SlideShare a Scribd company logo
1 of 33
Download to read offline
Почему в России нельзя обеспечить
безопасность облачных вычислений
Лукацкий Алексей, консультант по безопасности
У меня нет задачи остановить переход к облачным
облакам – мы сами их используем повсеместно
2
Число CSP (400+)
Sales
Finance
Manfacturing
C&C Platform
CDO
Consumer IT
Customer Service
HR
Acquisitions
Cisco является одним из крупнейших в мире пользователей облачных услуг
ЧТО ТАКОЕ ОБЛАКА?
Три основных типа облака
Публичное
Гибридное
Частное
Составные части любого типа облака
5
Виртуализция Железо ПО
Согласование
(orchestration)
Хранение Сервисы
IaaS PaaS SaaS
Сервисы Сервисы Сервисы
Арендаторы Потребители
Сеть
Облачные
сервисы
Облачные
вычисления
Энерго-
снабжение
SaaS - наиболее популярная облачная модель
IaaS
•  Хранение
•  Вычисления
•  Управление
сервисами
•  Сеть, безопасность…
PaaS
•  Бизнес-аналитика
•  Интеграция
•  Разработка и
тестирование
•  Базы данных
SaaS
•  Биллинг
•  Финансы
•  Продажи
•  CRM
•  Продуктивность
сотрудников
•  HRM
•  Управление
контентом
•  Унифицированные
коммуникации
•  Социальные сети
•  Резервные копии
•  Управление
документами
Ключевые риски при переходе к облакам
•  Сетевая доступность
•  Жизнеспособность (устойчивость)
•  Непрерывность бизнеса и восстановление после сбоев
•  Инциденты безопасности
•  Прозрачность облачного провайдера
•  Потеря физического контроля
•  Новые риски и уязвимости
•  Соответствие требованиям
ЧТО ТАКОЕ
БЕЗОПАСНОСТЬ?
Что такое информационная безопасность?
•  Сохранение конфиденциальности, целостности и доступности
информации. Кроме того, также могут быть включены другие
свойства, такие как аутентичность, подотчетность,
неотказуемость и надежность
–  ГОСТ Р ИСО/МЭК 27002
•  Цель информационной безопасности заключается в защите
информации и информационных систем от
несанкционированного доступа, использования, раскрытия,
перебоев, изменения или уничтожения
За счет чего достигается информационная безопасность?
•  Информационная безопасность включает в себя
–  Политика в области защиты
–  Организация защиты информации
–  Менеджмент активов
–  Защита человеческих ресурсов
–  Физическая безопасность и безопасность окружения
–  Управление средствами связи и операциями
–  Управление доступом
–  Приобретение, разработка и поддержание в рабочем состоянии ИС
–  Управление инцидентами
–  Менеджмент непрерывности
–  Соответствие требованиям
БЕЗОПАСНОСТЬ ОБЛАКА
На каком уровне вы способны обеспечивать
безопасность в своей корпоративной сети уже сейчас?
•  Вы можете гарантировать отсутствие
закладок на аппаратном уровне?
•  Вы защищаете и внутреннюю сеть
или только периметр?
•  Как у вас обстоит дело с защитой
виртуализации? А SDN вы не
внедряли еще?
•  Вы знаете механизмы защиты своих
операционных систем? А вы их
используете?
•  А механизмы защиты своих
приложений вы знаете? А
используете?
•  А данные у вас классифицированы?
Разные возможности по реализации системы защиты для
разных сервисных моделей
•  В зависимости от архитектуры облака часть функций защиты
может решать сам потребитель самостоятельно
IaaS
Провайдер
Заказчик
VMs/Containers
ОС/Приложения
Данные
PaaS
Приложения
Провайдер
Заказчик
Данные
SaaS
Провайдер
Типы облачных моделей и средства защиты
IaaS
•  Заказчик облачных
услуг может
использовать любые
средства защиты,
устанавливаемые на
предоставляемую
аппаратную
платформу
PaaS
•  Заказчик облачных
услуг привязан к
предоставляемой
платформе
•  Выбор СЗИ (особенно
сертифицированных)
ограничен и, как
правило, лежит на
облачном провайдере
•  Заказчик может
настраивать функции
защиты приложений
•  Компромисс между
средствами защиты и
облачными услугами
SaaS
•  Заказчик облачных
услуг не имеет
возможности по
выбору средств и
механизмов защиты
облака
•  Выбор лежит на
облачном провайдере
Особенности защиты IaaS
Защитная мера
Нюансы
реализации (з / о)
Политика в области защиты 50 / 50
Организация защиты информации 50 / 50
Менеджмент активов 50 / 50
Защита человеческих ресурсов 30 / 70
Физическая безопасность и безопасность окружения 0 / 100
Управление средствами связи и операциями 35 / 65
Управление доступом 60 / 40
Приобретение, разработка и поддержание в рабочем
состоянии ИС
60 / 40
Управление инцидентами 60 / 40
Менеджмент непрерывности 30 / 70
Соответствие требованиям 70 / 30
Защита IaaS: обратите внимание
•  Ограничения на установку определенных средств защиты в
инфраструктуру облачного провайдера
•  Возможность установки собственных средств шифрования
•  Экспорт из России средств шифрования
–  На все площадки облачного провайдера в разных странах мира
•  Обслуживание (замена) вышедших из строя средств защиты,
особенно средств шифрования
•  Защита данных при доступе с мобильных устройств
–  Особенно в контексте шифрования трафика
Особенности защиты PaaS
Защитная мера
Нюансы
реализации (з / о)
Политика в области защиты 30 / 70
Организация защиты информации 30 / 70
Менеджмент активов 30 / 70
Защита человеческих ресурсов 20 / 80
Физическая безопасность и безопасность окружения 0 / 100
Управление средствами связи и операциями 20 / 80
Управление доступом 30 / 70
Приобретение, разработка и поддержание в рабочем
состоянии ИС
50 / 50
Управление инцидентами 45 / 55
Менеджмент непрерывности 20 / 80
Соответствие требованиям 55 / 45
Защита PaaS: обратите внимание
•  Насколько модель угроз и стандарты защиты облачного
провайдера соответствуют вашим?
–  Возможно ли привести их к общему знаменателю?
Особенности защиты SaaS
Защитная мера
Нюансы
реализации (з / о)
Политика в области защиты 10 / 90
Организация защиты информации 5 / 95
Менеджмент активов 5 / 95
Защита человеческих ресурсов 5 / 95
Физическая безопасность и безопасность окружения 0 / 100
Управление средствами связи и операциями 0 / 100
Управление доступом 5 / 95
Приобретение, разработка и поддержание в рабочем
состоянии ИС
0 / 100
Управление инцидентами 5 / 95
Менеджмент непрерывности 0 / 100
Соответствие требованиям 5 / 95
Защита SaaS: обратите внимание
•  Насколько модель угроз и стандарты защиты облачного
провайдера соответствуют вашим?
–  Возможно ли привести их к общему знаменателю?
•  Как вообще вы можете повлиять на реализацию и эксплуатацию
системы ИБ у облачного провайдера?
Типы облаков с точки зрения ИБ и compliance
Частное
•  Управляется
организацией или
третьим лицом
•  Обеспечение
безопасности легко
реализуемо
•  Вопросы
законодательного
регулирования
легко решаемы
Публичное
(локальное)
•  Управляется одним
юридическим
лицом
•  Обеспечение
безопасности
реализуемо
средними
усилиями
•  Вопросы
законодательного
регулирования
решаемы
средними
усилиями
Публичное
(глобальное)
•  Управляется
множеством
юридических лиц
•  Требования по
безопасности
различаются в
разных странах
•  Законодательные
требования
различаются в
разных странах
ОБЛАКА = ПОТЕРЯ
КОНТРОЛЯ
Возможности по контролю изменчивы
23
Публичное
Гибридное
Сообщество
Частное
Аутсорсинг
Инсорсинг
Внешнее
Внутреннее
Возможности по
контролю меняются в
зависимости от вида
эксплуатации,
расположения и типа
облака
В публичном облаке меньше контроля
Частное облако Публичное облако
Соответствие Предприятие Облачный провайдер
Governance Предприятие Облачный провайдер
Безопасность Предприятие Облачный провайдер
Эксплуатация Предприятие Облачный провайдер
Риски Предприятие Распределены между
предприятием и
облачным провайдером
Владелец облака Предприятие или
арендодатель
Облачный провайдер
Использование
ограничено
Предприятием Ничем
24
НЕ ЗАБУДЬТЕ И ПРО ДРУГИЕ
ВОПРОСЫ
Обратите внимание и на другие вопросы
•  Трансграничная передача персональных данных
–  Потребует от заказчика облачных услуг получить письменное
согласие субъекта персональных данных
–  Реализация легального шифрования на площадках в разных
странах мира
–  Реализация легального шифрования на мобильных платформах
•  Обработка государственных информационных ресурсов
–  Облачный провайдер не может передавать ГИР за пределы
России согласно 351-му Указу Президента
–  Облачный провайдер должен соответствовать требованиям 17-го
приказа ФСТЭК от 2013-го года
–  Облачный провайдер должен использовать только
сертифицированные средства защиты и(или) аттестовать свои
ИС
Обратите внимание и на другие вопросы
•  Облачный провайдер обязан предоставить доступ спецслужбам,
правоохранительным и судебным органам по мотивированному
(или немотивированному) запросу
–  А иногда облачный провайдер и не будет знать, что такой доступ
имеется
–  А вас он не обязан ставить в известность о таком доступе
•  Контроль облачного провайдера
–  Вам придется переориентироваться с собственной защиты на
контроль чужой защиты
–  На каком языке вы будете общаться с зарубежным облачным
провайдером?
•  Предоставление услуг по защите информации – это
лицензируемый вид деятельности
–  У облачного провайдера есть лицензии ФСТЭК и ФСБ?
Изменение парадигмы ИБ регуляторов при переходе в
публичное облако
Один объект
= один
субъект
Один объект =
множество
субъектов
•  Защищать надо не только отдельных субъектов, но и
взаимодействие между ними
•  С учетом отсутствия контролируемой зоны и динамической
модели предоставления сервиса
ТАК ЧТО ЖЕ ВСЕ-ТАКИ
ДЕЛАТЬ?
Если вы все-таки решились
•  Стратегия безопасности облачных вычислений
–  Пересмотрите свой взгляд на понятие «периметра ИБ»
–  Оцените риски – стратегические, операционные, юридические
–  Сформируйте модель угроз
–  Сформулируйте требования по безопасности
–  Пересмотрите собственные процессы обеспечения ИБ
–  Проведите обучение пользователей
–  Продумайте процедуры контроля облачного провайдера
–  Юридическая проработка взаимодействия с облачным
провайдером
•  Стратегия выбора аутсорсера
–  Чеклист оценки ИБ облачного провайдера
–  Посмотрите мою презентацию с прошлого ИноБЕРЕГа
Cisco Cloud Risk Assessment Framework
31
R1: Data Risk
and
Accountability
R2: User Identity
R3: Regulatory
Compliance
R4: Business
Continuity &
Resiliency
R5: User Privacy
& Secondary
Usage of Data
R6: Service &
Data Integration
R7: Multi-
tenancy &
Physical
Security
R8: Incident
Analysis &
Forensics
R9:
Infrastructure
Security
R10: Non-
production
Environment
Exposure
Выбор облачного провайдера с точки зрения ИБ
•  Защита данных и обеспечение privacy
•  Управление уязвимостями
•  Управление identity
•  Объектовая охрана и персонал
•  Доступность и производительность
•  Безопасность приложений
•  Управление инцидентами
•  Непрерывность бизнеса и восстановление после катастроф
•  Ведение журналов регистрации (eDiscovery)
•  Сompliance
•  Финансовые гарантии
•  Завершение контракта
•  Интеллектуальная собственность
© Cisco и (или) дочерние компании, 2011 г. Все права защищены. Общедоступная информация CiscoBRKSEC-1065 33
Благодарю вас
за внимание
security-request@cisco.com

More Related Content

What's hot

Финансовое обоснование инвестиций в ИБ банка
Финансовое обоснование инвестиций в ИБ банкаФинансовое обоснование инвестиций в ИБ банка
Финансовое обоснование инвестиций в ИБ банкаAleksey Lukatskiy
 
Особенности построения национальных центров мониторинга киберугроз
Особенности построения национальных центров мониторинга киберугрозОсобенности построения национальных центров мониторинга киберугроз
Особенности построения национальных центров мониторинга киберугрозAleksey Lukatskiy
 
Безопасность мобильного доступа: пошаговое руководство
Безопасность мобильного доступа: пошаговое руководствоБезопасность мобильного доступа: пошаговое руководство
Безопасность мобильного доступа: пошаговое руководствоAleksey Lukatskiy
 
13 советов, от которых зависит успешность вашего SOC
13 советов, от которых зависит успешность вашего SOC13 советов, от которых зависит успешность вашего SOC
13 советов, от которых зависит успешность вашего SOCAleksey Lukatskiy
 
Измерение эффективности SOC. 3 года спустя
Измерение эффективности SOC. 3 года спустяИзмерение эффективности SOC. 3 года спустя
Измерение эффективности SOC. 3 года спустяAleksey Lukatskiy
 
Построение центра мониторинга и управления безопасностью Cisco
Построение центра мониторинга и управления безопасностью CiscoПостроение центра мониторинга и управления безопасностью Cisco
Построение центра мониторинга и управления безопасностью CiscoAleksey Lukatskiy
 
17 способов проникновения во внутреннюю сеть компании
17 способов проникновения во внутреннюю сеть компании17 способов проникновения во внутреннюю сеть компании
17 способов проникновения во внутреннюю сеть компанииAleksey Lukatskiy
 
Solar Security. Андрей Прозоров. "5 "почему" аутсорсинга ИБ"
Solar Security. Андрей Прозоров. "5 "почему" аутсорсинга ИБ"Solar Security. Андрей Прозоров. "5 "почему" аутсорсинга ИБ"
Solar Security. Андрей Прозоров. "5 "почему" аутсорсинга ИБ"Expolink
 
Дашборды по ИБ для топ-менеджмента
Дашборды по ИБ для топ-менеджментаДашборды по ИБ для топ-менеджмента
Дашборды по ИБ для топ-менеджментаAleksey Lukatskiy
 
Fortinet корпоративная фабрика безопасности
Fortinet корпоративная фабрика безопасностиFortinet корпоративная фабрика безопасности
Fortinet корпоративная фабрика безопасностиDiana Frolova
 
Что движет кибербезопасностью на вашем предприятии?
Что движет кибербезопасностью на вашем предприятии?Что движет кибербезопасностью на вашем предприятии?
Что движет кибербезопасностью на вашем предприятии?Aleksey Lukatskiy
 
Аутсорсинг. Управление рисками информационной безопасности
Аутсорсинг. Управление рисками информационной безопасностиАутсорсинг. Управление рисками информационной безопасности
Аутсорсинг. Управление рисками информационной безопасностиAleksey Lukatskiy
 
Внутренний маркетинг информационной безопасности
Внутренний маркетинг информационной безопасностиВнутренний маркетинг информационной безопасности
Внутренний маркетинг информационной безопасностиAleksey Lukatskiy
 
Чеклист организации, выстраивающей стратегию безопасного удаленного доступа
Чеклист организации, выстраивающей стратегию безопасного удаленного доступаЧеклист организации, выстраивающей стратегию безопасного удаленного доступа
Чеклист организации, выстраивающей стратегию безопасного удаленного доступаAleksey Lukatskiy
 
Astana r-vision20161028
Astana r-vision20161028Astana r-vision20161028
Astana r-vision20161028Diana Frolova
 
Тенденции, влияющие на информационную безопасность
Тенденции, влияющие на информационную безопасностьТенденции, влияющие на информационную безопасность
Тенденции, влияющие на информационную безопасностьAleksey Lukatskiy
 
Глобальные системы предотвращения атак: международный опыт
Глобальные системы предотвращения атак: международный опытГлобальные системы предотвращения атак: международный опыт
Глобальные системы предотвращения атак: международный опытAleksey Lukatskiy
 
Уральский форум по банковской ИБ за 15 минут
Уральский форум по банковской ИБ за 15 минутУральский форум по банковской ИБ за 15 минут
Уральский форум по банковской ИБ за 15 минутAleksey Lukatskiy
 
Презентация по ИБ для руководства компании
Презентация по ИБ для руководства компанииПрезентация по ИБ для руководства компании
Презентация по ИБ для руководства компанииAleksey Lukatskiy
 
Кибербезопасность и искусственный интеллект
Кибербезопасность и искусственный интеллект Кибербезопасность и искусственный интеллект
Кибербезопасность и искусственный интеллект Aleksey Lukatskiy
 

What's hot (20)

Финансовое обоснование инвестиций в ИБ банка
Финансовое обоснование инвестиций в ИБ банкаФинансовое обоснование инвестиций в ИБ банка
Финансовое обоснование инвестиций в ИБ банка
 
Особенности построения национальных центров мониторинга киберугроз
Особенности построения национальных центров мониторинга киберугрозОсобенности построения национальных центров мониторинга киберугроз
Особенности построения национальных центров мониторинга киберугроз
 
Безопасность мобильного доступа: пошаговое руководство
Безопасность мобильного доступа: пошаговое руководствоБезопасность мобильного доступа: пошаговое руководство
Безопасность мобильного доступа: пошаговое руководство
 
13 советов, от которых зависит успешность вашего SOC
13 советов, от которых зависит успешность вашего SOC13 советов, от которых зависит успешность вашего SOC
13 советов, от которых зависит успешность вашего SOC
 
Измерение эффективности SOC. 3 года спустя
Измерение эффективности SOC. 3 года спустяИзмерение эффективности SOC. 3 года спустя
Измерение эффективности SOC. 3 года спустя
 
Построение центра мониторинга и управления безопасностью Cisco
Построение центра мониторинга и управления безопасностью CiscoПостроение центра мониторинга и управления безопасностью Cisco
Построение центра мониторинга и управления безопасностью Cisco
 
17 способов проникновения во внутреннюю сеть компании
17 способов проникновения во внутреннюю сеть компании17 способов проникновения во внутреннюю сеть компании
17 способов проникновения во внутреннюю сеть компании
 
Solar Security. Андрей Прозоров. "5 "почему" аутсорсинга ИБ"
Solar Security. Андрей Прозоров. "5 "почему" аутсорсинга ИБ"Solar Security. Андрей Прозоров. "5 "почему" аутсорсинга ИБ"
Solar Security. Андрей Прозоров. "5 "почему" аутсорсинга ИБ"
 
Дашборды по ИБ для топ-менеджмента
Дашборды по ИБ для топ-менеджментаДашборды по ИБ для топ-менеджмента
Дашборды по ИБ для топ-менеджмента
 
Fortinet корпоративная фабрика безопасности
Fortinet корпоративная фабрика безопасностиFortinet корпоративная фабрика безопасности
Fortinet корпоративная фабрика безопасности
 
Что движет кибербезопасностью на вашем предприятии?
Что движет кибербезопасностью на вашем предприятии?Что движет кибербезопасностью на вашем предприятии?
Что движет кибербезопасностью на вашем предприятии?
 
Аутсорсинг. Управление рисками информационной безопасности
Аутсорсинг. Управление рисками информационной безопасностиАутсорсинг. Управление рисками информационной безопасности
Аутсорсинг. Управление рисками информационной безопасности
 
Внутренний маркетинг информационной безопасности
Внутренний маркетинг информационной безопасностиВнутренний маркетинг информационной безопасности
Внутренний маркетинг информационной безопасности
 
Чеклист организации, выстраивающей стратегию безопасного удаленного доступа
Чеклист организации, выстраивающей стратегию безопасного удаленного доступаЧеклист организации, выстраивающей стратегию безопасного удаленного доступа
Чеклист организации, выстраивающей стратегию безопасного удаленного доступа
 
Astana r-vision20161028
Astana r-vision20161028Astana r-vision20161028
Astana r-vision20161028
 
Тенденции, влияющие на информационную безопасность
Тенденции, влияющие на информационную безопасностьТенденции, влияющие на информационную безопасность
Тенденции, влияющие на информационную безопасность
 
Глобальные системы предотвращения атак: международный опыт
Глобальные системы предотвращения атак: международный опытГлобальные системы предотвращения атак: международный опыт
Глобальные системы предотвращения атак: международный опыт
 
Уральский форум по банковской ИБ за 15 минут
Уральский форум по банковской ИБ за 15 минутУральский форум по банковской ИБ за 15 минут
Уральский форум по банковской ИБ за 15 минут
 
Презентация по ИБ для руководства компании
Презентация по ИБ для руководства компанииПрезентация по ИБ для руководства компании
Презентация по ИБ для руководства компании
 
Кибербезопасность и искусственный интеллект
Кибербезопасность и искусственный интеллект Кибербезопасность и искусственный интеллект
Кибербезопасность и искусственный интеллект
 

Viewers also liked

Модель зрелости процесса (мониторинг и оценка ИБ)
Модель зрелости процесса (мониторинг и оценка ИБ) Модель зрелости процесса (мониторинг и оценка ИБ)
Модель зрелости процесса (мониторинг и оценка ИБ) Andrey Prozorov, CISM, CIPP/E, CDPSE. LA 27001
 
Проблемы безопасной разработки и поддержки импортных средств защиты информации
Проблемы безопасной разработки и поддержки импортных средств защиты информацииПроблемы безопасной разработки и поддержки импортных средств защиты информации
Проблемы безопасной разработки и поддержки импортных средств защиты информацииAleksey Lukatskiy
 
Как обосновать затраты на ИБ?
Как обосновать затраты на ИБ?Как обосновать затраты на ИБ?
Как обосновать затраты на ИБ?Aleksey Lukatskiy
 
Риски использования облачных технологий
Риски использования облачных технологийРиски использования облачных технологий
Риски использования облачных технологийabondarenko
 
Доктор Веб. Максим Кузнецов. "Почему необходимо обеспечивать защиту почтового...
Доктор Веб. Максим Кузнецов. "Почему необходимо обеспечивать защиту почтового...Доктор Веб. Максим Кузнецов. "Почему необходимо обеспечивать защиту почтового...
Доктор Веб. Максим Кузнецов. "Почему необходимо обеспечивать защиту почтового...Expolink
 
SearchInform. Сергей Ананич. "Нестандартные методы применения DLP-систем в би...
SearchInform. Сергей Ананич. "Нестандартные методы применения DLP-систем в би...SearchInform. Сергей Ананич. "Нестандартные методы применения DLP-систем в би...
SearchInform. Сергей Ананич. "Нестандартные методы применения DLP-систем в би...Expolink
 
IT-Task. Дмитрий Ильин. "SIEM как головной мозг системы обеспечения информаци...
IT-Task. Дмитрий Ильин. "SIEM как головной мозг системы обеспечения информаци...IT-Task. Дмитрий Ильин. "SIEM как головной мозг системы обеспечения информаци...
IT-Task. Дмитрий Ильин. "SIEM как головной мозг системы обеспечения информаци...Expolink
 
Fortinet. Юрий Захаров. "Проблемы защиты корпоративного периметра"
Fortinet. Юрий Захаров. "Проблемы защиты корпоративного периметра"Fortinet. Юрий Захаров. "Проблемы защиты корпоративного периметра"
Fortinet. Юрий Захаров. "Проблемы защиты корпоративного периметра"Expolink
 
FortiGate – устройство комплексной сетевой безопасности
FortiGate – устройство комплексной сетевой безопасностиFortiGate – устройство комплексной сетевой безопасности
FortiGate – устройство комплексной сетевой безопасностиSergey Malchikov
 

Viewers also liked (12)

moodle
 moodle moodle
moodle
 
Artem ITEA-2015
Artem ITEA-2015Artem ITEA-2015
Artem ITEA-2015
 
Модель зрелости процесса (мониторинг и оценка ИБ)
Модель зрелости процесса (мониторинг и оценка ИБ) Модель зрелости процесса (мониторинг и оценка ИБ)
Модель зрелости процесса (мониторинг и оценка ИБ)
 
Проблемы безопасной разработки и поддержки импортных средств защиты информации
Проблемы безопасной разработки и поддержки импортных средств защиты информацииПроблемы безопасной разработки и поддержки импортных средств защиты информации
Проблемы безопасной разработки и поддержки импортных средств защиты информации
 
Как обосновать затраты на ИБ?
Как обосновать затраты на ИБ?Как обосновать затраты на ИБ?
Как обосновать затраты на ИБ?
 
Риски использования облачных технологий
Риски использования облачных технологийРиски использования облачных технологий
Риски использования облачных технологий
 
Доктор Веб. Максим Кузнецов. "Почему необходимо обеспечивать защиту почтового...
Доктор Веб. Максим Кузнецов. "Почему необходимо обеспечивать защиту почтового...Доктор Веб. Максим Кузнецов. "Почему необходимо обеспечивать защиту почтового...
Доктор Веб. Максим Кузнецов. "Почему необходимо обеспечивать защиту почтового...
 
SearchInform. Сергей Ананич. "Нестандартные методы применения DLP-систем в би...
SearchInform. Сергей Ананич. "Нестандартные методы применения DLP-систем в би...SearchInform. Сергей Ананич. "Нестандартные методы применения DLP-систем в би...
SearchInform. Сергей Ананич. "Нестандартные методы применения DLP-систем в би...
 
IT-Task. Дмитрий Ильин. "SIEM как головной мозг системы обеспечения информаци...
IT-Task. Дмитрий Ильин. "SIEM как головной мозг системы обеспечения информаци...IT-Task. Дмитрий Ильин. "SIEM как головной мозг системы обеспечения информаци...
IT-Task. Дмитрий Ильин. "SIEM как головной мозг системы обеспечения информаци...
 
Fortinet. Юрий Захаров. "Проблемы защиты корпоративного периметра"
Fortinet. Юрий Захаров. "Проблемы защиты корпоративного периметра"Fortinet. Юрий Захаров. "Проблемы защиты корпоративного периметра"
Fortinet. Юрий Захаров. "Проблемы защиты корпоративного периметра"
 
FortiGate – устройство комплексной сетевой безопасности
FortiGate – устройство комплексной сетевой безопасностиFortiGate – устройство комплексной сетевой безопасности
FortiGate – устройство комплексной сетевой безопасности
 
пр Спроси эксперта про прогнозы ИБ
пр Спроси эксперта про прогнозы ИБпр Спроси эксперта про прогнозы ИБ
пр Спроси эксперта про прогнозы ИБ
 

Similar to Почему в России нельзя обеспечить ИБ облаков?

Mikhail Kader - Можно ли обеспечить безопасность облачных вычислений? #uisgcon9
Mikhail Kader - Можно ли обеспечить безопасность облачных вычислений? #uisgcon9Mikhail Kader - Можно ли обеспечить безопасность облачных вычислений? #uisgcon9
Mikhail Kader - Можно ли обеспечить безопасность облачных вычислений? #uisgcon9UISGCON
 
CloudsNN 2014. Денис Безкоровайный. SecaaS или безопасность из облака — как з...
CloudsNN 2014. Денис Безкоровайный. SecaaS или безопасность из облака — как з...CloudsNN 2014. Денис Безкоровайный. SecaaS или безопасность из облака — как з...
CloudsNN 2014. Денис Безкоровайный. SecaaS или безопасность из облака — как з...Clouds NN
 
Oracle. Гусаков Алексей. "Защита информации, новые возможности для бизнеса и ...
Oracle. Гусаков Алексей. "Защита информации, новые возможности для бизнеса и ...Oracle. Гусаков Алексей. "Защита информации, новые возможности для бизнеса и ...
Oracle. Гусаков Алексей. "Защита информации, новые возможности для бизнеса и ...Expolink
 
Clouds NN 2012 Игорь Гормидоров "Организация защиты облачных сервисов и инфра...
Clouds NN 2012 Игорь Гормидоров "Организация защиты облачных сервисов и инфра...Clouds NN 2012 Игорь Гормидоров "Организация защиты облачных сервисов и инфра...
Clouds NN 2012 Игорь Гормидоров "Организация защиты облачных сервисов и инфра...Clouds NN
 
Cloud computing security
Cloud computing securityCloud computing security
Cloud computing securityAndriy Lysyuk
 
Обеспечение безопасности при использовании облачных вычислений
Обеспечение безопасности при использовании облачных вычисленийОбеспечение безопасности при использовании облачных вычислений
Обеспечение безопасности при использовании облачных вычисленийAleksei Goldbergs
 
Аналитика в ЦОД
Аналитика в ЦОДАналитика в ЦОД
Аналитика в ЦОДCisco Russia
 
CloudsNN 2014. Андрей Бешков. Защита ваших данных в Office 365.
CloudsNN 2014. Андрей Бешков. Защита ваших данных в Office 365.CloudsNN 2014. Андрей Бешков. Защита ваших данных в Office 365.
CloudsNN 2014. Андрей Бешков. Защита ваших данных в Office 365.Clouds NN
 
Clouds NN 2012 Антон Коробейников Nvision Group
Clouds NN 2012 Антон Коробейников Nvision GroupClouds NN 2012 Антон Коробейников Nvision Group
Clouds NN 2012 Антон Коробейников Nvision GroupClouds NN
 
ARinteg: Защита сетевого периметра
ARinteg: Защита сетевого периметраARinteg: Защита сетевого периметра
ARinteg: Защита сетевого периметраExpolink
 
Повышение доверия и обеспечение безопасности использования облачных сервисов ...
Повышение доверия и обеспечение безопасности использования облачных сервисов ...Повышение доверия и обеспечение безопасности использования облачных сервисов ...
Повышение доверия и обеспечение безопасности использования облачных сервисов ...Positive Hack Days
 
Облачные услуги ActiveCloud. Вопросы к SLA
Облачные услуги ActiveCloud. Вопросы к SLAОблачные услуги ActiveCloud. Вопросы к SLA
Облачные услуги ActiveCloud. Вопросы к SLAActiveCloud
 
Безопасность гибридных облаков
Безопасность гибридных облаковБезопасность гибридных облаков
Безопасность гибридных облаковAndrey Beshkov
 
CloudsNN 2014. Владимир Юнев. Безопасность облака Microsoft снаружи и изнутри...
CloudsNN 2014. Владимир Юнев. Безопасность облака Microsoft снаружи и изнутри...CloudsNN 2014. Владимир Юнев. Безопасность облака Microsoft снаружи и изнутри...
CloudsNN 2014. Владимир Юнев. Безопасность облака Microsoft снаружи и изнутри...Clouds NN
 
Защита центров обработки данных. Механизмы безопасности для классической фабр...
Защита центров обработки данных. Механизмы безопасности для классической фабр...Защита центров обработки данных. Механизмы безопасности для классической фабр...
Защита центров обработки данных. Механизмы безопасности для классической фабр...Cisco Russia
 
Программа Cisco Powered Service Providers. Типы сервисов, модели использования
Программа Cisco Powered Service Providers. Типы сервисов, модели использованияПрограмма Cisco Powered Service Providers. Типы сервисов, модели использования
Программа Cisco Powered Service Providers. Типы сервисов, модели использованияCisco Russia
 
Программа Cisco Powered Service Providers. Типы сервисов, модели использования
Программа Cisco Powered Service Providers. Типы сервисов, модели использованияПрограмма Cisco Powered Service Providers. Типы сервисов, модели использования
Программа Cisco Powered Service Providers. Типы сервисов, модели использованияCisco Russia
 
Безопасность SaaS. Безкоровайный. RISSPA. CloudConf
Безопасность SaaS. Безкоровайный. RISSPA. CloudConfБезопасность SaaS. Безкоровайный. RISSPA. CloudConf
Безопасность SaaS. Безкоровайный. RISSPA. CloudConfDenis Bezkorovayny
 
Oracle Cloud Computing portfolio and strategy
Oracle Cloud Computing portfolio and strategyOracle Cloud Computing portfolio and strategy
Oracle Cloud Computing portfolio and strategyAndrey Akulov
 
Cloud Services Russia 2012, RISSPA
Cloud Services Russia 2012, RISSPACloud Services Russia 2012, RISSPA
Cloud Services Russia 2012, RISSPADenis Bezkorovayny
 

Similar to Почему в России нельзя обеспечить ИБ облаков? (20)

Mikhail Kader - Можно ли обеспечить безопасность облачных вычислений? #uisgcon9
Mikhail Kader - Можно ли обеспечить безопасность облачных вычислений? #uisgcon9Mikhail Kader - Можно ли обеспечить безопасность облачных вычислений? #uisgcon9
Mikhail Kader - Можно ли обеспечить безопасность облачных вычислений? #uisgcon9
 
CloudsNN 2014. Денис Безкоровайный. SecaaS или безопасность из облака — как з...
CloudsNN 2014. Денис Безкоровайный. SecaaS или безопасность из облака — как з...CloudsNN 2014. Денис Безкоровайный. SecaaS или безопасность из облака — как з...
CloudsNN 2014. Денис Безкоровайный. SecaaS или безопасность из облака — как з...
 
Oracle. Гусаков Алексей. "Защита информации, новые возможности для бизнеса и ...
Oracle. Гусаков Алексей. "Защита информации, новые возможности для бизнеса и ...Oracle. Гусаков Алексей. "Защита информации, новые возможности для бизнеса и ...
Oracle. Гусаков Алексей. "Защита информации, новые возможности для бизнеса и ...
 
Clouds NN 2012 Игорь Гормидоров "Организация защиты облачных сервисов и инфра...
Clouds NN 2012 Игорь Гормидоров "Организация защиты облачных сервисов и инфра...Clouds NN 2012 Игорь Гормидоров "Организация защиты облачных сервисов и инфра...
Clouds NN 2012 Игорь Гормидоров "Организация защиты облачных сервисов и инфра...
 
Cloud computing security
Cloud computing securityCloud computing security
Cloud computing security
 
Обеспечение безопасности при использовании облачных вычислений
Обеспечение безопасности при использовании облачных вычисленийОбеспечение безопасности при использовании облачных вычислений
Обеспечение безопасности при использовании облачных вычислений
 
Аналитика в ЦОД
Аналитика в ЦОДАналитика в ЦОД
Аналитика в ЦОД
 
CloudsNN 2014. Андрей Бешков. Защита ваших данных в Office 365.
CloudsNN 2014. Андрей Бешков. Защита ваших данных в Office 365.CloudsNN 2014. Андрей Бешков. Защита ваших данных в Office 365.
CloudsNN 2014. Андрей Бешков. Защита ваших данных в Office 365.
 
Clouds NN 2012 Антон Коробейников Nvision Group
Clouds NN 2012 Антон Коробейников Nvision GroupClouds NN 2012 Антон Коробейников Nvision Group
Clouds NN 2012 Антон Коробейников Nvision Group
 
ARinteg: Защита сетевого периметра
ARinteg: Защита сетевого периметраARinteg: Защита сетевого периметра
ARinteg: Защита сетевого периметра
 
Повышение доверия и обеспечение безопасности использования облачных сервисов ...
Повышение доверия и обеспечение безопасности использования облачных сервисов ...Повышение доверия и обеспечение безопасности использования облачных сервисов ...
Повышение доверия и обеспечение безопасности использования облачных сервисов ...
 
Облачные услуги ActiveCloud. Вопросы к SLA
Облачные услуги ActiveCloud. Вопросы к SLAОблачные услуги ActiveCloud. Вопросы к SLA
Облачные услуги ActiveCloud. Вопросы к SLA
 
Безопасность гибридных облаков
Безопасность гибридных облаковБезопасность гибридных облаков
Безопасность гибридных облаков
 
CloudsNN 2014. Владимир Юнев. Безопасность облака Microsoft снаружи и изнутри...
CloudsNN 2014. Владимир Юнев. Безопасность облака Microsoft снаружи и изнутри...CloudsNN 2014. Владимир Юнев. Безопасность облака Microsoft снаружи и изнутри...
CloudsNN 2014. Владимир Юнев. Безопасность облака Microsoft снаружи и изнутри...
 
Защита центров обработки данных. Механизмы безопасности для классической фабр...
Защита центров обработки данных. Механизмы безопасности для классической фабр...Защита центров обработки данных. Механизмы безопасности для классической фабр...
Защита центров обработки данных. Механизмы безопасности для классической фабр...
 
Программа Cisco Powered Service Providers. Типы сервисов, модели использования
Программа Cisco Powered Service Providers. Типы сервисов, модели использованияПрограмма Cisco Powered Service Providers. Типы сервисов, модели использования
Программа Cisco Powered Service Providers. Типы сервисов, модели использования
 
Программа Cisco Powered Service Providers. Типы сервисов, модели использования
Программа Cisco Powered Service Providers. Типы сервисов, модели использованияПрограмма Cisco Powered Service Providers. Типы сервисов, модели использования
Программа Cisco Powered Service Providers. Типы сервисов, модели использования
 
Безопасность SaaS. Безкоровайный. RISSPA. CloudConf
Безопасность SaaS. Безкоровайный. RISSPA. CloudConfБезопасность SaaS. Безкоровайный. RISSPA. CloudConf
Безопасность SaaS. Безкоровайный. RISSPA. CloudConf
 
Oracle Cloud Computing portfolio and strategy
Oracle Cloud Computing portfolio and strategyOracle Cloud Computing portfolio and strategy
Oracle Cloud Computing portfolio and strategy
 
Cloud Services Russia 2012, RISSPA
Cloud Services Russia 2012, RISSPACloud Services Russia 2012, RISSPA
Cloud Services Russia 2012, RISSPA
 

More from Aleksey Lukatskiy

4 сценария мониторинга ИБ изолированных промышленных площадок
4 сценария мониторинга ИБ изолированных промышленных площадок4 сценария мониторинга ИБ изолированных промышленных площадок
4 сценария мониторинга ИБ изолированных промышленных площадокAleksey Lukatskiy
 
Как ловить кибермафию с помощью DNS
Как ловить кибермафию с помощью DNSКак ловить кибермафию с помощью DNS
Как ловить кибермафию с помощью DNSAleksey Lukatskiy
 
От разрозненных фидов к целостной программе Threat intelligence
От разрозненных фидов к целостной программе Threat intelligenceОт разрозненных фидов к целостной программе Threat intelligence
От разрозненных фидов к целостной программе Threat intelligenceAleksey Lukatskiy
 
Дашборды по ИБ АСУ ТП
Дашборды по ИБ АСУ ТПДашборды по ИБ АСУ ТП
Дашборды по ИБ АСУ ТПAleksey Lukatskiy
 
Уральский форум 2020 за 15 минут
Уральский форум 2020 за 15 минутУральский форум 2020 за 15 минут
Уральский форум 2020 за 15 минутAleksey Lukatskiy
 
Кибербезопасность прорывных технологий
Кибербезопасность прорывных технологийКибербезопасность прорывных технологий
Кибербезопасность прорывных технологийAleksey Lukatskiy
 
Тенденции киберугроз. Что необходимо знать?
Тенденции киберугроз. Что необходимо знать?Тенденции киберугроз. Что необходимо знать?
Тенденции киберугроз. Что необходимо знать?Aleksey Lukatskiy
 
Новая концепция кибербезопасности Zero Trust
Новая концепция кибербезопасности Zero TrustНовая концепция кибербезопасности Zero Trust
Новая концепция кибербезопасности Zero TrustAleksey Lukatskiy
 
ICS Cyber Security Effectiveness Measurement
ICS Cyber Security Effectiveness MeasurementICS Cyber Security Effectiveness Measurement
ICS Cyber Security Effectiveness MeasurementAleksey Lukatskiy
 
Измерение эффективности ИБ промышленных систем
Измерение эффективности ИБ промышленных системИзмерение эффективности ИБ промышленных систем
Измерение эффективности ИБ промышленных системAleksey Lukatskiy
 
Один зеродей и тысяча ночей без сна
Один зеродей и тысяча ночей без снаОдин зеродей и тысяча ночей без сна
Один зеродей и тысяча ночей без снаAleksey Lukatskiy
 
17 способов опозорить ваш МСЭ и проникнуть в корпоративную сеть
17 способов опозорить ваш МСЭ и проникнуть в корпоративную сеть17 способов опозорить ваш МСЭ и проникнуть в корпоративную сеть
17 способов опозорить ваш МСЭ и проникнуть в корпоративную сетьAleksey Lukatskiy
 
Новинки нормотворчества по ИБ от Банка России
Новинки нормотворчества по ИБ от Банка РоссииНовинки нормотворчества по ИБ от Банка России
Новинки нормотворчества по ИБ от Банка РоссииAleksey Lukatskiy
 
Атрибуция кибератак
Атрибуция кибератакАтрибуция кибератак
Атрибуция кибератакAleksey Lukatskiy
 
Техническая защита персональных данных. Как соблюсти GDPR и ФЗ-152
Техническая защита персональных данных.Как соблюсти GDPR и ФЗ-152Техническая защита персональных данных.Как соблюсти GDPR и ФЗ-152
Техническая защита персональных данных. Как соблюсти GDPR и ФЗ-152Aleksey Lukatskiy
 
5 советов, от которых зависит успешность вашего SOC
5 советов, от которых зависит успешность вашего SOC5 советов, от которых зависит успешность вашего SOC
5 советов, от которых зависит успешность вашего SOCAleksey Lukatskiy
 
Применение блокчейна в кибербезопасности
Применение блокчейна в кибербезопасностиПрименение блокчейна в кибербезопасности
Применение блокчейна в кибербезопасностиAleksey Lukatskiy
 
Майндкарта по 239-му приказу ФСТЭК
Майндкарта по 239-му приказу ФСТЭКМайндкарта по 239-му приказу ФСТЭК
Майндкарта по 239-му приказу ФСТЭКAleksey Lukatskiy
 

More from Aleksey Lukatskiy (19)

4 сценария мониторинга ИБ изолированных промышленных площадок
4 сценария мониторинга ИБ изолированных промышленных площадок4 сценария мониторинга ИБ изолированных промышленных площадок
4 сценария мониторинга ИБ изолированных промышленных площадок
 
Как ловить кибермафию с помощью DNS
Как ловить кибермафию с помощью DNSКак ловить кибермафию с помощью DNS
Как ловить кибермафию с помощью DNS
 
От разрозненных фидов к целостной программе Threat intelligence
От разрозненных фидов к целостной программе Threat intelligenceОт разрозненных фидов к целостной программе Threat intelligence
От разрозненных фидов к целостной программе Threat intelligence
 
Дашборды по ИБ АСУ ТП
Дашборды по ИБ АСУ ТПДашборды по ИБ АСУ ТП
Дашборды по ИБ АСУ ТП
 
Уральский форум 2020 за 15 минут
Уральский форум 2020 за 15 минутУральский форум 2020 за 15 минут
Уральский форум 2020 за 15 минут
 
Кибербезопасность прорывных технологий
Кибербезопасность прорывных технологийКибербезопасность прорывных технологий
Кибербезопасность прорывных технологий
 
Тенденции киберугроз. Что необходимо знать?
Тенденции киберугроз. Что необходимо знать?Тенденции киберугроз. Что необходимо знать?
Тенденции киберугроз. Что необходимо знать?
 
Новая концепция кибербезопасности Zero Trust
Новая концепция кибербезопасности Zero TrustНовая концепция кибербезопасности Zero Trust
Новая концепция кибербезопасности Zero Trust
 
ICS Cyber Security Effectiveness Measurement
ICS Cyber Security Effectiveness MeasurementICS Cyber Security Effectiveness Measurement
ICS Cyber Security Effectiveness Measurement
 
Измерение эффективности ИБ промышленных систем
Измерение эффективности ИБ промышленных системИзмерение эффективности ИБ промышленных систем
Измерение эффективности ИБ промышленных систем
 
Один зеродей и тысяча ночей без сна
Один зеродей и тысяча ночей без снаОдин зеродей и тысяча ночей без сна
Один зеродей и тысяча ночей без сна
 
17 способов опозорить ваш МСЭ и проникнуть в корпоративную сеть
17 способов опозорить ваш МСЭ и проникнуть в корпоративную сеть17 способов опозорить ваш МСЭ и проникнуть в корпоративную сеть
17 способов опозорить ваш МСЭ и проникнуть в корпоративную сеть
 
От SOC v0.1 к SOC v2.0
От SOC v0.1 к SOC v2.0От SOC v0.1 к SOC v2.0
От SOC v0.1 к SOC v2.0
 
Новинки нормотворчества по ИБ от Банка России
Новинки нормотворчества по ИБ от Банка РоссииНовинки нормотворчества по ИБ от Банка России
Новинки нормотворчества по ИБ от Банка России
 
Атрибуция кибератак
Атрибуция кибератакАтрибуция кибератак
Атрибуция кибератак
 
Техническая защита персональных данных. Как соблюсти GDPR и ФЗ-152
Техническая защита персональных данных.Как соблюсти GDPR и ФЗ-152Техническая защита персональных данных.Как соблюсти GDPR и ФЗ-152
Техническая защита персональных данных. Как соблюсти GDPR и ФЗ-152
 
5 советов, от которых зависит успешность вашего SOC
5 советов, от которых зависит успешность вашего SOC5 советов, от которых зависит успешность вашего SOC
5 советов, от которых зависит успешность вашего SOC
 
Применение блокчейна в кибербезопасности
Применение блокчейна в кибербезопасностиПрименение блокчейна в кибербезопасности
Применение блокчейна в кибербезопасности
 
Майндкарта по 239-му приказу ФСТЭК
Майндкарта по 239-му приказу ФСТЭКМайндкарта по 239-му приказу ФСТЭК
Майндкарта по 239-му приказу ФСТЭК
 

Почему в России нельзя обеспечить ИБ облаков?

  • 1. Почему в России нельзя обеспечить безопасность облачных вычислений Лукацкий Алексей, консультант по безопасности
  • 2. У меня нет задачи остановить переход к облачным облакам – мы сами их используем повсеместно 2 Число CSP (400+) Sales Finance Manfacturing C&C Platform CDO Consumer IT Customer Service HR Acquisitions Cisco является одним из крупнейших в мире пользователей облачных услуг
  • 4. Три основных типа облака Публичное Гибридное Частное
  • 5. Составные части любого типа облака 5 Виртуализция Железо ПО Согласование (orchestration) Хранение Сервисы IaaS PaaS SaaS Сервисы Сервисы Сервисы Арендаторы Потребители Сеть Облачные сервисы Облачные вычисления Энерго- снабжение
  • 6. SaaS - наиболее популярная облачная модель IaaS •  Хранение •  Вычисления •  Управление сервисами •  Сеть, безопасность… PaaS •  Бизнес-аналитика •  Интеграция •  Разработка и тестирование •  Базы данных SaaS •  Биллинг •  Финансы •  Продажи •  CRM •  Продуктивность сотрудников •  HRM •  Управление контентом •  Унифицированные коммуникации •  Социальные сети •  Резервные копии •  Управление документами
  • 7. Ключевые риски при переходе к облакам •  Сетевая доступность •  Жизнеспособность (устойчивость) •  Непрерывность бизнеса и восстановление после сбоев •  Инциденты безопасности •  Прозрачность облачного провайдера •  Потеря физического контроля •  Новые риски и уязвимости •  Соответствие требованиям
  • 9. Что такое информационная безопасность? •  Сохранение конфиденциальности, целостности и доступности информации. Кроме того, также могут быть включены другие свойства, такие как аутентичность, подотчетность, неотказуемость и надежность –  ГОСТ Р ИСО/МЭК 27002 •  Цель информационной безопасности заключается в защите информации и информационных систем от несанкционированного доступа, использования, раскрытия, перебоев, изменения или уничтожения
  • 10. За счет чего достигается информационная безопасность? •  Информационная безопасность включает в себя –  Политика в области защиты –  Организация защиты информации –  Менеджмент активов –  Защита человеческих ресурсов –  Физическая безопасность и безопасность окружения –  Управление средствами связи и операциями –  Управление доступом –  Приобретение, разработка и поддержание в рабочем состоянии ИС –  Управление инцидентами –  Менеджмент непрерывности –  Соответствие требованиям
  • 12. На каком уровне вы способны обеспечивать безопасность в своей корпоративной сети уже сейчас? •  Вы можете гарантировать отсутствие закладок на аппаратном уровне? •  Вы защищаете и внутреннюю сеть или только периметр? •  Как у вас обстоит дело с защитой виртуализации? А SDN вы не внедряли еще? •  Вы знаете механизмы защиты своих операционных систем? А вы их используете? •  А механизмы защиты своих приложений вы знаете? А используете? •  А данные у вас классифицированы?
  • 13. Разные возможности по реализации системы защиты для разных сервисных моделей •  В зависимости от архитектуры облака часть функций защиты может решать сам потребитель самостоятельно IaaS Провайдер Заказчик VMs/Containers ОС/Приложения Данные PaaS Приложения Провайдер Заказчик Данные SaaS Провайдер
  • 14. Типы облачных моделей и средства защиты IaaS •  Заказчик облачных услуг может использовать любые средства защиты, устанавливаемые на предоставляемую аппаратную платформу PaaS •  Заказчик облачных услуг привязан к предоставляемой платформе •  Выбор СЗИ (особенно сертифицированных) ограничен и, как правило, лежит на облачном провайдере •  Заказчик может настраивать функции защиты приложений •  Компромисс между средствами защиты и облачными услугами SaaS •  Заказчик облачных услуг не имеет возможности по выбору средств и механизмов защиты облака •  Выбор лежит на облачном провайдере
  • 15. Особенности защиты IaaS Защитная мера Нюансы реализации (з / о) Политика в области защиты 50 / 50 Организация защиты информации 50 / 50 Менеджмент активов 50 / 50 Защита человеческих ресурсов 30 / 70 Физическая безопасность и безопасность окружения 0 / 100 Управление средствами связи и операциями 35 / 65 Управление доступом 60 / 40 Приобретение, разработка и поддержание в рабочем состоянии ИС 60 / 40 Управление инцидентами 60 / 40 Менеджмент непрерывности 30 / 70 Соответствие требованиям 70 / 30
  • 16. Защита IaaS: обратите внимание •  Ограничения на установку определенных средств защиты в инфраструктуру облачного провайдера •  Возможность установки собственных средств шифрования •  Экспорт из России средств шифрования –  На все площадки облачного провайдера в разных странах мира •  Обслуживание (замена) вышедших из строя средств защиты, особенно средств шифрования •  Защита данных при доступе с мобильных устройств –  Особенно в контексте шифрования трафика
  • 17. Особенности защиты PaaS Защитная мера Нюансы реализации (з / о) Политика в области защиты 30 / 70 Организация защиты информации 30 / 70 Менеджмент активов 30 / 70 Защита человеческих ресурсов 20 / 80 Физическая безопасность и безопасность окружения 0 / 100 Управление средствами связи и операциями 20 / 80 Управление доступом 30 / 70 Приобретение, разработка и поддержание в рабочем состоянии ИС 50 / 50 Управление инцидентами 45 / 55 Менеджмент непрерывности 20 / 80 Соответствие требованиям 55 / 45
  • 18. Защита PaaS: обратите внимание •  Насколько модель угроз и стандарты защиты облачного провайдера соответствуют вашим? –  Возможно ли привести их к общему знаменателю?
  • 19. Особенности защиты SaaS Защитная мера Нюансы реализации (з / о) Политика в области защиты 10 / 90 Организация защиты информации 5 / 95 Менеджмент активов 5 / 95 Защита человеческих ресурсов 5 / 95 Физическая безопасность и безопасность окружения 0 / 100 Управление средствами связи и операциями 0 / 100 Управление доступом 5 / 95 Приобретение, разработка и поддержание в рабочем состоянии ИС 0 / 100 Управление инцидентами 5 / 95 Менеджмент непрерывности 0 / 100 Соответствие требованиям 5 / 95
  • 20. Защита SaaS: обратите внимание •  Насколько модель угроз и стандарты защиты облачного провайдера соответствуют вашим? –  Возможно ли привести их к общему знаменателю? •  Как вообще вы можете повлиять на реализацию и эксплуатацию системы ИБ у облачного провайдера?
  • 21. Типы облаков с точки зрения ИБ и compliance Частное •  Управляется организацией или третьим лицом •  Обеспечение безопасности легко реализуемо •  Вопросы законодательного регулирования легко решаемы Публичное (локальное) •  Управляется одним юридическим лицом •  Обеспечение безопасности реализуемо средними усилиями •  Вопросы законодательного регулирования решаемы средними усилиями Публичное (глобальное) •  Управляется множеством юридических лиц •  Требования по безопасности различаются в разных странах •  Законодательные требования различаются в разных странах
  • 23. Возможности по контролю изменчивы 23 Публичное Гибридное Сообщество Частное Аутсорсинг Инсорсинг Внешнее Внутреннее Возможности по контролю меняются в зависимости от вида эксплуатации, расположения и типа облака
  • 24. В публичном облаке меньше контроля Частное облако Публичное облако Соответствие Предприятие Облачный провайдер Governance Предприятие Облачный провайдер Безопасность Предприятие Облачный провайдер Эксплуатация Предприятие Облачный провайдер Риски Предприятие Распределены между предприятием и облачным провайдером Владелец облака Предприятие или арендодатель Облачный провайдер Использование ограничено Предприятием Ничем 24
  • 25. НЕ ЗАБУДЬТЕ И ПРО ДРУГИЕ ВОПРОСЫ
  • 26. Обратите внимание и на другие вопросы •  Трансграничная передача персональных данных –  Потребует от заказчика облачных услуг получить письменное согласие субъекта персональных данных –  Реализация легального шифрования на площадках в разных странах мира –  Реализация легального шифрования на мобильных платформах •  Обработка государственных информационных ресурсов –  Облачный провайдер не может передавать ГИР за пределы России согласно 351-му Указу Президента –  Облачный провайдер должен соответствовать требованиям 17-го приказа ФСТЭК от 2013-го года –  Облачный провайдер должен использовать только сертифицированные средства защиты и(или) аттестовать свои ИС
  • 27. Обратите внимание и на другие вопросы •  Облачный провайдер обязан предоставить доступ спецслужбам, правоохранительным и судебным органам по мотивированному (или немотивированному) запросу –  А иногда облачный провайдер и не будет знать, что такой доступ имеется –  А вас он не обязан ставить в известность о таком доступе •  Контроль облачного провайдера –  Вам придется переориентироваться с собственной защиты на контроль чужой защиты –  На каком языке вы будете общаться с зарубежным облачным провайдером? •  Предоставление услуг по защите информации – это лицензируемый вид деятельности –  У облачного провайдера есть лицензии ФСТЭК и ФСБ?
  • 28. Изменение парадигмы ИБ регуляторов при переходе в публичное облако Один объект = один субъект Один объект = множество субъектов •  Защищать надо не только отдельных субъектов, но и взаимодействие между ними •  С учетом отсутствия контролируемой зоны и динамической модели предоставления сервиса
  • 29. ТАК ЧТО ЖЕ ВСЕ-ТАКИ ДЕЛАТЬ?
  • 30. Если вы все-таки решились •  Стратегия безопасности облачных вычислений –  Пересмотрите свой взгляд на понятие «периметра ИБ» –  Оцените риски – стратегические, операционные, юридические –  Сформируйте модель угроз –  Сформулируйте требования по безопасности –  Пересмотрите собственные процессы обеспечения ИБ –  Проведите обучение пользователей –  Продумайте процедуры контроля облачного провайдера –  Юридическая проработка взаимодействия с облачным провайдером •  Стратегия выбора аутсорсера –  Чеклист оценки ИБ облачного провайдера –  Посмотрите мою презентацию с прошлого ИноБЕРЕГа
  • 31. Cisco Cloud Risk Assessment Framework 31 R1: Data Risk and Accountability R2: User Identity R3: Regulatory Compliance R4: Business Continuity & Resiliency R5: User Privacy & Secondary Usage of Data R6: Service & Data Integration R7: Multi- tenancy & Physical Security R8: Incident Analysis & Forensics R9: Infrastructure Security R10: Non- production Environment Exposure
  • 32. Выбор облачного провайдера с точки зрения ИБ •  Защита данных и обеспечение privacy •  Управление уязвимостями •  Управление identity •  Объектовая охрана и персонал •  Доступность и производительность •  Безопасность приложений •  Управление инцидентами •  Непрерывность бизнеса и восстановление после катастроф •  Ведение журналов регистрации (eDiscovery) •  Сompliance •  Финансовые гарантии •  Завершение контракта •  Интеллектуальная собственность
  • 33. © Cisco и (или) дочерние компании, 2011 г. Все права защищены. Общедоступная информация CiscoBRKSEC-1065 33 Благодарю вас за внимание security-request@cisco.com