Как использовать сервисы Selectel для выполнения требований 152-ФЗ

Хранение и обработка персональных данных (ПДн) в облаке — удобное и гибкое решение. Однако практика показывает, что у компаний не всегда получается оптимизировать защиту такой информации. Меня зовут Марк Песков, я методолог по информационной безопасности ^[1] в Selectel. В этой статье расскажу, как организовать безопасную обработку персональных данных в облачной инфраструктуре и что учесть при разделении зон ответственности оператора и провайдера.

Используйте навигацию, если не хотите читать текст полностью:

→ С чего начать ^[2]
→ Кто участвует в реализации мер безопасности ^[3]
→ Что оператору ПДн стоит сделать на своей стороне ^[4]
→ Что дальше ^[5]

Сферу обработки и защиты персональных данных регулируют ф ^[6]едеральный закон №152 ^[6], подзаконные нормативно-правовые и методические документы. Поэтапное выполнение их требований и рекомендаций позволяет выстроить адекватную систему управления информационной безопасностью.

Прежде всего необходимо проанализировать, какие данные и в каком объеме обрабатывает ваш сервис. Особое внимание здесь стоит уделить персональным данным.

Следующий шаг — определить основные внешние и внутренние условия, особенности работы сервиса и решаемые задачи. К внешним условиям относятся ожидания и потребности пользователей и партнеров, применимые требования законодательства и т. д. К внутренним — например, стратегия развития сервиса. Особенности — то, что отличает его от других продуктов: стек технологий, архитектура и прочее.

Анализ поможет вам сформулировать два ключевых показателя.

• Уровень защищенности персональных данных. Определяется в соответствии с требованиями к защите персональных данных, которые изложены в постановлении правительства №1119 ^[7]. Подробности описаны в Академии Selectel ^[8].
• Угрозы безопасности персональных данных и их вероятные источники. Определяются в соответствии с методикой оценки угроз безопасности информации ^[9].

Теперь необходимо сформировать набор правовых, организационных и технических мер по обеспечению безопасности персональных данных. Всего таких мер 109, они объединены в 15 групп — подробное описание можно найти в приказе ФСТЭК России №21 ^[10].

Базовый набор мер безопасности формируется в зависимости от уровня защищенности персональных данных. Для четвертого (минимального) уровня их всего 27, а для первого (максимального) — 69.

Впрочем, состав мер может меняться. Например, если в информационной системе не применяются определенные технологии и процессы, связанные с ними меры могут быть исключены. И наоборот: если для системы актуальны определенные угрозы безопасности, для их нейтрализации могут быть добавлены дополнительные меры.

Группы мер по обеспечению безопасности персональных данных:

Все эти меры нужны, чтобы исключить любые несанкционированные действия с персональными данными. К таковым можно отнести случайное или умышленное уничтожение, изменение, блокирование, копирование, распространение, не связанные нормальной обработкой данных. При этом важно понимать, что защита ПДн — ответственность компании-оператора. Другими словами, кто собирает персональные данные, тот и отвечает за их безопасность. В то же время провайдер IT-услуг может обеспечить соблюдение части этих мер. Что именно можно поручить Selectel и как лучше организовать все процессы, разберем ниже.

Безопасность персональных данных в облачной инфраструктуре обеспечивают оператор персональных данных и провайдер IT-инфраструктуры. Границы зон ответственности могут сдвигаться в ту или иную сторону. Это зависит от модели предоставления облачных сервисов (инфраструктурных или платформенных) и особенностей реализации конкретных мер безопасности.

Например, практически все правовые и организационные меры безопасности оператор реализует самостоятельно. Он делает это на основе организационно-распорядительной документации, которая:

• распределяет среди сотрудников оператора обязанности и ответственность за сопровождение сервиса и обеспечение его безопасности,
• детально описывает процессы и единые правила использования средств безопасности.

Все организационные меры по защите технических средств для любого уровня защищенности ПДн полностью реализованы на стороне Selectel. Только сотрудники провайдера имеют физический доступ к оборудованию в дата-центрах. То есть базовый набор мер безопасности, реализуемых оператором, сокращается за счет разделения зон ответственности.

Схема разделения зон ответственности.

Оператор ПДн и IT-провайдер реализуют технические меры безопасности на разных технологических уровнях. При этом оператор может использовать функции и специализированные сервисы Selectel.

Здесь важно понимать: часть работы остается за оператором. Например, можно поручить провайдеру организацию инфраструктуры для идентификации и аутентификации пользователей. Но задачу разграничения доступов придется решать самому оператору.

Ниже рассмотрим шаги, которые вам нужно сделать, чтобы легко выполнить требования 152-ФЗ.

Идентификация, аутентификация и управление доступом

В системном и прикладном ПО, а также специализированных средствах защиты информации есть встроенные механизмы безопасности в части идентификации, аутентификации и контроля доступа. Из-за этого иногда думают, что оператору персональных данных достаточно использовать только их. Стоит помнить, что не менее важен контроль доступа на уровне панели управления и программного интерфейса API.

Базовый сервис Identity and Access Management (IAM) ^[11] — ролевая модель, которая позволяет создавать, изменять и удалять учетные записи, а также контролировать их доступ к управлению ресурсами. Федеративный доступ ^[12] дает возможность использовать в качестве источника данных о пользователях собственную систему управления – Identity Provider: Keycloak, ADFS и другие SAML-совместимые системы. Благодаря этому можно обойтись без дополнительной аутентификации в панели управления. Достаточно технологии единого входа – Single Sign-On (SSO).

В дополнение к IAM можно ограничить доступ к панели управления и API на уровне сети передачи данных: по IP-адресу или подсети. Подробнее это описано в документации ^[13].

По умолчанию при входе в панель управления включена двухфакторная аутентификация ^[14]. Мы рекомендуем не отключать ее, а также связываться с техподдержкой Selectel при любом подозрении на компрометацию учетной записи. Вход в панель управления с неизвестного IP-адреса будет зафиксирован в журнале авторизаций ^[15], а администратор аккаунта получит уведомление по электронной почте. В то же время компрометация может быть неявной, если у третьих лиц есть неконтролируемый доступ к данным аккаунта.

Файрвол в облачной платформе ^[16] и выделенном оборудовании ^[17] позволяет контролировать доступ к сетевым сервисам из интернета и в приватных сетях. С его помощью можно реализовать:

• фильтрацию IPv4-трафика для приватной подсети,
• открытие и закрытие определенных портов или их диапазонов,
• разрешение и запрет доступа с указанных IP-адресов или из подсетей с учетом состояния сетевых соединений.

Бывают и более сложные сценарии защиты сетевых сервисов. Например, обнаружение и предотвращение сетевых атак. Для их реализации вы можете арендовать межсетевой экран ^[18]. А для защиты веб-сервисов от атак на прикладном уровне (L7) воспользуйтесь сервисом Web Application Firewall ^[19] (WAF).

Чтобы было удобно ориентироваться в сервисах Selectel, связанных с идентификацией и аутентификацией учетных записей, мы собрали таблицу.

Обеспечение доступности

Доступность сервиса подразумевает, прежде всего, отказоустойчивость. Ее можно обеспечить с помощью резервирования компонентов в разных регионах и зонах доступности. Организовать доступ к этим компонентам из интернета и распределить нагрузку между ними поможет отказоустойчивый балансировщик нагрузки ^[24]. Он же обеспечивает защиту от DDoS-атак для всего входящего трафика на уровнях L3 и L4.

Резервные копии (бэкапы) выделенных ^[25] и облачных ^[26] серверов обеспечивают защиту от потери данных и быстрое восстановление работы сервиса. А при использовании облачных б ^[27]аз данных ^[27] резервное копирование ресурсов выполняется автоматически.

Ниже таблица, которая поможет разобраться в сервисах Selectel для обеспечения доступности сервисов и защиты средств виртуализации.

Контроль конфигураций

Для контроля изменений в конфигурации компонентов можно использовать сервис мониторинга открытых портов ^[31]. Он периодически сканирует диапазон сетевых адресов вашего проекта. При обнаружении новых открытых TCP-портов, которые не были помечены как доверенные, сервис отправляет уведомление администратору аккаунта по электронной почте или в Telegram. Это позволяет своевременно обнаружить подозрительную активность или ошибки, допущенные администратором при конфигурировании сетевых служб и файрвола.

Сервис мониторинга открытых портов Selectel помогает реализовать две меры безопасности:

• контроль работоспособности, параметров настройки и правильности функционирования программного обеспечения и средств защиты информации,
• защита архивных файлов, параметров настройки средств защиты информации и программного обеспечения и иных данных, не подлежащих изменению в процессе обработки персональных данных

Автоматизация управления ресурсами

Автоматизация управления ресурсами в больших проектах снижает влияние человеческого фактора на безопасность сервиса. Такие ошибки могут возникнуть, например, при конфигурировании ресурсов. К тому же, автоматизация позволяет без лишних действий документировать изменения конфигурации. А это уже реализация мер группы УКФ (управление конфигурацией информационной системы и системы защиты персональных данных).

Для управления конфигурациями ресурсов есть подход «инфраструктура как код ^[32]» (Infrastructure as Code, IaC). Он заключается в том, что все вычислительные ресурсы и изменения в них описываются кодом. Так можно исключить много ручных операций и настроек, как следствие — минимизировать риски ошибок. К тому же, подход позволяет описывать и применять эталонные конфигурации ресурсов с учетом требований безопасности.

Конфигурирование базовых параметров безопасности при создании виртуальных машин в панели управления можно упростить. Для этого есть механизм задания пользовательских параметров (поле User Data). Он позволяет либо автоматически выполнить заданный набор действий с помощью bash-скрипта, либо задать параметры конфигурации отдельных сервисов с помощью механизма cloud-init.

С помощью User Data можно, например, автоматически настроить параметры sshd еще до запуска виртуальной машины. К этим параметрам относятся:

• отключение возможности входа пользователя root,
• отключение аутентификации по паролю,
• добавление публичного ключа администратора в файл authorized_keys и т. д.

API Selectel в сочетании с Terraform, а также User Data в облачной платформе помогают реализовать две меры безопасности:

• управление изменениями конфигурации информационной системы и системы защиты персональных данных,
• документирование информации (данных) об изменениях в конфигурации информационной системы и системы защиты персональных данных.

Таким образом, конфигурирование ресурсов помогает оператору персональных данных реализовать часть мер безопасности в своей зоне ответственности еще на этапе создания виртуальных машин.

Резюме по мерам безопасности

При использовании инфраструктурных сервисов (IaaS) оператор ПДн реализует меры безопасности на уровне операционной системы и приложения. При использовании платформенных сервисов (PaaS) – только на уровне приложения.

Реализация следующих технических мер безопасности остается в зоне ответственности оператора ПДн.

• Идентификация и аутентификация субъектов и объектов доступа: управление персонифицированными учетными записями пользователей и их аутентификацию при попытках доступа к системе.
• Управление доступом: назначение пользователям прав доступа, ограничение количества попыток и способов входа в систему и т. д.
• Регистрация событий безопасности: настройка правил регистрации событий, сроков их хранения, доступа к файлам журналов и т. д. К событиям безопасности относятся, например, попытки доступа к системе, добавление и удаление учетных записей, изменение конфигураций, установка программных компонентов, доступ к файлам с конфиденциальной информацией, использование служебных утилит и т. д.
• Антивирусная защита.
• Обнаружение и предотвращение вторжений с использованием хостовых систем или путем интеграции в инфраструктуру (только для IaaS) специальных средств защиты уровня сети.
• Контроль и анализ защищенности персональных данных: использование сканеров безопасности или механизмов поиска уязвимостей.
• Обеспечение целостности информационной системы и персональных данных.
• Защита информационной системы, ее средств, систем связи и передачи данных на основе безопасных сетевых протоколов (HTTPS, SSH).

После реализации мер безопасности необходимо оценить их эффективность. Такую оценку оператор ПДн может провести самостоятельно или привлечь компанию-подрядчика. Обязательное требование для такой компании — наличие лицензии ФСТЭК России на деятельность по технической защите конфиденциальной информации.

Оценка эффективности может проводиться и в форме аттестации. Ее выполняет аккредитованная организация в соответствии с порядком, установленным ФСТЭК. В этом случае оператор должен применять средства защиты информации, имеющие сертификаты соответствия требованиям безопасности ФСТЭК или ФСБ. Аттестация обязательна только для государственных информационных систем. В иных случаях — по усмотрению оператора.

Однако иногда операторы все же должны провести аттестацию своей системы для выполнения условий договоров или подключения к некоторым государственным системам. К таким операторам часто относятся медицинские организации, разработчики B2G-сервисов, финансовые и страховые компании.

Selectel предоставляет по подписке средства защиты ^[33] от несанкционированного доступа на уровне выделенных или виртуальных серверов, а также модули доверенной загрузки и средства антивирусной защиты.

Для безопасного сетевого взаимодействия со своими ресурсами вы можете использовать ГОСТ VPN ^[34]. Услуга включает сертифицированные криптографические средства защиты.

Эффективность мер безопасности ^[35], которые реализованы Selectel, подтверждается результатами самостоятельной оценки эффективности или аттестатом соответствия требованиям безопасности.