Безопасность

Системы защиты ИТ-инфраструктуры регулярно проходят независимые проверки. Это позволяет добиться надлежащего функционирования систем защиты информации и процессов управления защитой ИТ-инфраструктуры. Проверки проводятся уполномоченными органами со следующей периодичностью:

Критерий проверки	Проверяющий орган	Периодичность
ISO/IEC 27001:2013	BSI	Ежегодно
ISO/IEC 27017:2015	BSI	Ежегодно
ГОСТ Р 27001-2006	ООО «Тест-С.-Петербург»	Ежегодно
PCI DSS v. 3.2.1	Compliance Control	Ежегодно
Tier Certification of Operational Sustainability Uptime Institute (TCOS)	Uptime Institute	Не реже одного раза в 3 года
Законодательство о персональных данных	Уполномоченные компании	Один раз в 3 года

Кроме того, регулярно независимыми компаниями выполняется тестирование на проникновения (не менее 1 раза в год и после внесения критичных изменений) и сканирование уязвимостей (не реже 1 раза в квартал и после внесения критичных изменений) элементов инфраструктуры Облака КРОК.

Безопасность виртуальных машин обеспечивается на нескольких уровнях:

• Управление конфигурациями операционных систем. Процесс изменения конфигураций в Облаке КРОК регламентирован и включает их обязательную проверку в тестовых средах перед переносом в продуктивную среду. Сами конфигурации операционных систем описаны кодом и хранятся в репозитории.
• Организация защиты на инфраструктурном уровне. Пограничные (бастион) хосты обеспечивают сегментацию сети при доступе к облачной инфраструктуре. На каждом хосте осуществляется логирование действий администраторов Облака КРОК, которые регулярно анализируются специалистами, отвечающими за защиту ИТ-инфраструктуры в Облаке КРОК.
• Аутентификация по SSH-ключам по умолчанию. Этот способ аутентификации снижает риски кражи учетных данных сотрудников с правами доступа в продуктивную среду. В Облаке КРОК хранится только публичная часть — приватная часть ключа хранится на локальном компьютере пользователя.
• Управление уязвимостями. Все установленные в продуктивном окружении пакеты регулярно проверяются на наличие уязвимостей и обновляются до последних версий. Внешний и внутренний периметры регулярно подвергаются тестированию на проникновение и сканированию на наличие уязвимостей.

В Облаке КРОК внедрен регламентированный процесс управления уязвимостями, который предусматривает:

• проведение регулярного сканирования инфраструктуры внутри и извне периметра;
• регулярный мониторинг ресурсов, публикующих последние уязвимости;
• использование стандарта конфигурации устройств, которые вводятся в продуктивную среду.

При нахождении уязвимости осуществляется ее анализ, согласуются сроки по принятия мер для ее устранения и контролируется корректность их реализации. Кроме того, специалисты по защите ИТ-инфраструктуры осуществляют постоянный мониторинг ресурсов, где публикуются последние найденные уязвимости. Если они касаются инфраструктуры Облака КРОК, то принимаются все меры по их устранению в кратчайшие сроки посредством установки обновлений по безопасности или реализации компенсационных мер.

Управление событиями и инцидентами защиты ИТ-инфраструктуры, а также уязвимостями осуществляется в соответствии с разработанными процедурами. За их корректное функционирование отвечают выделенные специалисты Облака КРОК. Данные процедуры включают:

• сбор событий защиты ИТ-инфраструктуры из средств мониторинга, сообщений пользователей и других источников;
• выявление инцидентов защиты ИТ-инфраструктуры с использованием автоматизированных средств, а также знаний и опыта сотрудников Облака КРОК;
• реагирование на инциденты защиты ИТ-инфраструктуры в соответствии с планами реагирования с привлечением специалистов к решению нестандартных проблем;
• анализ инцидентов защиты ИТ-инфраструктуры сразу после устранения их последствий;
• принятие необходимых корректирующих действий и улучшений по результатам анализа инцидентов защиты ИТ-инфраструктуры.

Если инцидент способен повлиять на ресурсы заказчика, то специалист по безопасности Облака КРОК проинформирует вас о произошедшем событии и/или инциденте защиты ИТ-инфраструктуры, а также о возможности отслеживания его статуса. Ситуации, когда заказчик уведомляется об инцидентах, оговорены в соглашении между сторонами. Если заказчика требуется проинформировать об инциденте/событии защиты ИТ-инфраструктуры, то в кратчайшие сроки, но не позднее чем через 24 часа ему высылается уведомление по электронной почте. Письмо может содержать описание мер, которые заказчик может предпринять в случае, если это поможет воспрепятствовать инциденту или смягчить его последствия. Кроме того, заказчикам предоставляются необходимые цифровые доказательства или другая информация на основании мотивированного запроса.

В случае окончании действия соглашения или его досрочного расторжения активируется архивный режим. В течение 72 часов с момента перевода заказчика в архивный режим действует режим блокировки с ограничением возможностей заказчика работы в облаке (условия описываются в соглашении между сторонами). Затем учетная запись и все ресурсы заказчика уничтожаются без возможности их восстановления. Мы всегда уведомляем наших заказчиков по электронной почте о том, что их ресурсы переведены в архивный режим и будут удалены. Записи о запросах к ресурсам пользователя через api хранятся в течение года для анализа инцидентов защиты ИТ-инфраструктуры и противодействия мошенничеству. По истечении года записи также безвозвратно удаляются.

Мы не раскрываем информацию заказчиков третьим лицам. Исключениями могут быть выполнение требований действующего законодательства Российской Федерации или положения заключенного с вами соглашения. В любом случае мы предпринимаем все возможные меры для перенаправления запроса третьей стороны заказчику.