"Верхи не могут, низы не хотят", или Сказ о том, как...
-
Upload
konstantin-feoktistov -
Category
Technology
-
view
181 -
download
1
Transcript of "Верхи не могут, низы не хотят", или Сказ о том, как...
![Page 1: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/1.jpg)
«Верхи не могут, Низы не хотят…», или
сказ о том, как правильно SecaaS делать
![Page 2: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/2.jpg)
«Причина в том, что как разнообразие необходимо для любви, так и любовь порождает разнообразие своих проявлений»
Махараши Ватсьяяна «Кама Сутра»
III—IV века н. э.
И мы не будем говорить
про Камасутру в «облаках»
![Page 3: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/3.jpg)
«Лишь тогда, когда „низы“ не хотят старого и когда „верхи“ не могут по-старому, лишь тогда революция может победить»
В. И. Ленин
«Детская болезнь „левизны“ в коммунизме». 1920 г. ПСС - т.41. - стр.69-70
Мы будем говорить про революционную ситуацию
![Page 4: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/4.jpg)
Революционная ситуация в облакахКак рынок облачных вычислений оказался в позиции «Ждём-с…»
![Page 5: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/5.jpg)
Заказчик облачных услуг
Заказчик:• Очень хочет в «облака»• Обрабатывать информацию /
реализовывать бизнес-процесс• Имеет собственные требованиях по ИБУ заказчика 2 пути:• Обеспечивать ИБ самому …. • «Свалить» на поставщика услуг …
![Page 6: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/6.jpg)
Поставщик облачных услуг
Поставщик (ЦОД и/или «Облако»):• Заинтересован в привлечении клиентов• Снижает расходы на стоимость услуги• Не всегда компетентен в вопросах ИБУ поставщика 2 пути:• Обеспечивать требования ИБ самому … • Позвать поставщика услуг ИБ … ?
![Page 7: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/7.jpg)
Перенос ответственностиЧужоеСвое
Отв
етст
венн
ость
Риски
Зона ответственности Заказчика
Зона ответственности
Поставщика«В Облака» – это туда!...
Перенос рисков
![Page 8: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/8.jpg)
Кто чего хочет?
ОблакоЦОД
Заказчик
ИБ
Хочет, но не может обеспечивать ИБ по-старому
Может, но не хочет обеспечивать ИБ по-старому
Постав-щик ИБ
И хочет, и может обеспечивать ИБ
![Page 9: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/9.jpg)
Поставщик услуг ИБ
Поставщик услуг ИБ• Компетентен в области ИБ:
знания, навыки, опыт, практика, лицензии… Может:• Создать сервис для поставщика «облака»• Внедрить систему защиты Заказчику• Продавать собственные услуги Заказчику
или Поставщику
![Page 10: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/10.jpg)
Кто кому делает SecaaS ? (1)
ОблакоЦОД
Заказчик
Поставщик «Облака» делает SecaaS своим клиентам
Постав-щик ИБ
Поставщик ИБ реализует SecaaS
владельцу облака или ЦОД
![Page 11: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/11.jpg)
Кто кому делает SecaaS ? (2)
ОблакоЦОД
Заказчик
Клиент «Облака» делает SecaaS себе сам силами поставщика ИБ. От «Облака» ничего не требуется
Постав-щик ИБ
Поставщик ИБ реализует
безопасность заказчику
![Page 12: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/12.jpg)
Кто кому делает SecaaS ? (3)
ОблакоЦОД
Заказчик
Поставщик ИБ договаривается с поставщиком «Облака» о продаже собственных услуг клиентам по модели SecaaS
Постав-щик ИБ
![Page 13: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/13.jpg)
«Матрешка» ответственности• Так чьи же в «облаке» шишки? • Кто будет за всё отвечать?
ЦОД Заказчик
Постав-щик ИБ-1
Облако
Постав-щик ИБ-2
Поставляет услуги
Поставляет услуги
ИБ
ИБ
Услуги ИБдля Облака или Заказчика
Услуги ИБ для ЦОД
или Облака
![Page 14: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/14.jpg)
SecaaS, как он есть
Услуги облачной безопасности
![Page 15: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/15.jpg)
Услуги безопасности
• Решают какую-то конкретную задачу• Решают её лучше, чем Заказчик
• Идеальная безопасность – её не видно
• Задача: дать Заказчику то, что он хочет, а не то, что поставщик умеет делать лучше всего или хочет продать
![Page 16: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/16.jpg)
Канонический SecaaSCSA Working Group в 2011-2016:• Определили 12 категорий• Выпустили 11 подробных
руководств по внедрению
![Page 17: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/17.jpg)
Виды SecaaS в теории и практике
Business Continuity and Disaster Recovery
Intrusion Management
Continuous Monitoring Network Security
Data Loss Prevention Security Assessments
Email Security Security Information and Event Management
Encryption Vulnerability Scanning
Identity and Access Management (IAM)
Web Security
Вот где-то здесь…
![Page 18: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/18.jpg)
Почему-же не взлетает?
Менталитет • Всё сводится к безопасности частных
облаков безопасность виртуализации• Причины: регуляторика, «страхи»
ЗаказчиковНесовершенство СЗИ• Не поддерживаются «тенанты»• Отсутствуют средства интеграции с
облаками, ср-вами управления
![Page 19: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/19.jpg)
Архитектура построения классического SecaaS
Ресурсы облачной инфраструктуры, облака, ресурсы клиентов
Базовые средства обеспечения ИБ
СЗИ, ср-ва автоматизации, СПО
Оркестрация сервисов ИБ
Средства управления облаком
Порт
ал
сам
ообс
лу-
жив
ания
Билл
инг
Администратор
ИБ облака
Администратор Заказчика
![Page 20: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/20.jpg)
Что еще должно быть у Поставщика услуг?• Соответствие требованиям.
Лицензии• Договорная работа.
Обязательства и ответственность• SLA по каждому виду услуг• Контракты поддержки вендоров• Готовность инф-ры к проверкам.
Обеспечение требований НПА • Страхование рисков ???
В стадии амнезии
![Page 21: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/21.jpg)
Что должно быть у Заказчика услуг?• Понимание требований ИБ• Орг. еденица для контроля
качества предоставляемых услуг
• Оргмеры на уровне Заказчика• СЗИ на уровне АРМ / EndPoint
![Page 22: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/22.jpg)
Чем можно привлекать клиентов?• Пробные периоды • Постоянный мониторинг атак
и/или угроз• Быстрая поддержка в
«трудную минуту» с последующей оплатой – ИБ по факту
• Повременная оплата пользования лицензиями*
![Page 23: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/23.jpg)
SecaaS в публичных облакахПример реализации сервисов ИБ в проекте Национального облака
![Page 24: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/24.jpg)
СОИБ НОП и Сервисы ИБ
• Ростелеком. 2013 г.• Модели угроз и нарушителя
• для платформы• для сервисов ИБ
• Оркестрация сервисов ИБ, предоставляемых платформой
• Портал самообслуживания
![Page 25: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/25.jpg)
SecaaS для последней мили
Пример реализации сервисов ИБ в проекте телеком-оператора
![Page 26: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/26.jpg)
SecaaS на кончике провода
Цель: • Повышение прибыли за счет продажи
дополнительных сервисов ИБ Средства:• Простые интуитивно понятные сервисы ИБ для
SOHO и управляемые сервисы ИБ для SME Сделано:• Разработка архитектуры сервисов• Выбор поставщика СЗИ
![Page 27: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/27.jpg)
Каждому клиенту свой кусочек безопасности
![Page 28: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/28.jpg)
ИТОГО…
1.Ломать привычную схему и стереотипы
надо.
2.Как это делать и какая из этого выгода, мы
вам расскажем. НИП Информзащита
Приглашаем к сотрудничеству!
![Page 29: "Верхи не могут, низы не хотят", или Сказ о том, как правильно Secaas делать](https://reader034.fdocuments.net/reader034/viewer/2022042604/589e36db1a28ab07478b4a89/html5/thumbnails/29.jpg)
Спасибо за внимание
Константин Феоктистов
ГА ДКР ЗАО НИП «ИНФОРМЗАЩИТА»
Тел: +7 (495) 980-2345