Модель угроз и ЦОД - Форум по вопросам информационной безопасности

Добрый день, появился в нашей СИСПДн сторонний ЦОД, необходимо вносить в модель угроз и часть документов изменения, возникает куча вопросов:

ЦОД это территория КЗ?
Сотрудники ЦОД это внешний нарушитель или внутренний?

to Ivan
Так ихочется спросить: чего-чего?? Особенно про 'СИСПДн'...

Цод это кз но не ваша.
Сотрудники цод это внутренние нарушители.
В документах должно быть прописано про договоры охранять, недопущать и неразглашать.

to oko: СИСПДн - сегмент информационной системы перс. данных.

to Dfg: Спасибо, а если в договоре аренды ЦОДа не прописаны зоны ответственности за ПДн, то заключать с ними доп. договор?
Нужно ли шифровать трафик сертефицированным оборудованием? Защищать виртуалки?

1. Смотрите п.4 17 приказа фстэк как образец, должна быть приписана ответственность, для лиц предоставляющих мощности. ЦОД (компания) должна также иметь лицензию на ТЗКИ.
2. ЦОД должен иметь документ подтверждающий наличие необходимого уровня защищенности (по аналогии с аттестатом).
3. Траффик через сенр. крипту.

to Dfg

2. ЦОД должен иметь документ подтверждающий наличие необходимого уровня защищенности (по аналогии с аттестатом).

П. 17.6 Приказа № 17: "В случае, если информационная система создается на базе центра обработки данных уполномоченного лица, такой центр обработки данных должен быть аттестован по классу защищенности не ниже класса защищенности, установленного для создаваемой информационной системы."
Где вы увидели "аналогию с аттестатом"? Конкретно прописано, что должен быть аттестован, то есть иметь аттестат.

3. Траффик через сенр. крипту.

Если не требуется обеспечение конфиденциальности информации, передаваемой в ЦОД, то никакой крипты не понадобится.

Мне кажется важным уточнить.

Если сторонний ЦОД предоставляет только место для размещения вашего оборудования и интернет канал, то такой ЦОД, как мне кажется, не обрабатывает информацию системы и соотв. не является уполномоченным лицом согласно 17 приказу ФСТЭК, а соотв. и не должен получать аттестат.

ЦОД, если в нем циркулируют ПДн, - нераздельная часть ИСПДн. То ли дело ЦОД ЦОДу люпус эст. Иными словами, в ИСПДн входит не весь ЦОД (машзал сторонней организации), а только оборудование, напрямую взаимодействующее с оборудованием ИСПДн (серверные массивы, коммутаторы, маршрутизаторы, etc., размещенные в какой-либо стойке машзала). Вот и пляшите от этого. Считайте, что у вас территориально распределенная ИСПДн (в общем), часть оборудования которой размещена в помещениях сторонней организации. Как защищать в такой ситуации, надеюсь, знаете и понимаете. Ибо объяснять на форуме никто не будет - такие проекты нетиповые, можно сказать уникальные и затратные в каждом отдельном случае...

2 oko

почему сразу территориально распределенная, почему не может быть локальной. Например всё оборудование ИСПДн размещено в ЦОД.

Уважаемые, прошу помощи. Нам надо уточнять у ЦОД https://selectel.ru/ в итоге про

> 1. Смотрите п.4 17 приказа фстэк как образец, должна быть приписана ответственность, для лиц предоставляющих мощности. ЦОД (компания) должна также иметь лицензию на ТЗКИ.
> 2. ЦОД должен иметь документ подтверждающий наличие необходимого уровня защищенности (по аналогии с аттестатом).
> 3. Траффик через сенр. крипту.