Slik får dere kontroll på blindsonene i tilgang og data

Mange virksomheter har investert i sikkerhetsverktøy, skytjenester og tilgangsløsninger, men opplever likevel at de ikke har full kontroll. De vet ikke alltid hvor sensitive data ligger, hvem som har tilgang til hva, eller om regler og sikkerhetskrav faktisk følges i praksis. Det er i disse blindsonene risikoen ofte oppstår.

Det er lett å tro at kontroll følger med når riktige verktøy er på plass. I praksis er det sjelden så enkelt. IT-miljøer bygges over tid, og resultatet blir ofte en kombinasjon av eldre løsninger, nyere plattformer, lokale systemer og skytjenester som skal fungere side om side.

– En definitiv blindsone er at du ikke vet 100 prosent hvor data ligger, eller hvem som har tilgang til hva, sier André Wister, kunderådgiver i SoftwareOne.

Verktøy er ikke det samme som oversikt

Mange virksomheter har flere verktøy, flere miljøer og flere sikkerhetsmekanismer i drift, men mangler likevel ett samlet kontrollbilde. Ulike team har bygget opp løsninger over tid, og systemer er koblet sammen lagvis.

– Mange har verktøy på plass, men de er ikke nødvendigvis rigget for å fange opp alle avvikene eller alle løsningene som faktisk er satt opp, sier Wister.

Resultatet blir ofte et «lappverk». På papiret kan IT-miljøet se samlet ut, mens det i praksis består av flere parallelle miljøer. Ulike systemer kan ha egne pålogginger, egne regler og egne tilgangsmodeller, uten at det finnes en tydelig rød tråd mellom dem.

Blindsonene finnes både i tilgang og i databruk

De største utfordringene ligger ofte i overgangene: mellom gamle og nye løsninger, mellom lokale miljøer og sky, og mellom én rolle en ansatt hadde i går og en annen rolle i dag.

Når tilgangene ikke justeres i takt med endringer i organisasjonen, øker risikoen for at ansatte beholder adgang til systemer og data de ikke lenger trenger.

– Hvis ansatte bytter rolle, er det ikke gitt at de fortsatt skal ha tilgang til de samme systemene og de samme dataene, sier Wister.

Samtidig handler dette ikke bare om tilgang. Mange virksomheter håndterer store mengder informasjon på tvers av filsystemer, samarbeidsflater, databaser og skytjenester. Hvis de ikke vet hva som ligger hvor, eller hvor sensitivt innhold lagres, blir det vanskelig både å beskytte dataene og finne dem igjen når det trengs.

Det kan med andre ord være god kontroll på innlogging og identitet, men fortsatt begrenset innsikt i hva som faktisk skjer med dataene etter at tilgang er gitt. Det kan også finnes oversikt over hvor dataene ligger, uten at det er like tydelig om riktige personer, systemer og tjenester har tilgang til dem.

Når oversikten svikter, blir konsekvensene større

For mange virksomheter begynner dette som et praktisk oversiktsproblem. Etter hvert blir det et styringsproblem, et kostnadsproblem og i verste fall et omdømmeproblem.

Når det mangler oversikt over hvor data ligger eller hvem som har tilgang, blir det også vanskeligere å etterleve lover, regulatoriske krav og interne retningslinjer.

– Den er viktig å være compliant og ha kontroll på hvor data ligger. Hvis dette svikter, går det ut over både rykte og forretning, sier Wister.

Dette er særlig viktig i regulerte bransjer, men problemstillingen gjelder langt bredere. Ingen virksomheter ønsker å oppdage at sensitive opplysninger ligger feil, deles for bredt eller er tilgjengelige for personer som ikke burde hatt tilgang.

Hybrid og multi-cloud gjør kontrollen vanskeligere

Utfordringen blir enda større i hybride og multi-cloud-miljøer.

– En offentlig skytjeneste er i praksis bare nok et datasenter. Utfordringen er at systemene ofte opptrer som separate miljøer uten en felles sikkerhetssamhandling, sier Wister.

Virksomheten kan dermed ha god kontroll innenfor hvert enkelt miljø, men fortsatt mangle oversikt over hvordan alt henger sammen. Det er nettopp her blindsonene blir farlige.

To sider av samme kontrollkjede

Det er i dette bildet IBM Vault og IBM Guardium utfyller hverandre.

Vault er laget for å gi virksomheter bedre kontroll på legitimasjon, sertifikater, tilgangsnøkler og maskinidentiteter. Guardium er laget for å oppdage, klassifisere og beskytte sensitive data, og for å gi innsikt i hvordan de faktisk brukes.

Forenklet kan man si at Vault hjelper virksomheten med å sikre det som gir tilgang, mens Guardium hjelper den med å sikre det som blir aksessert. Sammen gjør de det lettere å bygge en helhetlig modell for kontroll – fra tilgang til databruk.

Vault kan samle og håndtere tilgangsdata som passord, nøkler og sertifikater på en mer sentral og sikker måte. Guardium kan bruke denne kontrollen til å finne, klassifisere, overvåke og beskytte sensitive data på tvers av databaser, skyer og hybride miljøer.

Kontroll må bygges inn fra start

Kontroll må bygges inn i designet av løsningene, i måten tilgang settes opp på, og i hvordan policyer replikeres på tvers av plattformer. En policy er kort forklart virksomhetens egne regler for hvordan tilgang, data og sikkerhet skal håndteres.

SoftwareOnes rolle er ikke bare å levere teknologi, men å hjelpe virksomheter med å finne ut hvor blindsonene faktisk ligger, hvordan dagens struktur ser ut, og hvor det er smartest å starte.

For noen vil det være naturlig å begynne med kontroll på tilgangsdata, sertifikater og maskinidentiteter. For andre vil det være viktigere å starte med å få oversikt over hvor sensitive data ligger og hvordan de brukes. I mange tilfeller må begge deler sees i sammenheng.

Første steg er å finne blindsonene

Mange virksomheter vet at de har utfordringer, men ikke nødvendigvis hvor de største hullene er. Derfor er det naturlige første steget ofte å kartlegge situasjonen før man bestemmer seg for hvilke tiltak som gir størst effekt.

– For å komme til en god konklusjon sammen med kunden, må vi gjøre noen øvelser først. Vi må finne felles grunn og se hvor blindsonene faktisk er, sier Wister.