Безопасность

Защита инфраструктуры и данных на всех уровнях в соответствие со стандартами безопасности и законодательными требованиями

Попробовать бесплатно

Читать документацию

Ключевые возможности

Гибкая настройка прав доступа

Сервис IAM позволяет управлять проектами, пользователями и их правами и гибко регулировать права доступа пользователей к облачным ресурсам и сервисам. Документация

Журнал действий

Сервис CloudTrail помогает отслеживать действия пользователей, такие как изменение ресурсов, за счет логирования вызовов API, в том числе внутренних при работе в веб-интерфейсе. Документация

Доступ по SSH-ключу

Использование SSH-ключей обеспечивает более высокий уровень безопасности при доступе к экземплярам виртуальных машин, чем ввод пароля. Документация

Двухфакторная аутентификация

Для дополнительной защиты учетной записи можно включить обязательную двухфакторную аутентификацию для пользователей. В качестве второго фактора используются такие приложения как Google Authenticator. Документация

Соответствие требованиям и стандартам

Мы принимаем все необходимые меры для обеспечения безопасности данных заказчиков. Это подтверждается сертификатами на соответствие требованиям российских, международных и отраслевых норм и стандартов.

Защита персональных данных

Облако КРОК имеет аттестат соответствия требованиям 152-ФЗ по обработке любых персональных данных до УЗ-1 включительно.

Сертификация по PCI DSS

Компоненты облачной инфраструктуры соответствуют требованиям к безопасности данных платежных карт по стандарту PCI DSS. Сертификат

Система управления ИБ

Система управления облаком соответствует требованиям к информационной безопасности российского стандарта ГОСТ Р 27001-2006 и международного стандарта ISO/IEC 27001:2013.

ЦОД Tier III по стандарту Uptime Institute

Облачные ресурсы могут быть развернуты в любой из трех зон доступности по вашему выбору. Зона ru-msk-comp1p расположена в дата-центре КРОК «Компрессор», который соответствуют требованиям Tier Certification of Operational Sustainability Uptime Institute (TCOS), что подтверждает его высокую надежность.

Меры по обеспечению безопасности

Используемая в облаке КРОК система управления информационной безопасностью (СУИБ), предусматривает политики и процедуры ИБ для минимизации рисков. СУИБ также устанавливает и контролирует процессы безопасной разработки, правила установки обновлений ПО, действия при возникновении событий ИБ и инцидентов. Специалисты ИБ Облака КРОК отвечают за мониторинг, соблюдение и совершенствование установленных процессов СУИБ.

Безопасная разработка

Платформа и сервисы Облака КРОК разрабатываются в соответствие с принципами безопасной разработки (Security Development Lifecycle, SDLC), что позволяет минимизировать риски появления критических уязвимостей.

Тесты на проникновение

Тесты на проникновение и наличие критических уязвимостей проводятся с периодичностью раз в год и раз в квартал, соответственно, и при внесении любых критичных изменений в инфраструктуру.

Управление инцидентами

Выявление и реагирование на инциденты ИБ осуществляется с использованием как автоматизированных средств под контролем выделенных специалистов по информационной безопасности.

Ограничение доступа

Все права персоналу предоставляются исходя из принципа наименьших привилегий. Процесс управления и контроля доступа гарантирует, что только авторизованный персонал получает доступ к помещениям, зонам безопасности, серверным и сетевым и информационным ресурсам и только в том объеме, который необходим для выполнения их функциональных обязанностей.

Типовое разграничение зон ответственности

Мы реализуем все необходимые меры для обеспечения безопасности облачной инфраструктуры, однако добиться этого можно только совместными усилиями. Если при использовании собственной инфраструктуры (On-Prem) ответственность за информационную безопасность полностью лежит на пользователе, то в случае облачных услуг она разделяется между провайдеров и заказчиком в зависимости от того, какой сервис используется — размещение оборудования (co-location), инфраструктура как услуга (IaaS), платформа как услуга (PaaS) или программное обеспечение как услуга (SaaS).

Запись вебинара

Как обеспечить безопасность в облаке: от API к приложениям

Часто задаваемые вопросы

Каким образом и как часто проводятся проверки информационной безопасности?

Системы информационной безопасности регулярно проходят независимые проверки. Это позволяет добиться надлежащего функционирования систем защиты информации и процессов управления информационной безопасностью. Проверки проводятся уполномоченными органами со следующей периодичностью:

Критерий проверки	Проверяющий орган	Периодичность
ISO/IEC 27001:2013	BSI	Ежегодно
ISO/IEC 27017:2015	BSI	Ежегодно
ГОСТ Р 27001-2006	ООО «Тест-С.-Петербург»	Ежегодно
PCI DSS v. 3.2.1	Compliance Control	Ежегодно
Tier Certification of Operational Sustainability Uptime Institute (TCOS)	Uptime Institute	Не реже одного раза в 3 года
Законодательство о персональных данных	Уполномоченные компании	Один раз в 3 года

Кроме того, регулярно независимыми компаниями выполняется тестирование на проникновения (не менее 1 раза в год и после внесения критичных изменений) и сканирование уязвимостей (не реже 1 раза в квартал и после внесения критичных изменений) элементов инфраструктуры Облака КРОК.

Как обеспечивается безопасность виртуальных машин?

Безопасность виртуальных машин обеспечивается на нескольких уровнях:

Управление конфигурациями операционных систем. Процесс изменения конфигураций в Облаке КРОК регламентирован и включает их обязательную проверку в тестовых средах перед переносом в продуктивную среду. Сами конфигурации операционных систем описаны кодом и хранятся в репозитории.
Организация защиты на инфраструктурном уровне. Пограничные (бастион) хосты обеспечивают сегментацию сети при доступе к облачной инфраструктуре. На каждом хосте осуществляется логирование действий администраторов Облака КРОК, которые регулярно анализируются специалистами, отвечающими за ИБ в Облаке КРОК.
Аутентификация по SSH-ключам по умолчанию. Этот способ аутентификации снижает риски кражи учетных данных сотрудников с правами доступа в продуктивную среду. В Облаке КРОК хранится только публичная часть — приватная часть ключа хранится на локальном компьютере пользователя.
Управление уязвимостями. Все установленные в продуктивном окружении пакеты регулярно проверяются на наличие уязвимостей и обновляются до последних версий. Внешний и внутренний периметры регулярно подвергаются тестированию на проникновение и сканированию на наличие уязвимостей.

Какие меры принимаются для устранения и предотвращения уязвимостей?

В Облаке КРОК внедрен регламентированный процесс управления уязвимостями, который предусматривает:

проведение регулярного сканирования инфраструктуры внутри и извне периметра;
регулярный мониторинг ресурсов, публикующих последние уязвимости;
использование стандарта конфигурации устройств, которые вводятся в продуктивную среду.

При нахождении уязвимости осуществляется ее анализ, согласуются сроки по принятия мер для ее устранения и контролируется корректность их реализации. Кроме того, специалисты по ИБ осуществляют постоянный мониторинг ресурсов, где публикуются последние найденные уязвимости. Если они касаются инфраструктуры Облака КРОК, то принимаются все меры по их устранению в кратчайшие сроки посредством установки обновлений по безопасности или реализации компенсационных мер.

Каким образом осуществляется реагирование на инциденты в области информационной безопасности?

Управление событиями и инцидентами ИБ, а также уязвимостями осуществляется в соответствии с разработанными процедурами. За их корректное функционирование отвечают выделенные специалисты Облака КРОК. Данные процедуры включают:

сбор событий ИБ из средств мониторинга, сообщений пользователей и других источников;
выявление инцидентов ИБ с использованием автоматизированных средств, а также знаний и опыта сотрудников Облака КРОК;
реагирование на инциденты ИБ в соответствии с планами реагирования с привлечением специалистов к решению нестандартных проблем;
анализ инцидентов ИБ сразу после устранения их последствий;
принятие необходимых корректирующих действий и улучшений по результатам анализа инцидентов ИБ.

Если инцидент ИБ способен повлиять на ресурсы заказчика, то специалист по безопасности Облака КРОК проинформирует вас о произошедшем событии и/или инциденте ИБ, а также о возможности отслеживания его статуса. Ситуации, когда заказчик уведомляется об инцидентах, оговорены в соглашении между сторонами. Если заказчика требуется проинформировать об инциденте/событии ИБ, то в кратчайшие сроки, но не позднее чем через 24 часа ему высылается уведомление по электронной почте. Письмо может содержать описание мер, которые заказчик может предпринять в случае, если это поможет воспрепятствовать инциденту или смягчить его последствия. Кроме того, заказчикам предоставляются необходимые цифровые доказательства или другая информация на основании мотивированного запроса.

Что происходит с данными по окончании действия соглашения или при его досрочном расторжении?

В случае окончании действия соглашения или его досрочного расторжения активируется архивный режим. В течение 72 часов с момента перевода заказчика в архивный режим действует режим блокировки с ограничением возможностей заказчика работы в облаке (условия описываются в соглашении между сторонами). Затем учетная запись и все ресурсы заказчика уничтожаются без возможности их восстановления. Мы всегда уведомляем наших заказчиков по электронной почте о том, что их ресурсы переведены в архивный режим и будут удалены. Записи о запросах к ресурсам пользователя через API хранятся в течение года для анализа инцидентов информационной безопасности и противодействия мошенничеству. По истечении года записи также безвозвратно удаляются.

Может ли третья сторона получить доступ к моим данным?

Мы не раскрываем информацию заказчиков третьим лицам. Исключениями могут быть выполнение требований действующего законодательства Российской Федерации или положения заключенного с вами соглашения. В любом случае мы предпринимаем все возможные меры для перенаправления запроса третьей стороны заказчику.

Клиенты