Внедрение облачных технологий требует использование новых средств ИБ, адаптированных для работы в виртуальной среде. В случае с государственными облаками потребуется также уделить повышенное внимание безопасности персональных данных граждан, которые могут заинтересовать широкий круг злоумышленников. Кроме того, необходимо внедрение нетиповых средств DLP, которые предотвратят утечки данных как вовне, так и к чиновникам из «чужих» ведомств.
Строительство облачной инфраструктуры - тренд последних нескольких лет. Несмотря на скепсис заказчиков, слабое развитие каналов связи в регионах, такая форма потребления ИТ-сервисов находит все более широкое применение на рынке, и нет сомнения, что с усовершенствованием технической «подкладки» (каналы связи, ЦОДы) за пределами двух столиц, облака накроют российские регионы.
Государственный сектор, хоть и с отставанием от частных компаний, также приступил к строительству облачных структур. «Время, когда никому не нужно доказывать преимущества облаков уже наступило. А ведь еще пять лет назад на этот счет было очень много скептиков. Но преждевременно говорить о широком распространении в государственном секторе публичных облаков, какое уже можно наблюдать в коммерческом секторе. В госсекторе доминируют частные и общественные облака. Обусловлено это тем, что за предшествующий период большинство государственных ведомств построило собственные серверные мощности, свои каналы связи и не готово отказаться от них. В любом регионе есть свой собственный “волшебный ЦОД” и его создатели стремятся повысить его значимость, размещая на нём частные облака. Постепенно растёт понимание, что правильнее доверять сопровождение облаков профессионалам. Но, зная реалии, могу сказать, что многие функции никогда не мигрируют из частных в публичные облака, просто по причине их особой специфики», – рассказывает генеральный директор «Барс Груп» Тимур Ахмеров.
«Небольшие частные “облачка” уже сгустились в ведомственных ЦОДах, пока в основном для решения инфраструктурных задач, но всё большое начинается с малого. Движение в облачном направлении идёт», – утверждает заместитель директора департамента по работе с государственными организациями «Ай-Теко» Вячеслав Елагин. Наиболее значимым событием он называет переход ряда ведомств на облачную СЭД «Практика».
Главный сдвиг заключается в том, что от разрозненных внутренних инициатив отдельных ведомств госсектор переходит к реализации централизованных облачных программ. По целевой аудитории их можно разделить на три категории. Во-первых, это государственные и муниципальные услуги, предоставляемые гражданам через веб-сайты. Общероссийский портал gosuslugi.ru заработал еще в 2010 г., вслед за ним в сети стали появляться «единые окна» доступа отдельных регионов. Операторы госуслуг должен исключить утечку конфиденциальных данных граждан «налево». Аналогичные задачи решают банки и розничные сети, которые обрабатывают большое количество пользовательской информации. Как правило, такие компании не доверяют провайдерам публичных сервисов и предпочитают строить корпоративные облака, чтобы исключить доступ к данным сторонних лиц.
«Персональные данные – наиболее привлекательный для злоумышленников объект из всех видов данных, представленных в электронном виде. Коммерческая тайна, ноу-хау и коммерческие разработки, как правило, интересуют узкую группу лиц – конкурентов, бывших сотрудников, поэтому и хищение их – это разовые случаи. Тогда как персональные данные клиентов интересны всем, поскольку они дают доступ к потенциальным потребителям товаров и услуг», – рассказывает генеральный директор Infowatch Наталья Касперская.
«В случае с электронными услугами, конечно, для защиты данных будут применяться основные технические средства, поэтому случайных утечек будет очень мало, – рассуждает эксперт. –Значит, будут неслучайные утечки, снизить число которых можно двумя способами. Во-первых, путем отделения собственно ПДн от их идентификаторов для раздельного хранения. Во-вторых, разделением баз ПДн по группам, например, по территориальному признаку, чтобы злоумышленник, получив доступ к региональной базе, не вышел на общероссийскую. Конечно, это не исключает использования стандартных систем, таких как DLP, шифрование и системы разграничения доступа. Все эти меры, безусловно, усложнят управление системой».
Облачное ПО для регионов
Во-вторых, есть уровень тиражируемых решений для региональных и муниципальных нужд. В 2012 г. «Ростелеком» запустил национальную облачную платформу O7, через которую по модели SaaS поставляются типовые решения для региональных госструктур (сервисы для информатизации образования, здравоохранения и т.п.) и частных предприятий (системы ERM, CRM, СЭД и т.п.). Похожие облачные платформы можно найти на уровне регионов. Например, правительство Татарстана запустило облачный проект на базе дата-центра, расположенного в Казанском технопарке.
Эта схема аналогична работе публичных провайдеров облаков, предоставляющих в аренду ПО. Компетенция по этому направлению также накоплена: ответственность провайдера закрепляется в договоре сервисного обслуживания SLA, кроме того, в некоторых случаях операторы ЦОД предоставляют клиентам специальное помещение в дата-центре для возможности контроля за утечкой данных.
«Высокий спрос на облака созрел в таких ключевых сферах как, например, ЖКХ, энергетика и социальная защита. Многие проекты будут связаны с миграцией в облака уже существующих информационных систем (ряд таких проектов наша компания осуществляет в сфере биллинга услуг ЖКХ)», – комментирует Тимур Ахмеров.
Федеральные облака
Наконец, существуют внутренние информационные системы федеральных ведомств и система межведомственного электронного взаимодействия (СМЭВ). Последняя реализована на инфраструктуре «Ростелекома». Предполагается, что с ее помощью ведомства смогут обмениваться данными в электронном виде. На практике реализация этой схемы пробуксовывает, так как у регулятора не хватает полномочий, чтобы заставить договориться между собой различных чиновников. Кроме того, Минкомсвязи намерено развивать единую вычислительную инфраструктуру для государственных облаков. Оператор этой систем пока неизвестен. Технический проект и финансово-экономическое обоснование должны быть составлены в ноябре 2013 г.
Облака, в которых сосуществуют данные различных ведомств, таят в себе новый тип угроз. «Зачастую более критичными инцидентами для госструктур являются случаи перемещения служебной информации между отделами, нежели во внешнюю среду – сказывается советское прошлое со специфичной системой документооборота», – рассказывает директор по продажам InfoWatch Константин Левин.
«Концентрация цифровых данных, автоматизация деятельности ОГВ, их взаимодействия с населением приводит к возможности утечек, но это неизбежная плата за удобство, гибкость и быстроту, – констатирует Алексей Рощин, руководитель управления программных решений компании “Инфосистемы Джет”. – Если раньше нужно было украсть информацию, крали кипу бумаг. Сейчас гигабайты данных может унести на флешке какой-нибудь администратор БД, который работает даже не в органах государственной власти, а в компании, скажем, оказывающей услуги по администрированию и настройке подобных систем».
Поделиться
