Модель разделённой ответственности по безопасности

Типы сервисов

ClickHouse Cloud предлагает три типа сервисов: Basic, Scale и Enterprise. Для получения дополнительной информации ознакомьтесь со страницей Типы сервисов.

Архитектура облака

Архитектура облака состоит из контрольной плоскости и плоскости данных. Контрольная плоскость отвечает за создание организаций, управление пользователями в контрольной плоскости, управление сервисами, управление ключами доступа и выставление счетов. Плоскость данных запускает инструменты для оркестрации и управления, а также размещает пользовательские сервисы. Для получения дополнительной информации ознакомьтесь с нашей диаграммой Архитектура ClickHouse Cloud.

Архитектура BYOC

Bring your own cloud (BYOC) позволяет клиентам запускать плоскость данных в своем собственном облачном аккаунте. Для получения дополнительной информации ознакомьтесь со страницей (BYOC) Bring Your Own Cloud.

Модель разделённой ответственности ClickHouse Cloud

Модель ниже в общем виде описывает обязанности ClickHouse и показывает обязанности, которые должны быть выполнены клиентами ClickHouse Cloud и ClickHouse BYOC соответственно. Для получения дополнительной информации о нашей модели разделённой ответственности по PCI, пожалуйста, скачайте копию обзора, доступного в нашем Центре доверия.

Контроль	ClickHouse	Облачный клиент	Клиент BYOC
Поддерживать разделение окружений	✅		✅
Управлять сетевыми настройками	✅	✅	✅
Безопасно управлять доступом к системам ClickHouse	✅
Безопасно управлять организационными пользователями в контрольной плоскости и базах данных		✅	✅
Управление пользователями и аудит	✅	✅	✅
Шифровать данные во время передачи и в состоянии покоя	✅
Безопасно обрабатывать ключи шифрования, управляемые клиентом		✅	✅
Обеспечить резервную инфраструктуру	✅		✅
Резервное копирование данных	✅	✅	✅
Проверять возможности восстановления резервных копий	✅	✅	✅
Реализовывать настройки хранения данных		✅	✅
Управление конфигурацией безопасности	✅		✅
Устранение уязвимостей программного обеспечения и инфраструктуры	✅
Проводить тесты на проникновение	✅
Обнаружение угроз и реагирование	✅		✅
Реагирование на инциденты безопасности	✅		✅

Конфигурируемые функции безопасности ClickHouse Cloud

Сетевое соединение

Настройка	Статус	Облако	Уровень сервиса
IP фильтры для ограничения подключений к сервисам	Доступно	AWS, GCP, Azure	Все
Частная связь для безопасного подключения к сервисам	Доступно	AWS, GCP, Azure	Scale или Enterprise

Управление доступом

Настройка	Статус	Облако	Уровень сервиса
Стандартный доступ на основе ролей в контрольной плоскости	Доступно	AWS, GCP, Azure	Все
Многофакторная аутентификация (MFA) доступна	Доступно	AWS, GCP, Azure	Все
SAML Единой точки доступа к контрольной плоскости доступна	В режиме предварительного просмотра	AWS, GCP, Azure	Enterprise
Тонкая регулировка контроля доступа на основе ролей в базах данных	Доступно	AWS, GCP, Azure	Все

Безопасность данных

Настройка	Статус	Облако	Уровень сервиса
Поставщик облачных услуг и регионы	Доступно	AWS, GCP, Azure	Все
Ограниченные бесплатные ежедневные резервные копии	Доступно	AWS, GCP, Azure	Все
Настройки резервного копирования доступны	Доступно	GCP, AWS, Azure	Scale или Enterprise
Ключи шифрования, управляемые клиентом (CMEK) для прозрачного шифрования данных доступны	Доступно	AWS	Scale или Enterprise
Шифрование на уровне поля с ручным управлением ключами для тонкого шифрования	Доступно	GCP, AWS, Azure	Все

Сохранение данных

Настройка	Статус	Облако	Уровень сервиса
Время жизни (TTL) для управления хранением	Доступно	AWS, GCP, Azure	Все
ALTER TABLE DELETE для массовых операций удаления	Доступно	AWS, GCP, Azure	Все
Легковесное DELETE для контролируемых операций удаления	Доступно	AWS, GCP, Azure	Все

Аудит и логирование

Настройка	Статус	Облако	Уровень сервиса
Журнал аудита для действий в контрольной плоскости	Доступно	AWS, GCP, Azure	Все
Журнал сессий для действий с базой данных	Доступно	AWS, GCP, Azure	Все
Журнал запросов для действий с базой данных	Доступно	AWS, GCP, Azure	Все

Соответствие ClickHouse Cloud

Рамки	Статус	Облако	Уровень сервиса
Соответствие ISO 27001	Доступно	AWS, GCP, Azure	Все
Соответствие SOC 2 Тип II	Доступно	AWS, GCP, Azure	Все
Соответствие GDPR и CCPA	Доступно	AWS, GCP, Azure	Все
Соответствие HIPAA	Доступно	AWS, GCP	Enterprise

Для получения дополнительной информации о поддерживаемых рамках соответствия, пожалуйста, ознакомьтесь с нашей страницей Безопасность и соответствие.