Файл: Защита внутренней сети и сотрудников компании от атак».pdf

Вопрос, на который необходимо получить ответ: «Как происходит увеличение использования задействованных ресурсов и обработка пиковых значений, а также каковы соответствующие затраты?». Возможные варианты ответа:

• Примеры сценариев эластичности, калькуляции затрат и т.д.;
• Уведомления о расходах и ограничения выставления счетов.

Документы и гарантии, в которых может и должна быть отражена данная информация:

• Соответствующие положения в контракте или SLA;
• Отчёт о производительности.

Соблюдение национального / международного законодательства. Облачные сервисы изменили способ предоставления ИТ-ресурсов, в связи с чем могут возникать проблемы соблюдения национального законодательства. В облачных вычислениях заказчики иногда работают с провайдерами и / или центрами обработки данных, расположенными за пределами государства, что вызывает необходимость принимать во внимание законодательство другого государства. Компания-заказчик должна знать, юрисдикция какой страны и в каких случаях должна учитываться и какое законодательство применяется к их облачному сервису. Особенно необходимо принимать во внимание законодательство о защите персональных данных.

Вопрос, на который необходимо получить ответ: «Какое национальное законодательство применяется?». Возможные варианты ответа:

• Соответствующее национальное законодательство, включая национальные органы, обладающие юрисдикцией для наложения положений;
• Соответствующая иностранная юрисдикция и применимое иностранное законодательство;
• Расположение центров обработки данных;
• Применимое законодательство о защите персональных данных.

Документы и гарантии, в которых может и должна быть отражена данная информация:

• Ссылки на соответствующие законодательства.

ЗАКЛЮЧЕНИЕ

В результате проделанной работы получены следующие результаты и выводы:

1. Проведён анализ нормативно-правовой базы обеспечения информационной безопасности на предприятии по международным и российским стандартам.
2. Проведён анализ существующих методологий и передовых практик по обеспечению информационной безопасности на предприятии. Международные исследования направлены на вопросы выбора поставщика облачных ресурсов при передаче ИТ-услуг на аутсорсинг и составления с ним Соглашения об уровне обслуживания, в то время как российские исследования ориентируются в основном на проблемы обеспечения информационной безопасности облачных ресурсов. Сделан вывод о том, что это связано в первую очередь с отсутствием стандарта по обеспечению ИБ облачных провайдеров в российской реальности, в связи с чем данный вопрос имеет больший приоритет.
3. Для компании ООО «RCG» определена проблема обеспечения информационной безопасности на предприятии. Наличие большого количества угроз и уязвимостей в компании при передаче ИТ-услуг на аутсорсинг связан в первую очередь с отсутствием регламентов и подходов к выбору поставщиков ИТ-услуг (облачных провайдеров) и составлению Соглашения об уровне обслуживания с ними с определёнными метриками и параметрами.
4. Разработаны методы и подходы к выбору поставщика ИТ-услуг и составлению Соглашения об уровне обслуживания.
5. Проведена классификация объектов защиты, угроз и уязвимостей, составлен перечень используемых в компании облачных систем и ресурсов.

СПИСОК ИСПОЛЬЗОВАННОЙ ЛИТЕРАТУРЫ

1. RightScale 2018 State of the Cloud Report [Электронный ресурс]. – URL: https://assets.rightscale.com/uploads/pdfs/RightScale-2018-State-of-the-Cloud-Report.pdf.
2. Стандарт ISO/IEC 27017 «Code of practice for information security controls based on ISO/IEC 27002 for cloud services»
3. Стандарт ISO/IEC 27018:2014 «Code of practice for protection of personally identifiable information (PII) in public clouds acting as PII processors»
4. Стандарт ISO/IEC 27036-1 «Information security for supplier relationships - Part 1: Overview and concepts»
5. Стандарт ISO/IEC 27036-2 «Information security for supplier relationships - Part 2: Requirements»
6. Стандарт ISO/IEC 27036-3 «Information security for supplier relationships - Part 3: Guidelines for information and communication technology supply chain security»
7. Стандарт ISO/IEC 27036-4 «Information security for supplier relationships - Part 4: Guidelines for security of cloud services»
8. ITIL (Information Technology Infrastructure Library) Version 3
9. ФЗ «Об информации, информационных технологиях и защите информации» от 27.07.2006 г. №149-ФЗ
10. Федеральный закон «О персональных данных» от 27.07.2006 г. №152-ФЗ
11. Указ Президента РФ от 6.03.97 г. № 188 "Об утверждении перечня сведений конфиденциального характера"
12. Методический документ ФСТЭК России «Методика определения угроз безопасности информации в информационных системах»
13. Методический документ ФСТЭК России «Базовая модель угроз безопасности персональных данных при их обработке в информационных системах персональных данных»
14. ГОСТ Р ИСО/МЭК 27000-2012 Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Общий обзор и терминология
15. ГОСТ Р ИСО/МЭК 27001-2006 Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования
16. ГОСТ Р ИСО/МЭК 27002-2012 Информационная технология. Методы и средства обеспечения безопасности. Свод норм и правил менеджмента безопасности
17. ГОСТ Р ИСО/МЭК 27003-2012 Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Руководство по реализации системы менеджмента информационной безопасности
18. ГОСТ Р ИСО/МЭК 27004-2011 Информационная технология. Методы и средства обеспечения безопасности. Менеджмент информационной безопасности. Измерения
19. ГОСТ Р ИСО/МЭК 27005-2010 Информационная технология. Методы и средства обеспечения безопасности. Менеджмент риска информационной безопасности
20. ISO/IEC TS 27017:2015 / ITU-T X.1631 — Information technology — Security techniques — Code of practice for information security controls based on ISO/IEC 27002 for cloud services
21. ISO/IEC 27018:2014 Information technology -- Security techniques -- Code of practice for protection of personally identifiable information (PII) in public clouds acting as PII processors
22. NIST SP 800–144 «Руководство по обеспечению безопасности и защиты персональных данных при использовании публичных облачных вычислений»
23. ETSI TR 103125 «Облака – Соглашения о качестве услуг для облачных сервисов»
24. Dr. M.A.C. Dekker «Critical Cloud Computing: CIIP Perspective on Cloud Computing» // European Network and Information Security Agency (ENISA). 2012. Version 1.0
25. Dr. M.A.C. Dekker, Dimitra Liveri «Cloud Security Guide for SMEs: Cloud computing security risks and opportunities for SMEs» // European Network and Information Security Agency (ENISA). 2015. SME version
26. Antonio Maña, Eduardo Jacob, Lorenzo Di Gregorio, Michele Bezzi «Security aspects of virtualization» // European Network and Information Security Agency (ENISA). 2017
27. А.А. Евдокимов, Э.Е. Тихонов «Защита данных в облачных технологиях: Монография» - Невинномысск: Издательство НИЭУП, 2015 г. – 102 с.
28. Я. О. Кучина «Правовое регулирование облачных технологий (вычислений)»: монография / Я. О. Кучина - Москва: Юрлитинформ, 2018. -  165
29. И. А. Нестерова «Правовое регулирование отношений, возникающих при использовании облачных технологий»: автореферат дис. ... кандидата юридических наук: 12.00.03 / - Москва, 2017
30. ГОСТ Р 57392-2017. Управление услугами. Часть 10. Основные понятия и терминология
31. А.С. Моляков «Модели и метод противодействия скрытым угрозам информационной безопасности в среде облачных вычислений»: автореферат дис. кандидата технических наук - Санкт-Петербург, 2014
32. А.С. Моляков «Средства противодействия скрытым угрозам информационной безопасности в среде облачных вычислений»: автореферат дис. кандидата технических наук - Санкт-Петербург, 2014
33. А.В. Никольский «Защита облачных вычислений от атак на средства виртуализации»: автореферат дис. кандидата технических наук - Санкт-Петербург, 2013
34. Ю.М. Туманов «Защита сред облачных вычислений путём верификации программного обеспечения на наличие деструктивных свойств»: автореферат дис. кандидата технических наук – Москва, 2012
35. С.В. Одегов «Методика снижения рисков информационной безопасности облачных сервисов на основе квантифицирования уровней защищенности и оптимизации состава ресурсов»: Диссертация кандидата технических наук – Санкт-Петербург, 2013