AppSec vositalari uchun on-premise yoki bulut: banklar va davlat sektori uchun tanlov mezonlari

Markaziy Osiyodagi banklar va davlat tashkilotlari uchun AppSec vositalarini o‘z konturida (on-premise) o‘rnatish odatda xavfsizroq va kelishish uchun osonroq: manba kodi va zaifliklar haqidagi ma’lumotlar perimetrdan tashqariga chiqmaydi. Bulut ishga tushirish tezligi va ekspluatatsiya xarajatlarida yutadi hamda kod va ma’lumotlarni joylashtirishga qat’iy talablar bo‘lmagan joyda mos keladi. Qaror modaga qarab emas, quyida ko‘rib chiqilgan mezonlar majmuiga qarab qabul qilinadi.

Xavfsizlik vositasiga aynan nima yuboriladi

Xavf darajasini tushunish uchun xizmat qanday ma’lumotlarni olishini bilish kerak. Turli sinfdagi vositalarda ular farq qiladi:

• SAST manba yoki binar kodni tahlil qiladi — bu ishlab chiqishning eng sezgir aktivi: biznes jarayonlari mantig‘i, integratsiyalar, ba’zan esa kodda beixtiyor qoldirilgan sirlar (secrets);
• SCA asosan bog‘liqliklar ro‘yxati (manifestlar, SBOM) bilan ishlaydi, bu ancha kam sezgir, lekin u ham dasturiy ta’minot tarkibi va versiyalarini ochib beradi;
• DAST ishlab turgan ilovalarga murojaat qiladi va javoblar hamda so‘rov parametrlarini qayta ishlaydi;
• skanerlash natijalari o‘zi tashkilotning zaifliklar xaritasi bo‘lib, uni ochiq holda qoldirib bo‘lmaydi.

Shuning uchun bir xil bank SCA uchun bulut xizmatidan xotirjam foydalanishi, SAST uchun esa lokal o‘rnatishni talab qilishi mumkin. Vositalar sinflari «SAST, DAST, SCA va MAST» maqolasida tavsiflangan.

Tanlov mezonlari

1. Ma’lumotlarni joylashtirishga qo‘yiladigan normativ va ichki talablar

Mintaqa davlatlarida shaxsga doir ma’lumotlarni saqlashga qo‘yiladigan talablar, moliya sektori regulyatorlarining tarmoq qoidalari hamda banklar va davlat organlarining axborot xavfsizligi bo‘yicha ichki siyosatlari amal qiladi. Masalan, «Shaxsga doir ma’lumotlar va ularni himoya qilish to‘g‘risida»gi Qozog‘iston Respublikasi Qonuni shaxsga doir ma’lumotlarni mamlakat hududida joylashgan bazalarda saqlashni nazarda tutadi (nashrlarda bu qonunning 12-moddasi bilan bog‘lanadi — aniq tahririni adilet.zan.kz saytida tekshiring). Agar manba kodi yoki skanerlash natijalarida bunday ma’lumotlar bo‘lsa yoki bank siyosati kodni perimetrdan tashqariga chiqarishni taqiqlasa, xorijiy bulut varianti darhol bekor bo‘ladi. Har bir mamlakatda talablar o‘ziga xos — amaldagi hujjatlar bilan solishtiring va yuristlar bilan maslahatlashing. Biz bu yerda huquqiy xulosalar bermaymiz: bu muhokama uchun umumiy yo‘l-yo‘riqdir.

2. Kodning sezgirligi va tahdidlar modeli

O‘zingizdan so‘rang: manba kodi yoki zaifliklar xaritasi uchinchi shaxslar qo‘liga tushsa nima bo‘ladi? To‘lov tizimlari, protsessing va fuqarolarning shaxsga doir ma’lumotlari bilan ishlaydigan tizimlar uchun javob odatda «qabul qilib bo‘lmaydi». Marketing sayti yoki ichki prototip uchun — yo‘l qo‘yiladi. Bulut xizmati ishonchli himoyalangan bo‘lishi mumkin, biroq siz zanjirga aktivlarga kirish huquqiga ega yana bir tashkilotni qo‘shasiz.

3. Tarmoq izolyatsiyasi va internetsiz ishlash

Ko‘plab muhim konturlar internetga chiqishi bo‘lmagan segmentlarda ishlaydi. Ular uchun qoidalar va zaifliklar bazalari yangilanishlarini nazorat qilinadigan kanal orqali olishni ham o‘z ichiga olgan to‘liq avtonom ishlash imkoniyati kerak. Masalan, Sonatype Nexus Repository’dan boshqariladigan bulut xizmati sifatida, ma’lumotlar markazi yoki bulutda mustaqil o‘rnatilgan yechim sifatida yoki izolyatsiyalangan (air-gapped) muhitlar uchun rejimda foydalanish mumkinligini ko‘rsatadi. DerScanner platformasi on-premise variantida yetkazib beriladi. Litsenziyalash va yangilanish shartlari tafsilotlarini bizdan aniqlashtiring.

4. Auditorlar va regulyatorlarning nazoratga qo‘yadigan talablari

Lokal o‘rnatishda jurnallar, kirish huquqlari va zaxira nusxalash ustidan nazoratni o‘zingiz yuritasiz va auditorga butun zanjirni ko‘rsata olasiz. Bulutda nazoratning bir qismi yetkazib beruvchida bo‘ladi, shuning uchun uning hisobotlari va sertifikatlariga tayanishga to‘g‘ri keladi. Regulyator tekshiruvi yoki AX auditi muntazam tartib bo‘lgan tashkilotlar uchun bu jiddiy dalil.

5. Ishga tushirish tezligi

Bulut tezroq ishga tushadi: serverlar sotib olish, infratuzilmani kelishish, joylashtirish va sozlash kerak emas. Pilot uchun bu katta afzallik. Biroq bulut uchun AX va yuristlar bilan bir necha oylik kelishuvlar zarur bo‘lsa, vaqt bo‘yicha yutuq yo‘qoladi.

6. Ekspluatatsiya va jamoaga tushadigan yuklama

On-premise serverlar, ma’muriylashtirish, yangilanishlar, zaxira nusxalash, monitoring va malakali mutaxassislarni talab qiladi. Bulutda bu ishlarni vendor bajaradi. Agar bankda ekspluatatsiya bo‘yicha yetuk jamoa va infratuzilma allaqachon mavjud bo‘lsa, qo‘shimcha yuklama kichik; bo‘lmasa — bu real xarajat moddasi.

7. Qiymat

Bulut xarajatlarni operatsion xarajatlarga (obuna) aylantiradi va infratuzilmaga kapital qo‘yilmalarni olib tashlaydi. On-premise uskuna va odamlarga sarmoya talab qiladi, biroq katta hajmlarda va uzoq muddatda foydaliroq bo‘lishi mumkin. Faqat litsenziya narxini emas, egalik qilishning to‘liq qiymatini (TCO) solishtiring (qarang: DevSecOps byudjeti tuzilmasi).

8. Masshtablanuvchanlik va ishlash barqarorligi

Bulut cho‘qqi yuklamalarga qarab oson kengayadi. O‘z konturingizda quvvatni oldindan rejalashtirish kerak, ammo ishlash barqarorligini o‘zingiz boshqarasiz va tashqi aloqa kanallariga bog‘liq bo‘lmaysiz.

Bitta ro‘yxatda taqqoslash

• Kod va ma’lumotlar ustidan nazorat: on-premise — to‘liq; bulut — shartnoma va vendor choralari bilan cheklangan.
• Izolyatsiyalangan konturda ishlash: on-premise — mumkin; bulut — yo‘q.
• Ishga tushirish tezligi: on-premise — uzoqroq; bulut — tezroq.
• Ekspluatatsiya yuklamasi: on-premise — sizda; bulut — vendorda.
• Xarajatlar: on-premise — uskuna va odamlar; bulut — obuna.
• AX kelishuvlaridan o‘tish: on-premise — banklar va davlat sektori uchun odatda osonroq; bulut — yetkazib beruvchini alohida baholashni talab qiladi.

Gibrid yondashuv

Amalda ko‘plab tashkilotlar bittasini tanlamaydi. Odatiy sxema: SAST va artefaktlar repozitoriysi — o‘z konturida, chunki ular manba kodi va yig‘ish artefaktlari bilan ishlaydi; bulut xizmatlari — muhim bo‘lmagan loyihalar, pilotlar va perimetrni tashqaridan DAST skanerlash uchun. Asosiysi — qoidani belgilab olish: qaysi sinfdagi tizimlarni bulutda qayta ishlashga ruxsat etiladi, qaysilarini esa yo‘q.

Qarorni qanday qabul qilish: qisqa algoritm

1. Tizimlarni muhimligi va qayta ishlanadigan ma’lumotlar turlari bo‘yicha tasniflang.
2. Majburiy talablarni yozib chiqing: qonun, regulyator, ichki siyosat, shartnomalar.
3. Qat’iy cheklovli tizimlar uchun on-premise’ni tanlang, qolganlari uchun bulutni ko‘rib chiqing.
4. Yetkazib beruvchida kerakli joylashtirish modeli qo‘llab-quvvatlanishini va yopiq konturda yangilanish tartibini tekshiring.
5. Sanoat ekspluatatsiyasida ishlaydigan modelning o‘zida pilot o‘tkazing (nimadan boshlash kerak).

Model tanlashdan oldin vendorga beriladigan savollar

Tanlangan modelga qaramasdan, yetkazib beruvchiga aniq savollar bering va javoblarni yozma ravishda qayd eting:

• Har bir ish rejimida vendor tomoniga qanday ma’lumotlar uzatiladi va buni o‘chirib qo‘yish mumkinmi?
• Yopiq konturda qoidalar va zaifliklar bazalari yangilanishlari qanday va qanday davriylik bilan yetkaziladi?
• O‘rnatish uchun serverlar, BMBT va OT bo‘yicha qanday talablar bor, yechim qanday masshtablanadi?
• Yopiq muhitlar uchun texnik yordam qanday tashkil etilgan — masofaviy kirish mumkin bo‘lmasa, insidentlar qanday hal etiladi?
• Shartnoma bekor qilinganda ma’lumotlar bilan nima bo‘ladi: saqlash va o‘chirish muddatlari?
• Talablar o‘zgarsa, bulut va lokal o‘rnatish o‘rtasida ko‘chish yo‘li qanday?

Bu savollarga javoblar ko‘pincha funksionallikni solishtirishdan muhimroq: aynan ular yechim AX xizmati kelishuvidan o‘tishini belgilaydi.

Mintaqa xususiyatlari

Qozog‘iston, O‘zbekiston, Qirg‘iziston, Tojikiston va Turkmanistonda ma’lumotlarni joylashtirishga hamda xorijiy bulut xizmatlaridan foydalanishga qo‘yiladigan talablar turlicha, ayrim hollarda esa o‘zgarib turadi. Bundan tashqari, mahalliy ma’lumotlar markazlarining mavjudligi, aloqa kanallari sifati va vendorda lokal texnik yordamning mavjudligi ham ahamiyatga ega. Shuning uchun universal javob yo‘q: ushbu maqoladagi mezonlarni oling, o‘z mamlakatingizning amaldagi hujjatlarini tekshiring va qarorni xavfsiz ishlab chiqish siyosatida qayd eting.

Ko‘p beriladigan savollar

Manbalar

• Sonatype: Nexus Repository — joylashtirish variantlari
• Digital Business: Kichik va o‘rta biznes IT’da qanday tejashi va ma’lumotlarni himoya qilishi mumkin (Qozog‘istonda ma’lumotlar lokalizatsiyasi haqida)