ВКР Синергия. Обеспечение безопасности данных публичного облака на примере АО 1С — часть 1

Автономная некоммерческая организация высшего образования «Московский университет «Синергия»

Факультет Прикладная информатика
Кафедра Программное обеспечение, Интернет и облачные технологии

КОНЦЕПЦИЯ
выпускной квалификационной работы – магистерской диссертации
Обучающийся
1. Тема магистерской диссертации
Обеспечение безопасности данных публичного облака на примере АО 1С
2. Исходные данные по магистерской диссертации
Архитектура сервисов «1С-Облако» (публичные документы; внутренние регламенты).
Данные о типовых инцидентах ИБ в облаках (Verizon DBIR 2024, ENISA Threat Landscape 2024).
Стандарты ISO/IEC 27017:2021, 27018:2019, ГОСТ Р 57580, рекомендации ФСТЭК и Банка России.
3. Обоснование актуальности темы магистерской диссертации
Переход предприятий на SaaS-модель 1С усиливает риски утечки конфиденциальных данных клиентов. Рост числа атак на публичные облака (около 40% CAGR 2020-2024), ужесточение требований регуляторов (ФЗ-152, GDPR) и дефицит типовых методик защиты экосистемы 1С делают разработку специализированной модели безопасности востребованной и научно значимой.
4. Цель исследования
Разработать, обосновать и экономически оценить комплексную модель обеспечения конфиденциальности, целостности и доступности данных в публичном облаке АО «1С».
5. Задачи исследования
1. Проанализировать нормативную базу и актуальные угрозы для публичных облаков.
2. Оценить существующую архитектуру 1С-Облака и выявить уязвимости методом STRIDE/PASTA.
3. Сформировать риск-модель (FAIR) с расчётом ALE.
4. Разработать улучшенную модель защиты (Zero Trust, KMS-HSM, DevSecOps).
5. Создать прототип в тестовом облаке и провести валидацию.
6. Рассчитать экономическую эффективность (TCO/ROI, NPV, IRR).
7. Определить научную новизну и сравнить с существующими решениями.
6. Организация, результаты деятельности которой использованы в магистерской диссертации в качестве объекта исследования
Акционерное общество «1С» (департамент «1С-Облако») и его облачная площадка (1С-Фреш/1С-Облако).
7. Предполагаемые методы исследования
Анализ нормативов и литературы; Threat-моделирование STRIDE/PASTA; Оценка рисков FAIR, ISO 27005; Проектирование Zero Trust; Экономический анализ TCO/ROI, NPV, Monte Carlo; Прототипирование Terraform + Ansible; Статистический анализ метрик безопасности.
8. Ожидаемые основные результаты исследования
1. Подробная карта угроз и риск-модель 1С-Облака.
2. Авторская комплексная модель защиты данных с описанием технических и организационных мер.
3. Прототип, демонстрирующий снижение риска не менее 60%.
4. Расчёт экономической эффективности (ROI более 120% за 3 года).
5. Методика оценки остаточного риска BSL-кода (научная новизна).
9. Содержание разделов магистерской диссертации (наименование глав и параграфов)
Введение
Глава 1. Теоретические основы защиты данных публичных облаков
1.1 Нормативно-правовая база и стандарты (ISO 27017/18, ФСТЭК, CIS)
1.2 Современные угрозы и риски публичных облаков
1.3 Специфика экосистемы 1С-Облака (топология, BSL-код)
1.4 Выводы и формулировка задачи исследования
Глава 2. Модель обеспечения безопасности данных АО «1С-Облако»
2.1 Методика оценки рисков (FAIR + ISO 27005)
2.2 Анализ текущей архитектуры и выявление уязвимостей (STRIDE/PASTA)
2.3 Разработка комплексной модели защиты (Zero Trust, KMS-HSM, DevSecOps для 1С)
2.4 Прототипирование и валидация в тестовом облаке
Глава 3. Экономическая эффективность и научная новизна проекта
3.1 Методика ТСО/ROI, расчёт ALE и ущерба от инцидентов
3.2 Расчёт экономической эффективности внедрения модели (NPV, IRR, DPP)
3.3 Сценарный и чувствительный анализ (Monte Carlo)
3.4 Оценка научной новизны, сравнение с аналогами, ограничения
Заключение
Список литературы
Приложения
10. Перечень приложений к магистерской диссертации
Дата утверждения концепции: «____»_____________ 20___ г.
Обучающийся
СОДЕРЖАНИЕ
Введение 5
Глава 1. Теоретические основы защиты данных публичных облаков 8
1.1 Нормативно-правовая база и стандарты (ISO 27017/18, ФСТЭК, CIS) 8
1.2 Современные угрозы и риски публичных облаков 13
1.3 Специфика экосистемы 1С-Облака (топология, BSL-код) 20
1.4 Выводы и формулировка задачи исследования 25
Глава 2. Модель обеспечения безопасности данных АО «1С-Облако» 30
2.1 Методика оценки рисков (FAIR + ISO 27005) 30
2.2 Анализ текущей архитектуры и выявление уязвимостей (STRIDE/PASTA) 37
2.3 Разработка комплексной модели защиты (Zero Trust, KMS-HSM, DevSecOps для 1С) 41
2.4 Прототипирование и валидация в тестовом облаке 47
Глава 3. Экономическая эффективность и научная новизна проекта 55
3.1 Методика ТСО/ROI, расчёт ALE и ущерба от инцидентов 55
3.2 Расчёт экономической эффективности внедрения модели (NPV, IRR, DPP) 58
3.3 Сценарный и чувствительный анализ (Monte Carlo) 61
3.4 Оценка научной новизны, сравнение с аналогами, ограничения 66
Заключение 72
Список использованной литературы 74

Введение
Активное развитие цифровых сервисов, а также широкое внедрение облачных технологий в российский бизнес радикально изменили подходы к вопросам информационной безопасности корпоративных данных. Особое значение приобретают публичные облачные платформы, предоставляющие услуги в модели SaaS, в том числе продукты экосистемы АО «1С», такие как 1С:Фреш и связанные с ним сервисы. Подобные решения масштабируются для предприятий разного размера, позволяют оптимизировать бизнес-процессы, однако существенно увеличивают поверхность атак и предъявляют высокие требования к построению комплексной системы защиты информации.
Актуальность выбранной темы обусловлена не только массовым распространением облачных сервисов в России, но и усилением требований отечественного законодательства (ФЗ-152), а также обязательной ориентацией на международные и национальные стандарты — ISO/IEC 27017, ISO/IEC 27018, ГОСТ Р 57580.1-2017, ГОСТ Р 70289-2022, приказы ФСТЭК России. Эти документы определяют строгие организационно-технические меры, обязательные для облачных провайдеров, обрабатывающих персональные и коммерчески значимые данные, включая сервисы АО «1С».
Архитектурные особенности публичных облаков, реализуемых в рамках сервисов 1С, заключаются в распределённой инфраструктуре, многоуровневой модели доступа, высокой степени автоматизации бизнес-логики (в том числе на BSL-коде), а также интеграции с внешними сервисами и платформами. Всё это формирует новые угрозы — как технологические (эксплуатация уязвимостей в стеке приложений, слабости межсетевого экранирования, атаки на инфраструктуру управления ключами), так и организационные (ошибки разграничения полномочий, недостатки контроля поставщиков и подрядчиков).
Степень исследованности вопросов обеспечения безопасности данных в публичных облаках в российской и зарубежной литературе нельзя считать достаточной. Несмотря на большое количество публикаций по отдельным аспектам облачной безопасности, анализ авторитетных обзоров и отчётов (ENISA Threat Landscape, Verizon DBIR, Cloud Security Alliance, IBM X-Force) демонстрирует значительный рост количества инцидентов в облачных инфраструктурах и дефицит решений, адаптированных к особенностям российского рынка SaaS и экосистемы 1С. Особенно слабо в отечественной литературе представлены методы формального анализа остаточного риска при работе с BSL-кодом и спецификой CI/CD публичных сервисов.
Предметом исследования выступают методы и средства обеспечения информационной безопасности публичных облачных платформ на примере сервисов АО «1С».
Объект исследования — облачная инфраструктура «1С-Облако»: архитектурные и технологические компоненты, программно-аппаратные средства и организационно-технические процессы по защите данных. Специфика объекта обусловлена сочетанием требований российского законодательства, многоуровневой архитектуры, автоматизации бизнес-логики и массовой интеграции в деловую инфраструктуру.
Цель исследования — разработка, обоснование и экспериментальная проверка комплексной модели обеспечения конфиденциальности, целостности и доступности данных в публичном облаке АО «1С», с учётом специфики архитектуры, бизнес-процессов и регуляторных требований.
Для достижения цели решаются следующие задачи:
Анализ нормативно-правовой базы и актуальных угроз для публичных облаков;
Оценка архитектуры и выявление уязвимостей сервисов 1С-Облака с применением современных методов threat-моделирования (STRIDE, PASTA);
Формирование риск-модели (FAIR) с расчётом ожидаемого ущерба (ALE);
Разработка комплексной модели защиты, включающей Zero Trust, управление ключами (KMS/HSM), интеграцию DevSecOps;
Реализация прототипа модели в тестовом облаке и валидация эффективности;
Экономическая оценка внедрения (TCO, ROI, NPV, IRR) и проведение сценарного анализа;
Сравнение научной новизны с существующими российскими и мировыми решениями.
В работе используются современные методы анализа и синтеза нормативных документов и публикаций, threat-моделирование (STRIDE, PASTA), количественная и качественная оценка рисков (FAIR, ISO 27005), проектирование архитектуры безопасности (Zero Trust, KMS/HSM, DevSecOps), а также методы экономической оценки эффективности (TCO, ROI, NPV, Monte Carlo).
Научная новизна заключается:
В разработке и экспериментальной валидации комплексной модели защиты данных, адаптированной для публичного облака 1С с учётом архитектурных и бизнес-особенностей, с интеграцией российских и международных стандартов;
В предложении количественной методики оценки остаточного риска для BSL-кода и CI/CD облака;
В первом на российском материале сценарном экономическом анализе эффективности современных подходов к ИБ публичных облаков, с сопоставлением с мировыми best practices.
Сформулированные цель, задачи, предмет и методы определяют логику и структуру работы, обеспечивая достижение как научно-значимых, так и практически применимых результатов для российских публичных облаков и сервисов 1С.

Список использованной литературы
1. ГОСТ Р 57580.1 2017. Безопасность финансовых (банковских) операций. Защита информации финансовых организаций. Организационные и технические меры. — М.: Стандартинформ, 2018.
2. ГОСТ Р 70289 2022. Информационные технологии. Таксономия облачных услуг. — М.: Стандартинформ, 2022.
3. ISO/IEC 27017:2021. Code of practice for information security controls based on ISO/IEC 27002 for cloud services. — Geneva: ISO, 2021.
4. ISO/IEC 27018:2019. Protection of personally identifiable information (PII) in public clouds acting as PII processors. — Geneva: ISO, 2019.
5. Федеральный закон от 27.07.2006 № 152 ФЗ (ред. от 01.03.2024) «О персональных данных».
6. Приказ ФСТЭК России от 11.02.2013 № 17 «О составе и содержании мер по защите информации…».
7. Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении требований по защите информации в ИСПДн».
8. Приказ ФСТЭК России от 28.08.2024 № 159 «О внесении изменений в требования по защите информации…».
9. ENISA Threat Landscape 2024. — European Union Agency for Cybersecurity, 2024.
10. Verizon Data Breach Investigations Report 2024. — Verizon, 2024.
11. Cloud Security Alliance. Cloud Security in 2024: Addressing the Shifting Landscape. — CSA, 2024.
12. IBM X-Force Cloud Threat Landscape Report 2024. — IBM, 2024.
13. Dark Reading. Managing Cloud Risks in 2024. — Dark Reading, 2024.
14. Skyhigh Security. Takeaways from Verizon 2024 Data Breach Report. — 2024.
15. Суровцева И.Л., Куликов А.В. Проблемы и решения безопасности в облачных вычислениях // Научно-технические ведомости СПбГПУ. Информатика. Телекоммуникации. Управление. — 2023. — № 1. — С. 56–68.
16. Иванов П.П., Марков С.А. Модель угроз облачной ИТКС // Научный аспект. — 2023. — № 3. — С. 45–52.
17. Гаврилов И.В., Котляр С.Н. Исследование уязвимостей и методов защиты данных в облачных информационных хранилищах // Актуальные исследования. — 2024. — № 22. — С. 74–86.
18. Зикратов И.А., Васильев А.А. Оценка рисков информационной безопасности в облачных сервисах на основе линейного программирования // Вестник ЮУрГУ. Серия: Компьютерные технологии, управление, радиоэлектроника. — 2023. — Т. 23, № 2. — С. 83–92.
19. Широков В.В., Мельников А.П. Оценка информационной безопасности в облачных вычислениях на основе байесовского подхода // Вестник компьютерных и информационных технологий. — 2023. — № 3. — С. 61–68.
20. Reece C., Burnap P., Jones K., et al. Systemic Risk and Vulnerability Analysis of Multi-cloud Environments // arXiv preprint arXiv:2306.01862. — 2023.
21. Saxena D., Singh S., Pilli E.S. An AI-Driven VM Threat Prediction Model for Multi-Risks Analysis-Based Cloud Cybersecurity // arXiv preprint arXiv:2308.09578. — 2023.
22. Babaei M., Aghaei S., Javidan R., et al. A Review of Machine Learning-based Security in Cloud Computing // arXiv preprint arXiv:2309.04911. — 2023.
23. Pakmehr S., Dehghantanha A., Parizi R.M., et al. Security Challenges for Cloud or Fog Computing-Based AI Applications // arXiv preprint arXiv:2310.19459. — 2023.
24. Безопасность и хранение данных в 1С Облаке // Баланс, 2023.
25. Как не дать фундаменту треснуть: защита данных в 1С // Habr, 2025.
26. 6 шагов в облако: руководство по миграции 1С // CorpSoft24, 2024.
27. T1 Cloud: облако с аттестатом ФСТЭК по первому уровню защищённости // ITSEC, 2025.
28. 1С в облаке: возможности и риски, решения и кейсы // Selectel Live, 2024.
29. 1С:Fresh – безопасность данных, инфраструктура и бэкапы // Первый Бит, 2025.
30. 7 причин перейти на 1С в облаке // Первый Бит, 2025.
31. Как оценить эффективность инвестиций в ИБ // CNews, 2024.
32. Экономическая эффективность инвестиций в ИТ // itWeek, 2024.
33. Оценка затрат компании на информационную безопасность // CitForum, 2024.
34. Есть ли выгода от "облаков"? Считаем ROI // CNews.
35. Машинец Е.В. Эмпирическая модель оценки использования виртуальных и облачных технологий: магистерский реферат. — Красноярск: СФУ, 2023.
36. Ивченко С.В. Информационная безопасность облачных вычислений: монография. — М.: Инфра-М, 2023.
37. Петров А.И., Сидоров Б.В. Облачные технологии и защита данных: учебник. — СПб.: БХВ-Петербург, 2022.
38. Иванова Е.Н. Нормативно-правовое регулирование безопасности данных в облаке: учебное пособие. — М.: Академия, 2024.
39. Особенности обеспечения безопасности облачных систем // CyberLeninka.
40. Cloudsecurityalliance: тенденции уязвимостей и рост CVE 2024.
41. Staffcop. Требования ФСТЭК по защите информации и обновления ПО // Staffcop Blog, 2025.
42. Infosec. Значимость стандартов серии 57580 в цифровой трансформации, 2025.
43. vStack. Виртуализация и требования ФСТЭК России: что важно знать в 2025 году, 2025.
44. IB-Bank. Комментарии и методические рекомендации ФСТЭК для ИБ, 2025.
45. Yandex Cloud. Соответствие ФЗ-152 и ГОСТ Р 57580, 2025.
46. LicenseFSB. Какие лицензии важны для облачного провайдера, 2025.
47. MWS Cloud: аттестат по ГОСТ Р 57580.1-2017, 2025.
48. Linxdatacenter: облачный провайдер УЗ-1, соответствие 152-ФЗ и NGFW защита, 2025.
49. Selectel. Тенденции защиты данных в облачных провайдерах РФ, 2025.
50. Grafiati. Модели облачной инфраструктуры и экономика облака, 2025.
51. Russian Digital Economy and Cybersecurity: обзор влияния на экономическое развитие России, 2024.
52. Jackson L. How the Collapse of the Soviet Union Made Russia a Great Cyber Power // Cyber Defense Review. — 2024. — Spring Issue. — С. 118–127.
53. Habr. Требования PCI DSS 4.0 к CSP, тестирование проникновения, 2025.
54. Staffcop. Защита информации и информационная безопасность, 2025.
55. Графиати. Облачные технологии в образовании, 2025.
56. Балашов Е.А. Применение DevSecOps для повышения защищенности облачных сервисов // Информационные технологии и безопасность. — 2024. — № 2. — С. 44–52.
57. Ахметов В.К., Назаров Д.П. Методы управления ключами (KMS/HSM) в защищенных облаках // Информационная безопасность. — 2023. — № 4. — С. 30–41.
58. Алексеев Н.С. Применение Zero Trust в корпоративных облаках // Информационные технологии и защита информации. — 2024. — № 1. — С. 53–60.
59. Власов И.И., Орлов С.В. Применение FAIR для количественной оценки рисков информационной безопасности в облаках // Информационная безопасность и защита информации. — 2024. — № 3. — С. 74–81.
60. Сычев П.А. Применение PASTA для threat-моделирования в российских SaaS // Кибербезопасность. — 2023. — № 6. — С. 21–33.