«Безопасность облаков - опыт оператора связи»

2 Создана фокус группы по облачным вычислениям МСЭ-Т

3 Типы Communications as a service (CaaS) Cloud software as a service (SaaS) Network as a service (NaaS): Cloud infrastructure as a service (IaaS) Cloud platform as a service (PaaS) Desktop as a service (DaaS), Cloud communication centre, Service delivery platform as a service (SDPaaS)

4 Модели Private cloudHybrid cloud Public cloudCommunity cloud Модели облаков

5 Отчет фокус группы по облачным вычислениям МСЭ-Т. Часть 1 Приложение III Детали SLA для облачных вычислений

6 Жизненный цикл управления SLA для облачных вычислений «Мобильное облако»

7 Отчет фокус группы по облачным вычислениям МСЭ-Т. Часть 1 Так что там ? Направление описания безопасности в SLA Описание 1Соответствие поставщика услуги стандарту ИБ Имеет или не имеет поставщик услуг сертификат по системе управления информационной безопасностью, типа ISMS Certification Standards (Ver.2.0) ISO Существует ли одобренная модель угроз и модель действия нарушителей Есть ли одобренные процедуры нивелирования (до приемлемого уровня) риска ИБ при реализации описанных угроз 3Наличие процедур контроля ИБ Есть или нет система контроля инсталляции\обновления программного обеспечения снижающая риски заражения и утечки чувствительной информации

8 Отчет фокус группы по облачным вычислениям МСЭ-Т. Часть 1 Так что там ? Направление описания безопасности в SLA Описание 4Наличие защиты при передачи данных между элементами облачной архитектуры Обеспечивается или нет защита (шифрование) при обмене данными между элементами облака или между облаками 5Данные о местоположенииДанные хранятся на собственных площадках и\или на территории России 6Статус контроля файлов журналов Каким образом журналы проверяются на возможные воздействия злонамеренного кода, НСД и какие процедуры работают при обнаружении нарушения режима информационной безопасности.

9 Отчет фокус группы по облачным вычислениям МСЭ-Т. Часть 1 Так что там ? Направление описания безопасности в SLA Описание 7Время хранения файлов журнала Описание периода времени хранения и регламент работы в данный период, для подтверждения\расследования фактов нарушения Политики ИБ 8Статус управления контролями для блокировки злонамеренных действий нарушителя Описанные и утвержденные действенные контроли по снижению уровня риска нарушения Политики ИБ 9Статус защиты от DoS\DDoSНаличие эффективной защиты от атак типа DoS\DDoS с привлечением провайдера услуг связи. 10Статус защиты от внедрения злонамеренного кода Наличие обновляемой системы обнаружения и блокирования злонамеренного кода с записью в файлы журналирования

10 Безопасность и управление ресурсами Требования безопасности для облачных ресурсов включают – аутентификацию пользователей, управление идентификацией и доступом, защиту хранимых и передаваемых данных, градуированную изоляция ресурсов, мониторинг и аудит для анализа соответствия SLA, реагирования на инциденты, обеспечение конфиденциальности клиента, и полная переносимость и совместимость компонентов системы обеспечения безопасности. Описанные элементы: 1.Криптография. 2.Управление идентификацией. 3.Аудит всех ресурсов.

11 Что имеем ? Часть 5

12 Что имеем ? Часть 5

Ответ на вопрос - готовы мы к сервису защиты от оператора связи. Кто такой MSSP ? Managed VPN Managed Antivirus Managed FW Managed Mobile Devices Web secDDoS Log AnalysisIPS/IDS Identity manage Vulnerability Analysis

Пример

15

СПАСИБО ЗА ВНИМАНИЕ ! Дмитрий Костров Главный эксперт