Физическая защита ЦОДа — понятие комплексное

ЦОДы.РФ

21 марта 2017г.

С тем, что дата-центр должен быть обеспечен средствами безопасности, никто не спорит. Однако зачастую имеются в виду системы информационной защиты, в то время как о физической безопасности нередко задумываются в последнюю очередь по причине экономии бюджета. Тем не менее средства физической защиты не менее важны для современного ЦОДа, чем информационная защита. Но какие решения будут наиболее актуальны в российских реалиях? Чего следует опасаться в первую очередь и как наиболее эффективно предотвратить возможные инциденты? На вопросы журнала ЦОДы. РФ в рамках рубрики «Круглый стол» отвечает Алексей Красов, начальник проектного отдела дирекции комплексной безопасности группы «Астерос».

Какие угрозы физической безопасности вы считаете наиболее реальными для российских ЦОДов? От чего необходимо защищаться в первую очередь?

Алексей Красов: Трудно себе представить, что в современных реалиях группа злоумышленников попытается «в лоб» атаковать ЦОД. Наиболее вероятную угрозу представляет собой внутренний нарушитель, который может самостоятельно произвести несанкционированные действия с оборудованием (изъятие информации, ее копирование или повреждение, внедрение вредоносного ПО и т. д.) либо предоставить доступ третьим лицам непосредственно в помещение дата-центра. Как известно, такие возможности есть у работников собственной службы безопасности или ИТ-службы — тех, кто имеет практически безграничные пользовательские права. В связи с этим сегодня основной задачей физической защиты ЦОДа становится выявление внутренних нарушителей и создание им препятствий.

Какие элементы обеспечения физической безопасности действительно необходимы в современном ЦОДе, а что является бессмысленной тратой денег?

А. К.: Для обеспечения безопасности ЦОДа требуется стандартный набор технических средств, который применяется и на других объектах. Во-первых, речь идет о системах видеонаблюдения, при этом области обзора камер по возможности должны «пересекаться»: если нарушитель выводит из строя одну камеру, другие продолжают фиксировать действия злоумышленника. Во-вторых, это СКУД — организация вложенной структуры СБ, вплоть до обеспечения контроля доступа к каждой стойке. Использование услуг вооруженной охраны — это вопрос анализа рисков, стоимости последствий нарушения физической безопасности, оценки расходов на внедрение и содержание, то есть применения риск-ориентированного подхода.

Нужно ли выделять отдельные зоны (периметры) безопасности в дата-центре?

А. К.: К данному вопросу необходимо подходить с позиции комплексной оценки рисков. Если ЦОД находится на хорошо охраняемой, недоступной для посторонних лиц территории, тогда вложенных рубежей безопасности может быть меньше. Другое дело, если объект находится в общественном здании, доступ к которому имеют посторонние люди. В этом случае, естественно, рубежей безопасности должно быть больше. Однако если мы говорим о внутреннем нарушителе, число периметров безопасности становится непринципиально. Сколько бы их ни было, злоумышленник будет готов их преодолеть. В этом случае должны быть предусмотрены дополнительные организационные меры, а также внедрены системы контроля за действиями операторов и администраторов системы, сотрудников охраны и т. д.

Отличается ли подход к организации физической безопасности дата-центра для российских и западных объектов?

А. К.: Сегодня различия в подходе к обеспечению физической безопасности практически стираются: российские нормативы постепенно приближаются к европейским и американским. Если говорить о технической стороне вопроса, то в западных странах получили распространение средства нелетального воздействия. Они применяются не только в дата-центрах, но и в коммерческих компаниях (ювелирных магазинах, мелких банках и т. д.). Как правило, в охраняемом помещении устанавливаются капсулы со сжиженным газом, стробоскопы и динамики. При срабатывании тревожной сигнализации объект за несколько секунд заполняется непрозрачным дымом, включается сирена с уровнем громкости 120 дБ (точка болевого порога). В этой ситуации человек абсолютно дезориентируется. В нашей стране, как правило, такие средства используются в основном на критически важных объектах, в том числе военных.

На какие нормативные документы (российские и зарубежные) стоит ориентироваться при построении системы физической безопасности дата-центра?

А. К.: На данный момент ни в российской, ни в общемировой практике не существует нормативов по построению СБ именно в ЦОДах. Соответственно, здесь надо полагаться на стандартные нормативные документы, которые регламентируют создание систем физической защиты в целом, и на опыт интегратора, который занимается их внедрением.

Каковы последние тенденции в сфере организации физической безопасности дата-центров?

А. К.: Рынок дата-центров находится в стадии непрерывного роста, однако с точки зрения технических решений защиты радикальных изменений не произошло. В целом есть тенденция к тому, что заказчики начинают больше внимания уделять информационной безопасности. Ведь получить удаленный доступ к данным и оборудованию в ЦОДе гораздо проще и менее накладно, чем, скажем, организовать вооруженную группу для физического захвата объекта.

Возврат к списку