Kolmen vuosikymmenen ajan yritysten tietoturva nojasi tilalliseen vertauskuvaan. Oli sisä- ja ulkopuoli, kovennettu raja niiden välillä sekä käyttöoletus, että sisäpuolen liikenteeseen ja identiteetteihin voitiin laajalti luottaa. Malli ei koskaan ollut täysin totta, mutta se oli käyttökelpoinen likiarvo niin kauan kuin sovellukset ajettiin organisaation omistamassa konesalissa, henkilöstö työskenteli toimistoista hallituissa verkoissa ja integraatioita oli riittävän vähän, jotta niitä pystyi hahmottamaan. Jokainen näistä ehdoista on nyt kadonnut. Työkuormat ajetaan useassa cloud-ympäristössä ja jäljelle jääneessä paikallisessa laitekannassa. Henkilöstö, alihankkijat ja yhä useammin koneidentiteetit yhdistävät mistä tahansa, alkuperältään vaihtelevilta laitteilta. Järjestelmät kootaan kymmenistä kolmannen osapuolen palveluista, joihin otetaan yhteys julkisen internetin yli API-rajapintojen kautta. Siisti viiva sisä- ja ulkopuolen välillä ei enää kuvaa mitään todellista.

Seuraus ei ole pelkästään se, että perimetri on heikompi. Kyse on siitä, että perimetri jäsentävänä ideana on lakannut tekemästä hyödyllistä työtä. Kun yhtenäistä sisäpuolta ei ole, verkkosijaintiin perustuvat kontrollit muuttuvat teatteriksi: ne hankaloittavat oikeutettujen käyttäjien toimintaa mutta tarjoavat yhden kelvollisen tunnuksen haltuunsa saaneelle hyökkääjälle vapaan liikkumavaran koko laitekannassa. Tästä syystä vakavimmat murrot tekevät tuhonsa lateraalisessa liikkeessä, ei alkupääsyssä. Tunkeutuja pääsee sisään kalastellun tilin tai paikkaamattoman reunalaitteen kautta ja liikkuu sitten sivusuunnassa sisäpuolella, joka suunniteltiin olettaen, että kaikki siellä olevat kuuluivat sinne.

Tällä on merkitystä juuri nyt, koska sekä sääntely- että uhkaympäristöt ovat kovettuneet samaan aikaan. Euroopassa NIS2:n ja DORA:n kaltaiset kehykset nostavat vastuun häiriönsietokyvystä ja kontrollista ylös hallitukseen ja ulos toimitusketjuun, ja ne odottavat sen olevan osoitettavissa eikä pelkästään väitettävissä. Kiristyshaittaohjelmat ovat teollistuneet, ja alkupääsyn välittäjät ja kumppanuusmallit ovat laskeneet vakavan vahingon aiheuttamiseen tarvittavaa osaamistasoa. Organisaatio ei voi vastata kumpaankaan paineeseen ostamalla uuden laitteen. Sen on muutettava tapaansa suunnitella, niin että luottamus myönnetään harkiten, vaikutussäde rajataan rakenteellisesti ja todiste kontrollista on sivutuote järjestelmän toiminnasta eikä paniikissa ennen auditointia koottu asiakirja.

Tietoturva-arkkitehtuurin perustava siirto on lakata kohtelemasta luottamusta sijainnin ominaisuutena ja alkaa kohdella sitä nimenomaisena päätöksenä, joka tehdään pyyntökohtaisesti todennettavissa olevien signaalien perusteella ja aina peruutettavissa olevana. Tämä on sisältö ilmaisun zero trust takana, joka on kärsinyt siitä, että se on myyty tuotteena vaikka se todellisuudessa on suunnitteluperiaate. Periaate on, ettei mihinkään pyyntöön luoteta sen alkuperäpaikan vuoksi. Jokainen pääsy resurssiin todennetaan, valtuutetaan käytäntöä vasten ja arvioidaan kontekstissa: kuka tai mikä kysyy, pyynnön tekevän laitteen tai työkuorman tila, resurssin arkaluonteisuus ja operaation riski. Luottamus ei ole koskaan pysyvää. Se myönnetään kapeasti, tiettyä tarkoitusta varten, ja se vanhenee.

Tuosta periaatteesta seuraa jokseenkin täsmällisesti useita muita. Identiteetistä tulee ensisijainen hallintataso, koska jos sijainti ei enää välitä luottamusta, niin se kuka kysyy on asia, joka on selvitettävä hyvin. Tämä pätee yhtä lailla työkuormiin, palveluihin ja automaatioon kuin ihmisiin; koneidentiteetit ovat nykyään useimmissa laitekannoissa lukumäärältään ihmisiä suurempia, ja ne ovat usein heikoin lenkki, koska niitä provisioidaan anteliaasti ja kierrätetään harvoin. Vähimmän oikeuden periaate lakkaa olemasta iskulause ja muuttuu suunnittelurajoitteeksi: identiteetille myönnetään vähimmäisvaltuutus, jota sen toiminto vaatii, ja pysyvä pääsy arkaluonteisiin operaatioihin korvataan mahdollisuuksien mukaan juuri oikeaan aikaan tapahtuvalla, aikaan sidotulla ja lokitetulla korotuksella.

Toinen perusperiaate on suhteellisuus. Kaikki ei ansaitse samaa kontrollia, ja teeskentely että ansaitsisi tuottaa sekä tuhlausta että, paradoksaalisesti, heikompaa tietoturvaa, koska panostus levitetään ohuelti sen sijaan, että se keskitettäisiin sinne missä riski on todellinen. Vakaa arkkitehtuuri alkaa rehellisestä kartasta siitä, mitä organisaatio todella suojaa, kruununjalokividatasta, järjestelmistä joiden menetys pysäyttäisi liiketoiminnan, integraatioista jotka ulottuvat kumppaneihin, ja kalibroi kontrollin kompromisoinnin seurauksen mukaan. Riski tarkoittaa tässä todennäköisyyden ja vaikutuksen puolustettavaa tuloa, ei komitean tyydyttämiseksi valittua väriä lämpökartalla. Suhteellinen kontrolli on se mikä tekee tietoturvasta kohtuuhintaista ja, ratkaisevasti, se mikä saa sen selviämään kohtaamisesta toimitustiimien kanssa, koska kontrollit jotka on selvästi sovitettu todellisiin panoksiin ovat niitä joita ihmiset säilyttävät sen sijaan että kiertäisivät ne.

Selkein tämänhetkinen trendi on identiteetin teollistuminen infrastruktuuriksi. Organisaatiot yhdistävät pirstoutuneita identiteettivarastoja yhtenäiseksi kudokseksi, laajentavat vahvaa, kalastelunkestävää todennusta joka perustuu passkey-avaimiin ja laitepohjaisiin tunnuksiin, ja tuovat ei-inhimilliset identiteetit saman hallinnan piiriin kuin inhimilliset. Kiinnostava eturintama on työkuormaidentiteetti: lyhytikäiset, kryptografisesti todistetut tunnukset jotka myönnetään palveluille ja funktioille, korvaten pitkäikäiset salaisuudet ja staattiset avaimet jotka ovat vuosien ajan vaivihkaa vuotaneet ulos koodivarastoista ja konfiguraatiotiedostoista. Salaisuudettomat mallit, joissa työkuorma todistaa mikä se on ja saa hetkeen rajatun tokenin, ovat siirtymässä edistyksellisestä käytännöstä kohti perusodotusta.

Toinen siirtymä on tietoturvapäätösten liikkuminen vasemmalle ja alas: vasemmalle suunnittelu- ja rakennusvaiheisiin, ja alas alustaan. Käytäntö koodina antaa ilmaista, versioida ja testata pääsysääntöjä, verkkosegmentointia ja konfiguraatioaituksia kuten mitä tahansa muuta ohjelmistoartefaktia, ja pakottaa ne sitten automaattisesti putkissa ja ajoympäristöön pääsyn yhteydessä. Tämä muuttaa tietoturvan määräaikaisesta tarkastuksesta toimitusjärjestelmän jatkuvaksi ominaisuudeksi. Tämän peilikuva, havainnoinnin ja reagoinnin siirtäminen lähemmäs työkuormaa, on myös kypsymässä, cloud-natiivien kontrollien myötä jotka ymmärtävät containereiden ja funktioiden käyttäytymistä eivätkä pelkästään tarkasta paketteja.

Kolmanneksi jatkuvan verifioinnin käytäntö syrjäyttää ajankohtaan sidotun varmennuksen. Sen sijaan että tehtäisiin vuosittainen tunkeutumistesti ja määräaikainen kontrollin varmennus, kypsät organisaatiot ajavat jatkuvaa validointia sekä altistumisestaan, hyökkäyspinnan hallinnan ja murto- ja hyökkäyssimulaation kautta, että kontrolleistaan, kontrollikehykseen sidotun automaattisen todisteiden keruun kautta. Viimeinen rehellisesti nimeämisen arvoinen trendi on tekoälyn kaksiteräisyys. Se terävöittää hyökkääjää, laskien vakuuttavan kalastelun kustannusta ja nopeuttaen haavoittuvuuksien löytämistä, ja se tuo mukanaan aidosti uusia suojattavia hyödykkeitä: mallit, niitä kouluttavan datan, sekä kehotteet ja työkalut joihin agentit voivat ylettää. Tietoturva-arkkitehtuurin odotetaan nyt kohtelevan tekoälyjärjestelmää, ja erityisesti agenttia jolla on valtuus toimia, ensiluokkaisena kohteena uhkamallinnukselle ja vähimmän oikeuden periaatteelle, ei tavallisena sovelluksena jonka etupuolella on chat-ikkuna.

Uhkamallinnus on käytäntö joka muuttaa tietoturvan mielipiteestä insinöörityöksi, ja se kuuluu suunnittelun alkuun, ei loppuun. Menetelmä on koruton ja tehokas: kuvaa mitä järjestelmä tekee ja miten data virtaa sen läpi, merkitse luottamusrajat joissa data tai kontrolli siirtyy eri oikeuksin varustettujen osapuolten välillä, ja kysy sitten järjestelmällisesti mikä voisi mennä pieleen kullakin rajalla. Jäsennellyt linssit kuten STRIDE, väärentäminen, peukalointi, kiistäminen, tiedon paljastuminen, palvelunesto ja oikeuksien korotus, pitävät analyysin rehellisenä pakottamalla pohtimaan kategorioita jotka tiimit muuten ohittaisivat. Tuotos ei ole asiakirja itsensä vuoksi. Se on priorisoitu joukko kontrolleja jotka ovat olemassa koska tietty, uskottava uhka oikeuttaa ne, mikä on juuri se mitä suhteellisuus vaatii.

Syvyyspuolustus on periaate jonka mukaan yhdenkään yksittäisen kontrollin ei luoteta olevan riittävä, koska jokainen kontrolli lopulta pettää tai ohitetaan. Kerroksittaiset, itsenäiset kontrollit tarkoittavat, ettei yhden pettäminen luovuta hyökkääjälle tavoitetta. Kurinalaisuus sen soveltamisessa on varmistaa, että kerrokset ovat aidosti itsenäisiä ja kukin niistä on perusteltu, sen sijaan että kasattaisiin päällekkäisiä samanlaisia kontrolleja ja kutsuttaisiin sitä syvyydeksi. Läheisesti sukua on vaikutussäteen rajaaminen segmentoinnilla. Laitekanta jaetaan niin, ettei kompromisointi yhdellä vyöhykkeellä leviä vapaasti: mikrosegmentointi työkuormien välillä, tiukka itä-länsi-käytäntö verkon sisällä, sekä ympäristöjen ja tehtävien eriyttäminen niin ettei tili joka voi tehdä käyttöönoton voi myös pyyhkiä auditointilokia.

Kaksi lisäperiaatetta ansaitsee korostuksen koska ne niin usein laiminlyödään. Ensimmäinen on turvalliset ja varmat oletukset: järjestelmän tulisi olla turvallinen lepotilassaan, epäonnistua sulkeutuen eikä avautuen, salata data levossa ja siirrossa itsestäänselvyytenä, ja tehdä vaatimustenmukaisesta konfiguraatiosta se jonka saa ilman erityistä vaivaa. Toinen on että kaikki tuottaa todisteita jo suunnittelultaan. Kattava, peukalointinäkyvä lokitus ja telemetria ovat arkkitehtonisia vaatimuksia, eivät operatiivisia jälkiajatuksia, koska et voi havaita, tutkia tai osoittaa vaatimustenmukaisuutta sille mitä et tallentanut. Kun havainnoitavuus ja kontrolli suunnitellaan yhdessä, sama telemetria joka antaa ylläpitäjän ajaa järjestelmää antaa myös puolustajan napata tunkeutumisen ja auditoijan vahvistaa kontrollin, mikä on juuri se säästö joka tekee suhteellisesta tietoturvasta kestävää.

Päälleliimaus-syndrooma on yleisin ja kallein epäonnistuminen. Tietoturva otetaan mukaan sen jälkeen kun arkkitehtuuri on jo lyöty lukkoon, joten se voi vain lisätä kontrolleja reunoille: yhdyskäytävä tähän, skannausvaihe tuonne. Nämä kontrollit ovat todellista työtä ja todellista kustannusta, mutta koska ne istuvat suunnitelman ulkopuolella eivätkä sen sisällä, ne käsittelevät oireita ja jäävät paitsi rakenteellisista heikkouksista, litteästä sisäverkosta, jaetusta palvelutilistä, luottamusrajasta jota kukaan ei piirtänyt. Organisaatio käyttää runsaasti rahaa ja jää alttiiksi juuri sille lateraaliselle liikkeelle jota rahankäytön oli tarkoitus estää.

Vaatimustenmukaisuuden sekoittaminen tietoturvaan on epäonnistuminen jossa kartta sekoitetaan maastoon. Läpäisty kehys ja seinällä oleva sertifikaatti kuvaavat kontrolleja jotka olivat olemassa tiettynä ajankohtana määriteltyä laajuutta vasten. Ne eivät kuvaa sitä onko organisaatio todella vaikea kompromisoida. Tiimit jotka optimoivat auditointia varten eivätkä häiriönsietokykyä varten tuottavat vaikuttavia todisteita ja hauraita järjestelmiä, ja ne yllättyvät usein kun murto kävelee suoraan aukosta jota kehys ei sattunut kattamaan.

Yhtenäinen kontrolli, suhteellisuuden sivuuttaminen epäonnistuu vastakkaiseen suuntaan kuin alipanostaminen. Raskaimpien kontrollien soveltaminen kaikkialle uuvuttaa budjetin ja kärsivällisyyden, ajaa toimitustiimit rakentamaan varjopolkuja kitkan ympäri, ja jättää aidosti kriittiset hyödykkeet yhtä huonosti suojatuiksi kuin vähäpätöiset. Tietoturva jota ei ole kalibroitu riskiin ei ole turvallisempaa. Se on vain kalliimpaa ja enemmän kaunaa herättävää, ja kauna on itsessään tietoturvaongelma koska se tuottaa kiertoteitä.

Identiteettien leviäminen ja pysyvät oikeudet on ylivaltuutettujen tilien, orpojen palvelutunnusten ja pysyvän ylläpito-oikeuden hiljaista kertymistä jota kukaan ei käy uudelleen läpi. Se on harvoin alkuperäisen murron syy ja lähes aina syy siihen että murrosta tuli katastrofi. Sukua oleva epäonnistuminen on oletettu luottamusraja, jossa kaavio näyttää siistin viivan vyöhykkeiden välillä mutta ajossa olevalla järjestelmällä on puolisen tusinaa dokumentoimatonta polkua sen yli, joten segmentointia johon suunnitelma nojasi ei todellisuudessa ole olemassa. Jokaisella näistä epäonnistumisista on yhteinen juuri: kuilu piirretyn arkkitehtuurin ja rakennetun sekä ajetun arkkitehtuurin välillä. Tuon kuilun kurominen, mallin ja todellisuuden pitäminen vastaavuudessa ajan yli, on se todellinen työ, ja siksi tietoturva-arkkitehtuuri on jatkuva käytäntö eikä toimitettava tuotos.

Nashua kohtelee tietoturvaa ja riskiä arkkitehtonisina kurinaloina jotka on integroitu laajempaan yritysarkkitehtuurikäytäntöön, ei erillisenä varmennusfunktiona joka saapuu tarkastamaan ja vastustamaan. Toimeksianto alkaa selvittämällä mikä todella on tärkeää: perusteltu ymmärrys organisaation kriittisistä hyödykkeistä, datasta jonka paljastuminen aiheuttaisi todellista vahinkoa, järjestelmistä joiden menetys pysäyttäisi liiketoiminnan, sekä velvoitteista, sääntely- ja sopimusperäisistä, jotka rajoittavat suunnitelmaa. Tältä perustalta rakennamme riskikuvan joka on tarpeeksi puolustettava ajamaan päätöksiä, niin että jokainen myöhemmin ehdottamamme kontrolli voidaan jäljittää seuraukseen jonka se on olemassa estämään.

Tuo kartta kädessä työskentelemme suunnittelun tasolla. Ajamme uhkamallinnusta merkityksellisillä arkkitehtuureilla, merkiten luottamusrajat ja päätellen epäonnistumiskategorioiden läpi järjestelmät omistavien tiimien kanssa, niin että tuloksena syntyvät kontrollit ymmärretään ja omistetaan eikä niitä pakoteta. Määrittelemme tavoitetilan luottamusmallin, identiteetti hallintatasona, vähimmän oikeuden ja juuri oikeaan aikaan tapahtuva pääsy, vaikutussäteen rajaava segmentointi, syvyyspuolustus aidosti itsenäisin kerroksin, ja ilmaisemme mahdollisimman suuren osan siitä käytäntönä ja aituksina jotka elävät toimitusalustassa. Tavoite läpi koko työn on että turvallinen polku on oletuspolku, niin että insinöörit saavat vakaan tietoturvan seuraamalla mallia eivätkä valppautta harjoittamalla.

Koska epäonnistumistapa jota eniten haluamme välttää on kaunis malli joka poikkeaa todellisuudesta, Nashua panostaa arkkitehtuurin ja toiminnan väliseen yhteyteen. Kytkemme todisteet mukaan suunnittelusta, telemetrian ja lokituksen jotka palvelevat havainnointia, tutkintaa ja vaatimustenmukaisuutta samasta lähteestä, ja suosimme sekä altistumisen että kontrollin jatkuvaa verifiointia ajankohtaan sidotun varmennuksen sijaan. Olemme suorapuheisia suhteellisuudesta: argumentoimme kontrollia vastaan jota organisaatio ei tarvitse yhtä valmiisti kuin vaadimme sellaista jonka se tarvitsee, koska uskottavuus toimitustiimien silmissä on se mikä saa koko arkkitehtuurin selviämään. Ja suunnittelemme laitekannalle sellaisena kuin se on, hybridi, monipilvinen, keskellä migraatiota, emmekä idealisoidulle uudelle pellolle, koska siellä todellinen riski ja todellinen työ sijaitsevat.

Ero jonka Nashua tuo on kyky pitää yhdessä kaksi asiaa jotka yleensä jaetaan eri toimittajien kesken ja jotka siksi putoavat niiden väliseen kuiluun: arkkitehtoninen näkymä, joka näkee miten luottamus, identiteetti ja data virtaavat koko laitekannan läpi, sekä toimitustodellisuus, joka ratkaisee onko kontrolli tosiasiassa pakotettu vai pelkästään dokumentoitu. Monet organisaatiot osaavat tuottaa tietoturvastrategian ja monet osaavat asentaa tuotteen. Paljon harvempi osaa varmistaa, että kaaviossa oleva luottamusmalli on se luottamusmalli joka ajetaan tuotannossa, ja että se pysyy sellaisena laitekannan muuttuessa. Tuo vastaavuus tarkoituksen ja todellisuuden välillä, ajan yli ylläpidettynä ja aitoon riskiin suhteutettuna, on se missä arkkitehtoninen tietoturva voitetaan tai hävitään, ja se on se nimenomainen asia jonka lähdemme toimittamaan.

On myös käytännöllinen seuraus joka muuttaa sen mitä työn on lupa olettaa. Kun toimeksianto vaatii kyvykkyyttä jota ei vielä ole olemassa, sen ei tarvitse odottaa hankintasykliä tai toimittajan tiekarttaa. enterprise platform on rakennettu majoittamaan lähes minkä tahansa ominaisuuden vauhdilla, agenttipohjaisen insinöörityön kautta: tarvittava kuvataan selkokielellä ja generoidaan nopeasti, mutta aina lujien arkkitehtuuriperiaatteiden puitteissa ja tiukan laadunvarmistuksen alaisena, niin ettei nopeus koskaan tule yhtenäisyyden, tietoturvan tai kontrollin kustannuksella. Vaikutus on strateginen eikä pelkästään kätevä. Se siirtää tehdä-vai-ostaa-rajaa, pitää valinnaisuuden edullisena, ja antaa arkkitehtuurin seurata strategiaa sen sijaan että strategia taipuisi sen mukaan mitä sattui olemaan hyllyllä.

Se mitä tämä tuottaa organisaatiolle on tietoturva joka vähentää riskiä muodostumatta esteeksi toimitukselle, kontrolli joka kestää sääntelijän edessä koska se on todellista eikä harjoiteltua, ja arkkitehtuuri jossa identiteetti, segmentointi ja todisteet ovat kantavia osia suunnitelmaa eivätkä sen pintaan epävarmasti pultattuja lisäyksiä. Onnistumisen mitta ei ole käyttöönotettujen kontrollien tai läpäistyjen kehysten lukumäärä. Se on pienempi vaikutussäde kun jokin menee pieleen, lyhyempi aika sen havaitsemiseen ja rajaamiseen, sekä osoitettava, rehellinen vastaavuus sen tietoturvan välillä jonka organisaatio uskoo omaavansa ja sen tietoturvan jota se tosiasiassa käyttää. Nashuan rooli on suunnitella tuo vastaavuus mukaan alusta alkaen, ja pitää se totena samalla kun liiketoiminta ja sen uhat jatkavat liikkumistaan.