Безопасность в облаке

Обеспечиваем высокий уровень безопасности клиентских данных и предоставляем сервисы для защиты информации в облаке

Оставить заявку на консультацию

Узнайте, как организовать защиту персональных данных в облаке

Узнать подробнее

Поддерживаем комплексную безопасность облака на физическом, сетевом, инфраструктурном и организационном уровне

Доступность, целостность и конфиденциальность данных — наши главные ориентиры при обеспечении безопасности в облаке. Для их достижения мы придерживаемся SLA 99,982%, используем современное оборудование и последние версии ПО. Что касается уровней защиты:

Ограничиваем доступ посторонних к физическим серверам

Наше оборудование размещено в охраняемых дата-центрах Tier III. Этот сертификат характеризует отказоустойчивость и надежность инфраструктуры ЦОД. Территория таких предприятий огорожена, там действует контрольно-пропускной режим, дежурит охрана. Физический доступ к «железу» имеет крайне ограниченный круг доверенных лиц. Дополнительный уровень защиты обеспечивает система видеонаблюдения с архивом записей.

Защищаем периметр облачной инфраструктуры

Используем метод сегментации на уровне облачной платформы встроенными средствами консоли управления и на сетевом уровне средствами SDN. Дополнительную безопасность инфраструктуры обеспечивают системы контроля целостности образов виртуальных машин и гипервизоров, а также инструменты защиты от DDoS-атак. В то же время за сбор и анализ событий, представляющих интерес с точки зрения информационной безопасности, отвечают средства класса SIEM. Они помогают обнаружить нелегитимную деятельность в сети и вовремя принять меры.

Разрабатываем безопасные приложения

Наши инженеры применяют безопасные принципы написания кода, а также инструменты SAST и DAST. Это статические и динамические анализаторы, которые помогают находить уязвимости в программах и решать проблемы аутентификации и конфигурации. Разрабатываемые сервисы в обязательном порядке проходят пентесты. ИБ-специалисты моделируют действия хакеров, ищут уязвимости и демонстрируют гипотетические возможности злоумышленников. Такие «контролируемые взломы» проходят минимум раз в год с привлечением сторонней экспертизы.

Совершенствуем систему управления информационной безопасностью

Мы создали СУИБ с целью непрерывного предоставления облачных сервисов и услуг клиентам и поддерживания прозрачного управления процессами обеспечения кибербезопасности и защиты персональных данных. В системы определены процедуры и процессы, направленные на снижение рисков кибербезопасности и выполнение требований законодательства.

Узнайте, чем мы подкрепляем нашу безопасность

Подтверждаем безопасность аттестатами, сертификатами и лицензиями

Наша многоуровневая система защиты информации соответствует требованиям законодательства РФ и реализует лучшие мировые практики кибербезопасности. Это подтверждено имеющимися аттестатами, сертификатами и лицензиями:

Аттестаты

152-ФЗ

Все облачные платформы Cloud.ru соблюдают требования ФЗ №152 «О персональных данных» и обеспечивают безопасность персональных данных в соответствии с приказом ФСТЭК России №21 на первом уровне защищенности (УЗ-1). Это значит, что персональные данные пользователей могут передаваться и храниться в Cloud.ru.

Защита ГИС

Облачная платформа Enterprise аттестована на соответствие требованиям безопасности информации, предъявляемым к государственным информационным системам (ГИС) при обеспечении первого класса защищенности (К1).

187-ФЗ

Данный закон определяет правила обеспечения безопасности критической информационной инфраструктуры РФ. Платформа Enterprise аттестована на соответствие требованиям безопасности информации, предъявляемым к третьей категории значимости объектов критической информационной инфраструктуры.

Стандарты ISO

ISO/IEC 27001:2013

Сертификат подтверждает соответствие облака Cloud.ru международным требованиям для создания и поддержания системы менеджмента информационной безопасности (Privacy Information Management System, PIMS).

Смотреть PDF

ISO/IEC 27017:2015

Сертификат подтверждает соответствие облака Cloud.ru международным требованиям к сервис-провайдерам облачных услуг для обеспечения безопасности облачного окружения и снижения рисков информационной безопасности.

Смотреть PDF

ISO/IEC 27018:2019

Сертификат подтверждает соответствие облака Cloud.ru международным требованиям по определению общепринятых целей/средств контроля и принципов внедрения комплекса мер по обеспечению безопасности персональных данных в соответствии с принципами, изложенными в стандарте ISO/IEC 29100.

Смотреть PDF

Сертификаты и лицензии

PCI DSS 3.2.1

Платформа Enterprise имеет зоны доступности, которые соответствуют требованиям стандарта безопасности индустрии платежных карт PCI DSS 3.2.1. Это позволяет клиентам использовать платформу для обработки, хранения и передачи данных о держателях платежных карт международных платежных систем «Мир», Visa, MasterCard, JCB, China UnionPay, American Express и других без рисков, которые возникают при обработке и хранении данных.

Сертификаты дата-центров

ЦОД, в которых размещается инфраструктура Cloud.ru, соответствует следующим стандартам:

  • ISO/IES 27001:2006
  • ISO 9001:20011
  • ISO/IES 20000-1:2013
  • Uptime Institute Tier III Design
  • Uptime Institute Tier III Facility
  • Uptime Institute Tier III Operation
  • PCI DSS 3.2.1

ГОСТ 57580.1–2017

Регионы PD01, PD11 и PD12 платформы Enterprise соответствуют требованиям ГОСТ 57580.1–2017 «Защита информации финансовых организаций. Базовый состав организационных и технических мер» — имеют пятый уровень соответствия, R = 0,93.

Смотреть PDF 1, PDF 2, PDF 3

Изучить зоны ответственности

Зоны ответственности провайдера и клиента за безопасность

Безопасность облачной инфраструктуры — одна из ключевых задач провайдера, при этом клиент также несет ответственность за настройку доступов и сохранность данных в системе, проводит аттестации и сертификации в отношении собственной инфраструктуры, построенной поверх инфраструктуры облачных платформ Cloud.ru, в случаях, когда это необходимо.

Разделение ответственности

Зоны ответственности провайдера и клиента меняются в зависимости от модели облачных сервисов и типа облака:

Частное облако

Публичное облако

IaaSPaaSSaaS

Управление рисками ИБ

Построение модели угроз, выбора типа сервиса и необходимых средств защиты информации

Клиент
КлиентКлиентКлиент

Безопасность данных

Управление доступом, шифрование, управление ключами

Клиент
КлиентКлиентСовместно

Безопасность приложений

Управление доступом, сканирование уязвимостей, патчи безопасности

Клиент
КлиентКлиентСовместно

Безопасность виртуальных машин и сервисов

Управление доступом, защита от malware, мониторинг, управление конфигурациям, патчи безопасности

Клиент
КлиентКлиентПровайдер

Сетевая безопасность

Защита от DDoS, сегментация сетей, шифрование трафика, фильтрация трафика, защита от сетевых атак

Клиент
СовместноПровайдерПровайдер

Безопасность инфраструктуры

Среда виртуализации, сканирование на уязвимости

Совместно
ПровайдерПровайдерПровайдер

Физическая безопасность

Контроль физического доступа к инфраструктуре, резервирование каналов передачи и электроснабжения

Провайдер
ПровайдерПровайдерПровайдер

Как облачный провайдер защищает данные и за что несет ответственность клиент?

Читать на Хабре
Ознакомьтесь с сервисами для защиты ваших данных

Используйте сервисы безопасности при решении задач по защите компонентов вашей инфраструктуры

  • Веб-приложения
  • Управление конфигурацией облачных ресурсов
  • Административный доступ
  • Взаимодействие с информационными системами
  • Виртуальные машины
  • Мониторинг событий и реагирование
  • Управление уязвимостями
  • Хосты и серверы
  • Шифрование данных
  • Базы данных
  • Контейнеры
  • Консультации по соответствию 152-ФЗ
  • Поддержка по внедрению сервисов

Используйте сервисы фильтрации трафика и виртуальный межсетевой экран для защиты опубликованных веб-приложений. В случае низких рисков возникновения DDoS-атак, примените самостоятельное решение BI.ZONE WAF. Размещайте ваши средства защиты информации в дата-центрах Cloud.ru.

Как размещаются средства безопасности в облаке

Ниже представлена общая схема размещения и применения основных и дополнительных сервисов безопасности, предоставляемых нашим клиентам.

Как это работает

Обозначения и сокращения в документации.

Scheme

Защита персональных данных: как легче соблюдать закон с Cloud.ru и сохранять спокойствие

Читайте в нашем блоге

Получите бесплатную консультацию по вашему проекту

  • 1
    Заполните данные
  • 2
    Мы свяжемся с вами
  • 3
    Подберем лучшее из решений
Нажимая кнопку «Отправить» вы соглашаетесь с  политикой обработки персональных данных