Cybersäkerhet 2022 del 3 - Digitalisering och IT-drift i säker harmoni .

Precis när vi kom ut ur Covid-pandemin, eller hoppades att så var fallet - så brakade en väpnad konflikt loss i vårt närområde. Om vi inte var det innan så är vi i en sådan tid nu där man funderar runt sårbarhet, säkerhet och hållbarhet. Som medborgare i en digital värld så är vi beroende av en fungerande IT-miljö, såväl på jobbet som privat. 
 

I en serie av bloggar så kommer vår säkerhetsarkitekt – Sebastian Ströbeck att dela med sig av sin expertis: Hur kan företag skydda sig, var börjar man och vilka områden är viktiga att prioritera. Häng med på resan!

Digitalisering och IT-drift i säker harmoni 

När företaget nu har utfört de mest akuta och nödvändiga åtgärderna (se blogg 1) för att skydda sig mot en total katastrof och sedan kartlagt (se blogg 2) sin IT-drift, processer och så vidare samt sin organisations förmågor och medvetenhet behöver det göras en plan för hur man ska säkra tillgången till sin organisations data och tjänster och samtidigt förhindra att företaget hamnar i sådana oönskade situationer igen. Det handlar om att lära sig av sina och andras misstag. 

Den legendariske fotbollstränaren, Vince Lombardi, sade att nyckeln till att vinna var att inte se vinsten som en isolerad händelse utan ett tillstånd - att vara en vinnare. 

Samma tankesätt behöver företag ha för att kunna digitalisera framgångsrikt och bibehålla kontroll och säkerhet. Ett företag blir inte säkert bara för att man lyckas med ett säkerhetsinitiativ. 

Många organisationer har börjat med DevOps på initiativ från utvecklare som lyckas sälja in det som en framgångsfaktor för digitalisering. Rätt utfört är det sant, däremot är oftast inte IT-avdelningarna och resten av organisationen och dess processer förberedda på vad som krävs av dem i form av ansvarsfördelning, dataklassificering, incidentprocesser, behörigheter och så vidare. Ofta ges förmågor och frihet till applikationsdrift och DevOps men sällan krävs nödvändiga åtgärder tillbaka.

Katastrofplanering och beroenden

Något som ofta missas är katastrofplanering och beroenden till andra system och tjänster och beroenden mellan system och tjänster, som går att testa och som faktiskt utförs och dokumenteras. Annat är autentisering som väljs av olika anledningar utom att passa en väl fungerande on/offboardingprocess, 3:e parts kod som inte passerar kodgranskning som kanske körs i virtuella servrar på slumpmässigt valda linuxdistributioner utan livscykelhantering. IT-avdelningarnas stöd till DevOps-teamen är ofta för långsamma och fyrkantiga för att kunna ge agilt stöd till dessa team så skugg-IT i molntjänsterna blir ofta mer en regel än undantag.  

Logginsamling, övervakning och incidenthantering hamnar på olika team, i olika moln samt med stor kvalitetsskillnad och respons. Ingen har det samlade ansvaret i praktiken för att säkerställa tillgänglighet för verksamhetens tjänster och data. Att säkerställa att inget dataläckage förekommer samt att regelefterlevnad följs hamnar också lätt utan samlat ansvar. Det som skulle bli modernt, säkert och agilt blev ofta en ny legacy  som företaget åter igen behöver säkra sig mot. 

Framgångsrik digitaliseringsresa

För att framgångsrikt leda en säker digitaliseringsresa måste hela organisationen anpassas till att stödja varandra. Det som tidigare var en stuprörsorganisation som hindrade snabb anpassning för sin verksamhets ändrade behov får inte bli nya stuprör som tillkommer. 

Steg att följa:

• Modernisera hur ni arbetar mer agilt med drift och förändringar i stödsystem, till exempel Service Desk, DNS, IP-management, VPN, Backup/Restore och så vidare. Kravställ detta mot både era driftpartners och intern IT. Använd automation och självservice så långt det går. 

• Skapa tydliga spelregler för delegerat ansvar, till exempel för applikationsdrift och DevOps, med krav på autentisering, kryptering, katastrofplanering, dokumentering, hantering av höga behörigheter bland andra finns med.  

• Ge denna frihet kontrollerat, så att inga nya stuprör införs och så att företaget vet vilken data som finns var, och på vilket sätt tillgängligheten till tjänsterna garanteras. 

• Inventera samtliga tjänster, dess byggstenar och beroenden och upprätta en tjänstekatalog.

• Tillsätt tjänsteägare och tekniska motsvarigheter, dokumentera dessa och inför en, minst årlig, process att säkra att dessa fortfarande stämmer och att tjänsteägarna också är medvetna om sitt ansvar. 

• Kravställ att applikationsdrift, DevOps och andra drift-team ska logga på samma sätt och att integration och automation ska göras där det är tillämpligt. 

• Slutligen, men kanske först och främst, bygg upp en förmåga att detektera och stoppa cyberattacker och dataläckage genom att centralisera logginsamling till ett SIEM-system och ta kontroll över era säkerhetsprodukter som EDR/XDR och IDS/IPS och bemanna detta med säkerhetsspecialister eller outsourca detta om ni inte kan hantera det själva. 

Vikten av specialister

Precis som utvecklare ofta är bäst på att hantera sina system i driften, efter ovan nämnda kravställning, är IT-specialister bäst på sina system. Säkerhetsspecialister är ytterligare en yrkeskategori som är specialiserad på sina områden. Detta kan inte skötas med vänsterhanden som en liten del av IT-driftens personal, då kommer inte en cyberattack kunna upptäckas och stoppas. Säkerhetsdrift, SOC eller SecOps är sådana funktioner som bemannas med specialister för att skydda verksamhetens digitala närvaro. Blue Team som stödjer dessa och Offensiv Security, Red Team, som testar säkerheten, är ytterligare helt andra grenar av specialister.

Detta är en nödvändig förmåga för att kunna digitalisera kontrollerat och säkert.

Summering av en säker IT-drift:

• Inventera, dokumentera och testa – Säkerställ att ni vet vad ni har att säkra upp och testa detta.

• Anpassa er agila förmåga – era team måste stödja varandra. 

• Kravställ nödvändiga säkerhetsförmågor till alla team. 

• Centralisera säkerhetsloggning och säkerhetsdrift.

• Ta hjälp av partners som är specialiserade på till exempel SecOps och kodgranskning.

Enfo har kompetens och erfarenhet inom alla dessa områden. Vill du veta mer eller funderar över en utmaning, tveka inte att kontakta oss.
 

Sebastian Ströbeck
Principle Security Advisor & Architect 
sebastian.strobeck@enfogroup.com
LinkedIn