В этом материале мы расскажем, что такое аттестованный сегмент ЦОД. Поговорим о преимуществах и проблемах IaaS и on-premise как собственного решения. Также разберем, как А-ЦОД закрывает потребности компаний, которые хотят использовать возможности IaaS, но не могут из-за разных ограничений — например, аттестации по 17 приказу ФСТЭК или строгих корпоративных правил безопасности.

Наконец ответим на вопрос, как экономить на IT-инфраструктуре, если нужно работать с чувствительными данными и сохранять контроль за безопасностью.

Что нужно компаниям

Сегодня у компаний есть несколько вариантов размещения своих приложений в зависимости от задач и требований регуляторов.

Чтобы нам было проще ориентироваться в решениях, рассмотрим все варианты реализации IT-инфраструктуры на графике. Заметим, что и облако, и выделенные серверы относятся к IaaS. А-ЦОД в этом смысле можно считать разновидностью IaaS.


Аттестованный сегмент ЦОД занимает выгодную позицию с точки зрения возможности масштабирования и гибкости оплаты по сравнению с on-premise IT-инфраструктурой. При этом сохраняется почти такой же уровень контроля за безопасностью.

Скорость масштабирования

IT-специалистам на этапе запуска сложно спрогнозировать нагрузку. С одной стороны, часто приходится тратить большие бюджеты на оборудование, которое используется на 30-60%. С другой стороны, во время критических нагрузок вычислительной мощности не хватает, поэтому страдает качество сервиса, и бизнес лишается выручки и клиентов.

В условиях такой неопределенности выбор подходящего средства защиты информации сделать еще сложнее. Для этого приходится использовать «примерные» данные, полученные от IT-специалистов. Таким образом возрастают потери и «неиспользуемой» производительности, и неэффективных затрат на оборудование. С ростом количества пользователей приходится рисковать качеством и безопасностью сервиса.

Гибкость оплаты

On-premise вынуждает покупать оборудование и нести ответственность за неправильный расчет бюджета, если серверов окажется слишком мало или слишком много.

В текущей ситуации можно также столкнуться с проблемами с логистикой и доставкой оборудования. Докупить железо в нужный момент уже не так просто, как взять его в аренду и нарастить мощности под время распродаж или релиз новой функциональности.

Управление и контроль безопасности

В зависимости от формата компании могут иметь разные потребности в управлении безопасностью. Стартапам чаще подходит аутсорс и работа под ключ, чтобы не тратить ресурсы команды. Крупным организациям — полный контроль, поскольку приходится работать с государственными проектами или данными, требующими особой защиты. При этом есть собственная экспертиза в ИБ.

Почему компании выбирают IaaS

Особенности облака

• Быстрое прототипирование, ускорение разработки и внедрения практик.
• Можно отдать провайдеру большую часть непрофильных задач. При этом теряется возможность полного управления инструментами безопасности.
• Гибкие возможности оплаты: pay-as-you-go, отказ от CAPEX.
• Масштабирование дает возможность быстро нарастить IT-инфраструктуру или сократить, когда есть такая потребность.

Особенности выделенных серверов

• Высокая производительность: все ресурсы принадлежат одному клиенту.
• Более выгодное решение при прогнозируемых нагрузках.
• Возможность применить индивидуальные настройки серверов. Клиент может самостоятельно выбрать железо: процессор, RAM и многое другое.
• Не такая высокая скорость масштабирования: от 15 минут до нескольких дней.

Почему компании продолжают использовать on-premise

• Если информационная безопасность является ключевой деятельностью компании, то логично, что технический директор захочет сохранить полный контроль и управление IT-инфраструктурой и инструментами безопасности.
• IT-инфраструктура некоторых компаний должна соответствовать 17 и 21 приказам ФСТЭК для обработки персональных данных и размещения государственных информационных систем (ГИС).
• Некоторые средства защиты информации могут быть только аппаратными. Особенно это касается сертифицированных средств защиты.
• Организационные сложности по оценке рисков при логическом доступе поставщика услуги к инфраструктуре. Например, рекомендации Центрального Банка СТО БР ИББС‐1.4‐2018 по аутсорсингу требуют сложной и долгой оценки рисков по каждой передаваемой на аутсорсинг функции.
• Сложное и изменчивое разграничение зон ответственности за безопасность. В публичном облаке виртуальные серверы клиентов запускаются на общем оборудовании. Управление доступом настраивается клиентом через сервисы предоставляемые и управляемые провайдером.

Если нужно работать с государственными проектами, стоит ли размещаться у провайдера, который не соответствует 17 приказу ФСТЭК? Что делать, если IaaS не может ответить запросам бизнеса в области безопасности и сохранения самостоятельного управления IT-инфраструктурой? В Selectel для решения этой проблемы есть — аттестованный сегмент ЦОД.

Что такое А-ЦОД

А-ЦОД сочетает гибкость и экономичность IaaS, а главное — сохраняет возможность управления безопасностью, как в on-premise.

В отличие от облачных и выделенных серверов, А-ЦОД предоставляет каждому клиенту свой собственный выделенный сервер или несколько серверов, изолированных от внешнего мира, с применением аппаратного межсетевого экрана.

Провайдер отвечает за безопасность, связанную с физическим доступом к оборудованию. То есть за доступ в дата-центр, к серверам и жестким дискам с информацией. Клиент — за логическую безопасность. Таким образом специалисты по ИБ клиента могут самостоятельно контролировать и управлять политиками безопасности, настраивая их под требования и стандарты.

Они размещаются в специально подготовленных стойках Аттестованного сегмента ЦОД в дата-центрах Selectel с регламентированными мерами безопасности.

Доступ на физическом уровне есть у небольшой команды инженеров дата-центра, которые следят за состоянием оборудования и производят технические работы в случае возникновения инцидентов. Например, когда нужно добавить сервер, поменять неисправный диск или провести кроссировку. В рамках А-ЦОД эти процедуры имеют свои стандарты и постоянно проверяются внутренним контролем.

Для каждого клиента провайдер предоставляет IT-инфраструктуру, которая проверена внешними аудиторами и соответствует требованиям российских законов и международных стандартов по защите информации.

Информация о том, каким стандартам соответствует инфраструктура А-ЦОД и заключений, сертификатов и аттестатов, полученных в результате работы внутренних и внешних аудиторов, размещена здесь.

А-ЦОД выполняет требования компаний, которые:

• Обрабатывают персональные данные до УЗ-1 (21 приказ ФСТЭК).
• Являются государственным информационными системами до К1 (17 приказ ФСТЭК).
• Обрабатывают данные платежных карт (PCI DSS).
• Обрабатывают персональные данные граждан ЕС или людей, находящихся в ЕС (GDPR).
• Имеют внутренние стандарты и высокие требования к поставщикам услуг (SOC-2).

Почему из on-premise мигрируют в А-ЦОД

• Доступ к серверам на логическом уровне есть только у клиентов. Они могут управлять всеми инструментами защиты самостоятельно. При этом разделение зон ответственности происходит очень просто: клиент отвечает за логическую безопасность, а Selectel за физическую безопасность. Все меры физической безопасности регулярно проверяются внутренним контролем и внешними аудиторами. Возможен индивидуальный аудит мер безопасности со стороны клиента.
• А-ЦОД соответствует 17 и 21 приказам ФСТЭК для обработки персональных данных и размещения государственных информационных систем (ГИС).
• При необходимости, в качестве дополнительных опций, провайдер передает клиенту дополнительные средства защиты информации, например, для безопасности операционной системы или мониторинга событий, чтобы он мог собрать любую необходимую конфигурацию защищенной IT-инфраструктуры.
• Клиент получает доступ ко всем средствам защиты и самостоятельно настраивает их под свои задачи.
• Есть возможность взять оборудование в аренду и отказаться от него, когда пиковые нагрузки проходят. Это освобождает от сложностей с поставками и позволяет оборудованию не простаивать.

Дополнительные преимущества А-ЦОД

Возможность аутсорсинга информационной безопасности

Еще одна особенность А-ЦОД в том, что он может быть использован не только компаниями с собственной экспертизой компетенций, которые хотят вести процессы сами, но и небольшими компаниями, у которых нет ресурсов самостоятельно поддерживать IT-инфраструктуру.

Предоставление информации для аттестации

Для проведения оценки эффективности мер защиты информации Selectel предоставляет клиентам А-ЦОД выписку из модели угроз ИС «Инфраструктура», что является обязательным требованием для провайдеров по требованиям ФСТЭК с 5 февраля 2021 года.

Возможность использовать дополнительные средства защиты информации

Все необходимые программные средства защиты, которые могут понадобиться клиенту для повышения безопасности и/или аттестации своей системы, уже находятся в дата-центре и предоставляются как дополнительная опция. Провайдер заранее проверяет совместимость средств защиты с предоставляемым сервером. Команда самостоятельно оформляет необходимые для установки сертифицированных средств защиты документы.

Возможность использовать собственный гипервизор и любые дополнительные средства защиты информации

При наличии особых требований к используемому ПО можно легко использовать собственные лицензии на предоставляемой изолированной IT-инфраструктуре.

Кому подойдет А-ЦОД

Крупному бизнесу и международным компаниям

А-ЦОД помогает изолировать систему на логическом уровне, чтобы сохранить максимальный контроль за безопасностью и выполнить корпоративные требования.

Медицинскому и страховому сектору, финтех-компаниям

Решение помогает обеспечить максимальную защиту биометрических, медицинских и финансовых данных, к которым регуляторы предъявляют самые высокие требования безопасности.

Государственным учреждениям

Могут выполнить требования 17 приказа ФСТЭК до 1 класса защищенности информационных систем и провести их аттестацию.

B2G и коммерческим компаниям

Разработчики сервисов и интеграторы могут аттестовать систему, чтобы подключиться к государственным информационным системам (СМЭВ, ЕГИСЗ, ЕСИА и другим ГИС) и работать с государственными проектами.

Заключение

В рамках услуги А-ЦОД клиент может передать управление безопасностью IT-инфраструктуры или заниматься обслуживанием на логическом уровне самостоятельно.

Это позволяет использовать преимущества А-ЦОД компаниям с разным уровнем экспертизы в ИБ. Можно экономить там, где это действительно уместно. Например, Selectel помогает провести аттестационные испытания быстрее, предоставляет выписку из модели угроз и акты установки сертифицированных средств защиты. Это помогает ускорить получение безопасного приложения и подтверждающие это документы.

Теперь у компаний, которые использовали on-premise, есть возможность получить преимущества IaaS и сохранить полный контроль за информационной безопасностью.

Всю информацию о возможностях и дополнительных сервисах можно найти на странице продукта.