Kako ustvariti okolje ničelnega zaupanja v finančne storitve (Boris Bialek)

Še ne tako dolgo nazaj so strokovnjaki za varnost varovali svoj IT na približno enak način, kot so srednjeveški stražarji varovali obzidano mesto – čim bolj so otežili vstop v notranjost. Toda ko je nekdo šel čez obrobje, je imel velikodušen dostop
do bogastva, ki ga vsebuje. V finančnem sektorju to pomeni dostop do osebnih identifikacijskih podatkov (PII), ki vključuje "nabor tržnih podatkov" številk kreditnih kartic, imen, podatkov o socialni varnosti in še več. Primerov je žal veliko
kjer so napadli grad in so bili končni uporabniki na zadnji stopnji. Najbolj znan je še vedno

Incident Equifax, kjer je majhna kršitev povzročila leta nezadovoljnih strank. 

Od takrat se je miselnost spremenila, saj uporabniki vse pogosteje dostopajo do omrežij in aplikacij s katerega koli geografskega območja, v kateri koli napravi, na platformah, ki gostujejo v oblaku – klasična varnost od točke do točke je zastarela. Obod se je spremenil, zato se zanašamo nanj
biti ovira, ki varuje vse, se je prav tako spremenilo.

Ničelno zaupanje predstavlja novo paradigmo kibernetske varnosti. V okolju ničelnega zaupanja se domneva, da je bilo območje vdrto, ni zaupanja vrednih uporabnikov in noben uporabnik ali naprava ne pridobi zaupanja samo zaradi svoje fizične ali omrežne lokacije. Vsak uporabnik,
napravo in povezavo je treba nenehno preverjati in revidirati. 

In to je samoumevno, toda glede na ogromno količino zaupnih podatkov o strankah in strankah, s katerimi se dnevno ukvarja industrija finančnih storitev – in stroge predpise – mora biti to še večja prednostna naloga. Zaznana vrednost
zaradi teh podatkov so organizacije za finančne storitve tudi glavna tarča kršitev podatkov. 

Tukaj je tisto, o čemer morate razmišljati, da ustvarite okolje ničelnega zaupanja. 

Varovanje podatkov 

Čeprav je zagotavljanje dostopa do bančnih aplikacij in spletnih storitev bistvenega pomena, je baza podatkov, ki je zaledje teh aplikacij, pravzaprav ključni del ustvarjanja okolja ničelnega zaupanja. Podatkovna zbirka vsebuje toliko občutljivih podatkov organizacije,
informacije in podatki, ki morda niso občutljivi, vendar so ključnega pomena za ohranjanje delovanja organizacije. Zato je nujno, da je zbirka podatkov pripravljena in sposobna delovati v okolju brez zaupanja. 

Ker vse več baz podatkov postaja storitev v oblaku, je velik del tega zagotavljanje, da je baza podatkov privzeto varna, kar pomeni, da je varna takoj po namestitvi. To skrbnikom odvzame del odgovornosti za varnost, ker
najvišje ravni varnosti so vzpostavljene že od začetka, ne da bi zahtevali pozornost uporabnikov ali skrbnikov. Če želite omogočiti dostop, morajo uporabniki in skrbniki proaktivno izvajati spremembe – nič ni samodejno odobreno. 

Ko vse več finančnih institucij sprejema oblak, lahko postane to bolj zapleteno. Odgovornosti za varnost so razdeljene med naročnikovo lastno organizacijo, ponudnike oblakov in prodajalce storitev oblaka, ki se uporabljajo. To je znano kot
model deljene odgovornosti. To se odmika od klasičnega modela, kjer IT skrbi za utrjevanje strežnikov in varnosti, nato mora utrditi programsko opremo na vrhu – recimo različico programske opreme baze podatkov – in nato mora utrditi dejansko kodo aplikacije.
V tem modelu je strojna oprema (CPE, omrežje, shramba) izključno v domeni ponudnika oblaka, ki zagotavlja te sisteme. Ponudnik storitev za model Data-as-a-Service nato odjemalcu dostavi utrjeno bazo podatkov z določeno končno točko.
Šele takrat dejanska ekipa odjemalca in njihovi razvijalci aplikacij ter ekipa DevOps pridejo v igro za dejansko »rešitev«. 

Varnost in odpornost v oblaku sta možni le, če so vsi jasni glede svojih vlog in odgovornosti. Deljena odgovornost priznava, da prodajalci oblakov zagotavljajo, da so njihovi izdelki privzeto varni, medtem ko so še vedno na voljo, vendar tudi to
organizacije sprejmejo ustrezne ukrepe za nadaljnjo zaščito podatkov, ki jih hranijo v oblaku.

Avtentikacija za stranke in uporabnike 

V bankah in finančnih organizacijah se vedno veliko osredotočajo na preverjanje pristnosti strank, s čimer zagotavljajo, da je dostop do sredstev čim bolj varen. Pomembno pa je tudi zagotoviti, da je dostop do baze podatkov na drugi strani varen. IT organizacija
lahko uporabi poljubno število metod, da uporabnikom omogoči avtentikacijo v bazi podatkov. Najpogosteje to vključuje uporabniško ime in geslo, vendar glede na povečano potrebo po ohranjanju zasebnosti zaupnih podatkov o strankah s strani organizacij za finančne storitve
to je treba obravnavati le kot osnovno plast. 

Na ravni baze podatkov je pomembno imeti varnost transportne plasti in avtentikacijo SCRAM, ki omogoča, da je promet od odjemalcev do baze podatkov med prenosom overjen in šifriran.

Preverjanje pristnosti brez gesla je prav tako nekaj, kar bi morali upoštevati – ne samo za stranke, ampak tudi za notranje ekipe. To je mogoče storiti na več načinov z bazo podatkov, bodisi s samodejno ustvarjenimi certifikati, ki so potrebni za dostop do baze podatkov ali
napredne možnosti za organizacije, ki že uporabljajo potrdila X.509 in imajo infrastrukturo za upravljanje potrdil. 

Beleženje in revizija 

Ker ste zelo regulirana panoga, je prav tako pomembno, da spremljate svoje okolje brez zaupanja, da zagotovite, da ostane v veljavi in ​​presega vašo bazo podatkov. Baza podatkov bi morala biti sposobna beležiti vsa dejanja ali imeti funkcijo uporabe filtrov za zajem
samo določeni dogodki, uporabniki ali vloge. 

Revizija na podlagi vlog vam omogoča beleženje in poročanje o dejavnostih po določenih vlogah, kot sta userAdmin ali dbAdmin, skupaj s poljubnimi vlogami, ki jih podeduje vsak uporabnik, namesto da bi morali ekstrahirati dejavnost za vsakega posameznega skrbnika. Ta pristop olajša
za organizacije, da uveljavijo operativni nadzor od konca do konca in ohranijo vpogled, potreben za skladnost in poročanje. 

šifriranje 

Pri velikih količinah dragocenih podatkov se morajo tudi finančne institucije prepričati, da uporabljajo šifriranje – med letom, v mirovanju in celo med uporabo. Zaščita podatkov s šifriranjem na ravni polja na strani odjemalca vam omogoča prehod na upravljane storitve v
oblak z večjim zaupanjem. Podatkovna baza deluje samo s šifriranimi polji in organizacije nadzorujejo lastne šifrirne ključe, namesto da bi jih upravljal ponudnik baze podatkov. Ta dodatna plast varnosti uveljavlja še bolj natančno ločevanje
dolžnosti med tistimi, ki bazo podatkov uporabljajo, in tistimi, ki jo upravljajo in upravljajo. 

Ker se več podatkov prenaša in shranjuje v oblaku – med katerimi so nekateri zelo občutljive delovne obremenitve – so potrebne dodatne tehnične možnosti za nadzor in omejevanje dostopa do zaupnih in reguliranih podatkov. Vendar je te podatke še vedno treba uporabiti.
Zato je nujno zagotoviti, da je šifriranje podatkov med uporabo del vaše rešitve ničelnega zaupanja. To prav tako omogoča organizacijam varno shranjevanje občutljivih podatkov, izpolnjevanje zahtev glede skladnosti, hkrati pa omogoča različnim delom podjetja, da pridobijo dostop in
spoznanja iz njega. 

V svetu, kjer varnost podatkov postaja vse bolj pomembna, so organizacije za finančne storitve med tistimi, ki lahko največ izgubijo, če pridejo v napačne roke. Opustitev miselnosti perimetra in prehod na ničelno zaupanje – zlasti kot
več ponudb v oblaku in storitev kot storitev je vgrajenih v infrastrukturo – je edini način za resnično zaščito tako dragocenega premoženja.