Πώς να δημιουργήσετε ένα περιβάλλον μηδενικής εμπιστοσύνης στις χρηματοοικονομικές υπηρεσίες (Boris Bialek)

Δεν ήταν πολύ καιρό πριν που οι επαγγελματίες ασφαλείας προστάτευαν το IT τους με τον ίδιο τρόπο που οι μεσαιωνικοί φρουροί προστάτευαν μια περιτειχισμένη πόλη – έκαναν όσο το δυνατόν πιο δύσκολο να μπουν μέσα. Αλλά μόλις κάποιος περνούσε την περίμετρο, είχε γενναιόδωρη πρόσβαση
στα πλούτη που περιέχονται μέσα. Στον χρηματοπιστωτικό τομέα, αυτό σημαίνει πρόσβαση σε προσωπικά στοιχεία ταυτοποίησης (PII) που περιλαμβάνει ένα «εμπορεύσιμο σύνολο δεδομένων» αριθμών πιστωτικών καρτών, ονομάτων, πληροφοριών κοινωνικής ασφάλισης και άλλα. Δυστυχώς, υπάρχουν πολλές περιπτώσεις
όπου το κάστρο εισέβαλε και οι τελικοί χρήστες ήταν στο πίσω πόδι. Το πιο διάσημο είναι ακόμα το

Περιστατικό Equifax, όπου μια μικρή παραβίαση οδήγησε σε χρόνια δυσαρεστημένους πελάτες. 

Έκτοτε, η νοοτροπία άλλαξε καθώς οι χρήστες έχουν ολοένα και μεγαλύτερη πρόσβαση σε δίκτυα και εφαρμογές από οποιαδήποτε γεωγραφία, σε οποιαδήποτε συσκευή, σε πλατφόρμες που φιλοξενούνται στο cloud – η κλασική ασφάλεια από σημείο σε σημείο είναι ξεπερασμένη. Η περίμετρος έχει αλλάξει, άρα βασιστείτε σε αυτήν
Το να είσαι ένα φράγμα που προστατεύει τα πάντα άλλαξε επίσης.

Η μηδενική εμπιστοσύνη παρουσιάζει ένα νέο παράδειγμα για την ασφάλεια στον κυβερνοχώρο. Σε ένα περιβάλλον μηδενικής εμπιστοσύνης, η περίμετρος θεωρείται ότι έχει παραβιαστεί, δεν υπάρχουν αξιόπιστοι χρήστες και κανένας χρήστης ή συσκευή δεν κερδίζει εμπιστοσύνη απλώς και μόνο λόγω της φυσικής θέσης ή της θέσης του δικτύου. Κάθε χρήστης,
Η συσκευή και η σύνδεση πρέπει να ελέγχονται και να ελέγχονται συνεχώς. 

Και είναι αυτονόητο, αλλά δεδομένου του τεράστιου όγκου εμπιστευτικών δεδομένων πελατών και πελατών με τα οποία ασχολείται ο κλάδος των χρηματοοικονομικών υπηρεσιών σε καθημερινή βάση –και τους αυστηρούς κανονισμούς– αυτό πρέπει να είναι ακόμη μεγαλύτερη προτεραιότητα. Η αντιληπτή αξία του
Αυτά τα δεδομένα καθιστούν επίσης τους οργανισμούς χρηματοοικονομικών υπηρεσιών πρωταρχικό στόχο για παραβιάσεις δεδομένων. 

Εδώ είναι τι πρέπει να σκεφτείτε για να δημιουργήσετε ένα περιβάλλον μηδενικής εμπιστοσύνης. 

Διασφάλιση των δεδομένων 

Ενώ διασφαλίζεται ότι η πρόσβαση σε τραπεζικές εφαρμογές και διαδικτυακές υπηρεσίες είναι ζωτικής σημασίας, είναι στην πραγματικότητα η βάση δεδομένων που αποτελεί το backend αυτών των εφαρμογών που αποτελεί βασικό μέρος της δημιουργίας ενός περιβάλλοντος μηδενικής εμπιστοσύνης. Η βάση δεδομένων περιέχει τόσα πολλά από τα ευαίσθητα στοιχεία ενός οργανισμού,
και ρυθμίζονται, πληροφορίες, καθώς και δεδομένα που μπορεί να μην είναι ευαίσθητα αλλά είναι κρίσιμα για τη διατήρηση της λειτουργίας του οργανισμού. Αυτός είναι ο λόγος για τον οποίο είναι επιτακτική ανάγκη μια βάση δεδομένων να είναι έτοιμη και ικανή να λειτουργήσει σε περιβάλλον μηδενικής εμπιστοσύνης. 

Καθώς περισσότερες βάσεις δεδομένων γίνονται υπηρεσίες που βασίζονται στο cloud, μεγάλο μέρος αυτού είναι η διασφάλιση ότι η βάση δεδομένων είναι ασφαλής από προεπιλογή, που σημαίνει ότι είναι ασφαλής από το κουτί. Αυτό αφαιρεί μέρος της ευθύνης για την ασφάλεια από τα χέρια των διαχειριστών επειδή
Τα υψηλότερα επίπεδα ασφάλειας υπάρχουν από την αρχή, χωρίς να απαιτείται προσοχή από τους χρήστες ή τους διαχειριστές. Για να επιτρέπεται η πρόσβαση, οι χρήστες και οι διαχειριστές πρέπει να κάνουν προληπτικά αλλαγές – τίποτα δεν χορηγείται αυτόματα. 

Καθώς περισσότερα χρηματοπιστωτικά ιδρύματα αγκαλιάζουν το cloud, αυτό μπορεί να γίνει πιο περίπλοκο. Οι ευθύνες ασφαλείας κατανέμονται μεταξύ της οργάνωσης των πελατών, των παρόχων cloud και των προμηθευτών των υπηρεσιών cloud που χρησιμοποιούνται. Αυτό είναι γνωστό ως το
μοντέλο κοινής ευθύνης. Αυτό απομακρύνεται από το κλασικό μοντέλο όπου το IT κατέχει τη σκλήρυνση των διακομιστών και την ασφάλεια, στη συνέχεια πρέπει να σκληρύνει το λογισμικό από πάνω - ας πούμε την έκδοση του λογισμικού της βάσης δεδομένων - και στη συνέχεια να σκληρύνει τον πραγματικό κώδικα εφαρμογής.
Σε αυτό το μοντέλο, το υλικό (CPU, δίκτυο, αποθήκευση) βρίσκεται αποκλειστικά στη σφαίρα του παρόχου cloud που παρέχει αυτά τα συστήματα. Ο πάροχος υπηρεσιών για ένα μοντέλο Data-as-a-Service παραδίδει στη συνέχεια τη βάση δεδομένων σκληρυμένη στον πελάτη με ένα καθορισμένο τελικό σημείο.
Μόνο τότε η πραγματική ομάδα πελατών και οι προγραμματιστές εφαρμογών τους και η ομάδα DevOps μπαίνουν στο παιχνίδι για την πραγματική «λύση». 

Η ασφάλεια και η ανθεκτικότητα στο cloud είναι δυνατές μόνο όταν όλοι είναι ξεκάθαροι για τους ρόλους και τις ευθύνες τους. Η κοινή ευθύνη αναγνωρίζει ότι οι προμηθευτές cloud διασφαλίζουν ότι τα προϊόντα τους είναι ασφαλή από προεπιλογή, ενώ είναι ακόμα διαθέσιμα, αλλά και αυτό
οι οργανισμοί λαμβάνουν τα κατάλληλα μέτρα για να συνεχίσουν να προστατεύουν τα δεδομένα που διατηρούν στο cloud.

Έλεγχος ταυτότητας για πελάτες και χρήστες 

Στις τράπεζες και στους χρηματοπιστωτικούς οργανισμούς, υπάρχει πάντα μεγάλη εστίαση στον έλεγχο ταυτότητας πελατών, διασφαλίζοντας ότι η πρόσβαση σε κεφάλαια είναι όσο το δυνατόν ασφαλέστερη. Αλλά είναι επίσης σημαντικό να βεβαιωθείτε ότι η πρόσβαση στη βάση δεδομένων στο άλλο άκρο είναι ασφαλής. Οργανισμός πληροφορικής
μπορεί να χρησιμοποιήσει οποιονδήποτε αριθμό μεθόδων για να επιτρέψει στους χρήστες να ελέγχουν την ταυτότητα τους σε μια βάση δεδομένων. Τις περισσότερες φορές περιλαμβάνει όνομα χρήστη και κωδικό πρόσβασης, αλλά δεδομένης της αυξημένης ανάγκης διατήρησης του απορρήτου των εμπιστευτικών πληροφοριών πελατών από οργανισμούς χρηματοπιστωτικών υπηρεσιών
αυτό θα πρέπει να θεωρείται μόνο ως βασικό στρώμα. 

Στο επίπεδο της βάσης δεδομένων, είναι σημαντικό να υπάρχει ασφάλεια επιπέδου μεταφοράς και έλεγχος ταυτότητας SCRAM που επιτρέπει την επικύρωση της κυκλοφορίας από τους πελάτες στη βάση δεδομένων και την κρυπτογράφηση κατά τη μεταφορά.

Ο έλεγχος ταυτότητας χωρίς κωδικό πρόσβασης είναι επίσης κάτι που πρέπει να ληφθεί υπόψη – όχι μόνο για πελάτες, αλλά και για εσωτερικές ομάδες. Αυτό μπορεί να γίνει με πολλούς τρόπους με τη βάση δεδομένων, είτε αυτόματα δημιουργημένα πιστοποιητικά που απαιτούνται για την πρόσβαση στη βάση δεδομένων είτε
προηγμένες επιλογές για οργανισμούς που χρησιμοποιούν ήδη πιστοποιητικά X.509 και διαθέτουν υποδομή διαχείρισης πιστοποιητικών. 

Καταγραφή και Έλεγχος 

Ως κλάδος με υψηλή ρύθμιση, είναι επίσης σημαντικό να παρακολουθείτε το περιβάλλον μηδενικής εμπιστοσύνης για να διασφαλίσετε ότι παραμένει σε ισχύ και υπερκαλύπτει τη βάση δεδομένων σας. Η βάση δεδομένων θα πρέπει να μπορεί να καταγράφει όλες τις ενέργειες ή να έχει τη δυνατότητα εφαρμογής φίλτρων για λήψη
μόνο συγκεκριμένα συμβάντα, χρήστες ή ρόλους. 

Ο έλεγχος βάσει ρόλων σάς επιτρέπει να καταγράφετε και να αναφέρετε δραστηριότητες με συγκεκριμένους ρόλους, όπως userAdmin ή dbAdmin, σε συνδυασμό με τυχόν ρόλους που κληρονομήθηκαν από κάθε χρήστη, αντί να χρειάζεται να εξαγάγετε δραστηριότητα για κάθε μεμονωμένο διαχειριστή. Αυτή η προσέγγιση το καθιστά ευκολότερο
για τους οργανισμούς να επιβάλλουν τον από άκρο σε άκρο επιχειρησιακό έλεγχο και να διατηρούν τις απαραίτητες πληροφορίες για τη συμμόρφωση και την υποβολή εκθέσεων. 

κρυπτογράφηση 

Με μεγάλους όγκους πολύτιμων δεδομένων, τα χρηματοπιστωτικά ιδρύματα πρέπει επίσης να βεβαιωθούν ότι υιοθετούν την κρυπτογράφηση – κατά την πτήση, την ηρεμία και ακόμη και τη χρήση. Η διασφάλιση δεδομένων με κρυπτογράφηση σε επίπεδο πεδίου από την πλευρά του πελάτη σάς επιτρέπει να μετακινηθείτε σε διαχειριζόμενες υπηρεσίες στο
σύννεφο με μεγαλύτερη αυτοπεποίθηση. Η βάση δεδομένων λειτουργεί μόνο με κρυπτογραφημένα πεδία και οι οργανισμοί ελέγχουν τα δικά τους κλειδιά κρυπτογράφησης, αντί να τα διαχειρίζεται ο πάροχος της βάσης δεδομένων. Αυτό το πρόσθετο επίπεδο ασφάλειας επιβάλλει έναν ακόμη πιο λεπτόκοκκο διαχωρισμό
των καθηκόντων μεταξύ εκείνων που χρησιμοποιούν τη βάση δεδομένων και εκείνων που τη διαχειρίζονται και τη διαχειρίζονται. 

Επίσης, καθώς περισσότερα δεδομένα μεταδίδονται και αποθηκεύονται στο cloud – μερικά από τα οποία είναι εξαιρετικά ευαίσθητα φόρτο εργασίας – απαιτούνται πρόσθετες τεχνικές επιλογές για τον έλεγχο και τον περιορισμό της πρόσβασης σε εμπιστευτικά και ρυθμιζόμενα δεδομένα. Ωστόσο, αυτά τα δεδομένα πρέπει ακόμη να χρησιμοποιηθούν.
Επομένως, είναι ζωτικής σημασίας να διασφαλίσετε ότι η κρυπτογράφηση δεδομένων κατά τη χρήση αποτελεί μέρος της λύσης μηδενικής εμπιστοσύνης. Αυτό δίνει επίσης τη δυνατότητα στους οργανισμούς να αποθηκεύουν με σιγουριά ευαίσθητα δεδομένα, πληρώντας τις απαιτήσεις συμμόρφωσης, ενώ παράλληλα επιτρέπει σε διάφορα μέρη της επιχείρησης να αποκτήσουν πρόσβαση και
πληροφορίες από αυτό. 

Σε έναν κόσμο όπου η ασφάλεια των δεδομένων γίνεται όλο και πιο σημαντική, οι οργανισμοί χρηματοοικονομικών υπηρεσιών συγκαταλέγονται σε αυτούς που έχουν τα περισσότερα να χάσουν από το να έρθουν σε λάθος χέρια. Καταργώντας την περιμετρική νοοτροπία και προχωρώντας προς τη μηδενική εμπιστοσύνη – ειδικά ως
περισσότερες προσφορές cloud και ως υπηρεσία είναι ενσωματωμένες στην υποδομή – είναι ο μόνος τρόπος για να προστατεύσετε πραγματικά ένα τόσο πολύτιμο περιουσιακό στοιχείο.