Три мифа о персональных данных и облаках

По приглашению компании Oracle я участвовал в двух мероприятиях, посвященных облачным технологиям. Обсуждение неизбежно коснулось ограничений на использование облаков, связанных с требованиями российского законодательства о персональных данных.

Полная версия того, что и как обсуждалось, выложена в блоге Oracle в России и СНГ, ниже – наиболее важные, с моей точки зрения, выводы.

По-прежнему решения об отказе от использования облаков порой принимаются под влиянием мифов, возникших из газетных заголовков и не очень грамотных комментариев.

Даже простой и очевидный, на первый взгляд, вопрос, что такое персональные данные, не имеет столь же простого ответа, тем более что трактовка понятия персональных данных постоянно меняется.

На сегодня есть два важных признака персональных данных: возможность идентификации конкретного лица и потенциальные последствия использование данных. Если есть последствия для субъекта, например, негативные или юридически значимые, то эти данные всегда следует рассматривать как персональные и защищать, даже если установить личность их обладателя невозможно.

Миф 1 – Персональные данные россиян должны храниться в России

Есть мнение, что все собираемые в России персональные данные должны храниться на территории Российской Федерации. Это не так. В законе говорится, что «при сборе персональных данных <…> оператор обязан обеспечить их запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение этих данных с использованием баз данных, находящихся на территории РФ». То есть речь идет именно о сборе персональных данных. В законе нет требования использовать персональные данные только с помощью баз данных, находящихся на территории РФ.

Согласно разъяснениям Минкомсвязи на странице официального сайта ведомства, собранные и хранящиеся на территории РФ персональные данные впоследствии могут выноситься за пределы территории государства и использоваться для резервного копирования, рекламы, оказания различных услуг и так далее.

При этом под базой персональных данных понимается любой упорядоченный массив персональных данных, независимо от носителя. То есть это могут быть файлы, базы данных и даже упорядоченные бумажные архивы. Затем можно, например, выгрузить эти данные в базу данных, например, Oracle в зарубежном облаке и использовать их и за пределами РФ.

Есть три возможных способа выполнить требования законодательства РФ:

1.     Создать базу данных на территории РФ, причем в любой форме, а потом передавать из нее данные в зарубежные базы данных. При этом актуализация данных также должна происходить на территории РФ.

2.     Разместить данные за рубежом в обезличенной форме.

3.     Шифровать базы данных и передавать их за рубеж в зашифрованном виде. В таком случае для провайдера за рубежом это – не персональные данные.

Согласно разъяснениям Роскомнадзора и Минкомсвязи, сбор персональных данных – это получение данных непосредственно от субъекта или привлеченных для этого третьих лиц. Обязанность по их локализации возникает только в период сбора персональных данных. Если собранные данные локализованы на территории РФ и перенесены для обработки за рубеж, то получение с использованием функционала приложений в облаке новых данных, касающихся субъекта размещения этих данных на территории РФ, не требуется.

Если, например, в облачной системе Oracle Taleo Cloud Service на основании собранных и локализованных в РФ данных о работнике определяется его грейд, делается вывод о необходимости направления работника на повышение квалификации или о его продвижении по службе, то такие данные нельзя рассматривать как получаемые во время сбора, то есть они не были получены от субъекта или через уполномоченных оператором лиц. Соответственно, закон о персональных данных не содержит требования об обязательной локализации таких данных на территории РФ.

Облачное решение  Oracle Cloud at Customer обеспечивает реализацию законодательных требований, так как позволяет заказчику развернуть и получать публичные облачные сервисы Oracle в своем ЦОД, расположенном на территории РФ При этом в ЦОД заказчика и в облаке Oracle используется одно и того же программное и аппаратное обеспечение, что обеспечивает простой перенос приложений и данных между ними при наличии локализованной базы персональных данных, а ответственным за предоставление сервисов и уровень обслуживания остается Oracle.

Миф 2 - Трансграничная передача данных россиян запрещена

Нормы законодательства РФ о передаче персональных данных на территорию иностранных государств следует рассматривать в контексте обязательств, взятых на себя РФ при ратификации Конвенции Евросоюза 1981 года № ETS-108. Так, согласно статье 12, сторона не будет запрещать или ставить под специальный контроль информационные потоки персональных данных, идущие на территорию другой стороны, исходя исключительно из соображений защиты неприкосновенности личной сферы.

Если иностранное государство обеспечивает адекватную защиту прав субъектов персональных данных, то трансграничная передача данных ограничиваться не может.

При этом, если персонал облачной инфраструктуры имеет доступ к персональным данным клиента, размещенным в облаке, то необходимо получать согласие субъектов на такую передачу, так как в этом случае провайдер исполняет поручение обработки российского оператора. Однако оператор может предусмотреть в договоре запрет на доступ персонала к данным, что освобождает от такой необходимости.

Миф 3 – Обеспечивать безопасность персональных данных облачный провайдер не может

Законодательство прямо предусматривает возможность аутсорсинга обеспечения безопасности персональных данных при их автоматизированной обработке.

Безопасность персональных данных может обеспечивать сам оператор персональных данных (то есть заказчик), оператор информационной системы или лицо, обрабатывающее персональные данные по поручению оператора на основании договора.

Что должен сделать российский оператор персональных данных (заказчик)?

·         Определить типы угроз, связанных с наличием недекларированных возможностей системного и прикладного программного обеспечения.

·         Определить уровень защищенности своей информационной системы, которую он выносит в облако.

·         Построить модель угроз и систему защиты, обеспечивающую адекватную защиту от этих угроз, для своего сегмента информационной системы, находящегося вне облака.

Что должен сделать зарубежный провайдер облачных услуг?

·         Предоставить оператору данные о том, какие меры безопасности обеспечиваются в облачной инфраструктуре.

·         Обеспечить принятие дополнительных мер безопасности или предоставить оператору возможность развернуть дополнительные средства безопасности (PaaS или IaaS).

·         Отразить в договоре обязанности по обеспечению мер безопасности и конфиденциальности обрабатываемых данных, вопросы доступа персонала к ним.

·         Принимать меры по предотвращению несанкционированного доступа к персональным данным и несанкционированного воздействия на такие данные и информационные системы.

Общие выводы

·         После завершения сбора персональных данных они должны находиться (храниться) в базах данных на территории РФ, при этом изменения в данные (в том числе, уточнения и обновления) должны вноситься также в базы данных на территории РФ.

·         Не накладывается никаких ограничений на передачу персональных данных после их сбора и записи в базу данных на территории РФ, в том числе – на трансграничную передачу, предоставление к ним доступа с территории иных государств, а также на использование персональных данных граждан РФ после их трансграничной передачи.

·         Закон в редакции, вступившей в силу 1 сентября 2015 года, не устанавливает новых, дополнительных ограничений на трансграничную передачу персональных данных, не вводит запрет на обработку персональных данных в дата-центрах и облачных инфраструктурах, находящихся вне территории РФ, за исключением их сбора.

И завершить хотелось бы фразой, которую я не устаю повторять на своих выступлениях – «Недостатки нормативного регулирования не могут являться основанием для отказа от использования современных информационных технологий, потому что иначе вы неизбежно окажетесь на обочине конкурентной борьбы».

Облака Oracle, безопасность и законодательство о персональных данных

2 февраля в «Swiss отель Красные холмы» пройдет мероприятие «Oracle Cloud Security Day: технологии на страже бизнеса», посвященное новой стратегии компании Oracle Cloud и выводу соответствующих ей решений на российский рынок. А какое может быть обсуждение облачных вычислений без темы персональных данных? Конечно, никакое!

Меня пригласили рассказать про использование облачных технологий и защиту персональных данных в свете требований российского законодательства. Андрей Дроздов из KPMG раскроет требования нового европейского регламента по защите данных. Тему почему-то слабо обсуждаемую у нас, хотя новые нормы коснутся многих российских компаний, не только работающих на территории Евросоюза, но и обрабатывающих сведения о гражданах ЕС на российских вычислительных мощностях.

Как следует из темы мероприятия, будет много всего про безопасность при использовании облачных технологий, от специалистов Oracle и Accenture.

Участие бесплатное. Зарегистрироваться пока еще можно здесь. 

И еще раз про персональные данные россиян после 1 сентября, теперь - в зарубежных облачных сервисах

До 1 сентября, после которого большое количество операторов оказывается в совершенно новых условиях работы с персональными данными, осталось совсем немного. Несмотря на то, что на эту тему я уже писал неоднократно (например, здесь и здесь), мы завалены вопросами по телефону, почте, скайпу, фейсбуку на эту тему. Поэтому остановлюсь на тех нововведениях закона, которые волнуют наибольшее количество компаний.

Начну с понятий, что же такое персональные данные, и кто является оператором этих данных. Пункт 1 статьи 3 Закона о персональных данных определяет персональные данные как любую информацию, относящуюся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Данное определение является весьма неопределенным и допускает сколь угодно широкое его толкование. При таком определении к персональным данным могут быть отнесены практически любые сведения о физическом лице, независимо от того, возможна ли его однозначная идентификация (установление личности) с использованием указанных сведений или нет. Эта проблема определения основных понятий достаточно глубоко анализируется в вышедшем в этом году Научно-практическом комментарии к закону «О персональных данных» под редакцией заместителя руководителя Роскомнадзора А.А.Приезжевой.

Оператор – это государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. Ключевыми в этом определении являются слова об определении целей обработки, состава обрабатываемых данных и действий, совершаемых с ними.

Хотелось бы акцентировать внимание на поправках в закон «О персональных данных», касающихся размещения баз персональных данных российских граждан в период их сбора на территории Российской Федерации:

·         ограничения на размещение баз персональных данных вводятся на период сбора персональных данных и не затрагивают их последующей обработки после завершения сбора, кроме ряда конкретных способов обработки;

·         ограничения касаются только персональных данных граждан Российской Федерации и не касаются персональных данных граждан других государств и лиц без гражданства;

·         ограничения вводятся только на 9 из 18 способов обработки, установленных частью 3 статьи 3 закона «О персональных данных» (сбор, запись, систематизация, накопление, хранение, уточнение, обновление, изменение, извлечение) и не ограничивают расположением баз данных на территории России такие действия с персональными данными как использование, передача, распространение, предоставление, доступ, обезличивание, блокирование, удаление, уничтожение.

Последний вывод означает, что после завершения сбора персональных данных они должны находиться (храниться) в базах данных на территории Российской Федерации, при этом изменения в данные (в том числе, уточнения и обновления) должны вноситься также в базы данных на территории Российской Федерации.

При этом указанное требование не накладывает никаких ограничений на передачу персональных данных после их сбора и записи в базу данных на территории России, в том числе – на трансграничную передачу, предоставление к ним доступа с территории иных государств, а также на использование персональных данных граждан Российской Федерации после их трансграничной передачи, в том числе – на использование данных из информационных систем, находящихся за пределами Российской Федерации. Закон в новой редакции не устанавливает новых, дополнительных ограничений на трансграничную передачу персональных данных, не вводит запрет на обработку персональных данных в дата-центрах и облачных инфраструктурах, находящихся вне территории Российской Федерации, за исключением периода их сбора.

Российская Федерация законом от 19.12.2005 № 160-ФЗ ратифицировала Конвенцию Совета Европы о защите физических лиц при автоматизированной обработке персональных данных (ETS № 108). Ратификационная грамота принята Советом Европы 15.05.2013, и с 01.09.2013 вступили в силу обязательства Российской Федерации, обусловленные данной конвенцией. В соответствии с частью 2 статьи 12 «Передача персональных данных через границы и национальное право» Европейской конвенции, сторона конвенции не будет запрещать или ставить под специальный контроль информационные потоки персональных данных, идущие на территорию другой Стороны, исходя исключительно из соображений защиты неприкосновенности личной сферы.

Часть 1 статьи 12 закона «О персональных данных» устанавливает, что трансграничная передача персональных данных на территории иностранных государств, являющихся сторонами Европейской конвенции, а также иных иностранных государств, обеспечивающих адекватную защиту прав субъектов персональных данных, осуществляется в соответствии с настоящим Федеральным законом и может быть запрещена или ограничена лишь в целях защиты основ конституционного строя Российской Федерации, нравственности, здоровья, прав и законных интересов граждан, обеспечения обороны страны и безопасности государства.

Иностранными государствами, обеспечивающими адекватную защиту прав субъектов персональных данных, в соответствии с частями 1 и 2 статьи 12 закона «О персональных данных», помимо государств-сторон Европейской конвенции, являются страны, включенные в утверждаемый Роскомнадзором перечень иностранных государств, не являющихся сторонами Европейской конвенции.

Вместе с тем, надо отметить, что актуализация всех ранее собранных персональных данных (их обновление, изменение, уточнение) первоначально также должна производиться в базах данных на территории Российской Федерации, и эти базы на территории России всегда должны содержать все актуальные персональные данные, используемые оператором и полученные или актуализированные им в период времени, начиная с 1 сентября 2015 года. Таким образом, после 1 сентября 2015 года российский оператор для использования при обработке персональных данных облачных сервисов, серверы которых расположены за пределами Российской Федерации, должен принять дополнительные меры, в частности, базу персональных данных, предназначенную для их первичного сбора, записи и накопления, а также последующей актуализации (уточнения, обновления, изменения) разместить на территории Российской Федерации и постоянно хранить обрабатываемые персональные данные в такой базе. При этом возможным является последующее копирование (перенос) этих данных на сервера за пределами Российской Федерации.

База данных – пока категория не определенная. Согласно разъяснениям на сайте Минкомсвязи, можно предположить, что в качестве базы данных надзорные органы готовы рассматривать, в том числе хранилища бумажных документов, не говоря уже о файлах офисного формата и сканах документов.

Если принятие указанных выше дополнительных мер не может быть реализовано соответствующим российским оператором, то в качестве возможных сценариев организации обработки персональных данных, размещенных в дата-центрах и облачных инфраструктурах, находящихся вне территории Российской Федерации, могут быть рассмотрены следующие:

1.   Размещение данных, предварительно прошедших процедуру обезличивания, при условии, что их де-обезличивание реализуется только на территории Российской Федерации. При выполнении процедуры обезличивания целесообразно руководствоваться требованиями приказа Роскомнадзора от 05.09.2013 № 996 «Об утверждении требований и методов по обезличиванию персональных данных», обязательного к исполнению для операторов, являющихся государственными или муниципальными органами. В этом случае операторы, не являющиеся государственными или муниципальными органами, при обосновании правомерности, разумности и достаточности выбранного способа обезличивания, могут ссылаться на требования, установленные в нормативном акте уполномоченного федерального органа исполнительной власти.

2.   Размещение персональных данных в зашифрованном виде при условии, что их расшифрование осуществляется только на территории Российской Федерации. Для шифрования должны использоваться сертифицированные средства криптографической защиты, поскольку в данном случае шифрование выполняется с целью нейтрализации актуальной угрозы безопасности персональным данным, связанной с возможностью несанкционированного доступа к ним неавторизованного персонала дата-центра или облачного провайдера.

Такие варианты не должны рассматриваться как размещение персональных данных за рубежом, поскольку они не соотносятся с определяемым в такой системе субъектом и, собственно, персональными данными не являются.

После 1 сентября 2015 года оператор, осуществляющий сбор персональных данных российских граждан с использованием баз данных, находящихся не на территории Российской Федерации, может быть привлечен к административной ответственности по основаниям, предусмотренным статьей 13.11 КоАП (размер штрафа для юридических лиц составляет от 5 до 10 тысяч рублей), поскольку невыполнение требования о месте нахождения баз персональных данных при их сборе является прямым нарушением вступающей в силу нормы закона «О персональных данных», которая определяет новый порядок сбора персональных данных с 1 сентября 2015 года.

Кроме того, после 1 сентября 2015 года, в соответствии с изменениями в закон «Об информации, информационных технологиях и о защите информации», может быть ограничен (фактически – заблокирован) доступ пользователей с территории Российской Федерации к сайту (странице сайта) в сети интернет, на котором персональные данные обрабатываются с нарушениями требований российского законодательства. Данная мера может быть принята, в том числе и в отношении сайтов, размещенных за пределами Российской Федерации, и сайтов, владельцы которых находятся вне юрисдикции Российской Федерации.

Grand-2013

А? Как звучит? Героическими усилиями Дмитрия Мацкевича и его команды 28 марта в Holiday Inn Сокольники пройдет Международный Гранд Форум «Вокруг ЦОД, Вокруг Облака, Вокруг IP. Бизнес и информационные технологии». Похоже, несколько сот человек найдут любую интересную для себя тему, связанную с дата-центрами, облаками и всем остальным – от пожаротушения до продажи сервисов, от «зеленых» ЦОДов до стартапов, живущих где-то за облаками, от социальных сетей до оценки облачного рынка в целом.

Что интересно лично мне: про влияние ИТ на успех бизнеса от организатора; про ИТ-инфраструктуру в облаке для распределенной виртуальной компании (звучит-то как!) от Рустэма Хайретдинова, как раз такой компанией и владеющего; про игровые механики для мотивации сотрудников с использованием ИТ-технологий от Алексея Любко из «Пряников»; про BYOD от Дениса Дубровина из Aastra Technologies Limited (как безопаснику, интересно сверить позиции); управление ДИТ как бизнесом при помощи частных облаков от Михаила Козлова из DevBusiness.ru, ну, и кое-что еще.

Все это показалось увлекательным, и мы тоже втянулись. Решили рассказать про грабли, спрятанные в ЦОДе (естественно, про обработку персональных данных в ЦОДе и облаке и про то, как на них не наступить). Так уж сложилось, что законотворчество и технический прогресс идут каждый своими путями, которые почему-то редко пересекаются. Это произошло и у нас с персональными данными. Государственное регулирование их обработки и обеспечения безопасности практически не учитывает особенности работы в Интернете, возможности переноса обработки на технологические площадки коммерческих центров обработки данных и совсем не отражает все большую популярность размещения данных в облачных инфраструктурах. 

В выступлении мы попытаемся найти ответ на вопрос, как в этих условиях добиться соответствия законодательству и, в то же время, не нарушить законные права граждан, чьи данные обрабатываются оператором, кто, как должен и может нарисовать модель угроз, сколько их должно быть и что с ними делать. О мерах на стороне ЦОДа и на стороне его клиента. О криптошлюзах для доступа в ЦОД и причинах ограничения их производительности. Если ребята из латвийского DEAC к этому времени останутся, можно будет поговорить и о трансграничке, ЦОДе за рубежом как площадке для обработки персданных, рисках, регуляторах и возможных проблемах.

Тема более чем актуальная, по оценке нашего агентства. ЦОДов и облаков, предлагающих XaaS для персональных данных, все больше. Хостинг, колокация, дидикейтед – повседневная практика для многих компаний (почему-то чаще зарубежных, работающих на российском рынке, но и об этом пару слов скажем). А вот насколько это вписывается в 152-ФЗ «О персональных данных»– большой вопрос. Поищем ответы вместе. Для этого большие конференции и нужны. 

Не по дороге с облаками

В течение последней недели как-то слишком часто попадаются статьи и заметки про облачные вычисления. Все, как на подбор – негативные, зато от людей и компаний, статус которых требует доверия как минимум. То Стив Возняк озаботится, то Гартнер холодненькой водичкой плесканет, а Наташа Храмцовская про это расскажет.

Периодические всплески интереса к любой теме – дело обычное. Но, почитав последние материалы, поймал себя на стойком déjà vu. Все это писалось и год, и два назад. Одними и теми же словами, применительно к одним и тем же ситуациям. С одной стороны, продавцы облачных сервисов убеждают нас, что корпоративные заказчики уже просто-таки рвутся в облака, с другой – за все эти годы нет ни одного внятного, обоснованного и убедительного ответа на крайне простые, очевидные вопросы:

1. Что происходит с данными, загруженными в облако, после выполнения действий, назначенных заказчиком (обработки, проведения вычислений, нажатии клавиши Delete на компе пользователя, работающего с облачной инфраструктурой)?

2. Какими конкретно механизмами обеспечивается разграничение доступа к информации в облаке между пользователями всех этих SaaS/IaaS/PaaS и вообще XaaS, кто и как подтвердил их надежность?

3. Что там с виртуальной архитектурой внутри облака, атаками на гипервизор, супер-пользователями и почему бы им не продать нашу информацию конкурентам, которые получают все по запросу здесь же?

4. Кто и как управляет ключами шифрования при закрытии канала передачи данных в облако? Почему это не АНБ/ЦРУ/Моссад/ФСБ/BND/MI5-MI6 (список продолжите сами)?

Перечень вопросов, сами понимаете, не исчерпывающий. И касается он только конфиденциальности. Но, как только вы поднимаете глаза вверх и смотрите на белогривых лошадок, у любого ИТ- или ИБ- директора в здравом уме и твердой памяти появляются нехорошие мысли про доступность и целостность. Перечень вопросов стремительно растет:

5. Кто конкретно и как отвечает за неизменность ваших данных в облаке? Чем это подтверждается?

6. Что вы будете делать, когда у вас не окажется доступа к интернету?

7. Что вы будет делать, когда провайдер откажет вам в услуге?

8. Что вы будете делать, когда ваши данные бесследно исчезнут?

9. Что вы будете делать, когда решите «найти себе другого провайдера, честного» и мигрировать к нему? Как вы перенесете свои данные и перенесете ли вообще?

Все эти годы вдвижения новых сервисов в умы и деньги заказчиков вместо ответов мы получаем то, что классик мировой революции называл эклектической похлебкой – общие слова про колоссальный опыт и ответственность разработчиков, огромное количество специфических облачных решений безопасности, описать которые «в данном интервью (статье, выступлении) не представляется возможным из-за ограничений во времени» (при том, что 95% их – маркетинговая лапша на уши), про неизбежность научно-технического прогресса и светлое будущее аутсорсинга всего, не относящегося к основной деятельности – в частности.

Я сам на всех своих курсах, переходя к разделу аутсорсинга безопасности, говорю о том, что история развития человечества – это история развития аутсорсинга, от первобытно-общинной семьи с забитым мамонтом как основным средством существования через коврики под автомобилями 20 века в воскресные погожие дни к «Check engine. Code 235709» сегодня. Все так.

Но отсутствие внятных ответов на все выше поставленные вопросы заставило меня вернуться к собственному посту и презентации годичной давности.

Я не нашел не только 33, но и 3 отличия от того, что происходит сегодня. Для информационных технологий и информационной безопасности с точки зрения нейтрализации возникающих угроз год – период огромный. И если за это время на технологические вызовы нет соответствующей реакции, зато заметен рост агрессивности маркетинга, это неспроста. И у меня, как безопасника, появился новый вопрос. Провайдеры облачных услуг, а как и где заказчик может познакомиться с логами событий безопасности, связанными с его конкретно данными? Они вообще-то есть? И как там с таргетированными атаками, всякими новыми Stuxnet’ами, Flame’мами, Gauss’ами? Ведь красть с колхозного поля всегда легче, чем с личной делянки - оно большое, с чужой картошкой и спать хочется в конце концов.

Боюсь, что до получения не просто ответов, а обязательств, закрепленных в договорах с провайдерами, публичные облака останутся областью применения для почтовых сервисов и личных файлов, а про международные корпорации, перенесшие в них свою информационную инфраструктуру (названия, по понятным причинам, не раскрываются), нам придется верить продавцам воздуха облаков на слово. Публичных, потому что чем отличается частное облако от обычного коммерческого ЦОДа, я внятных объяснений за все это время, ни разу так и не услышал. Ну, кроме системы расчетов за представленные услуги, конечно.

По дороге с облаками?

Тема облачных вычислений постепенно стала номером 1 для ИТ-сообщества, оттеснив на задний план виртуализацию, катастрофоустойчивость и непрерывность, не говоря уж о возврате инвестиций и совокупной стоимости владения. По оценке IDC – это одно из самых динамичных направлений развития информационных технологий, с предполагаемыми темпами роста 45,5% в год до 2015 г.

Главный архитектор российского лидера облачных технологий – компания Parallels (см. РБК) оптимистично оценивает рынок SaaS через 20 лет в 1 млрд. долларов. Преимущества очевидны – не нужно серверное оборудование и персонал, всё, что нужно, включая прикладное ПО, взял в аренду и спишь (работаешь) спокойно. Приложения, сегодня доступные «крупным и крупнейшим», завтра придут в СМБ. Итак, все и всё – в облака?

Предвидя обвинения в ретроградстве и неприятии технического прогресса (уже не раз слышал), предложил бы не торопиться.

Прежде, чем перенести свои информационные ресурсы в облако, надо самому себе ответить на три тривиальных вопроса:

·        Что вы будете делать, когда у вас не окажется доступа к интернету?

·         Что вы будет делать, когда провайдер откажет вам в услуге?

·         Что вы будете делать, когда ваши данные бесследно исчезнут?

В недавнем посте я уже приводил мнения Ричарда Столлмана и Дмитрия Пучкова (Goblin) по этому вопросу. Кстати, еще в 2008 г. в интервью Guardian Столлман, идеолог открытого программного обеспечения, говорил: «Использовать веб-приложения для своих вычислительных процессов не следует, например, потому, что вы теряете над ними контроль. … Если вы используете любую проприетарную программу или чужой веб-сервер, вы становитесь беззащитными. Вы становитесь игрушкой в руках того, кто разработал это ПО». Марк Андерсон, издатель одного из авторитетнейших ИТ изданий Strategic News Service, в 2009 г. писал: «Из-за значительного притока пользователей сервисов, использующих облачные вычисления, растёт стоимость ошибок и утечек информации с подобных ресурсов, а в 2010 году произойдут крупные катастрофы типа выхода из строя, или катастрофы, связанные с безопасностью». 2010-й прошел, все спокойно? Не совсем так.

Если вы думаете, что М.Андерсон и я – параноики, несколько простых иллюстраций.

Когда в октябре 2009 г. рухнул сервис Sidekick Data провайдера T-Mobile, владельцы смартфонов потеряли все свои телефонные контакты, сообщения, календари, фотографии, заметки и прочее, поскольку философия сервиса не предполагала бэкапа нигде, кроме как в облаке. Путаные заверения в том, что большинство данных удалось впоследствии восстановить, и купоны на 100$ услуг провайдера для пострадавших в этой ситуации не кажутся особо впечатляющей компенсацией. Этот инцидент издание PCWorld назвало «бесконечным кошмаром».  

В ноябре 2010 г. по первому требования администрации США Amazon, один из крупнейших в мире игроков рынка облачных сервисов, прикрыл хостинг сайта WikiLeaks, даже не попытавшись внятно обосновать свое решение.   В 2011 г. весь мир обошли снимки кающихся топ-менеджеров Sony, допустившей  утечку персональных данных 77 миллионов (!) пользователей сети PlayStation, которые как раз в облаке и хранились.

Тем, кто уверен в надежности своего провайдера, хотелось бы напомнить маски-шоу в марте 2010 г. у хостера «Агава» (не последнего в России, входит в первую пятерку) и его провайдера Golden Telecom.

Все это – лишь моментальные снимки отдельных областей видимой части айсберга. Инциденты в облаках были, есть и всегда будут латентными в силу архитектуры сервиса. И о многих не знают не только клиенты, но и сами владельцы.

К самым очевидным проблемам, которые встают перед пользователями облачных сервисов, я бы отнес следующие:

·         защита данных пользователей услуги; 

·         неконтролируемые данные (невозможность удаления или модификации  информации пользователем);

·        конфиденциальность данных на грид-серверах облака;

·         защита каналов обмена данными.

При этом, передавая в облако свои приложения, клиент получает полный спектр проблем, связанных с каждой их составных частей архитектуры: доступом через Интернет и атаками на элементы облака (прокси- и реверс-прокси сервера, web-сервера, сервера приложений, сервера баз данных, СХД  и т.д.), безопасностью виртуальной инфраструктуры, безопасностью приложений, предоставляемых по запросу, и безопасностью собственно самого клиента, поскольку надежный доступ – дорогой и сложный, а провайдеры в поисках снижения издержек предлагают то, что попроще и подешевле.

Рвется там, где тонко. А если тонко везде…

В этой ситуации представляется, что в облако нельзя передавать следующие категории  информации:

·         конфиденциальные данные;

·         критичные данные;

·         чувствительные данные;

·         данные, требуемые в реальном масштабе времени;

·         данные, которые вы не резервируете вне облака.

А что можно? Ответьте на три простых вопроса, поставленные в начале поста, и решайте сами. Данные – ваши.

В заключение – мнение аналитика Gartner Грега Крайзмана : «Облако не схоже со старыми моделями развёртывания и использования ПО, при которых ПО устанавливается и управляется внутри организаций, и поскольку провайдеры SaaS используют другие интерфейсы, теперь существует риск попадания под большее количество атак, а также большее количество людей обладает доступом к данным».

«Думайте сами, решайте сами» – лететь или не лететь [в облака] J.

Изменившийся мир, в котором мы живем

Тема персональных данных утомила всех. В ожидании Совета Федерации и подписи Президента под новой редакцией ФЗ-152 «О персональных данных» самое время перевести дух и сказать о том, что кажется важным.

И ФЗ-152, и WikiLeaks, и РосПил – все это следствия того, что за последние 20 лет мир стал совсем другим. Радикально другим. А мы не хотим этого замечать и с этим соглашаться. Первый раз я говорил об этом на Positive Hack Days. Поскольку презентация опубликована и без сопроводительного текста не дает полного представления о проблеме, решил этот текст привести тезисно.

Итак, наш мир радикально изменился. И изменили его конкретные люди, которые создали новые технологии  для этого мира или заставили всех вокруг играть по новым правилам. Кто они? Всех не перечислишь, но для меня главными являются те, о которых ниже.

Тим Бернерс-Ли, который не только  вместе с Робертом Кайо создал WWW – распределенную систему, предоставляющую доступ к связанным между собой документам, расположенным на различных компьютерах, подключенных к Интернету, но и стал первым в мире блоггером.

Брэд Фицпатрик, основатель LiveJournal – платформы для создания, ведения и использования блогов, навсегда изменившей представление об источниках информации.

Кевин Митник, показавший, что человек, поселивший свой образ в цифровом мире, беззащитен.

Марк Цукерберг, создавший Facebook, объединяющую в единую сеть не компьютеры и документы, а людей, открыв их электронные души всему миру.

Джек Дорси, Twitter которого сделал обмен информацией между неограниченным количеством людей, в том числе ранее незнакомых, таким же простым, как между ближайшими родственниками и друзьями.

Эрик Шмидт, который ввел в оборот термин «облачные вычисления» (Cloud Computing), определивший, похоже, вектор развития ИТ-технологий на длительную перспективу.

Джулиан Ассанж, создатель WikiLeaks – сайта для «неотслеживаемой публикации и анализа документов, ставших доступными вследствие утечки информации», уничтожил традиционное понимание государственных секретов.

Алексей Навальный, объединивший возможности цифрового мира, право любого на совладение корпорациями и право на свободное добывание и распространение информации, создав тем самым прецедент уничтожения понятия коммерческих секретов.

В результате изменений, внесенных этими людьми, все мы стали жить в другом мире, мире без границ, без цензуры, фактически – без права на сохранение тайн и без сложившейся веками системы создания и распространения информации. И стал ли этот мир лучше в самом широком смысле этого слова, лучше для людей, лучше для государств, лучше для общества, - это еще очень и очень большой вопрос. Он – другой.

Не надо забывать, что все эти люди – не альтруисты. Они бизнесмены, и очень успешные. По оценкам различных источников, сегодня Livejournal.com стоит примерно 33 млрд. долларов, личное состояние Марка Цукерберга – 13,5 млрд. долларов, стоимость Twitter – примерно 10 млрд. долларов, на сайте WikiLeaks есть весьма характерные слова «Свобода слова не бесплатна!».
И у всех этих новых черт нашего мира есть отчетливая коммерческая составляющая, приносящая выгоду, и немалую, вполне конкретным людям.

Кроме того, новые технологии – это не только новые возможности, но и новые, неизведанные угрозы. Говоря об облачных вычислениях, Дмитрий Пучков, известный в России больше как Goblin, отмечал: «Доверять важные данные посторонним сервисам - на мой взгляд, безумие. Ну, то есть, баловство всякое доверять можно, а вот сохранением серьёзного надо озаботиться самому». Ему вторит гуру открытого ПО Ричард Столлман: «Пусть правительство США поощряет людей к хранению информации в облаке, где правительство США может ее получить, не предъявляя никаких бумаг. И лучше нам держать под контролем свои данные и информацию, иначе эта возможность может и исчезнуть».

Радикальное изменение источников информации привело к тому, что вместо газет, радио и телевидения мы все чаще и чаще обращаемся к  новостным сайтам, заглядываем в социальные сети и блоги. И на вопрос: «Кому верить?» ответ надо давать самим. Государства не отвечают за достоверность нецензурируемой информации. За достоверность не отвечает вообще никто.

За последние годы и месяцы мы убедились, что социальные сети и блоги могут для значительного количества людей не только полностью заменить СМИ, но и стать топкой для разжигания революций в Магрибе или сегодня – в Белоруссии. Но они же могут дать и неограниченную ничем, кроме воли участника, информацию, в том числе для преступных действий. История с Иваном Касперским – наглядное тому подтверждение.

Пора сформулировать новое правило Миранды, правило для цифрового мира: «Все, что вы указали о себе в социальной сети, блоге, форуме, чате, любом общедоступном сервисе, будет храниться там вечно и всегда может быть использовано против вас».

И мы не знаем ответа на вопрос, что же на самом деле делает Джулиан Ассанж. Реализует право каждого на доступ к информации? Занимается международным терроризмом в информационной сфере? Разрушает вековые устои информационного сообщества? Посягает на мировое лидерство США? Или выполняет проплаченные заказы, сливая полученную в их рамках информацию? Каждый может дать свои ответы на эти вопросы или сформулировать другие.

Чем же так опасен Ассанж и его WikiLeaks для традиционной государственности? Лучше всего, по моему мнению, об этом сказал словенский философ Славой Жижек: «Порой произнесение вслух того, что все знали и так, может все изменить».

И все изменилось. Современное государство, пока в Интернете, но похоже, уже не только в нем, похоже на Гулливера в стране лилипутов, окутываемого и сковываемого тысячами тончайших нитей, натянутых одиночками вроде Ассанжа, Навального или авторов вчерашнего открытого письма Президенту РФ по поводу ФЗ-152. И не считаться с ними становится все труднее и труднее.   Недаром США тратят столько усилий на борьбу с WikiLeaks, Конституционный суд РФ признает право Навального на доступ к коммерческой тайне крупнейших корпораций, а Лукашенко бессильно смотрит на аплодирующих на улицах Минска людей.

Подводя итоги, попытаюсь сформулировать, чем сегодняшний цифровой мир так радикально отличается от вчерашнего, аналогового:

·  Интернет породил неиерархическую систему создания и распространения информации;

·  Традиционные способы хранения и защиты информации в этой системе уже не работают;

·  Традиционные способы контроля не эффективны;

·  Традиционная ответственность не применима;

·  Источники утечки плохо поддаются анализу.

В изменившемся мире каждому рано или поздно придется отказаться от привычек оставлять свои «следы», не думая о последствиях этого, строго разделить свободно распространяемую информацию и ту, доступ к которой надо ограничить и радикально изменить режим работы с информацией ограниченного доступа.

Ну, и понять, наконец, что Интернет – не только огромное хранилище знаний, но и огромная помойка.