Bygga säkra IT-system på riktigt! Del 2: Krav, utvecklingsmiljö och medarbetare

Kontroll var det ja. Det har länge varit känt att en tydlig och relativt sett öppen väg för en angripare att ta kontroll över ett IT-system är att introducera en sårbarhet eller en bakdörr långt innan systemet är taget i drift. Under drift kan det vara svårare att introducera ny kod eller stänga av säkerhetsfunktioner utan upptäckt. Om en angripare istället lägger in en bakdörr tidigt i processen, hos en av leverantörerna av ett delsystem eller applikation där skyddet är mer bristfälligt, kan målet för angriparen nås vid ett senare tillfälle. Bedömer man att ens IT-system kan vara föremål för en angripare som är tålmodig och resursstark måste man bygga skydd mot den typen av hot.

Krav och nedbrytning av dessa är en vital del av systemutveckling. Inte bara vilka krav verksamheten har för att driva affärerna framåt utan också säkerhetskrav. Aktivt arbete med säkerhetskrav är ett måste för att uppnå kontroll. Som nämns ovan är det också viktigt att dessa krav också tillåts påverka hur utveckling/integration/inköp sker, oavsett om det sker inom egen organisation eller via leverantörer.

• Vem ska arbeta med att ta fram systemet? Vilka behörigheter har dessa personer och hur kan detta följas upp.
• Sker det någon säkerhetgranskning av personalen? Känner du verkligen din personal som bygger dina framtida IT-system? Hur säkerställer du att personal hos externa leverantörer är tillförlitlig?
• Finns det funktioner i utvecklingsmiljöerna för att kunna se vem som gör vad och hindra medvetna eller omedvetna felgrepp?
• Finns det metodik och arbetsflöden som underlättar för alla att göra rätt?
• Kan någon tredje person med en rimlig arbetsinsats kontrollera att inga fel har begåtts?
• Hur ofta genomförs faktiskt sådana typer av kontroller?

Utöver dessa punkter bör också lokaler, larm och passagesystem belysas. Det är relevant att säkerställa att inga obehöriga kan komma åt systemet innan det är klart och alla säkerhetsfunktioner är aktiverade. Fysisk access till en server under en tid ger en motiverad och långsiktig angripare stora möjligheter att tillföra kod som senare är svår att upptäcka och kan vara förödande för verksamheten som ska bedrivas.

Miljön som erbjuds de tekniker som arbetar med att konstruera ett IT-system är viktig. Miljön bör hålla samma nivå av säkerhet och spårbarhet som det system som ska tas fram. Versionshantering, tydlig kommunikation i form av spårbara kommentarer och systemdokumentation, autentisering och loggning av åtgärder, lättrörlighet och ett fungerande kvalitetssystem med hantering av avvikelser är viktiga instrument. Att utveckla ett IT-system ska påminna om kodbaserad utveckling av en applikation.

Läs även de andra delarna i serien:
Del 1: Kontroll

Basalt har under över 10 år arbetat nästan uteslutande med kunder som ställer mycket höga säkerhetskrav. Styrande regelverk, krav och dragna erfarenheter har lett fram till att Basalt har implementerat ett gediget system för personkännedom av våra medarbetare, regelbundna kontroller av våra leverantörer, ändamålsenliga lokaler och fysiska tillträdesskydd samt utvecklingsmiljöer som håller samma eller högre säkerhetsstandard än de system vi levererar till våra kunder. Vårt mål är full transparens avseende vilka hot och risker som identifierats och vad som är gjort för att motverka och undvika dem samt minska skadeverkningar om något inträffar. Våra kunder ges möjlighet att kontrollera och granska allt detta i detalj.