ISO готовит новые стандарты безопасности облаков | Ofisp.org

ISO готовит новые стандарты безопасности облаков

28 апреля 201417:28

В ISO разрабатываются два стандарта, направленные на то, чтобы свести к минимуму «два самых серьезных риска, связанных с облачными вычислениями»: отсутствие руководства (governance) и отсутствие управления.

11 апреля подкомитет ISO/IEC JTC 1/SC 27 провел в Гонконге свою очередную ежегодную Международную конференцию по стандартам информационной безопасности.

Подкомитет SC 27 отвечает за стандарты информационной безопасности, в том числе признанные во всем мире стандарты управления информационной безопасностью ISO 27001 и 27002.

В роли организатора конференции выступило Управление директора информационной службы правительства Гонконга. Мероприятие стало частью серии совещаний и пленарных заседаний подкомитета SC 27, прошедших с 7 по 15 апреля, в которых приняли участие более 300 экспертов по информационной безопасности из 30 с лишним стран.

Со вступительным докладом на конференции выступил Эдвард Хэмфрис, председатель рабочей группы SC 27 WG1, известный в качестве основателя семейства стандартов ISO 27000. Нынешние лидеры цифрового мира — Большие Данные, облачные вычисления и Интернет вещей — подвержены угрозам нарушения безопасности и приватности, напомнил он. По убеждению Хэмфриса, два самых больших риска сегодня — это отсутствие руководства из-за неадекватных процессов аудита и управления рисками; отсутствие управления, приводящее к росту соотношения инсайдерских и аутсайдерских рисков (сейчас оно составляет 6:4).

«Для решения подобных проблем как раз и создан стандарт управления ISO 27001», — заявил Хэмфрис. По его мнению, любые недостатки в процессах управления и руководства в организациях можно исправить путем внедрения ISO 27001.

Новые облачные стандарты

Как сообщил Хэмфрис, в SC 27 сейчас разрабатывают два стандарта, связанные с облачными вычислениями, ISO 27017 и 27018, «один из них касается безопасности, другой — информации, позволяющей установить личность».

Первый планируется опубликовать в конце 2015 года — он будет содержать рекомендации по обеспечению безопасности для облаков. В частности, в нем будут описываться специфические средства контроля для облачных сред, предназначенные для применения в дополнение к изложенным в стандарте ISO 27002. Новая спецификация будет опираться на различные положения других стандартов семейства ISO 27000, в том числе ISO 27018, касающегося приватности в облачных вычислениях; ISO 27031, относящегося к непрерывности бизнеса; ISO 27036-4, регулирующего процессы управления взаимоотношениями.

Что касается сертификации облаков, то в SC 27 не планируют разрабатывать отдельный стандарт на системы управления информационной безопасностью для облачных сред, поскольку для этой цели уже есть ISO/IEC 27001. «Специально сертифицировать провайдеров облачных сервисов на безопасность не планируется», — подчеркивается в заявлении SC 27 на сайте ISO.

Второй новый стандарт, ISO 27018, будет служить «сводом правил по защите персональной информации в общедоступных облаках, играющих роль обработчиков такой информации». Он станет дополнением к ISO 27017, который будет охватывать более широкие аспекты информационной безопасности. «Данный проект получил широкую поддержку со стороны организаций по стандартизации разных стран, а также Cloud Security Alliance», — заявляют в SC 27.

После облачных стандартов в SC 27 приступят к работе над стандартами безопасности, касающимися Интернета вещей.

Возьмет ли правительство Гонконга на вооружение два новых облачных стандарта, когда ISO их опубликует?

«Вероятность того, что мы воспользуемся этими двумя стандартами, высокая, — говорит Дэниел Лей, ИТ-директор правительства. — Одна из причин, по которой мы предложили ISO организовать в этом году конференцию в Гонконге, — возможность получить из первых рук знания об ISO 27017. Что касается облачных вычислений, то сегодня есть масса оптимальных методов, разработанных различными организациями, в том числе Cloud Security Alliance и другими. Внедряя облачные вычисления, мы учитываем весь международный опыт в этой области».

Похожие материалы

28.12.2012
7 мая 2013 года президент РФ Владимир Путин подписал федеральный закон №99-ФЗ, усиливающий защиту персональных данных. Документ вносит изменения в 14 законов, регулирующих защиту персональных данных. Одним из таких законов является закон «О связи». Согласно 99-ФЗ, операторам разрешается создавать общедоступные базы данных об абонентах, включающие фамилию, имя, отчество и абонентские номера, для составления и распространения телефонных справочников. Тем не менее, по требованию абонента его данные могут быть исключены из базы.
27.03.2014
Согласно результатам исследований IDC, в четвертом квартале 2013 года в Россию было поставлено 40550 серверов, совокупная стоимость которых составила 268,2 млн долларов США. Всего же по итогам 2013 года российский серверный рынок сократился на 9,9% по сравнению с предыдущим годом до 145 233 штук. Объем рынка в денежном выражении снизился на 29,3% до 890,1 млн долларов.
29.04.2014
Японская корпорация Panasonic, один из крупнейших мировых производителей электроники, по итогам 2013-2014 финансового года, завершившегося 31 марта, зафиксировала прибыль в размере 120,4 млрд иен ($1,2 млрд). В прошлом финансовом году убыток Panasonic составил 754,3 млрд иен, а в 2011-2012 финансовом году —772,2 млрд иен. В последний раз Panasonic фиксировала годовую прибыль по итогам 2010-2011 фингода — в размере 74 млрд иен. Выручка корпорации в 2013-2014 финансовом году возросла на 6% до 7,7 трлн иен (приблизительно $75,3 млрд). Росту продаж способствовало обесценивание иены.
25.12.2013
Российские власти планируют ужесточить наказание компаний за факты утечек персональных данных и обязать их сообщать о происшествиях данного плана в уполномоченный госорган. В Государственную думу внесен законопроект, направленный на ужесточение борьбы с утечками персональных данных. Он был разработан членами Совета Федерации во главе с председателем верхней палаты парламента Валентиной Матвиенко. Документ предлагает обязать российские компании сообщать о любых утечках конфиденциальной пользовательской информации в уполномоченный государственный орган.
05.03.2014
 Компания, предоставляющая услуги посредством Интернета, должна быть готова к DDoS-атаке и иметь на этот случай четкий план действий.При подозрении на DDoS требуется переходить на «ручное управление»:Организация ведения хронологии событий и действий, возникающих во время атаки. Это будет способствовать быстрому получению выводов и принятию мер для уменьшения рисков от атак. Помимо этого, требуется уведомить провайдеров о необходимости включения входных фильтров, что позволит заблокировать лишний трафик в тех местах входа в сеть провайдера.

Оборудование:

Общие характеристики Тип: Wi-Fi точка доступа Стандарт беспроводной связи: 802.11n, частота 2.4 ГГц...
→ Оставить отзыв
Для начала давайте определим что такое IPTV и мини-роутер. Мини-роутер (маршрутизатор) – сетевое...
→ Оставить отзыв
Подключение При подключении нового роутера к сети интернет необходимо подключить кабель провайдера...
→ Оставить отзыв
Сначала – посмотрим, что такое Wi-Fi 3G роутер вообще, и чем такие решения лучше «модемов». В...
→ Оставить отзыв