Алгоритм Безапосности: издание для профессионалов
Санкт-Петербург:
тел./факс: (812) 331-12-60 office@algoritm.org
Москва:
тел./факс: (499) 641-05-26moscow@algoritm.org

Главная
Новости
О журнале
Архив
Свежий номер
Реклама
Подписка
Контакты
Сотрудничество
 

Если вы хотите стать распространителем нашего журнала

 
 
 
 
 

"Алгоритм Безопасности" № 3, 2015 год.

Содержание

Защита ИТ-инфраструктуры и данных – первоочередная задача любой финансовой организации
С. Заржецкий


Защита ИТ-инфраструктуры и данных - первроочередная задача любой финансовой организации

С. Заржецкий

генеральный ООО «Эксол»

Руководство нашей страны неоднократно подчеркивало, что банки являются «кровеносной системой экономики». Это позволят с уверенностью говорить об особой ответственности за бесперебойную работу ИТ-систем банка, сохранность ИТ-систем и данных в финансовых организациях. При этом необходимо однозначно понимать, что на том уровне развития ИТ, который мы имеем сейчас, создание или модернизация центров обработки данных, биллинговых центров и трейдорских ИТ-площадок - одно из основных направлений развития ИТ в банковской сфере.

В наши дни, когда достаточно высока вероятность техногенных катастроф, немаловажным становится вопрос физической безопасности информации и ИТ-ресурсов.

Значение бесперебойной работы центров обработки данных (ЦОД) для большинства компаний просто невозможно переоценить. Всем уже стало очевидно, что компания - это информация (ноу-хау), которой она владеет. И причин потери информации достаточно много (рис. 1).

Рис. 1. Риски потери данных

Говоря другими словами, достаточно продолжительный простой вычислительного центра может привести к тому, что предприятие просто перестанет существовать! При этом ответственность за то, чтобы этого не произошло, целиком и полностью лежит на руководстве компании. Необходимо также отметить, что даже непродолжительный перерыв в работе информационной структуры зачастую приводит к потере огромных денег. Проведя анализ этих данных, становится понятна значимость ИТ-безопасности для любой компании или организации в любой стране.

ОБЩИЕ ТЕРМИНЫ ПОНЯТИЯ БЕЗОПАСНОСТИ

Понятие безопасности в области ИТ уже давно и прочно входит в привычный список задач, решаемых практически любой компанией. В мире уже много лет существует понятие Функциональной безопасности информационных ресурсов. Невозможно определить какая из составляющих общего понятия Функциональной безопасности более или менее важна. Основными составляющими данного понятия являются:

Техническая безопасность

■ Система построения резервных центров.

■ Организация системы бесперебойного питания.

■ «Зеркалирование» систем обработки и хранения данных.

■ Выбор качественного оборудования для организации ИТ-инфраструктуры. Логическая безопасность

■ Антивирусные программы.

■ Системы защиты от несанкционированного доступа.

■ Системы идентификации.

■ Системы кодирования.

■ Выбор качественного, лицензионного программного обеспечения. Физическая безопасность

■ Защита от огня.

■ Защита от воды и пожаротушащей жидкости.

■ Защита от коррозирующих газов.

■ Защита от электромагнитного излучения.

■ Защита от вандализма.

■ Защита от воровства и кражи.

■ Защита от взрыва.

■ Защита от падающих обломков.

■ Защита от пыли.

■ Защита от несанкционированного доступа в помещение.

Давайте подробнее рассмотрим понятие Физической безопасности и, прежде всего, посмотрим на основные факторы риска потери данных.

Если защиту от таких факторов воздействия как коррозийные газы, несанкционированный доступ, электромагнитное излучение, взрывы, вандализм, пыль можно попытаться осуществить стандартными силами и средствами, то защиту от температуры (огонь) и влажности (вода) обычными методами, применяемыми в строительстве, - невозможно! Рассмотрим «ПОЧЕМУ?»

Табл. 1. Исследование немецкой страховой компании GerLing - максимальное время работы предприятия после полной остановки его информационной системы

Страховые компании

5,5 дней

Производственные компании

5 дней

Торговые/Дистрибьюторские компании

2,5 дня

Банки

2 дня

Производственные компании с «just in time»

12-24 часа

Рис. 2. График изменения температуры в печи при проведении теста в рамках EN 1047-2

Рис. 3. Факторы риска потери данных с точки зрения Физической безопасности

Рис. 4. Сравнение европейских норм для физической защиты центров обработки данных EN 1047-2 и строительных требований для зданий из кирпича и бетона DIN 4102 (EN 1363)

ФАКТОР РИСКА «ОГОНЬ»

При воздействии высоких температур обычные строительные материалы начинают отдавать влагу, из которой сами они состоят на 40-60%. Таким образом, добиться соблюдения требуемого для работы ИТ-оборудования уровня температуры и влажности в обычном помещении не удастся никогда.

Сравним норму для центров обработки данных (EN 1047-2) и норму для строительства обычных зданий из кирпича и бетона (DIN 4102 (EN 1363)).

Как мы можем видеть, в обычной строительной норме даже не определены требования по обеспечению того или другого уровня влажности.

Рис. 5. Количество выделяемой бетоном влаги при температурном воздействии снаружи

Проведенные испытания показали, что при нагревании в течение 90 минут обычных строительных конструкций (бетон, кирпич) в комнате размером 5x6x2,5 метра образуется 870 литров воды!!!

А это недопустимо для центров обработки данных, в которых установлено и функционирует ИТ-оборудование!

ФАКТОР РИСКА «ВОДА»

Данный фактор не требует расшифровки. Все мы в повседневной жизни с ним сталкиваемся. А если вода является средством тушения пожара, то убытки только удваиваются. Достаточно привести несколько примеров.

Убытки в 1 миллион ЕВРО для помещения ИТ-центра и склада одной из европейских компаний. В результате тушения пожара службой пожарной защиты в помещение поступало порядка 1600 литров воды в минуту. После окончания работы весь ИТ-центр и склад были приведены в полную негодность.

Убытки в 1,5 миллиона ЕВРО в результате протечки воды. В аэропорту Франкфурта произошло нарушение системы водоснабжения. В течение 4 часов около 3000 литров воды попали внутрь здания. Информационный центр аэропорта пострадал настолько, что руководство аэропорта было вынуждено создавать его практически заново.

Пример, практически, вчерашнего дня. Ночью, 2 февраля, в библиотеке ИНИ-ОН РАН начался пожар. Система пожаротушения отреагировала на опасность сигналами на пост пожарной охраны и сообщением на пульт МЧС. Сама система не сработала по причине не герметично закрытого помещения. 2000 м2 здания рухнули, оставив под своими развалинами бесценные литературные, политические и социальные труды. На 1 этаже критично повреждена температурой, дымом, коррозийными газами и (что принесло максимальный ущерб) водой (применявшейся при тушении пожара) серверная с оборудованием, хранившим электронную библиотеку, насчитывающую 3,5 миллиона оцифрованных редких книг.

Напрашивается всего один вывод: обычные здания, не предусматривающие герметичность ИТ-дата-центров, абсолютно не защищены!!!

ТРЕБОВАНИЯ И ОСОБЕННОСТИ ЗАЩИТЫ

На сегодня существует целый ряд требований и норм, определяющих то, каким образом должна быть организована безопасность ИТ-ресурса в ЦОД. Но основным, пожалуй, можно считать: требования стандарта ГОСТ Р 52919-2008 (аутентичного европейскому EN 1047-2) с классом защиты R60D (максимальная температура внутри помещения 50° С для компонентов компьютерной техники, максимальная влажность 85%, включая 24 часовой период остывания после нагрева помещения) - класс огнестойкости не ниже 120 ДИС по ГОСТ Р 50862-1996. Несоблюдение требований этих документов может привести к катастрофическим последствиям.

Использование стандартного «строительного» метода создания ЦОД не может обеспечить необходимый уровень безопасности для оборудования и данных. Это объясняется тем, что любая стандартная строительная конструкция изначально не предназначена для обеспечения требуемого уровня температуры и влажности в ЦОД. По своему физическому существу любой бетон или кирпич не позволят добиться результата, удовлетворяющего требованиям приведенных выше стандартов.

Необходимо также отметить, что опыт работы многих компаний показывает, что применение в качестве строительного материала оболочки-саркофага ЦОД бетона, кирпича, ГКЛ нецелесообразно по следующим причинам:

■ большой удельный вес конструкций из бетона, кирпича (500-2000 кг/м3), большая нагрузка на перекрытие;

■ необходимость устройства гидроизоляции внутренних поверхностей ЦОД и особенно потолка от протечек с верхних этажей;

■ необходимость устройства потенциа-ловыравнивающей сетки внутри помещения ЦОД;

■ необходимость покрытия внутренних поверхностей ЦОД антистатической краской;

■ низкая взломостойкость конструкций из ГКЛ;

■ отсутствие защиты от пожара, возникшего снаружи.

Таким образом, единственно правильным решением при построении ЦОД является использование специализированных решений!

СПЕЦИАЛИЗИРОВАННЫЕ РЕШЕНИЯ

Нельзя не отметить, что многолетний опыт европейских стран показывает - банковский сектор занимает почти 50% от общего числа пользователей решений по физической защите в области ИТ. С учетом того, что условия договора Basel II определяют жесткие рамки в данной области в соответствии с требованиями EN 1047, развитие данного направления ИТ-безопасности обречено на успех.

Если рассматривать ситуацию в нашей стране, то нельзя не отметить - крупные банки и страховые организации с большим вниманием относятся к данным вопросам. Среди тех, кто уже сегодня используют специализированные решения, можно назвать: «Газпром Банк», ВТБ, «Банк Москвы», «ПромСвязьБанк», Сбер-Карта СБ РФ, ФОМС России. Но, согласитесь, это капля, по сравнению с общим числом банковских организаций, существующих сегодня рынке России. До «европейских» 50% еще очень далеко. Мы рассчитываем, что уже в ближайшее время эта ситуация изменится и банковский сектор станет куда более активно использовать специализированные решения на базе МПФЗ (модульных помещений физической защиты) и другого оборудования для обеспечения бесперебойной работы ИТ-инфраструктуры.

На рынке решений в области физической защиты ИТ-структур существует ряд решений, позволяющих гарантированно обеспечить должную безопасность.

Среди таких решений:

■ модульные помещения физической защиты (МПФЗ) для центров обработки данных (ЦОД), коммутационных узлов, объектов АСУТП производственных предприятий;

■ модульные сейфы безопасности для защиты удаленных узлов ИТ-инфраструктуры, коммутационных стоек, удаленных и вынесенных объектов. Кратко остановимся на особенностях

конструктива данных решений.

Конструкция модульных помещений безопасности представляет собой решение, состоящее из элементов стен, потолка и пола, дверей, люков притока свежего воздуха и сброса избыточного давления, специальных кабельных вводов.

Элементы стен и потолка, - это по сути своей сэндвич-панель, внутри которой есть слои специальных веществ, обеспечивающие защиту от высоких температур и проникновения влаги. Особенность вещества состоит в том, что при нагревании оно не меняет свое физическое состояние, и этот процесс происходит с поглощением тепла.

Другими словами, стены «съедают» тепло, не позволяя ему проникать внутрь зоны ЦОД.

Элементы конструкции создаются таким образом, чтобы обеспечить независимость от самой структуры здания, при этом оптимальным образом вписываясь во все его особенности (колонны, выступы и прочие строительные особенности).

Система дверей это:

■ огнезащитная дверь с системой автоматического закрывания;

■ реализована система «анти-паника» при открытии изнутри. Вентиляционный люк это:

■ обеспечение необходимого притока воздуха;

■ автоматически закрывается в случае пожара;

■ система закрытия на случай тревоги; комбинированный электрический и механический привод.

Система кабельных вводов служит:

■ для осуществления ввода в помещения кабелей питания, информационных кабелей, труб систем кондиционирования и пожаротушения;

■ установка без отключения оборудования;

■ комната может быть инсталлирована с использованием «открытых» кабельных вводов без остановки работы центра.

Сегодня даже вынесенные или удаленные объекты ИТ-структуры могут быть защищены от огня и несанкционированного доступа при помощи модульных мини-дата-центров (МДЦ) хранения и обработки данных. Такого рода решения чаще всего называют сейфами для ИТ-оборудования. Защитные сейфы для стоек позволяют обеспечить защиту децентрализованных IT-систем от различных видов физических угроз. На рынке сегодня представлен и модульный вариант такого решения.

Модульные сейфы отличаются не только легкостью их установки и монтажа, но также возможностью их перемещения на другое место (например, при необходимости переезда), помимо этого инсталляция может осуществляться вокруг работающего оборудования, и данный факт зачастую бывает весьма принципиален. В случае необходимости защиты 2 или 3 стоек с оборудованием в одной зоне -решения на базе модульных сейфов позволяют решить и эту задачу путем построения сдвоенных или строенных комплексов.

Физическую безопасность активного IT-оборудования обеспечивают следую-ще характеристики, которыми обладают модульные мини-дата-центры:

■ огнестойкость F90 (DIN 4102 / EN 1363);

■ огнестойкость не менее 30 мин. согласно EN 1047-2 (повышение температуры не более чем на 50 градусов с уровнем влажности ниже 85%, тестируется конструкция в сборе);

■ герметичность: защищает от пожаро-тушащей жидкости, протечек и пыли (IP 56);

■ надежные огнестойкие и герметичные кабельные вводы;

■ надежная защита от взлома (DIN 18103 с подтвержденным 2 классом взломо-стойкости);

■ защита от ЭМИ.

Рис. 6. Модульное помещение физической защиты

В состав модульных сейфов по умолчанию включен полный спектр инфраструктурных решений:

■ кондиционирование;

■ системы раннего пожарообнаружения и пожаротушения;

■ система мониторинга;

■ различные типы замков;

■ системы распределения питания. МДЦ - это лучшее решение для филиалов в других городах, позволяющее почти полностью снизить риски повреждения или уничтожения вашего IT-обо-рудования и носителей информации. В своей работе мы ориентируемся на будущее, и поэтому уже сегодня предлагаем системы физической безопасности, отвечающие нормам и стандартам завтрашнего дня.

Используя такую конструкцию, можно с уверенностью говорить о гарантированной защите ЦОД от любых рисков физического воздействия, включая и несанкционированный доступ к оборудованию и данным.

Нельзя не заметить, что сегодня руководство большинства банков в России выделяет достаточно серьезные средства на развитие структуры ИТ, а также на техническую и логическую безопасность. Но при этом зачастую не понятно, почему физическая безопасность ИТ-ресурса остается вне поля зрения и не финансируется в достаточной мере. Такая ситуация не может сохраняться долго.

Отсутствие должного внимания к защите от такого рода воздействий ставит под угрозу существование и работу всей ИТ-структуры банка, что, в свою очередь, грозит потерей инвестиций, престижа и средств, вплоть до полного банкротства. Если внимательно посмотреть на историю последних 7 лет, то можно найти целый ряд примеров, когда недостаточное внимание к вопросам защиты ИТ-структуры от физического воздействия приводило организации к весьма чувствительным финансовым потерям. Несложно предположить, какой ущерб может быть нанесен банку в случае потери информации о клиентах и вкладах. Но и остановка биллингового центра даже на непродолжительный промежуток времени принесет весьма существенные потери.

Рис. 7. Модульный сейф для IT-оборудования

Напрашивается естественный вывод: не уделять внимание этому вопросу - значит подвергать серьезному риску существование финансовой организации в целом. Учитывая, что банки - это кровеносная система экономики страны, нарушение в работе системы является реальной угрозой и для страны в целом.

Уже сегодня есть определенная, не вымышленная необходимость уделять значительное внимание вопросам физической безопасности ИТ-ресурсов компании.

Создание защищенных серверных и коммутационных узлов - именно тот вопрос, который в настоящий момент стоит наиболее остро для любой компании. Прежде всего, это обусловлено ростом значения ИТ-систем в жизнедеятельности любой организации.

Не допустить потери информации или простоя в работе из-за остановки информационной системы - это задача с приоритетом №1!

скачать
скачать

 

Rambler's Top100 Интернет портал. Каталог фирм. бжд. Охрана. Обеспечение безопасности. Безопасность предприятия. Оборудование. Видеонаблюдение.