Den teknologiske utviklingen skjer stadig raskere. Det betyr også mer sikkerhet, både for enkeltpersoner, og for virksomheter og andre aktører. Hvordan vil det påvirke din virksomhet? Her kan tre trender innen sikkerhet være avgjørende for veien videre.
– Sikkerhet blir stadig viktigere i en verden som blir mer og mer kompleks. Samtidig øker forventningene til at informasjon og tjenester skal være enkle, smidige og alltid tilgjengelige. Og det er ofte to motstridende forventninger i et sikkerhetsperspektiv, forklarer sikkerhetsekspert Rolf Rander Næss i CGI.
Zero Trust: Trust no one!
Ser vi nærmere på trender innen sikkerhet er det i følge Næss tre områder som utpeker seg som spesielt interessante:
– En trend som blir stadig mer relevant er Zero Trust, dette er et prinsipp vi legger til grunn i alle nye løsninger vi lager. Tradisjonell måte å tenke sikkerhet har lenge vært at man omringer hele virksomheten med alle systemer og alle ansatte bak en mur. Dette innebærer i praksis at man stoler på alt som er innenfor denne muren. Prinsippet bak Zero Trust innebærer at man bryter dette opp i mindre deler, og ser på hvert system eller delsystem og hver bruker isolert. Så har man som utgangspunkt at ingen stoler på noen i dette bildet, altså «zero trust», og man må være bevisst på hvem man velger å stole på under hvilke forutsetninger. På dette nivået analyserer vi hvordan feil, svakheter eller sikkerhetsbrudd vil påvirke de andre bitene. Vi prøver deretter å strukturere systemene slik at tilliten mellom de mindre komponentene er minst mulig. Da vil helheten på løsningen ha en langt høyere grad av sikkerhet, sier Næss.
– Zero Trust krever først og fremst en forståelse av trusler og risiko knyttet til hvert enkelt informasjonselement, tjeneste og prosess, og deretter kan man bygge systemer som tar hensyn til dette. I motsetning til hvordan man tradisjonelt bygger store systemer og overlater sikkerheten til noen andre etterpå, sier Næss.
Sikkerhet en del av digitalisering
Digitalisering er også interessant i et sikkerhetsperspektiv. Digitalisering innebærer at informasjon skal flyte lett, og som forbruker skal du slippe å registrere samme informasjon flere ganger, for eksempel i statlige tjenester som NAV og Skatteetaten. Men hvor stor del av en digitaliseringsprosess er sikkerhet? Spør du Rolf Rander Næss vil han si alt for liten
– Smidig informasjonsflyt forutsetter at kan stole på informasjonen fra de ulike aktørene? For å oppnå dette må du ha en god sikkerhetsmodell og et veldig bevisst forhold til tillit. Da er det mye lettere å få til smidig informasjonsutveksling, sier Næss.
En virksomhet vil alltid se på sikkerhet i et kost-nytte-perspektiv. Alt dreier seg om penger, både kostnadene ved å implementere sikkerhet, verdien av informasjon, og kostnaden dersom informasjon skulle komme på avveie.
– Jeg vet ikke hvor stor del av digitaliseringen som bør være sikkerhet, men du får lagt ting mye bedre til rette hvis du tenker sikkerhet tidlig. Med digitalisering knyttes ting tettere sammen, og alt blir raskere og mer effektivt. Men det er også en risiko fordi en feil et sted får konsekvenser andre, ofte uante steder. Dette bildet blir mer og mer komplekst, og jeg tror ikke det er mulig for noen å kunne ha full oversikt. Derfor må vi lage verktøy og systemer som lar oss styre sikkerhetsnivået innenfor rammene av hva vi er komfortable med, sier Næss.
Ekte trusler og kunstig intelligens
Vi deler ofte sikkerhetsarbeidet i tre: vi må identifisere risiko og trusler og hindre at ting går galt. Vi må kunne oppdage når noe går galt. Og vi må reagere og håndtere at ting går galt.
Det er her den tredje trenden Næss er opptatt av kommer inn: Kunstig intelligens kan brukes for å oppdage når noe går galt, og er en teknologi som mange ønsker å ta i bruk.
– Vi har jobbet med teknologi i mange år for å klare å hindre at ting går galt. Men å oppdage det fort nok blir stadig vanskeligere. Her kan vi bruke mønstergjenkjenning og kunstig intelligens for å tidlig oppdage avvik. Fra noe skjer til du faktisk oppdager det er du i en blindsone, uten kontroll. Dette tidsintervallet kan i verste fall vare i uker eller måneder.
Tradisjonelt samler vi mye informasjon på lavt nivå i infrastrukturen, knyttet til nettverk, lagring, autentisering, databaseendringer og så videre. Men for å kunne oppdage mønster eller avvik i denne informasjonen må man se den i kontekst av applikasjoner og prosesser hvor informasjon inngår.
– Du må ha sikkerhetssystemer som leter etter mystisk aktivitet, og som tar hensyn til kunnskap om hvordan virksomhetens systemer og applikasjoner virker. Da må du trene den kunstige intelligensen med maskinlæring og faktiske logger, forklarer Næss.
Og veien videre…
En av utfordringene med sikkerhet er at de fleste oppfatter det kun som noe som er i veien. Når folk skal gjøre en jobb er det den de tenker på. Sikkerhet kommer gjerne i annen rekke. Hvordan kan de tre trendene Næss har snakket om løse noen av disse utfordringene?
– Både Zero Trust og digitalisering er det mange som allerede jobber med, men også en del som bare så vidt har begynt med. Om fem år vil det å integrere prinsipper fra zero trust inn i virksomhetens digitaliseringsstrategi være en forutsetning for at virksomheten i det hele tatt kan eksistere. Men når det gjelder å bruke kunstig intelligens for å oppdage et sikkerhetsbrudd tror jeg vi er helt i startgropen, mener Næss.
Selv om prinsipper som Zero Trust har fått beskyttelsesmekanismene nærmere applikasjonene, kan kunstig intelligens være avgjørende for å klare å analysere de store informasjonsmengdene som loggføres.
– Jeg håper at vi innen fem år har kommet mye nærmere forretningssiden og brukerne. Vi må løfte sikkerhetsmekanismene og se de i kontekst av prosessene. Det blir kundenes risikoforståelse som avgjør hvilke sikkerhetsmekanismer man skal implementere. Og der vil god informasjon og opplæring være av stor betydning, avslutter Næss.
