Hodnocení PLM z hlediska bezpečnosti

Nákup aplikace PLM pro řízení životního cyklu produktů je příležitostí vyřešit i další problémy. Abych zhod...


Nákup aplikace PLM pro řízení životního cyklu produktů je příležitostí vyřešit
i další problémy.

Abych zhodnotil a vybral novou aplikaci PLM, strávil jsem během několika
posledních týdnů na různých schůzkách většinu svého času. Normálně bych pouze
předal svůj návrh na implementaci výhradně bezpečných aplikací a nechal
projektového manažera, ať si s tím poradí. Byl jsem však pověřen, abych chránil
intelektuální vlastnictví společnosti, a nasazení PLM je vzhledem k tomuto
strategickému cíli poměrně klíčové. Proto jsem chtěl být aktivně zapojen do
vyhodnocování bezpečnostních faktorů.
Pro ty z bezpečnostních pracovníků, kteří ještě neměli to potěšení pracovat ve
výrobní společnosti, připomínám, že PLM je aplikace, která je používána pro
dokumentování a podporu celého životního cyklu produktu, od plánování až po
jeho údržbu. Co je ale nejdůležitější, PLM software nám může pomoci spravovat
seznamy materiálů pro námi vyráběné produkty.

Ochrana našich práv
Rád o těchto dokumentech přemýšlím jako o ingrediencích do našich produktů. CAD
(Computer-Aided Design) diagramy spolu s podpůrnou dokumentací zároveň považuji
v podstatě za takové recepty na to, jak dát výsledné produkty dohromady. Náš
materiálový seznam, jenž vysvětluje, odkud zmíněné ingredience získáváme, je
jednou ze součástí systému ERP (Enterprise Resource Planning), který mapuje
jednotlivé komponenty i jejich dodavatele. Některé z používaných součástí jsou
relativně běžného typu a získáváme je od externích dodavatelů, jiné jsou naopak
konstruovány vnitropodnikově.
Výsledný hardware, který z těchto ingrediencí vyrobíme, prodáváme za více než
milion dolarů. Jistě si asi dovedete představit, že kdyby se někdo zmocnil
informací o jednotlivých částech našeho produktu, o receptech či zdrojích a
prodal je nebo je použil pro vyrobení konkurenčního produktu, přišli bychom o
značné množství peněz.
Jak jsem již řekl, jeden z mých cílů jako bezpečnostního manažera v této
výrobní firmě je sestavit program pro ochranu našeho intelektuálního
vlastnictví. V rámci tohoto programu je potřeba se ujistit, že jsou podnikové
aplikace, které naše interní intelektuální vlastnictví využívají, nebo dokonce
zahrnují, správně napsány.
V případě PLM aplikace je cíl jednoduchý potřebujeme omezit uživatele tak, aby
každý z nich mohl přistupovat pouze k těm informacím, jež potřebuje pro svou
práci, s tím, že je přístup definován rolí, jakou uživatel ve firmě hraje. Jak
mnozí z vás vědí, říká se tomu také "pravidlo nejmenších práv".
Protože hodláme aplikovat toto pravidlo i na novou PLM aplikaci, zvažujeme dva
závažné aspekty. Ačkoliv je důležité omezit přístup zaměstnanců tak, že
konkrétní uživatel má přístup pouze k těm částem, dokumentům a diagramům, k
nimž se potřebuje dostat, tentýž uživatel by neměl být nijak omezen ve svém
pátrání po předcházejících informacích.
Přespříliš restriktivní přístup bude potlačovat kreativitu, a to jednoduše
proto, že uživatelé budou žít ve tmě, pokud jde o už existující informace,
které by mohly být využity při vývojovém procesu.
Například CAD diagram tvoří série výkresů. Některé z těchto dokumentů
reprezentují běžné objekty, jež jsou opakovaně používány pro více produktů
společnosti.
Pokud přístup k běžným objektům omezím až do té míry, že inženýr vlastně neví,
že existují, může pak čas zbytečně ztrácet tím, že je bude znova vyvíjet v
podstatě vymýšlet už vymyšlené. Než vyladíme logiku, která bude použita pro
definování pravidel využití sdílených nebo běžných objektů, zabere nám to
patrně spoustu času.

Velké výzvy před námi
Dosavadní PLM aplikace naší společnosti je široce otevřená. Dá se dokonce říci,
že jakýkoliv uživatel, který má do ní přístup, si může prohlížet libovolný
seznam materiálů pro kterýkoliv produkt ve firmě. A to je špatné. A s růstem
podílu takzvaného offshore vývoje (ten je obvykle realizován v zemích třetího
světa) je riziko toho, že bude naše intelektuální vlastnictví ukradeno, mnohem
vyšší. Bude potřeba značné množství práce, abychom určili, která informace je
společná pro ten či onen produkt, a také abychom patřičně definovali, kteří
zaměstnanci potřebují mít přístup ke konkrétním produktům.
Současně také doufám, že k přidělování přístupu na základě atributů, které
ukazují, co daný uživatel pro firmu dělá, budeme schopni využít existující
infrastrukturu Microsoft Active Directory a také naši SSO (Single Sign-On)
aplikaci.
Není to sice úplně totéž jako správa identit, ale budu si s tím muset poradit.
Kromě logiky, která bude popisovat přístupová práva, jsou zde samozřejmě i jiné
aspekty aplikační bezpečnosti, o nichž se budu muset ujistit, že je PLM produkt
poskytuje.
Například budeme chtít pro audit vytvářet logy, jež poskytují dostatečně
podrobné informace k tomu, abychom mohli o kterémkoliv uživateli vytvořit
jakýkoliv report a zároveň také zjistit, ke kterému objektu tento zaměstnanec
přistupoval a jakou aktivitu prováděl.
Měli bychom být schopni zaznamenávat a kontrolovat jakoukoliv aktivitu v rámci
konkrétní aplikace, přičemž takové záznamy by mělo být možné za účelem
reportingu exportovat do široké řady aplikací třetích stran. Vítám schopnost
řešení exportovat data do formátu XML, díky čemuž pak mohou být snadno
začleněna do webových stránek.
Zhodnocen ale musí být rovněž administrační přístup. Kromě požadavků na
dostačující rozsah úrovní administračního přístupu bych uvítal i podporu
silnější formy autentizace, jako je třeba ta dvoufaktorová, o níž už jsem psal
v minulých příspěvcích. (Dvoufaktorová autentizace vyžaduje něco, co máte, jako
třeba token, spolu s něčím, co víte například osobní identifikační číslo, PIN.)
Rovněž se chci ujistit, že výrobce aplikaci napsal bezpečným způsobem. Mnohé
PLM aplikace jsou založené na webu, což by samozřejmě mohlo, pokud vývojář
nepsal aplikaci s ohledem na bezpečnost, pootevřít vrátka pro několik
zranitelností. Poukazuji tím především na takové zranitelnosti, jako je
cross-site scripting, SQL injection nebo manipulace s cookies.
Když jsem se zeptal představitele jednoho výrobce PLM, jestli má nějaký
certifikát od třetí strany nebo jiné důkazy, které by mohly podpořit tvrzení
firmy o bezpečnosti jimi dodávaných aplikací, pokoušel se mě o tom opakovaně
ujistit prohlašováním, že je aplikace používána zákazníkem působícím v oblasti
národní bezpečnosti. To mě opravdu rozveselilo. Nyní tedy budu pokračovat v
dalším vyslýchání výrobců a doufat, že některý z nich mi nabídne řešení, které
budu považovat za lepší než ty ostatní.









Komentáře
K tomuto článku není připojena žádná diskuze, nebo byla zakázána.