Обязательство OCLC по обеспечению безопасности библиотечных услуг

Защита ваших данных при совместном использовании коллекций

OCLC осознает, что конфиденциальность, объективность и доступность сведений наших участников имеет первоочередное значение для их деловых операций и нашего собственного успеха. Мы используем многоуровневый подход к защите ключевой информации, постоянно отслеживая и совершенствуя наши приложения, системы и процессы для соответствия растущим требованиям и трудностям динамических угроз безопасности. В рамках усилий по обеспечению безопасности OCLC успешно прошла регистрацию на стандарты безопасности ISO 27001, сертификацию по схеме Cyber Essentials и регистрацию CSA STAR.

Информационная безопасность и управление рисками предприятия

  • Внедрена система управления информационной безопасностью в соответствии с ISO/IEC 27001:2013.
  • Привлечен штат сертифицированных профессионалов в области информационной безопасности и информационных технологий, а также особый специалист по аварийному восстановлению на условиях полного рабочего дня.

Контроль пространства и физического доступа.

  • Круглосуточная охрана.
  • Ограничение доступа с помощью бесконтактных карт.
  • Вычислительное оборудование в зонах контроля доступа.
  • Видеонаблюдение по всему объекту и периметру.
  • Контроль влажности и температуры.
  • Фальшпол для непрерывной циркуляции воздуха.
  • Подземная сеть электропитания.
  • Источники бесперебойного питания (ИБП).
  • Резервные распределительные устройства (РРУ).
  • Дизельные генераторы с локальным хранилищем дизельного топлива.
  • Датчики дыма и огня во всех центрах обработки данных.
  • Центр оказания услуг в Дублине (DSDC) защищен противопожарной системой «галон» с достаточными запасами для нескольких разрядов.
  • Центр оказания услуг в Колумбусе (CSDC) защищен противопожарной системой DuPont FM-200.
  • Центры обработки данных также защищены водяными спринклерными системами.
  • На всей территории DSDC и CSDC размещены огнетушители.

Контроль логического доступа

  • Идентификация пользователя и управление доступом:
    • соединения с данными посетителей через TLS 1.1 и 1.2 с использованием глобальных повышающих сертификатов от Thawte, гарантирующих нашим пользователям безопасное соединение между браузером и нашим сервисом;
    • индивидуальные пользовательские сеансы идентифицируются и повторно проверяются с каждой транзакцией, используя зашифрованные по XML утверждения безопасности через SAML 2.0;
    • принимаются во внимание конкретные используемые услуги.

Контроль безопасности операций

  • Подключение к Интернету через избыточные маршрутизируемые каналы с несколькими поставщиками услуг Интернета, обслуживаемые несколькими поставщиками телекоммуникационных услуг.
  • Межсетевые брандмауэры по периметру и пограничные маршрутизаторы блокируют неиспользуемые протоколы.
  • Внутренние брандмауэры разделяют трафик между уровнями приложения и базы данных.
  • Балансировщики нагрузки предоставляют прокси-серверы для внутреннего трафика.
  • OCLC использует различные методы для предотвращения, обнаружения и устранения вредоносных программ.
  • Также периодически проводятся сторонние независимые оценки безопасности.
  • Все данные копируются на ленту в каждом центре обработки данных.
  • Резервные копии клонируются по защищенным ссылкам в надежный архив на магнитной ленте.
  • После прекращения использования ленты транспортируются за пределы площадки и уничтожаются.
  • Сотрудники службы информационной безопасности OCLC отслеживают уведомления из различных источников и оповещения из внутренних систем для выявления и управления угрозами.

Разработка и обслуживание систем

  • OCLC тестирует код на наличие уязвимостей перед выпуском и регулярно сканирует нашу сеть и системы на наличие уязвимостей.
  • Проводятся оценки уязвимости сети.
  • Выполняется выборочное тестирование на проникновение и проверка кода.
  • Осуществляется проверка и тестирование инфраструктуры управления безопасностью.

Непрерывность бизнеса и восстановление после аварий

  • Служба OCLC проводит репликацию на диск в реальном времени в каждом центре обработки данных, а также репликацию данных в близком к реальному времени между производственным центром обработки данных и сайтом аварийного восстановления.
  • Конфиденциальные данные передаются по выделенным ссылкам.
  • Тесты аварийного восстановления служат для проверки предполагаемых сроков восстановления и целостности данных клиентов.

Инциденты: реагирование, уведомление и исправление

  • Процесс управления инцидентами для событий безопасности, которые могут повлиять на конфиденциальность, целостность и доступность систем или данных.
  • При подготовке к событиям команда информационной безопасности прошла обучение в области криминалистики и обработки доказательств, включая использование сторонних и частных инструментов.

Соблюдение требований

  • Третьи лица могут получить информацию только в рамках судебных процессов, таких как ордер на обыск, судебное постановление, повестка в суд, предусмотренное законом освобождение или согласие пользователя.
  • OCLC строго следует заявлению о конфиденциальности, чтобы помочь защитить данные заказчиков и посетителей.

Услуги OCLC соответствуют рекомендациям Gartner Group 1 (Таблица 1) и «Руководства по безопасности для критически важных областей облачных вычислений» Cloud Security Alliance или превосходят их.

Таблица 1. Gartner: семь рисков безопасности для облачных вычислений

Рекомендации Gartner OCLC Microsoft

Cloud (BPOS)		 Google Apps

Enterprise
Контроль доступа привилегированных пользователей X X X
Соответствие нормативным требованиям X X X
Расположение данных X X Х (без раскрытия)
Разделение данных X X X
Восстановление X X X
Следственная поддержка X X X
Долгосрочная жизнеспособность X X X

1 Джей Хейзер (Jay Heiser) и Марк Николетт (Mark Nicolett). «Оценка рисков безопасности облачных вычислений». Gartner Group. 3 июня 2008 г.