Презентация с CloudsNN 2012

1. Информационная безопасность облака
как конкурентное преимущество сервис-
провайдеров
Денис Безкоровайный, CISA, CISSP, CCSK
Вице-президент RISSPA,
Сооснователь Cloud Security Alliance Russian Chapter
Технический консультант Trend Micro
CloudsNN
23 августа 2012
Нижний Новгород

2. О чем пойдет речь
Что останавливает переход в облака?
Как провайдеру сделать свой сервис
безопасным и убедить клиентов в этом?
Как выделиться на фоне остальных
игроков?

3. Портрет идеального клиента
облачного провайдера
4

4. Почему клиенты не идут в облака?
Источник:
Результаты опроса российских CIO об отношении к Облакам
5

5. Почему клиенты не идут в облака?
Безопасность данных
Потеря контроля
Неопределенность
Сложность защиты данных по нормативам
4

6. Кто отвечает за безопасность в облаке?
Security of Cloud Computing Providers Study Sponsored by CA Technologies Independently conducted by Ponemon 6
InstituteLLC Publication Date: April 2011

7. О чем думает клиент?
"Где безопаснее - у провайдера или в
моем собственном датацентре?"
3

8. Что на самом деле важно
"Насколько наш аппетит к риску
соотносится с мерами защиты наших
данных у провайдера?"
3

9. Целевые клиенты облачных провайдеров
и их отношение к безопасности
Малый и средний бизнес
• Переход в облака - повышение
защищенности данных
Крупные компании
• Переход в облака - риск снизить степень
защиты данных
4

10. Может ли безопасность увеличить
доходы провайдера?
Безопасность повышает степень доверия к
провайдеру
Обращение новых клиентов
Рост потребления услуг существующими
клиентами засчет более критичных
сервисов
7

11. Пример: FedRAMP
Мотивация простая – докажи что
соблюдаешь меры безопасности и получи
доступ к госзаказу
8

12. Какого уровня
прозрачности
средств ИБ
достаточно
для клиентов?
9

13. Сертификация и аудит облачных
провайдеров
FedRAMP
SSAE 16 / ISAE 3402
AICPA/CICA Trust Services
Examination
CSA Open Certification
Framework
ISO 27001
CSA STAR
10

14. Cloud Security Alliance
Open Certification Framework
Три ступени сертификации провайдеров
• Самооценка
• Подтверждение аудитом
• Постоянный мониторинг соответствия
11

15. Самооценка, первый этап
CAIQ - Единая форма для
ИБ-вопросов на основе
лучших мировых практик
Перевод документа от
Cloud Security Alliance:
«Опросник оценки состояния
безопасности облачной
среды»
www.risspa.ru/csa

16. Подтверждение независимым
аудитом, этап 2
Аккредитация аудиторов
Программа аудита – разрабатывается
Основная методология – ISO 27001 и
CSA Cloud Control Matrix
Скоринговая система оценки
безопасности провайдеров – в баллах

17. Постоянный мониторинг,
этап 3
Автоматизированный процесс сбора ИБ
метрик с облачной инфраструктуры
провайдера
Интеграция со средствами мониторинга
клиентами облачных провайдеров

18. С чего начать провайдерам?
Самооценка про CAIQ позволит:
1. Понять текущее состояние ИБ
2. Выявить области для улучшения
3. Результаты можно использовать для CSA
STAR
• Открытость повышает доверие
клиентов
15

19. Как провайдеру снизить расходы на
безопасность?
Использовать комплексные решения,
закрывающие множество рисков
Использовать схемы оплаты pay-as-you-go
Продавать клиентам дополнительные опции
безопасности и зарабатывать на этом
16

20. Безопасность и лидеры облачного
рынка
3

21. Есть возможность отличиться!
На данный момент ни один российский
облачный провайдер не предоставляет
открыто результаты самооценки по
опросникам CSA
Только одна компания-провайдер
сертифицирована по мировым
стандартам (ISO 27001)
16

22. Cloud Security Alliance
Russian Chapter
Локализация руководств и результатов
исследований CSA
Адаптирование лучших практик CSA к
российским условиям и законодательству
Разработка рекомендаций для российских
потребителей облачных услуг
www.risspa.ru/csa

23. Вопросы?
bezkod@RISSPA.ru
Денис Безкоровайный
www.RISSPA.ru
18