На фоне общей тенденции сегодняшней ИТ-индустрии перехода к виртуализированной инфраструктуре и облачным вычислениям, перед предприятиями остро встает вопрос о безопасности такого перехода. Основными причинами некоторой неопределенности в этом вопросе для российских ИТ-специалистов и специалистов по безопасности – это небольшой опыт работы с данными технологиями и, главное, отсутствие руководящих документов и стандартов уполномоченных государственных органов. На запрос в ФСТЭК РФ, когда следует ожидать подобные документы, был получен следующий ответ:

«…В период с января по май 2013 г. годовым планом работ технического комитета по стандартизации «Защита информации» (ТК362),
функционирующего на базе федерального автономного учреждения
«Государственный научно-исследовательский испытательный институт
проблем технической защиты информации Федеральной службы по
техническому и экспортному контролю» (г. Воронеж), предусмотрена разработка проекта национального стандарта ГОСТ Р «Защита информации. Требования по защите информации в информационных системах, построенных с использованием технологии виртуализации. Общие положения». Проведение публичного обсуждения первой редакции указанного национального стандарта планируется провести в период с мая по июнь 2013 г…».

Т.е., получается, что ближайший год принятия завершенного стандарта ожидать не приходится. В связи с этим, особую важность приобретают иностранные рекомендации, где опыт внедрения решений по виртуализации значительно шире.
Помимо рекомендаций самих производителей ПО виртуализации ([1], [2], [3]) существуют документы американского национального института по стандартизации (NIST), Cloud Security Alliance, центра интернет-безопасности (Center of Internet Security – CIS) и др, с той или иной степенью углубления освещающие аспекты защиты виртуализированных сред. Один из таких документов – NIST Special Publication 800-125: Guide to Security for Full Virtualization Technologies [4]. В нем приводятся наиболее общие рекомендации, на основе которых организациям можно и нужно разрабатывать свои политики безопасности. Как свидетельствует название, публикация посвящена наиболее используемой на данный момент технологии полной виртуализации и содержит, помимо всего прочего, довольно подробную теоретическую базу.
Данная работа – свободный перевод документа NIST SP 800-125.

Купить