Manažer bezpečnosti: Co že to chcete dát na web?

Čtenáři, kterým zabezpečení koluje v žilách, musí stejně jako já po přečtení úvodní věty zalapat po dechu. Naše firma hodlá vytvořit službu, která by přes webové rozhraní umožnila přístup do našeho systému výplatních pásek a do účetnictví.

Interní finanční systémy jsou nejcitlivějšími součástmi většiny společností. Jejich nasazení do první linie, kde zuří bitva spojená s internetovými útoky, je více než jen potenciálně nebezpečné. Mohla by to být totiž úplná katastrofa.

Mluvíme o datech podléhajících mnoha regulatorním normám, jako je třeba Sarbanes-Oxleyův zákon (SOX). Pro bezpečnostní personál, mezi který já samozřejmě patřím, je zcela nemyslitelné, že bychom připustili, aby se taková data vystavila nějakému většímu riziku, než je bezpodmínečně nutné. Až si přečtete, co měl projektový tým v plánu ještě předtím, než mne přizvali na konzultaci, tak opravdu ztuhnete. Jejich původní nápad byl jednoduše nainstalovat několik webových serverů v naší demilitarizované zóně a otevřít přímou komunikaci mezi nimi a příslušnými finančními systémy. No to snad ne! A věřili byste, že dodavatel odpovídající aplikace takový přístup dokonce doporučuje? To je důvodem, proč je musejí manažeři zabezpečení zastavit.

Nutná náprava
Zrušení tohoto projektu vůbec nepřipadalo v úvahu. V dané finanční situaci je to nejrychlejší a nejpřitažlivější řešení, které je považované za nezbytné zefektivnění naší schopnosti shromažďovat záznamy od našich zákazníků a vzájemně si vyměňovat platební informace. Ani případné pozdržení projektu není možné.

A to není všechno. Každý zákazník používající webový interface bude potřebovat přihlašovací údaje, takže jejich účty bude nutno někam přidat. Prvním nápadem bylo připojit je jednoduše do našeho interního adresáře uživatelů. Jenže my máme více než milion uživatelů!

Díky tomu, že mne o projektu informovali, jsem naštěstí mohl každému vysvětlit, jaké je to riziko – konzultace jsem poskytl od projektového týmu až po ředitele IT. Co následovalo potom, je dobrou ukázkou kompromisů, se kterými se musí většina manažerů bezpečnosti potýkat.

Něco mezi
Neexistuje způsob, jak bych mohl separovat externí části účetního systému od jeho zbytku, takže připojení z demilitarizované zóny do oblasti tzv. rodinných klenotů IS firmy je neodvratné. Podařilo se mi však přimět projektový tým k přepracování architektury, takže bude použito více vrstev. Nyní to vypadá, že front-endové webové servery budou komunikovat s přechodným aplikačním serverem namísto přímého spojení s hlavní aplikací výplatních pásek. To je v podstatě kompromis ve srovnání s mírou separace, kterou bych si přál, ale na druhou stranu je to realistické a projekt se tomu může přizpůsobit.

Nyní ale musíme vymyslet, jak všechny zájemce o informace ověřovat. Zamítli jsme nápad přidat je do našeho interního adresáře uživatelů. V této bitvě jsem měl velkou podporu od našeho oddělení správy účtů, kterému se všechny tyto uživatele nechtělo vytvářet. Náš ředitel IT také zcela chápal problémy spojené s mícháním vlastních zaměstnaneckých účtů s účty cizími ve stejné databázi uživatelů.

Budeme tedy vytvářet nový adresář výhradně určený pro zákazníky. Není mnoho produktů tohoto typu, které by dokázaly podporovat více než milion uživatelů a jen velmi málo z nich se v takovém rozsahu ve velkých společnostech používá. Vyhodnocujeme některé produkty s velkou škálovatelností, ale výběr je dosti omezený.

Vyhnuli jsme se v tomto projektu velkému průšvihu. Při spěšném úsilí nasadit automatizaci pro zákazníky bylo přehlédnuto zabezpečení. Podle mého názoru to ale nakonec pro nás bylo velmi prospěšné. Zvítězil rozum a nyní máme k dispozici mnohem lepší řešení. S dalšími službami přinášenými přes internet se hraniční čára mezi privátním prostorem naší firmy a zveřejňovanými informacemi začala rozmazávat. Myslím si ale, že výsledkem tohoto procesu  bude postupné zvyšování obtížnosti práce manažerů bezpečnosti.