Ασφάλεια δικτύου για μία εταιρεία ή επιχείρηση αποτελεσματικά, ούτως ώστε να υπάρξει ένα υγιές περιβάλλον εργασίας.
Η ευθύνη της διαχείρισης του δικτύου στο σημερινό περίπλοκο και επικίνδυνο περιβάλλον έχει αυξηθεί εκθετικά.
Ιστορικά, η προσέγγιση της ασφάλειας IT security σε μια επιχείρηση ήταν σαφής και σχετικά απλή. Δηλαδή, για να καταλάβετε το παράδειγμα, θα σας το θέσω τελείως απλοϊκά, κάποτε υπήρχε η μέσα και η έξω πλευρά, εάν βρισκόσασταν μέσα στο περιμετρικό φράχτη, ήσασταν ασφαλής, όμως η έξω μεριά όμως ήταν μία ζούγκλα.
Με την άνοδο των ηλεκτρονικών συσκευών στο σπίτι, τα smartphone της κινητής τηλεφωνίας, τα BYOD devices , η έναρξη εισόδου στο σύννεφο (cloud), το Internet of Things (IOT), και φυσικά το Internet of Everything (IOE, είναι πολύ πιθανό οι διαχειριστές δικτύου να αισθάνονται ότι είναι οι μόνοι που παραμένουν εντός του περιμετρικού φράκτη. Το εταιρικό δίκτυο βρίσκεται ανά πάσα στιγμή εκτεθειμένο σε κίνδυνο- και έφτασε η ώρα όλοι να προσαρμοστούμε και να λάβουμε τα μέτρα μας όταν πρόκειται για επιχειρήσεις.
Οι διαχειριστές υπηρεσίας στo σύννεφo (cloud).
Η άφιξη των υπηρεσιών Cloud σήμαινε ότι ορισμένα δίκτυα των εταιρειών γίνανε η κόκκινη σημαία των χάκερς σε μία επιπόλαια κίνηση για να αποφύγουν περιττά έξοδα σε ακριβό υλικό. Αυτό δημιούργησε τα δικά τους προβλήματα, μεταξύ των οποίων ο επικεφαλής γνώριζε πως η υπηρεσία του ήταν εκτεθειμένη.
Αρχικά υπήρχαν λίγοι διαχειριστές , έτσι οι επιχειρήσεις επέλεξαν αυτή τη μέθοδο για να γλιτώσουν χρήματα, διότι απλά τους βόλευε. Αλλά το τοπίο είναι πλέον πιο περίπλοκο, όχι μόνο με τις εταιρείες Cloud, αλλά και με τους προμηθευτές υπηρεσιών και τους πωλητές λογισμικού. Δεν είναι πλέον ίδια τα πράγματα όπως ήταν παλιά, όπως να σου στήσει κάποιος την απαιτούμενη υποδομή ή τις εφαρμογές κατόπιν αιτήματος, επειδή απαιτεί μελέτη σχεδιασμό και χρονοβόρα διαδικασία, αν θέλετε να γίνει σωστή δουλειά.
Οι επιχειρήσεις, ασφαλώς, αγοράζουν τις υπηρεσίες Cloud που παραδίδονται και λειτουργούν σε σταθερές πλατφόρμες υποστηριζόμενες από έμπειρο και εξειδικευμένο προσωπικό και, αν υποθέσουμε ότι δεν είναι ακανόνιστα ακριβό, θα φάνταζε ως το ιδανικό σενάριο.
Αλλά αυτό δεν σημαίνει ότι ξέρουμε πού αποθηκεύονται τα δεδομένα μας. Σε ποια χώρα βρίσκονται; Τι συμβαίνει με τα αντίγραφα ασφαλείας και πού είναι αυτά; Ποιος μπορεί να δει τα δεδομένα μας; Τι συμβαίνει σε αυτό όταν αλλάζουμε χειριστή; Πρέπει να εξετάσουμε όλα τα ενδεχόμενα επειδή τα δεδομένα διαχειρίζονται κατά κύριο λόγο εσωτερικά. Αυτό παρουσιάζει μια ολόκληρη σειρά προκλήσεων όσον αφορά την ασφάλεια.
Όταν διεξάγουμε την εργασία μας εν κινήσει.
Οι χρήστες πλεόν θέλουν να εργάζονται από το σπίτι, θέλουν να συνδεθούν με το σπίτι από το γραφείο. Όταν βρίσκονται εν κινήσει στο δρόμο ή σε τρένο θέλουν να συνδεθούν στο εταιρικό τους δίκτυο. Αυτές τις μέρες, η εργασία είναι ανεξάρτητη από την τοποθεσία και η συσκευή επιλογής είναι συχνά το τηλέφωνο ή το tablet του χρήστη. Είναι βολικό, και αυτήν την η ευκολία αναμφισβήτητα θα την χαρακτήριζα ως αμάρτημα της ασφάλειας. Το χειρότερο όλων είναι ότι η ασφάλεια πρέπει να είναι εντελώς αόρατη και μη παρεμβατική, διαφορετικά δεν έχει νόημα και καμία ουσία
Οι εταιρείες αποδέχονται αυτόν τον τρόπο εργασίας, επειδή προφανώς το κόστος μειώνεται δραματικά για την επιπλέον παροχή μιας εταιρικής συσκευής στον υπάλληλο μας.
Όμως αυτό που δεν λαμβάνουν υπόψιν τους εργοδότες είναι ότι το κόστος καθαρισμού του δικτύου για τη διαχείριση μολύνσεων από κακόβουλο λογισμικό θα πρέπει να γίνει από δύο διαφορετικά λογιστικά τμήματα, δηλαδή διπλάσια έξοδα.
Οι εταιρείες με τις στρατηγικές BYOD και οι πλατφόρμες MDM, πρέπει να συνειδητοποίησουν, και μάλιστα σύντομα, ότι αυτό δεν είναι καλή ιδέα, αφού μπορεί να τους χακάρει και ένας αρχάριος χάκερ με ιδιαίτερη άνεση.
Ο λόγος για τον οποίο αυτό εξακολουθεί να είναι ένα καυτό θέμα, έγκειται στο σημείο ότι έχει μετατοπιστεί ολόκληρο το μέγεθος της επιχείρησης σε εξειδικευμένα ελεγχόμενα κομμάτια. Όταν το BYOD έφτασε για πρώτη φορά στην αγορά, οι μεγάλες επιχειρήσεις αρκετά ενθουσιασμένες. Τώρα, αυτή η αγορά (και ο κίνδυνος) είναι δέκα φορές μεγαλύτερη, επειδή δεν έχουν το προσωπικό, τις πολιτικές ή τα εργαλεία για τη διαχείριση του BYOD.
Εάν οι υπάλληλοι έχουν πρόσβαση σε μια υπηρεσία, συχνά απομακρυσμένη, που δεν φιλοξενείται από την εταιρεία για την οποία εργάζονται, πώς μπορεί να είναι βέβαιη η εταιρεία ότι δεν θα επηρεάσει την ασφάλεια του εταιρικού τους δικτύου;
Η πολυπλοκότητα των δικτύων δεν μπορεί να γίνει απλούστερη, για τεχνικούς λόγους.
Πρέπει πάντα να γίνεται ορθή διαχείριση της νέας τεχνολογίας που προσθέτουμε στο δίκτυο, η οποία συνεπάγεται με επιπλέον κόστος και καμπύλη μάθησης. Ο αριθμός των τεχνολογιών έχει αυξηθεί κατά τέτοιο τρόπο ώστε ένα μόνο άτομο να μην μπορεί να διαχειριστεί, σε υψηλό επίπεδο, τόσο την ασφάλεια του δικτύου TCP / IP όσο και τις εφαρμογές, με το βαθμό γνώσης που απαιτείται για την προστασία ολόκληρης της αλυσίδας των υποδομών. Σήμερα χρειαζόμαστε μια ομάδα εμπειρογνωμόνων επικεντρωμένη σε όλα τα στοιχεία της αλυσίδας και σε μια πλήρη και αξιόπιστη σχέση μεταξύ τους.
Έτσι, καταλήξαμε, μέσα από την ανάπτυξη και τις οργανικές αλλαγές, σε έναν κόσμο όπου εμείς, ως διαχειριστές δικτύων, δεν έχουμε τη δυνατότητα να ελέγξουμε πλήρως την περίμετρο της ασφάλειας, δεν ελέγχουμε τις προσβάσεις, δεν ελέγχουμε όλες τις συσκευές.
Οπότε, δεν υπάρχει καμία διαβεβαίωση πως όλα κυλούν ομαλά αναφορικά με τον έλεγχο όλων των δεδομένων και την καθημερινή διαχείριση της τεχνολογίας που βασίζονται στις εταιρείες μας, η οποία είναι πολύ περίπλοκη για να την διαχειριστεί ένα μόνο άτομο.
Πρώτη ενέργεια: Πρέπει να καταστήσετε τα δεδομένα σας άχρηστα για τους τρίτους.
Υπάρχει μια κρίσιμη ερώτηση: γιατί να ξοδέψει κάποιος χρόνο και χρήματα για ένα επιχειρηματικό δίκτυο; Η απάντηση είναι απλή: τα δεδομένα.
Οι εταιρείες διαθέτουν τείχη προστασίας (με ή χωρίς τεχνολογία UTM). Εκτελούν τακτικές και έγκαιρες ενημερωμένες ενημερώσεις κώδικα ασφαλείας για ευπάθειες. Διαχειρίζονται διαχειριζόμενα προγράμματα προστασίας από ιούς ή καταληκτικά σημεία (ακόμα και τη βασική έκδοση που συνοδεύει το λειτουργικό σύστημα).
Συνδέουν απομακρυσμένα γραφεία μέσω VPN για γραφεία, είτε πρόκειται για ξεχωριστά είτε για μικρά τμήματα του δικτύου, ανάλογα με την επιλεγμένη μεθοδολογία τους. Μπορούν ακόμη και να μεταδίδονται συμβάντα ασφαλείας σε ένα διαχειριστή ή σε μια οθόνη στο τμήμα πληροφορικής. Σε μεγάλο βαθμό, οργανικά, έχουμε υιοθετήσει πολλά από τα σωστά εργαλεία με την πάροδο των ετών, ακόμα και αν είναι συνονθύλευμα σε διάφορα μέρη. Αλλά φτάνουμε στο επιθυμητό σημείο όταν ακόμη και αυτό δεν είναι αρκετά καλά δομημένα.
Τα δεδομένα είναι πιο πολύτιμα από το πετρέλαιο ή το χρυσό στις εταιρείες που το δημιουργούν ή το χρησιμοποιούν – και ο μόνος λόγος που κάποιος θα δαπανήσει κόπο προσπαθώντας για να τα κλέψει είναι η αξία τους.
Η απλούστερη και αποτελεσματικότερη προσέγγιση για την ενίσχυση του επιπέδου ασφάλειας και την προστασία των περιουσιακών στοιχείων της εταιρείας είναι η εφαρμογή ενός μηχανισμού που καθιστά τα δεδομένα εντελώς άχρηστα σε οποιονδήποτε εκτός του οργανισμού τα αποκτήσει. Είναι μέσω της κρυπτογράφησης.
Ωστόσο, η κρυπτογράφηση – πρέπει να εφαρμόζεται σωστά και να διαχειρίζεται από έναν αποδεδειγμένο και πιστοποιημένο αλγόριθμο – είναι η μοναδική μεγαλύτερη βελτίωση που μπορούν να κάνουν οι εταιρείες σχετικά με την ασφάλεια τους.
Δεύτερη ενέργεια: Τμηματοποίηση, χωρισμός και χρήση αυστηρού ελέγχου ταυτότητας.
Όταν ο έλεγχος ξεφεύγει από τα χέρια σας, και πλέον δεν υπάρχει καμία εμπιστοσύνη για τίποτα, η μόνη πραγματική λύση σε αυτό το ζήτημα είναι ο ισχυρός έλεγχος ταυτότητας.
Για να μην συγχέεται με τον έλεγχο ταυτότητας δύο παραγόντων (2FA) ή τον έλεγχο ταυτότητας πολλαπλών παραγόντων (MFA), αυτή είναι η κύρια βάση και των δύο – της μεθόδου επαλήθευσης της ταυτότητας ενός χρήστη ή μιας συσκευής που είναι εγγενώς αρκετά αυστηρή ώστε να διασφαλίζει την ασφάλεια στο σύστημα που προστατεύει από οποιεσδήποτε επιθέσεις που είναι πιθανό να συναντήσει και από τη φύση του δημιουργεί ένα στοιχείο εμπιστοσύνης στη συσκευή ή το σύστημα που χρησιμοποιείται.
Τόσο το 2FA όσο και το MFA είναι αυστηρός έλεγχος ταυτότητας, αλλά, στη συνέχεια, υπάρχουν αρκετές προσεγγίσεις πολλαπλής πρόκλησης / απόκρισης χρησιμοποιώντας έναν παράγοντα (αν και αυτοί βασίζονται σε πολλαπλά σημεία επικύρωσης του παράγοντα γνώσης).
Πρέπει να αλλάξουμε την παλιά μας νοοτροπία “παραμονής στο εσωτερικό” και να δημιουργήσουμε εμπιστοσύνη μεταξύ μηχανών, χρηστών και εφαρμογών.
Σύμφωνα με μια πολιτική κατακερματισμού και διαχωρισμού, είτε πρόκειται για τον φυσικό διαχωρισμό των δικτύων σε δεδομένα + ασφάλεια + εξωτερικά, είτε για την κατάτμηση δικτύων σε εφαρμογές, γεωγραφικά ή λειτουργικά, όλα παρέχουν μια θεμελιώδη βάση για την εφαρμογή ισχυρής αυθεντικοποίησης. Είναι το επόμενο μεγάλο βήμα προς εξέταση.
Τρίτη ενέργεια: Σταματήστε να πιστεύετε πως μπορείτε να τα κάνετε όλα μόνοι σας.
Είναι δύσκολο για τους διαχειριστές πληροφορικής να παραδεχτούν ότι δεν μπορούν να το κάνουν μόνοι τους. Αλλά η ευθύνη της διαχείρισης του δικτύου στο σημερινό περίπλοκο και επικίνδυνο περιβάλλον έχει αυξηθεί εκθετικά. Δεν υπάρχουν άλλοι ρόλοι ή θέσεις όπου αυτό έχει συμβεί, σε οποιαδήποτε βιομηχανία.
Ακόμα και ο πιο αποφασισμένος γκουρού πληροφορικής δεν μπορεί να τα διαχειριστεί όλα, ακόμα και για σχετικά μικρές εταιρείες, οπότε αν είναι οικονομικά προσιτό, δημιουργήστε μια “ομάδα εμπειρογνωμόνων” με κατακερματισμένες ευθύνες ή τις υπηρεσίες αξιόπιστων εταιρειών ασφάλειας. Η εξωτερική ανάθεση σημαίνει ότι μπορούν να παρέχουν υπηρεσίες SOC με ένα ευρύ φάσμα δεξιοτήτων.
Αυτή η μέθοδος είναι ένας αξιόπιστος τρόπος και συνάμα αποτελεσματικός, διότι συμμετέχουν στην προσπάθεια οχύρωσης της ασφάλειας, αρκετά μέρη που είναι ικανά να αντιμετωπίσουν δυσκολίες στην προστασία των δεδομένων μιας εταιρείας. Ως εκ τούτου, στις περισσότερες περιπτώσεις σας θωρακίζει και σας γλιτώνει από μπελάδες, αφού πλέον η ευθύνη μοιράζεται.
Τέλος, πρέπει να τονίσω τη σημασία της εφαρμογής της κρυπτογράφησης, της κατάτμησης / διαχωρισμού και της διασφάλισης, ότι τουλάχιστον τα πρωτεύοντα συστήματα προστατεύονται με ισχυρή πιστοποίηση. Οι εταιρείες πρέπει να σταματήσουν να το κάνουν μόνοι τους και να να βοηθηθούν με αυτές τις τρεις λύσεις, οι οποίες θα τις εξυπηρετήσουν σε μεγάλο βαθμό στην προστασία τους, τώρα και στο αβέβαιο μέλλον.
