Виртуализация
Посчитаем ROI для vGate for VMware компании “Код Безопасности” (материалы семинара)

Посчитаем ROI для vGate for VMware компании “Код Безопасности” (материалы семинара)

Вчера вместе с Александром Лысенко (ведущий консультант компании Код Безопасности) мы провели бизнес-завтрак “Go Virtual – Stay Secure”. Я расказывал о ценности vGate for VMware, исходя из его возможностей по защите виртуальной инфраструктуры и соответствия требованиям закона “N 152-ФЗ О персональных данных”.

image

В чем ценность vGate?

На сегодняшний число вводимых в эксплуатацию новых виртуальных северов превысило число физических. Виртуализация ИТ-инфраструктуры стала общим местом для повышения эффективности ИТ-инфраструктуры. При этом администратор виртуальной инфраструктуры имеет полный и практически бесконтрольный доступ ко всем виртуальным машинам. Если в виртуальной среде необходимо использовать персональные данные (ПДн) то текущий уровень сертификации VMware не позволяет использовать последние версии vSphere и vCenter, а так же обрабатывать ПДн категории К1.

По оценке Forrester утечка данных через администраторов является самым дорогим инцидентом с нарушением информационной безопасности предприятий. При этом утечка может происходить злонамеренно (действия инсайдера), по случайности (ошибки настройки и управления), а так же в результате взлома административных записей средств управления виртуальной инфраструктурой зловредным ПО.

Для снижения риска утечки vGate позволяет разделить ответственность за контроль над виртуальной инфраструктурой (ВИ) между администратором ВИ и администратором информационной безопасности (ИБ). Дополнительно использование сертифицированной версии vGate позволяет хранить и обрабатывать ПДн в любых версиях VMware vSphere.

Задачи, решаемые vGate

Основной задачей vGate является управление настройками ИБ виртуальной среды в соответствии с лучшими мировыми практиками:

Все эти документы описывают десятки параметров настройки ИБ для VMware. Использование vGate позволяет снизить объем ручного труда администраторов и процент возможных ошибок при настройке. Это дает нам возможность посчитать ROI от внедрения vGate с учетом уменьшения рисков неправильной конфигурации параметров ИБ.

image

Уникальной возможностью vGate является разграничение прав администрирования объектов ВИ (мандатный доступ).

vGate ROI калькулятор

В представленном примере расчета ROI мы использовали следующие исходные данные:

  • Централизованная установка vCenter/vGate
  • 20 ESX хостов (2CPU)
  • 300 ВМ
  • 3 администратора виртуальной инфраструктуры (из них 2 обучаются работе с vGate)
  • Годовая з/п администратора с учетом накладных расходов = $48к
  • Настройки ИБ соответствуют требованиям PCI DSS, CIS, VMware Hardening
  • Ставка дисконтирования 15%
  • Горизонт расчета 3 года

Источниками ROI для vGate являются:

    • vGate уменьшает время настройки параметров ИБ для виртуальной среды
    • vGate снижает риски ошибок при ручной настройке

Для расчета стоимости рисков используются данные Forrester из отчета “The Value Of Corporate Secrets. How Compliance And Collaboration Affect Enterprise Perceptions Of Risk. March 2010, Forrester”.

image

В каждом конкретном случае необходимо использовать собственную модель рисков, например, исходя из:

  • Модели угроз ИБ вашего предприятия
  • Положений стандарта ISO 27005: “Information technology — Security techniques — Information security risk management”
  • Рекомендаций COBIT Security Baseline

В результате расчета мы получили ROI в диапазоне от 134 до 485% (в зависимости от учета рисков, связанных с ручной настройкой параметров ИБ и без учета рисков, связанных с непрохождением аттестации на соответствие требованиям 152-ФЗ – дополнительная ценность vGate).

vGate ROI

vGate ROI Calculator for VMware (Excel) доступен для загрузки здесь.

Материалы презентации:

Security Code vGate: Lowering Virtualization Security Risks with ROI 02/03/2011 from Michael Kozloff

Дополнительная информация о защиты виртуальных инфраструктур с помощью vGate доступна здесь.