Kuidas luua finantsteenustes null-usalduskeskkonda (Boris Bialek)

Ei olnud nii kaua aega tagasi, kui turvatöötajad kaitsesid oma IT-d samamoodi nagu keskaegsed valvurid müüriga ümbritsetud linna – nad tegid sissepääsu võimalikult keeruliseks. Kuid kui keegi oli perimeetrist möödas, oli neil helde juurdepääs
selles sisalduvatele rikkustele. Finantssektoris tähendab see juurdepääsu isikut tuvastavale teabele (PII), mis sisaldab krediitkaardinumbreid, nimesid, sotsiaalkindlustusteavet ja palju muud. Kahjuks on juhtumeid palju
kus loss sai tormi ja lõppkasutajad olid tagajalgadel. Kõige kuulsam on endiselt

Equifaxi juhtum, kus väike rikkumine on toonud kaasa aastaid rahulolematuid kliente. 

Sellest ajast peale on mõtteviis muutunud, kuna kasutajad pääsevad võrkudele ja rakendustele üha enam juurde mis tahes geograafilisest asukohast, mis tahes seadmes, pilves hostitud platvormidel – klassikaline punktist punkti turvalisus on aegunud. Ümbermõõt on muutunud, seega lootke sellele
Kõike kaitsvaks barjääriks olemine on samuti muutunud.

Null usaldus on uus küberturvalisuse paradigma. Nullusalduskeskkonnas eeldatakse, et perimeetrit on rikutud, usaldusväärseid kasutajaid pole ja ükski kasutaja ega seade ei saavuta usaldust lihtsalt oma füüsilise või võrgu asukoha tõttu. Iga kasutaja,
seadet ja ühendust tuleb pidevalt kontrollida ja auditeerida. 

Ja see on ütlematagi selge, kuid arvestades tohutut hulka konfidentsiaalseid kliendi- ja kliendiandmeid, millega finantsteenuste sektor igapäevaselt tegeleb – ja rangeid eeskirju –, peab see olema veelgi suurem prioriteet. Tajutav väärtus
need andmed muudavad ka finantsteenuste organisatsioonid andmetega seotud rikkumiste peamiseks sihtmärgiks. 

Siin on see, millele peate mõtlema, et luua nullusalduskeskkond. 

Andmete turvamine 

Kuigi juurdepääs pangarakendustele ja võrguteenustele on ülioluline, on tegelikult nende rakenduste taustaks olev andmebaas, mis on nullusalduskeskkonna loomisel oluline osa. Andmebaas sisaldab nii palju organisatsiooni tundlikku,
ja reguleeritud teave ja andmed, mis ei pruugi olla tundlikud, kuid on organisatsiooni töös hoidmiseks üliolulised. Seetõttu on hädavajalik, et andmebaas oleks valmis ja võimeline töötama nullusalduskeskkonnas. 

Kuna rohkem andmebaase on muutumas pilvepõhisteks teenusteks, on suur osa sellest tagamine, et andmebaas on vaikimisi turvaline, mis tähendab, et see on turvaline. See võtab osa turvalisuse eest vastutamisest administraatorite käest, sest
kõrgeim turvatase on algusest peale paigas, ilma kasutajate või administraatorite tähelepanuta. Juurdepääsu lubamiseks peavad kasutajad ja administraatorid ennetavalt muudatusi tegema – midagi ei anta automaatselt. 

Kuna rohkem finantsasutusi pilve omaks võtab, võib see muutuda keerulisemaks. Turvakohustused on jagatud klientide enda organisatsiooni, pilveteenuse pakkujate ja kasutatavate pilveteenuste pakkujate vahel. Seda tuntakse kui
jagatud vastutuse mudel. See liigub eemale klassikalisest mudelist, kus IT omab serverite ja turvalisuse tugevdamist, seejärel peab kõvastama tarkvara (nt andmebaasitarkvara versiooni) ja seejärel tugevdama tegelikku rakenduse koodi.
Selles mudelis kuulub riistvara (CPU, võrk, salvestusruum) ainult neid süsteeme varustava pilveteenuse pakkuja valdkonda. Andmed teenusena mudeli teenusepakkuja edastab seejärel kliendile tugevdatud andmebaasi koos määratud lõpp-punktiga.
Alles siis saavad tegeliku "lahenduse" mängu tegelik kliendimeeskond ja nende rakenduste arendajad ning DevOpsi meeskond. 

Turvalisus ja vastupidavus pilves on võimalikud vaid siis, kui kõigil on oma rollid ja kohustused selged. Jagatud vastutus tunnistab, et pilveteenuse pakkujad tagavad, et nende tooted on vaikimisi turvalised, kuigi need on endiselt saadaval, aga ka seda
organisatsioonid võtavad asjakohaseid meetmeid, et jätkata pilves hoitavate andmete kaitsmist.

Autentimine klientidele ja kasutajatele 

Pankades ja finantsasutustes pööratakse alati suurt tähelepanu klientide autentimisele, tagades, et juurdepääs rahalistele vahenditele on võimalikult turvaline. Kuid oluline on ka veenduda, et juurdepääs andmebaasile teises otsas oleks turvaline. IT-organisatsioon
saab kasutada mis tahes arvu meetodeid, et võimaldada kasutajatel end andmebaasis autentida. Enamasti sisaldab see kasutajanime ja parooli, kuid arvestades finantsteenuste organisatsioonide suurenenud vajadust säilitada konfidentsiaalse klienditeabe privaatsus
seda tuleks vaadelda ainult aluskihina. 

Andmebaasikihis on oluline transpordikihi turvalisus ja SCRAM-i autentimine, mis võimaldab klientidelt andmebaasi suunduvat liiklust autentida ja transiidi ajal krüpteerida.

Kaaluda tuleks ka paroolivaba autentimist – mitte ainult klientide, vaid ka sisemiste meeskondade puhul. Seda saab andmebaasiga teha mitmel viisil, kas automaatselt genereeritud sertifikaatidega, mis on vajalikud andmebaasile juurdepääsuks või
täiustatud valikud organisatsioonidele, kes juba kasutavad X.509 sertifikaate ja millel on sertifikaatide haldamise infrastruktuur. 

Logimine ja auditeerimine 

Kuna tegemist on tugevalt reguleeritud tööstusharuga, on oluline jälgida ka teie null-usalduskeskkonda, et tagada selle kehtivus ja ületada teie andmebaasi. Andmebaas peaks suutma kõiki toiminguid logida või sellel peab olema funktsioon, millega saab pildistamiseks filtreid rakendada
ainult konkreetsed sündmused, kasutajad või rollid. 

Rollipõhine auditeerimine võimaldab teil logida ja tegevusi aru anda kindlate rollide (nt userAdmin või dbAdmin) alusel koos iga kasutaja pärandatud rollidega, selle asemel, et iga administraatori tegevust eraldi välja võtta. See lähenemine muudab selle lihtsamaks
et organisatsioonid jõustaksid täielikku tegevuskontrolli ja säilitaksid nõuete täitmiseks ja aruandluseks vajaliku ülevaate. 

Krüpteerimine 

Suure hulga väärtuslike andmete puhul peavad finantsasutused tagama ka krüptimise omaks – nii lennu ajal, puhkeolekus kui ka kasutuses. Andmete kaitsmine kliendipoolse väljataseme krüptimisega võimaldab teil liikuda hallatavatele teenustele
suurema enesekindlusega pilve. Andmebaas töötab ainult krüptitud väljadega ja organisatsioonid kontrollivad oma krüpteerimisvõtmeid ise, selle asemel, et anda andmebaasi pakkuja neid hallata. See täiendav turvakiht tagab veelgi peeneteralise eraldatuse
andmebaasi kasutajate ning seda haldajate ja haldajate vahel. 

Kuna pilves edastatakse ja salvestatakse rohkem andmeid (millest mõned on väga tundlikud töökoormused), on vaja täiendavaid tehnilisi võimalusi konfidentsiaalsete ja reguleeritud andmete kontrollimiseks ja neile juurdepääsu piiramiseks. Neid andmeid tuleb aga veel kasutada.
Seega on oluline tagada, et kasutuselolevate andmete krüptimine oleks osa teie null-usalduslahendusest. See võimaldab organisatsioonidel ka enesekindlalt talletada tundlikke andmeid, mis vastavad vastavusnõuetele, võimaldades samal ajal ka ettevõtte eri osadele juurdepääsu ja
arusaamu sellest. 

Maailmas, kus andmete turvalisus muutub üha olulisemaks, kuuluvad finantsteenuste organisatsioonid nende hulka, kellel on valedesse kätesse sattumisest kõige rohkem kahju. Perimeetri mentaliteedist loobumine ja nulli usalduse poole liikumine – eriti kui
rohkem pilve- ja teenusepakkumisi on infrastruktuuri manustatud – see on ainus viis nii väärtuslikku vara tõeliselt kaitsta.