Biztonságos vállalati informatika

A vállalatok az egymás közti problémamentes együttműködés kialakítása érdekében jelentős biztonsági kapacitást építettek hálózataikba. Különösen fontos a biztonság, ha a vállalati hálózatokhoz és alkalmazásokhoz beszállítóknak, vevőknek és egyéb külső felhasználóknak is hozzá kell férniük.

A nagyvállalatok a biztonsági technológiák egész sorát alkalmazzák: vírusirtókat, behatolásérzékelőket, tűzfalakat, biztonságos operációs és ellenőrző rendszereket. Az IDC egyik felmérése szerint a több mint ezer alkalmazottat foglalkoztató szervezetek 40 százaléka 50-et meghaladó tűzfalat kezel. Mivel a vállalatok egyre inkább elosztott rendszerben működnek, ez a szám valószínűleg tovább nő.

A legnagyobb cégek tapasztalatai szerint a biztonságkezeléssel összefüggő munkaerőigény is folyamatosan emelkedik. A szaporodó feladatok közé számos terület sorolható. Szükség van például a különböző operációs rendszerek folyamatos frissítésére az ismert támadásokkal szembeni védekezés miatt. Nagyszámú távoli kapcsolatot kell kezelni, gyakran virtuális magánhálózat (VPN) formájában. Össze kell hangolni a körkörös védelmi rétegek és a különböző helyszíneken található tűzfalak védelmi és hozzáférési beállításait. Kezelni kell az alkalmazásokra, erőforrásokra és hálózatokra vonatkozó hozzáférési jogok exponenciális mennyiségi növekedését.

Értékelni és kezelni kell a különböző behatolásérzékelő szoftverektől (IDS), tűzfalaktól és más biztonsági ellenőrző eszközöktől érkező riasztásokat és eseményeket. A biztonsági rendszerekbe integrálni kell az egyre elterjedtebb mobil- és vezeték nélküli eszközöket.

Az informatikai és biztonságtechnikai vezetők szerint a vállalati rendszerekben egy sor külső tényező miatt van jelen egyre többféle biztonsági technológia. Néhányuknál a más céggel történt egyesülés vagy egy kisebb vállalat felvásárlása miatt nőtt a technológiai heterogenitás. Ha az egyesülés országhatárokon is átível, például Németország és az USA között történik, a különbözőség nemcsak a terméktípusokban mutatkozik, hanem magában a biztonsági szabályzatban is. Az egyik vállalat esetleg a magánjellegű adatok és kommunikáció védelmét tartja fontosabbnak, míg a másiknak a mobilhozzáférés az elsődleges.

A vállalati egyesüléseken kívül belső tényezők is növelhetik a biztonsági heterogenitást. Az elmúlt tíz évben a vállalatok egyes önálló regionális vagy üzletági részei vezették be az új e-business alkalmazásokat. Egyes esetekben az alkalmazásokat csak azért vezették be sietve, hogy lépést tudjanak tartani a versenytársakkal vagy partnerekkel. Ezek az üzletpolitikai lépések gyakran jártak a biztonsági érzékenység bizonyos növekedésével. Az online rendszerekben például szükség lehet arra, hogy egy vevő hozzáférjen a rendelési adatokhoz, miközben személyes adatait védeni kell másoktól. Az ilyen biztonsági kihívásokra gyakran rögtönzött vagy az éppen rendelkezésre álló technológiával hozzáférhető megoldások születtek, amelyek nem minden esetben illeszkednek a vállalati szabványokhoz.

A vállalatok célja az, hogy a megfelelő védelemmel rendelkező környezetet nyissák meg online módon a megbízható vevők és partnerek felé, ehhez pedig a belső erőforrások még erősebb védelmére és felügyeletére van szükség. Az operációs rendszerek és szerverek legújabb verziókkal és javításokkal történő folyamatos frissítése már önmagában is nagy munka. A probléma azért igazán bonyolult, mert minden nagyvállalat több operációs rendszert használ. A megkérdezett biztonsági vezetők legtöbbje szerint ez a védelmi rendszer alapvető problémája.

A legtöbb vállalatnál az operációs rendszer alapvető biztonsági problémáin kívül más gondokat is okoz a heterogenitás. A címtárak, a vállalati vírusirtó infrastruktúra, a VPN-kapcsolatok, a tűzfalak, a behatolásérzékelő eszközök (a szerverek és a hálózat esetében) és az adatbázis-kezelő rendszerek mind tovább növelik a sérülékenységet és a kockázatot. Emellett minden rész igényel valamennyi közvetlen adminisztrációt és munkát, ha a biztonsági alkalmazottak kezelni akarják a riasztásokat, be szeretnék állítani a tűzfalakat, vagy integrálni akarják a címtárakat. Mint minden környezetben, a bonyolultabb felépítés több munkát és karbantartást jelent.

A megfelelő biztonság alapja az ehhez kapcsolódó megfelelő szabályozás. A szabályzat összehangolt alkalmazása ugyanakkor a nagy szervezetek heterogén rendszereiben gyakran igen nehéz. A szabályzat a vállalat felhasználóival, erőforrásaival és alkalmazásaival kapcsolatos szabályokat tartalmazza. A szabályzatnak a vállalati vagyon széles körére ki kell terjednie, így a hozzáférés-szabályozási listákra, a tűzfalakkal kapcsolatos teendőkre, a kimenő és bejövő adatok szűrésére. A legtöbb vezető egyetért abban, hogy a jól felépített és dinamikus biztonsági szabályzat kulcsfontosságú, de egyre nehezebb feladatnak találják a szabályzat konzisztens alkalmazását a különböző típusú tűzfalakra és tűzfaleszközökre, a szerveroperációs rendszerekre és a VPN-kapcsolatokra. Kiemelték, hogy ha a vállalat a partnereinek, a mobil alkalmazottaknak, beszállítóknak és másoknak extranethozzáférést nyújt a WAN-on keresztül, egyre nő a szabályzat alóli kivételes esetek száma, miközben a szabályzat következetes alkalmazása alapvető fontosságú lenne a növekedés megtartásához.

A biztonságtechnikai vezetőknek a biztonsági elvárásokat a hálózati és üzleti teljesítménnyel is össze kell hangolniuk. A tűzfalas védelem és architektúra is hasonló kihívásokat okozhat. A biztonsági és hálózati rendszergazdák számára folyamatos kihívást jelent a megfelelő védelem és a hálózati teljesítményigény, valamint a szerverek és eszközök használatának összehangolása. A betörésekkel szembeni védelem érdekében a biztonsági rendszernek érzékelnie és kezelnie kell a veszélyeket és leállásokat. Sok vállalat informatikai költségvetése nem teszi lehetővé, hogy külön alkalmazottak foglalkozzanak ezzel az időigényes feladattal. Nagy méretekben ez az adminisztrációs túlterheltség azért következik be, mert minden biztonsági ellenőrző funkció külön módszert használ a kivételekről szóló jelentések létrehozására és naplózására.

A szűk látókörű, összehangolatlan biztonsági rendszerkezelés a veszélyekre adott válaszokra is hatással van. Az olyan új veszélytípusok, mint a CodeRed, több biztonsági rendszeren (például vírusirtó, sérülékenység- és behatolásérzékelő rendszeren) keresztül támadnak. Az új hozzáférési módszerek (például a vezeték nélküli LAN-kapcsolatok) terjedésével új sebezhető pontok is kialakulnak.

A leggyakoribb probléma az alkalmazásokhoz és erőforrásokhoz való felhasználói hozzáférés kezelése. Még a nagy szervezetek is igen gyakran elsősorban felhasználói azonosítókat és jelszavakat használnak. Majdnem mindegyik vezető említette a jelenleg használt felhasználókezelés hiányosságait. Ezekben a szervezetekben a felhasználókezelés a felhasználói listák, jelszólisták, alkalmazás-hozzáférési listák és címtárak, valamint a jelszó megváltoztatásának kezelését jelenti. Egy ma több mint 20 ezer felhasználói azonosítót kezelő gyártó vállalat számításai szerint két év múlva felhasználói száma meghaladja a 30 ezret. A növekedés és a jelenlegi rendszer hiányosságai miatt ezen a területen jelentős fejlesztésekre van szükség.

A vállalat irányításához megfelelő adatokkal kell rendelkezni a rendszer és az adatok állapotáról. Vezetői szinten igényként merült fel az egész biztonsági infrastruktúra értékelésére alkalmas szabványos mérőszámok használatának lehetősége. A hatékony kezeléshez nyomon kell követni a veszélyek számát és gyakoriságát és azoknak a biztonsági támadásoknak a számát, amelyeket az ügyfélszolgálati vagy az it-rendszergazdák hárítottak el.

A célok mérlegelése során a szervezeteknek rá kellett jönniük, hogy a hatékony módszerek alkalmazása nem is olyan egyszerű. A legtöbb szervezet szerint egy olyan gyártóra lenne szükség, amely képes lenne egy teljes körű, integrált megoldás létrehozására.

Sok vevő szerint csak néhány gyártó alkalmas erre az átfogó integrátori szerepkörre. Még az egyes biztonsági technológiák területén jelentős eredményeket elért gyártók is szükségesnek tartják a vevőiknél már telepített biztonsági termékek gyártóival való integrációt. A piacvezető cégek komoly lépéseket tesznek annak érdekében, hogy jelenlegi biztonsági és kezelői megoldásaikat kiegészítő termékek integrálásával fejlesszék tovább. Ehhez együttműködési bizonyítványokat állítanak ki, egyre több terméket integrálnak a kezelőtermékük hatáskörébe, és egyre több egyéb eszközt vonnak be a széles körű biztonsági megoldásukba. A piacon lévő gyártók gyakran hangoztatják az együttműködés és a szabványosítás fontosságát, de elsősorban a piaci túlélés, a profit, a piaci részesedés és a verseny érdekli őket. Ma a vevőknek a leghatékonyabb módszerektől elvárt biztonsági szint eléréséhez sok gyártó technológiáját kell integrálniuk. A vevők egyre inkább a hatékonyabb, integrált, centralizált megoldásokat keresik, és ezzel a vezető gyártókat olyan rendszer kidolgozására késztetik, amely megfelel az adatok egységes megjelenítése és az integrált eszközkezelés terén kialakult elvárásoknak.

A hatékony módszerek alkalmazásához a biztonsági és kezelőeszközök széles körének integrálására van szükség. Ez lehetővé teszi a nagyvállalatok valódi biztonsági elvárásainak kielégítését. A vezető gyártók ugyanakkor hagyományosan arra törekednek, hogy saját vásárlókörüknek minél jobb független eszközöket nyújtsanak. A kompetitív termékekkel történő integrációt továbbra is előtérbe kell helyezni. A termékvonal szélesebb körű bővítésére van szükség, mint ami kisebb cégek felvásárlásával elérhető. Sok partnerrel végzett szoros együttműködésre van szükség. A siker érdekében a gyártóknak bővíteniük kell az együttműködések körét. Ez azt jelenti, hogy a biztonságkezelési gyártóknak integrálniuk kell a legelterjedtebb biztonsági eszközöket, például a tűzfalakat, a behatolásvédelmet és a vírusirtó eszközöket. A biztonságkezelési gyártóknak arra kell törekedniük, hogy az úgynevezett "partnerek" tényleg integrálják termékeiket a tesztelt és támogatott biztonságkezelési architektúrába.