Do niedawna osoby odpowiedzialne za zarządzanie bezpieczeństwem IT przyjmowały, że jest ono możliwe tylko i wyłącznie w przypadku, gdy ma się pełną kontrolę nad serwerami, nośnikami danych, aplikacjami, łączami, czyli wszystkim, co wiąże się z systemami informatycznymi przedsiębiorstwa. Takie podejście skutkowało modelowaniem wszelkich mechanizmów bezpieczeństwa i ochrony z założeniem pełnej kontroli i własności wykorzystywanych zasobów.
Tymczasem dynamiczny rozwój internetu oraz rozwiązań informatycznych powoduje, że klasyczny paradygmat bezpieczeństwa „zarządzam, jeżeli kontroluję” zupełnie traci rację bytu. Przedsiębiorstwa nie są w stanie w pełni kontrolować swoich aplikacji i danych umieszczonych w chmurze czy w sieciach społecznościowych, co w praktyce oznacza, że nie są w stanie zarządzać ich bezpieczeństwem według klasycznej definicji. Dlatego też menedżerowie powinni zmienić swoje postrzeganie zagadnień bezpieczeństwa w systemach informatycznych.
Klasyczne podejście do bezpieczeństwa IT
Dotychczas w praktyce przedsiębiorstw występowały trzy standardowe elementy zarządcze dotyczące zabezpieczeń IT. Pierwszym z filarów jest zarządzanie ryzykiem, a w szczególności strategia postępowania z nim (risk handling), realizowana na cztery możliwe sposoby:
zabezpieczenie zasobów, czyli standardowe myślenie o bezpieczeństwie;
unikanie zagrożeń, czyli niedopuszczanie do powstania ryzyka;
akceptacja ryzyka, czyli świadome pozostawienie bez działań zapobiegawczych czynnika powodującego zagrożenie;
transfer ryzyka, czyli „ubezpieczanie się” od zagrożeń lub przeniesienie ryzyka na stronę trzecią.
Drugim podstawowym elementem zabezpieczeń IT jest zarządzanie dostępem do danych i systemów. Użytkownik systemów IT otrzymuje tylko taki zakres dostępu, jaki jest mu potrzebny do wykonywania obowiązków (zasada need to know).
Trzecim elementem są uprawnienia właściciela systemu do decydowania o dwóch poprzednich elementach. Dzięki temu osoba zarządzająca systemami decyduje o dostępach pozostałych pracowników i o tym, czy będzie się zabezpieczać, transferować, akceptować czy unikać ryzyka.
Takie trójelementowe podejście w ciągu wielu lat utrwalało świadomość bezpieczeństwa właścicieli i szefów firm, więc model ten stosowano z powodzeniem na całym świecie. Z perspektywy biznesowej konieczny stał się dobór takich mechanizmów bezpieczeństwa, aby ich całkowity koszt był mniejszy niż wartości potencjalnych strat wynikających z zagrożeń. Jednak to ekonomicznie uzasadnione podejście napotkało na swojej drodze barierę w postaci trudności w oszacowaniu wartości zasobów (w szczególności informacji). Dlatego model ten sprowadzono do wyliczenia dwóch elementów: wartości środka trwałego (księgowej wartości serwera lub oprogramowania) oraz wartości odtworzeniowej danych – kosztu, jaki należy ponieść na „przepisanie” lub odzyskanie danych, które zostały utracone w wyniku awarii.
Te trzy klasyczne elementy systemu zarządzania bezpieczeństwem systemów IT, czyli zarządzanie ryzykiem, zarządzanie dostępem oraz nadzór właścicielski, przy równoczesnym prostym równaniu koszt vs potencjalna strata, powodowały, że zarządzanie bezpieczeństwem systemów IT sprawiało wrażenie obszaru pod pełną kontrolą.
PRZECZYTAJ TAKŻE: Kiedy powinieneś skorzystać z chmury? »
Gotowi na nowe IT?
,
Dariusz Nawojczyk PL
Chmura obliczeniowa przestała być tylko modnym pojęciem, a stała się coraz częściej wybieraną i kompleksową usługą – standardem wykorzystywanym w wielu współczesnych firmach.
Nowe realia technologiczne
Tymczasem w ostatnich latach świat informatyczny i biznesowy uległ radykalnej zmianie i trzy nowe aspekty jego rozwoju zupełnie wywracają tradycyjne podejście do zarządzania bezpieczeństwem systemów IT. Te trzy nowe zjawiska to usługi w chmurze, rozwiązania mobilne i media społecznościowe. Każdy z tych obszarów ma swoją specyfikę i zmienia klasyczny paradygmat bezpieczeństwa, co skutkuje brakiem możliwości wyliczenia elementu ekonomicznego bezpieczeństwa systemów informatycznych – klasyczny model kalkulacji wartości zabezpieczeń jest już nieadekwatny, czego zdają się nie zauważać zarówno właściciele firm, użytkownicy, jak i dostawcy rozwiązań IT. Tymczasem na aktualności straciła zarówno podstawowa zasada „zarządzam, jeżeli kontroluję”, jak i aspekt biznesowy bezpieczeństwa IT – dziś koszt zabezpieczeń może okazać się wyższy od wartości chronionych zasobów. Dlaczego tak się dzieje?
Transfer ryzyka na stronę trzecią
Konieczność zmiany podejścia do bezpieczeństwa doskonale uwidacznia chmura komputerowa, szczególnie w przypadku oferty typu infrastruktura jako usługa – IaaS (Infrastructure as a Service). Nabywcy nie kupują w tym przypadku aplikacji czy fizycznych dysków lub serwerów, które trzeba zabezpieczać, ale są odbiorcą usługi polegającej na zdalnym udostępnieniu aplikacji czy przestrzeni dyskowej. W tym przypadku zasada „zarządzam, jeżeli kontroluję” zupełnie traci rację bytu, gdyż właściciel danych nie jest posiadaczem ani aplikacji, ani infrastruktury IT. Zarządzanie dostępem jest tu przekazywane stronie trzeciej na mocy umowy, a decyzje o postępowaniu z ryzykiem pozostają całkowicie poza właścicielami firmy, którzy muszą opierać się na zebranych informacjach, zapisach umownych i – ewentualnie – dodatkowym ubezpieczeniu. Jedynym elementem zarządczym z wymienionych wcześniej czterech strategii postępowania z ryzykiem pozostaje transfer ryzyka, czyli „ubezpieczanie się” od zagrożeń lub przeniesienie ryzyka na stronę trzecią.
Kluczowa jest też zmiana z punktu widzenia struktury kosztowej – firma nie ponosi wydatków na infrastrukturę IT, ale płaci podwykonawcy za usługę dostępu do zasobów i oprogramowania oraz za zabezpieczenie danych umieszczonych na zewnętrznych serwerach. Jednak podwykonawca kalkuluje koszt zabezpieczenia nie w stosunku do rzeczywistej wartości powierzonych jej zasobów, ale wobec tego, co jest zapisane w umowie ze zleceniodawcą. Pojawia się tu ryzyko, że niższa wartość umowy może wiązać się z niższym poziomem zabezpieczeń. Firmy oferujące usługi w chmurze dzielą koszt zabezpieczeń na wielu swoich klientów i dzięki temu mogą uzyskać wysoki i satysfakcjonujący poziom bezpieczeństwa, często znacznie wyższy, niż organizacje korzystające z ich usług mogłyby uzyskać samodzielnie za cenę, którą płacą za korzystanie z chmury.
Fundamentalnej zmianie ulega więc zarządzanie ryzykiem i struktura kosztów, ale równocześnie pojawia się tu pewien paradoks – z punktu widzenia prezesa czy pionów operacyjnych zmiana jest znikoma, gdyż posiadanie systemów IT czy ich outsourcing nie czyni tak naprawdę istotnej różnicy. W tradycyjnym modelu za bezpieczeństwo danych odpowiadały wewnętrzne służby IT, z którymi ustalało się parametry OLA (operacyjny poziom usługi) lub SLA (poziom świadczenia usługi). Tymczasem w modelu opartym na chmurze również kupuje się jakieś OLA czy SLA z tą różnicą, że od strony trzeciej i według wystandaryzowanego kontraktu. Jedyna rzecz, jaka się zmienia z perspektywy bezpieczeństwa, to transfer ryzyka z wewnętrznego (własnego IT) na zewnętrznego dostawcę.
Ograniczenie ryzyka przez zarządzanie dostępem
Zupełnie inaczej wyglądają zmiany w obszarze bezpieczeństwa w przypadku urządzeń mobilnych. W chmurze użytkownik korzysta z nie do końca znanego i bliżej nieokreślonego systemu, tymczasem w przypadku rozwiązań mobilnych niewiadomy, anonimowy użytkownik dostaje się do środka systemów informatycznych firmy. Ma to duże przełożenie na koszty i zasady zabezpieczeń – w chmurze można zastosować strategię transferu ryzyka, jednak w przypadku rozwiązań mobilnych ryzyko znajduje się po stronie właściciela, który powinien zastosować całkowicie nowe mechanizmy bezpieczeństwa.
Zagrożenia pojawiają się tu w sytuacjach, gdy przedsiębiorstwo wyposaża pracowników w laptopy, smartfony czy różnego rodzaju tablety, a oni mają uprawnienia do korzystania z firmowego systemu na zewnątrz firmy. Pojawia się wówczas obawa, że dopuszczenie anonimowych ludzi z całego świata do wewnętrznego systemu CRM czy CMS oznacza zbyt duże ryzyko. I rzeczywiście – pracodawcy często nie wyobrażają sobie, że ktoś z dowolnego miejsca na świecie mógłby wejść do ich wewnętrznego systemu, i nie dają takiego dostępu. Oczywiście można w ten sposób unikać ryzyka, ale to z kolei odcina pracownikom zdalnym dostęp do zasobów i utrudnia im wykonywanie ich obowiązków.
Skutecznym rozwiązaniem tego problemu jest ograniczanie ryzyka poprzez podział na dwie grupy użytkowników – tych z sieci korporacyjnej i strefy zaufanej, którzy mają pełny dostęp i tych ze strefy mobilnej, nieznanej, którzy otrzymują dostęp ograniczony. W efekcie ten sam użytkownik, łącząc się ze smartfona, ma zupełnie inne uprawnienia, niż gdy korzysta w biurze ze swojego komputera. Można oczywiście dać większe uprawnienia użytkownikom mobilnym i wprowadzać kolejne zabezpieczenia, jednak ich koszt będzie coraz wyższy. Dlatego firmy dla zachowania bezpieczeństwa będą wybierały ograniczanie funkcjonalności, skupiając się na unikaniu zagrożeń i akceptacji pewnego ryzyka oraz na zarządzaniu dostępem zgodnie z zasadą need to know.
Wartość zasobu (smartfony, laptop) jest już relatywnie tak niska, że standardowy system antywirusowy i system backupów nierzadko przewyższają wartość urządzenia.
Kolejna zmiana dotyczy ekonomii doboru stosowanych rozwiązań do kosztów. Okazuje się, że konwencjonalny sposób kalkulacji kosztu zabezpieczeń również i w tym przypadku traci na aktualności. Wartość zasobu (smartfony, laptop itp.) jest już relatywnie tak niska, że standardowy system antywirusowy i system backupów nierzadko przewyższają wartość urządzenia. W świecie „big data” zaczyna się marginalizować również wartość odtworzeniowa pojedynczych danych. Mamy więc swoisty paradoks polegający na tym, że nie można tu zastosować klasycznego modelu kalkulacji wartości zabezpieczeń. Konsekwencją tego jest zwiększanie się kosztów zabezpieczenia urządzeń lub wręcz nieopłacalność stosowania dostępu mobilnego, analizowanego i kalkulowanego według standardowych zasad bezpieczeństwa
Problematyczna akceptacja ryzyka
Jeszcze inne wyzwania dotyczące bezpieczeństwa pojawiają się w przypadku sieci społecznościowych. Tutaj dostawca usługi daje dostęp wielu anonimowym użytkownikom, zarówno prywatnym, jak i firmowym, którzy z kolei ustalają, do czego chcą dać dostęp, na jakich warunkach i komu. Wówczas każdy z nich musi mieć świadomość wartości informacji, jakie zamieszcza w sieci społecznościowej, gdyż właściciel kontrolujący platformę nie ponosi za nie odpowiedzialności. W związku z tym kwestie bezpieczeństwa ulegają odwróceniu o 180 stopni. Użytkownicy platform społecznościowych nie wiedzą, jak wyglądają zabezpieczenia na platformie społecznościowej, kto za nie odpowiada, i nie mają wpływu na nic, co może wydarzyć się później z raz umieszczoną tam informacją. A równocześnie ponoszą odpowiedzialność za dane, które tam umieszczają!
Taka specyfika powoduje, że jedynym rozwiązaniem staje się ostatnia z czterech metod postępowania z ryzykiem – jego akceptacja. Zgodnie z kanonem zarządzania ryzykiem akceptacja oznacza, że właściciel dokonał analizy i zaakceptował grożące mu zagrożenia oraz metody ich zabezpieczenia. Jednak za każdym razem musi to być proces świadomy, zgodny z przyjętą polityką bezpieczeństwa. Tymczasem w przypadku mediów społecznościowych jedynie niewielka grupa użytkowników jest świadoma akceptacji ryzyka, a reszta (zarówno użytkowników prywatnych, jak i firmowych) trywializuje proces takiej akceptacji, wciskając bezrefleksyjnie przycisk „I Agree”.
Wraz z rozpowszechnieniem się usług w chmurze, rozwiązań mobilnych i mediów społecznościowych w przedsiębiorstwach pojawiło się ważne wyzwanie, jakim jest nowe podejście do bezpieczeństwa IT. Dotychczasowe kompleksowe podejście oparte na trzech filarach (zarządzanie ryzykiem, zarządzanie dostępem do danych i uprawnienia właściciela systemu do decydowania o dwóch poprzednich elementach) traci na aktualności. Dlatego osoby odpowiedzialne za bezpieczeństwo IT powinny zmienić stosowane zasady oraz metody szacowania kosztów w tym obszarze. Klasyczne podejście do bezpieczeństwa w nowych obszarach będzie wskazywało na brak zasadności stosowania zabezpieczeń lub na ich nadmierne koszty, a to z kolei może niesłusznie skłaniać firmy do rezygnacji z wykorzystania nowych możliwości technologicznych. Tymczasem dziś już nie trzeba posiadać, żeby kontrolować, a koszt zabezpieczeń może być większy niż wartość chronionych zasobów.
