С каждым годом всё чаще можно встретить новости о крупных утечках персональных данных. Поэтому компании всё больше задумываются о том, как обеспечить их безопасность. Особенно важен вопрос сохранности ПДн в облаке, где уровень влияния и контроля клиента значительно ниже, чем в локальных ресурсах. В статье сравним уровень защиты персональных данных в публичных и частных облаках.
Как решается вопрос в публичном облаке
Владелец может управлять виртуальным сервером, но физическое оборудование находится в ЦОДе и влиять на него никак не получится. Передача данных осуществляется через интернет, что также требует дополнительной защиты.
Защищённый канал связи. Безопасное соединение осуществляется с помощью VPN (виртуальная частная сеть). Все передаваемые данные шифруются (это может быть реализовано на аппаратном уровне или на программном), поэтому даже в том случае, если данные будут перехвачены, прочитать их не будет возможности.
Защита ОС. Важно, чтобы не была нарушена целостность системы и в процессе загрузки запускалась именно та ОС, которая была установлена. Помимо этого, доступ к системе должен выполняться по двухфакторной аутентификации.
Защита среды виртуализации. Чтобы обеспечить сохранность данных, нужна грамотная настройка прав доступа, обязательная аутентификация для всех, включая системных администраторов. Все события должны регистрироваться. Также необходимо регулярно выполнять резервное копирование системы, иметь средства аварийного восстановления. Обязательна антивирусная защита.
За соблюдение всех этих мер отвечает провайдер.
Зоны ответственности в публичном облаке
В публичном облаке владелец инфраструктуры отвечает только за то, что находится внутри его виртуального сервера. За всё остальное в границах публичного облака, отвечает провайдер.
Важно понимать, что если вы храните на своём сервере персональные данные, провайдер не является их оператором. Вообще для публичного облако аттестация не является обязательной. То есть клиент может только самостоятельно пройти аттестацию своей системы.
Отличие частного облака от публичного
Основное отличие частного облака от публичного заключается в том, что в публичном облаке ресурсы делятся между множеством различных проектов. В частном же облаке все физические ресурсы принадлежат одному клиенту.
В публичном облаке именно поставщик услуг контролирует инфраструктуру, решает, какое оборудование используется. Все настройки и решения типизированы, клиент мало на что может повлиять. По этой причине публичное облако подходит не для любых проектов. Также его лучше не использовать для хранения критичных данных.
В частном облаке есть возможности кастомизации, и, при необходимости, клиент может управлять инфраструктурой самостоятельно.
Зоны ответственности в частном облаке
Клиент отвечает за конфигурацию облака, за настройки межсетевого экрана, за VPN, за все данные, расположенные внутри виртуальной машины, управление и настройки доступа.
Провайдер, в свою очередь, отвечает за физическую безопасность «железа», помещений и инфраструктуры. Кроме того, в его зону ответственности входит защита ПО и сервисов.
Защита данных в частном облаке
В частном облаке владелец данных имеет больше возможностей для управления и контроля. Решения становятся более гибкими. При работе с персональными данными можно воспользоваться услугой «Облако ФЗ 152», чтобы получить аттестованное безопасное облако, в котором можно хранить данные любой категории.
Защита на уровне Дата-Центра. Уровень ЦОДа Tier III, наличие круглосуточной охраны и видеонаблюдения, контроль доступа, системы пожаротушения.
Защита на уровне вендора. Проработка внутренних документов, которые координируют процесс обработки персональных данных, назначение ответственных, определение требований по защите ПДн.
Защита на уровне ПО. Установка межсетевого экрана, антивируса, шифрование данных, средства для регистрации и учёта событий и др.
Частное облако даёт клиенту больше возможностей, чем публичное. Если вам нужно хранить чувствительные персональные данные, лучше остановиться на этом варианте.
