Hogyan védheti meg üzleti rendszereit a felhasználói élmény veszélyeztetése nélkül
A vállalati szoftverrendszerek főleg alkalmazásokból, adatokból, felhasználókból (emberek) és infrastruktúrából állnak. E fő szempontok közül az infrastruktúra biztonsága egy olyan terület, amely fizikai összetevőket, például embereket, épületeket és eszközöket foglal magában. Az alkalmazások, adatok és felhasználók biztonságáról a vállalati szoftvercsapatoknak gondoskodniuk kell az infrastrukturális csapatok által biztosított biztonság mellett. Ebben a cikkben megvitatjuk azokat a bevált módszereket, amelyeket követhetünk az alkalmazások, adatok és felhasználók biztonsága érdekében. A 3 közül a felhasználókat olyan fogyasztóknak tekinthetjük, akik a legjobb gyakorlatokkal megvalósított biztonságos hozzáférésen keresztül interakcióba lépnek az alkalmazásokkal és adatokkal. Ezzel két fő összetevőre összpontosítunk, amelyek a következők
Az adatok a modern világ bármely vállalkozásának értéke. Az adatok biztonsága kritikus fontosságú bármely vállalkozás sikeréhez. A vállalati szoftverrendszerek adatbiztonságának 3 fő szempontját különböztethetjük meg.
- Biztonságos adatok nyugalmi állapotban
- Adatok védelme az átvitel során
- Adatvédelem
Biztonságos adatok nyugalmi állapotban
Az üzleti szempontból kritikus adatokat általában adatbázisban vagy fájlrendszerben tárolják. Annak megakadályozása érdekében, hogy bárki más hozzáférhessen ezekhez az adatokhoz, olyan technikákat alkalmazhatunk, mint például a titkosítás az adatok nyugalmi állapotának biztosítására. A titkosítás során a tartalmat olyan formává alakítjuk, amely a tartalom visszafejtéséhez szükséges titkos kulcs nélkül olvashatatlan. Egy másik technika a nyugalmi adatok védelmére a tokenizálás, ahol a tényleges adatokat kontextus nélkül használhatatlan tokenként ábrázolják. Megjeleníthet például egy bankkártyaszámot tokennel, hogy mások ne ismerjék fel a bankkártya számát, kivéve a rendszert, amely képes detokenizálni az adatokat. Ezenkívül az adatbázisrendszer vagy a fájlszerver fejlett biztonsági intézkedésekkel, például erős hitelesítéssel védhető.
Adatok védelme az átvitel során
A tárolórendszerekben tárolt adatokat a felhasználónak az alkalmazásokon vagy rendszereken keresztül kell visszakeresnie. Általában az adatok a hálózaton keresztül kerülnek elküldésre, és el kell kerülnünk a hálózati alapú támadásokat, például a köztes támadásokat. Az átvitel során az adatok biztonságának megoldása a szállítási réteg biztonsági protokolljainak, például az SSL-nek és a TLS-nek a használata az adattárból a fogyasztóval történő adatkommunikációhoz. Egy jól védett kulcs- és tanúsítványkezelő rendszer megvalósításával a szállítási réteg biztonságát valósíthatjuk meg, és titkosíthatjuk a továbbítás alatt álló adatokat.
Adatvédelem
Az adatbiztonság másik fontos szempontja az adatvédelem. Ez azt jelenti, hogy a felhasználóktól (például ügyfelektől, partnerektől) gyűjtött adatokat az adott régióra vonatkozó adatvédelmi törvényeknek megfelelően kell felhasználni, amelyhez ezek a felhasználók tartoznak. Például az európai országokra vonatkozik a GDPR (General Data Protection Regulation) nevű adatvédelmi törvény, amelyet minden szervezetnek be kell tartania az adott régióból származó felhasználókkal kapcsolatos adatok kezelése során.
A vállalati szoftverrendszerek 10, 100 vagy akár 1000 különböző alkalmazásból állnak, amelyeket teljesen különböző gyártók fejlesztettek ki, beleértve a házon belüli fejlesztőcsapatokat is. Az ezekhez az alkalmazásokhoz hozzáférő felhasználóknak a lehető legjobb felhasználói élményt kell elérniük a biztonság veszélyeztetése nélkül. Az alkalmazások ilyen szintű biztonságának eléréséhez az alábbi megközelítéseket alkalmazhatjuk.
- Építsen erős identitásalapot
- Tartsa be a legjobb biztonsági gyakorlatokat, és automatizálja azokat
- Az alkalmazások biztonsága érdekében kövesse a nulla megbízhatóságú architektúrát
- Készüljön fel a biztonsági eseményekre
Építsen erős identitásalapot
Egy tipikus vállalatnak lehetnek olyan alkalmazásai, amelyek különböző típusú felhasználókkal való interakciót foglalnak magukban, ideértve a
- Ügyfelek
- Munkatársak
- Partnerek
Megfelelő biztonsági intézkedéseket kell bevezetnünk a felhasználói kategóriától függően. Különféle biztonsági megközelítéseket alkalmazhatunk ezeknek a felhasználói profiloknak a alapján. Néhány közös szempont
- Vállalattól ügyfélig (B2C)
- Vállalkozástól alkalmazottig (B2E)
- Business to Business (B2B)
Ezektől a használati esetektől függően fontos a megfelelő biztonsági intézkedések alkalmazása az alkalmazásokon.
Egy másik fontos szempont itt a vállalaton belüli hitelesítési, engedélyezési és felhasználókezelési követelmények megértése, valamint a szabványos módszerek követése ezen szempontok megvalósításához, hogy a jövőben ne kelljen aggódnia a szállítói bezárkózás vagy a technikai tartozás miatt.
Tartsa be a legjobb biztonsági gyakorlatokat, és automatizálja azokat
Az üzleti biztonságot kiemelt fontosságú funkciónak kell tekinteni, és jó, ha van egy dedikált biztonsági csapat, amely figyelmen kívül hagyja a bevált biztonsági gyakorlatokat és megvalósításokat. Ha Ön egy olyan szervezet, amelynek jelentős szoftverfejlesztési folyamata van, amely hatással van az Ön vállalkozására, akkor az alábbi folyamatokat megvalósíthatja vállalatán belül.
- Biztonságos szoftverfejlesztési folyamat
- Sebezhetőség és kockázatkezelési folyamat
- Biztonsági jutalom és elismerés folyamata
Az alábbi ábra egy biztonságos szoftverfejlesztési folyamatot mutat be, amelyet szervezetén belül követhet.
Az előző kép azt mutatja be, hogy a szoftverfejlesztési folyamat különböző szakaszai hogyan biztosíthatók ellenőrzőpontokkal annak érdekében, hogy a kiadott kód minimálisra csökkentse a biztonsági kockázatot, és a kiadás előtt a lehető legtöbb sebezhetőséget rögzítse.
Kövesse a nulla bizalom architektúrát
A biztonsági csapatok a „zéró megbízhatóságú architektúra” használatát javasolják, ahol egyetlen rendszer sem tekinthető megbízhatónak, amikor vállalati alkalmazásokhoz kommunikál egy másik rendszerrel. Kiküszöböli a megbízható alrendszer modellben meglévő implicit bizalmat, és folyamatosan érvényesíti a rendszeren belüli minden interakciót. A „soha ne bízz, mindig ellenőrizd” mantrát használja a vállalati rendszerek közötti kommunikációban. A nulla megbízhatóságú architektúrának 3 fő alapelve van, amelyeket figyelembe kell venni a megvalósítás során. Ők
- Alapértelmezés szerint minden entitás nem megbízható
- A legkevesebb jogosultsághoz való hozzáférés kényszerítve van
- Kiterjedt biztonsági felügyelet valósul meg
Ezen szabványok betartása biztonságosabbá és kevésbé sebezhetővé teszi az üzleti szoftverrendszert.
Készüljön fel a biztonsági eseményekre
Még a legjobb biztonsági modellek és legjobb gyakorlatok mellett is előfordulhatnak olyan helyzetek, amikor a rendszerek sebezhetővé válnak, és kockázatot jelentenek a rendszerre nézve. Ilyen helyzetben rendelkeznie kell egy olyan mechanizmussal, amely képes reagálni ezekre az eseményekre, és ellenőrizni tudja az egyébként előforduló károkat. Fontos, hogy megfelelő tervezéssel és rendelkezésre álló erőforrásokkal felkészüljünk az ilyen eseményekre. Ehhez a következő szempontok jelenléte szükséges.
- Határozza meg a felelős személyeket és szerepüket
- Incidenskezelési folyamat kidolgozása
- A monitoringhoz és a jelentéstételhez szükséges eszközök alkalmazása
- Biztosítson időben hozzáférést a felelős személyekhez
- Készítse elő a kriminalisztikai képességeket és folyamatokat
A következő lépés ezeknek a legjobb gyakorlatoknak a megvalósítása az iparág által elfogadott mintákkal. Ha többet szeretne megtudni ezekről a mintákról, olvassa el a „Megoldásarchitektúra-minták vállalkozás számára” című könyvet.
Ha érdeklik a biztonsági bevált gyakorlatok megvalósításának részletei, olvassa el a könyv „Vállalati szoftverrendszerek biztonsága” című fejezetét.