В рубрику "Оборудование и технологии" | К списку рубрик | К списку авторов | К списку публикаций
Дмитрий Костров
Дирекция информационной безопасности ОАО "МТС"
Центр обработки данных (ЦОД) - это отказоустойчивая комплексная централизованная система, обеспечивающая автоматизацию бизнес-процессов с высоким уровнем производительности и качеством предоставляемых сервисов.
Обычно в состав ЦОД входят:
Определены преимущества создания собственного ЦОД (или его аренды) - это предоставление отказоустойчивых инфраструктурных сервисов в режиме 24х7, повышение эффективности и надежности эксплуатации вычислительных ресурсов, упрощенное централизованное администрирование, снижение издержек на предоставление инженерных коммуникаций, высокий уровень защиты информационной системы, централизованное управление и учет ресурсов, контроль доступа к ЦОД (а также подключения в рамках применения специальных разъемов), простое и удобное масштабирование вычислительных ресурсов.
Обычно выделяют три основных вида ЦОД:
Непрерывность работы любого ЦОД обычно измеряется в процентах рабочего времени в год. При наиболее распространенном уровне "три девятки" (99,9%) функционирование не должно прерываться в целом более чем на восемь часов в год. "Четыре девятки" (99,99%) допускают перерыв не более часа, "пять девяток" (99,999%) - это почти 100%-ная непрерывность, остановка не превышает и минуты. Объективной оценкой возможностей ЦОД можно считать только независимый аудит. При этом можно воспользоваться определенными стандартами для оценки. Это могут быть: ISO 17799, FISMA, Basel II, COBIT, HIPAA, NIST SP800-53.
Если подходить к обеспечению безопасности информации, хранимой (обрабатываемой) в ЦОД, мы должны исходить из требований конфиденциальности, доступности и целостности. Необходимо отметить, что цель обеспечения безопасности и защиты функциональных приложений, сервисов и данных (информации) - сведение к приемлемому минимуму (анализ рисков, аппетит рисков) ущерба при возможных внешних и внутренних воздействиях.
Вопросы информационной безопасности ЦОД могут быть описаны только после проведения анализа текущего уровня, разработки проектного и стратегического уровней зрелости процесса управления непрерывностью бизнеса (BCM) в отношении критичных технологических процессов современной телекоммуникационной компании. Данный анализ уровня зрелости должен выполняться для ключевых областей процесса BCM в соответствии с методологией Института непрерывности бизнеса и проводиться по следующим областям:
Основная цель управления функциональной стабильностью технологических процессов - обеспечить выполнение бизнес-функций компании в условиях воздействия дестабилизирующих факторов. Для выполнения анализа уровня зрелости компании в аспекте BCM разработана система оценки, основанная на материалах Института непрерывности бизнеса (BCI), Международной организации по стандартизации (ISO) и методологии CobIT Ассоциации аудита и контроля информационных систем (ISACA).
После проведения работ в рамках проекта ВСМ делаются выводы о том, нужен ли вообще ЦОД; строить собственный или арендовать; делать ли дублирующий. На этом этапе возникает вопрос обеспечения информационной и технологической безопасности с учетом анализа рисков всей компании.
Вопрос обеспечения информационной безопасности ЦОД можно формально разделить на безопасность сетевой части, серверной части и части хранения данных.
Основные этапы обеспечения безопасности ЦОД:
Анализируя вышесказанное, становится ясно, что без построения СУИБ (системы управления информационной безопасностью) как всего предприятия, так и элемента (ЦОД) адекватной защиты не обеспечить.
Перечислим основные объекты защиты в ЦОД:
Специалисты информационной безопасности уже прекрасно знают модель "Планирование-реализация-проверка-совершенствование" ("Plan-Do-Check-Act" - PDCA), которая применена для структурирования всех процессов СУИБ.
Сегодня многие организации, занимающие лидирующие позиции в области обеспечения ИБ, разрабатывают (согласно ФЗ "О техническом регулировании") корпоративный стандарт "Обеспечение информационной безопасности организаций", где в полной мере должны быть отражены и требования по ИБ ЦОД, которые должны обеспечить непрерывное выполнение бизнес-функций компании.
Отклонение от реализации данной модели чревато ошибками в реализации защиты, что приведет к потерям предприятия (утечка информации и т.п.).
ЦОД может работать (обычно) как с Интернетом, так и с сетью на базе VPN-MPLS, поэтому в сетевой части должен стоять межсетевой экран (желательно в режиме failover), устройство, обеспечивающее шифрование трафика (особенно при соединении с Интернетом), системы обнаружения вторжения IDS/IPS, проходной антивирус. Кроме того, в сетевой части находятся корневые маршрутизаторы, балансировщик нагрузки и так называемый aggregation switch (работает на уровне 2 или 3, может агрегировать данные от нескольких физических портов).
Серверная часть состоит из коммутаторов. Тут хорошо применять технологию VLAN для разграничения доступа и информационных потоков. Обычно именно эта часть отвечает за связь с центром управления сетью. В центре управления сетью может размещаться центр управления безопасностью (SOC). Здесь ставится система контроля доступа и идентификации (IDM).
Опубликовано: Журнал "Information Security/ Информационная безопасность" #7+8, 2009