Hur man skapar en miljö med noll förtroende inom finansiella tjänster (Boris Bialek)

Det var inte så länge sedan som säkerhetspersonal skyddade sin IT på ungefär samma sätt som medeltida vakter skyddade en muromgärdad stad – de gjorde det så svårt som möjligt att ta sig in. Men när någon väl var förbi omkretsen hade de generös tillgång
till de rikedomar som finns inom. Inom finanssektorn innebär detta tillgång till personlig identifierbar information (PII) som inkluderar en "säljbar datamängd" av kreditkortsnummer, namn, socialförsäkringsinformation med mera. Tyvärr finns det många fall
där slottet stormades och slutanvändarna stod på bakfoten. Den mest kända är fortfarande

Equifax incident, där ett litet brott har lett till år av missnöjda kunder. 

Sedan dess har tänkesättet förändrats i takt med att användare i allt högre grad får åtkomst till nätverk och applikationer från vilken plats som helst, på vilken enhet som helst, på plattformar som är värd i molnet – den klassiska punkt-till-punkt-säkerheten är föråldrad. Omkretsen har förändrats, så lita på den
att vara en barriär som skyddar allt har också förändrats.

Zero trust presenterar ett nytt paradigm för cybersäkerhet. I en miljö med noll förtroende antas omkretsen ha brutits, det finns inga betrodda användare och ingen användare eller enhet vinner förtroende bara på grund av sin fysiska plats eller nätverksplats. Varje användare,
enhet och anslutning måste kontinuerligt verifieras och granskas. 

Och det säger sig självt, men med tanke på den enorma mängd konfidentiell kund- och kunddata som finansbranschen hanterar dagligen – och de strikta reglerna – måste detta vara en ännu större prioritet. Det upplevda värdet av
dessa uppgifter gör också organisationer för finansiella tjänster till ett primärt mål för dataintrång. 

Här är vad du behöver tänka på för att skapa en miljö med noll förtroende. 

Säkra data 

Samtidigt som man säkerställer att tillgång till bankappar och onlinetjänster är avgörande, är det faktiskt databasen som är backend för dessa applikationer som är en viktig del av att skapa en miljö med noll förtroende. Databasen innehåller så mycket av en organisations känsliga,
och reglerad information, samt data som kanske inte är känsliga men som är avgörande för att hålla organisationen igång. Det är därför det är absolut nödvändigt att en databas är redo och kan fungera i en miljö med noll förtroende. 

Eftersom fler databaser blir molnbaserade tjänster, är en stor del av detta att se till att databasen är säker som standard, vilket innebär att den är säker direkt från lådan. Detta tar en del av ansvaret för säkerheten ur händerna på administratörer eftersom
de högsta säkerhetsnivåerna är på plats från början, utan att det krävs uppmärksamhet från användare eller administratörer. För att tillåta åtkomst måste användare och administratörer proaktivt göra ändringar – ingenting beviljas automatiskt. 

När fler finansiella institutioner anammar molnet kan detta bli mer komplicerat. Säkerhetsansvaret är fördelat mellan klienternas egen organisation, molnleverantörerna och leverantörerna av de molntjänster som används. Detta är känt som
modell för delat ansvar. Detta går bort från den klassiska modellen där IT äger härdning av servrarna och säkerheten, sedan behöver härda mjukvaran ovanpå – säg versionen av databasprogramvaran – och sedan måste hårdna själva applikationskoden.
I den här modellen är hårdvaran (CPU, nätverk, lagring) enbart inom molnleverantörens område som tillhandahåller dessa system. Tjänsteleverantören för en Data-as-a-Service-modell levererar sedan databasen härdad till klienten med en angiven slutpunkt.
Först då kommer det faktiska kundteamet och deras applikationsutvecklare och DevOps-teamet in i spelet för själva "lösningen". 

Säkerhet och motståndskraft i molnet är endast möjlig när alla är tydliga med sina roller och ansvarsområden. Delat ansvar inser att molnleverantörer säkerställer att deras produkter är säkra som standard, medan de fortfarande är tillgängliga, men också det
organisationer vidtar lämpliga åtgärder för att fortsätta att skydda den data de lagrar i molnet.

Autentisering för kunder och användare 

I banker och finansorganisationer är det alltid mycket fokus på kundautentisering, för att säkerställa att tillgången till pengar är så säker som möjligt. Men det är också viktigt att se till att åtkomsten till databasen i andra änden är säker. En IT-organisation
kan använda valfritt antal metoder för att tillåta användare att autentisera sig till en databas. Oftast innehåller det ett användarnamn och lösenord, men med tanke på det ökade behovet av att upprätthålla sekretessen för konfidentiell kundinformation från finansiella tjänsteorganisationer
detta bör endast ses som ett baslager. 

På databaslagret är det viktigt att ha transportlagersäkerhet och SCRAM-autentisering som gör att trafik från klienter till databasen kan autentiseras och krypteras under överföring.

Lösenordslös autentisering är också något som bör övervägas – inte bara för kunder utan också för interna team. Detta kan göras på flera sätt med databasen, antingen automatiskt genererade certifikat som behövs för att komma åt databasen eller
avancerade alternativ för organisationer som redan använder X.509-certifikat och har en infrastruktur för certifikathantering. 

Loggning och revision 

Som en mycket reglerad bransch är det också viktigt att övervaka din nollförtroendemiljö för att säkerställa att den förblir i kraft och överträffar din databas. Databasen ska kunna logga alla åtgärder eller ha funktionalitet för att tillämpa filter för att fånga
endast specifika händelser, användare eller roller. 

Rollbaserad granskning låter dig logga och rapportera aktiviteter efter specifika roller, som userAdmin eller dbAdmin, tillsammans med alla roller som ärvts av varje användare, istället för att behöva extrahera aktivitet för varje enskild administratör. Detta tillvägagångssätt gör det lättare
för organisationer att upprätthålla operationell kontroll från slut till ände och upprätthålla den insikt som krävs för efterlevnad och rapportering. 

kryptering 

Med stora mängder värdefull data måste finansinstitutioner också se till att de använder kryptering – under flygning, i vila och till och med under användning. Säkra data med kryptering på klientsidan på fältnivå gör att du kan flytta till hanterade tjänster i
moln med större självförtroende. Databasen fungerar bara med krypterade fält och organisationer kontrollerar sina egna krypteringsnycklar, snarare än att databasleverantören hanterar dem. Detta extra lager av säkerhet tvingar fram en ännu mer finkornig separation
arbetsuppgifter mellan dem som använder databasen och dem som administrerar och hanterar den. 

Dessutom, eftersom mer data överförs och lagras i molnet – av vilka en del är mycket känsliga arbetsbelastningar – behövs ytterligare tekniska alternativ för att kontrollera och begränsa åtkomsten till konfidentiell och reglerad data. Dessa uppgifter behöver dock fortfarande användas.
Så det är viktigt att se till att datakryptering i användning är en del av din nollförtroendelösning. Detta gör det också möjligt för organisationer att på ett tryggt sätt lagra känslig data, uppfylla efterlevnadskrav, samtidigt som det gör det möjligt för olika delar av verksamheten att få åtkomst och
insikter från det. 

I en värld där datasäkerhet bara blir viktigare, är finansiella tjänsteorganisationer bland dem som har mest att förlora på att den hamnar i fel händer. Släpp perimetermentaliteten och gå mot noll förtroende – särskilt som
fler moln- och as-a-service-erbjudanden är inbäddade i infrastrukturen – är det enda sättet att verkligen skydda en så värdefull tillgång.