Як захистити бізнес-даніНАВІЩО ПОТРІБНА ЦЯ СТАТТЯ?

Дана стаття написана для тих, хто бажає зрозуміти в цілому, наскільки безпечна робота з віртуальною хмарою (та й взагалі з будь-якими даними через Інтернет) з точки зору захисту інформації. По можливості, ми намагалися не зариватися в технічні деталі, але для тих, кому цікаво саме це, наводяться посилання на цікаві та корисні матеріали по темі (не завжди «два в одному»).

МЕРЕЖЕВА БЕЗПЕКА: ПОЛЕ БОЮ АБО НАЛАГОДЖЕНИЙ МЕХАНІЗМ?

Щоб розібратися в тому, наскільки взагалі небезпечна або безпечна робота з даними через Інтернет, необхідно спочатку визначитися з основною термінологією і концептуально зрозуміти, що відбувається при роботі з хмарою. Далі ми розберемо окремі складові цього процесу та їх взаємодію, разом позначаючи необхідні механізми організації правильної роботи. Після цього наведемо класичні «проколи», що зводять нанівець функціонування налагоджених систем, і завершимо філософськими роздумами про кордон між логічними діями і параноєю.

КОСМІЧНИЙ МАСШТАБ. ОСНОВНІ СУТНОСТІ ТА ЇХ ВЗАЄМОДІЯ

Як захистити бізнес-дані
Рис. 1. Схема роботи розподілених систем


В цілому робота з будь-якими даними через мережу виглядає таким чином (див. рис. 1): у точці А є якийсь сервер, на якому зберігаються і обробляються певні дані, а в точках B, C, D і т.д. - користувальницькі пристрої, з яких ці дані вводяться і на яких вони обробляються (іноді) і відображаються. Для зв'язку з A використовуються канали передачі інформації.

РІВНЕМ НИЖЧЕ: РОЗБИРАЄМО БЛОКИ

ДАТА-ЦЕНТР

Мабуть, самим захищеним є блок, найбільш віддалений від користувача, - віртуальна машина в дата-центрі (п.1 на рис. 2). Чому? По-перше, сам бізнес дата-центрів побудований на використанні високонадійного обладнання (відмовостійкість, резервування і т.д.), а фахівці дата-центрів - це професіонали, заточені під виконання конкретних завдань. Домогтися такого ж рівня функціонування в «домашніх» умовах практично неможливо. По-друге, самі дані захищені як від втручання співробітників дата-центрів (див. нижче відомості про віртуалізацію і шифрування дисків), так і від крадіжки / вилучення з боку, скажімо так, недобросовісних конкурентів, оскільки периметр і сам дата-центр захищені не гірше (а іноді і краще) солідних банків.

Як захистити бізнес-дані
Рис. 2. Сервери в дата-центрі (1) через мережу (2) пов'язані з бездисковими (3) або дисковими (4) робочими місцями


До речі, якщо задуматися, то в банків і дата-центрів, насправді, досить багато спільного: наприклад, на зорі банківської галузі вважалося дивним віддавати свої гроші на зберігання в незрозумілу структуру замість того, щоб залишити їх у квартирі в умовній панчосі. Нічого не нагадує? Зараз інформація є цілком твердою валютою і для її захисту приймаються такі ж заходи, як і для захисту інших активів. Для збереження використовуються віртуальні машини (сейфи) в дата-центрі (банку), що відкриваються персональним ключем. В якості інкасаторських машин виступають захищені канали передачі даних, а як «охоронці» - фахівці з комп'ютерної безпеки. До рекомендацій з використання пристроїв доступу до даних (комп'ютери, смартфони, тонкі клієнти) можна легко знайти «аналогічні» рекомендації зі сфери використання банківських карт. «Не розголошуйте свій пароль (навіть співробітникам провайдера)» = «Тримайте в таємниці свій PIN-код (навіть від співробітників банку)». «Не користуйтеся халявним вай-фаєм" = "Перевірте банкомат на наявність зчитувальних пристроїв». «Якщо щось пішло не так або є сумніви - телефонуйте провайдеру» = «Запам'ятайте телефон гарячої лінії банку» і т.д.


ІНТЕРНЕТ

Наступний блок - канали передачі даних (п.2 на рис. 2). Якщо брати аналогію з банківською сферою - то саме тут визначається, як будуть перевозитися гроші: за допомогою захищеної інкасаторської машини або на громадському транспорті. У термінології Інтернет-безпеки захищеним транспортом (протоколом) є IPSec, громадським транспортом - звичайний IP. У банківській сфері, крім захищеної машини бажано також використовувати секретний маршрут пересування. Його ІТ-аналог - віртуальна приватна мережа (VPN). Що це означає? Це означає, що навіть якщо зловмисник якимось чином перехопить інформацію («інкасаторську машину»), то він виявить, що дані зашифровані («перебувають у сейфі»), причому ключ для розшифровки знаходиться не тут, а у власника даних.

БЕЗДИСКОВИЙ КОРИСТУВАЦЬКИЙ ПРИСТРІЙ

І, нарешті, користувальницькі пристрої. Тут можливі варіанти залежно від того, які вимоги ставляться до обчислювальної потужності (наприклад, аналіз великих масивів даних, прорахунок програм і т.д. логічніше виконувати на сервері, а для веб-серфінгу і набору документів часто достатньо потужності слабенького смартфона / планшета) та зберігання даних (зберігати корпоративну базу даних на комп'ютері всіх працівників, мабуть, недоцільно). Дуже часто (особливо в корпоративному середовищі) користувальницькі пристрої взагалі не мають власне жорсткого диска (п.3 на рис. 2), а використовуються тільки для введення, обробки і відображення інформації. У таких випадках відключення пристрою від джерела живлення розриває канал зв'язку з сервером, а отже, і доступ до інформації.

ПРИСТРОЇ З ДИСКОВИМИ НАКОПИЧУВАЧАМИ

Якщо ж для користувача пристрій має власний накопичувач (карту пам'яті, жорсткий диск, інше), обов'язково необхідно його шифрувати (див. нижче), доступ до нього - закривати паролем, а на сам пристрій (п.4 на рис. 2) - ставити маячки і різні програми захисту від крадіжки (як приклади можна навести апаратні засоби, якими забезпечені деякі бізнес-ноутбуки, а також поширені програмні засоби захисту від крадіжки для смартфонів). Також варто згадати і про процес включення пристрою і доступ до інформації. Враховуйте, що ваш пристрій можете включати не ви, і якщо передбачена така можливість - утрудните зловмисникові доступ в систему (складні паролі, відбитки пальців або сітківки, токени та інші засоби ідентифікації користувачів).

ДИЯВОЛ В ДЕТАЛЯХ, АБО ЯК НЕ ПОГОРІТИ НА ДРІБНИЦЯХ

- У кого дешевше: у виробника або у дилера?
- У сторожа!


Начебто всі про це знають, але все одно основні проколи трапляються не на апаратному, а на людському рівні. Не важливо, наскільки хороша схема шифрування, якщо пароль доступу записаний на папірці, поряд з робочим місцем, або якщо його реально витягти з співробітника / секретаря / адміна.

Як захистити бізнес-дані
Рис. 3. Різниця між світом чистої математики і «чисто-бізнес-світом»


Якщо ви не знаєте, що таке соціальна інженерія, то рекомендуємо ознайомитися. Якщо знаєте, але чомусь забули, то радимо застосовувати розподілені двох-і більше рівневі системи, коли доступ до одного джерела закритої інформації (ноутбуку, людини, паролю) не означає автоматичного доступу до всієї інформації в зрозумілому людині вигляді.

ЗАХИСТ ІНФОРМАЦІЇ? А ЩО ЦЕ?

- Володимир Петрович, добрий день! Це вас з ФСБ турбують.
- Я знаю.
- Звідки?
- Ви мені на вимкнений мобільник додзвонилися.


Нарощуючи рівні захисту, впроваджуючи криптостійкі алгоритми, складні паролі і заплутані політики безпеки, головне - вчасно зупинитися (див. рекомендовану літературу), зрозуміло, якщо ваш бізнес не складається саме з впровадження подібних систем. Чому? Тому що зламати можна все. Питання тільки в можливостях зломщика. Якщо зовнішня розвідка однієї з сусідніх держав захоче дізнатися кількість бананів на віртуальній фермі вашої секретарки - вона це зробить. Але це не означає, що про безпеку та шифруванні потрібно забути взагалі. Зовсім ні! Адже крім розвідок, є недоброзичливці нижчі рангом, що володіють простішою логікою і нижчими можливостями. А от від них описані вище базові методи є дуже навіть адекватним захистом.

Якщо ви схиблені на теоріях змови, а заходи щодо забезпечення безпеки на всіх рівнях займають більшу частину робочого часу, категорично рекомендуємо наступні публікації. Після їх прочитання можливі два варіанти: або ви утвердився в думці, що всі стежать за всіма (і ми вас, на жаль, в цьому не переконаємо), або ви вирішите, що розумні заходи безпеки - це розумна довіра професіоналам і спокійно перейдете в хмари (якщо ще не зробили це).


До речі, з нашого досвіду участі в профільних заходах і спілкування з клієнтами: раніше скептики говорили, що хмари не приживуться, оскільки наші люди звикли тримати всю інформацію при собі. Але, як виявилося, нашим людям потрібен доступ до інформації. Постійний, зручний, з будь-якого місця. А ось ТРИМАТИ ЇЇ ПРИ СОБІ - якраз загроза. Се ля ві!

ЛІТЕРАТУРА

Власне, ця стаття спочатку планувалася саме для розповіді про конкретні техніки і алгоритми шифрування, але про них так добре написано у Вікіпедії, що ми вирішили просто залишити це тут. Якщо вам потрібна більш докладна технічна або математична консультація - звертайтесь, розпишемо детально.

BitLocker - програма для шифрування дисків (може застосовуватися як на користувацьких пристроях, так і на серверах з віртуальними машинами)
TrueCrypt - ще одна хороша програма для шифрування
IPsec - захищений протокол передачі даних

МАТЕРІАЛИ НАДАНІ ЗА ПІДТРИМКИ ЛІДЕРА НА РИНКУ ХМАРНИХ СЕРВІСІВ TUCHA






Друкувати
Найбільш популярні матеріали