По прогнозам Market Data Forecast на 2024 год, глобальный рынок больших данных оценивается в $199,6 млрд. С увеличением объёма данных возникает необходимость в большем количестве инструментов для их хранения и обработки. Согласно отчету Allied Market Research, рынок анализа больших данных в 2023 году составлял $0,3 трлн, а к 2032 году вырастет до $1,1 трлн.
В связи с этим возрастает и потребность в информационной безопасности. Чем больше данных, тем больше ресурсов необходимо выделять для их защиты.
В 2023 году Национальная служба реагирования на компьютерные инциденты KZ-CERT зарегистрировала двукратное увеличение числа инцидентов среди казахстанских компаний — 34,5 тысячи. В «Лаборатории Касперского» подчеркивают , что почти каждая третья казахстанская организация (31%) стала жертвой кибератак.
Корреспондент центра деловой информации Kapital.kz обратилась к специалистам облачной платформы Yandex Cloud в Казахстане и независимому эксперту по информационной безопасности Евгению Питолину, чтобы выяснить, как организовать защиту внутри компании и в облаке.
Как увеличение объёма данных влияет на требования к информационной безопасности
Рами Мулейс, руководитель команды Cloud Trust в Yandex Cloud, отмечает, что рост объёма данных обусловлен высокой скоростью цифровизации в Казахстане, особенно в области финтеха, государственных услуг и маркетплейсов. «Цифровизация в Казахстане происходит быстрее, чем в среднем по всему миру. Объёмы данных увеличиваются, и их ценность растёт. Это позволяет бизнесу собирать больше информации о своих клиентах и улучшать качество обслуживания. Однако без надлежащей защиты увеличиваются и возможности для злоумышленников», — подчеркивает эксперт.
Важно учитывать не только новые внедряемые системы, но и старую инфраструктуру. «При резком росте объёма данных используется больше ПО для их обработки, создаются новые решения на основе старых систем. Обычно компании сосредотачиваются на средствах безопасности для новой инфраструктуры и могут забыть о необходимости равномерной защиты всего контура», — напоминает независимый эксперт в области кибербезопасности Евгений Питолин .
Он подчеркивает, что средний размер ущерба от шифрования и блокировки данных достигает нескольких миллионов долларов. Это включает в себя стоимость простоя и восстановления инфраструктуры, закупку нового оборудования, компенсации клиентам и другие расходы.
Как организована безопасность в облаке: кто за что отвечает
Рами Мулейс объясняет, что Yandex Cloud работает с клиентами по принципу совместной ответственности, где провайдер отвечает за свои аспекты, а клиент — за свои, и эти зоны ответственности четко определены.
Так, в облачной модели предоставления программного обеспечения SaaS (Software as a Service), на которой работает, например, сервис аналитики и визуализации данных Yandex DataLens, провайдер берет на себя почти все аспекты безопасности, а клиент решает, кому предоставлять доступ к системе. В модели IaaS (Infrastructure as a Service), где предоставляются вычислительные ресурсы, такие как виртуальные машины, облако отвечает за безопасность оборудования, сетей, сбор логов и доступность среды, а клиент — за безопасность внутри своей виртуальной среды.
И чем более управляемый сервис, так называемые managed-решения, тем шире зона ответственности провайдера . При этом, независимо от выбранной модели работы с облаком, команда Yandex Cloud предоставляет клиентам консультации и обучение, отмечает Василий Пургин, архитектор продуктов безопасности Yandex Cloud .
Компании также могут выбрать различные облачные сервисы и использовать их самостоятельно для защиты своих данных. Например, на платформе Yandex Cloud доступны решения для управления учётными данными Yandex Identity Access Management, системы криптографической защиты данных Yandex Key Management Service и Yandex Lockbox, а также сервис для сбора событий информационной безопасности Yandex Audit Trails и другие.
Рами Мулейс сообщает, что недавно платформа запустила сертификацию для IT-специалистов, которая подтверждает знания и навыки работы с сервисами Yandex Cloud. Также провайдер разработал Стандарт по защите облачной инфраструктуры, который включает пошаговые инструкции и чек-листы по настройкам безопасности.
Безопасность облака и безопасность в облаке
Дмитрий Кудинов, руководитель направления Compliance в Yandex Cloud, напоминает, что важно различать эти понятия. Если за безопасность в облаке отвечают две стороны — клиент и провайдер, то безопасность облака — это зона ответственности самого провайдера. И оценить её можно по сертификатам, кейсам и даже цене.
«При выборе провайдера рекомендую проверить сертификаты, изучить клиентские кейсы и пообщаться с командой. Далее важно оценить, насколько широкий выбор услуг предоставляет платформа и какой заявляет SLA (service level agreement, соглашение об уровне услуг). И ещё один фактор — это цена. Не стоит экономить на безопасности: нужный уровень сервиса можно найти в ценовом сегменте не ниже среднего», — добавляет Евгений Питолин.
У надёжного облачного провайдера должны быть сертификаты соответствия локальным и международным стандартам. Базовые требования по информационной безопасности определены Международной организацией по стандартизации (ISO, International Organization for Standardization). Недавно Yandex Cloud в Казахстане успешно прошла аудит на соответствие стандарту ISO/IEC 27001.
Все сервисы, работающие с данными платёжных карт, должны соблюдать стандарт их защиты PCI DSS, разработанный международными платёжными системами Visa и MasterCard. Впоследствии к нему присоединились другие платёжные системы, такие как китайская UnionPay и российская «Мир». Yandex Cloud в Казахстане соответствует требованиям последней версии PCI DSS 4.0.1.
«Стандарт PCI DSS включает около 350 требований, и если хотя бы одно из них не выполняется, организация не получает сертификат соответствия. Таким образом, не существует компаний, которые соответствуют стандарту частично», — добавил Дмитрий Кудинов.
К местным требованиям относятся Закон РК №94-V о защите персональных данных и постановление Правительства Республики Казахстан от 20 декабря 2016 года №832, которое ввело единые требования в области информационно-коммуникационных технологий и информационной безопасности.
Какие преимущества дают облака и кому они подойдут
По словам Рами Мулейса, облачные сервисы значительно ускоряют разработку, сокращая время вывода продукта на рынок — time-to-market. Однако выбор между облачной инфраструктурой и собственными мощностями зависит от специфики бизнеса. Облако обеспечит значительную экономию для компаний с сезонным спросом, так как позволяет быстро масштабировать ресурсы в пиковые периоды и отключать ненужные серверы во время спада. При этом клиент оплачивает только использованные ресур