|
Bygger på prinsippene rundt, integritet, konfidensialitet, tilgjengelighet. Hva er den viktigste ressursen i din bedrift? Hva kan du gjøre for å beskytte den? Sikkerhet satt i system, også internt og mellom avdelinger. Ved å strukturere og dele opp bedriftens virksomhet i hoveddeler og sikre disse individuelt, vil man få optimal oversikt og minimere risiko. Man kan sammenligne en bedrifts IT-løsninger med et skip.
Man kan få hull i skroget, men dersom det er bygget tette skott, så er resten av skipet sikret mot forlis. Dette er systemer som vi har benyttet innenfor bransjer som sikkerhet, verditransport og i bransjer som arbeider med personsensitiv informasjon. Hvordan kan man bygge prosessorienterte nett. Følgende tankegang ligger bak våre strategier. Ved å segmentere nettene gjør man oppgavene mindre. Eksempel på etablering av et prosessnett. 1.0
Man må segmentere sine IT-løsninger. For å klargjøre dette bedre har jeg et eksempel. Du har en datamaskin og du har Internett. Hvis du legger inn din offentlige adresse på din datamaskin, så har du lagt din maskin til Internett. Om du velger å sikre din datamaskin ved å sette opp en router/brannmur mellom din datamaskin og Internett, så har du segmentert opp løsningen. Du har ditt klientnett og du har Internett atskilt ved hjelp av en brannmur. 2.0
Dette fungerer bra en stund, men så ansetter du fem personer i selskapet sitt. Dere kjøper inn en terminalserver, e-postserver, databasemaskin og en applikasjonsserver. Dere kan nå sette alle maskinene bak brannmuren deres i samme nett. Risikoen er da stor for at en av dere kommer til å gå innom en webside og ta med en skadelig kode samtidig. Siden alle maskinene dine er i samme nett vil alle være utsatt for risiko, også dine servere. 3.0
For å unngå en slik situasjon bør man internt skille mellom servere og klienter. Vi lager da et tredje segment. Vi har Internett, vi har klientnett og vi har servernett. 3.1
Du har oppnådd flere ting ved denne segmenteringen. Ved hjelp av loggene på din brannmur kan du få oversikt over hvem som benytter seg av tjenester på de ulike serverne. Dette gir deg en økt grad av sikkerhet. Det er også mulig å hindre tilgang til enkelte servere fra klientnettet dersom du skulle ønske det. 3.2
Allikevel, det er ikke skikkelig løst enda. Du har fortsatt åpent fra klientnettet og til noen av serverne. Dvs. at man fra klientnettet har tilgang til alle serverne ved hjelp av indirekte aksess. Serverne har jo tilgang til hverandre siden de står på samme segment. 4.0
Du ønsker nå å ha kontroll over hvem som gjør hva og med hvilket utstyr. Derfor lager du ett segment til e-postløsningen, ett segment til terminalserveren, ett segment til databasemaskinen og ett segment til applikasjonsserveren. 4.1
Du lager aksess til terminalserveren fra klientsegmentet. Videre sperrer du all aksess til serversegmenter fra klientnettet. 4.2
Så lager du eksplisitte tilganger for hver enkelt applikasjon. E-postklienten må ha tilgang til e-postprotokollen til e-postserversegmentet. Alle andre porter stenges. 4.3
Videre lager du tilgang fra terminalserversegmentet til applikasjonsserversegmentet for å kjøre applikasjoner. Det åpnes kun for nødvendige porter. Alle andre porter sperres. 4.4
Det lages tilgang fra applikasjonsserversegmentet til databaseserversegmentet for å kunne gjøre oppslag i databasen. Alle andre porter sperres på databaseserversegmentet. 5.0
Det neste er å sikre retningen på informasjon. Når en løsning trenger informasjon fra et annet system skal løsningen hente den informasjonen selv. Vi aksepterer ikke at informasjon legges inn i løsninger. Informasjonen skal klargjøres for henting av det systemet som tilbyr informasjonen. Informasjon skal deretter hentes på initiativ av systemet som skal benytte seg av dataene. Det finnes mekanismer som sikrer at det er rett informasjon som ligger klar, og at informasjonen ikke er endret, osv. 6.0
Det er nå en sikker løsning. Klienter kan ikke komme inn på databaseserveren uten at tilgangen er logget og har fulgt godkjent form for aksess. OSV. Hvis vi utvider dette kan vi lage høysikkerhetsløsninger med soneinndelinger, flere brannmurer som kan samarbeide om sikkerhet på ulike nivåer, osv. Videre må man ta i bruk løsninger for autentisering og sporbarhet osv. |
