Руководство BSI по безопасности облаков

Продолжая тему безопасности облаков, хочу рассказать о еще одном документе, который выпустил немецкая федеральная служба по ИБ (BSI). Это "Security Recommendations for Cloud Computing Providers". 17-тистраничный документ также разбивает данную тему на домены (архитектура, управление правами, управление инцидентами, BCP, оценка соответствия, персонал и т.д.) и перечисляет требования по безопасности для каждого из них.

Отличием является выделение трех категорий облаков, каждая из которых имеет свой набор требований, наследующих друг от друга (по аналогии с классами/уровнями защищенности ФСТЭК/ФСБ):

• категория B - базовые требования - применимы к большинству облачных провайдеров
• категория C+ - высокая конфиденциальность - дополнительные требования для обеспечения большей конфиденциальности, чем для базового уровня
• категория A+ - высокая доступность - дополнительные требования для обеспечения большей доступности, чем для базового уровня.

Разумеется, как и в случае с проектом стандарта ISO по безопасности облаков, в документе BSI рекомендуется выстраивать полноценную систему управления ИБ; либо на базе ISO 27001, либо на базе BSI-Standard 100-2: IT-Grundschutz Methodology (и вообще всей четверки стандартов BSI).