Säkerhet blir aldrig bättre än den svagaste länken – speciellt inte i molnet!

Fler och fler använder sig av molnet, både för lagring av data och för att köra applikationer. Det kan vara verksamheten som tagit beslut om, och har en strategi för att använda molnet. Men det kan också vara den enskilda användaren, som väljer att köra applikationer för att kunna utföra vissa arbetsuppgifter på ett effektivt sätt. Oavsett anledning får man inte glömma bort säkerhetsaspekterna.

Man måste veta vilken information som har ett skyddsvärde. Man behöver regelverk som talar om hur informationen ska hanteras, av vem och hur kontrollen över både information och dessa personer ska se ut.

Det finns idag helt fantastiska verktyg för att höja säkerheten och kontrollera att inte säkerhetsklassad information lämnat företaget till molnapplikationer där man plötsligt tappar ägarskapet över informationen eller ännu värre, använder appar som helt enkelt stjäl information.

Men, det är inte det jag tänkte ta upp här. Jag tänkte ge mig in bakom det hela, innan vi ens kommer ut i molnet, och visa på var det finns svaga länkar på vägen.

För att kunna avgöra vem som ska få komma åt vad, så får vi helt enkelt börja med begreppet ”vem”. Detta måste komma från en källa för identiteter, dvs. där vi hämtar identiteterna för de personer som ska kunna använda informationen i molnet. Många föredrar att använda sin nätverkskatalog för att hämta ut identiteterna. Där finns ju ändå ”alla” identiteter och det finns enkla verktyg för att få ut dem i molnet. På så sätt kan användarna få behörighet och komma åt informationen vi har flyttat dit.

Men, hur kom användaren in i nätverkskatalogen?

Finns det väl specificerade processer med tydliga godkännandeprocedurer som kvalitetssäkrar den identitetsinformation som läggs in i nätverkskatalogen?

Bra!

Men, har man säkerställt att inte någon administratör av nätverkskatalogen alldeles på egen hand kan peta in ett eget litet användarkonto helt utan att det har gått igenom rätt processer i verksamheten och fått rätt godkännande av rätt instans?

Tekniskt sett brukar en administratör kunna göra precis vad han eller hon vill i de system där de har administratörsrättigheter. Ett i sammanhanget större problem är att i många verksamheter delas administratörskontot av flera individer. Hur vet man då vem som gjort vad via administratörskontot vid ett visst tillfälle?

Steg för att förbättra och skaffa kontroll över situationen

Det går sällan att skydda sig till 100 procent, men det finns ett antal steg som man kan vidta för att förbättra och i alla fall skaffa sig kontroll över situationen:

• Priviliged User Management - Ha inte anonyma administratörskonton, utan använd verktyg där personer tvingas checka ut administratörsbehörigheterna under begränsad tid – det ger spårbarhet på vem som verkligen satt bakom knapparna vid det tillfället.

• Använd en Identity Management produkt som stödjer Governance-definierade processer med tydliga och spårbara godkännande av att konto får skapas – det ger kontroll och spårbarhet

• Reconciliation - Regelbundna körningar för att jämföra antalet konton i personalsystemet med identitetshanteringssystemet och nätverkskatalogen. Då har man möjlighet att upptäcka ”föräldralösa” konton tidigt (konto som har petats in utanför ordinarie process).

Genom att införa ovanstående rutiner säkrar man till stor del upp att det inte skapas konto utanför det normala regelverket där kontot kan användas för otillbörlig åtkomst av information och resurser.

Kontakta mig gärna om du vill höra mer om Identitets- och Behörighetshantering (Identity and Access Management - IAM)