Мой ЦОД – моя крепость: как защитить дата-центр? ЦОД: этапы большой жизни
Центр Обработки Данных (или Дата Центр) по праву называют сердцем корпоративной сети современной компании – промышленной, телекоммуникационной или работающей в области финансов.
Основное предназначение ЦОД состоит в консолидированной обработке и хранении данных, поддержании заданного режима автоматизации бизнес-задач предприятия, а также в обеспечении сохранности корпоративных баз данных и иной информации, как правило, представляющей высокую коммерческую ценность. ЦОД - стратегически важный для компании объект, требующий особого подхода и особых правил, поэтому это понятие включает в себя:
- масштабируемый комплекс программных и аппаратных средств, сосредоточенных в специально оснащенном помещении,
- специально разработанный свод организационных мер и политик безопасности,
- соответствующим образом подготовленный персонал.
Для многих организаций наличие ЦОД является признаком выхода на качественно новый уровень зрелости и управления - на первых этапах развития они отдают предпочтение серверным комнатам, организованным, как правило, в непосредственной близости от головного офиса. Однако наступает момент, когда в компании "вдруг" лавинообразно возрастает объем информации, количество узлов, где она концентрируется, а также численность применяемых бизнес-приложений. Использование мощных ERP- и CRM-систем, СУБД, внутренних и публичных порталов, средств корпоративного обмена данными начинает диктовать высокие требования к универсальности, надежности, бесперебойности работы и защищенности ИТ-инфраструктуры компании – при одновременном снижении стоимости владения. Это - верный признак того, что пришла пора задуматься о модернизации исторически сложившейся ИТ-архитектуры и перейти к использованию "взрослого" ЦОД.
В ряде случаев компании изначально строят свой бизнес и ИТ-инфраструктуру с использованием преимуществ ЦОД. Как правило, это крупные телекоммуникационные, финансовые, промышленные структуры, активно развивающие свою региональную сеть.
Различают корпоративные и хостинговые Дата Центры (ДЦ или ЦОД). В первом случае ЦОД изначально создается для решения задач автоматизации бизнес-процессов самого заказчика и владельца ЦОД. Во втором – владелец ЦОД выделяет организациям стойко-места или кластеры, которые заполняются оборудованием арендатора. При этом все заботы по поддержанию благоприятного для оборудования климата и энергообеспечения принимает на себя владелец ЦОД. Возможны варианты так называемых смешанных ЦОД, при которых одна часть Дата Центра ориентирована на обеспечение бизнес-процессов владельца, а другая – для решения задач арендаторов.
Есть еще один критерий, по которому отличают целевое назначение ЦОД – его текущую загрузку. С этой точки зрения ЦОД может быть основным, резервным или вынесенным за пределы региона или даже страны. Основной ЦОД, как это и следует из его статуса, принимает на себя всю нагрузку в штатном режиме. Он – ядро информационной и телекоммуникационной системы Резервный служит для того, чтобы обеспечить привычный режим предоставления сервисов в случае выхода из строя, профилактики или горячей замены оборудования, установленного в основном ЦОД. Третий вариант ЦОД – для тех организаций, которые полностью исключают для себя возможность отказов в обслуживании своих клиентов.
Совершенно очевидно, что, несмотря на разный статус и режим функционирования, ЦОД всегда является стратегически важным объектом , к оснащению и безопасности которого предъявляются особые требования. Эти требования зафиксированы в международном стандарте TIA 942 , на который сегодня ориентируются специалисты, работающие в России.
В современных условиях комплексная система безопасности должна не только решать основные задачи безопасности - обеспечения защиты от пожара и защиты от проникновения посторонних, но и способствовать повышению трудовой дисциплины, автоматизировать кадровый учет.
Одним из важнейших компонентов ЦОД является система технической безопасности. Дорогостоящее оборудование должно быть надежно защищено от несанкционированного проникновения, от возникновения пожара. Обслуживающий персонал ЦОД должен быть защищен от пожара, непредвиденных внештатных ситуаций. Комплексная система безопасности ЦОД объединяет в себе систему видеонаблюдения (СВН), систему контроля и управления доступом (СКУД), систему охранной сигнализации (СОС), систему голосового оповещения (СГО) о пожаре и систему пожарной сигнализации (СПС), интегрированную с системой газового, либо порошкового пожаротушения (ГПТ).
Для обеспечения безопасности персонала ЦОД, в здании установлена автоматическая система светозвукового оповещения о пожаре, которая, в случае возгорания и получения информации от системы пожарной сигнализации, будет передавать звуковые сигналы при помощи сирен, установленных в помещении здания, и указывать эвакуационные выходы при помощи световых табло «Выход».
При проектировании и создании системы пожарной сигнализации, входящей в состав комплексной системы безопасности, используется в основном оборудование и технологии компании НВП «БОЛИД». Информация с дымовых и ручных пожарных извещателей поступает на панель управления пожарной сигнализации. Установленное в системе сигнализации программное обеспечение организует автоматическую работу системы в случаях задымления или возгорания в помещениях, которые контролирует система безопасности.
В частности, при поступлении тревоги от любого извещателя системы, прибор пожарной сигнализации подает команду на включение системы оповещения о пожаре, отключает систему вентиляции и открывает двери, которые оборудованы системой контроля и управления доступом. В случае поступления тревожной информации от системы пожаротушения, прибор пожарной сигнализации будет отрабатывать ту же самую последовательность действий.
Для контроля и фиксации событий на территории ЦОД комплексная система безопасности использует возможности системы видеонаблюдения, которая позволяет сотрудникам службы безопасности осуществлять дистанционный визуальный контроль над всеми зонами объекта, а также записывать и хранить всю видеоинформацию. Цифровые системы видеонаблюдения - самый эффективный метод охраны. Автоматическая система видео наблюдения работает одинаково эффективно в любое время суток, регистрируя все внештатные ситуации. Архивирование данных производится в папки с указанием даты и времени записи. При просмотре видеозаписи пользователь получает полную картину событий, происходящих в охраняемой зоне.
Есть еще один немаловажный аспект видеоконтроля - сотрудники, находящиеся под непрерывным наблюдением начинают работать гораздо эффективнее.
Автоматическая система пожаротушения это один из самых эффективных способов (методов) экстренного пожаротушения. Автоматическая система пожаротушения воздействует на очаг возгорания, в самом его зарождении, таким образом можно избежать распространения огня и соответственно огромного ущерба от пожара.В качестве огнетушащего вещества - системы используют двуокись углерода, инертные газы, а также различные составы фторосодержащих углеводородов. Установка автоматического пожаротушения позволяют обезопасить, а затем предотвратить пожар на ранней стадии возгораний.
Функциональные возможности комплексной системы безопасности:
- Фиксация и оповещение службы безопасности о возникновении задымления или пожара на территории предприятия с указанием адреса тревожного помещения.
- Автоматическое включение системы пожаротушения в местах возникновения пожара.
- Управление входными дверьми.
- Отключение системы вентиляции при поступлении сигнала тревоги с пожарных извещателей.
- Звуковое оповещение персонала ЦОД о пожаре и указание безопасных путей их эвакуации.
- Круглосуточное видеонаблюдение за охраняемой территорией с записью видеоинформации на цифровые устройства комплексной системы безопасности.
- Архивирование видеозаписей по помещениям ЦОД с возможностью по кадрового воспроизведения записей тревог, в том числе по дате, времени суток, по камере и т.п.
- Управление системой контроля и управления доступом для регулирования санкционированного входа/выхода сотрудников ЦОД и учета рабочего времени каждого сотрудника.
Дмитрий Костров
Дирекция информационной безопасности ОАО "МТС"
ЦОД: состав, виды
Центр обработки данных (ЦОД) - это отказоустойчивая комплексная централизованная система, обеспечивающая автоматизацию бизнес-процессов с высоким уровнем производительности и качеством предоставляемых сервисов.
Обычно в состав ЦОД входят:
- высоконадежное серверное оборудование;
- системы хранения и передачи данных, включая системы резервного копирования;
- системы энергообеспечения, кондиционирования и физического размещения;
- системы мониторинга и управления;
- системы безопасности;
- резервные центры обработки информации;
- решения по виртуализации ресурсов;
- решения по консолидации.
Определены преимущества создания собственного ЦОД (или его аренды) - это предоставление отказоустойчивых инфраструктурных сервисов в режиме 24х7, повышение эффективности и надежности эксплуатации вычислительных ресурсов, упрощенное централизованное администрирование, снижение издержек на предоставление инженерных коммуникаций, высокий уровень защиты информационной системы, централизованное управление и учет ресурсов, контроль доступа к ЦОД (а также подключения в рамках применения специальных разъемов), простое и удобное масштабирование вычислительных ресурсов.
Обычно выделяют три основных вида ЦОД:
- Основной ЦОД - это специально подготовленное помещение (здание), оборудованное комплексом инженерных систем (разрабатывается индивидуально, исходя из конфигурации предоставленных помещений и потребностей заказчика).
- Комплексный ЦОД (от производителя).
- Мобильный (контейнерный).
Непрерывность работы любого ЦОД обычно измеряется в процентах рабочего времени в год. При наиболее распространенном уровне "три девятки" (99,9%) функционирование не должно прерываться в целом более чем на восемь часов в год. "Четыре девятки" (99,99%) допускают перерыв не более часа, "пять девяток" (99,999%) - это почти 100%-ная непрерывность, остановка не превышает и минуты. Объективной оценкой возможностей ЦОД можно считать только независимый аудит. При этом можно воспользоваться определенными стандартами для оценки. Это могут быть: ISO 17799, FISMA, Basel II, COBIT, HIPAA, NIST SP800-53.
Информационная безопасность ЦОД: анализ уровня зрелости
Если подходить к обеспечению безопасности информации, хранимой (обрабатываемой) в ЦОД, мы должны исходить из требований конфиденциальности, доступности и целостности. Необходимо отметить, что цель обеспечения безопасности и защиты функциональных приложений, сервисов и данных (информации) - сведение к приемлемому минимуму (анализ рисков, аппетит рисков) ущерба при возможных внешних и внутренних воздействиях.
Вопросы информационной безопасности ЦОД могут быть описаны только после проведения анализа текущего уровня, разработки проектного и стратегического уровней зрелости процесса управления непрерывностью бизнеса (BCM) в отношении критичных технологических процессов современной телекоммуникационной компании. Данный анализ уровня зрелости должен выполняться для ключевых областей процесса BCM в соответствии с методологией Института непрерывности бизнеса и проводиться по следующим областям:
- Анализ последствий для деятельности (BIA).
- Оценка рисков (RA).
- Корпоративная стратегия BCM.
- Уровень зрелости процесса BCM.
- Стратегия BCM в части восстановления ресурсов.
- План непрерывности бизнеса.
- Решения и планы восстановления ресурсов.
- План кризисного управления.
- Тренировки по BCM, культура, развитие осведомленности.
- Испытание процесса BCM.
- Поддержка и сопровождение процесса BCM.
- Аудит процесса BCM.
- Управление процессом BCM.
- Политика BCM.
- Верификация и валидация процесса BCM.
Основная цель управления функциональной стабильностью технологических процессов - обеспечить выполнение бизнес-функций компании в условиях воздействия дестабилизирующих факторов. Для выполнения анализа уровня зрелости компании в аспекте BCM разработана система оценки, основанная на материалах Института непрерывности бизнеса (BCI), Международной организации по стандартизации (ISO) и методологии CobIT Ассоциации аудита и контроля информационных систем (ISACA).
После проведения работ в рамках проекта ВСМ делаются выводы о том, нужен ли вообще ЦОД; строить собственный или арендовать; делать ли дублирующий. На этом этапе возникает вопрос обеспечения информационной и технологической безопасности с учетом анализа рисков всей компании.
Вопрос обеспечения информационной безопасности ЦОД можно формально разделить на безопасность сетевой части, серверной части и части хранения данных.
Этапы обеспечения безопасности ЦОД, объекты защиты
Основные этапы обеспечения безопасности ЦОД:
- построение модели угроз;
- выделение объектов, на которые могут быть направлены угрозы;
- построение модели действий нарушителя;
- оценка и анализ рисков;
- разработка и внедрение в системы ЦОД методов и средств защиты.
Анализируя вышесказанное, становится ясно, что без построения СУИБ (системы управления информационной безопасностью) как всего предприятия, так и элемента (ЦОД) адекватной защиты не обеспечить.
Перечислим основные объекты защиты в ЦОД:
- информация, циркулирующая в системе;
- оборудование (элементы);
- программное обеспечение.
Модель PDCA
Специалисты информационной безопасности уже прекрасно знают модель "Планирование-реализация-проверка-совершенствование" ("Plan-Do-Check-Act" - PDCA), которая применена для структурирования всех процессов СУИБ.
Сегодня многие организации, занимающие лидирующие позиции в области обеспечения ИБ, разрабатывают (согласно ФЗ "О техническом регулировании") корпоративный стандарт "Обеспечение информационной безопасности организаций", где в полной мере должны быть отражены и требования по ИБ ЦОД, которые должны обеспечить непрерывное выполнение бизнес-функций компании.
Отклонение от реализации данной модели чревато ошибками в реализации защиты, что приведет к потерям предприятия (утечка информации и т.п.).
Из чего должна состоять сетевая часть?
ЦОД может работать (обычно) как с Интернетом, так и с сетью на базе VPN-MPLS, поэтому в сетевой части должен стоять межсетевой экран (желательно в режиме failover), устройство, обеспечивающее шифрование трафика (особенно при соединении с Интернетом), системы обнаружения вторжения IDS/IPS, проходной антивирус. Кроме того, в сетевой части находятся корневые маршрутизаторы, балансировщик нагрузки и так называемый aggregation switch (работает на уровне 2 или 3, может агрегировать данные от нескольких физических портов).
Серверная часть
Серверная часть состоит из коммутаторов. Тут хорошо применять технологию VLAN для разграничения доступа и информационных потоков. Обычно именно эта часть отвечает за связь с центром управления сетью. В центре управления сетью может размещаться центр управления безопасностью (SOC). Здесь ставится система контроля доступа и идентификации (IDM).
Хранилище данных
В части хранилища данных находятся дисковые массивы, серверы бэкапирования, ленточные библиотеки. Вопросы обеспечения целостности очень важны именно в этой части ЦОД. Сейчас появились решения, по которым именно эта часть отвечает за связь с вторичным ЦОД (часто с использованием сети на основе технологии спектрального уплотнения сигнала (DWDM).Интересным примером подобной реализации служит набор ЦОД, построенный компанией "Телеком Италия". Одной из задач построения защищенного ЦОД была реализация требований Закона "О персональных данных". Италия применила более строгие меры по защите, чем в европейской конвенции, из-за серьезной утечки данных о высокопоставленных чиновниках. Все персональные данные не только находятся в одном ЦОД, но и полностью контролируется их хранение, обработка. Около 25 человек постоянно контролируют системы обеспечения безопасностью из единого SOC.
Cегодня мы решили обратить внимание на тему «жизненного цикла» центров обработки данных, рассказать о том, что это такое и как правильное управление им позволяет компаниям сократить не только текущие, но и капитальные затраты. Учитывая современные тенденции к внедрению все новых решений (включая гиперконвергентные системы) и сервисов, значительные трудности в этом процессе могут быть связаны с изменением и адаптацией физической инфраструктуры дата-центров.
Жизненный цикл ЦОДа включает в себя поэтапный процесс развития инженерной инфраструктуры в соответствии с задачами бизнеса и ИТ-процессами и может быть разделен на несколько этапов:
1. Подготовительный
: понимание целей создания, формирование концепции решения, выбор площадки;
2. Проектирование
в соответствии с выбранной концепцией и характеристиками площадки;
3. Строительство
;
4. Эксплуатация
;
5. Оценка соответствия и анализ эффективности.
Требования бизнеса к ИТ-сервисам постоянно меняются, и завершающая данный цикл оценка соответствия как раз и помогает понять, насколько эффективно ЦОД позволяет решать текущие задачи, и способен ли он справиться с новыми, готов ли он к росту. Далее следует планирование доработки или модернизации площадки под новые задачи и все последующие этапы – круг замыкается.
Проектирование и строительство
На российском рынке накоплена солидная компетенция в области проектирования и строительства ЦОДов, есть специалисты соответствующей квалификации, однако не всегда удается выполнить проект в соответствие с заданными клиентом KPI. Уже в ходе реализации проекта требования бизнеса могут измениться и далее некорректно сформулированы и отражены в техзадании. Как следствие, строительство площадки производится качественно, однако основная сложность на этапе проектирования – понять, какие задачи стоят перед объектом и как именно ЦОД должен быть сконструирован и оснащен, чтобы отвечать всем требованиям бизнеса, что удается сделать не всегда.Сегодня требуется четко формировать техническое задание, описывая в нём корректные и оптимальные решения, отвечающие задачам бизнеса в перспективе как минимум 5-8 лет. Помочь в подготовке грамотных специалистов может Центр обучения вендора, обладающего соответствующей компетенцией. Так задачей Центра обучения Schneider Electri c является ознакомление партнеров и клиентов с технически сложной продукцией компании, особенностями ее применения, установки и эксплуатации в реальных условиях.
ЦОД, как правило, физически не привязан к потребителям его услуг, однако, важно учитывать, что размещение его в неподходящем здании радикально увеличивает стоимость инфраструктуры площадки. Стоит помнить и о том, что окружение ЦОДа может влиять на его надежность.
Типичные ошибки, совершаемые на подготовительном этапе:
1. Проектирование ЦОДа как офиса, в то время как это промышленный объект;
2. Ошибки в резервировании систем, компонентов, коммуникаций;
3. Ошибки в расчете размера выделяемой площади под инженерные системы и вспомогательные помещения, с оценкой веса оборудования и его габаритов, с обеспечением автономности объекта.
Важным является понимание ключевых метрик ЦОДа, перспектив его развития, так как инженерные системы должны «пережить» 2-3 поколения ИТ-оборудования. Службу эксплуатации редко вовлекают в проект на этапе строительства. Между тем специалисты по электроснабжению и системам охлаждения должны привлекаться еще на этапе проектных работ и присутствовать в рабочих группах.
Эксплуатация
Как бы хорошо не был продуман и грамотно реализован проект, на этапе эксплуатации возникает немало проблем. Одна из их носит организационный характер и касается взаимодействия между административно-хозяйственным и ИТ-департаментом. Когда такой связки нет, решение в целом может работать неэффективно или вовсе не функционировать.На практике административно-хозяйственные подразделения порой оказываются крайне далеки от понимания, что такое дата-центр и каковы предъявляемые к нему требования, а иногда попросту становятся непреодолимым бюрократическим барьером, поэтому желательно показать этой службе концепцию построения дата-центра на их объекте, объяснить принципы работы инженерных систем и приблизительные параметры оборудования.
В ИТ-отделе могут быть и свои, внутренние проблемы. Когда разные ИТ-подразделения отвечают за разные компоненты (серверы, СХД, сетевое оборудование, системы охлаждения и пр.) и при этом не имеют четких регламентов и разделения зон ответственности, на площадке возникает хаос.
В этом случае проще «переехать» на новую площадку, чем проводить глубокую модернизацию старой, и уже потом переделывать имеющийся ЦОД, не нарушая работы функционирующих на новом месте ИТ-сервисов. Еще один вариант – на время «капремонта» арендовать площади в коммерческом ЦОДе. Оптимальное решение выбирается в каждом конкретном случае.
В современных ЦОДах за непрерывную и эффективную работу инфраструктуре, как правило, отвечает отдельная команда специалистов. Для автоматизации мониторинга, управления, ведения отчётности, управления перемещениями и контроля эффективности используют инструменты, которые принято обозначать аббревиатурой DCIM (Data Center Infrastructure Management).
Задачи мониторинга событий, состояния оборудования и среды зачастую решаются в первую очередь – для этого применяются такие средства, как контроллеры NetBotz и система мониторинга Data Center Expert. Но сейчас наиболее актуальными становятся задачи эффективного использования ресурсов - от электроэнергии до пространства в машинных залах. Своевременное внедрение эффективных регламентов и контроль использования электроэнергии позволяет не только снизить весьма значительные эксплуатационные затраты и вернуть инвестиции раньше, но и планировать новые приобретения или строительство с учётом оценки реальной, а не «бумажной» эффективности оборудования. В качестве платформы для организации такого подхода можно использовать Data Center Operation – модульное решение с набором всех необходимых функций.
Данное решение Schneider Electric позволяет операторам ЦОДов контролировать и эффективнее управлять центрами обработки данных и выполнять текущие задачи, а интеграция сторонних ИТ-сервисов позволяет обмениваться соответствующей информацией между системами разных вендоров, получая в результате более полное представление о производительности и доступности ЦОДа для повышения его надежности и эффективности эксплуатации.
Оценка и оптимизация
Оптимизация – улучшение параметров подсистем ЦОДа – требует предварительного проведения этапа оценки – аудита, анализа эффективности их работы, создания математической модели площадки и устранения проблемных точек на основе данных мониторинга.Качественная система мониторинга, созданная специально для решения задач эксплуатации дата центра, система моделирования работы оборудования, позволяющая получить понятную модель функционирования ЦОДа, - важные инструменты, благодаря которым специалисты по эксплуатации могут отследить состояние ЦОДа в режиме реального времени.
Различные улучшения, такие как построение систем изоляции воздушных коридоров, реорганизация плит фальшпола, устранение в стойках мест с неправильной циркуляцией воздушных потоков с последующей перенастройкой систем кондиционирования, позволяет сократить энергопотребление ЦОДа в реальных проектах на 10-20%. Окупается такая оптимизация (если брать в расчет только энергопотребление) за 3-3,5 года.
Еще один эффект оптимизации – улучшение работы систем охлаждения, когда эффективнее используется установленное ранее оборудование , к примеру, становится возможной установка в стойку большего числа серверов. «Коэффициент полезного использования ЦОДа» можно довести с 70-75% до 90-95%. Такая оптимизация окупается примерно за полгода.
Аналитика данных помогает найти конкретное решение для снижения стоимости эксплуатации устройств на площадке заказчика, выбрать наиболее энергоэффективный режим или оптимизировать использование ресурсов. Или понять, что пришла пора модернизации.
Модернизация ЦОДа не всегда означает установку нового оборудования и в первую очередь представляет собой повышение КПД систем и эффективности их использования.
Оценка ситуации помогает понять, что нужно сделать, чтобы ЦОД вновь работал эффективно. У одного из заказчиков такая проблема была решена с помощью создания закрытых холодных коридоров и блокирования воздушных потоков там, где они снижали эффективность отвода тепла. Причем работа выполнялась без остановки систем дата-центра.
Во многих проектах работа ведется на стыке этапов эксплуатации и оценки. Сегодня у многих заказчиков появляются новые ИТ-задачи, идет информатизация, цифровизация бизнеса, приходится решать различные эксплуатационные проблемы. Справиться с ними помогает помощь экспертов на этапе оценки и проведение аудита ЦОДа. Созданный Schneider Electric в России Региональный центр разработки приложений (Regional Application Center) занимается комплексными решениями для дата-центров. Его основная задача – создание и поддержка устойчивого и эффективного функционирования ЦОДа на всех этапах его жизненного цикла.
Специалисты Schneider Electric принимают участие в проектировании, строительстве, комплексных испытаниях и вводе объектов в эксплуатацию, в последующей поддержке и модернизации дата-центра. На каждом этапе заказчику обеспечивается отказоустойчивость и эффективность работы ЦОДа. При росте масштабов и скорости цифровых технологий предлагаемые нами решения помогут компаниям, провайдерам облачных, телекоммуникационных сервисов и коммерческих площадок смотреть в будущее с уверенностью.
ЦОДы.РФ
С тем, что дата-центр должен быть обеспечен средствами безопасности, никто не спорит. Однако зачастую имеются в виду системы информационной защиты, в то время как о физической безопасности нередко задумываются в последнюю очередь по причине экономии бюджета. Тем не менее средства физической защиты не менее важны для современного ЦОДа, чем информационная защита. Но какие решения будут наиболее актуальны в российских реалиях? Чего следует опасаться в первую очередь и как наиболее эффективно предотвратить возможные инциденты? На вопросы журнала ЦОДы. РФ в рамках рубрики «Круглый стол» отвечает Алексей Красов, начальник проектного отдела дирекции комплексной безопасности группы «Астерос».
Алексей Красов, начальник проектного отдела дирекции комплексной безопасности группы «Астерос»
Какие угрозы физической безопасности вы считаете наиболее реальными для российских ЦОДов? От чего необходимо защищаться в первую очередь?
Алексей Красов : Трудно себе представить, что в современных реалиях группа злоумышленников попытается «в лоб» атаковать ЦОД. Наиболее вероятную угрозу представляет собой внутренний нарушитель, который может самостоятельно произвести несанкционированные действия с оборудованием (изъятие информации, ее копирование или повреждение, внедрение вредоносного ПО и т. д.) либо предоставить доступ третьим лицам непосредственно в помещение дата-центра. Как известно, такие возможности есть у работников собственной службы безопасности или ИТ-службы — тех, кто имеет практически безграничные пользовательские права. В связи с этим сегодня основной задачей физической защиты ЦОДа становится выявление внутренних нарушителей и создание им препятствий.
Какие элементы обеспечения физической безопасности действительно необходимы в современном ЦОДе, а что является бессмысленной тратой денег?
А. К. : Для обеспечения безопасности ЦОДа требуется стандартный набор технических средств, который применяется и на других объектах. Во-первых, речь идет о системах видеонаблюдения, при этом области обзора камер по возможности должны «пересекаться»: если нарушитель выводит из строя одну камеру, другие продолжают фиксировать действия злоумышленника. Во-вторых, это СКУД - организация вложенной структуры СБ, вплоть до обеспечения контроля доступа к каждой стойке. Использование услуг вооруженной охраны - это вопрос анализа рисков, стоимости последствий нарушения физической безопасности, оценки расходов на внедрение и содержание, то есть применения риск-ориентированного подхода.
Нужно ли выделять отдельные зоны (периметры) безопасности в дата-центре?
А. К. : К данному вопросу необходимо подходить с позиции комплексной оценки рисков. Если ЦОД находится на хорошо охраняемой, недоступной для посторонних лиц территории, тогда вложенных рубежей безопасности может быть меньше. Другое дело, если объект находится в общественном здании, доступ к которому имеют посторонние люди. В этом случае, естественно, рубежей безопасности должно быть больше. Однако если мы говорим о внутреннем нарушителе, число периметров безопасности становится непринципиально. Сколько бы их ни было, злоумышленник будет готов их преодолеть. В этом случае должны быть предусмотрены дополнительные организационные меры, а также внедрены системы контроля за действиями операторов и администраторов системы, сотрудников охраны и т. д.
Отличается ли подход к организации физической безопасности дата-центра для российских и западных объектов?
А. К. : Сегодня различия в подходе к обеспечению физической безопасности практически стираются: российские нормативы постепенно приближаются к европейским и американским. Если говорить о технической стороне вопроса, то в западных странах получили распространение средства нелетального воздействия. Они применяются не только в дата-центрах, но и в коммерческих компаниях (ювелирных магазинах, мелких банках и т. д.). Как правило, в охраняемом помещении устанавливаются капсулы со сжиженным газом, стробоскопы и динамики. При срабатывании тревожной сигнализации объект за несколько секунд заполняется непрозрачным дымом, включается сирена с уровнем громкости 120 дБ (точка болевого порога). В этой ситуации человек абсолютно дезориентируется. В нашей стране, как правило, такие средства используются в основном на критически важных объектах, в том числе военных.
На какие нормативные документы (российские и зарубежные) стоит ориентироваться при построении системы физической безопасности дата-центра?
А. К. : На данный момент ни в российской, ни в общемировой практике не существует нормативов по построению СБ именно в ЦОДах. Соответственно, здесь надо полагаться на стандартные нормативные документы, которые регламентируют создание систем физической защиты в целом, и на опыт интегратора, который занимается их внедрением.
Каковы последние тенденции в сфере организации физической безопасности дата-центров?
А. К. : Рынок дата-центров находится в стадии непрерывного роста, однако с точки зрения технических решений защиты радикальных изменений не произошло. В целом есть тенденция к тому, что заказчики начинают больше внимания уделять информационной безопасности. Ведь получить удаленный доступ к данным и оборудованию в ЦОДе гораздо проще и менее накладно, чем, скажем, организовать вооруженную группу для физического захвата объекта.
Спасибо за интерес к группе «Астерос»! Чтобы мы могли предоставить вам информацию по теме «Физическая защита ЦОДа - понятие комплексное», заполните, пожалуйста, поля «E-mail» или «Телефон».
