CC BY
241
39 (228) - 2013 УДК 004.056:061.68
УГРОЗЫ ИБЕЗОПАСНОСТЬ
АНАЛИЗ РИСКОВ БЕЗОПАСНОСТИ дАННЬ1Х В КОРПОРАТИВНЫХ СЕТЯХ КРЕДИТНО-ФИНАНСОВЫХ ОРГАНИЗАЦИЙ НА ОСНОВЕ ОБЛАЧНЫХ ВЫЧИСЛЕНИЙ*
А. В. ЦАРЕГОРОДЦЕВ, доктор технических наук, профессор, заведующий кафедрой информационной безопасности E-mail: AVTsaregorodtsev@fa.ru Финансовый университет при Правительстве РФ
В ответ на постоянно растущие потребности в хранении и обработке данных все большие позиции занимают информационно-телекоммуникационные системы, функционирующие на основе технологии облачных вычислений. При этом ключевым моментом при использовании облачных вычислений является проблема обеспечения информационной безопасности. В статье предложен подход к анализу рисков, используемый при принятии решения о миграции критичных данных в облачную инфраструктуру организации.
Ключевые слова: угрозы информационной безопасности, анализ информационных рисков, облачные вычисления, методы управления информационной безопасностью.
Введение. Среди приоритетных проблем научных исследований в области обеспечения информационной безопасности РФ, утвержденных Научным советом при Совете безопасности Российской Федерации, особую актуальность имеют следующие научно-технические проблемы.
Во-первых, исследование проблем выбора архитектуры и расчета параметров защищенных информационно-телекоммуникационных систем,
* Данная работа выполнена в рамках реализации Государственного задания Финансового университета при Правительстве РФ на 2013 г. и плановый период 2014 и 2015 гг.
математических моделей и технологий управления, системного и прикладного программного обеспечения с интеграцией функций защиты, средств взаимодействия, устройств передачи и распределения информации.
Современный уровень развития информационно-телекоммуникационных технологий делает доступными новые варианты развертывания ИТ-инфраструктуры организации, функционирующей в среде облачных вычислений. Облачные вычисления являются одной из самых привлекательных информационных технологий, предоставляющих многочисленные преимущества, среди которых в первую очередь можно выделить хорошую масштабируемость, доступность по запросу, возможность обработки распределенной информации.
Во-вторых, исследование проблем управления распределенными вычислительными процессами.
Виртуализация отличается возможностью оперативного и гибкого перераспределения ИТ-ресурсов между потребителями и очевидной экономией на масштабе, что и определяет неизбежность доминирования этого сервиса в корпоративных решениях. Последующее развитие ИТ показало, что логическими следствиями виртуализации являются аутсорсинг ИТ-сервисов и облачные вычисления, которые выступают как потенциальные мультипликаторы эффективности, достигнутой благодаря
- 35
сервисам виртуализации. Предварительные оценки экономии на облачных решениях свидетельствуют о возможности сокращения посредством «облаков» затрат на эксплуатацию ИТ в среднем на 60-70 %. Подобная экономия открывает возможность переключения высвобождаемых заметных финансовых и кадровых ресурсов на решение новых задач и соответствующую модернизацию экономик.
Однако и аутсорсинг, и, в особенности, облачные технологии с очевидностью требуют оценки дополнительных рисков в сфере информационной безопасности [1-4].
На сегодняшний день технологии облачных вычислений для финансовых институтов применяются в таких областях, как управление продажами, маркетингом, клиентским обслуживанием, а также управление конкретными финансовыми приложениями.
Несмотря на традиционно консервативный характер своего бизнеса, финансово-кредитные организации проявляют все больший интерес к облачным технологиям.
Облачные вычисления (cloud Computing) - активно продвигаемая и очень модная в последнее время область автоматизации и виртуализации ИТ-процессов. Cloud Computing являет собой результат эволюции ИТ и ИТ-приложений в бизнесе. Главной проблемой в использовании «облака» в банковской сфере остается вопрос безопасности.
Принцип работы публичного «облака» очень прост: вместо приобретения и установки собственных серверов для запуска приложений происходит аренда сервера у Microsoft, Amazon, Google или другой компании. Далее управление серверами происходит через Интернет, при этом оплачивается только фактическое их использование для обработки и хранения данных.
Эксперты Gartner Group полагают, что большинство ИТ-приложений переместится в 20152017 гг. в «облака» (которые в денежном выражении достигнут 200 млрд долл.). В России рынок облачных услуг может вырасти на 500 % и более (в денежном выражении - около 113 млн долл.).
Переход на облачные технологии дает банку возможность гибко менять инфраструктуру под потребности бизнеса.
Ряд крупнейших производителей банковских систем (Oracle, Temenos, Misys) предлагает основные банковские приложения с использованием облачных вычислений. Компании, оперирующие на рынках инвестиций, также активно применяют
технологии облачных вычислений, примером тому служит деятельность по управлению торговыми площадками фирмы Wall Street Systems.
Облачные вычисления идеально подходят для тестирования нагрузок на основные элементы банковских систем, что было продемонстрировано в ряде крупнейших банков КНР с использованием технологических решений компании Huawei Technologies. Другим примером является использование испанским банком Bankinter «облака» Amazon для моделирования и оценки кредитных рисков.
Объем использования решений на базе облачных вычислений в сфере финансовых услуг продолжает расти.
«В крупных и средних банках технологии облачных вычислений становятся все более востребованными, - рассказывает К. Милейшев (Нордеа Банк). - Это в большей степени частные «облака». Данные решения сейчас активно предлагаются крупными вендорами в разных вариантах, и банки, выбирая между классическим и облачным вариантами при расширении инфраструктуры, в ряде случаев останавливаются на втором».
Существуют три группы факторов, которые обусловливают такой рост. Во-первых, увеличившийся объем сделок, совершаемых банками на рынке. Во-вторых желание кредитно-финансовых организаций как можно точнее предсказывать риски и последствия сделок. Таким образом, создаются более сложные математические модели, требующие больших вычислительных мощностей. Третья группа факторов появилась в посткризисные годы в связи с возникновением новых, более сложных регуляторных требований, предъявляемых к банкам, - как раз по расчетам рисков, что увеличивает объемы необходимых вычислений.
На причины увеличения облачных вычислений в банковской сфере своеобразную точку зрения высказывает директор департамента ИТ СДМ-Банка О. Илюхин: «Основная причина - падение уровня квалификации ИТ-персонала. Если раньше ИТ-специалисты понимали работу ИТ-сервиса (например, АБС) «до винтиков» - от настройки сервера до конфигурации правил формирования проводок и отчетов, то сейчас отношения между пользователями и ИТ или ИТ-персоналом внутри ИТ-службы выстраиваются по принципу «Сделай так, чтобы это работало с определенным качеством, а остальное меня не волнует». А это уже переход в концепцию «облаков».
Можно назвать еще две главные причины, почему банкам интересны облачные технологии. Первая -
возможность платить за реально используемые вычислительные ресурсы, так называемый принцип «pay on demand». Так, по мнению экспертов, в течение банковского дня финансово-кредитная организация слабо использует вычислительные ресурсы. Банку же интересно проводить вычисления в какой-то конкретный промежуток времени, например по закрытии банковского дня, с тем чтобы результаты были готовы утром.
Вторая причина - разделение ресурсов. Облачные ресурсы могут быть поделены и использоваться одновременно несколькими департаментами или подразделениями банка. Таким образом, использование «облаков» приводит к снижению затрат банков на вычислительные ресурсы.
В настоящее время лидерами в банках по использованию вычислительных мощностей и количеству используемых серверов являются департаменты расчета рисков и цен: объемы расчетов постоянно растут, в сфере расчетов рисков и прогнозирования сценария дальнейшего развития применение облачных вычислений будет расширяться.
Итак, банки и финансовые учреждения готовы к внедрению технологий облачных вычислений. Основными сдерживающими моментами перехода на облачные технологии являются обеспечение безопасности обрабатываемых данных, отсутствие общепринятых стандартов на использование облачных технологий, не соответствующее требованиям финансовых институтов соглашение об уровне предоставления услуг, а также экономические обоснования перехода на облачные технологии.
Отставание законодательной базы. Российское законодательство, к большому сожалению, пока обходит вниманием облачные технологии. Исключением является несколько подзаконных правовых актов, упоминающих термин «облачные вычисления». Во-первых, это распоряжение Правительства РФ от 20.10.2010 N° 1815-р «О государственной программе Российской Федерации «Информационное общество (2011-2020 годы)». В подпрограмме «Информационное государство» в рамках развития электронного правительства предусмотрено создание национальной платформы облачных вычислений. Однако каких-либо пояснений относительно того, что же конкретно имеется в виду, в программе нет. Нет и четкого представления о том, что представляют собой эти самые облачные вычисления с позиции права. Вместе с тем уже само по себе включение в государственную программу позиции, предусматривающей создание
национальной платформы облачных вычислений в рамках развития электронного правительства, наглядно свидетельствует о том, что указанные технологии будут активно внедряться в сферу государственного и муниципального управления.
Второй правовой акт, упоминающий облачные вычисления, - это распоряжение Правительства РФ от 20.07.2011 № 1275-р, которым одобрена Концепция создания и развития государственной интегрированной информационной системы управления общественными финансами «Электронный бюджет». Установлены основные принципы создания технической архитектуры, которые должны соблюдаться при проектировании и разработке электронного бюджета. К ним, в частности, отнесено использование централизованных или облачных технологий хранения и обработки информации (предоставляемых пользователям как сервис).
Правовая неурегулированность вопросов создания и функционирования единой технологической платформы государственных информационных систем, стимулирования применения информационно-коммуникационных технологий в различных сферах государственного управления препятствует широкому и повсеместному внедрению новых технологий и созданию новых электронных сервисов.
Суть облачных вычислений сводится к тому, что вместо приобретения и использования собственной вычислительной техники осуществляется ее аренда (причем не только вычислительной техники) у компании, предоставляющей услуги на основе облачных технологий (облачного провайдера). «Облака», по сути, заменяют пользователям их собственную информационную инфраструктуру либо конкретную программно-аппаратную платформу, либо программное обеспечение. Пользователи используют арендованные мощности через Интернет, при этом оплачивают только фактическое их использование.
Вместе с тем не надо обольщаться, «облака» -вовсе не панацея от всех бед, облачные вычисления обладают и серьезными недостатками, которые связаны в первую очередь с передачей ряда функций облачному провайдеру и, как следствие, с потерей контроля за собственными данными.
Пользователь не имеет достаточной и достоверной информации, чтобы оценить безопасность используемых провайдером облачных технологий, степень гарантии сохранности своей информации.
Вместе с тем следует учитывать, что среди используемой для работы информации могут быть
и персональные данные, и тогда имеющийся в настоящее время подход вступает в противоречие с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных». Представляется, что или пользователю должно быть предоставлено средство для удаления своих же данных, или по его требованию это должен сделать оператор облачных технологий. Напомним, что в соответствии с нормами указанного закона обрабатываемые персональные данные должны быть уничтожены по достижении целей их обработки.
Существуют и другие проблемы, связанные с персональными данными в случае передачи их обработки облачному провайдеру. Так, если оператор персональных данных хочет обрабатывать персональные данные не самостоятельно, а воспользоваться услугами облачного провайдера, то для этого ему необходимо заручиться согласием субъекта персональных данных на обработку его данных третьей стороной -сервис-провайдером. В свою очередь, облачный провайдер должен обеспечить соблюдение всех тех требований, в том числе технических, которые установлены Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных». Ситуация резко усугубляется, если облачный провайдер не является российским лицом, а такая ситуация вполне реальна, поскольку многие облачные сервисы физически располагаются на зарубежных серверах.
«Облачная» классификация. В настоящее время существующую совокупность облачных сервисов принято разделять на три основные категории, которые в свою очередь могут подразделяться на более мелкие группы:
1) инфраструктура как сервис (Infrastructure as a
Service, IaaS);
2) платформа как сервис (Platform as a Service,
PaaS);
3) программное обеспечение как сервис (Software
as a Service, SaaS).
Инфраструктура как сервис, по сути, означает аренду вычислительных мощностей (не физически, а виртуально). Пользователю предоставляются виртуальный сервер с уникальным IP-адресом (или набором адресов), структура для хранения данных и возможность управления этим комплексом.
Платформа как сервис (PaaS) состоит из одного или нескольких виртуальных серверов с установленными операционными системами и специализированными приложениями, которые выбираются, исходя из интересов пользователя.
Программное обеспечение как сервис (SaaS) дает возможность пользоваться программным обеспечением провайдера, осуществляющего облачные вычисления удаленно через Интернет. Такой сервис позволяет не покупать программное обеспечение, а пользоваться им при возникновении необходимости с помощью различных клиентских устройств. В то же время контроль и управление физической и виртуальной инфраструктурой «облака» (в том числе сети, серверов, операционных систем, хранения) осуществляется облачным провайдером.
Национальный институт стандартов и технологий США выделяет следующие обязательные характеристики облачных вычислений:
• самообслуживание по требованию (self service on demand), при котором потребитель самостоятельно определяет и изменяет вычислительные потребности, такие как серверное время, скорости доступа и обработки данных, объем хранимых данных, без взаимодействия с представителем поставщика услуг;
• универсальный доступ по сети, при котором услуги доступны потребителям по сети передачи данных вне зависимости от используемого терминального устройства;
• объединение ресурсов (resource pooling), при котором поставщик услуг объединяет ресурсы для обслуживания большого числа потребителей в единый пул для динамичного перераспределения мощностей между потребителями в условиях постоянного изменения спроса на мощности. При этом потребители контролируют только основные параметры услуги (например, объем данных, скорость доступа), но фактическое распределение ресурсов, предоставляемых потребителю, осуществляет поставщик;
• эластичность, означающая, что услуги могут быть предоставлены, расширены, сужены в любой момент времени, без дополнительных издержек на взаимодействие с поставщиком, как правило, в автоматическом режиме;
• учет потребления и объема предоставленных потребителям услуг.
Как видим, все более широкое использование облачных технологий определяется их привлекательностью для пользователя, предоставлением ему явных выгод и преимуществ. Так, снижаются финансовые издержки, поскольку оплата услуг облачного провайдера и покупка собственной техники несопоставимы по уровню расходов. Кроме того, пользова-
тель получает и оплачивает услугу, только когда она ему необходима, и только в том объеме, который он использует. Таким образом, облачные технологии позволяют сократить расходы как на приобретение и модернизацию собственного оборудования, так и на приобретение, поддержку и модернизацию собственного программного обеспечения.
Привлекательность облачных вычислений связана как с организационными, так и с экономическими моментами. Для малого и среднего бизнеса, безусловно, принципиально, что ему предоставляется возможность не создавать собственные структуры, обеспечивающие необходимые вычисления, а использовать облачные технологии. Он, как потребитель информационных технологий, может существенно снизить капитальные расходы на создание центров обработки данных, закупку серверного и сетевого оборудования, аппаратных и программных решений.
Что касается крупных компаний, то они, сохраняя за собой собственные структуры, могут передавать облачному провайдеру выполнение отдельных функций (например, хранение архивов, фильтрация спама и др.).
Еще одна популярная услуга - электронная почта. Облачные технологии позволяют передать ее сервис-провайдеру, который обеспечивает ее своими силами. Не меньший интерес представляют резервное копирование и хранение архивов, которые сервис-провайдер также может взять на себя. Передавая сервис-провайдеру определенные функции, потребитель освобождает себя и от необходимости выполнения ряда сопутствующих им процедур (например, обновления программного обеспечения). Если при стандартных отношениях провайдер получает фиксированное вознаграждение за использование (или предоставление возможности использования) его вычислительных ресурсов за определенный промежуток времени независимо от реально использованного объема и времени, то в облачных технологиях применяется плата исключительно за фактическое использование, когда пользователь оплачивает только тот объем, который им действительно был использован за определенный промежуток времени.
Одним из основных факторов, сдерживающих внедрение технологий облачных вычислений, является гарантированная безопасность обрабатываемых данных. Решением, создающим предпосылки для повышения безопасности облачных вычислений, является разделение их на публичные и частные «облака».
Целью указанного разделения вычислений является обеспечение защиты конфиденциальных данных с возможностью различного сочетания публичных и частных облачных вычислений в зависимости от потребности организации.
Существуют следующие базовые варианты развертывания облачных сред.
Во-первых, частное (закрытое) «облако», используемое для сервисов внутри кредитно-финансовой организации, являющейся и заказчиком, и поставщиком услуг. Компания или банк создают «облако» для себя в рамках своей организации, например для снижения затрат и улучшения логистики. Частные «облака» представляют собой вычислите ль-ные ресурсы, функционирующие в доверенной зоне корпоративной сети за межсетевым экраном.
Во-вторых, публичное (общедоступное) «облако», используемое облачным провайдером для предоставления внешним заказчикам сервисов облачной структуры. Поставщик услуг обеспечивает предоставление сервисов в соответствии с соглашением об уровне предоставления услуг (SLA), которое не всегда обеспечивает требуемый финансовыми институтами уровень безопасности вычислений и конфиденциальности данных.
В исследовательской и консалтинговой компании Gartner, специализирующейся на рынках информационных технологий, выявили четыре основных фактора риска облачных решений, которые необходимо учитывать при заключении договора с провайдером. Основные факторы риска, согласно оценке экспертов Gartner, следующие.
Во-первых, при анализе договора о предоставлении облачного сервиса необходимо обратить внимание на то, как составлен контракт: нацелен ли он на защиту прав потребителя или же на то, чтобы в большей мере защитить права провайдера. Gartner советует обратить особое внимание на политику и процедуры обработки данных, дополнительные процедуры резервного копирования, а также на плату за доступ к информации после расторжения контракта. Все эти факторы могут привести к возникновению дополнительных затрат.
Во-вторых, в Gartner рекомендуют соблюдать следующее правило: чтобы провайдер оправдал ожидания заказчика, следует обратить внимание на четкое перечисление и «роспись» в договоре услуг, которые обязуется предоставить провайдер.
В-третьих, провайдер может менять условия договора в одностороннем порядке. Поэтому в
Gartner советуют получить гарантию провайдера, что контракт не будет изменен в течение определенного срока и что заказчик будет поставлен в известность обо всех изменениях в договоре.
Наконец, существует риск размытых обязательств провайдеров. Перед тем как вложить средства в облачный сервис, необходимо просчитать, что придется предпринять, если провайдер все же не справится, каковы риски отказа сети между организацией и провайдером, включая риски «последней мили».
И третий вариант развертывания облачных сред - гибридное «облако», использующее совместно два вышеперечисленных варианта развертывания.
Для определения пропорций использования публичных и частных «облаков» в интересах кредитно-финансовых организаций необходимы соответствующие стандарты и методологические решения. В настоящее время над этой проблемой работает коллектив консорциума Enterprise Cloud Leadership Council. Участниками данного консорциума являются Bank of America, Credit Suisse, Deutsche Bank и другие финансовые организации. Разработкой, стандартизацией и продвижением решений для обеспечения различных аспектов безопасности облачных вычислений для банковского сообщества занимается и другая организация -Cloud Security Alliance.
Для кредитно-финансовых организаций необходимо обеспечить трехуровневую безопасность. Во-первых, это неразглашение банком какой-то информации во избежание попадания ее к конкурентам. Во-вторых, это регуляторные биржевые требования, когда регуляторы на каких-то площадках или в каких-то регионах мира не разрешают доступ к данным и их трансляцию за пределы банка. Третья причина - это жесткие требования по срокам доставки данных. Как правило, банки должны иметь уже посчитанные данные в полном объеме к строго определенному времени. А это не всегда возможно в публичных «облаках», ведь в таком случае клиент не контролирует полностью предоставляемые ему вычислительные мощности и каналы передачи данных.
Вместе с тем следует отметить, что в настоящее время практически отсутствуют исследования, направленные на обеспечение автоматизированной поддержки управления информационной безопасностью в облачной распределенной архитектуре, что и определяет актуальность рассматриваемой темы.
Вопросы безопасности виртуализации. Существуют два вида виртуализации в парадигме облачных вычислений: полная и частичная. В полной виртуализации вся аппаратура архитектуры системы реплицируется виртуально. А при частичной виртуализации операционная система модифицирована таким образом, что она может быть запущена одновременно с другими операционными системами. VMM (монитор виртуальных машин) представляет собой программный слой, который позволяет абстрагироваться от физических ресурсов, используемых несколькими виртуальными машинами. VMM предусматривает виртуальный процессор и другие виртуальные системы (такие как устройства ввода и вывода, хранения, памяти).
При оценке безопасности виртуализированных сред были обнаружены факторы уязвимости во всех виртуализациях программного обеспечения, которые могут быть использованы злоумышленниками либо для прохождения некоторых ограничений безопасности, либо в целях повышения своих привилегий, например:
- уязвимость в Microsoft Virtual PC и Microsoft Virtual Server дает возможность пользователю операционной системы с правами «гостя» запускать код «владельца» или другого гостевого пользователя операционной системы;
- уязвимость в общий папке VMware дает пользователям с правами «гостя» право на чтение и запись к любой части «владельца» файловых систем, включая системную папку и другие конфиденциальные файлы;
- уязвимость в Xen может быть использована пользователем с правами «гостя» для выполнения произвольных команд от имени корневого пользователя домена.
Рассмотрим основных поставщиков облачных сервисов, предоставляющих свои услуги по всем основным направлениям облачных вычислений: SaaS, PaaS и IaaS (табл. 1). Следует отметить, что представлен не полный перечень провайдеров, а лишь самые основные игроки данного сегмента рынка информационно-телекоммуникационных услуг.
Таблица 1
Крупнейшие поставщики облачных услуг
№ п/п Услуга Фирма-провайдер
1 IaaS Amazon EC2, Amazon S3, GoGrid
2 PaaS Google App Engine, Microsoft Azure Services, Amazon, Elastic Map Reduce
3 SaaS Salesforce, Google Docs
Результаты оценки текущего состояния механизмов безопасности, реализованные крупнейшими поставщики облачных услуг, приводятся в табл. 2. Представленные данные основаны на информации, доступной в открытых источниках на официальных сайтах этих поставщиков.
Подходы к оценке риска. Поставщики облачных технологий используют различные механизмы для обеспечения безопасности. Однако существуют два основных вопроса, связанных с обеспечением информационной безопасности:
1) как оценить риск для безопасности данных, прежде чем приступить к работе в «облаке»?
2) как убедить клиентов, что их данные и программы в безопасности в центре обработки данных (ЦОД) провайдера?
Если пользователь облачного сервиса способен оценить риск безопасности данных, то он может
Таблица 2
Механизмы безопасности, реализованные крупнейшими поставщиками облачных услуг
определить уровень доверия к поставщику услуг. Если есть высокий риск безопасности данных, то это приводит к снижению доверия.
Пользователю услуг необходимо иметь четкое представление о методах, принятых поставщиком услуг для обеспечения безопасности информации. Современная технология обеспечения безопасности дает возможность создания определенного уровня доверия в области облачных технологий. Например, SSL (протокол Secure Socket Layer), цифровые подписи и аутентификация протоколов для доказательства методов аутентификации и контроля за доступом для управления авторизацией. Однако сами методы не могут дать методику определения достоверности. SSL, например, не может сам по себе доказать, что сообщение между сервером и несколькими хостами является безопасным. Кроме того, есть вероятность нескольких точек отказов в облачной среде.
Отметим, что современные технологии безопасности не обладают эффективными инструментами для определения достоверности информации. Анализ отечественных и зарубежных публикаций показал, что большинство авторов определяют доверие следующим образом: доверие является оп-ределенныгмуровнем субъективного представления о вероятности, с которой агент будет выполнять определенное действие, в то время как мы можем контролировать такие действия и в контексте, в котором он касается наших собственных действий. Исходя из этого определения, можно сказать, что доверие является субъективной оценкой и зависит от тех действий, которые вряд ли можно контролировать.
Можно выделить три вида моделей доверия в распределенных системах:
1) прямое (полное) доверие;
2) доверительные отношения;
3) допустимое доверие.
В облачных технологиях, в которых данные и программы, по сути, являются трансграничными, доверительные отношения могут иметь решающее значение для определенного типа приложений. Модель прямого доверия существует в «облаке», когда есть общая сущность доверия, когда выполняются все заявленные аутентификации и генерации учетных данных, которые связаны с конкретными лицами.
Ключевая разница с другими моделями в том, что прямая модель доверия не позволяет делегировать заявленные аутентификации. И каждая проверяющая сторона должна использовать эту структуру.
№ п/п Механизм безопасности Результат действий поставщиков облачных услуг
1 Восстановление пароля 90 % используют стандартные методы для большинства предоставляемых услуг, в то время как только 10 % используют сложные методы и механизмы
2 Механизм шифрования 40 %о используют стандартное шифрование SSL, при этом 20 %о используют механизмы шифрования за дополнительную плату. 40 % также используют методы, реализованные по принципу протокола HTTPS
3 Расположение данных 70 %о определили местонахождение своих центров обработки данных в нескольких странах, в то время как 10 %о имеют единственное местоположение. 20 % относят данный вид информации к конфиденциальной
4 Доступность истории В 40 %о присутствует заявленное время простоя наряду с результатом потери данных, в то время как в 60 %о случаев доступность данных высока
5 Частная собственно сть/Открыто сть Только 10 %о провайдеров имеют открытые механизмы
6 Мониторинг сервисов 70 % оказывают данные услуги за дополнительную плату, в то время как 10 %о используют автоматические методы. 20 %о не предоставляют данную информацию
Примером такого типа доверия является использование PKI (инфраструктура публичного ключа), где проверка подлинности на основе ключевых центров сертификации (ЦС) дает все виды доверительных отношений. Ответственность безопасной передачи данных лежит в руках сертифицирующих органов (удостоверяющих центров).
Оценка риска в облачных вычислениях. Использование матрицы доверия. Очень сложно найти подходящую единицу измерения для определения доверия, но есть несколько производных переменных (например, данные о затратах), которые могут быть использованы для его описания. На основании значимых факторов безопасности строится матрица доверия и проводится анализ рисков безопасности данных. Для построения матрицы доверия некоторые эвристики могут быть использованы для выбора параметров безопасности.
В облачной среде стоимость данных, как правило, зависит от оценки пользователей, основанной на критичности данных. Существует большое многообразие факторов, влияющих на критичность данных. Так, например, конфиденциальная коммерческая информация может быть исключительно важной, поэтому ей назначается более высокая стоимость по сравнению с менее критическими данными.
Кроме того, история провайдера может являться допустимым параметром для оценки риска. История включает в себя профиль провайдера, его заслуги в прошлом. Если пользователи не удовлетворены
качеством конкретного сервиса, предоставляемого провайдером, это существенно повлияет на фактор доверия. Если поставщик услуг не обладает хорошей историей безопасности данных (например, если последняя запись является записью о нарушении безопасности), то она может также уменьшить фактор доверия. При этом и другие переменные также могут быть использованы для создания матрицы доверия, например поддержка шифрования, стоимость услуги, поддержка мониторинга.
Наряду с матрицей доверия, существует ряд параметров, также используемых для измерения доверия, позволяющих точно настроить доверительные переменные. Параметры, которые выбираются в этой категории - это расположение данных, соблюдение установленных норм.
Как правило, вышеперечисленные параметры используются как механизм поддержки в матрице доверия. Они используются в качестве проверки факторов, которые обеспечивают поддержку принятия решения при анализе рисков.
Используя матрицу доверия, где оси отражают используемые переменные, свяжем их по значению друг с другом. Графическая интерпретация матрицы доверия для анализа риска (где низкий риск - зона высокого доверия, а высокий риск - зона низкого доверия) представлена на рисунке.
Как видно из анализа данных рисунка, высокая стоимость данных наряду с плохой историей поставщика услуг и в сочетании с очень критичными
Матрица доверия для анализа степени риска: по оси X представлены данные по стоимости; по оси Y - история услуг провайдера, по оси Z - информация о местоположении данных
местами размещения данных приводит к более высокому риску и меньшему доверию.
Зона высокого доверия может указать риск безопасности для текущих операций, а также для будущих сделок с этим сервисом провайдера. Такой превентивный подход к оценке риска рассматривается как часть профилактической или реактивной меры. Например, добавленный уровень аутентификации или проверки пользователя может быть использован для процессов, которые связаны с зоной низкого доверия. Этот метод может быть использован для измерения доверия и для осуществления последующих операций с данными. На основе этого метода можно определить доверительные действия для всех будущих сделок с поставщиком услуг.
Согласно данным, приведенным IDC (International Data Corporation), пока еще для обеспечения целостности и непротиворечивости данных, хранимых в «облаках», используются только криптографические средства защиты. В техническом описании на AWS (Amazon Web Services) рассматриваются физическая безопасность, резервное копирование и использование соответствующих сертификатов [5]. Аналогичным образом другие поставщики (такие как Google, Microsoft) рассматривают альтернативные механизмы обеспечения безопасности в «облаке» [6,7].
В работе [8] проводится анализ тех семи наиболее значимых рисков, которые клиент обязательно должен оценить, чтобы использовать инфраструктуру облачных вычислений. По мнению автора, в дополнение к этим семи рискам следует также определить ряд других определяющих факторов, которые должны учитываться при выборе провайдера облачных сервисов. Эти вопросы включают хранение данных, безопасность сервера, привилегированный доступ пользователей, виртуализацию и переносимость данных. Для принятия риска безопасности данных предлагается определить ключевой набор переменных доверия, в результате чего возможно построение доверительной матрицы, основанной на безопасности данных в облачных вычислениях.
Заключение. С продвижением облачных технологий и увеличением числа пользователей облачных систем проблема безопасности данных будет вставать все острее. Автором представлен один из подходов к анализу рисков безопасности данных.
Предложенный подход, с одной стороны, поможет провайдерам облачных услуг обеспечивать своих клиентов сервисами, удовлетворяющими критериям безопасности данных. С другой стороны, этот подход может быть использован пользователями облачных сервисов для оценки риска и принятия решения о миграции критичных данных в облачную инфраструктуру.
К сожалению, в настоящее время отсутствует системный подход к анализу рисков в средах облачных вычислений. Предложенный подход легко адаптируется для автоматизации процесса анализа рисков в корпоративных сетях кредитно-финансовых организаций, функционирующих на основе технологии облачных вычислений.
Список литературы
1. ДубровА.М., ЛагошаБ. А., ХрусталёвЕ.Ю. Моделирование рисковых ситуаций в экономике и бизнесе. М.: Финансы и статистика, 1999.
2. Иванова Е. И., Хрусталёв Е. Ю. Информационные аспекты аудита эффективности использования средств федерального бюджета // Прикладная информатика. 2008. № 5.
3. Хрусталёв Е. Ю., Иванова Е. И. Информационные методы повышения эффективности государственного финансового контроля // Финансы и кредит. 2007. № 38.
4. Хрусталёв Е. Ю., Стрельникова И. А. Методология качественного управления инвестиционными рисками на предприятиях // Экономический анализ: теория и практика. 2011. № 4.
5. Overview of Security Processes (2011).
6. URL: http://appengine. google. com.
7. URL: http://www. mesh. com.
8. Brodkin J. Seven Cloud Computing Security Risks (2008). URL: http://www. gartner. com/Display Document?id=685308.
