Как убедить всех, что у тебя защищённый ЦОД?

Преамбула. Статья носит исключительно информационный характер. Предназначена для потенциальных клиентов ЦОД, которые слышали про 152-ФЗ, 149-ФЗ, хотят потратить бюджетные средства и не знают, что такие схемы бывают. Для удобства восприятия материала автор будет излагать схемы от первого лица, хотя никогда данные схемы не применял. Автор не предлагает использовать данные схемы. Автор — не суд, и не знает, можно ли изложенные схемы классифицировать по статьям ГК/УК. Но, так может быть.

Схема 1. Бюджетная аттестация

1. Выбираем любой комп (например, устаревший компьютер секретарши босса, который всё равно выбрасывать/списывать собирались).
2. Делаем документы заявителя. В качестве названия аттестуемого объекта информатизации выбираем «Защищённый Центр обработки данных г. Истеросса»
3. Заказываем аттестацию на соответствие любым требованиям, хоть РД АС. Цена вопроса порядка 50 тыс. руб.
4. Получаем аттестат соответствия объекта информатизации «Защищённый Центр обработки данных г. Истеросса» требованиям безопасности информации.
5. Пишем на сайте: "Наш Защищённый Центр обработки данных г. Истеросса аттестован по требованиям ФСТЭК"

Преимущества и недостатки схемы

Схема 2. Обычная бюджетная аттестация по 17-му приказу

1-2. Как в схеме 1.
3. Заказываем аттестацию на соответствие требованиям Приказа № 17 по классу К1. Цена вопроса порядка 350 тыс. руб. (100 тыс. руб. за аттестацию и 250 тыс. на средства защиты (АВЗ, НСД, СКН, СДЗ, МЭ, СОВ, ИБП, СКЗИ с возможностью подключения мобильных клиентов и других КШ)
4. Получаем аттестат соответствия объекта информатизации «Защищённый Центр обработки данных г. Истеросса» требованиям защиты информации по классу защищённости К1.
5. Пишем на сайте: "Наш Защищённый Центр обработки данных г. Истеросса аттестован по максимальному классу К1! Мы можем предоставлять мощности любым ГИС/ИСПДн. Подключаем с помощью сертифицированных ФСБ криптографических средств"

Преимущества и недостатки схемы

Схема 3. Самая бюджетная аттестация по 17-му приказу

1-2. Как в схеме 2.
2а. Физически отключаем от АРМ Интернет.
3. Как в схеме 2, но дешевле: нет Интернета — не нужен МЭ, СОВ, СКЗИ. Цена вопроса снижается до 130 тыс. руб. (100 тыс. руб. за аттестацию и 30 тыс. на средства защиты (АВЗ, НСД, СКН, СДЗ, ИБП).
4. Как в схеме 2.
5. Пишем на сайте как в схеме 2, но чуть короче: "Наш Защищённый Центр обработки данных г. Истеросса аттестован по максимальному классу К1! Мы можем предоставлять мощности любым ГИС/ИСПДн"

Преимущества и недостатки схемы

Схема 4. Правильный лендинг

1. Зовём практических безопасников, нормальных сетевиков.
2. Покупаем, что скажут (привычное этим «цискарям» оборудование).
3. Они всё делают, защищают в соответствии с «лучшими практиками».
4. Оформляем web-страницу о ЦОД:
— т.к. купленное оборудование не имеет сертификатов, позволяющих хостить ИС высоких классов на сайте не пишем про классы, просто: "защита организована с помощью ххххх (сертифицированных ФСБ и ФСТЭК)";
— т.к. аттестата нет, и преимуществ перед другими коммерческими ЦОД особо нет, пишем что-нибудь, что есть у всех, но показываем как преимущество: "круглосуточная охрана, резервное оборудование, RAID-массивы, круглосуточная дежурная служба, использование https";
— т.к. нет сертифицированного криптографического сетевого оборудования, просто даём обещания вида "при необходимости может быть организовано..." (да, все знают, что это надо всем, для хостинга аттестованных ИС, а мы подадим как преимущество);
— используем абстрактные фразы: «мы обеспечим безопасность/конфиденциальность/целостность/доступность информации» (главное не писать какую информацию имеем ввиду);
— можно ещё получить ненужные бумажки, желательно в добровольных системах сертификации из разряда "сертификат соответствия за 1 день, по двум документам, дёшево, без регистрации и sms)" и размещаем на сайте фразу, что наш ЦОД сертифицирован.

Преимущества и недостатки схемы

Схема 5. Корректная аттестация по 17-му приказу

1. Выбираем сервер/серверы/стойку/несколько стоек для выделения в виде «защищённого сегмента ЦОД» или весь ЦОД под аттестацию.
2. Выбираете схемы предоставления услуг (колокейшн/IaaS/SaaS/...). Пишете Политику/Декларацию, в которой отмечаете пункты НПА, которые готовы выполнять (например, защищаем всё, до уровня виртуализации. Всё, что в виртуальных машинах — ответственность клиента). Закупаем сертифицированное оборудование для аттестуемого сегмента ЦОД.
3. Заказываем аттестацию на соответствие требованиям Приказа № 17 по классу К1/К2/К3 (для этого маркетолог должен сказать, какие ИС в целевом сегменте рынка). Цена вопроса отличается от класса, количества защищаемых серверов, подхода к аттестации (сегментный или нет), схемы предоставления услуг, номенклатуры вариантов организации защищённого документооборота клиента и т.д. и т.п. От нескольких миллионов руб.
4. Получаем аттестат соответствия объекта информатизации «Защищённый Центр обработки данных г. Истеросса» требованиям защиты информации по классу защищённости.
5. Пишем на сайте: "Защищённый Центр обработки данных г. Истеросса аттестован по классу такому-то! Мы можем предоставлять мощности любым ГИС/ИСПДн. Подключаем с помощью сертифицированных ФСБ криптографических средств"

Преимущества и недостатки схемы

Выводы

1. При организации защищённого ЦОД, его владельцы могут пойти по любому из этих вариантов или выбрать свой.
2. Клиент должен сам выбирать поставщика услуг. Ответственность за выбор лежит на клиенте.
3. Уровень доверие ЦОДу определяется клиентом самостоятельно (от «у них красивая вывеска», до предварительно аудита ЦОДа и мониторинга уровня оказания им услуг)