Информационная безопасность облаков

[bga68comp]

Требования к SaaS
(помимо Политики Информационной Безопасности клиента)

т.е. кроме конфиденциальности, доступности и целостности

• Инфраструктура провайдера должна позволять переносить мощности клиента на резервное оборудование в случае недоступности основного в течение сроков по SLA.


• Основное и резервное оборудование провайдера должно быть разнесено по территориальному признаку.


• База данных клиента должна быть изолирована от баз данных других клиентов.


• Обработка данных клиента должна происходить в выделенном сегменте, изолированном от других систем провайдера.


• Данные клиента должны храниться только в зашифрованном виде.


• Передача данных должна происходить только по защищенным каналам и протоколам.


• Доступ в базу данных должен предоставляться авторизированным и аутентифицированным пользователям.


• Провайдер должен обеспечивать защиту информации от вирусов, зловредного кода и уязвимости 0-го дня.


• Провайдер должен обеспечить защиту своих мощностей от стандартных угроз таких, как утечка информации, сетевые атаки типа “отказ в обслуживании” (DoS/DDoS) и прочих уязвимостей, приводящих к простою сервиса.


• Сервисы безопасности облака провайдера должны обеспечивать предотвращение вторжений (IDS / IPS).


• Провайдер должен обеспечить защиту от специфических облачных угроз (зависимость от провайдера, несоблюдение требования регулирующих органов)

Сервисы безопасности «облака»

1. Межсетевое экранирование (Firewall)


2. Предотвращение вторжений (IDS / IPS)


3. Создание защищенных каналов связи (VPN / SSL VPN)


4. Защита от атак типа «отказ в обслуживании» (DoS/DDoS)


5. Антивирусная защита


6. Антиспам-защита

Источники:
Информационная безопасность облаков. Миф или реальность

Выполнение требований к защите SaaS-приложений

Преимущества и недостатки безопасности SaaS сервиса. Решение по безопасности SaaS сервиса от компании IBM. Обеспечение безопасности облака от компании КРОК