Продолжая тему безопасности облаков, хочу рассказать о еще одном документе, который выпустил немецкая федеральная служба по ИБ (BSI). Это «Security Recommendations for Cloud Computing Providers«. 17-тистраничный документ также разбивает данную тему на домены (архитектура, управление правами, управление инцидентами, BCP, оценка соответствия, персонал и т.д.) и перечисляет требования по безопасности для каждого из них.
Отличием является выделение трех категорий облаков, каждая из которых имеет свой набор требований, наследующих друг от друга (по аналогии с классами/уровнями защищенности ФСТЭК/ФСБ):
- категория B — базовые требования — применимы к большинству облачных провайдеров
- категория C+ — высокая конфиденциальность — дополнительные требования для обеспечения большей конфиденциальности, чем для базового уровня
- категория A+ — высокая доступность — дополнительные требования для обеспечения большей доступности, чем для базового уровня.
Разумеется, как и в случае с проектом стандарта ISO по безопасности облаков, в документе BSI рекомендуется выстраивать полноценную систему управления ИБ; либо на базе ISO 27001, либо на базе BSI-Standard 100-2: IT-Grundschutz Methodology (и вообще всей четверки стандартов BSI).
в доке вообще то под 70 страниц:)
17 разделов.
Упс 😉 Я заметку по драфту писал, а ссылку дал на финальный вариант 😉