Насколько безопасны центры обработки данных

dev.by

Причинами «падения» дата-центров оказываются и действия человека - как на стадии проектирования, так и на стадии эксплуатации.

Почему физическая защита дата-центров – самый важный уровень общей безопасности данных, и какую роль в процессе ее обеспечения играет сегодня биометрия.

СИЗИФОВ ТРУД?

Как ни совершенствуются инженерные системы современных ЦОДов и механизмы контроля и мониторинга, полностью избежать аварий и последующего простоя не удается. Достаточно просмотреть публикации в отраслевых СМИ на данную тему, чтобы получить подтверждение этого тезиса. «Падают» даже самые авторитетные частные дата-центры глобальных организаций и коммерческие ЦОДы, в которых размещается ИТ-нагрузка ведущих мировых компаний.

Причины сбоев самые разные. Посмотрим хотя бы на недавние примеры. В дата-центре Джорджтаунского университета произошел пожар, ИТ-системы учебного заведения вышли из строя, и полное восстановление всей функциональности заняло несколько дней. Сбой системы электроснабжения ЦОДа стал причиной проблем с мессенджером Telegram, а авария в дата-центре диспетчерского агентства Eurocontrol, управляющего авиасообщением в Европе, привела к многочисленным задержкам рейсов на протяжении пяти часов. Погодные аномалии вызвали сбои в работе ЦОДов Equinix, негативно отразившись на доступности ресурсов облака Amazon Web Services и связанных с ним сервисов крупных ИТ-компаний.

Причинами «падения» дата-центров оказываются и действия человека - как на стадии проектирования, так и на стадии эксплуатации. Можно вспомнить компанию OVH и ее провал с контейнерным форматом дата-центров в Европе, чисто механические казусы (рабочий киркой вывел из строя электрический кабель) или атаки хакеров.

ФИЗИКА ПРОЦЕССА

Защита сетевого периметра, каналов связи, серверного сегмента и хостов – материал для отдельной статьи. Я же хочу остановиться на обеспечении физической безопасности доступа к стойкам в залах дата-центра и на применяемых стандартах и требованиях.

Исходя из своего опыта могу сказать, что большинство клиентов, особенно из банковской сферы, приходя в ЦОД, в первую очередь смотрят на то, как организована физическая безопасность на объекте -- как с точки зрения инфраструктуры, так и в процедурном аспекте. Услуги ЦОДа носят комплексный, многоступенчатый характер, и уровень физической безопасности систем заказчика является в этой иерархии базовым, без которого вся система безопасности становится уязвимой. Для обеспечения физической защищенности оборудования разработан ряд стандартов, прежде всего ISO:2701 и PCI DSS, по которым дата-центры сертифицируются.

Фундаментальность аспекта физической безопасности подтверждается и высоким вниманием со стороны аудиторов заказчика. Теоретически они проверяют все что угодно, любой аспект работы ЦОДа. Но чаще всего проверки затрагивают именно физический уровень доступа к стойкам с данными. Они спрашивают: «Как у вас работают камеры видеонаблюдения? как ведется журнал посещений? сколько уровней авторизации нужно пройти для прохода в серверный зал? как они устроены? Покажите нам визит нашего сотрудника для техобслуживания стойки» и т. д.