Безопасность

Системы информационной безопасности регулярно проходят независимые проверки. Это позволяет добиться надлежащего функционирования систем защиты информации и процессов управления информационной безопасностью. Проверки проводятся уполномоченными органами со следующей периодичностью:

Критерий проверки	Проверяющий орган	Периодичность
ISO/IEC 27001:2013	BSI	Ежегодно
ISO/IEC 27017:2015	BSI	Ежегодно
ГОСТ Р 27001-2006	ООО «Тест-С.-Петербург»	Ежегодно
PCI DSS v. 3.2.1	Compliance Control	Ежегодно
Tier Certification of Operational Sustainability Uptime Institute (TCOS)	Uptime Institute	Не реже одного раза в 3 года
Законодательство о персональных данных	Компании-лицензиаты ФСТЭК	Один раз в 3 года

Кроме того, регулярно независимыми компаниями выполняется тестирование на проникновения (не менее 1 раза в год и после внесения критичных изменений) и сканирование уязвимостей (не реже 1 раза в квартал и после внесения критичных изменений) элементов инфраструктуры Облака КРОК.

Безопасность виртуальных машин обеспечивается на нескольких уровнях:

• Управление конфигурациями операционных систем. Процесс изменения конфигураций в Облаке КРОК регламентирован и включает их обязательную проверку в тестовых средах перед переносом в продуктивную среду. Сами конфигурации операционных систем описаны кодом и хранятся в репозитории.
• Организация защиты на инфраструктурном уровне. Пограничные (бастион) хосты обеспечивают сегментацию сети при доступе к облачной инфраструктуре. На каждом хосте осуществляется логирование действий администраторов Облака КРОК, которые регулярно анализируются специалистами, отвечающими за ИБ в Облаке КРОК.
• Аутентификация по SSH-ключам по умолчанию. Этот способ аутентификации снижает риски кражи учетных данных сотрудников с правами доступа в продуктивную среду. В Облаке КРОК хранится только публичная часть — приватная часть ключа хранится на локальном компьютере пользователя.
• Управление уязвимостями. Все установленные в продуктивном окружении пакеты регулярно проверяются на наличие уязвимостей и обновляются до последних версий. Внешний и внутренний периметры регулярно подвергаются тестированию на проникновение и сканированию на наличие уязвимостей.

В Облаке КРОК внедрен регламентированный процесс управления уязвимостями, который предусматривает:

• проведение регулярного сканирования инфраструктуры внутри и извне периметра;
• регулярный мониторинг ресурсов, публикующих последние уязвимости;
• использование стандарта конфигурации устройств, которые вводятся в продуктивную среду.

При нахождении уязвимости осуществляется ее анализ, согласуются сроки по принятия мер для ее устранения и контролируется корректность их реализации. Кроме того, специалисты по ИБ осуществляют постоянный мониторинг ресурсов, где публикуются последние найденные уязвимости. Если они касаются инфраструктуры Облака КРОК, то принимаются все меры по их устранению в кратчайшие сроки посредством установки обновлений по безопасности или реализации компенсационных мер.

Управление событиями и инцидентами ИБ, а также уязвимостями осуществляется в соответствии с разработанными процедурами. За их корректное функционирование отвечают выделенные специалисты Облака КРОК. Данные процедуры включают:

• сбор событий ИБ из средств мониторинга, сообщений пользователей и других источников;
• выявление инцидентов ИБ с использованием автоматизированных средств, а также знаний и опыта сотрудников Облака КРОК;
• реагирование на инциденты ИБ в соответствии с планами реагирования с привлечением специалистов к решению нестандартных проблем;
• анализ инцидентов ИБ сразу после устранения их последствий;
• принятие необходимых корректирующих действий и улучшений по результатам анализа инцидентов ИБ.

Если инцидент ИБ способен повлиять на ресурсы заказчика, то специалист по безопасности Облака КРОК проинформирует вас о произошедшем событии и/или инциденте ИБ, а также о возможности отслеживания его статуса. Ситуации, когда заказчик уведомляется об инцидентах, оговорены в соглашении между сторонами. Если заказчика требуется проинформировать об инциденте/событии ИБ, то в кратчайшие сроки, но не позднее чем через 24 часа ему высылается уведомление по электронной почте. Письмо может содержать описание мер, которые заказчик может предпринять в случае, если это поможет воспрепятствовать инциденту или смягчить его последствия. Кроме того, заказчикам предоставляются необходимые цифровые доказательства или другая информация на основании мотивированного запроса.

В случае окончании действия соглашения или его досрочного расторжения активируется архивный режим. В течение 72 часов с момента перевода заказчика в архивный режим действует режим блокировки с ограничением возможностей заказчика работы в облаке (условия описываются в соглашении между сторонами). Затем учетная запись и все ресурсы заказчика уничтожаются без возможности их восстановления. Мы всегда уведомляем наших заказчиков по электронной почте о том, что их ресурсы переведены в архивный режим и будут удалены. Записи о запросах к ресурсам пользователя через API хранятся в течение года для анализа инцидентов информационной безопасности и противодействия мошенничеству. По истечении года записи также безвозвратно удаляются.

Мы не раскрываем информацию заказчиков третьим лицам. Исключениями могут быть выполнение требований действующего законодательства Российской Федерации или положения заключенного с вами соглашения. В любом случае мы предпринимаем все возможные меры для перенаправления запроса третьей стороны заказчику.