Bezpieczeństwo IT polega na ochronie przed zagrożeniami, a nie na izolacji od nich

Temat bezpieczeństwa IT podejmują nie tylko działy IT czy szefowie dużych przedsiębiorstw, ale nawet głowy państw. Bagatelizowanie bezpieczeństwa IT może odbić się negatywnie na interesie organizacji, korporacji czy państwa, dlatego nikt nie moża pozwolić sobie na niesprawne czy dziurawe zabezpieczenia. W czasach, gdy informacja jest bronią w centrum uwagi wszystkich zainteresowanych znajdują się właśnie zagadnienia dotyczące bezpieczeństwa IT, które powinno być zapewnione przez skuteczną ochronę, a nie izolację.

Wyzwania w bezpieczeństwie IT

Dzisiaj specjaliści od bezpieczeństwa IT nie mają już pełnej kontroli nad przestarzałymi metodami, a muszą zmierzyć się z kilkoma kluczowymi problemami. Pierwszym z nich jest infrastruktura IT zarządzana przez działy biznesowe, drugim użytkownicy zachowujący się jak administratorzy systemu, trzecim dane i aplikacje, które działają dziś w chmurze, a czwartym i zarazem ostatnim przedmioty podłączone do internetu.

Infrastruktura IT odzwierciedlająca potrzeby biznesu to pierwsze z wymienionych wyzwań. Niegdyś infrastruktura była fundamentem, na którym spoczywały dane i aplikacje, których z kolei używały działy biznesowe w celu osiągnięcia zysków. Jednak dziś zmienił się wektor oddziaływania i to biznes wyznacza kierunki. Działy biznesowe uruchamiają własne usługi mobilne, usługi chmurowe, sieci społecznościowe i projekty Big Data, bez zważania na aplikacje i dane, nie mówiąc już o infrastrukturze IT. Jedynym, co faktycznie pozostało w gestii działu IT, to zadbać o to, żeby ta infrastruktura działała bezpiecznie, niezawodnie i efektywnie.

Wszechwiedzący użytkownicy i problem z danymi

Drugie wyzwane to użytkownicy, którzy rozumieją swoją rolę zupełnie inaczej, niż jeszcze kilka lat temu. W latach 2000-2010 zazwyczaj nie znali się na IT, ale przynajmniej byli tego świadomi. Teraz, po 2010 roku, nadal nie mają o niczym pojęcia, ale sądzą, że są specjalistami IT i w związku z tym mogą robić, co im się spodoba.

Kolejne wyzwanie, czyli dane i aplikacje, które do niedawna miały pod górkę. Jeszcze dziesięć lat temu firmy centralizowały tyle procesów i działań, ile tylko zdołały. W miarę, jak zbliżał się rok 2010, w modzie było wirtualizować wszystko, co się da. Teraz próbuje się przenosić wszystko do chmury w celu ograniczenia nakładów inwestycyjnych i kosztów pracy personelu IT. Jednak projekty te nigdy nie zostały wdrożone do końca. Zostaliśmy z menażerią rozproszonych danych i aplikacji, które działają w systemach fizycznych i wirtualnych, są przechowywane w firmie i u różnych dostawców usług chmurowych. Ktoś jednak musi zadbać o tę menażerię i upewnić się, że jest bezpieczna. To ważne i skomplikowane zadanie - w sam raz dla specjalistów od bezpieczeństwa.

Internet Rzeczy

Internet Rzeczy (Internet of Things, IoT) to czwarte wyzwanie. Niemal każde urządzenie elektroniczne, od żarówki do lodówki, jest teraz dostępne w wersji podłączonej do internetu. Wiele z  nich ma wbudowane czujniki oraz moduły służące do wysyłania i odbierania danych przez sieć. W erze Przemysłu 4.0 niemal każde nowe urządzenie może działać w sieci. Rozwiązaniami IoT nie zarządzają jednak użytkownicy, ale firmy, które je sprzedają. Oznacza to, że w naszych sieciach domowych i firmowych aktywnych jest wielu graczy, których nie znamy, nie możemy kontrolować i prawdopodobnie nigdy nie będziemy mogli pociągnąć do odpowiedzialności.

Zaledwie kilka lat temu często mówiło się o ujednoliconym zarządzaniu zagrożeniami, które miało rozwiązać wszystkie problemy z ochroną zasobów IT. Rozumiano przez to pojedyncze urządzenie zapewniające kompleksową ochronę. Coś stojącego między nami a złem, bez względu na oblicze tego zła. Dziś to nie wystarczy, bo to metaforyczne zło jest niejako w nas, w użytkownikach końcowych. Nie możemy ufać nawet samym sobie. Jeśli firma chce dziś otworzyć kilka nowych biur, to korzysta z pakietu Office 365, udostępniania plików, usług chmurowych i inteligentnych urządzeń mobilnych. W związku z tym klasyczna koncepcja ujednoliconego zarządzania zagrożeniami niebawem stanie się mocno przestarzała.

Kluczowa rola klienta

Jak więc możemy się dziś zabezpieczyć? Co powinniśmy zrobić? Każda firma ma własne, indywidualne instalacje i wymagania w zakresie bezpieczeństwa. Z każdym mijającym dniem świat IT staje się coraz bardziej zagmatwany i zróżnicowany. Jak zatem chronić tak zindywidualizowaną, dynamiczną i szeroko rozgałęzioną infrastrukturę? Z punktu widzenia producenta pytanie brzmi: który menedżer ds. produktów wpadnie na jakiś dobry pomysł?

Niestety, odpowiedź brzmi: żaden. Kompletna ochrona przed zagrożeniami (Total Threat Protection, TTP) oraz kompletne bezpieczeństwo danych (Data Protection Plus, DPP) dziś muszą być koncepcjami klienta, a nie producenta. Chodzi o zablokowanie każdego wektora ataku, tworzenie kopii zapasowych i ochronę danych bez względu na to, gdzie są przechowywane, oraz archiwizowanie całej komunikacji niezależnie od tego, gdzie się odbywa. Bez skrupulatności u klientów, żadne zabezpieczenie nie będzie wystarczająco wiarygodne.

Kompletna ochrona przed zagrożeniami

Powszechnie często uważa się, że działającego systemu nie należy zmieniać. To błąd. Należy starać zawsze korzystać ze zmieniającego się systemu. Sposób w jaki działy biznesowe i użytkownicy końcowi korzystają z technologii informatycznych zmienia się na tyle szybko, że specjaliści od bezpieczeństwa muszą się bardzo postarać, jeśli chcą nadążyć za tymi zmianami. Dzisiaj wspólny mechanizm zabezpieczający, chroniący infrastrukturę IT danej firmy, ustępuje miejsca połączonemu zarządzaniu wieloma mechanizmami, co zapewnia ochronę przed wszystkimi typowymi zagrożeniami. Reasumując, branża bezpieczeństwa IT musi stale dookreślać się względem nowych okoliczności i ciągle aktualizować rozwiązania dbające o bezpieczeństwo.

Największym wyzwaniem dla specjalistów od bezpieczeństwa IT nie jest już to, jak zachowuje się napastnik. Dziś musimy zrozumieć, jak zachowuje się cel ataku: aplikacja chmurowa, urządzenie IoT, a przede wszystkim użytkownik. Znawcy zagadnień bezpieczeństwa są jak ochroniarze i tak, jak oni nie mogą zamykać ochranianych osób w piwnicy, celem zapewnienia bezpieczeństwa. Zadanie specjalistów od bezpieczeństwa IT polega na tym, by chronić użytkownika w trakcie jego bieżących aktywności. Dziś bezpieczeństwem IT ordynują działy biznesowe, zatem specjaliści od zabezpieczeń muszą konsultować z nimi poszczególne działania, wszystko zaś po to, by zapewnić bezpieczeństwo infrastrukturze IT oraz użytkownikom.

Autor: Wieland Alge, wiceprezes i dyrektor generalny Barracuda Networks EMEA