Дорожная карта облачной безопасности. Часть 2

Алексей Филатенков, начальник отдела ИБ, Открытые Технологии:  Затруднительно, на мой взгляд, оценить степень защищённости модели предоставления услуг, ибо все они ориентированы на работу с данными. Все модели подразумевают их обработку. Уместнее, на мой взгляд, говорить о степени доверия к поставщику услуг, а какую модель доставки сервисов он продаёт - это вопрос второй. Специфика инфобезопасности - в цепочке передачи прав ответственности провайдера перед конечным заказчиком. Например, чистый поставщик SaaS-услуг где-то должен арендовать, например, инфраструктуру как сервис и транслировать условия аренды и параметры безопасности, в том числе, заказчику.

Валерий Андреев, заместитель директора по науке и развитию, ЗАО ИВК: Начать следует, разумеется, с общего. Одним из наиболее специфических облачных свойств является виртуализация (по крайней мере, для облаков, использующих в составе решения и продукты компании VMware). Наличие уже одного этого свойства облака подводит рынок к решению ключевой проблемы - защиты виртуальной среды, исполненной на уровне гипервизора. Не так много ИБ-решений, работающих таким образом, и уж вовсе их практически полное отсутствие, имеющих легитимность на российском рынке ИБ. Дальнейший процесс оркестровки ресурсов в облаке для реализации конкретного вычислительного процесса (приложения) вовсе никак не легитимен, по причине отсутствия необходимой нормативно-правовой базы и полной растерянности регулятора.

Но и специфика, безусловно, имеется. Она связана с самой сутью каждой из моделей. Модель SaaS предусматривает предоставление пользователю необходимого набора приложений облака, так что в облаке пользователь хранит только данные. Все вопросы, связанные с обеспечением ИБ в отношении приложений, провайдер берет на себя. А вот данные пользователя он обязан защитить надлежащим образом, что он и гарантирует пользователю (и о чем доказывает регулятору). Здесь провайдеру необходимо представить средства контроля доступа к этим данным, средства сигнализации (при НСД к этим данным), средства, обеспечивающие конфиденциальность и целостность данных пользователя и пр.

Модель PaaS является основой для миграции в облака не данных, но приложений. К примеру, такой платформой может быть Microsoft.NET. Тогда провайдер, в первую очередь, обеспечивает доступ не к данным, а к сервисам единого вычислительного процесса, например, сервису хранения (SQL или иное). Здесь ключевым моментом являются возможности сервера приложений этой платформы, они различаются, и поэтому на сегодняшний день нет единого подхода к SLA в облаке. В части ИБ такая модель должна обеспечивать дополнительно к SaaS контроль доступа к этому самому серверу приложений со стороны процесса (приложения) пользователя, что напрямую упирается в особенности функционирования виртуальной среды. Таким образом, возникает два типа контроля доступа: пользователь-приложение (обеспечивается пользователем); приложение-сервер приложений (обеспечивается провайдером).

IaaS обеспечивает определенный набор общесистемных сервисов любому пользователю с произвольным приложением. Вопрос лишь в том, отвечают ли эти сервисы конкретным пользовательским реализациям, к примеру, в части ОС или СУБД. Так как сегодня имеется вполне конечное количество возможных реализаций, то проблемы портирования приложений пользователя в инфраструктуру облака решаемы на основе виртуализации и оркестровки сервисов облака. Но тогда пользователь отвечает за работоспособность и защищенность всей своей вычислительной среды, включая ОС, СУБД и прочие сервера. Провайдер разбирается лишь с обеспечением функционирования, надежности и доступности сервисов, обеспечиваемых пользователем самому себе. В части безопасности это простейший случай, когда провайдер должен защитить среду исполнения своего ЦОД. Основная нагрузка по ИБ падает на пользователя.

Александр Санин, коммерческий директор компании Avanpost: Модель SaaS отличается бОльшим уровнем безопасности, нежели PaaS и IaaS, связано это с несколькими факторами. Если говорить кратко, то для начала нужно отметить, что очень большой «проблемой» в безопасности являются сами пользователи. Т.е. если у пользователя на его устройстве, с которого он получает доступ в облако, нет никаких защитных механизмов гигиенического характера (антивирус, файервол, не стоят обновления системного ПО), то автоматически такой пользователь становится огромной угрозой. Теперь если говорить о моделях предоставления услуг в облачных сервисах, то как раз в модели SaaS такой пользователь является не такой уж страшной угрозой. Ведь SaaS сервис сильно ограничивает пользователя, и фактически оперирует только теми данными, которые пользователь сам же туда внес, не давая ему никакой возможности привнести в «облако» какой-то зловредный код. В моделях же PaaS или IaaS такой пользователь, чисто теоретически, может доставить куда больше проблем – ведь ограничений на то, что пользователь туда принесет, нет.

Лилия Павлова

ИКС