Segurança e conformidade
Servidores e redes de locatário único, acesso auditado, instalações que apresentam evidências e verificação de clientes segundo as normas do Canadá e dos EUA. Esta página descreve cada um desses pontos e nossa posição sobre certificação.
Nossa abordagem de segurança e conformidade para nuvem de GPU começa pelo isolamento: os servidores que você aluga são só seus e, nos clusters HGX B300, as redes também. Em torno disso estão as instalações que escolhemos, a forma como o acesso ao seu hardware é controlado e registrado, e quem aceitamos como cliente.
Hardware e redes dedicados
Todo servidor que alugamos é de locatário único: nenhum outro cliente o utiliza, e não há hipervisor entre o seu software e as GPUs.
Servidores de locatário único
Você aluga servidores inteiros. Eles nunca são divididos entre clientes nem compartilhados por meio de virtualização.
Um fabric dedicado
Nos clusters HGX B300, o fabric leste-oeste entre suas GPUs é dedicado a você, assim como a rede norte-sul.
Seus próprios endereços
Nos clusters HGX B300, endereços públicos de serviço dedicados e endereços SNAT dedicados, para que nenhum tráfego de outro cliente saia pelos seus endereços IP.
Um fabric dedicado significa que o tráfego de GPU para GPU nunca compartilha um switch com o tráfego de outro cliente. Endereços dedicados significam que um parceiro que inclui seus endereços IP em uma lista de permissões está liberando somente você.
Nos clusters HGX B300 construídos segundo nossa especificação de entrega, a rede de borda acrescenta estas proteções:
- Filtragem de DDoS. Filtragem volumétrica nas camadas 3 e 4 por um provedor consolidado, ativada via BGP em até 5 minutos, com pelo menos 1 Tb/s.
- ACLs de borda. Listas de controle de acesso configuradas segundo suas regras, com alterações em até um dia útil.
- Segurança de roteamento. Autenticação das sessões BGP e respeito às suas ROAs de RPKI quando a rede de borda anuncia seu próprio espaço de endereços IP.
- Drives criptografados. Se você escolher nós de armazenamento para o seu próprio software de armazenamento, há suporte a drives com autocriptografia.
O que exigimos das instalações
Antes de colocar um cluster em uma instalação, pedimos a ela evidências de como foi construída e de como é operada, e não declarações.
As evidências pertencem à instalação, não à 1Legion. Solicitamos essas evidências com números de referência, liberáveis sob NDA. Um número de referência permite verificar um certificado ou relatório junto ao órgão que o emitiu, o que um logotipo em um site não permite.
| Evidências | O que demonstra |
|---|---|
| Documentação de projeto Tier III | Um projeto com manutenibilidade concorrente: os componentes de energia e refrigeração podem passar por manutenção sem desligar a carga de TI |
| Certificação do Uptime Institute, informada com precisão | Exatamente qual certificação do Uptime Institute o local possui, já que o projeto e a instalação construída são certificados separadamente |
| TIA-942 | A classificação do local segundo a norma ANSI/TIA-942 para infraestrutura de data centers |
| EN 50600 | Conformidade com a série de normas europeias para instalações e infraestruturas de data centers |
| SOC 2 | Um relatório de auditor independente sobre os controles do operador |
| ISO 27001 | Um sistema de gestão de segurança da informação auditado com base na norma internacional |
Também pedimos espaço contíguo em uma cage privativa ou sala dedicada, equipe presencial 24/7 já em atividade antes da entrada em operação e uma rede fora de banda. A lista completa de requisitos está na nossa página de data centers.
Controle de acesso
O acesso ao seu hardware é controlado e registrado: o acesso fora de banda é auditado, e as alterações passam por gestão de mudanças por escrito.
- Acesso fora de banda. O caminho de gerenciamento até o BMC de um servidor, abaixo do sistema operacional, permite desligar e religar o servidor, alterar seu firmware e abrir seu console. Por isso ele é auditado.
- Gestão de mudanças. As alterações no seu cluster seguem um processo por escrito, para que cada uma deixe um registro.
- Inventário e detecção de divergências. Um inventário de referência cobre cada rack, nó, GPU, NIC, drive, switch, porta, transceptor e cabo, e a detecção de divergências aponta qualquer diferença em relação à linha de base acordada.
Esses controles fazem parte dos nossos compromissos operacionais por escrito, ao lado da resposta a incidentes e do tratamento de falhas de hardware.
Onboarding e verificação
Verificamos todos os clientes segundo as normas de controle de exportação e sanções do Canadá e dos EUA, e a empresa que vai usar os servidores preenche três formulários de onboarding antes da assinatura de qualquer contrato.
Os três formulários de onboarding
- Onboarding e Due Diligence do Cliente: informações de “conheça seu cliente” (KYC), incluindo os beneficiários finais, as pessoas que, em última instância, detêm a propriedade ou o controle da empresa.
- Certificação de Controle de Exportação, Sanções e Uso Final / Usuário Final: uma declaração assinada sobre para que os servidores serão usados e por quem.
- Termo de ciência da Política de Uso Aceitável: confirmação de que o cliente leu e aceita nossa política de uso aceitável.
Um broker pode repassar os formulários, mas quem os assina é o usuário final, a empresa que vai usar os servidores.
Regras de verificação
Verificamos todos os clientes segundo as normas do Canadá e dos EUA, incluindo onde fica a sede da empresa controladora final.
- Onde nossos servidores podem ser usados. Nenhum acesso a partir de Cuba, do Irã, da Coreia do Norte, da Síria, das regiões da Crimeia, de Donetsk, de Luhansk, de Kherson e de Zaporizhzhia, da Rússia ou de Belarus, e nenhum resultado enviado a esses locais.
- Partes restritas. Nenhuma parte que conste da lista Specially Designated Nationals (SDN) da OFAC, da Entity List do BIS, das listas Denied Persons ou Unverified, ou das listas de sanções canadenses da SEMA ou da ONU. Aplicamos a regra de participação de 50 por cento: uma empresa da qual partes listadas detêm 50 por cento ou mais é tratada como listada.
- Empresa controladora. Não aceitamos clientes cuja controladora final tenha sede na China, em Hong Kong, em Macau, na Rússia ou em uma jurisdição sob embargo. A regra remonta à controladora final, por isso se aplica mesmo quando a empresa contratante é constituída em outra jurisdição.
Nosso status de certificação
Estamos trabalhando para obter o SOC 2 e a ISO 27001. Nossa documentação de segurança atual está disponível sob NDA.
As evidências de SOC 2 e ISO 27001 descritas acima são o que pedimos às instalações; não são uma declaração sobre a 1Legion. Para solicitar nossa documentação, entre em contato.
Uso aceitável
Todo cliente declara ciência da nossa política de uso aceitável antes de assinar, e a política define para que nossos servidores não podem ser usados.
Ela inclui as normas de controle de exportação e sanções desta página e explica como aplicamos a política. Leia a política de uso aceitável completa e consulte como contratar para ver onde o onboarding se encaixa no processo de contratação.
Perguntas que os compradores fazem
Qual é a situação de vocês em relação ao SOC 2 e à ISO 27001?
Estamos trabalhando para obter o SOC 2 e a ISO 27001. Nossa documentação de segurança atual está disponível sob NDA.
Nosso hardware é compartilhado com outros clientes?
Não. Você aluga servidores inteiros que nenhum outro cliente usa, sem hipervisor. Nos clusters HGX B300, o fabric leste-oeste e a rede norte-sul também são dedicados a você.
Quais países e regiões são excluídos?
Não há acesso a partir de Cuba, do Irã, da Coreia do Norte, da Síria, das regiões da Crimeia, de Donetsk, de Luhansk, de Kherson e de Zaporizhzhia, da Rússia ou de Belarus, nem envio de resultados para esses locais.
Vocês aceitam clientes cuja empresa controladora fica na China?
Não. Não aceitamos clientes cuja controladora final tenha sede na China, em Hong Kong, em Macau, na Rússia ou em uma jurisdição sob embargo.
Um broker pode preencher os formulários de onboarding por nós?
Um broker pode repassar os formulários, mas quem os preenche e assina é a empresa que vai usar os servidores.
Quais certificações vocês pedem às instalações?
Documentação de projeto Tier III, certificação do Uptime Institute informada com precisão, TIA-942, EN 50600, SOC 2 e ISO 27001, com números de referência, liberáveis sob NDA. Elas pertencem à instalação, não à 1Legion.
Solicite nossa documentação de segurança
Nossa documentação de segurança atual está disponível sob NDA.