Rychle rosteme - a přitom se musíme bránit

Vinceova firma se opět ocitá v procesu spojování se s další společností. Je třeba rychle propojit jejich systémy, al...


Vinceova firma se opět ocitá v procesu spojování se s další společností. Je
třeba rychle propojit jejich systémy, ale při současném zachování maximální
bezpečnosti.
Moje společnost se nedávno spojila s další firmou poskytující finanční služby.
Hradby, které chránily naši IT infrastrukturu a na kterých jsme tak tvrdě
pracovali, budou muset být strženy a postaveny znovu.
Jsme pod výrazným tlakem ze strany managementu, abychom rychle zajistili
komunikaci mezi oběma firmami a možnost sdílení informací. Současně ale musíme
také zachovat integritu naší bezpečnostní infrastruktury, a to současně s
procesem propojování dvou kultur s rozdílnými prioritami pokud jde o oblast IT.
Zatím nejsme schopni se rozhodnout dokonce ani o tom, kde vlastně vybudovat ony
ochranné hradby. Nemluvě už o jejich výšce. A diskuse nemohou být dlouhé.
Všechny systémy, které potřebujeme pro svou práci, musejí být rychle propojeny.
Prioritou první fáze propojování infrastruktur je funkčnost
e-mailu, následovat bude sdílení souborů. Ve fázi dvě nahradíme tyto vzájemně
propojené systémy jedním komplexním systémem společným pro celou firmu.
Jak už bylo uvedeno, obě společnosti mají k IT bezpečnosti odlišný přístup. Co
má tedy nová společnost převzít za standard? A kolik času a peněz máme věnovat
na zabezpečení spojů mezi systémy, jestliže ve druhé fázi procesu spojování
vejde celá tato práce spolu se všemi systémy, které propojíme vniveč?

Koordinovaná reakce
Abych si ujasnil stanovisko svého týmu, strávil jsem jeden den s protistranou
tedy se šéfem oddělení IT bezpečnosti druhé společnosti, kterého tady budu
označovat jménem Joe. Joe nemá žádný tým jeho organizace všechny činnosti
spojené s bezpečností IT outsourcuje k jednomu velkému poskytovateli služeb.
Můj tým funguje jako poskytovatel služeb pro jednotlivé obchodní jednotky naší
firmy. Joe je zaměřený na obchod, na vyjednávání s dodavatelem služeb. Moje
skupina má neformální vztahy s obchodními týmy, které jsou našimi zákazníky,
ale máme také jasnou zodpovědnost za to, že budeme dostatečně pružní v
uspokojování jejich potřeb. Joeova firma má formální smlouvu o úrovni
poskytovaných služeb (SLA, Service Level Agreement) s poskytovatelem těchto
služeb.
Bohužel pro Joea, bezpečnost není oblastí, která by byla v SLA detailně
rozebrána. Proto ani nedostává na stůl detailní přehled bezpečnostních
incidentů, ke kterým v jeho firmě došlo. Jeho náklady jsou daleko nižší než
naše, ale na druhou stranu si zase nemůže být jist službami, které dostává. To
se mi nelíbí.
Možná jsem monstrum, které se baví tím, že má na dosah ruky všechna
bezpečnostní data, takže může kdykoli zhodnotit stav zabezpečení své firmy. Ale
možná jsem jen zdravě paranoidní. Aspoň že Joeova smlouva SLA zahrnuje otázku
aplikace softwarových záplat. Některé z kontraktů, o kterých jsem slyšel,
nepokrývají dokonce ani tuto oblast.
Joe je v oblasti bezpečnosti nováčkem. Pochází totiž z prostředí komerčního
managementu a obecného vedení IT týmů. Moje pozadí je technické, mám téměř 10
let zkušeností s oblastí bezpečnosti IT infrastruktury. Liší se také způsoby
našeho předávání zpráv nadřízeným. Joeova pozice ve firmě je nominálně vyšší
než moje, ale nemá k dispozici žádný rozpočet a lidi, takže se cítí trochu
intelektuálně. Požádal nás, abychom mu pomohli aplikovat některé z našich ryze
praktických přístupů.
S postupující realizací spojování se naše firma organizuje do tří obchodních
jednotek. Moje společnost je jednou z nich a můj tým bude pokračovat v její
ochraně. Rád bych učinil managementu nabídku, abychom všechny bezpečnostní
služby zajišťovali interně, ale v tomto okamžiku pro to není ten správný čas.
Je tu také riziko, že nová větší společnost přijme za standard outsourcing
bezpečnostních služeb. Zdá se ale, že představitelé druhé ze společností nebyli
právě nadšeni kvalitou služeb, která jim byla poskytována, takže je tu velká
šance, že můj tým bude moci prokázat své kvality.

Překreslení hranic
Integrace infrastruktur probíhá poměrně svižně. Nyní komunikujeme mezi
obchodními jednotkami prostřednictvím nové sady e-mailových adres. Současně
máme všichni zachované i staré adresy. Když použijeme některou z nových,
e-maily jsou směrovány k jednomu centrálnímu bodu, kde se rozhodne, zda míří
dovnitř firmy nebo ven.
To možná zní dobře, ale v praxi to znamená, že když chci poslat tajný e-mail
osobě, která sedí vedle mě, a použiji novou adresu, zpráva putuje po internetu
do druhé společnosti, ve které je umístěn hlavní seznam, a následně zpět k nám.
Nejenže je to pomalé, ale také to vystavuje e-maily hrozbě vyzrazení v době
přenosu internetem nebo při čekání na e-mailových serverech poskytovatele
internetového připojení.
Řešením tohoto problému je přímé propojení našich sítí a propojení e-mailových
serverů našich společností, ale to chce čas. V mezidobí bychom mohli nasadit
virtuální privátní síť, ale museli bychom čelit zvýšeným nákladům a problémům
vzájemného propojení. Místo toho jsme se tedy obrátili k jedné báječné
vlastnosti e-mailových serverů k technologiím TLS (Transport Layer Security) a
SMTP (Simple Mail Transport Protocol).
Tyto internetové e-mailové standardy jsou jednoduchými, ale bezpečnými
rozšířeními, která poskytují zajištění integrity a ochranu před vyzrazením
e-mailových zpráv při přenosu. Podpora SMTP a TLS je integrována ve všech
hlavních e-mailových přenosových produktech včetně Sendmailu a Eximu, z nichž
oba jsou volně šiřitelné. Jen s několika řádky konfiguračních změn jsou všechny
přenosy e-mailů uvnitř naší nové velké společnosti bezpečné. Není třeba žádných
změn na klientské straně, neskrývají se za tím žádné dodatečné náklady.
Tak by to mohlo fungovat i s dalšími e-mailovými servery mimo naši firmu. Když
bude jakýkoli další e-mailový server na internetu nakonfigurován tak, aby
využíval TLS, potom budou všechny e-maily, které jim pošleme, také bezpečně
přenášeny. A proč tedy každý nevyužívá tuto vlastnost? Doporučuji se poptat
týmu, který má na starosti e-mail ve vaší firmě, jestli TLS zapnul.
V následujících dnech se chystám začít pracovat na dalším propojení našich
systémů. Musím najít kompromis mezi požadavkem na dobrou funkcionalitu a
nutností nedat naše data a systémy všanc potenciálním útočníkům. Uživatelé
nesmějí zaznamenat žádné změny. Nebo alespoň žádné změny k horšímu.
Řešíte podobné problémy jako Vince Tuesday? Podělte se o svoje zkušenosti s
námi i se čtenáři Computerworldu. Můžete psát na adresu bezpecnost@idg.cz.









Komentáře
K tomuto článku není připojena žádná diskuze, nebo byla zakázána.