Безопасность
Безопасность

Безопасность

Защита инфраструктуры и данных на всех уровнях в соответствие со стандартами безопасности и законодательными требованиями

Ключевые возможности

Гибкая настройка прав доступа

Гибкая настройка прав доступа

Сервис IAM позволяет управлять проектами, пользователями и их правами и гибко регулировать права доступа пользователей к облачным ресурсам и сервисам. Документация
Журнал действий

Журнал действий

Сервис CloudTrail помогает отслеживать действия пользователей, такие как изменение ресурсов, за счет логирования вызовов API, в том числе внутренних при работе в веб-интерфейсе. Документация
Доступ по SSH-ключу

Доступ по SSH-ключу

Использование SSH-ключей обеспечивает более высокий уровень безопасности при доступе к экземплярам виртуальных машин, чем ввод пароля. Документация
Двухфакторная аутентификация

Двухфакторная аутентификация

Для дополнительной защиты учетной записи можно включить обязательную двухфакторную аутентификацию для пользователей. В качестве второго фактора используются такие приложения как Google Authenticator. Документация

Соответствие требованиям и стандартам

Мы принимаем все необходимые меры для обеспечения безопасности данных заказчиков. Это подтверждается сертификатами на соответствие требованиям российских, международных и отраслевых норм и стандартов.

Защита персональных данных

Облако КРОК имеет аттестат соответствия требованиям 152-ФЗ по обработке любых персональных данных до УЗ-1 включительно.

Сертификация по PCI DSS

Компоненты облачной инфраструктуры соответствуют требованиям к безопасности данных платежных карт по стандарту PCI DSS. Сертификат

Система управления ИБ

Система управления облаком соответствует требованиям к информационной безопасности российского стандарта ГОСТ Р 27001-2006 и международного стандарта ISO/IEC 27001:2013.

ЦОД Tier III по стандарту Uptime Institute

Облачные ресурсы могут быть развернуты в любой из трех зон доступности по вашему выбору. Зона ru-msk-comp1p расположена в дата-центре КРОК «Компрессор», который соответствуют требованиям Tier Certification of Operational Sustainability Uptime Institute (TCOS), что подтверждает его высокую надежность.

Меры по обеспечению безопасности

Используемая в облаке КРОК система управления информационной безопасностью (СУИБ), предусматривает политики и процедуры ИБ для минимизации рисков. СУИБ также устанавливает и контролирует процессы безопасной разработки, правила установки обновлений ПО, действия при возникновении событий ИБ и инцидентов. Специалисты ИБ Облака КРОК отвечают за мониторинг, соблюдение и совершенствование установленных процессов СУИБ.

Безопасная разработка

Платформа и сервисы Облака КРОК разрабатываются в соответствие с принципами безопасной разработки (Security Development Lifecycle, SDLC), что позволяет минимизировать риски появления критических уязвимостей.

Тесты на проникновение

Тесты на проникновение и наличие критических уязвимостей проводятся с периодичностью раз в год и раз в квартал, соответственно, и при внесении любых критичных изменений в инфраструктуру.

Управление инцидентами

Выявление и реагирование на инциденты ИБ осуществляется с использованием как автоматизированных средств под контролем выделенных специалистов по информационной безопасности.

Ограничение доступа

Все права персоналу предоставляются исходя из принципа наименьших привилегий. Процесс управления и контроля доступа гарантирует, что только авторизованный персонал получает доступ к помещениям, зонам безопасности, серверным и сетевым и информационным ресурсам и только в том объеме, который необходим для выполнения их функциональных обязанностей.

Типовое разграничение зон ответственности

Мы реализуем все необходимые меры для обеспечения безопасности облачной инфраструктуры, однако добиться этого можно только совместными усилиями. Если при использовании собственной инфраструктуры (On-Prem) ответственность за информационную безопасность полностью лежит на пользователе, то в случае облачных услуг она разделяется между провайдеров и заказчиком в зависимости от того, какой сервис используется — размещение оборудования (co-location), инфраструктура как услуга (IaaS), платформа как услуга (PaaS) или программное обеспечение как услуга (SaaS).
Запись вебинара
Как обеспечить безопасность в облаке: от API к приложениям
Часто задаваемые вопросы
Каким образом и как часто проводятся проверки информационной безопасности?
Системы информационной безопасности регулярно проходят независимые проверки. Это позволяет добиться надлежащего функционирования систем защиты информации и процессов управления информационной безопасностью. Проверки проводятся уполномоченными органами со следующей периодичностью:

 Критерий проверки

Проверяющий орган

 Периодичность

 ISO/IEC 27001:2013

BSI

 Ежегодно

 ISO/IEC 27017:2015

BSI

 Ежегодно

 ГОСТ Р 27001-2006

ООО «Тест-С.-Петербург»

 Ежегодно

 PCI DSS v. 3.2.1

Compliance Control

 Ежегодно

 Tier Certification of Operational Sustainability Uptime Institute (TCOS)

Uptime Institute

 Не реже одного раза в 3 года

 Законодательство о персональных данных

Уполномоченные компании

Один раз в 3 года


Кроме того, регулярно независимыми компаниями выполняется тестирование на проникновения (не менее 1 раза в год и после внесения критичных изменений) и сканирование уязвимостей (не реже 1 раза в квартал и после внесения критичных изменений) элементов инфраструктуры Облака КРОК.
Как обеспечивается безопасность виртуальных машин?
Безопасность виртуальных машин обеспечивается на нескольких уровнях:
  • Управление конфигурациями операционных систем. Процесс изменения конфигураций в Облаке КРОК регламентирован и включает их обязательную проверку в тестовых средах перед переносом в продуктивную среду. Сами конфигурации операционных систем описаны кодом и хранятся в репозитории.
  • Организация защиты на инфраструктурном уровне. Пограничные (бастион) хосты обеспечивают сегментацию сети при доступе к облачной инфраструктуре. На каждом хосте осуществляется логирование действий администраторов Облака КРОК, которые регулярно анализируются специалистами, отвечающими за ИБ в Облаке КРОК.
  • Аутентификация по SSH-ключам по умолчанию. Этот способ аутентификации снижает риски кражи учетных данных сотрудников с правами доступа в продуктивную среду. В Облаке КРОК хранится только публичная часть — приватная часть ключа хранится на локальном компьютере пользователя.
  • Управление уязвимостями. Все установленные в продуктивном окружении пакеты регулярно проверяются на наличие уязвимостей и обновляются до последних версий. Внешний и внутренний периметры регулярно подвергаются тестированию на проникновение и сканированию на наличие уязвимостей.
Какие меры принимаются для устранения и предотвращения уязвимостей?
В Облаке КРОК внедрен регламентированный процесс управления уязвимостями, который предусматривает:
  • проведение регулярного сканирования инфраструктуры внутри и извне периметра;
  • регулярный мониторинг ресурсов, публикующих последние уязвимости;
  • использование стандарта конфигурации устройств, которые вводятся в продуктивную среду.
При нахождении уязвимости осуществляется ее анализ, согласуются сроки по принятия мер для ее устранения и контролируется корректность их реализации. Кроме того, специалисты по ИБ осуществляют постоянный мониторинг ресурсов, где публикуются последние найденные уязвимости. Если они касаются инфраструктуры Облака КРОК, то принимаются все меры по их устранению в кратчайшие сроки посредством установки обновлений по безопасности или реализации компенсационных мер.
Каким образом осуществляется реагирование на инциденты в области информационной безопасности?
Управление событиями и инцидентами ИБ, а также уязвимостями осуществляется в соответствии с разработанными процедурами. За их корректное функционирование отвечают выделенные специалисты Облака КРОК. Данные процедуры включают:
  • сбор событий ИБ из средств мониторинга, сообщений пользователей и других источников;
  • выявление инцидентов ИБ с использованием автоматизированных средств, а также знаний и опыта сотрудников Облака КРОК;
  • реагирование на инциденты ИБ в соответствии с планами реагирования с привлечением специалистов к решению нестандартных проблем;
  • анализ инцидентов ИБ сразу после устранения их последствий;
  • принятие необходимых корректирующих действий и улучшений по результатам анализа инцидентов ИБ.
Если инцидент ИБ способен повлиять на ресурсы заказчика, то специалист по безопасности Облака КРОК проинформирует вас о произошедшем событии и/или инциденте ИБ, а также о возможности отслеживания его статуса. Ситуации, когда заказчик уведомляется об инцидентах, оговорены в соглашении между сторонами. Если заказчика требуется проинформировать об инциденте/событии ИБ, то в кратчайшие сроки, но не позднее чем через 24 часа ему высылается уведомление по электронной почте. Письмо может содержать описание мер, которые заказчик может предпринять в случае, если это поможет воспрепятствовать инциденту или смягчить его последствия. Кроме того, заказчикам предоставляются необходимые цифровые доказательства или другая информация на основании мотивированного запроса.
Что происходит с данными по окончании действия соглашения или при его досрочном расторжении?
В случае окончании действия соглашения или его досрочного расторжения активируется архивный режим. В течение 72 часов с момента перевода заказчика в архивный режим действует режим блокировки с ограничением возможностей заказчика работы в облаке (условия описываются в соглашении между сторонами). Затем учетная запись и все ресурсы заказчика уничтожаются без возможности их восстановления. Мы всегда уведомляем наших заказчиков по электронной почте о том, что их ресурсы переведены в архивный режим и будут удалены. Записи о запросах к ресурсам пользователя через API хранятся в течение года для анализа инцидентов информационной безопасности и противодействия мошенничеству. По истечении года записи также безвозвратно удаляются.
Может ли третья сторона получить доступ к моим данным?
Мы не раскрываем информацию заказчиков третьим лицам. Исключениями могут быть выполнение требований действующего законодательства Российской Федерации или положения заключенного с вами соглашения. В любом случае мы предпринимаем все возможные меры для перенаправления запроса третьей стороны заказчику.
Облачные сервисы для информационной защиты
Управляемые сервисы для защиты инфраструктуры, процессов и бизнес-приложений в облаке
01

Быстрый старт из шаблона запуска, смена подсети у ВМ и мониторинг бакетов

Как и обещали, экземпляры теперь можно быстро запускать из веб-интерфейса с помощью шаблонов запуска.
02

Новый сервис кеширования и другие обновления Облака КРОК

В Облаке КРОК появился новый PaaS-сервис – сервис кеширования данных.
03

Майские обновления Облака КРОК

В Облаке КРОК теперь можно создать снимок диска из версии, увеличить размер диска в Kubernetes и отфильтровать ресурсы по основным параметрам.
04

Автоматическое масштабирование с Auto Scaling Groups

Новый сервис позволяет автоматически реагировать на изменения нагрузки, добавляя или удаляя экземпляры за считанные минуты.
05

Представляем шаблоны запуска и методы API для работы с ними

Шаблоны запуска позволяют упростить и ускорить создание однотипных экземпляров и минимизировать риск ошибок конфигурации при их развертывании.
06

Версии диска – новые возможности Облака КРОК

Версии диска, новая функциональность Облака КРОК, позволяют мгновенно восстанавливать содержимое в исходный диск.
Остались вопросы?
Заполните форму, и эксперт КРОК Облачные сервисы оперативно ответит на все ваши вопросы.

КРОК Облачные сервисы

КРОК Облачные сервисы — это самостоятельное подразделение компании КРОК, предлагающее рынку облачные услуги и управляемые В2В-сервисы.
24/7
SLA 10 минут
12 лет
на рынке облачных услуг
750+
клиентов из разных отраслей
>400
экспертов реализуют проекты любой сложности
scrollup