AppSec-құралдары үшін on-premise немесе бұлт: банктер мен мемлекеттік сектор үшін таңдау өлшемдері

Орталық Азияның банктері мен мемлекеттік ұйымдары үшін AppSec-құралдарын өз контурында (on-premise) орнату әдепкі бойынша қауіпсізірек және келісуге оңайырақ: бастапқы код пен осалдықтар туралы деректер периметрден шықпайды. Бұлт іске қосу жылдамдығы мен пайдалану шығындары жағынан ұтады және код пен деректерді орналастыруға қатаң талаптар жоқ жерде сәйкес келеді. Шешім сәнге қарай емес, төменде талданған өлшемдер жиынтығына қарай қабылданады.

Қауіпсіздік құралына нақты не түседі

Тәуекел деңгейін түсіну үшін сервистің қандай деректер алатынын білу керек. Құрал кластарына қарай олар әртүрлі:

• SAST бастапқы немесе екілік кодты талдайды — бұл әзірлеудің ең сезімтал активі: бизнес-үдерістер логикасы, интеграциялар, кейде кодта байқаусызда қалған құпиялар;
• SCA негізінен тәуелділіктер тізімімен (манифесттер, SBOM) жұмыс істейді, бұл едәуір аз сезімтал, бірақ ПО құрамы мен нұсқаларын да ашады;
• DAST жұмыс істеп тұрған қолданбаларға жүгінеді және жауаптар мен сұраныс параметрлерін өңдейді;
• сканерлеу нәтижелерінің өзі — ұйымның осалдықтар картасы, оны ашық қалдыруға болмайды.

Сондықтан бір банк SCA үшін бұлттық сервисті бейбіт қолдана алады және SAST үшін жергілікті орнатуды талап ете алады. Құрал кластары «SAST, DAST, SCA және MAST» мақаласында сипатталған.

Таңдау өлшемдері

1. Деректерді орналастыруға қойылатын реттеушілік және ішкі талаптар

Өңір елдерінде дербес деректерді сақтауға қойылатын талаптар, қаржы секторы реттеушілерінің салалық ережелері және банктер мен мемлекеттік органдардың ақпараттық қауіпсіздік жөніндегі ішкі саясаттары қолданылады. Мысалы, «Дербес деректер және оларды қорғау туралы» Қазақстан Республикасының Заңы жеке деректерді ел аумағында орналасқан дерекқорларда сақтауды көздейді (жарияланымдарда бұл заңның 12-бабымен байланыстырылады — нақты редакциясын adilet.zan.kz сайтында тексеріңіз). Бастапқы код немесе сканерлеу нәтижелері осындай деректерді қамтыса не банк саясаты кодты периметрден шығаруға тыйым салса, шетелдік бұлт нұсқасы бірден алынып тасталады. Әр елде талаптар өзінше — қолданыстағы актілермен салыстырып, заңгерлермен кеңесіңіз. Біз мұнда заңдық қорытынды бермейміз: бұл талқылауға арналған жалпы бағдар.

2. Кодтың сезімталдығы және қауіп моделі

Өзіңізге сұрақ қойыңыз: бастапқы код немесе осалдықтар картасы үшінші тұлғалардың қолына түссе, не болады? Төлем жүйелері, процессинг және азаматтардың дербес деректері бар жүйелер үшін жауап әдетте «қабылдауға болмайды». Маркетингтік сайт немесе ішкі прототип үшін — болады. Бұлттық сервис сенімді қорғалған болуы мүмкін, бірақ сіз тізбекке активтерге қолжетімділігі бар тағы бір ұйымды қосасыз.

3. Желіні оқшаулау және интернетсіз жұмыс

Көптеген сыни контурлар интернетке қолжетімділігі жоқ сегменттерде жұмыс істейді. Олар үшін толық автономды жұмыс мүмкіндігі қажет, соның ішінде ережелер мен осалдықтар базаларының жаңартуларын бақыланатын арна арқылы алу. Мысалы, Sonatype Nexus Repository-ді басқарылатын бұлттық сервис ретінде, дата-орталықта немесе бұлтта өз бетінше орналастырылған шешім ретінде не оқшауланған (air-gapped) орталарға арналған режимде пайдалануға болатынын көрсетеді. DerScanner платформасы on-premise нұсқасында жеткізіледі. Лицензиялаудың және жаңарту шарттарының егжей-тегжейін бізден нақтылаңыз.

4. Аудиторлар мен реттеушілердің бақылауға қоятын талаптары

Жергілікті орнатқанда журналдарды, қолжетімділіктерді, резервтік көшіруді өзіңіз бақылайсыз және аудиторға бүкіл тізбекті көрсете аласыз. Бұлтта бақылаудың бір бөлігі жеткізушіде, сондықтан оның есептері мен сертификаттарына сүйенуге тура келеді. Реттеуші тексеруі немесе АҚ аудиті тұрақты рәсім болып табылатын ұйымдар үшін бұл елеулі дәлел.

5. Іске қосу жылдамдығы

Бұлт тезірек іске қосылады: серверлер сатып алу, инфрақұрылымды келісу, орналастыру және баптау қажет емес. Пилот үшін бұл маңызды артықшылық. Бірақ бұлт үшін АҚ және заңгерлермен бірнеше ай келісу қажет болса, уақыттағы ұтыс жоғалады.

6. Пайдалану және команданың жүктемесі

On-premise серверлерді, әкімшілендіруді, жаңартуларды, резервтік көшіруді, мониторингті және білікті адамдарды қажет етеді. Бұлтта бұл жұмыстарды вендор орындайды. Банкте пайдаланудың жетілген командасы мен инфрақұрылымы бұрыннан бар болса, қосымша жүктеме аз; болмаса — бұл нақты шығын бабы.

7. Құн

Бұлт шығындарды операциялық (жазылым) шығындарға аударады және инфрақұрылымға күрделі салымдарды жояды. On-premise жабдық пен адамдарға салымды қажет етеді, бірақ үлкен көлемдерде және ұзақ горизонтта тиімдірек болуы мүмкін. Тек лицензия бағасын емес, иелену толық құнын салыстырыңыз (DevSecOps бюджетінің құрылымын қараңыз).

8. Масштабталу және қолжетімділік

Бұлт шыңдық жүктемелерге оңай өседі. Өз контурыңызда сыйымдылықты алдын ала жоспарлау керек, бірақ қолжетімділікті өзіңіз басқарасыз және сыртқы байланыс арналарына тәуелді емессіз.

Бір тізімдегі салыстыру

• Код пен деректерді бақылау: on-premise — толық; бұлт — шартпен және вендор шараларымен шектелген.
• Оқшауланған контурда жұмыс: on-premise — мүмкін; бұлт — мүмкін емес.
• Іске қосу жылдамдығы: on-premise — ұзағырақ; бұлт — жылдамырақ.
• Пайдалану жүктемесі: on-premise — сізде; бұлт — вендорда.
• Шығындар: on-premise — жабдық және адамдар; бұлт — жазылым.
• АҚ келісулерінен өту: on-premise — банктер мен мемлекеттік сектор үшін әдетте оңайырақ; бұлт — жеткізушіні бөлек бағалауды қажет етеді.

Гибридті тәсіл

Іс жүзінде көптеген ұйымдар біреуін ғана таңдамайды. Әдеттегі схема: SAST және артефакттар репозиторийі — өз контурында, себебі олар бастапқы кодпен және құрастыру артефактілерімен жұмыс істейді; бұлттық сервистер — сыни емес жобалар, пилоттар және периметрді сыртқы DAST-сканерлеу үшін. Бастысы — ереже бекіту: жүйелердің қандай кластарын бұлтта өңдеуге болады, қандайларын болмайды.

Шешімді қалай қабылдау керек: қысқа алгоритм

1. Жүйелерді маңыздылығы мен өңделетін деректер түрлері бойынша жіктеңіз.
2. Міндетті талаптарды жазып шығыңыз: заң, реттеуші, ішкі саясат, шарттар.
3. Қатаң шектеулері бар жүйелер үшін on-premise таңдаңыз, қалғандары үшін бұлтты қарастырыңыз.
4. Жеткізушіден қажетті орналастыру моделін қолдауын және жабық контурда жаңарту тәртібін тексеріңіз.
5. Өндірістік пайдалануда жұмыс істейтін модельде пилот өткізіңіз (неден бастау керек).

Модельді таңдамас бұрын вендорға қойылатын сұрақтар

Таңдалған модельге қарамастан, жеткізушіге нақты сұрақтар қойып, жауаптарды жазбаша бекітіңіз:

• Жұмыстың әр режимінде вендор жағына қандай деректер беріледі және мұны өшіруге бола ма?
• Жабық контурда ережелер мен осалдықтар базаларының жаңартулары қалай жеткізіледі және қандай жиілікпен?
• Сізде орнату үшін серверлерге, ДҚБЖ-ға және ОЖ-ға қандай талаптар бар, шешім қалай масштабталады?
• Жабық орталар үшін техникалық қолдау қалай ұйымдастырылған — қашықтан қолжетімділік мүмкін емес, оқиғалар қалай шешіледі?
• Шартты бұзған кезде деректерге не болады: сақтау және жою мерзімдері?
• Талаптар өзгерсе, бұлт пен жергілікті орнату арасында көшу жолы қандай?

Бұл сұрақтарға жауаптар көбіне функционалдылықты салыстырудан маңыздырақ: шешімнің АҚ қызметінің келісуінен өтетінін дәл солар анықтайды.

Өңірдің ерекшеліктері

Қазақстанда, Өзбекстанда, Қырғызстанда, Тәжікстанда және Түрікменстанда деректерді орналастыруға және шетелдік бұлттық сервистерді пайдалануға қойылатын талаптар әртүрлі, ал кей жағдайда өзгеріп отырады. Сонымен қатар жергілікті дата-орталықтардың қолжетімділігі, байланыс арналарының сапасы және вендорда жергілікті техникалық қолдаудың болуы маңызды. Сондықтан әмбебап жауап жоқ: осы мақаладағы өлшемдерді алыңыз, өз еліңіздің өзекті актілерін тексеріңіз және шешімді қауіпсіз әзірлеу саясатында бекітіңіз.

Жиі қойылатын сұрақтар

Дереккөздер

• Sonatype: Nexus Repository — орналастыру нұсқалары
• Digital Business: ШОБ ІТ-де қалай үнемдеп, деректерді қорғай алады (Қазақстандағы деректерді локализациялау туралы)