ГОСТ Р 59163-2020 Информационные технологии (ИТ). Методы и средства обеспечения безопасности. Руководство по обеспечению безопасности при внедрении серверов виртуализации

ГОСТ Р 59163-2020

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

Информационные технологии

МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ

Руководство по обеспечению безопасности при внедрении серверов виртуализации

Information technology. Security techniques. Security guidelines for design and implementation of virtualized servers

ОКС 35.030

Дата введения 2021-06-01

Предисловие

1 РАЗРАБОТАН Федеральным государственным учреждением "Федеральный исследовательский центр "Информатика и управление" Российской академии наук" (ФИЦ ИУ РАН) и Обществом с ограниченной ответственностью "Информационно-аналитический вычислительный центр" (ООО ИАВЦ)

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 022 "Информационные технологии"

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 10 ноября 2020 г. N 1039-ст

4 Настоящий стандарт разработан с учетом основных нормативных положений международного стандарта ИСО/МЭК 21878:2018* "Информационные технологии. Методы и средства обеспечения безопасности. Руководство по обеспечению безопасности при внедрении серверов виртуализации" (ISO/IEC 21878:2018 "Information technology - Security techniques - Security guidelines for design and implementation of virtualized servers", NEQ)

________________

* Доступ к международным и зарубежным документам, упомянутым в тексте, можно получить, обратившись в Службу поддержки пользователей. - Примечание изготовителя базы данных.

5 ВВЕДЕН ВПЕРВЫЕ

Правила применения настоящего стандарта установлены в статье 26 Федерального закона от 29 июня 2015 г. N 162-ФЗ "О стандартизации в Российской Федерации". Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе "Национальные стандарты", а официальный текст изменений и поправок - в ежемесячном информационном указателе "Национальные стандарты". В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя "Национальные стандарты". Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.gost.ru)

Введение

Инфраструктура центров обработки данных становится все более ориентированной на виртуализацию по мере внедрения серверов виртуализации (СВ), предназначенных для обеспечения облачных вычислений и внутренних ИТ-услуг. Поскольку СВ являются вычислительные устройства, на которых размещены многие критически важные для бизнеса приложения, они представляют собой ключевые ресурсы виртуализированной инфраструктуры центра обработки данных, которые необходимо тщательно защищать. СВ все чаще применяются в типовых системах инфраструктуры центров обработки данных, поэтому их безопасное проектирование и реализация становятся важными элементами общей стратегии безопасности.

Назначение настоящего стандарта - предоставить указания по обеспечению информационной безопасности (ИБ) при проектировании и внедрении СВ. Появление документа обусловлено глобальной тенденцией внедрения технологий виртуализации серверов во внутренней ИТ-инфраструктуре предприятий и правительственных учреждений, а также использования СВ поставщиками облачных служб. Следовательно, целевой аудиторией документа являются все организации, которые используют и (или) предоставляют СВ.

Предполагаемая цель документа состоит в том, чтобы облегчить принятие обоснованных решений в ходе проектирования конфигураций СВ. Ожидается, что конфигурация, полученная в ходе проектирования и реализации, обеспечит соответствующий уровень защиты всех виртуальных машин (ВМ) и работающих на них приложений во всей виртуализированной инфраструктуре организации.

1 Область применения

Настоящий стандарт определяет указания по обеспечению ИБ при проектировании и внедрении СВ. В нем приведены проектные решения, направленные на выявление и снижение рисков, а также руководящие указания по реализации типичных СВ.

Действие документа не распространяется на (исключения см. 5.3.2):

- виртуализацию настольных ПК, ОС, сетей и хранилищ;

- процедуру аттестации поставщиков.

Настоящий стандарт предназначен для использования в интересах любой организации, использующей и/или предоставляющей СВ. Настоящий стандарт не применим для СВ, обрабатывающих информацию, содержащую сведения, составляющие государственную тайну.

2 Нормативные ссылки

В настоящем стандарте использованы нормативные ссылки на следующие стандарты:

ГОСТ ISO/IEC 17788 Информационные технологии. Облачные вычисления. Общие положения и терминология

ГОСТ Р 56938-2016 Защита информации. Защита информации при использовании технологий виртуализации. Общие положения