Приглашение на Oracle Cloud Security Day 2 февраля 2017 г.

Уважаемые дамы и господа, Приглашаем вас принять участие в бесплатном cеминаре «Oracle Cloud Security Day: технологии на страже бизнеса», который состоится 2 февраля 2017 года в гостиницеSwissotel Красные Холмы, Москва. Данный семинар рассчитан на руководителей служб информационной безопасности и является уникальной площадкой для обмена мнениями по текущей ситуации в быстро меняющемся мире с точки зрения защиты информации. Приглашенные консультанты поделятся мнением об актуальных угрозах информационной безопасности для российских заказчиков – как технологических (внешние и инсайдерские), так и связанных с рисками нарушения требований законодательства. Также будут обсуждаться темы применимости в России лучших мировых практик защиты информации при использовании облачных технологий. Докладчики Oracle расскажут о стратегии корпорации в области обеспечения безопасности Oracle Public Cloud и о конкретных решениях, позволяющих не только усилить защиту, но и предоставить новые возможности для бизнеса, а также о программе сертификации средств безопасности Oracle в ФСТЭК. Участие в мероприятии бесплатное при условии предварительной онлайн-регистрации и получения подтверждения от организаторов. ПРОГРАММА 10:00-10:30 Регистрация и приветственный кофе 10:30-11:15 Обзор решений Oracle Cloud Security Энди Смит, Старший директор по развитию продуктов безопасности, штаб-квартира Oracle в США 11:15-12:00 Использование облачных технологий и защита персональных данных Михаил Емельянников, Управляющий партнер, Консалтинговое агентство «Емельянников, Попова и партнеры» 12:00-12:30 Защита баз данных: от ЦОДов к облакам Николай Данюков, Ведущий консультант, Oracle СНГ 12:30-12:50 Практика защиты информации при переходе в облако Accenture, Security Consulting, Константин Смринов CISA, CBCP, MBCI 12:50-13:05 Кофе-брейк 13:05-13:25 Европейский регламент по защите данных - на что обратить внимание? Андрей Дроздов, Старший менеджер, KPMG 13:25-13:55 Защита дата-центров Oracle Cloud Oracle, докладчик уточняется 13:55-14:40 Безопасный доступ к приложениям и сервисам по традиционным и мобильным каналам Олег Файницкий, Ведущий консультант, Oracle СНГ 14:40-15:40 Обед 2 февраля 2017 г. 10:00 – 17:00  по московскому времени Гостиница  Swissotel Красные Холмы г. Москва, Космодамианская набережная, 52, стр. 1
Oracle поддерживает корпоративную культуру, в основе которой лежат открытость, ответственность и этичное ведение бизнеса. Принимая приглашение на мероприятие, Вы подтверждаете, что принятие Вами данного приглашения и сопутствующих подарков и/или благ для Вас: 1) является допустимым в соответствии с внутренними правилами Вашего работодателя, 2) является допустимым в соответствии с законодательством Вашей страны регистрации и любыми другими законами, действие которых распространяется на Вашего работодателя, а также 3) известно руководству Вашего работодателя и одобрено им.  Oracle сохраняет за собой право ограничить доступ на мероприятие в соответствии с правилами Oracle.
Copyright © 2016, Oracle and/or its affiliates. All rights reserved. Contact Us | Legal Notices and Terms of Use | Privacy Statement

Получен сертификат ФСТЭК на Oracle Database 12c

Выполняя обязательства перед Российскими заказчиками, желающими использовать сертифицированные средства защиты информации, Московское Представительство компании Oracle вместе с ЗАО "Центр разработки, испытаний и обучения в области информационных технологий" (ЦРИОИТ) завершило работы по сертификационным испытания СУБД Oracle Database 12c с используемыми компонентами Advanced Security и Database Vault и получило сертификат ФСТЭК №3611 сроком действия до 6 сентября 2019 г.

Это - наш первый опыт сертификации в режиме производства на территории Российской Федерации разработанных в Oracle Corporation программных решений; в связи с чем возможны небольшие изменения в Регламенте выдачи дистрибутивов обновлений, которые будут проходить проверку и выдаваться ЗАО ЦРИОИТ.

Перевод брошюры Oracle Cloud Services Security

Наверное, многие из вас слышали фразу Ларри Эллисона "Security Can Be Better in the Cloud". Если судить о ней исключительно в контексте презентации от 27 октября на Oracle OpenWorld 2015, то может показаться, что все связано с процессором SPARC M7.
Security-in-Silicon - это конечно здорово; но не это главное в облачной безопасности Oracle...

Более важная мысль высказана в статье "Larry Ellison and Mark Hurd: Oracle’s 10-Point Plan To Be #1 In the Cloud", в восьмом пункте Плана "Oracle is bringing unmatched levels of security to the cloud".
A major differentiator between Oracle’s cloud architecture and that of many of its competitors is that Oracle deploys multitenancy technology at the database layer of the cloud, rather than at the application layer, which creates a more secure environment for customers. Plus, Oracle’s unique status as the only cloud vendor playing at all three layers of the cloud—SaaS, PaaS, and IaaS—gives it the ability to optimize security capabilities across all of those layers. “Some of our customers in the cloud will buy a few SaaS applications, and they’ll buy some PaaS, and then they’ll buy some infrastructure as a service because they want to have a unified security model in a PaaS network to interconnect all of those pieces.”

Последняя фраза - скорее для акционеров :-) но это действительно круто: Oracle может создавать для клиентов своего облака разноуровневые (или многоуровневые) решения, опирающиеся на лучшие практики безопасности, такие, на которые у заказчиков в собственных ЦОДах не хватает ни времени, ни денег, ни специалистов. Безопасность в облаке действительно может быть на более высоком уровне, чем "дома".

Представляю перевод брошюры "Безопасность облачных сервисов Oracle Cloud Services для инфраструктур и платформ" с моей любимой пятой главой "Единое управление идентификаторами и доступом".
Благодарности Владимиру Давиденко и Сергею Базылько!

Получен сертификат ФСТЭК на Oracle Identity Governance Suite 11g R2

Выполняя обязательства перед Российскими заказчиками, желающими использовать сертифицированные средства защиты информации, Московское Представительство компании Oracle вместе с ООО "ФОРС-Центр разработки" завершило работы по сертификационным испытания ПО Oracle Identity Governance Suite (IGS) 11g R2 и получило сертификат ФСТЭК №3563 сроком действия до 13 мая 2019 г.

В соответствии с условиями привязки сертификатов к лицензиям заказчики IGS ранее могли получить сертификаты на IAMS №2238 и №3295; теперь у них есть возможность запросить "одноименный" сертификат. Также от будет полезен тем, кто хочет получить сертифицированное средство защиты от угроз, связанных с привилегированными пользователями, поскольку Технические Условия 5021-002-52384799-2015 включают в себя проверки функций управления учетными записями пользователей с применением Oracle Privilege Account Manager. И наконец - была сертифицирована самая свежая на сегодняшний день версия ПО Oracle Identity and Access Management 11g R2 PS3 (11.1.2.3.0).

Также хочется отметить вклад нашего партнера ООО "Газинформсервис", испытательная лаборатория которого приобрела опыт по сертификации IdM-решений в дополнение к практике реализации интеграционных и сервисных проектов, которыми мы давно и успешно совместно занимались. Поскольку за плечами испытательной лаборатории ООО "Газинформсервис" также сертификация средств безопасности СУБД (№2858), у нас появилось больше вариантов распределения работ в условиях интенсификации программы сертификации средств защиты информации.

Oracle IdM Self Study Materials

Oracle регулярно публикует на различных ресурсах материалы для самостоятельного изучения... Для новичков наиболее полезными являются проработанные сценарии решения конкретных задач. Я решил собрать ссылки на актуальные советы в одном месте...

Для начала - учебные материалы от

Configuring an Identity Provider with Oracle Cloud as Service Provider

Oracle Mobile Security Suite 11g R2 PS3 Series

Oracle Identity Manager 11g R2 PS3: Getting Started Series
Oracle Identity Manager 11g R2 PS3: Upgrade Series
Oracle Privileged Account Manager 11g R2 PS3: New Features
Oracle Identity Manager 11g R2 PS2: ADF Primer Series
Oracle Identity Governance 11g R2 PS1: Customization Series
Oracle Identity Manager 11g R2 PS1: Closed Loop Identity Certification

Oracle Mobile and Social 11g R2 PS2 SeriesOracle Access Portal 11g R2 PS2 Series
Oracle Access Manager 11g R2 PS2 Upgrading 

Oracle Directory Services 11g Series: Virtual Directory Setup
 
Oracle Platform Security Services 11g R1 Series

Oracle Enterprise Manager 13c: Best Practices for Identity Management - Using Dashboards
Oracle Enterprise Manager 12c: Best Practices to Successfully Monitor and Manage Oracle’s Identity Management Product Line
Oracle Enterprise Manager 12c: Compliance Management for Oracle Identity Manager
Oracle Enterprise Manager 12c: Manage Oracle Identity Management

Oracle Identity Manager 11g R2 Sample Assets
...

Oracle Access Management 11g R2 PS3 Workshop
Oracle Identity Governance 11g R2 PS3 Workshop
Место размещения пусть вас не смущают... Для доступа к материалам потребуется аутентификация (скорее всего - партнерский аккаунт), поэтому я скопировал описание тренингов и лабораторные работы в личную папку

Oracle Cloud Services Security

На сайте наконец опубликована 40-страничная брошюра с детальным описанием подхода к обеспечению безопасности публичных облачных сервисов Oracle.

После общих слов и раздела с разграничением обязанностей и советов "самим не плошать" идет подробное перечисление того, что сделано корпорацией для защиты информации клиентов...
Для примера приведу содержание 4-й главы о защите инфраструктуры:

1. Physical Security Safeguards
2. Oracle Cloud Services Access for Oracle Employees
3. Background Checks
4. Measures to Minimize Employee Risks
5. Oracle Corporate Network Segregation
6. Secure Network Architecture
7. Encrypted Access to Oracle Cloud Services
8. Platform Hardening and Monitoring
9. Security Incident Response
10. Malware Prevention
11. Internal Oversight by Executives
12. Data Disposal
13. Physical Media in Transit
14. Data Privacy
15. Third Party Audit Reports

Далее - главы, посвященные работе общих сервисов по управлению идентификационными данными и доступом (Shared Identity and Access Management = SIM) и безопасности, специфичной для отдельных облачных решений.

Скачать кижку можно из облачного раздела Learn More - White Papers
https://cloud.oracle.com/en_US/compute?lmResID=1385171309534&tabID=1383678920245 

Свежие аналитические отчеты от Gartner

В соответствии с Gartner's Magic Quadrant for Identity Governance and Administration от 29 февраля 2016 года решения Oracle Identity Management продолжают лидировать на рынке.

Среди преимуществ Oracle Identity Governance Suite 11gR2 PS3 перечислены: 

• Гибкость и кастомизируемость решений, а также эффективная модель данных, позволяющая перенести исполнение ресурсоемких задач на уровень СУБД
• Единая технологическая платформа, включающая управление мобильными ресурсами
• Глубокая интеграция в семейство решений Fusion Middleware, позволяющая заказчикам получать синергетический эффект от совместного использования продуктов
• Возможность повсеместного развертывания за счет глобального присутствия на рынке вендора и наличия разветвленной партнерской сети

Нашлись и недостатки - относительная сложность внедрения, требующая обучения сотрудников или привлечения сторонних ресурсов, не самые восторженные отзывы заказчиков и опасения в связи с реорганизацией...

В последнем пункте речь возможно идет об облачном курсе Oracle и о том, как он повлияет на планы развития продуктов и сроки появления новых версий. Тут я могу всех успокоить - уже в этом квартале мы должны анонсировать новые Identity Cloud Services, а затем - 12 версию IdM.

Как минимум в течение года по этой ссылке можно будет посмотреть оригинал отчета.

Кстати Gartner ужесточил требования к участникам сравнения - например, из пятерых прошлогодних лидера оставил только троих самых-самых, а общее число претендентов сократилось с 19 до 14... О других изменениях можете почитать в статье "What’s Changed: Gartner’s 2016 Magic Quadrant for Identity Governance and Administration (IGA)".


Второй отчет - Gartner's Magic Quadrant for Data Masking Technology от 22 декабря 2015 года - подтверждает наше лидерство в области защиты данных.

Аналитики Gartner отметили, что “организации должны обеспечивать маскирование, деперсонализацию и защиту конфиденциальных данных при их хранении внутри компании и защите от внешних атак. Применение технологии обезличивания данных помогает организациям повысить уровень безопасности и обеспечить конфиденциальность данных и в то же время - обеспечить соответствие требованиям регуляторов.

В отчете Gartner также отмечается, что “обезличивание данных предназначено для обеспечения защиты данных, сохраняя при этом удобство использования защищенными данными. Это необходимо для тестирования приложений (когда тестирование должно быть проведено на тестовых данными вместо реальных) и проведения статистического анализа (который предполагает использование совокупности данных для скоринга и статистической отчетности, где не требуются конфиденциальные данные, которые должны быть сохранены в тайне, а достаточно статистической). Все большее число предприятий внедряют технологии маскирования и объявляют ее обязательной частью своей стратегии безопасности.”

Среди преимуществ решения Oracle перечислены: 

• Высокая производительность при маскировании и подготовке выборок в СУБД Oracle
• Встроенность решения для динамического маскирования данных с учетом множества факторов - имени пользователя, его роли, IP-адреса клиента и т.п.
• Уникальный интерфейс для поиска конфиденциальных данных как в локальных ЦОДах, так и в облачных СУБД
• Несколько дополняющих решений ИБ - шифрование, управление ключами, анализ SQL-запросов и защита данных аудита, контроль доступа привилегированных пользователей

В плюсы Oracle Data Masking and Subsetting Pack я бы еще добавил прединтегрированности с популярными бизнес-приложениями (например, готовые шаблоны для Oracle E-Business Suite) и средствами тестирования (например, пакетом Real Application Testing). Подробности - на http://www.oracle.com/technetwork/database/options/data-masking-subsetting/learnmore/index.html

Недостатки переводить не буду, т.к. фактически это не недостатки :-) Желающие могут убедиться сами:

• For non-Oracle Database SDM (Static Data Masking), an Oracle RDBMS and Oracle Database Gateway must be part of the data discovery and SDM. To address users' needs, a restricted use license for Oracle Database Gateway is included with Oracle Data Masking and Subsetting Pack for non-Oracle Databases at no extra charge.
  
• SDM for big data requires loading Hadoop data into Oracle, masking it there and then loading it back into Hadoop. Support for Hadoop beyond Oracle Big Data Appliance is planned.
  
• DDM (Dynamic Data Masking) for Hadoop also requires Oracle Big Data Appliance. Hadoop plugs into Oracle RDBMS as an external table, Oracle queries it and responses come back to Oracle, and then Oracle masks them dynamically.
  
• For unstructured data outside the database, Oracle does not offer a data redaction tool, but rather a set of APIs for operating on unstructured data. The vendor does provide this functionality as part of a different product line, Oracle WebCenter.
  

Как минимум в течение года по этой ссылке можно будет посмотреть оригинал отчета.