Решение задач защиты информации в виртуализированных средах и приведения систем в соответствие с законодательством и мировыми стандартами Круглый стол CNews 9 декабря 2010 Ведущий бизнес-консультант Александр Лысенко

2 Виртуализация в России и мире

3 IDC, 2010 Немного прогнозов и статистики

4 виртуальных машин защищены хуже, чем их физические аналоги Немного прогнозов и статистики Gartner, 2010

5 проектов виртуализации выполняются без привлечения специалистов в области ИБ Немного прогнозов и статистики Gartner, 2010

6 От физической среды к виртуальной

Изменение архитектуры 7

Сети 8

Соответствие требованиям регуляторов и отраслевых стандартов Необходимо приведение инфраструктуры в соответствие с требованиями законов и отраслевых стандартов, и последующий контроль соответствия – VMware Security hardening Best Practice – CIS VMware ESX Server 3.5 Benchmark – PCI DSS – СТО БР ИББС – ФЗ 152

Мировые стандарты и практики В каждом документе более 100 страниц настроек параметров безопасности

11 Концепция защиты виртуальной инфраструктуры

12 Что надо защитить ? Конфиденциальные данные, обрабатываемые в инфраструктуре виртуализации: – На виртуальных машинах – На хранилищах – Передаваемые по сети

13 От кого защищаем? Пользователи Администраторы

14 Угрозы? Атака на хранилище Атака на механизмы управления виртуализацией Атака на хосты (ESX, vCenter) Атака на ВМ Атака ВМ на ВМ Атака ВМ на хост Наиболее актуальна угроза использования средств управления инфраструктурой не по назначению

Как нейтрализуем? 15 Средства ИБ в составе платформы виртуализации Защита от внешних угроз: сетевых атак, вредоносного ПО, уязвимостей Защита среды гипервизора от НСД, контроль ролей и настроек

Защита от утечек информации через специфические каналы среды виртуализации Контроль виртуальных устройств Контроль целостности и доверенная загрузка виртуальных машин Контроль доступа к элементам инфраструктуры Ограничение доступа администратора ВИ к данным виртуальных машин

Разделение ролей Использование принципа разделения полномочий для исключения возможности существования «суперпользователя» Делегирование административных полномочий

Категоризация данных в инфраструктуре 18 Можно выделить два типа категорий: Иерархические (по уровню доступа): Неконфиденциально Коммерческая тайна Информация особой важности Информация для акционеров Бизнес категории или теги : Банковские карты Персональные данные Временные данные

Политики безопасности Создание корпоративных политик ИБ на основе готовых шаблонов (на базе отраслевых стандартов и практик), и привязка их к категориям Автоматическое приведение виртуальной инфраструктуры в соответствие к политике ИБ

Преимущества Структурированный подход к безопасности Возможность реализации дополнительных услуг по безопасности(в случае Public cloud), положительное влияние на имидж в глазах клиентов Соответствие стандартам и требованиям регуляторов (для всех кто обрабатывает данные ограниченного доступа)

СПАСИБО ЗА ВНИМАНИЕ! ВОПРОСЫ? Александр Лысенко +7 (495) (многоканальный) 21 Ведущий бизнес-консультант