Hoe creëer je een zero trust-omgeving in financiële diensten (Boris Bialek)

Het is nog niet zo lang geleden dat beveiligingsprofessionals hun IT beschermden op dezelfde manier als middeleeuwse bewakers een ommuurde stad beschermden - ze maakten het zo moeilijk mogelijk om binnen te komen. Maar toen iemand eenmaal de perimeter was gepasseerd, hadden ze royale toegang
naar de rijkdom die erin zit. In de financiële sector betekent dit toegang tot persoonlijk identificeerbare informatie (PII), waaronder een "verhandelbare dataset" van creditcardnummers, namen, socialezekerheidsinformatie en meer. Helaas zijn er veel gevallen
waar het kasteel werd bestormd en de eindgebruikers achterop liepen. De meest bekende is nog steeds de

Equifax-incident, waar een kleine inbreuk heeft geleid tot jarenlange ontevreden klanten. 

Sindsdien is de mentaliteit veranderd omdat gebruikers steeds vaker toegang krijgen tot netwerken en applicaties vanuit elke locatie, op elk apparaat, op platforms die in de cloud worden gehost - de klassieke point-to-point-beveiliging is achterhaald. De omtrek is veranderd, dus vertrouw erop
een barrière zijn die alles beschermt, is ook veranderd.

Zero trust presenteert een nieuw paradigma voor cyberbeveiliging. In een zero trust-omgeving wordt aangenomen dat de perimeter is geschonden, dat er geen vertrouwde gebruikers zijn en dat geen enkele gebruiker of apparaat vertrouwen wint simpelweg vanwege de fysieke of netwerklocatie. Elke gebruiker,
apparaat en verbinding moeten voortdurend worden geverifieerd en gecontroleerd. 

En het spreekt voor zich, maar gezien de enorme hoeveelheid vertrouwelijke klant- en klantgegevens waar de financiële dienstverlening dagelijks mee te maken heeft – en de strikte regelgeving – moet dit een nog grotere prioriteit krijgen. De waargenomen waarde van
deze gegevens maken financiële dienstverleners ook een primair doelwit voor datalekken. 

Dit is waar u aan moet denken om een ​​zero trust-omgeving te creëren. 

De gegevens beveiligen 

Hoewel ervoor moet worden gezorgd dat toegang tot bank-apps en online diensten van vitaal belang is, is het eigenlijk de database die de backend is van deze applicaties die een belangrijk onderdeel is van het creëren van een zero trust-omgeving. De database bevat zoveel gevoelige,
en gereguleerde informatie, evenals gegevens die misschien niet gevoelig zijn, maar van cruciaal belang zijn om de organisatie draaiende te houden. Daarom is het absoluut noodzakelijk dat een database klaar en in staat is om te werken in een zero trust-omgeving. 

Naarmate meer databases cloudgebaseerde services worden, zorgt een groot deel hiervan ervoor dat de database standaard veilig is, wat betekent dat deze direct veilig is. Dit neemt een deel van de verantwoordelijkheid voor beveiliging uit de handen van beheerders, omdat:
de hoogste beveiligingsniveaus zijn vanaf het begin aanwezig, zonder de aandacht van gebruikers of beheerders. Om toegang te verlenen, moeten gebruikers en beheerders proactief wijzigingen aanbrengen - niets wordt automatisch verleend. 

Naarmate meer financiële instellingen de cloud omarmen, kan dit ingewikkelder worden. De beveiligingsverantwoordelijkheden zijn verdeeld tussen de eigen organisatie van de klant, de cloudaanbieders en de leveranciers van de gebruikte clouddiensten. Dit staat bekend als de
gedeelde verantwoordelijkheidsmodel. Dit wijkt af van het klassieke model waarbij IT eigenaar is van het verharden van de servers en beveiliging, vervolgens de software daarbovenop moet verharden – zeg maar de versie van de databasesoftware – en vervolgens de daadwerkelijke applicatiecode moet verharden.
In dit model ligt de hardware (CPU, netwerk, opslag) uitsluitend in het domein van de cloudprovider die deze systemen inricht. De serviceprovider voor een Data-as-a-Service-model levert vervolgens de database gehard aan de klant met een aangewezen eindpunt.
Pas dan komen het daadwerkelijke klantteam en hun applicatieontwikkelaars en DevOps-team in het spel voor de daadwerkelijke "oplossing". 

Beveiliging en veerkracht in de cloud zijn alleen mogelijk als iedereen duidelijk is over zijn rollen en verantwoordelijkheden. Gedeelde verantwoordelijkheid erkent dat cloudleveranciers ervoor zorgen dat hun producten standaard veilig zijn, terwijl ze nog steeds beschikbaar zijn, maar ook dat
organisaties nemen passende maatregelen om de gegevens die ze in de cloud bewaren te blijven beschermen.

Authenticatie voor klanten en gebruikers 

Bij banken en financiële organisaties is er altijd veel aandacht voor klantauthenticatie, om ervoor te zorgen dat de toegang tot geld zo veilig mogelijk is. Maar het is ook belangrijk om ervoor te zorgen dat de toegang tot de database aan de andere kant veilig is. Een IT-organisatie
kan een willekeurig aantal methoden gebruiken om gebruikers in staat te stellen zichzelf te authenticeren bij een database. Meestal omvat dat een gebruikersnaam en wachtwoord, maar gezien de toegenomen behoefte om de privacy van vertrouwelijke klantinformatie te handhaven door financiële dienstverleners
dit moet alleen worden gezien als een basislaag. 

Op de databaselaag is het belangrijk om transportlaagbeveiliging en SCRAM-authenticatie te hebben, waardoor verkeer van clients naar de database tijdens het transport kan worden geverifieerd en versleuteld.

Wachtwoordloze authenticatie is ook iets dat moet worden overwogen - niet alleen voor klanten, maar ook voor interne teams. Dit kan op meerdere manieren worden gedaan met de database, ofwel automatisch gegenereerde certificaten die nodig zijn om toegang te krijgen tot de database, ofwel:
geavanceerde opties voor organisaties die al X.509-certificaten gebruiken en een infrastructuur voor certificaatbeheer hebben. 

Logboekregistratie en controle 

Als sterk gereguleerde industrie is het ook belangrijk om uw zero trust-omgeving te bewaken om ervoor te zorgen dat deze van kracht blijft en uw database omvat. De database moet in staat zijn om alle acties te loggen of functionaliteit te hebben om filters toe te passen om vast te leggen
alleen specifieke gebeurtenissen, gebruikers of rollen. 

Met op rollen gebaseerde controle kunt u activiteiten registreren en rapporteren door specifieke rollen, zoals userAdmin of dbAdmin, in combinatie met alle rollen die door elke gebruiker worden overgenomen, in plaats van dat u activiteit voor elke individuele beheerder moet extraheren. Deze aanpak maakt het makkelijker
voor organisaties om end-to-end operationele controle af te dwingen en het inzicht te behouden dat nodig is voor compliance en rapportage. 

Encryptie 

Met grote hoeveelheden waardevolle gegevens moeten financiële instellingen er ook voor zorgen dat ze encryptie omarmen - tijdens de vlucht, in rust en zelfs in gebruik. Door gegevens te beveiligen met versleuteling op veldniveau aan de clientzijde, kunt u overstappen op beheerde services in de
cloud met meer vertrouwen. De database werkt alleen met versleutelde velden en organisaties beheren hun eigen versleutelingssleutels, in plaats van dat de databaseprovider deze beheert. Deze extra beveiligingslaag zorgt voor een nog fijnmaziger scheiding
taken tussen degenen die de database gebruiken en degenen die deze beheren en beheren. 

Omdat er meer gegevens worden verzonden en opgeslagen in de cloud – waarvan sommige zeer gevoelige workloads zijn – zijn er extra technische opties nodig om de toegang tot vertrouwelijke en gereguleerde gegevens te controleren en te beperken. Deze gegevens moeten echter nog worden gebruikt.
Het is dus van vitaal belang ervoor te zorgen dat gegevensversleuteling tijdens gebruik deel uitmaakt van uw zero trust-oplossing. Dit stelt organisaties ook in staat om vertrouwelijke gegevens op te slaan, te voldoen aan de nalevingsvereisten, terwijl verschillende delen van het bedrijf toegang krijgen en
inzichten daaruit. 

In een wereld waarin de beveiliging van gegevens alleen maar belangrijker wordt, behoren financiële dienstverleners tot de organisaties die het meeste te verliezen hebben als ze in verkeerde handen vallen. Weg met de perimeter-mentaliteit en op weg naar nulvertrouwen – vooral als
meer cloud- en as-a-service-aanbiedingen zijn ingebed in infrastructuur - is de enige manier om zo'n waardevol bezit echt te beschermen.