Pankeilla ei ole riittävää tietoa liiketoimintakriittisestä teknologiasta

Neljä viidestä ruotsalaisesta pankista ja rahoituslaitoksesta käyttää verkkoteknologiakomponentteja, joissa on tunnettuja haavoittuvuuksia. Finanssialan on aika parantaa keskittymistä ja liiketoimintakriittisten ratkaisujen komponenttien seurantaa.

IT-tietoturvatuotteesta vastaavan toimitusjohtajan Daniel Parmenvikin sanat Bytesafe. Yhtiö tutki avoimen lähdekoodin komponenttien käyttöä, joissa on tunnettuja haavoittuvuuksia Ruotsin pankkiliiton jäsenten keskuudessa.

– Tulos oli pettymys eikä tarpeeksi hyvä. Jopa 78 prosenttia tarkastetuista sivustoista käytti ainakin yhtä komponenttia, jossa oli tietoturvapuutteita”, Daniel Parmenvik sanoo.

Painopisteenä oleva tekniikka: JavaScript-komponentit, jotka ovat usein vanhentuneita ja laiminlyötyjä. Osittain johtuen riittämättömistä prosesseista komponenttien automaattisessa ja jatkuvassa tarkistuksessa.

Samoin läpinäkyvyyden puute, jossa vastuussa olevat liike-elämän sidosryhmät eivät ole tietoisia riskeistä.

– Monissa tapauksissa kehittäjillä on hyvä käsitys siitä, mitä komponentteja tällä hetkellä käytetään, mutta organisaatioilta puuttuu kattavat työkalut sovellusten hallintaan ajan mittaan.

Samaan aikaan yrityspuoli on usein enemmän kiinnostunut etenevien hankkeiden etenemisestä sen sijaan, että panostaisi aikaa IT-turvallisuuden yksityiskohtiin”, Daniel Parmenvik sanoo.

Suuri osa nykyaikaisista sovelluksista koostuu valmiista komponenteista, joita organisaation ulkopuoliset ihmiset ovat kehittäneet, useimmiten avoimen lähdekoodin komponentteina.

Koodin uudelleenkäytön edut ovat ilmeiset: kustannusten aleneminen ja kehitysvauhdin nopeuttaminen. Samalla se tuo riskejä käytettäessä uudelleen ulkoista koodia organisaation suoran hallinnan ulkopuolisista resursseista.

– Yleisesti ottaen organisaatioilla ei ole riittävää valvontaa sen suhteen, mitä komponentteja ja versioita niiden sovelluksissa käytetään ja kuinka vanhoja ne ovat. Esimerkiksi tutkimuksessamme löysimme yli 12 vuotta vanhoja komponentteja, jotka lisäsivät tietoturvaongelmien riskiä”, Daniel Parmenvik kertoo.

Hänen mukaansa tie eteenpäin on ottaa käyttöön parempia järjestelmiä, jotka seuraavat jatkuvasti käytössä olevia ohjelmistokomponentteja ja varoittavat, jos uusia haavoittuvuuksia ilmaantuu.

– Haavoittuvuuksia havaitaan ajan myötä ja organisaatioiden on otettava käyttöön prosesseja ja työkaluja, jotka tutkivat komponentteja jatkuvasti IT-riskien vähentämiseksi.

Komponenttien käyttäminen suoraan julkisista koodikirjastoista ilman minkäänlaista valvontaa voi olla erittäin haitallista”, Daniel Parmenvik sanoo.

Lähde: https://coinpedia.org/banking-finance/banks-inefficiency-into-technology/