Utöver att det krävs kontroll för att uppnå IT-säkerhet, systematik i utveckling, korrekt dokumentation m.m. måste ett antal tekniska säkerhetsfunktioner implementeras, konfigureras och minst genomgå samma granskning som övrigt system för att bygga assurans. En inte uttömmande lista på säkerhetsfunktioner:
- Behörighetskontroll
- Intrångsdetektering
- Övervakning
- Loggning
- Röjande signaler
- Skydd mot skadlig kod
- Signalskydd/krypterad kommunikation
En text som behandlar så vitala delar av IT-säkerhet som säkerhetsfunktionerna ovan kan svårligen göras komplett på ett utrymme om 400 ord, utan denna text får ses som mycket övergripande och introducerande text.
Samtliga ingående säkerhetsfunktioner i en IT-lösning måste anpassas efter vilka behoven är. Såklart, kan tyckas, men det är sällan som säkerhetsfunktionerna är anpassade efter behoven. Ofta investeras stora summor pengar i gränsskydd som brandväggar och VPN-lösningar, medans andra säkerhetsfunktioner har installerats med ”klicka next, next, next”-mentalitet.
För att ett IT-systems säkerhetsfunktioner ska ge ett fullgott skydd och ingjuta tillit måste det vara korrekt implementerat, hållas uppdaterat och det måste finnas en väl anpassad övervakning av att dessa funktioner fungerar som avsett. Hela tiden. Då säkerhetsfunktioner ofta är den mekanism i ett IT-system som faktiskt fattar beslut om huruvida en användare får/eller inte får access till ett visst informationsobjekt, är det av största vikt att utvärdera och över tid omvärldsbevaka de applikationer eller den maskinvara som fattar dessa viktiga beslut. Det är inte ovanligt med bakdörrar, rena buggar och sidointressen från dessa leverantörer som inte överensstämmer med era intressen.
För att exemplifiera detta kan kryptering vara bra att titta på. Kryptering handlar om att med olika tekniker göra information oläslig om man saknar rätt verktyg och rätt nyckel. Hur stark är krypteringen, finns det något inbyggt sätt att komma runt den eller finns det bakdörrar eller buggar t.ex. för att olika länders underrättelsetjänster ska kunna tillgodogöra sig information. Det kan vara svårt att verifiera, för att inte säga omöjligt.
För de allra flesta verksamheter kan kommersiella krypteringsfunktioner vara helt tillräckligt, både mjukvaru- och maskinvarubaserade varianter. Då ska man ha i åtanke att leverantörer från t.ex. USA, Israel, Kina och Ryssland nästan garanterat har ett handskak med det egna landets nationella underrättelseorgan om att data ska t.ex. kunna avlyssnas, under förespeglingen av hot från terrorism, spionage eller dylikt. Finns bakdörren, finns det alltid en risk någon är intresserad av just dig och din information. Ett sätt att arbeta med säkerhetsfunktioner är att förutom att säkerställa att det är uppsatt på ett korrekt sätt också bygga dubbla skydd med mekanismer från olika leverantörer.
En annan aspekt av kryptering är att varefter datorkraften ökar försvagas med automatik styrkan i kryptoalgoritmerna över tid. Dvs en kryptering som var toppsäker för 10 år sedan kan i praktiken vara värdelös idag. Det är därför viktigt att vara medveten som vilka algoritmer som nyttjas och löpande hålla säkerhetsfunktioner som baseras på kryptografi uppdaterade.
Hanterar IT-systemet säkerhetsskyddsklassificerade uppgifter finns det tydliga regleringar kopplat till t.ex. kryptering. Då ska signalskydd användas. Signalskydd är egentligen en förkortning för ”kryptografisk utrustning/funktioner som är rigoröst granskade av MUST och har befunnits kunna leverera mycket hög grad av assurans”. Hur kontrollerar jag dem som jag litar på mest?
I den här texten kan ytterligare säkerhetsfunktioner förtjäna att lyftas fram. Dock är alla mer eller mindre viktiga för att uppnå kontroll och känna tillit. Ett mantra för denna artikelserie är kontroll, likaså kräver alla säkerhetsfunktioner stor noggrannhet och övervägande vid införande och drift för att vara effektiva.
Läs även de andra delarna i serien:
Del 1: Kontroll
Del 2: Krav, utvecklingsmiljö och medarbetare
Del 3: Arkitektur, kultur och metod
Del 4: Granskning av tredje part, spårbarhet och assurans
Del 5: Bygga säkra IT-system på riktigt! Del 5: Assume breach och IT-säkerhetsprogram
Del 6: Dokumentation
Basalt använder både signalskydd och kommersiella lösningar inom ramen för BEANS-konceptet. Allt beror på den säkerhetsanalys som gjorts och vilka lagkrav som ställs på verksamhetens IT-system. Omvärldsbevakning och kontinuerlig övervakning av säkerhetsfunktioner är mycket viktiga komponenter i ett IT-systems livscykel.
