Finansal hizmetlerde sıfır güven ortamı nasıl oluşturulur (Boris Bialek)

Güvenlik uzmanlarının, ortaçağ muhafızlarının surlarla çevrili bir şehri koruduğu gibi BT'lerini korumaları çok uzun zaman önce değildi - içeri girmeyi mümkün olduğunca zorlaştırdılar. Ama biri çevreyi geçtikten sonra, cömert erişimleri vardı.
içindeki zenginliklere. Finans sektöründe bu, kredi kartı numaraları, isimler, sosyal güvenlik bilgileri ve daha fazlasını içeren "pazarlanabilir bir veri seti" içeren kişisel olarak tanımlanabilir bilgilere (PII) erişim anlamına gelir. Maalesef çok vaka var
kalenin saldırıya uğradığı ve son kullanıcıların geride kaldığı yer. En ünlüsü hala

Equifax olayı, küçük bir ihlalin yıllarca mutsuz müşterilere yol açtığı yer. 

O zamandan beri, kullanıcılar herhangi bir coğrafyadan, herhangi bir cihazdan, bulutta barındırılan platformlarda ağlara ve uygulamalara giderek daha fazla eriştikçe zihniyet değişti - klasik noktadan noktaya güvenlik artık geçerliliğini yitirdi. Çevre değişti, bu yüzden ona güvenin
her şeyi koruyan bir bariyer olmak da değişti.

Sıfır güven, siber güvenlik için yeni bir paradigma sunuyor. Sıfır güven ortamında, çevrenin ihlal edildiği varsayılır, güvenilir kullanıcı yoktur ve yalnızca fiziksel veya ağ konumu nedeniyle hiçbir kullanıcı veya cihaz güven kazanmaz. Her kullanıcı,
cihaz ve bağlantı sürekli olarak doğrulanmalı ve denetlenmelidir. 

Ve söylemeye gerek yok, ancak finansal hizmetler endüstrisinin günlük olarak uğraştığı büyük miktarda gizli müşteri ve müşteri verisi ve katı düzenlemeler göz önüne alındığında, bunun daha da büyük bir öncelik olması gerekiyor. algılanan değeri
bu veriler aynı zamanda finansal hizmet kuruluşlarını veri ihlalleri için birincil hedef haline getirir. 

İşte sıfır güven ortamı oluşturmak için düşünmeniz gerekenler. 

Verilerin güvenliğini sağlamak 

Bankacılık uygulamalarına ve çevrimiçi hizmetlere erişimin sağlanması hayati önem taşırken, aslında sıfır güven ortamı yaratmanın önemli bir parçası olan bu uygulamaların arka ucu olan veritabanıdır. Veritabanı, bir kuruluşun hassas bilgilerinin çoğunu içerir,
ve düzenlenmiş, bilgilerin yanı sıra hassas olmayabilecek ancak organizasyonu çalışır durumda tutmak için kritik olan veriler. Bu nedenle, bir veritabanının hazır olması ve sıfır güven ortamında çalışabilmesi zorunludur. 

Daha fazla veritabanı bulut tabanlı hizmetler haline geldiğinden, bunun büyük bir kısmı veritabanının varsayılan olarak güvenli olmasını sağlamaktır, yani kutudan çıkar çıkmaz güvenlidir. Bu, güvenlik sorumluluğunun bir kısmını yöneticilerin elinden alır çünkü
en yüksek güvenlik seviyeleri, kullanıcıların veya yöneticilerin dikkatini gerektirmeden en başından itibaren mevcuttur. Erişime izin vermek için kullanıcılar ve yöneticiler proaktif olarak değişiklik yapmalıdır - hiçbir şey otomatik olarak verilmez. 

Daha fazla finansal kurum bulutu benimsedikçe, bu daha karmaşık hale gelebilir. Güvenlik sorumlulukları, müşterinin kendi organizasyonu, bulut sağlayıcıları ve kullanılan bulut hizmetlerinin satıcıları arasında paylaştırılır. Bu olarak bilinir
paylaşılan sorumluluk modeli Bu, BT'nin sunucuları ve güvenliği sağlamlaştırmaya sahip olduğu klasik modelden uzaklaşıyor, ardından en üstteki yazılımı (örneğin veritabanı yazılımının sürümünü) sağlamlaştırması ve ardından gerçek uygulama kodunu sağlamlaştırması gerekiyor.
Bu modelde donanım (CPU, ağ, depolama) yalnızca bu sistemleri sağlayan bulut sağlayıcısının alanındadır. Hizmet olarak Veri modeli için hizmet sağlayıcı, daha sonra sağlamlaştırılmış veritabanını belirlenmiş bir uç nokta ile müşteriye sunar.
Ancak o zaman gerçek müşteri ekibi ve onların uygulama geliştiricileri ve DevOps ekibi gerçek “çözüm” için devreye girer. 

Bulutta güvenlik ve esneklik, ancak herkes kendi rolleri ve sorumlulukları konusunda net olduğunda mümkündür. Paylaşılan sorumluluk, bulut satıcılarının, ürünlerinin hala kullanılabilirken varsayılan olarak güvenli olmasını sağlamalarının yanı sıra, aynı zamanda
kuruluşlar, bulutta tuttukları verileri korumaya devam etmek için uygun adımları atar.

Müşteriler ve kullanıcılar için kimlik doğrulama 

Bankalarda ve finans kuruluşlarında, fonlara erişimin mümkün olduğunca güvenli olduğundan emin olmak için her zaman müşteri kimlik doğrulamasına çok fazla odaklanılır. Ancak diğer uçtaki veritabanına erişimin güvenli olduğundan emin olmak da önemlidir. Bir BT organizasyonu
kullanıcıların kendilerini bir veritabanında doğrulamalarına izin vermek için herhangi bir sayıda yöntem kullanabilir. Çoğu zaman bu, bir kullanıcı adı ve şifre içerir, ancak finansal hizmetler kuruluşları tarafından gizli müşteri bilgilerinin gizliliğini koruma ihtiyacının artması göz önüne alındığında
bu sadece bir temel katman olarak görülmelidir. 

Veritabanı katmanında, istemcilerden veritabanına giden trafiğin kimlik doğrulamasını ve geçiş sırasında şifrelenmesini sağlayan taşıma katmanı güvenliğine ve SCRAM kimlik doğrulamasına sahip olmak önemlidir.

Parolasız kimlik doğrulama, yalnızca müşteriler için değil, aynı zamanda şirket içi ekipler için de dikkate alınması gereken bir şeydir. Bu, veritabanına erişmek için gerekli olan otomatik olarak oluşturulan sertifikalar veya veritabanıyla birden çok şekilde yapılabilir.
Halihazırda X.509 sertifikaları kullanan ve sertifika yönetimi altyapısına sahip kuruluşlar için gelişmiş seçenekler. 

Günlüğe Kaydetme ve Denetim 

Yüksek düzeyde düzenlemeye tabi bir sektör olarak, yürürlükte kalmasını ve veritabanınızı kapsamamasını sağlamak için sıfır güven ortamınızı izlemeniz de önemlidir. Veritabanı, tüm eylemleri günlüğe kaydedebilmeli veya yakalamak için filtreler uygulama işlevselliğine sahip olmalıdır.
yalnızca belirli olaylar, kullanıcılar veya roller. 

Rol tabanlı denetim, her bir yönetici için etkinlik ayıklamak yerine, her kullanıcı tarafından devralınan rollerle birlikte userAdmin veya dbAdmin gibi belirli rollere göre etkinlikleri günlüğe kaydetmenize ve raporlamanıza olanak tanır. Bu yaklaşım işinizi kolaylaştırır
kuruluşların uçtan uca operasyonel kontrolü zorlaması ve uyumluluk ve raporlama için gerekli içgörüyü sürdürmesi için. 

Şifreleme 

Büyük miktarlardaki değerli verilerle birlikte finans kurumlarının, uçuşta, beklemede ve hatta kullanımdayken de şifrelemeyi benimsediklerinden emin olmaları gerekir. İstemci tarafı alan düzeyinde şifreleme ile verilerin güvenliğini sağlamak, yönetilen hizmetlere geçiş yapmanıza olanak tanır.
daha fazla güvenle bulut. Veritabanı yalnızca şifrelenmiş alanlarla çalışır ve kuruluşlar, veritabanı sağlayıcısının bunları yönetmesini sağlamak yerine kendi şifreleme anahtarlarını kontrol eder. Bu ek güvenlik katmanı, daha da ince taneli bir ayrımı zorlar
Veritabanını kullananlar ile onu yöneten ve yönetenler arasındaki görevler. 

Ayrıca, bazıları son derece hassas iş yükleri olan bulutta daha fazla veri iletilip depolandığından, gizli ve düzenlenmiş verilere erişimi kontrol etmek ve sınırlamak için ek teknik seçeneklere ihtiyaç vardır. Ancak, bu verilerin hala kullanılması gerekiyor.
Bu nedenle, kullanımdaki veri şifrelemesinin sıfır güven çözümünüzün bir parçası olmasını sağlamak hayati önem taşır. Bu aynı zamanda kuruluşların hassas verileri güvenle saklamasını, uyumluluk gereksinimlerini karşılamasını ve aynı zamanda işin farklı bölümlerinin erişim ve erişim elde etmesini sağlar.
ondan içgörüler. 

Veri güvenliğinin giderek daha önemli hale geldiği bir dünyada, finansal hizmetler kuruluşları, verilerin yanlış ellere geçmesinden en çok kaybedecek olanlar arasında yer alıyor. Çevresel zihniyeti terk etmek ve sıfır güvene doğru ilerlemek - özellikle
daha fazla bulut ve hizmet olarak sunulan teklifler altyapıya gömülüdür - böylesine değerli bir varlığı gerçekten korumanın tek yolu budur.