М’язи відповідають за координацію та контроль рухів. Чим більш розвинені м’язова пам’ять та тканина (те, що називають накачаними м’язами), тим впевненіший і сильніший в цілому ваш організм. Стандарт ISO/IEC 9001 «Системи управління якістю» можна порівняти з сильними м’язами — вони не є обов’язковими, однак під час виконання складних активностей зайвими не будуть.

Для хмарного провайдера це забезпечує стабільні процеси, передбачувану якість послуг, роботу над помилками та постійне покращення сервісу. Ця сертифікація означає, що всі процеси є чітко організованими й відповідають очікуванням клієнтів, законодавству та актуальним вимогам ринку.

PCI DSS — кровоносна система

У вашому тілі кров переносить між органами поживні речовини — цей процес можна порівняти з фінансовими транзакціями. Регулюванням їхньої безпеки займається PCI DSS (Payment Card Industry Data Security Standard).

Цей стандарт захищає весь маршрут карткових даних («судини»), щоб унеможливити їхній витік чи злам, та слідкує, де зберігаються дані власників платіжних карток, як вони обробляються, якими мережами передаються, хто має до них доступ. Для хмарного провайдера дотримання правил PCI DSS означає гарантію безпеки датацентру й обладнання, контроль мережі (брандмауери, сегментація, шифрування даних), контроль доступу, управління вразливостями, забезпечення безперервності (бекапи, реплікація) тощо.

CSA STAR — шкіра

Шкіра відображає стан організму: подразнення, запалення, сухість можуть вказувати на серйозні внутрішні проблеми. Так само й програма оцінки Security, Trust, Assurance and Risk від Cloud Security Alliance показує, наскільки добре контроль безпеки й приватності реалізовано в хмарних сервісах.

Оцінювання містить близько 197 пунктів з 17 сфер: це і безпека інтерфейсу, інфраструктури та віртуалізації, і безперервність бізнесу, і контроль логів, управління загрозами та шифрування. Воно також може проходити на двох рівнях:

• Level 1 — самооцінювання, за якого провайдер заповнює анкету на основі правил Cloud Controls Matrix, де відмічає, яких практик безпеки дотримується. Це як самостійний догляд за шкірою.

• Level 2 — зовнішній аудит, рекомендований для сфер з високим ризиком кібератак. Перевірку відповідності вимогам проводить незалежний сертифікований STAR-аудитор. Це як сходити до дерматолога чи косметолога, щоб перевірити стан шкіри.

Тож сертифікати безпеки краще сприймати як спосіб перевірити, які саме процеси та ризики контролює провайдер. Чим краще ви розумієте роль кожного стандарту, тим простіше оцінити, чи відповідає хмара вашим реальним вимогам.