Co definiuje poziom bezpieczeństwa IT ?

Co definiuje poziom bezpieczeństwa informatycznego? W dobie powszechnej telepracy, gromadzenia coraz większej ilości danych w systemach IT i rosnącej z dnia na dzień liczby nowych zagrożeń, ataków i potwierdzonych wycieków, temat bezpieczeństwa staje się jednym z podstawowych aspektów zachowania ciągłości biznesu.

W świadomości wielu użytkowników, osób zarządzających, ale i administratorów zwłaszcza z sektora MŚP tli się myśl, że bezpieczeństwo musi być drogie, skomplikowane i trudne w realizacji. Czy jest to jednak prawda?

Co omawiamy w artykule?

• Wyzwania w bezpieczeństwie informatycznym
• Koszt i złożoność bezpieczeństwa – duże firmy vs. MŚP
• Implementacja systemów bezpieczeństwa, praktyczne wyzwania dla MŚP
• Idealny system bezpieczeństwa – wizja zintegrowanych rozwiązań
• Adaptacja rozwiązań do potrzeb firmy

Oczywiście duże firmy, inwestują w dziedzinę bezpieczeństwa wielkie budżety, kupują układy skomplikowanych rozwiązań jak np. NG-Firewall, WAF, Anty-Spam, NG-Endpoint czy SIEM. Na końcu otrzymując dzięki temu środowisko relatywnie bezpieczne, ale o ogromnym poziomie złożoności, wymagające grupy wykwalifikowanych specjalistów, ciągle podnoszących swoją wiedzę, wysoko wyspecjalizowanych. Sam układ rozwiązań generuje zaś corocznie koszty utrzymania często większe niż przychody wielu polskich małych firm.

Czy przeniesienie takiego rozwiązania nawet w mniejszej skali kosztowej do firmy zatrudniającej jednego – dwóch, informatyków (zajmujących się poza utrzymaniem systemów IT – co stanowi dla nich życiową pasję, obsługą problemów z myszkami, klawiaturami, drukowaniem, instalowaniem programów czy nieprawidłowym wyglądem okna programu Word J ) będzie równie skuteczne? Czy spowoduje, że firmowe dane będą bezpieczne?

Odpowiedź nie jest prosta i oczywista, ale nasuwa się myśl, …. że niekoniecznie. Nasza średniej wielkości firma kupuje nowiutkiego NG-Firewall-a np. PaloAlto, do tego dokłada rozwiązania WAF w chmurze np. Cloudflare, następnie chroni stacje robocze systemem antywirusowym zarządzanym z centralnej konsoli np. Eset/BitDefender etc. Chroni urządzenia mobilne za pomocą Azure Intune. Zarządza backupem wykonywanym przez Veeam/Acronis/Symatec i ochroną antyspamową wdrożoną niedawno na rozwiązaniu FortiMail.

Każdy z tych systemów wymaga wielu miesięcy szkolenia, a naszych informatyków jest dwóch i co dzień mierzą się z problemami wagą wielokrotnie przekraczającymi jakieś tam transcendentne bezpieczeństwo danych – np. zepsuta klawiatura na komputerze głównej księgowej, czy nie działająca drukarka w kadrach dzień przed naliczaniem płac 🙂

Wszystko to przypomina wojsko, które kupuje czołgi, samoloty, statki i rakiety, a gdy już sprzęt będzie na miejscu zaczyna proces poszukiwania żołnierzy – gdy już ich znajdzie i wyszkoli, sprzęt jest przestarzały i nadaje się do remontu – a wtedy zaczyna się WOJNA!!

Zakup najlepszego i najnowocześniejszego sprzętu i oprogramowania do zabezpieczania danych jest oczywiście dobrym rozwiązaniem i jeśli możemy sobie na to pozwolić powinniśmy to robić. Bez wątpienia topowe rozwiązania w swoich dziedzinach jak Fortigate, F5, QRadar, PaloAlto, Symantec etc. wnoszą nieporównywalne możliwości ochrony w stosunku do rozwiązań mniejszych, tańszych prostszych, ale nie jest to liniowo skorelowane z poziomem zabezpieczenia naszych danych.

Za poważnymi, rozwiązaniami bezpieczeństwa, muszą bowiem podążać budżet, wiedza, czas, zespół ludzi i procedury oraz wola i ochota zarządzających, objawiająca się pre- nie post- factum, zdarzenia wycieku czy utraty np. bazy danych kadrowych.

A gdybym tak budząc się któregoś ranka i wraz z powiewem świeżego letniego powietrza mówiąc… ”Miałem sen”. W tym śnie widziałbym system bezpieczeństwa, w którym wszystkie funkcjonalności:

• Firewall,
• NG-Firewall,
• WAF,
• AntySpam,
• VPN,
• NG-Endpoint (antywirus i antyransomware dla stacji I serwerów)
• Logi i alerty bezpieczeństwa
  i wszystkie pozostałe funkcje zabezpieczenia naszej sieci są dostępne z jednej prostej, przejrzystej konsoli zarządzania, której nie muszę sam utrzymywać, która jest zawsze aktualna i dostępna.

Gdzie włączenie poszczególnych funkcji bezpieczeństwa wymaga kliknięcia przycisku „włącz”, a proces zabezpieczania stacji czy serwera jest w pełni automatyczny.

Gdzie za domyślną predefiniowaną konfigurację, zabezpieczeń odpowiada sztab specjalistów od bezpieczeństwa, a informacje o zagrożeniach są na bieżąco aktualizowane i wsparte nowoczesnym technologiami typu AI.

Gdzie w konsoli widzę i zarządzam wszystkimi swoimi firewallami, a ich aktualizacja sprowadza się do prostego kliknięcia.

Gdzie informacje o problemach w bezpieczeństwie pojawiają się na przejrzystej konsoli lub o których dostaje informację mailem, a sprawdzenie przyczyny problemu sprowadza się do wyświetlenia graficznej analizy skąd przyszło zagrożenie i jak rozeszło się po naszej sieci.

Na koniec system we śnie nie wymagałby od nas żadnych inwestycji, płacilibyśmy proste miesięczne faktury tylko za to, co w rzeczywistości używamy bez wydatków inwestycyjnych i w rozsądnej wysokości.

Nasi dwaj informatycy, dalej zajmują się swoimi niekończącymi się obowiązkami, a system chroni i monitoruje ich zasoby.

W dodatku wdrożenie było proste i szybkie a konfiguracja zrozumiała, system jest zawsze aktualny i dostępny, a gdy informatyk siada przy biurku po wymianie kolejnej klawiatury otwiera konsole i widzi całość zabezpieczeń – wszystko w jednym miejscu, spokojnie przegląda alerty, sprawdza i wyciąga wnioski i podejmuje działania. Nie musi monitorować wielu systemów, każdego innego, zarządzanego z innej konsoli i wyświetlającego niezrozumiałe komunikaty. Nie musi poświęcać czasu na ich żmudną aktualizację, bo wszystko zawsze jest aktualne po prostu uruchamia konsolę i zajmuję się bezpieczeństwem danych.

W takim systemie nie jest istotny poziom poszczególnych komponentów, niektóre elementy mogą być lepsze od konkurencji niektóre gorsze lub podobne. Część funkcjonalności może być bardziej rozbudowana część okrojona.

Ostatecznie poziom skomplikowania poszczególnych elementów nie ma większego znaczenia, istotny jest bowiem wynikowy poziom zabezpieczeń. Stosując założenia teorii równowagi Nasha, nieistotne są oczekiwania poszczególnych elementów gry, ale jej końcowy wynik. To jak w naszej analogi dot. wojska – wydaje się, że lepiej mieć samoloty prostsze, ale takie, którymi ktoś umie latać, czy też mniej czołgów działających niż dużo zepsutych.

Wracając jednak z pogranicza mary i rzeczywistości: czy takie proste i efektywne systemy istnieją?

Producenci dostrzegają problem złożoności IT i wzrostu ich ilości z każdym miesiącem i starają się wprowadzać zmiany, ulepszenia uproszczenia, unifikując produkty i czyniąc je bardziej holistycznymi. Niektórym wychodzi to lepiej innym gorzej. Jedni jeszcze meandrują szukając ujścia w swojej strategii inni znajdują się na już wyznaczonym prostym kanale, z każdym miesiącem udoskonalając i tak już dobry produkt. Reasumując, odpowiednio dobrany ekosystem zabezpieczeń jest możliwy do realizacji w formie integrowanej. Stawiając sobie za cel wynikowy poziom zabezpieczeń a nie poszczególne jego komponenty jesteśmy w stanie dobrać na rynku rozwiązanie skrojone pod nasze potrzeby jak i możliwości.