ГОСТ Р 59163-2020. Национальный стандарт Российской Федерации. Информационные технологии. Методы и средства обеспечения безопасности. Руководство по обеспечению безопасности при внедрении серверов виртуализации

7.4 Этап реализации

 

В ходе реализации организация должна провести всестороннюю оценку уязвимости компонентов для виртуализации и убедиться в том, что используются надежные методы обеспечения безопасности. Необходимо повысить уровень защиты базовой платформы для виртуализации за счет предоставленных поставщиком рекомендаций и/или иных инструментов. Организация должна провести оценку эффективности принимаемых в СВ мер по обеспечению безопасности информации (в том числе в форме аттестационных испытаний), а также по проведению работ по анализу защищенности СВ и тестированию работоспособности системы защиты СВ (в законодательно определенных случаях).

В виртуализированной среде необходимо внедрить надежные инструменты управления ключами для контроля доступа и подтверждения прав собственности на данные и ключи. Для разделения обязанностей следует применять политики доступа на основе ролей, которые упрощают проверку наличия прав управления. Надлежащие меры управления данными необходимы для выявления, отслеживания и контроля расположения экземпляров конфиденциальных данных в любой момент времени. Гипервизор должен поддерживать функцию самоанализа для мониторинга поведения ВМ, а также возможность настройки ВМ в соответствии с выбранными политиками безопасности. Правильное шифрование файлов ВМ позволяет значительно снизить риск, связанный с несанкционированным доступом пользователей к физическим серверам и хранилищам, содержащим конфиденциальные данные. С целью предотвращения утечки данных и несанкционированного раскрытия конфиденциальных данных план реализации должен включать первоначальный и текущий анализ конфигурации и проверку системы безопасности на предмет уязвимостей. На данном этапе необходимо использовать автоматизированные инструменты для своевременного исправления уязвимостей гипервизора и проверки важных файлов конфигурации.

Список контрольных вопросов по безопасности этапа реализации приведен в подразделе 9.2.