Bygga säkra IT-system på riktigt! Del 5: Assume breach och IT-säkerhetsprogram

Hur ser motståndaren ut? Vem är fienden och hur motiverad och långsiktig är han? Den sammantagna hotbilden mot samhällets viktiga funktioner förvärras år för år, och digitaliseringen av våra företag och institutioner, ökar komplexitet och sårbarhet. Hur ska man som CIO, CSO, CISO eller liknande funktion hantera denna eskalerande problembild?

Ett svar på den frågan, och det sätt som Basalt har valt att tackla denna verklighet som leverantör av säker infrastruktur och säkra IT-system, är att implementera ett robust och transparent IT-säkerhetsprogram. Arbetet inom IT-säkerhetsprogrammet har definierat vår motståndare som en betrodd användare i systemet med hög motivation, stora resurser och lång tidshorisont. Vidare har vi alltid en ”assume breach”-mentalitet, alltså, vi är konstant under attack, och att den pågår antagligen just nu.

Basalts IT-säkerhetsprogram gör en initial analys tillsammans med våra kunder där vi tillsammans reder ut hur fienden ser ut, vad han vill och vilken nivå av motivation han kan tänkas ha. Beroende på vad systemet ska bära för data så kan man komma fram till olika svar. Är det finansiella transaktioner, pengar, sjukjournaler, brister i vital infrastruktur eller säkerhetsskyddsklassad information blir ofta bedömningen att motståndaren är högt motiverad. När denna första analys är klar vidtar arbetet för IT-säkerhetsarkitekterna. Analys av möjliga attackvektorer, svagheter i IT-systemet, svagheter i person-dator-gränssnittet, lokaler, driftpersonal etc.

När detta är gjort och vi har en bild av hur fienden ser ut, grad av motivation, vi vet vilket data som måste skyddas och vi vet hur svagheterna ser ut kan vi börja bygga motstånd. Alla resultat dokumenteras som krav, åtgärder kopplas till dessa krav liksom vilka tester och verifieringar som genomförs. I slutändan får våra kunder en väldigt tydlig beskrivning av vad vi sett och vad vi gjort. Kanske ännu viktigare är att kunder ser vad vi inte har sett, och därmed inte gjort. Vidare levererar Basalts IT-säkerhetsprogram en rest-risklista med hot som av olika anledningar inte kan byggas bort eller har prioriterats ner, vilket utgör ett beslutsunderlag för verksamheten som ska använda systemet, och naturligtvis för den/de som har till uppgift att bedöma huruvida säkerheten är tillräcklig.

I IT-branschen är det väldigt vanligt att den här processen präglas av ”security by obscurity”, eller egentligen ”vi skriver inget om det så kommer ingen att fatta att det är dåligt”. Den inställningen har lett till att vi idag har en mycket stor mängd IT-system som ”är säkra som sjutton” men i verkligheten läcker som såll. Det vill Basalt vara en del i att åtgärda genom att våga vara ärliga mot kunder och medarbetare och leva under devisen ”vi är under attack nu och hela tiden”

Läs även de andra delarna i serien:
Del 1: Kontroll
Del 2: Krav, utvecklingsmiljö och medarbetare
Del 3: Arkitektur, kultur och metod
Del 4: Granskning av tredje part, spårbarhet och assurans

Basalts IT-säkerhetsprogram är konstruerat av hundratals manår av erfarenhet av utveckling, leverans, förvaltning och drift av IT-system. Det är ur erfarenheter dragna av leveranser till kunder som på allvar granskar säkerheten, hot, agenter, sårbarheter, värdet av information och vilka åtgärder som har vidtagits, som en formaliserad process har växt fram. Det finns säkerligen många varianter på denna process, och ett av Basalts mål med ett IT-säkerhetsprogram är full transparens. På riktigt.