Приложение С (справочное). Рекомендации по технической оценке облачных услуг (инфраструктура как услуга)

Приложение С
(справочное)

Рекомендации
по технической оценке облачных услуг (инфраструктура как услуга)

С.1 Область применения и цель приложения

В данном приложении содержатся рекомендации по оценке внедрения и использования мер обеспечения ИБ, а также по реализации правил ИСО/МЭК 27017. Данное приложение дополняет приложение В настоящего стандарта, в котором рассматриваются меры обеспечения ИБ, а также практическое руководство ИСО/МЭК 27002.

Цель данного приложения - обозначить для аудиторов аспекты оценки облачных услуг, предоставляемых по принципу "инфраструктура как услуга". Область применения настоящего приложения показана на рисунке С.1. Системы предоставления облачных услуг разнообразны и подвержены непрерывным изменениям благодаря быстрому развитию инновационных технологий. В настоящем приложении не рассматривается какая-то конкретная система, его целью являются практические методы оценки, примечания и объекты оценки.

Кроме того, в данном приложении содержится информация для инженеров-поставщиков облачных услуг, которая будет включать принятые меры безопасности, чтобы узнать, как следует проверять услугу, и указывать маршрут технической оценки. Следование рекомендациям позволяет не только аудиторам выполнять оценку надлежащим образом, но и поставщикам облачных услуг разрабатывать конкретные меры обеспечения ИБ для того, чтобы их собственная служба соответствовала ИСО/МЭК 27017.

Обработчик ПДн публичного облака должен своевременно предоставить потребителю сервиса облачных вычислений всю необходимую информацию, что позволит потребителю сервиса облачных вычислений гарантировать соответствие обработчика ПДн публичного облака определенным целям и принципам ограничений. При этом также будет гарантироваться, что никакие ПДн не обрабатываются обработчиком ПДн публичного облака или любым из его субподрядчиков для иных целей, не предусмотренных предписаниями потребителя сервиса облачных вычислений.

Рисунок С.1 - Область применения настоящего приложения

С.2 Связь с другими международными стандартами

Настоящее приложение и ИСО/МЭК 27017 связаны со следующими стандартами:

а) ИСО/МЭК 27018, который описывает меры и средства контроля и управления защитой ПДн в облачных услугах.

Настоящее приложение относится к инфраструктуре как услуге. В такой инфраструктуре клиенты облачных услуг сами несут ответственность за защиту своей собственной информации, хранящейся на используемой клиентом облачных услуг виртуальной машине. Это означает, что поставщик облачных услуг не может контролировать персональные данные на виртуальной машине и, следовательно, этот вопрос не рассматривается в настоящем стандарте.

Персональные данные, которые должен поддерживать поставщик облачных услуг, включают в себя и информацию о клиентах облачных услуг. Эти данные управляются и хранятся под управлением служб модели реализации, описанной ниже. Кроме того, при управлении услугами персональные данные должны обрабатываться в соответствии с ИСО/МЭК 27018;

b) ИСО/МЭК 17788, в котором дается обзор и терминология облачных вычислений;

c) ИСО/МЭК 17789, содержащий основные концепции по компонентам конфигурации облачных услуг.

ИСО/МЭК 17789 определяет архитектуру облачных услуг с точки зрения их роли и деятельности. При оценке необходимо использовать подходы, учитывающие реализацию облачной системы, включая подтверждение пригодности конфигурации механизма виртуализации.

В настоящем приложении представлена модель реализации облачной системы, которая отображает функциональные компоненты, определенные в ИСО/МЭК 17789.

С.3 Структура настоящего приложения

В начале данного приложения предлагается модель среды облачных услуг с использованием инфраструктуры в качестве предлагаемой услуги. Эта модель описывает взаимосвязь между типами ресурсов и виртуализацией, а также концепцию клиентов и арендаторов облачных услуг. Сервер, сеть и хранилище рассматриваются как типы ресурсов.

Требования к технической оценке описаны в том же формате, что и в приложении В, в порядке тем, относящихся к модели, отдельным типам ресурсов и управлению услугами:

a) Разъяснение типичных технологий

Разъяснение технологических элементов и руководств, связанных с внедрением виртуализации. В случаях, когда существует несколько методов реализации, разъясняются типичные методы.

b) Меры обеспечения ИБ, определенные в ИСО/МЭК 27017

Ссылка на меры обеспечения ИБ в ИСО/МЭК 27017, которые связаны с виртуализацией.

c) Методика технической оценки мер обеспечения ИБ ИСО/МЭК 27017

Описание руководства по методике оценки мер обеспечения ИБ ИСО/МЭК 27017.

В случаях, когда существует несколько методов реализации, разъясняется один из них.

С.4 Модель среды облачных услуг (инфраструктура как услуга)

С.4.1 Суть модели

Широкое разнообразие технологий облачных услуг не дает возможности рассмотреть их все по отдельности. Кроме того, технологии облачных услуг являются новыми и все еще находятся в процессе технического развития. С учетом этого проводить стандартизацию методов технической оценки на базе отдельных и специализированных технологий нецелесообразно. Аудитор ИБ может с учетом данной методологической модели определить, были ли фактически реализованные технологии мер обеспечения ИБ разработаны на основе проекта мер обеспечения ИБ и собирать свидетельства для фактической оценки.

С.4.2 Модель и ее компоненты

В данной инфраструктуре среда является обязательным условием, посредством которого предоставляются облачные услуги:

a) виртуальные ресурсы, непосредственно используемые клиентами облачных услуг;

b) механизмы виртуализации, которые устанавливают эти ресурсы;

c) управление услугами для контроля и обеспечения механизмов виртуализации.

На рисунке С.2 представлена модель реализации системы, обеспечивающей предоставление облачных услуг.

Примечание - Эта мера и средства контроля и управления являются дополнением к более общей мере и средству контроля и управлению в соответствии с А.3.1 и не заменяет или отменяет ее.

Важной концепцией этой модели является виртуализация и разделение ресурсов.

В механизмах виртуализации физические ресурсы предоставляются в виде виртуальных ресурсов с компонентами абстрагирования и управления ресурсами с правами доступа, разделенными арендатором.

Область аренды - это область, в которой концентрируются виртуальные ресурсы, выделенные каждому контролируемому доступу. Заказчику облачных услуг по запросу может быть предоставлено несколько областей аренды. Как правило, к области аренды имеют доступ несколько пользователей, которые используют ее для обработки информации.

Модель имеет четыре компонента. Три из них, физические ресурсы, механизмы виртуализации и виртуальные ресурсы, образуют такие типы ресурсов, как сервер, сеть и хранилище.

a) Физические ресурсы - это физическое оборудование, необходимое для предоставления облачных услуг. В качестве компонентов в их число входят серверное оборудование, сетевое оборудование и оборудования для хранения данных.

Физическое сетевое оборудование включает в себя физическую сетевую интерфейсную карту (NIC), которая соединяет сервер с сетью. Физическое оборудование для хранения включает адаптер шины (НВА) и FC-коммутаторы, которые соединяют сервер с хранилищем.

b) Механизмы виртуализации используются для создания виртуальных ресурсов, предоставляемых облачными сервисами. Для виртуализации серверов используется гипервизор. Для виртуализации сетей применяются виртуальные локальные сети (VLAN) и программно-определяемые сети (SDN). Подобные механизмы используются в большинстве устройств хранения.

Рисунок С.2 - Модель реализации системы, обеспечивающей предоставление облачных услуг

c) Виртуальные ресурсы создаются функцией виртуализации и предоставляются клиентам облачных услуг. Это такие ресурсы, как облачные сервисы, виртуальные машины, виртуальные сети и виртуальные хранилища. Виртуальные ресурсы обычно обозначают комплекс виртуально сформированных ресурсов.

Примечание - Сеть и хранилище могут виртуализироваться серверами. Например, виртуализированные коммутаторы, конфигурирующие виртуальную сеть, могут быть созданы гипервизором, который виртуализирует сервер.

d) Управление услугами - это компонент модели, представляющий собой систему, которая дает возможность поставщику предоставлять облачные услуги клиенту и интерфейс для облачной системы.

С помощью вышеупомянутой функции виртуализации производится выделение виртуальных ресурсов, необходимых для облачных услуг. Эта функция также осуществляет мониторинг и управление физическими ресурсами, а также контролирует надлежащую работу всей облачной среды.

Управление услугами также включает в себя функции портала, утилиты и прикладные программные интерфейсы (API), что дает возможность клиенту облачных услуг работать в заданных пределах, например, открывать и активировать/деактивировать виртуальные машины.

С.4.3 Соответствие ИСО/МЭК 17789

Функциональные компоненты, определенные в ИСО/МЭК 17789, фактически реализуются в данном приложении посредством элементов реализации, используемых для каждого компонента в зависимости от типа или уровня целевого ресурса.

Примеры контроля доступа:

- Контроль доступа к физическим дискам Диск;

- Контроль доступа для каждой области аренды Механизмы виртуализации;

- Контроль доступа к виртуальным дискам Механизмы виртуализации;

- Контроль доступа в каждой виртуальной машине ОС виртуальной машины.

В модель реализации, описываемую в данном приложении, включены многоуровневые функции и компоненты ИСО/МЭК 17789, обслуживающие облачные функции, а в состав управления услугами модели реализации входят системы бизнес-поддержки (BSS) или операционной поддержки (OSS) ИСО/МЭК 17789.

Многоуровневые функции, относящиеся к интеграции и безопасности, реализованы в целевых механизмах с соответствующими правами доступа.

C.5 Общая практика в модели реализации

С.5.1 Общая информация

Далее в данном разделе рассматривается практика оценки, общая для виртуализации серверов, виртуализации сети и виртуализации хранилища.

С.5.2 Применение технологий виртуализации в облачных услугах

Как упоминалось выше, виртуализация состоит из функций виртуализации и виртуальных ресурсов. В инфраструктуре как услуге пользователи облачных услуг получают доступ к этим виртуальным ресурсам.

При проведении технической оценки облачной системы требуются следующие оценки механизмов виртуализации:

a) Безопасность операций

Поскольку работа механизмов виртуализации напрямую влияет на виртуальные ресурсы, убедитесь, что операции выполняются надлежащим образом.

b) Определение среды

Убедитесь в том, что определены журналы и события, о которых должны информироваться облачные клиенты (уведомления об ошибках, предупреждения, информация о превышении пороговых значений), в параметрах механизмов виртуализации для обеспечения сбора и регистрации информации.

Убедитесь в том, что избыточность виртуальных механизмов и виртуальных ресурсов также задана в параметрах механизмов виртуализации и может быть оценена.

c) Управление производительностью

В каждой виртуализации проверяется, управляется ли связь виртуальных ресурсов, предоставляемых клиентам облачных услуг, с физическими ресурсами.

Облачные вычисления предоставляют логические ресурсы, доступные статистически одновременно. Таким образом, общие предоставляемые виртуальные ресурсы больше, чем общие физические ресурсы (превышение аренды, превышение объема).

С.5.3 Проведение технической оценки общих аспектов механизма виртуализации

С.5.3.1 Безопасность при эксплуатации

Мера обеспечения ИБ		ИСО/МЭК 27017, 12.1.2 Процесс управления изменениями
Рекомендации по реализации для поставщика облачных услуг		Поставщик должен обеспечивать клиента информацией об изменениях в предоставляемых облачных услугах и используемых системах, которые могут негативно сказаться на ИБ клиента облачных услуг. Следующая информация поможет потребителю облачных услуг определить воздействие изменений на информационную безопасность: - категории изменений; - планируемая дата и время внесения изменений; - техническое описание изменений в облачных сервисах и базовых системах; - уведомление о начале и завершении реализации изменений. Если поставщик облачных услуг предоставляет облачный сервис, зависящий от другого однорангового поставщика облачных услуг, то поставщик таких услуг должен уведомлять потребителя таких облачных услуг об изменениях облачных услуг со стороны другого поставщика
Дополнительная техническая информация		Потенциально значимые изменения для клиента облачных услуг приведены ниже: Сервер: - обновление или модернизация гипервизора; - изменения параметров гипервизора и в определениях среды. Сеть: - изменения в определениях виртуальных локальных сетей; - изменения в конфигурации, определениях среды и параметрах сетевых устройств, включая коммутатор, маршрутизатор, брандмауэр и балансировщик нагрузки. Хранилище: - изменения в определениях устройств; - изменения зонирования сети хранения данных и т.д. Оборудование: - обновление прошивки. Программное обеспечение: - обновление программного обеспечения; - применение программных исправлений (патчей); - применение исправлений безопасности. Данные изменения могут оказывать различное воздействие на клиентов облачных услуг. Клиент и поставщик облачных услуг должны согласовать, уведомление о каких изменениях должны доводиться до сведения клиента с учетом уровня их возможного воздействия
1	Стандарт реализации безопасности	В системе управления изменениями необходимо определить и обеспечить соответствующее оповещение клиентов облачных услуг, которые подвергаются прямому или косвенному воздействию
	Техническое примечание к стандарту реализации безопасности	Поскольку между информационными ресурсами существует взаимная связь, воздействию могут подвергаться клиенты облачных услуг, использующие другие ресурсы, зависящие от изменяемых. Как правило, конфигурации аппаратного и программного обеспечения находятся и обновляются в базе данных управления конфигурациями (CMDB). Аппаратные и программные ресурсы, выделяемые каждому клиенту облачных услуг, также управляются со стороны базы данных управления конфигурациями, OSS (системы поддержки операций) или BSS (системы поддержки бизнеса). Эти системы управляют взаимоотношениями аппаратного и программного обеспечения с клиентами облачных услуг, на которых воздействуют изменения этого аппаратного и программного обеспечения
	1.1	Практическое руководство	Проверьте, определен ли круг клиентов облачных услуг, использующих подлежащие изменениям информационные ресурсы
		Предполагаемые свидетельства	Результаты поиска в базе данных управления конфигурациями и т.д. (Результаты поиска клиентов облачных услуг, использующих определенные информационные ресурсы)
		Метод	Проверка/Наблюдение
	1.2	Практическое руководство	Убедитесь в понимании соответствующих отношений при наличии зависимостей или воздействий между информационными ресурсами
		Предполагаемые свидетельства	Результаты поиска в базе данных управления конфигурациями и т.д. (Результаты поиска информационных ресурсов, которые подвергаются воздействию определенных информационных ресурсов при наличии зависимостей между ними)
		Метод	Проверка/Наблюдение
	1.3	Практическое руководство	Проверьте, правильно ли предоставляется информация об управлении изменениями, которая должна направляться клиентам облачных услуг. Удостоверьтесь, что: - предоставляется информация об изменениях, затрагивающих клиентов облачных услуг (также и о косвенных воздействиях); - имеются соглашения с клиентами или определен соответствующий уровень воздействия
		Предполагаемые свидетельства	Почтовые сообщения клиентам облачных услуг Портал для клиентов облачных услуг
		Метод	Проверка/Наблюдение

Мера обеспечения ИБ		ИСО/МЭК 27017, 12.1.3 Управление производительностью
Рекомендации по реализации для поставщика облачных услуг		Поставщик облачных услуг должен контролировать общую емкость вычислительных ресурсов, чтобы предотвратить инциденты ИБ, вызванные нехваткой ресурсов
Дополнительная техническая информация		Поставщик облачных услуг предоставляет следующие облачные ресурсы: - вычислительные мощности ЦП, оперативная память; - полоса пропускания сети; - объем памяти для хранения данных. В облачной системе управление производительностью является обязательным для предотвращения ситуаций нехватки вычислительных ресурсов в периоды пиковой нагрузки. Управление производительностью должно быть реализовано не только в облачной системе в целом, но и в каждом отдельном блоке, поскольку вычислительные ресурсы могут не предоставляться вне блока облачной системы
1	Стандарт реализации безопасности	Определите уровень, после которого должны быть добавлены вычислительные ресурсы, и выполните необходимые действия при его достижении
	Техническое примечание к стандарту реализации безопасности	Укажите определенный порог для вычислительных ресурсов и проведите мониторинг, чтобы выдать сигнал тревоги, когда использование может превысить этот порог. Проведите мониторинг использования вычислительных ресурсов с помощью облачной системы, оборудования, программного обеспечения и т.д.
	1.1	Практическое руководство	Проверьте, как контролируются вычислительные ресурсы, для которых в соответствии с требованиями необходимо управление производительностью
		Предполагаемые свидетельства	Определение мониторинга облачной системы Отчет о производительности
		Метод	Проверка/Наблюдение
	1.2	Практическое руководство	Проверьте, подается ли сигнал тревоги, когда использование ресурсов превышает пороговое значение
		Предполагаемые свидетельства	Настройки оповещений для системы мониторинга облачных услуг (убедитесь в том, что определен сигнал тревоги для срабатывания по порогу) Журнал событий системы мониторинга облачных услуг (проверьте, был ли выдан сигнал тревоги в прошлом)
		Метод	Проверка/Наблюдение

Мера обеспечения ИБ		ИСО/МЭК 27017, CLD.12.1.5 Безопасность операций администратора
Рекомендации по реализации для поставщика облачных услуг		Поставщик облачных услуг должен предоставить документацию о критических операциях и процедурах тем клиентам облачных услуг, которым это необходимо
Дополнительная техническая информация		Неудачные изменения облачной вычислительной среды, как правило, отражаются на ее клиентах, которые не могут пользоваться облачными услугами. Наиболее серьезные последствия для клиентов - удаление и уничтожение данных клиентов в хранилище. Предполагается, что временный выход из строя или отключение облачной вычислительной среды не может привести к уничтожению активов, даже в случае отмены выполняемых транзакций
1	Стандарт реализации безопасности	Только предварительно авторизованные операторы могут удалять данные
	Техническое примечание к стандарту реализации безопасности	Для работы с административными привилегиями, которые позволяют удалять данные клиентов облачных услуг в хранилище, должен требоваться уровень аутентификации, отличный от уровня аутентификации для обычной работы
	1.1	Практическое руководство	Убедитесь в ограниченном количестве идентификаторов с административными привилегиями и наличии отдельной процедуры работы с административными привилегиями
		Предполагаемые свидетельства	Список идентификаторов пользователей с возможностью работы с хранилищем данных и т.п. Работа с административными привилегиями
		Метод	Проверка/Наблюдение
Мера обеспечения ИБ		ИСО/МЭК 27017, 12.4.1 Регистрация событий
Рекомендации по реализации для поставщика облачных услуг		Поставщик облачных услуг должен обеспечить возможности ведения журналов для потребителя облачных услуг
Дополнительная техническая информация		Как описано в разделе "Дополнительная информация для облачных служб" ИСО/МЭК 27017, поставщик облачных услуг отвечает за ведение журнала и мониторинг компонентов инфраструктуры облачных услуг в среде "инфраструктура как сервис", рассматриваемой в этом документе. Они включают: - Журналы и события гипервизора; - Журналы и события брандмауэра и балансировки нагрузки; - Журналы и события хранилища и оборудования сети хранения данных. Поскольку эти компоненты инфраструктуры совместно используются клиентами облачных услуг, в журналах регистрируются события для всех клиентов облачных сервисов в целом. Возникает необходимость извлечь и предоставить информацию, относящуюся только к соответствующему клиенту облачных услуг
1	Стандарт реализации безопасности	Ведутся журналы с записью событий, которые должны быть предоставлены клиентам облачных услуг
	Техническое примечание к стандарту реализации безопасности	Для ведения журнала и сбора событий используется функция компонентов инфраструктуры облачных услуг. Форма представления выходных документов журнала определяется параметрами компонентов инфраструктуры облачных услуг
	1.1	Практическое руководство	Убедитесь в том, что для компонентов инфраструктуры облачных услуг заданы параметры ведения журналов или событий
		Предполагаемые свидетельства	Определение параметров инфраструктуры облачных услуг
		Метод	Проверка/Наблюдение
Мера обеспечения ИБ		ИСО/МЭК 27017, 12.4.4 Синхронизация времени
Рекомендации по реализации для поставщика облачных услуг		Поставщик облачных услуг должен предоставить клиенту облачных услуг информацию о времени, используемом провайдерами облачных услуг в процессе мониторинга и регистрации событий компонентами инфраструктуры, и о том, как можно синхронизировать локальное время со временем в облаке
Дополнительная техническая информация		Для клиентов облачных сервисов в среде "инфраструктура как сервис" необходима синхронизация времени виртуальной машины со средой облачных услуг. Как правило, используются следующие методы синхронизации: - NTP (сетевой протокол сервиса времени); - метод гипервизора
1	Стандарт реализации безопасности	Для синхронизации времени виртуальной машины поставщик облачных услуг использует метод NTP или гипервизор
	Техническое примечание к стандарту реализации безопасности	Клиенты облачных услуг должны настроить синхронизацию времени своих собственных виртуальных машин на основе соответствующего метода
	1.1	Практическое руководство	Убедитесь, предоставляет ли поставщик облачных услуг метод синхронизации времени
		Предполагаемые свидетельства	Результат проверки наличия NTP-сервера и доступности этого сервера для клиентов облачных услуг по протоколу NTP Результат проверки синхронизации с помощью гипервизора и возможности использования клиентами облачных услуг такой функции синхронизации времени
		Метод	Тестирование
Мера обеспечения ИБ		ИСО/МЭК 27017, CLD.12.4.5 Мониторинг облачных служб
Рекомендации по реализации для поставщика облачных услуг		Поставщик облачных услуг должен обеспечить потребителю возможность мониторинга определенных аспектов работы облачных услуг, относящихся к потребителю. Например, возможность отслеживания использования облачных услуг в качестве платформы для злонамеренных компьютерных атак или утечки конфиденциальных данных из облачных сервисов. Использование функций мониторинга должно быть защищено средствами контроля доступа. Эти функции должны иметь доступ только к той информации, которая относится к собственному экземпляру облачных услуг потребителя. Поставщик облачных услуг должен предоставить их потребителю документацию о возможностях средств мониторинга. Необходимо обеспечить соответствие результатов мониторинга данным журналов событий (см. 12.4.1) и выполнение условий соглашения об уровне обслуживания
Дополнительная техническая информация		В общем случае, поскольку определить злонамеренное использование облачных сервисов сложно, то следует отмечать превышение определенных лимитов сетевого трафика и доступа к хранилищу как таковых
1	Стандарт реализации безопасности	Используйте функции ведения журнала или мониторинга для обнаружения ситуаций, определяемых как недобросовестное использование облачных услуг
	Техническое примечание к стандарту реализации безопасности	См. 12.4.1
	1.1	Практическое руководство	Проверьте, что система мониторинга определена таким образом, чтобы обнаруживать события, определяемые как злонамеренное использование облачных услуг
		Предполагаемые свидетельства	Определение параметров системы мониторинга
		Метод	Проверка/Наблюдение

Мера обеспечения ИБ		ИСО/МЭК 27017, 12.6.1 Процесс управления техническими уязвимостями
Рекомендации по реализации для поставщика облачных услуг		Поставщик облачных услуг должен предоставлять потребителям облачной службы информацию об управлении техническими уязвимостями, относящимися к облачным службам и используемым им информационным системам
Дополнительная техническая информация		Технические уязвимости зависят от версий программного обеспечения. В целом, поскольку компоненты инфраструктуры облачных услуг используют более одной версии из одного и того же программного обеспечения, необходимо определить, существуют ли уязвимости в используемых вычислительных ресурсах
1	Стандарт реализации безопасности	При обнаружении технических уязвимостей в компонентах инфраструктуры облачных услуг необходимо определить потребителей облачных услуг, которые используют вычислительные ресурсы с уязвимостями, и предоставить им информацию об этих уязвимостях. Для определения взаимосвязей вычислительных ресурсов с клиентами облачных услуг см. 12.1.2 "Управление изменениями"
	Техническое примечание к стандарту реализации безопасности	Для определения взаимосвязей вычислительных ресурсов с клиентами облачных услуг см. 12.1.2 "Управление изменениями"
	1.1	Практическое руководство	Проверьте, выявлены ли клиенты службы, использующие вычислительные ресурсы с найденными уязвимостями, и получили ли они информацию о технических уязвимостях
		Предполагаемые свидетельства	Уведомления по электронной почте о технических уязвимостях; информация портала и т.д.
		Метод	Проверка/Наблюдение

С.6 Виртуализация серверов

С.6.1 Общие сведения о виртуализации серверов

Виртуализация сервера создает образ физического сервера (состоящего из центрального процессора, памяти, устройств ввода-вывода и т.д.) на логическом ресурсе. В общем виде структура виртуализации серверов представлена на рисунке С.3.

Рисунок С.3 - Обобщенная схема виртуализации серверов

a) Виртуализация центрального процессора (ЦП) под управлением монитора виртуальных машин (МВМ) выделяет виртуальным машинам клиентов физический процессор (ядро) на физическом сервере в качестве ресурса виртуализации на основе виртуального "ядра".

Виртуализация ЦП обеспечивает возможность избыточной аренды или выделения виртуальных ЦП в количестве, превышающем общее количество физических ядер ЦП всего сервера.

При избыточной аренде VMM выполняет планирование ЦП и переключение виртуальных ЦП, распределенных на физические ядра ЦП. В связи с этим следует обратить внимание на то, что одновременная интенсивная работа более чем одной ВМ увеличивает частоту конфликтов физических ЦП, потребляет ресурсы ЦП для планирования ЦП, а кроме того, вызывает задержку при выделении ресурсов ЦП, что может повлиять на производительность обработки.

b) Виртуализация памяти распределяет память виртуальной машины по памяти физического сервера. Как и в случае виртуализации ЦП, виртуализация памяти допускает избыточную аренду, что означает, что общий объем памяти, видимый виртуальными машинами, больше, чем фактический объем памяти на физическом сервере. Превышение аренды на память разрешается либо путем динамического выделения памяти для виртуальной машины (раздувание), либо посредством совместного использования идентичной памяти несколькими виртуальными машинами. В обоих случаях сумма минимальных объемов памяти, выделенной каждой виртуальной машине, должна быть меньше, чем объем доступной памяти физического сервера.

c) Виртуализация хранилища: хранилище виртуальной машины рассматривается как набор файлов в хранилище физического сервера. Однако существуют проблемы передачи больших объемов данных при переносе виртуального сервера между физическими серверами, связанные с загрузкой каналов передачи, быстродействием устройств хранения данных и т.д. Поэтому, как правило, в проекте системы, предоставляющей облачные услуги, предусматривается использование общего сервера хранения данных с доступом к данным через сеть хранения данных (SAN).

d) Виртуализация ввода/вывода виртуализирует совокупность периферийных устройств: сетевые интерфейсные карты, адаптеры шины и адаптеры последовательного порта. Виртуальный порт адаптера используется при подключении к виртуальной машине, которая настроена для работы под МВМ с настройками МВМ, или при подключении к порту физического адаптера на физическом сервере. Следует обратить внимание на то, что функции ввода-вывода адаптера шины и сетевой интерфейсной карты используются совместно в большей степени по сравнению с памятью и процессорами и часто становятся узким местом в функции виртуализации.

С.6.2 Применение виртуализации серверов в облачных услугах

a) Разделение клиентов при виртуализации серверов

В общем проекте виртуализированной среды виртуализированные серверы представляют собой полностью независимые ресурсы, соединенные с виртуальными машинами посредством виртуальной сети.

Поэтому для разделения ресурсов виртуальных машин требуются минимальные меры безопасности сети. Особое внимание в среде виртуализации следует уделить исправлениям уязвимостей самой среды виртуализации, предоставленным легитимными источниками.

Кроме того, специальная среда виртуализации должна обеспечивать быстрый обмен данными как между виртуальными машинами для непосредственного взаимного обмена, так и для обмена данными между виртуальными машинами через физический порт физического сервера. Поэтому следует обратить внимание на другие отличные от сетевых карт устройства ввода/вывода.

Для защиты виртуальных ресурсов существует технология, с помощью которой осуществляется доступ к памяти и операциям ввода-вывода из МВМ или из привилегированной виртуальной машины. Используя эту технологию, можно отслеживать поведение виртуальной машины и для защиты ресурсов обнаруживать недопустимые программные операции.

Однако несмотря на то, что доступ из МВМ или привилегированной ВМ повышает защищенность виртуальных ресурсов, внедрять такую технологию следует с осторожностью, поскольку недобросовестные пользователи могут получить возможность для совершения компьютерной атаки.

b) Обеспечение доступности при виртуализации серверов

Динамическая миграция - это функция, которая переносит рабочую среду виртуальной машины на другой физический сервер без деактивации виртуальной машины. Динамическая миграция реализуется путем запуска на виртуальной машине памяти целевого физического сервера образа виртуальной машины, записанного в общем хранилище, передачи через локальную сеть данных кэш-памяти, а также завершения виртуального ввода-вывода. Такой механизм позволяет передавать содержимое памяти по локальной сети в режиме динамической миграции, при это решающее значение имеет безопасность данных в памяти и безопасность локальной сети. Динамический перенос виртуальной машины между физическими серверами либо осуществляется администратором, либо обеспечивается технологией высокой доступности, посредством которой виртуальная машина может автоматически мигрировать между физическими серверами в случае возникновения сбоя в среде.

Если мониторинг с помощью такого рода технологии высокой доступности обнаруживает сбой, то предоставление услуг приостанавливается на время, необходимое для активации образа виртуальной машины, работающей на неисправном физическом сервере, на другом нормально работающем физическом сервере. Отказоустойчивая среда виртуализации является технологией, которая позволяет сократить время приостановки предоставления услуг, предусмотренное технологией высокой доступности. Отказоустойчивая среда виртуализации обеспечивает управление первичной и вторичной виртуальными машинами на нескольких физических серверах и постоянно синхронизирует обе виртуальные машины. При нормальной работе первичная виртуальная машина предоставляет услугу, а для обеспечения устойчивости к сбоям вторичная виртуальная машина может заменить ее в тот момент, когда произошел сбой. Следует обратить внимание, что обе технологии требуют наличия ресурсов на другом физическом сервере, а не на одном и том же физическом сервере.

c) Администрирование производительности виртуализации сервера

Виртуальная память или ресурсы ЦП могут динамически распределяться во время работы с использованием соответствующей ОС. Поскольку ресурсов на физическом сервере может быть выделено не более чем есть физически, необходимо гарантировать наличие свободного места для переноса виртуальной машины с помощью описанной выше технологии динамической миграции на другой физический сервер с учетом ресурсов, используемых другими виртуальными машинами. Ресурсы физического сервера определяются следующими показателями:

- количество ядер процессора;

- размер памяти;

- производительность дискового ввода/вывода;

- размер диска;

- производительность сетевого ввода/вывода.

Общий объем требуемых ресурсов можно рассчитать путем умножения суммы этих показателей, предоставленных в качестве сервисов для простой виртуализированной среды, на издержки, требуемые для виртуализации. Для обеспечения доступности сервиса необходимо предусмотреть запас для каждого физического сервера, а также ресурсов.

Приоритет показателей и способ предоставления услуг зависят от бизнес-модели или соглашения об уровне обслуживания поставщика облачных услуг. В любом случае очень важно, чтобы предоставляемые в текущий момент ресурсы и доступные ресурсы подвергались мониторингу для обеспечения непрерывного предоставления аппаратных ресурсов. Такой мониторинг выполняется главным образом средствами управления услугами для обеспечения целостности всей среды облачных сервисов. Однако следует обратить внимание на то, что инструмент мониторинга использования ресурсов может быть установлен как на МВМ, так и на привилегированной виртуальной машине на сервере виртуализации.

С.6.3 Проведение технической оценки виртуализации сервера

С.6.3.1 Управление доступом

Информация о разделении при виртуализации серверов приведена в С.6.2.

Мера обеспечения ИБ		ИСО/МЭК 27017, CLD.9.5.1 Разделение в виртуальных вычислительных средах
Рекомендации по реализации для поставщика облачных услуг		Поставщик облачных услуг должен обеспечить надлежащее логическое разделение данных клиентов облачных услуг, виртуализированных приложений, операционных систем, хранилищ и сетей, в том числе: - разделение ресурсов, используемых клиентами облачных сервисов в средах с несколькими арендаторами; - отделение внутреннего администрирования поставщика облачных услуг от ресурсов, используемых клиентами облачных услуг. В тех случаях, когда облачная служба обеспечивает среду с несколькими арендаторами, поставщик облачных услуг должен внедрить меры и средства обеспечения ИБ для надлежащей изоляции ресурсов, используемых различными арендаторами. Поставщик облачных услуг должен учитывать риски, связанные с использованием программного обеспечения, применяемого заказчиком облачных услуг, в условиях, обеспечиваемых поставщиком услуг
Дополнительная техническая информация		Реализация логического разделения зависит от технологий, применяемых для виртуализации
1	Стандарт реализации безопасности	Разделение потребителей облачных услуг в средах с несколькими арендаторами
	Техническое примечание к стандарту реализации безопасности	Между виртуальными машинами, использующими память и виртуальные порты, существует связь, которая потенциально может стать связью между виртуальными ресурсами
	1.1	Практическое руководство	Необходимо деактивировать функции непосредственного доступа между виртуальными машинами
		Предполагаемые свидетельства	Необходимо убедиться, что в мониторе виртуальных машин отключены функции непосредственного доступа между виртуальными машинами
		Метод	Проверка/Наблюдение, Проверка/Оценка
2	Стандарт реализации безопасности	Отделение внутреннего администрирования поставщика облачных услуг от виртуальных сред потребителей облачных услуг
	Техническое примечание к стандарту реализации безопасности	В рамках разделения ВМ и МВМ управление ВМ-МВМ может быть активным, как было отмечено выше. Кроме того, поскольку связь ВМ-МВМ может быть создана с помощью инструментов, реализуемых из соображений безопасности и доступности безопасности или доступности этой связи, то уязвимости в этих инструментах могут оказаться лазейкой в конфигурации ВМ-МВМ
	2.1	Практическое руководство	В программном обеспечении для виртуализации должны использоваться функции разделения. Включите функцию секционирования в среде виртуализации
		Предполагаемые свидетельства	Подтверждение политики управления доступом в МВМ. Убедитесь, что в МВМ выключен механизм "Transparent Page Sharing"
		Метод	Проверка/Наблюдение, Проверка/Оценка
	2.2	Практическое руководство	Физическое разделение кластера виртуальных систем
		Предполагаемые свидетельства	Необходимо подтвердить, что функция поддержки виртуализации на физическом сервере активна
		Метод	Проверка/Наблюдение, Проверка/Оценка
3	Стандарт реализации безопасности	Необходимо принять меры по управлению уязвимостями
	Техническое примечание к стандарту реализации безопасности	В платформах виртуализации (ОС хостов, гипервизор и т.д.) должны использоваться продукты, созданные с учетом мер безопасности (с учетом общих критериев и т.д.)
	3.1	Практическое руководство	Убедитесь, что продукты, используемые в платформах виртуализации, созданы с учетом мер безопасности
		Предполагаемые свидетельства	Базовая проектная документация для платформы виртуализации
		Метод	Проверка/Оценка
	3.2	Практическое руководство	Обмен информацией об уязвимостях в операциях
		Предполагаемые свидетельства	Подтверждение статуса обмена информацией об уязвимостях (проверка информации, размещенной на странице портала и т.д.)
		Метод	Проверка/Наблюдение

Мера обеспечения ИБ		ИСО/МЭК 27017, CLD.9.5.2 Защита виртуальных машин
Рекомендации по реализации для поставщика облачных услуг		При настройке виртуальных машин клиенты и поставщики облачных услуг должны обеспечивать соответствующую защиту (например, должны быть включены только те порты, протоколы и службы, которые необходимы для работы облачных служб) и для каждой используемой виртуальной машины принимать соответствующие технические меры безопасности (например, противодействие вредоносному ПО, ведение журнала)
Дополнительная техническая информация		ВМ/МВМ и физический сервер обеспечивают не только работу операционной системы ВМ, но и защиту виртуальных машин. Поскольку все они тесно связаны, то для повышения уровня защиты виртуальных машин требуется сотрудничество клиента облачных услуг и поставщика облачных услуг
1	Стандарт реализации безопасности	При настройке виртуальных машин должны быть включены только необходимые устройства и/или услуги
	Техническое примечание к стандарту реализации безопасности	Что касается усиления виртуальной машины, то подобная мера обеспечения ИБ не является каким-то новым улучшением виртуального сервера, поскольку к нему могут быть применены общие технологии усиления сервера. Однако существует технология для МВМ, обеспечивающая безопасность сервера. Если используется эта технология, то метод ее оценки также должен соответствовать методу, определенному в ИСО/МЭК 27002
	1.1	Практическое руководство	Убедитесь, что МВМ настроен для обеспечения минимального функционала ВМ
		Предполагаемые свидетельства	Результат подтверждения
		Метод	Проверка/Наблюдение, Проверка/Оценка
	1.2	Практическое руководство	Опишите, какой тип услуги будет добавлен в образ ОС виртуальной машины, предоставленный по умолчанию в МВМ или в системе управления услугами, и подтвердите, что информация о дополнительной услуге выводится на экран конфигурации новой виртуальной машины, созданной системой управления облачными услугами
		Предполагаемые свидетельства	Результат подтверждения
		Метод	Проверка/Наблюдение, Проверка/Оценка
2	Стандарт реализации безопасности	При создании виртуальной среды следует снижать риски атак вредоносных программ и уязвимостей на сервер, который предоставляет виртуальную среду
	Техническое примечание к стандарту реализации безопасности	В зависимости от технологии виртуализации можно добавлять различные приложения с использованием общей ОС, но следует избегать избыточных ролей, функций и приложений. МВМ должен обеспечивать работу основных элементов инфраструктуры, таких как антивирусное программное обеспечение, агент резервного копирования и т.д. В идеале следует использовать МВМ со всеми функциями, которые могут устранить уязвимости
	2.1	Практическое руководство	Необходимо убедиться, что услуги на хостах ограничены до минимума. Рекомендуется использовать ОС в минимальной конфигурации
		Предполагаемые свидетельства	Необходимо проверить услуги на виртуальной машине, убедиться в том, что они соответствуют минимальной конфигурации и отметить это в проектной документации
		Метод	Проверка/Наблюдение, Проверка/Оценка
	2.2	Практическое руководство	Убедитесь, что обновления безопасности выполняются соответствующим образом для МВМ и приложений, включая и сам МВМ
		Предполагаемые свидетельства	Убедитесь, что нет необходимости выполнять обновления благодаря внедрению инструмента обновления
		Метод	Проверка/Наблюдение, Тестирование
	2.3	Практическое руководство	Убедитесь, что загрузчик или МВМ никоим образом не изменены
		Предполагаемые свидетельства	Подтвердите, что SecureBoot активен, проверив экран UEFI
		Метод	Проверка/Наблюдение
3	Стандарт реализации безопасности	При настройке виртуальных машин убедитесь, что для каждой используемой виртуальной машины реализованы соответствующие меры и средства обеспечения безопасности (например, защита от вредоносных программ, ведение журнала)
	Техническое примечание к стандарту реализации безопасности	В дополнение к общепринятой практике управления уязвимостями на серверах существуют программное обеспечение, такое как драйверы для более эффективного использования квази-виртуальных сред, и программное обеспечение для управления гостевыми машинами с сервера и т.д., которое должно быть установлено в связи с тем, что среда является виртуальной
	3.1	Практическое руководство	Соберите информацию об уязвимостях в инструментах и драйверах, используемых в виртуальных средах, и подготовьте модель для объявления об обновлениях для клиентов облачных услуг
		Предполагаемые свидетельства	Убедитесь, что журналы уведомлений и клиенты облачных услуг могут подтвердить соответствующие данные
		Метод	Проверка/Наблюдение

С.7 Виртуализация сети

С.7.1 Общие сведения о виртуализации сетей

Классическая сетевая виртуализация представляет собой средство обеспечения нескольких независимых коммуникаций в одной физической сети. Сетевая виртуализация на сервере представляет собой средство подключения нескольких виртуальных машин, находящихся на одном физическом сервере. Виртуальные машины могут быть перемещены на другой физический сервер в случае сбоя физического сервера, на котором была размещена соответствующая виртуальная машина, или в случае высокой интенсивности использования физического ресурса. Характерно, что виртуальные машины при этом сохраняют свои VLAN-идентификаторы и IP-адреса. На рисунке 4 показана конфигурация виртуальных машин и сети, к которой они подключены.

ГАРАНТ:

По-видимому, в тексте предыдущего абзаца допущена опечатка. Вместо слов "рисунке 4" следует читать "рисунке С.4"

a) Виртуальный коммутатор

Функция логического L2-коммутатора обеспечивается монитором виртуальной машины.

Он находится между физической сетевой платой и виртуальной машиной и получает/отправляет пакеты. Поскольку физическая сетевая карта прозрачно передает пакеты, виртуальный коммутатор подключается через физическую сетевую карту к физическому коммутатору.

b) Виртуальная сетевая плата

Функция логической сетевой платы, обеспечиваемая монитором виртуальной машины, для подключения виртуальной машины к виртуальному коммутатору.

c) Виртуальный маршрутизатор

Функция логического маршрутизатора обеспечивается программным обеспечением, установленным на виртуальной машине, или самой виртуальной машиной, выполняющей роль маршрутизатора. Виртуальный коммутатор также может выполнять функции маршрутизатора.

d) Виртуальный межсетевой экран

Функция логического межсетевого экрана, обеспечиваемая программным обеспечением, установленным на виртуальной машине, или фактическая виртуальная машина, функционирующая в качестве межсетевого экрана.

С.7.2 Применение виртуализации сетей в облачных услугах

a) Разделение клиентов при виртуализации сетей

Виртуальная машина, используемая клиентами, имеет уникальные виртуальные МАС-адрес и IP-адрес. Поскольку логическая сеть, соединяющая одну или несколько виртуальных машин, настраивается отдельно для каждого клиента, клиенты разделены как в физической сети, так и на физическом сервере.

b) Обеспечение доступности при виртуализации сетей

В случае сбоя физического сервера доступность виртуальных машин и виртуальной сети на сервере может быть обеспечена путем их перемещения на другую физическую машину. Когда происходит сбой физического сетевого адаптера, установленного на физическом сервере, то если физический сетевой адаптер настроен с резервированием, виртуальная сеть переключается на другой физический сетевой адаптер без изменения фактической виртуальной машины, что позволяет сохранить ее доступность.

c) Управление полосами пропускания и адресным пространством при виртуализации сети

Поскольку при облачных услугах, как правило, создается множество виртуальных сетей в ограниченной физической сети, суммарная ширина логических полос пропускания для виртуальных сетей может значительно превышать ширину физической полосы пропускания физической сети. Кроме того, поскольку виртуальные машины могут перемещаться с одного физического сервера на другой, сохраняя при этом свои идентификаторы VLAN и/или IP-адреса, количество идентификаторов VLAN, которые должны быть установлены в физическом коммутаторе, и/или новое количество МАС-адресов имеют тенденцию к увеличению.

Рисунок С.4 - Обобщенная схема виртуализации сетей

С.7.3 Проведение технической оценки виртуализации сети

С.7.3.1 Управление доступом

С.7.3.2 Криптография

Мера обеспечения ИБ		ИСО/МЭК 27017, 10.1.1 Политика использования средств криптографической защиты информации
Рекомендации по реализации для поставщика облачных услуг		Поставщик облачных услуг должен предоставлять информацию клиенту облачных услуг о специфике использования средств криптографической защиты обрабатываемой им информации. Поставщик облачных услуг также должен предоставлять клиенту облачных услуг информацию о любых предоставляемых возможностях, которые могут помочь клиенту облачных услуг в применении собственных средств криптографической защиты информации
Дополнительная техническая информация		Информация потребителей облачных услуг при доступе к облачным услугам шифруется
1	Стандарт реализации безопасности	Пользовательские данные шифруются с помощью сетевых устройств или функций шифрования сервера
	Техническое примечание к стандарту реализации безопасности	При шифровании используются протоколы шифрования, такие как SSL/TLS, SSH, IPSec и т.д.
	1.1	Практическое руководство	Убедитесь, что сетевые устройства или серверы настроены для шифрования связи
		Предполагаемые свидетельства	Настройки конфигурации для шифрования на устройстве связи или сервере
		Метод	Проверка/Наблюдение, Проверка/Оценка
	1.2	Практическое руководство	Используйте анализатор пакетов для мониторинга трафика по каналу связи и подтверждения того, что полезный сетевой трафик зашифрован
		Предполагаемые свидетельства	Данные мониторинга трафика, полученные из анализатора пакетов
		Метод	Проверка/Наблюдение, Проверка/Оценка

С.7.3.3 Безопасность системы связи

Мера обеспечения ИБ		ИСО/МЭК 27017, 13.1.3 Разделение в сетях
Рекомендации по реализации для поставщика облачных услуг		Поставщик облачных услуг должен обеспечить следующее разделение доступа в сети: - каждого арендатора от других в предоставляемой среде; - среды внутреннего администрирования поставщика облачных услуг от среды облачных услуг клиентов. При необходимости поставщик облачных услуг должен помочь клиенту облачного сервиса проверить разделение, реализованное поставщиком облачных услуг
Дополнительная техническая информация		Для разделения сетей в облачных услугах возможно как физическое разделение с использованием физических сетей, в которых физические ресурсы не зависят друг от друга, так и логическое разделение на логические сети, совместно использующие физические ресурсы. Логические сети могут быть определены не только в физических сетях, но и на физических серверах
1	Стандарт реализации безопасности	Если потребитель облачных услуг использует отдельный индивидуальный физический ресурс (например, физический сервер, физическое хранилище), то в качестве конкретной сети для каждого потребителя облачных услуг он, соответственно, использует физическую сеть, состоящую из отдельного независимого устройства связи и линии связи. Если несколько потребителей облачных услуг в качестве арендаторов используют один и тот же физический ресурс (например, физический сервер, физическое хранилище), то они используют логически независимую сеть VLAN для каждого арендатора или виртуальной машины. Администратор облачных услуг, осуществляющий управление физическими ресурсами (например, физическим сервером, физическим хранилищем), которые используются потребителями облачных услуг, подключен к физическому порту, отличному от порта для потребителей облачных услуг, и в качестве административной сети использует физическую сеть, состоящую из физически независимого устройства связи и линии связи. Администратор облачных услуг, осуществляющий управление физическими ресурсами (например, физическим сервером, физическим хранилищем), которые используются потребителями облачных услуг, подключен к логическому порту, отличному от порта для потребителей облачных услуг, и в качестве административной сети использует логически независимую сеть VLAN
	Техническое примечание к стандарту реализации безопасности	В случае физического разделения сетей разные физические порты на одном и том же физическом активе будут иметь разные идентификаторы. В случае логического разделения сетей разные логические сети в одной физической сети будут иметь разные идентификаторы сети VLAN, сети VSAN или разные маски подсети
	1.1	Практическое руководство	Убедитесь, что для каждого арендатора настроена независимая сеть, не имеющая каких-либо лазеек
		Предполагаемые свидетельства	Информация о маршрутизации для сетей и идентификаторы сетей, выделенные арендаторам (таблица коммутации, таблица маршрутизации и т.д.)
		Метод	Проверка/Наблюдение, Проверка/Оценка
	1.2	Практическое руководство	Убедитесь в том, что только авторизованные лица могут получить доступ к сети, настроенной для арендаторов
		Предполагаемые свидетельства	Привилегии доступа для сетей, выделенные арендаторам (сервер контроля доступа, таблица управления правами доступа к сетевым устройствам и т.д.)
		Метод	Проверка/Наблюдение, Проверка/Оценка
	1.3	Практическое руководство	Убедитесь, что административная сеть, используемая поставщиком облачных услуг, настроена независимо от других сетей, а также убедитесь, что только лица, авторизованные поставщиком облачных услуг, могут получить доступ к настроенной административной сети
		Предполагаемые свидетельства	Настройки прав доступа и информация о маршрутизации для сети управления, используемой поставщиком облачных услуг
		Метод	Проверка/Наблюдение, Проверка/Оценка

Мера обеспечения ИБ		ИСО/МЭК 27017, CLD.13.1.4 Согласованность методов обеспечения безопасности виртуальных и физических сетей
Рекомендации по реализации для поставщика облачных услуг		Поставщик облачных услуг должен определить и документировать политику ИБ для конфигурации виртуальной сети в соответствии с политикой ИБ для физической сети. Поставщик облачных услуг должен убедиться, что конфигурация виртуальной сети соответствует политике ИБ, независимо от того, какие средства используются для ее реализации
Дополнительная техническая информация		Если средства для настройки физических ресурсов (например, физического коммутатора, физического маршрутизатора, физической линии связи, физического сервера, физического хранилища) не зависят от средств для настройки виртуальной сети, для которой физические ресурсы являются ее частью, то для согласования параметров вручную требуются определенные навыки и полное внимание специалиста, который осуществляет конфигурацию параметров. Существуют различные примеры технических средств, которые основаны не только на навыках выполняющего настройку специалиста, а сами согласовывают настройки виртуальной сети с параметрами физической сети автоматически
1	Стандарт реализации безопасности	Каждый отдельный элемент мер обеспечения ИБ должен быть отделен от виртуальной и физической сети, а принятая архитектура сети должна объединять все эти элементы мер обеспечения ИБ. Для управления виртуальными и физическими сетями на уровне коммутатора должен использоваться не виртуальный коммутатор, а физический коммутатор, реализующий функцию виртуального коммутатора. Следует использовать механизм синхронизации изменения параметров виртуального и физического коммутатора с динамической миграцией виртуальных машин. Кроме того, следует использовать идентификаторы сети VLAN, которые полностью адаптированы для использования тех же параметров сети даже после перемещения виртуальной машины при динамической миграции. Система администрирования виртуальных и физических сетей должна быть унифицирована, и эту унифицированную систему используют для настройки параметров
	Техническое примечание к стандарту реализации безопасности	В случае изменения маршрутизации из-за сбоя или миграции виртуальной машины, маршрутизация виртуальных сетей по физическим сетям изменится. Кроме того, если на одном физическом сервере работает несколько арендаторов или определено несколько виртуальных машин, то на физическом сервере для виртуальных сетевых устройств (виртуальный коммутатор, виртуальный маршрутизатор и т.д.) будет настроено несколько виртуальных сетей
	1.1	Практическое руководство	Убедитесь, что существует физический маршрут для виртуальной сети
		Предполагаемые свидетельства	Идентификатор виртуальной сети, настроенной на физическом сетевом устройстве, идентификатор виртуальной сети, настроенной на виртуальном сетевом устройстве на физическом сервере
		Метод	Проверка/Наблюдение, Проверка/Оценка
	1.2	Практическое руководство	Убедитесь, что виртуальная сеть совместима с конфигурацией физической сети, которую она использует для своих маршрутов (такие, например, параметры конфигурации, как маршрутизация, коммутация, фильтрация, управление полосой, управление приоритетами, управление доступом)
		Предполагаемые свидетельства	Конфигурация выбора маршрута (таблица коммутации, таблица маршрутизации и т.д.), фильтрация, управление полосой пропускания, расстановка приоритетов и настройка контроля доступа на физических и виртуальных сетевых устройствах
		Метод	Проверка/Наблюдение, Проверка/Оценка

С.8 Виртуализация хранилища

С.8.1 Общие сведения о виртуализации хранилища

Виртуализация хранилища представляет собой создание логического (виртуального) образа физического хранилища (диска).

Обобщенная структура виртуализации хранилища представлена на рисунке С.5.

Рисунок С.5 - Структура виртуализации хранилища

a) Логический том

Важнейшим элементом виртуализации хранилища является логический том. Логический том - это единица хранения, которая может распознаваться гипервизором или ОС на виртуальной машине как отдельный виртуальный ресурс хранилища. Физические диски виртуализируются с помощью функции виртуализации хранилища.

b) Массив RAID

В последнее время все чаще в качестве устройств хранения данных используется такой логический том, как массив RAID (массив независимых дисков с избыточностью), в котором для повышения отказоустойчивости объединены более одного физического диска и используется механизм, позволяющий оптимизировать избыточность распределенных данных. Распределение данных по нескольким физическим дискам обеспечивает возможность обработки данных при повреждении физического диска.

RAID-массив позволяет виртуализировать несколько физических дисков, объединенных в один логический том.

c) Пул памяти

Функция, которая обрабатывает физические диски или логические тома как один большой логический том (пул памяти). Это функция обеспечивает гибкость работы хранилища, включая и объем дискового пространства, в комбинации с возможностью увеличения емкости за счет добавления новых дополнительных физических дисков в существующий пул памяти.

Иногда такую функцию называют "логическая единица" или "логическое устройство" (LDev).

d) Виртуализация емкости хранилища

Функция, которая при запросе логического тома выделяет любую емкость, практически независимо от физической емкости хранилища.

При хранении данных на логическом томе это реализуется путем динамического выделения по необходимости области хранения из пула памяти. Эта функция предназначена для повышения эффективности использования ресурса хранилища.

e) Зонирование сети хранения данных

Сеть хранения данных (SAN), использующая оптоволоконный канал (FC), может разделять соединения на зоны по портам оптоволоконного коммутатора. При разделении на зоны с помощью этой функции зонирования функции хранилища для виртуализации запросов на хранилище в другой зоне блокируются.

С.8.2 Применение виртуализации хранилища в облачных услугах

a) Разделение клиентов при виртуализации хранилища

Разделение клиентов при виртуализации хранилищ осуществляется либо путем зонирования логического тома, либо зонирования сети хранения данных для каждого клиента. Следует обратить внимание, что логический том, созданный гипервизором, не обязательно назначается одному арендатору.

К виртуализации хранилища с помощью функции виртуализации сервера следует относиться с осторожностью в связи с тем, что если виртуализация хранилища или разделение клиентов происходит при виртуализации сервера, то разделение хранилища для клиентов не может быть достигнуто путем использования логических томов.

b) Расширение функций доступности при виртуализации хранилища

Доступность облачных услуг может быть расширена с помощью технологий RAID, избыточных маршрутов в оптоволоконном коммутаторе, маршрутов НВА и SAN, изменяющих конфигурацию сети хранения данных, а также функций резервного копирования, поддерживаемых физическим оборудованием хранилища.

c) Управление емкостью в виртуализации хранилища

Пул памяти и виртуализация емкости применяются при виртуализации хранения, чтобы упростить управление емкостью хранения во всех облачных сервисах и упростить управление емкостью логических томов для каждого клиента. В этом случае требуется управление как физической емкостью хранилища, предоставляемой облачным службам, так и емкостью логической памяти, предоставленной арендатору.

С.8.3 Проведение технической оценки виртуализации хранилища

С.8.3.1 Управление доступом

Мера обеспечения ИБ		ИСО/МЭК 27017, CLD.9.5.1 Разделение в виртуальных вычислительных средах
Рекомендации по реализации для поставщика облачных услуг		Поставщик облачных услуг должен обеспечить надлежащее логическое разделение данных для клиентов облачных услуг, виртуализированных приложений, операционных систем, хранилищ и сетей, чтобы: - разделить ресурсы, используемые клиентами облачных сервисов в средах, используемых несколькими клиентами; - отделить внутреннее администрирование поставщика облачных услуг от ресурсов, используемых клиентами облачных услуг. В тех случаях, когда облачные услуги используются одновременно несколькими клиентами, поставщик облачных услуг должен внедрить меры обеспечения ИБ, обеспечивающие надлежащую изоляцию используемых различными арендаторами ресурсов. Поставщик облачных услуг должен учитывать риски, связанные с эксплуатацией заказчиком облачных услуг стороннего программного обеспечения в рамках услуг, предлагаемых поставщиком
Дополнительная техническая информация		Типичные методы разделения хранилища: - создание логических томов для каждого арендатора и реализация управления доступом на основе логических томов; - разделение клиентов с использованием зонирования сети хранения данных
1	Стандарт реализации безопасности	Функции сегментации, обеспечиваемые виртуализированной структурой хранилища, позволяют выполнять разделение потребителей облачных услуг
	Техническое примечание к стандарту реализации безопасности	Сегментация хранилища может быть реализована гипервизором. В этом случае, ввиду структуры виртуализации хранилища, нет необходимости отделения каждого потребителя облачных услуг
	1.1	Практическое руководство	В случае если клиенту предоставляется логический том, следует убедиться в том, что в настройках параметров функции виртуализации хранилища право доступа ограничено только этим клиентом
		Предполагаемые свидетельства	Параметры устройства хранения. Параметры программы управления хранилищем
		Метод	Проверка/Наблюдение
	1.2	Практическое руководство	При разделении клиентов посредством зонирования сети хранения данных, используя настройки параметров оборудования сети хранения данных, следует убедиться, что зоны выделены для каждого арендатора и что зоны хранилища недоступны другим арендаторам
		Предполагаемые свидетельства	Определение зонирования для устройства управления оптоволоконного канала, входящего в состав сети хранения данных
		Метод	Проверка/Наблюдение

С.8.3.2 Криптография

Мера обеспечения ИБ		ИСО/МЭК 27017, 10.1.1 Политика использования средств криптографической защиты информации
Рекомендации по реализации для поставщика облачных услуг		Поставщик облачных услуг должен предоставлять информацию клиенту облачных услуг о специфике использования средств криптографической защиты обрабатываемой им информации. Поставщик облачных услуг также должен предоставлять клиенту облачных услуг информацию о любых предоставляемых возможностях, которые могут помочь клиенту облачных услуг в применении собственных средств криптографической защиты
Дополнительная техническая информация		Одним из способов шифрования хранилища является шифрование логического тома
1	Стандарт реализации безопасности	Шифрование данных клиентов осуществляется с использованием функции шифрования для логических томов
	Техническое примечание к стандарту реализации безопасности	Метод хранения ключей шифрования, стойкость шифрования и т.д. зависят от используемого устройства хранения
	1.1	Практическое руководство	В случае применения функции шифрования для логических томов в виртуализации хранилища следует убедиться, что соответствующий логический том зашифрован с использованием дисплея состояния или утилит, предоставляемых функцией виртуализации хранилища
		Предполагаемые свидетельства	Параметры устройства хранения. Параметры программы управления хранилищем
		Метод	Проверка/Наблюдение

С.8.3.3 Безопасность при эксплуатации

Мера обеспечения ИБ		ИСО/МЭК 27017, 12.3.1 Резервное копирование информации
Рекомендации по реализации для поставщика облачных услуг		Поставщик облачных услуг должен предоставить спецификации своих возможностей резервного копирования клиенту облачного сервиса. В общем случае спецификации должны включать следующую информацию: - объем и график резервного копирования; - методы резервного копирования и форматы данных, включая шифрование (по необходимости); - сроки хранения резервных данных; - процедуры проверки целостности данных резервного копирования; - процедуры и сроки восстановления данных из резервной копии; - процедуры тестирования функций резервного копирования; - место хранения резервных копий. Поставщик облачных услуг должен обеспечивать безопасный и отдельный доступ к резервным копиям, таким как виртуальные моментальные снимки, если такая услуга предлагается клиентам облачных услуг
Дополнительная техническая информация		Если оборудование хранения или программное обеспечение, которое реализует функцию виртуализации при виртуализации хранения, по какой-то причине дает сбой, то сохраняется информация, необходимая для восстановления до прежнего состояния, обеспечивающего предоставление услуг. Такая информация включает в себя параметры функции виртуализации хранилища и информацию о настройке логических томов
1	Стандарт реализации безопасности	Резервное копирование информации о параметрах и определениях должно осуществляться с помощью утилиты функции виртуализации хранилища или другой системной утилиты
	Техническое примечание к стандарту реализации безопасности	Если изменение виртуального ресурса хранилища влияет на информацию об определении, резервные копии данных обновляются в момент инициирования изменений или в течение надлежащего периода времени
	1.1	Практическое руководство	Убедитесь, что информация о параметрах и определениях скопирована. Убедитесь, что изменения виртуальных ресурсов, а также время запуска и периоды резервного копирования соответствуют действительности. Проверьте, можно ли восстановить предыдущие виртуальные ресурсы из резервной копии
		Предполагаемые свидетельства	Параметры устройства хранения. Параметры программы управления хранилищем
		Метод	Проверка/Наблюдение

С.9 Управление услугами

С.9.1 Общие сведения об управлении услугами

Управление услугами представляет собой набор функций, обеспечиваемых инфраструктурой как услугой, которая позволяет потребителям облачных услуг настраивать виртуальные сети, серверы и хранилища. Управление услугами предоставляет потребителям облачных услуг через портал или другие средства интерфейс управления виртуализированными конфигурациями и поддерживает сгенерированные настройки в базе данных управления конфигурациями.

За настройку безопасности виртуальных ресурсов, предоставляемых поставщиком облачных услуг, отвечает непосредственно клиент облачных услуг, который самостоятельно выполняет настройку, например, конфигурации безопасности виртуальной машины.

Однако пользователю облачных услуг не разрешен непосредственный доступ к настройке функций механизмов виртуализации и извлечения журналов. Кроме этих действий, функции управления услугами заключаются в обеспечении взаимосвязей между физическими ресурсами и виртуальными структурами или ресурсами, а также между виртуальными ресурсами и клиентами облачных услуг. Как правило, для установления этих взаимосвязей и используется база данных управления конфигурацией (CMDB).

Пользовательский портал обеспечивает доступ к виртуальным ресурсам клиентов облачной службы и функциям виртуализации с учетом упомянутых ограничений. Кроме того, пользователям облачных услуг доступна функция отображения различных уведомлений, в том числе и об инцидентах, происходящих в облачной системе.

На рисунке С.6 показана система управления услугами в модели облачных услуг.

Рисунок С.6 - Система управления услугами в модели облачных услуг

С.9.2 Управление облачными услугами

a) Управление доступом

Каждая функция виртуализации наделена механизмами как контроля доступа к самой функции виртуализации, так и контроля доступа к виртуальным ресурсам. Метод аутентификации (пароль), объект применяемых прав доступа (идентификатор пользователя и т.д.) и область контроля различны для разных категорий: сети, сервера и хранилища. Управление услугами обеспечивает унифицированное управление доступом клиентов облачных услуг в качестве арендаторов путем использования соответствующих средств управления доступом для разных категорий.

b) Аутентификация пользователей

Исходной предпосылкой контроля доступа должна быть надлежащая аутентификация клиентов облачных услуг. В рамках управления услугами основными интерфейсами для клиентов облачных услуг являются пользовательские порталы и API-интерфейсы, однако аутентификация пользователей должна выполняться в первой точке доступа.

Отдельные аспекты разрешений пользователя определяются максимальным объемом доступных ему ресурсов, балансом расходов, условиями договоров и выставленными счетами. Эти аспекты управляются системой поддержки бизнеса (BSS).

В свою очередь, настройка параметров конфигурации функции виртуализации потребителями облачных услуг и управление доступом посредством вышеупомянутой функции виртуализации управляется системой поддержки операций (OSS).

c) Управление конфигурацией

Взаимосвязь между физическими серверами и виртуальными серверами, работающими на этих физических серверах; взаимосвязь между виртуальными серверами и потребителями облачных услуг; взаимосвязь между потребителями облачных услуг и условиями договоров, платежами и т.д. является важной информацией для управления и эксплуатации облачных услуг. Такая информация вместе с определениями взаимосвязей используется применяемыми средствами контроля доступа.

В системе управления услугами информация о таких конфигурациях хранится и управляется в базе данных управления конфигурациями. BSS и OSS ссылаются на эту базу данных управления конфигурацией и работают во время обновления.

В системе управления услугами информация об этих конфигурациях хранится и управляется в базе данных управления конфигурациями (CMDB). Система поддержки бизнеса и система поддержки операций используют данную базу данных управления конфигурацией и обновляют ее.

d) Менеджмент инцидентов

Менеджмент инцидентов для событий, происходящих на физических ресурсах, настроенных для предоставления облачных услуг, функций виртуализации, виртуальных ресурсов и т.д.; поиск и устранение неисправностей, а также обмен уведомлениями между поставщиком и потребителями облачных услуг обычно осуществляются системой управления услугами. Функциональные возможности менеджмента инцидентов обычно предоставляются клиентам облачных услуг на портале пользователя.

С.9.3 Проведение технической оценки управления услугами

С.9.3.1 Управление доступом пользователей

Мера обеспечения ИБ		ИСО/МЭК 27017, 9.2.1 Регистрация и отмена регистрации пользователей
Рекомендации по реализации для поставщика облачных услуг		Для управления доступом клиентов к облачным услугам пользователей облачных услуг поставщик облачных услуг должен предоставить клиенту облачного сервиса функции регистрации и отмены регистрации пользователей и спецификации использования этих функций
Дополнительная техническая информация		В ИСО/МЭК 27017 (см. 9.2.1) рассматривается добавление и удаление пользователей облачных услуг в системе управления услугами. Для регистрации и удаления пользователей на виртуальных ресурсах потребитель облачных услуг, как правило, использует функциональные возможности активного ресурса (например, ОС ВМ). Поставщик облачных услуг также может предоставить потребителю облачных услуг возможность восстановления собственных данных. Способ восстановления собственных данных потребителем облачных услуг не должен зависеть от поставщика облачных услуг или от состояния системы. Кроме того, поставщик облачных услуг должен предоставлять потребителям облачных услуг возможность беспрепятственно заменять поставщика облачных услуг для снижения риска блокировки
1	Стандарт реализации безопасности	Управление пользователями облачных услуг осуществляется в системе управления услугами. Средства управления доступом к функциям виртуализации контролируются системой управления услугами и явно не предоставляются потребителям облачных услуг
	Техническое примечание к стандарту реализации безопасности	В случаях, если управление пользователями облачной службы возможно через портал управления услугами, на портале должна быть представлена возможность регистрации и удаления. Поскольку управление клиентом облачного сервиса является важным элементом безопасности, поставщики облачных услуг могут осуществлять регистрацию и удаление пользователей облачного сервиса при контакте с указанными пользователями
	1.1	Практическое руководство	Подтвердите, что клиенты облачных услуг имеют возможность зарегистрировать или удалить пользователей облачных услуг через портал клиентов облачных услуг, API и т.д.
		Предполагаемые свидетельства	Экран портала и результаты действия. API, прочие интерфейсы и результаты работы API
		Метод	Проверка/Наблюдение, Тестирование

Мера обеспечения ИБ		ИСО/МЭК 27017, 9.2.2 Предоставление пользователю права доступа
Рекомендации по реализации для поставщика облачных услуг		Поставщик облачных услуг должен предоставить функции управления правами доступа пользователей облачных услуг со стороны потребителя облачных услуг, а также спецификации для использования этих функций
Дополнительная техническая информация		В ИСО/МЭК 27017 (см. 9.2.2) рассматривается предоставление доступа для пользователей облачных услуг в системе управления услугами. Обеспечение доступа к виртуальным ресурсам (например, ОС ВМ) не входит в рамки подраздела 9.2.2
1	Стандарт реализации безопасности	Управление пользователями облачных услуг реализовано в системе управления услугами
	Техническое примечание к стандарту реализации безопасности	Управление правами доступа для пользователей облачных услуг, обеспечиваемое управлением услугами, необязательно должно быть идентичным управлению правами доступа в функциях виртуализации. Однако в управлении услугами должно быть реализовано управление привилегиями доступа в соответствии со спецификацией управления услуг, предоставляемой потребителям облачных услуг. Предоставление доступа к управлению услугами обеспечено в виде управления услугами на портале для пользователей облачных услуг. Единая регистрация, упомянутая в разделе "Дополнительная информация для облачных служб" в этом средстве управления, реализуется на портале управления службами, а в качестве репрезентативного типа реализации может быть предоставлен язык разметки утверждений безопасности (SAML)
	1.1	Практическое руководство	Убедитесь, что функции управления правами доступа пользователей облачных услуг предоставлены как элемент управления на пользовательском портале
		Предполагаемые свидетельства	Экран портала и результаты действия
		Метод	Проверка/Наблюдение, Тестирование
	1.2	Практическое руководство	При наличии функции единого входа необходимо убедиться, что она может использоваться с применяемыми протоколами
		Предполагаемые свидетельства	Внешнее приложение с функцией единого входа. Результат доступа к управлению услугами через внешнее приложение
		Метод	Проверка/Наблюдение, Тестирование

ГАРАНТ:

Начало таблицы. См. окончание

Мера обеспечения ИБ		ИСО/МЭК 27017, 9.2.3 Управление привилегированными правами доступа
Рекомендации по реализации для поставщика облачных услуг		Поставщик облачных услуг должен предоставить надлежащие методы аутентификации для администраторов облачных услуг, клиента облачных услуг в соответствии с административными возможностями облачных услуг, в соответствии с выявленными рисками. Например, поставщик облачных услуг может предоставить возможность многофакторной аутентификации или разрешить использование сторонних средств многофакторной аутентификации
Дополнительная техническая информация		ИСО/МЭК 27017 (см. 9.2.3) рассматривает рекомендации предоставления доступа для пользователей облачных услуг в системе управления услугами. Обеспечение доступа к виртуальным ресурсам (например, ОС ВМ) не подпадает под действие подраздела 9.2.3
1	Стандарт реализации безопасности	"Достаточно строгая аутентификация", как определено в этом средстве обеспечения безопасности, реализована в качестве аутентификации на портале и в управлении услугами
	Техническое примечание к стандарту реализации безопасности	Многофакторная аутентификация, приведенная в качестве примера "достаточно строгой аутентификации" в данном средстве обеспечения безопасности, может использовать следующие компоненты: - биометрическая аутентификация; - аутентификация с использованием токена в дополнение к паролям; - аутентификация по сертификату клиента
	1.1	Практическое руководство	Убедитесь, что достаточно надежная аутентификация используется для аутентификации на портале управления услугами
		Предполагаемые свидетельства	Метод аутентификации и результаты тестирования достаточно строгой аутентификации, предоставляемой поставщиком облачных услуг
		Метод	Проверка/Наблюдение, Тестирование

ГАРАНТ:

Окончание таблицы. См. начало

Мера обеспечения ИБ		ИСО/МЭК 27017, 9.4.1 Ограничение доступа к информации
Рекомендации по реализации для поставщика облачных услуг		Поставщик облачных услуг должен предоставлять клиенту средства управления доступом, которые позволяют ему ограничивать доступ к своим облачным услугам, своим функциям облачных услуг и своим данным, поддерживаемым услугами
Дополнительная техническая информация		В ИСО/МЭК 27017 (см. 9.4.1) рассматривается предоставление доступа для пользователей облачных услуг в системе управления услугами. Обеспечение доступа к виртуальным ресурсам (например, ОС ВМ) не подпадает под действие подраздела 9.4.1
1	Стандарт реализации безопасности	Информация и права доступа к ней, предоставляемые потребителю облачных услуг посредством управления услугами, предоставляются исключительно клиенту конкретного заказчика облачных услуг, и никакая информация или права доступа к ней не могут предоставляться другим клиентам. Благодаря функциям управления клиентами на портале, в тех случаях, когда можно определить информацию и привилегии доступа, обрабатываемые на основе клиента, такие операции становятся возможными
	Техническое примечание к стандарту реализации безопасности	Несколько клиентов облачных сервисов совместно используют функцию виртуализации в облачных сервисах. Разделение клиентов осуществляется с помощью функции управления доступом к виртуализации, поэтому каждый клиент облачной службы не может получить доступ к информации других клиентов облачной службы. Контроль доступа на основе клиента может быть реализован в рамках управления услугами, а не с использованием контроля доступа для функции виртуализации
	1.1	Практическое руководство	Используя функции управления для предоставления информации и привилегий доступа, убедитесь, что информация о других клиентах на портале недоступна
		Предполагаемые свидетельства	Экран работы портала и результаты действия
		Метод	Проверка/Наблюдение, Тестирование
	1.2	Практическое руководство	Убедитесь, что в тех случаях, когда предоставляется функциональность для обеспечения контроля доступа на основе клиента, доступ к облачным сервисам возможен в рамках диапазона привилегий доступа, настроенных для клиента
		Предполагаемые свидетельства	Экран управления потребителями и операции на портале и т.д. Результаты доступа при применении ограничений прав доступа для клиента
		Метод	Проверка/Наблюдение, Тестирование

Мера обеспечения ИБ		ИСО/МЭК 27017, 9.4.4 Использование привилегированных служебных программ
Рекомендации по реализации для поставщика облачных услуг		Поставщик облачных услуг должен определить требования для всех служебных программ, используемых в облачных услугах. Поставщик облачных услуг должен обеспечить, чтобы любое использование служебных программ, способных обходить обычные рабочие процедуры или процедуры безопасности, строго ограничивалось уполномоченным персоналом, и чтобы использование таких программ регулярно оценивалось и проверялось
Дополнительная техническая информация		Служебные программы, подключенные к функции виртуализации, могут влиять на ресурсы, не относящиеся к клиенту облачных услуг. Если клиенту облачных услуг требуются результаты служебной программы, показывающие состояние функции виртуализации и т.д., то результаты должны быть предоставлены клиенту облачного сервиса так, чтобы это не повлияло на других клиентов
1	Стандарт реализации безопасности	Потребителю облачных услуг запрещено напрямую использовать виртуализированные служебные программы, предоставляющие необходимую информацию, во избежание негативного влияния на других клиентов. Получение подобной информации должно осуществляться через управление услугами
	Техническое примечание к стандарту реализации безопасности	Служебные программы, описанные в 9.4.4 ИСО/МЭК 27017, включают: - извлечение спецификаций виртуального сервера, журналов, информации о производительности, связанной с виртуализацией сервера; - получение информации о трафике и прочих данных, связанных с виртуализацией сети; - получение копий томов, информации о доступе и прочих данных, связанных с виртуализацией сервера
	1.1	Практическое руководство	Убедитесь, что информация из служебной программы, предоставленной клиентом облачной службы, не включает информацию, относящуюся к другим клиентам
		Предполагаемые свидетельства	Результаты использования служебной программы
		Метод	Проверка/Наблюдение, Тестирование
2	Стандарт реализации безопасности	Когда клиент облачных услуг использует служебную программу для функции виртуализации в среде клиента, то параметры виртуализации должны быть настроены таким образом, чтобы не затронуть никого, кроме этого клиента
	Техническое примечание к стандарту реализации безопасности	Как правило, сложно использовать служебную программу, которая связана с функцией виртуализации внутри виртуального ресурса. Для проведения технической оценки в соответствии с ИСО/МЭК 27017 (см. 9.4.4) необходимо определить, существует ли какая-либо утилита, которая может превышать необходимые ресурсы виртуального ресурса, повлиять на другие ресурсы и выполнить следующие проверки, если такие ресурсы были затронуты
	2.1	Практическое руководство	Убедитесь, что для утилит, которые могут влиять на другие ресурсы, в функции виртуализации определены параметры блокировки таких действий. Примечание - При выполнении подобных тестов следует учитывать, что это может привести к сбою в среде облачных услуг
		Предполагаемые свидетельства	Определения параметров функции виртуализации и т.д.
		Метод	Проверка/Наблюдение

С.9.3.2 Криптография

Мера обеспечения ИБ		ИСО/МЭК 27017, 10.1.1 Политика использования средств криптографической защиты информации
Рекомендации по реализации для поставщика облачных услуг		Поставщик облачных услуг должен предоставлять информацию клиенту облачных услуг о специфике использования средств криптографической защиты обрабатываемой им информации. Поставщик облачных услуг также должен предоставлять клиенту облачных услуг информацию о любых предоставляемых возможностях, которые могут помочь клиенту облачных услуг в применении собственных средств криптографической защиты информации
Дополнительная техническая информация		В управлении услугами эти меры обеспечения ИБ необходимы для шифрования доступа к порталу и т.д.
1	Стандарт реализации безопасности	Примером внедрения шифрования доступа к порталу является HTTP через SSL/TLS
	Техническое примечание к стандарту реализации безопасности	Для обмена данными с порталом управления услугами используется протокол https
	1.1	Практическое руководство	Необходимо подтвердить, что в качестве протокола для портала управления услугами используется https
		Предполагаемые свидетельства	Протокол, используемый для доступа к порталу. Сертификат, используемый для доступа к порталу, и т.д.
		Метод	Проверка/Наблюдение
2	Стандарт реализации безопасности	Отдельные виды информации, относящейся к средству безопасности типа "Примечание", будут храниться для управления информацией о потребителях и пользователях облачных услуг при управлении услугами. Шифрование, определенное для этого средства безопасности, должно применяться к этой информации при необходимости в соответствии с политикой облачного провайдера
	Техническое примечание к стандарту реализации безопасности	Шифрование данных, управление которыми осуществляется в облачной среде, представляет собой меру обеспечения ИБ самого поставщика облачных услуг и отлично от функционала, предоставляемого потребителю облачных услуг, как определено в этом средстве безопасности
	2.1	Практическое руководство	н/д
		Предполагаемые свидетельства	н/д
		Метод	-

С.9.3.3 Менеджмент инцидентов информационной безопасности

Мера обеспечения ИБ		ИСО/МЭК 27017, 16.1.2 Сообщения о событиях информационной безопасности
Рекомендации по реализации для поставщика облачных услуг		Поставщик облачных услуг должен обеспечить следующие механизмы: - передачи сообщений о событиях ИБ от потребителя облачных услуг к поставщику облачных услуг; - передачи сообщений о событиях ИБ от поставщика облачных услуг к потребителю облачных услуг; - отслеживания потребителем облачных услуг статуса сообщения о событии ИБ
Дополнительная техническая информация		Как отмечается в разделе ИСО/МЭК 27017 "Дополнительная информация для облачных услуг", данные механизмы реализуются посредством телефона, электронной почты и т.д.
1	Стандарт реализации безопасности	Функционал портала может предоставить в рамках управления услугами потребителю облачных услуг интерфейс для управления инцидентами ИБ, как определено в этом средстве обеспечения безопасности
	Техническое примечание к стандарту реализации безопасности	При реализации этой функции в управлении услугами будут обрабатываться как сообщения, полученные от клиента облачных услуг, так и информация, предоставляемая поставщиком облака, а клиенты облачных услуг будут иметь возможность понимать текущую ситуацию, связанную с рассматриваемым инцидентом
	1.1	Практическое руководство	Убедитесь, что портал предоставляет отчеты об инциденте ИБ и обеспечивает функциональность для оценки ситуации
		Предполагаемые свидетельства	Экраны, связанные с инцидентами ИБ, и операции на портале и т.д.
		Метод	Проверка/Наблюдение

С.10 Таблица соответствия ИСО/МЭК 27017 и настоящего приложения

Таблица С.1 - Соответствие ИСО/МЭК 27017 и настоящего приложения

Раздел	Название	Общее значение	Виртуализация серверов	Виртуализация сети	Виртуализация хранилища	Управление услугами
5	Политики информационной безопасности	Не применимо, поскольку не относится к "техническим" аспектам
5.1	Руководящие указания в части информационной безопасности
6	Организация деятельности по информационной безопасности	Не применимо, поскольку не относится к "техническим" аспектам
6.1	Внутренняя организация деятельности по обеспечению информационной безопасности
6.2	Мобильные устройства и дистанционная работа
CLD.6.3	Взаимоотношения потребителей и поставщиков облачных услуг
7	Безопасность, связанная с персоналом	Не применимо, поскольку не относится к "техническим" аспектам
7.1	При приеме на работу
7.2	Во время работы
7.3	Увольнение и смена места работы
8	Менеджмент активов	Не применимо, поскольку понятие "физические ресурсы" выходит за рамки указанного стандарта
8.1	Ответственность за активы
CLD.8.1	Ответственность за активы
8.2	Категорирование информации
8.3	Обращение с носителями информации
9	Управление доступом	Общее описание управления доступом для клиентов облачных услуг приводится в разделе "Управлении услугами". Настоящий раздел не охватывает вопросы контроля доступа для операторов поставщика облачных услуг, эти вопросы рассматриваются в разделе 12. В этом разделе рассматриваются возможные настройки контроля доступа для каждого пользователя в функции виртуализации/ виртуальных ресурсов, если они используются
9.1	Требования бизнеса по управлению доступом	-	-	-	-	-
9.2	Процесс управления доступом пользователей	R	R	R	R	9.2.1 9.2.2 9.2.3
9.3	Ответственность пользователей	-	-	-	-	-
9.4	Управление доступом к системам и приложениям	R	R	R	R	9.4.1 9.4.4
CLD.9.5	Управление доступом к данным потребителя облачных услуг в виртуальной среде совместного использования	R	CLD.9.5.1 CLD.9.5.2	13.1.3	CLD.9.5.1	L
10	Криптография	Рассматриваются случаи шифрования функцией виртуализации по необходимости
10.1	Криптографическая защита информации		10.1.1	10.1.1	10.1.1	10.1.1
11	Физическая безопасность и защита от воздействия окружающей среды	Не применимо, поскольку понятие "физические ресурсы" выходит за рамки указанного стандарта
11.1	Зоны безопасности	-	-	-	-	-
11.2	Оборудование	-	-	-	-	-
12	Безопасность при эксплуатации	Основное внимание уделяется действиям оператора поставщика услуг для функции виртуализации/виртуальных ресурсов
12.1	Эксплуатационные процедуры и обязанности	12.1.2 12.1.3	L	L	L	L
CLD.12.1	Эксплуатационные процедуры и обязанности	CLD12.1.5	L	L	L	L
12.2	Защита от вредоносных программ	-	-	-	-	-
12.3	Резервное копирование	R	R	R	12.3.1	L
12.4	Регистрация и мониторинг	12.4.1 12.4.4	L	L	L	L
CLD.12.4	Регистрация и мониторинг	CLD12.4.5	L	L	L	L
12.5	Контроль программного обеспечения, находящегося в эксплуатации	-	-	-	-	-
12.6	Менеджмент технических уязвимостей	12.6.1	L	L	L	L
12.7	Особенности аудита информационных систем	-	-	-	-	-
13	Безопасность системы коммуникаций	Безопасность сети
13.1	Менеджмент безопасности сетей	R	R	13.1.3	L	-
CLD.13.1	Менеджмент безопасности сетей	R	R	CLD.13.1.4	L	L
13.2	Передача информации	-	-	-	-	-
14	Приобретение, разработка и поддержка систем	Не применимо, поскольку не имеет прямого отношения к технической модели
14.1	Требования к безопасности информационных систем
14.2	Безопасность в процессах разработки и поддержки
14.3	Тестовые данные	-	-	-	-	-
15	Взаимоотношения с поставщиками	Не применимо, поскольку не относится к "техническим" аспектам
15.1	Информационная безопасность во взаимоотношениях с поставщиками
15.2	Управление услугами, предоставляемыми поставщиком	-	-	-	-	-
16	Менеджмент инцидентов информационной безопасности
16.1	Менеджмент инцидентов информационной безопасности и улучшений	R	R	R	R	16.1.2
17	Аспекты информационной безопасности в рамках менеджмента непрерывности деятельности организации
17.1	Непрерывность информационной безопасности
17.2	Резервирование оборудования
18	Соответствие
18.1	Соответствие правовым и договорным требованиям
18.2	Проверка информационной безопасности
Примечание - В настоящей таблице использованы следующие условные обозначения: знак "-" - в ИСО/МЭК 27017 не определены меры обеспечения ИБ поставщика облачных услуг; "L" - ссылка на соответствующий раздел находится слева от этой графы; "R" - ссылка на соответствующий раздел находится справа от этой графы; пустая ячейка - никаких технических действий не требуется.