Внедрение ISO 27017 — контроли безопасности облачных услуг и подготовка к аудиту

При имеющейся системе управления защищенностью доработка длится ориентировочно два месяца. Аудит расширения области занимает около десяти дней в зависимости от количества платформ.

Чаще всего работы тормозят в четырех местах. Первое — теневые подписки: маркетинг или разработка оформили доступ карточкой и никому не сообщили. Второе — административные права, розданные «временно» два года назад.

Третье — журналы. Платформа пишет события, но никто их не забирает, а срок хранения по умолчанию бывает короче срока расследования. Четвертое — выход из платформы: договор молчит о том, в каком виде вернут сведения и когда уничтожат копии.

Эти четыре темы мы закрываем первыми, потому что они дают наибольший прирост защищенности при наименьших затратах. Остальные работы идут уже в обычном порядке.

Методология и инструменты

Объем работ зависит от роли организации. Поставщик мощностей больше работает с собственными механизмами защиты и обязательствами перед клиентами. Заказчик больше работает с процедурами собственной СУИБ и проверкой поставщика.

• реестр арендованных платформ с владельцем процесса, назначением и администраторами;
• матрица обязанностей сторон по каждому уровню: оборудование, платформа, приложение, сведения;
• проверка договоров и соглашений об уровне обслуживания: доступность, сроки реакции, уведомление об инцидентах;
• требования к журналам: состав событий, глубина хранения, синхронизация времени, доступ к записям;
• порядок выхода из платформы: возврат сведений, уничтожение копий, подтверждение уничтожения;
• правила настройки виртуальных машин, хранилищ и сетевых ограничений;
• разграничение административных прав, отдельный учет привилегированных действий;
• управление ключами шифрования: кто их хранит, кто имеет доступ, как их меняют.

Контроли безопасности для облачных услуг подбирают по риску, а не сплошным списком. Сперва смотрим, что именно компания потеряет при отказе платформы или утечке. Затем подбираем мероприятия под эти последствия.

Отдельная тема — изоляция арендаторов. В общей среде сосед не должен видеть ваши сведения, а вы — его. У поставщика мощностей — предмет собственных механизмов, у заказчика — предмет вопросов к поставщику и проверки его отчетов.

Еще одна тема — административные действия самого поставщика. Техническая поддержка иногда получает доступ к среде заказчика. Порядок такого доступа, его журналирование и уведомление клиента фиксируются письменно.

Мероприятия описываем через свойства, а не через названия продуктов. Так документация не привязывает компанию к одному поставщику и переживает смену платформы без переписывания.

Отдельно проверяем резервные копии. Часто они хранятся в другом регионе или у другого субподрядчика, о котором заказчик не знает. Копия живет дольше основной базы, поэтому срок ее хранения и порядок уничтожения описываем отдельно.

Еще одна спорная зона — регион размещения. Договор может разрешать поставщику переносить нагрузку между площадками разных стран. Если компании такое неприемлемо, ограничение фиксируют в договоре, а не в устной договоренности с менеджером.

Еще один блок работ — учет изменений на стороне поставщика. Платформы обновляются без согласования с заказчиком, а новые настройки иногда открывают доступ шире, чем было. Поэтому в процедурах появляется периодическая сверка фактических настроек с записанными правилами. Частота сверки зависит от критичности среды.

Работа под конкретную задачу

Полный цикл нужен не всегда. Объем определяется после обследования и может ограничиваться отдельными блоками.

• переход с редакции 2015 года на второе издание;
• анализ расхождений действующей СУИБ с указаниями;
• разработка матрицы обязанностей по одной платформе или одному поставщику;
• обновление Заявления о применимости и политики использования арендованных сред;
• подготовка ответов на анкеты защищенности от заказчиков и партнеров;
• проверка договора перед подписанием или перед выходом из платформы.

ISO 27017 для провайдера облачных услуг означает работу преимущественно с собственными механизмами: изоляцией арендаторов, привилегированным доступом персонала, обязательствами перед клиентами. Процедуры имеющейся СУИБ при этом задействуются частично.

ISO 27017 для потребителя облачных услуг работает иначе. Основная нагрузка ложится на процедуры самой СУИБ: управление доступом, обработку рисков, работу с поставщиками. Специфических указаний касается лишь небольшая часть работ.

Поэтому двум ролям нужны разные сметы и разные сроки. Мы определяем роль на втором этапе, до начала написания документов, а уже затем называем объем.

ISO 27017 и ISO 27001 проверяют одним аудитом. Отдельных визитов, отдельной заявки и отдельного органа не нужно, поэтому дополнительные расходы сводятся к увеличенной продолжительности проверки.

Типовой толчок к работам — требование заказчика. Корпоративный клиент просит доказать защищенность своих сведений в арендованной среде на уровне собственного оборудования. Без матрицы обязанностей, без журналов такой разговор заканчивается обещаниями.

Другие направления

Защищенность арендованных сред опирается на управляемую систему. Атестор также работает по направлениям:

• Разработка системы ISO 27001 — управление защищенностью сведений компании.
• Диагностический аудит — оценка текущего состояния процессов и документации.
• Внутренний аудит — проверка результативности доработанной системы.
• Подготовка к проверке — упорядочение документов перед проверками.
• Обучение персонала — подготовка команды к работе с документацией.
• Обработка чужих клиентских баз — отдельная услуга по указаниям 27018.
• Управление приватностью сведений — отдельная услуга по нормативу 27701.

Атестор работает по типовым направлениям и под конкретную задачу. Чтобы обсудить работу, напишите в Viber, Telegram или позвоните +380 67 315-30-25. Больше — О нас.