Это условие нужно для того, чтобы участники конкурса добились цели с помощью корректной настройки данного ПО, а не «радикальных» мер, вроде отключения firewall'а.
upd.
Huawei FusionSphere OpenStack мы на текущий момент не продаем, данный продукт находится на стадии внедрения, о чем мы пишем в наших статьях https://habrahabr.ru/company/ruvds/blog/281086/ https://habrahabr.ru/company/ruvds/blog/280900/, и активно делимся с хабр сообществом.
Вы правильно указали, что его нет в списке сертифицированных программ.
Приношу извинения, не полностью ответил на вопрос.
Здесь нужно разделить подход.
Далеко не для всех нужна именно такая глубокая защита. Да, можно использовать указанный Вами vGate (для VMware и HyperV) или тот же Kaspersky Security для виртуальных сред 3.0 для всех, но это, с одной стороны, резко удорожит сам виртуальный сервер для конечного клиента, с другой — такая защита будет избыточной для такого клиента, в свете применяемых средств защиты помимо обсуждаемых Вами.
С другой стороны, для клиентов, которым данные средства являются действительно необходимыми, мы, по договоренности установим любое выбранное ими ПО. Тем более некоторые такие клиенты арендуют сервер целиком как физическую единицу, потому там может быть и отличная от обычной среда виртуализации и вообще набор программ.
Мы не можем комментировать, будет ли сертификат для Huawei FusionSphere OpenStack.
Про «нераскрытие моментов» — мы их раскроем перед конкретным клиентом при соответствующих обязательствах.
При аттестации, естественно, всем заинтересованным сторонам такая информация так же раскрывается. На честное слово никто не верит, конечно.
Полный список таких средств лучше смотреть на сайте самого ФСТЭК .
По поводу того, что предлагаем клиентам — объект сугубо договорной. У всех свои требования. Да и каждое ПО стоит разных денег.
Если изучите список, увидите, что ОС Windows Server 2012 R2 Standart является сертифицированным средством защиты, заявил его на сертификацию ФГУП Управ делами Президента. Это, естественно, очевидный пример. Все наши внутренние моменты тут мы раскрывать не будем)
Благодарим Вас за данные ссылки.
Очень полезно.
Цель статьи как раз призвать изучить данный вопрос, несмотря на то, что «выжимка» опыта занимает 70 страниц.
Могу добавить еще, что многие, читая данный опыт и сайт ФСТЭК пойдут искать помощи у консультантов. Как раз здесь один из подводных камней, можно заплатить за консультационные услуги, а по факту, придется все изучать самим и делать самим.
Уважаемый medved6216,
мы не даем никаких советов. Все советы «оплачиваются в кассе».
Если говорить о том, что можно не иметь специалистов в штате, а пользоваться услугами сторонних компаний — да, можно. Некоторые прибегают к помощи номинальщиков-«мертвых душ» на время проверок. Это не наш путь.
По поводу системы обработки данных. Есть внутренние политики по работе с конфиденциальной информацией. Они утверждаются ФСТЭКом. Для разработки средств защиты конфиденциальной информации (СЗКИ), конечно, нужна лицензия. Мы в процессе ее получения. Но это не значит, что это нельзя делать заранее.
Я все таки подчеркну, что статья — вводная. Нельзя раскрыть в одной краткой статье алгоритм работы по сертификации, он действительно обширен. Мы постараемся в следующей статье рассказать как получать лицензию и с какими трудностями мы столкнулись в этом процессе.
Позволю не согласится.
В процессе построения любого бизнеса есть ряд вопросов, которые остаются до последнего без внимания. Вроде как и так все очевидно.
Однако потом оказывается, что есть регулирование, а еще нужно обязательно все задокументировать, отчитаться перед контролирующем органом. И оказывается, что очевидные моменты далеко не так просты.
Цель статьи побудить изучать вопрос, чтобы делать изначально все верно и по закону.
Касательно того, что здесь вырезки из законов. Сам закон обширен, но практическая часть по защите в нем достаточно четко выделена (статья 19 главы 14 152-ого ФЗ). Мы постарались понятным языком на примере нашей практики показать, как можно исполнять требования закона.
Естественно, всегда есть поле и для критики и мы на нее будем реагировать и стараться учитывать в своей деятельности.
Конечно же учитываем.
По поводу рисков доступа персонала в статье указано, что физический доступ в помещения с серверами, операторский зал только по персональным пропускам. Все под видеонаблюдением и логированием действий.
Касательно перехвата во время передачи. Вы правы, шифрование с узким каналом связи противоречит скорости передачи и для многих это критично. Здесь всегда нужно искать баланс. Как правило, разграничение типов передаваемой информации является здесь компромиссом.
Риски утечки информации с устройств, имеющих доступ к облаку со стороны компании мы контролируем персонифицированным доступом как к самому устройству, так и базе данных. На них работают только те специалисты, которые подтвердили свою квалификацию сертификатом. К примеру, техническая поддержка не имеет доступа к БД.
Риски утечки с устройств, которые подключаются к серверу извне по разрешению клиента, контролирует уже он сам.
Huawei FusionSphere OpenStack мы на текущий момент не продаем, данный продукт находится на стадии внедрения, о чем мы пишем в наших статьях https://habrahabr.ru/company/ruvds/blog/281086/ https://habrahabr.ru/company/ruvds/blog/280900/, и активно делимся с хабр сообществом.
Вы правильно указали, что его нет в списке сертифицированных программ.
Здесь нужно разделить подход.
Далеко не для всех нужна именно такая глубокая защита. Да, можно использовать указанный Вами vGate (для VMware и HyperV) или тот же Kaspersky Security для виртуальных сред 3.0 для всех, но это, с одной стороны, резко удорожит сам виртуальный сервер для конечного клиента, с другой — такая защита будет избыточной для такого клиента, в свете применяемых средств защиты помимо обсуждаемых Вами.
С другой стороны, для клиентов, которым данные средства являются действительно необходимыми, мы, по договоренности установим любое выбранное ими ПО. Тем более некоторые такие клиенты арендуют сервер целиком как физическую единицу, потому там может быть и отличная от обычной среда виртуализации и вообще набор программ.
Про «нераскрытие моментов» — мы их раскроем перед конкретным клиентом при соответствующих обязательствах.
При аттестации, естественно, всем заинтересованным сторонам такая информация так же раскрывается. На честное слово никто не верит, конечно.
По поводу того, что предлагаем клиентам — объект сугубо договорной. У всех свои требования. Да и каждое ПО стоит разных денег.
Если изучите список, увидите, что ОС Windows Server 2012 R2 Standart является сертифицированным средством защиты, заявил его на сертификацию ФГУП Управ делами Президента. Это, естественно, очевидный пример. Все наши внутренние моменты тут мы раскрывать не будем)
Очень полезно.
Цель статьи как раз призвать изучить данный вопрос, несмотря на то, что «выжимка» опыта занимает 70 страниц.
Могу добавить еще, что многие, читая данный опыт и сайт ФСТЭК пойдут искать помощи у консультантов. Как раз здесь один из подводных камней, можно заплатить за консультационные услуги, а по факту, придется все изучать самим и делать самим.
Вот от этого хочется предостеречь.
мы не даем никаких советов. Все советы «оплачиваются в кассе».
Если говорить о том, что можно не иметь специалистов в штате, а пользоваться услугами сторонних компаний — да, можно. Некоторые прибегают к помощи номинальщиков-«мертвых душ» на время проверок. Это не наш путь.
По поводу системы обработки данных. Есть внутренние политики по работе с конфиденциальной информацией. Они утверждаются ФСТЭКом. Для разработки средств защиты конфиденциальной информации (СЗКИ), конечно, нужна лицензия. Мы в процессе ее получения. Но это не значит, что это нельзя делать заранее.
Я все таки подчеркну, что статья — вводная. Нельзя раскрыть в одной краткой статье алгоритм работы по сертификации, он действительно обширен. Мы постараемся в следующей статье рассказать как получать лицензию и с какими трудностями мы столкнулись в этом процессе.
Постараемся раскрыть в следующей статье.
В процессе построения любого бизнеса есть ряд вопросов, которые остаются до последнего без внимания. Вроде как и так все очевидно.
Однако потом оказывается, что есть регулирование, а еще нужно обязательно все задокументировать, отчитаться перед контролирующем органом. И оказывается, что очевидные моменты далеко не так просты.
Цель статьи побудить изучать вопрос, чтобы делать изначально все верно и по закону.
Касательно того, что здесь вырезки из законов. Сам закон обширен, но практическая часть по защите в нем достаточно четко выделена (статья 19 главы 14 152-ого ФЗ). Мы постарались понятным языком на примере нашей практики показать, как можно исполнять требования закона.
Естественно, всегда есть поле и для критики и мы на нее будем реагировать и стараться учитывать в своей деятельности.
По поводу рисков доступа персонала в статье указано, что физический доступ в помещения с серверами, операторский зал только по персональным пропускам. Все под видеонаблюдением и логированием действий.
Касательно перехвата во время передачи. Вы правы, шифрование с узким каналом связи противоречит скорости передачи и для многих это критично. Здесь всегда нужно искать баланс. Как правило, разграничение типов передаваемой информации является здесь компромиссом.
Риски утечки информации с устройств, имеющих доступ к облаку со стороны компании мы контролируем персонифицированным доступом как к самому устройству, так и базе данных. На них работают только те специалисты, которые подтвердили свою квалификацию сертификатом. К примеру, техническая поддержка не имеет доступа к БД.
Риски утечки с устройств, которые подключаются к серверу извне по разрешению клиента, контролирует уже он сам.