Google сама себя сертифицировала по госнормативам ИБ США

Google сама себя сертифицировала по госнормативам ИБ США

На днях в ходе судебных разбирательств, в которые вовлечены американское правительство, корпорация Microsoft и Google, выяснилась странная вещь: поисковый гигант утверждал, будто его "облачный" программный пакет Google Apps for Government сертифицирован на соответствие федеральному акту об организации защиты информации, не имея на то никаких достоверных оснований.


Тяжба началась еще в прошлом году, когда Google подала иск в защиту свободной конкуренции против государства - за то, что американское МВД выбрало систему делегированных вычислений от Microsoft для построения своей новой электропочтовой службы. При этом юристы истца особо подчеркивали, что "облачное" решение Google имеет сертификат соответствия требованиям акта FISMA (Federal Information Security Management Act), которым продукт редмондской корпорации не располагает.

FISMA-сертификация - это серьезный козырь. В этом акте рассмотрены основные вопросы обеспечения надлежащей безопасности данных для государственных ведомств США, и вполне естественно, что отвечающий его стандартам продукт более предпочтителен для такого учреждения, как министерство внутренних дел. В силу этого претензии Google казались вполне обоснованными.

Однако вчера представитель Microsoft Дэвид Говард сообщил в корпоративном блоге компании, что проводимые министерством юстиции США проверки выявили загадочный факт: у решения Google Apps for Government... не оказалось сертификата соответствия FISMA. Это весьма удивительно, тем более что на странице с описанием данного "облачного" продукта Google и по сей день утверждает обратное.

В итоге выяснилось, что сертификат у поискового гиганта все-таки был, но на другой вариант программного пакета - Google Apps Premier; в свою очередь, версия for Government, как объяснили представители истца, является лишь его усовершенствованной и усиленной модификацией. Иными словами, в Google решили, что если продукт Premier прошел проверку на соответствие FISMA, то основанный на нем и более надежный выпуск for Government автоматически будет считаться отвечающим требованиям федерального акта.

Таким образом, компания де-факто сама сертифицировала свое решение, не советуясь с компетентными контрольно-надзорными органами и полагаясь не на существующие нормы и правила, а лишь на свое умозрительное представление о том, какими они могут быть. Чиновники, однако, объяснили представителям Google, что сознание не определяет бытие, и в объективной реальности проверку на соответствие FISMA нужно проходить заново, если сертифицированный продукт был подвергнут модификациям.

Теперь поисковый гигант, конечно, представит необходимые документы по правилам, и вполне вероятно, что решение Google Apps for Government получит свое FISMA-удостоверение. Однако, к сожалению, компания выставила себя не в самом благоприятном свете, использовав в промо-материалах и даже в судебно-исковых заявлениях фактически ложную информацию, основанную на домыслах. Складывается впечатление, что руководство Google рассматривает свою деятельность скорее как игру, нежели как серьезный бизнес; во всяком случае, некоторые аналитики уже намекают, что компании не мешало бы стать немного "взрослее".  

ZDNet

Письмо автору

" />

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Kaspersky Container Security 2.1 научилась проверять ноды оркестраторов

«Лаборатория Касперского» выпустила обновление для своего решения Kaspersky Container Security (версия 2.1). Теперь оно умеет проверять не только контейнеры, но и ноды оркестраторов — то есть хосты, на которых они работают.

Оркестраторы вроде Kubernetes управляют контейнерными приложениями, а их кластеры состоят из нод с собственной ОС.

Как и любая операционная система, они могут содержать уязвимости. Новая функция позволяет сканировать такие узлы, фиксировать найденные дыры и подозрительные процессы, а также вести постоянный мониторинг с помощью встроенного антивирусного модуля. При этом проверка запускается вручную, чтобы не нагружать систему.

В интерфейсе теперь отображаются детали по каждой ноде: версия ОС, дата последнего сканирования, количество и критичность уязвимостей, история запусков потенциально опасных процессов.

Обновление также расширило список поддерживаемых инструментов и платформ. В него вошли, в частности, интеграция с Google Cloud Platform, российскими системами оркестрации Deckhouse и «Штурвал», а также поддержка RedOS для работы нод.

Появилась возможность передавать данные о событиях через вебхуки. Это значит, что система сможет отправлять информацию в любые внешние сервисы, например в средства мониторинга или оповещения, даже если их интеграция напрямую пока не реализована.

Кроме того, компании теперь могут использовать не только встроенные базы угроз, но и подключать свои собственные через API. Это позволит проверять события сразу по нескольким источникам.

Таким образом, продукт получил новые инструменты для мониторинга и анализа контейнерных сред — в том числе на уровне узлов, которые раньше оставались за кадром.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru