Kaksi rakenteellista muutosta on tehnyt vanhasta mallista kestämättömän. Ensimmäinen on arkkitehtoninen. Työkuormat siirtyivät julkiseen cloudiin, henkilöstö siirtyi kannettaviin koneisiin koteihinsa, ja sovelluksista tuli muiden yritysten omistamien API:en ja palveluiden koosteita. Organisaatio on nyt suhteiden verkosto pikemminkin kuin muurein ympäröity maisema, ja kontrolli, joka olettaa sisäpuolen ja ulkopuolen olemassaolon, kuvaa topologiaa, jota ei enää ole. Toinen muutos on taloudellinen. Kyberrikollisuus on teollistunut. Kiristysohjelmia myydään palveluna, ensipääsyä välitetään hyödykkeenä, ja kiristys on siirtynyt yksinkertaisesta salaamisesta datan varastamiseen ja sen julkaisulla uhkaamiseen. Vastapuoli ei ole enää yksinäinen tilaisuuden hyödyntäjä vaan toimitusketju, jolla on omat työkalunsa, kumppaninsa ja asiakastukensa.

Sääntely on liikkunut samansuuntaisesti. NIS2:n ja DORA:n kaltaiset viitekehykset asettavat eurooppalaisille organisaatioille nimenomaisia, täytäntöönpanokelpoisia velvoitteita hallita riskejä, turvata toimitusketjunsa ja raportoida poikkeamista tiukoissa aikaikkunoissa. Hallitukset, jotka aiemmin kohtelivat turvallisuutta teknisenä kustannuspaikkana, kantavat nyt siitä henkilökohtaisen ja yhtiötason vastuun. Seurauksena on, että turvallisuudesta on tullut yhtä aikaa hallinnollinen kysymys ja suunnittelukysymys. Sillä on nyt merkitystä, ei siksi että uhka olisi luonteeltaan uudenlainen, vaan siksi että hyökkäyspinta on laajentunut, hyökkääjät ovat ammattimaistuneet ja lainsäädännön sietokyky huolimattomuutta kohtaan on romahtanut. Organisaatio, joka yhä rinnastaa turvallisuuden perimetrilaitteeseen, puolustaa muotoa, joka ei enää vastaa sen omaa.

Ensimmäinen periaate on, että turvallisuus ei ole asia, joka sinulla on, vaan joukko ominaisuuksia, joita järjestelmä osoittaa vihamielisissä olosuhteissa. Klassinen kolmikko on edelleen hyödyllinen selkäranka: luottamuksellisuus, eli tieto paljastetaan vain niille, joilla on siihen oikeus; eheys, eli dataa ja järjestelmiä ei muuteta ilman valtuutusta; ja saatavuus, eli palvelut pysyvät käytettävinä silloin, kun niitä tarvitaan. Todellisten suunnitelmien on tarkasteltava kaikkia kolmea yhdessä, koska yhtä suojaavat kontrollit voivat heikentää toista. Aggressiivinen salaus suojaa luottamuksellisuutta, mutta voi hämärtää telemetrian, jota tunkeutumisen havaitsemiseen tarvitaan. Saatavuuden liian tiukka lukitseminen voi ohjata käyttäjät turvattomiin kiertoteihin.

Toinen periaate on, että riski, ei uhka, on päätöksen yksikkö. Uhka on mikä tahansa, mikä voi mennä pieleen. Riski on sen todennäköisyyden ja aiheutuvan vahingon tulo, punnittuna sitä vastaan, mitä sen pienentäminen maksaa. Tästä syystä oikeasuhtainen kontrolli on tärkeää: organisaatio ei voi suojata kaikkea samassa määrin, ja sen yrittäminen tuhlaa budjettia vähäpätöisiin altistumisiin ja näännyttää ne, jotka voisivat päättää koko liiketoiminnan. Näitä kahta yhdistävä kurinalaisuus on uhkamallinnus. Hyvin tehtynä se on suunnitelman jäsennelty kuulustelu: mitä olemme rakentamassa, mikä siinä voi mennä pieleen, mitä aiomme sille tehdä ja teimmekö riittävän hyvää työtä. STRIDE:n ja hyökkäyspuiden kaltaiset menetelmät antavat tälle täsmällisyyttä ja pakottavat tiimit nimeämään luottamusrajat, datavirrat ja oletukset, jotka virheellisinä päästäisivät hyökkääjän sisään. Piirtotaulun ääressä tehty uhkamallinnus on suuruusluokkia halvempaa kuin saman puutteen löytäminen tuotannosta poikkeaman kautta.

Useat kehityskulut muokkaavat käytäntöä samanaikaisesti. Kaikkein merkittävin on, että identiteetistä on tullut ensisijainen kontrollitaso. Kun verkon raja liukeni, kysymys siitä, luottaako pyyntöön, lakkasi olemasta vastattavissa sen perusteella, mistä se tuli, ja siihen voi vastata enää sen perusteella, kuka ja mikä sen tekee. Tämä on työntänyt identiteetin, todennuksen ja valtuutuksen jokaisen vakavan arkkitehtuurin keskiöön, ja se on tehnyt tunnistetietojen varastamisesta ja istuntojen kaappauksesta hallitsevan hyökkäysreitin. Vastauksena ala siirtyy pois salasanoista ja jopa kertakäyttökoodeista kohti tietojenkalastelun kestävää, kryptografista todennusta, joka perustuu FIDO2:een ja passkey-avaimiin, koska hyökkääjät ovat teollistaneet kaiken heikomman sieppaamisen.

Zero trust on kypsynyt iskulauseesta arkkitehtuuriksi, jolla on konkreettiset täytäntöönpanopisteet, vaikka toimittajat yhä rutiininomaisesti väärinkäyttävät termiä. Sen rinnalla havainnointi on siirtynyt allekirjoituspohjaisesta virustorjunnasta käyttäytymispohjaiseen päätelaitteiden ja laajennettuun havainnointiin ja reagointiin, jotka olettavat, että ehkäisy joskus epäonnistuu, ja keskittyvät näkemään hyökkääjän sen jälkeen, kun hän on jo sisällä. Cloudin virheellisestä konfiguroinnista on tullut yksi suurten tietomurtojen yleisimmistä syistä, koska joustavuus, joka tekee cloudista tehokkaan, tekee myös yhdestä väärästä asetuksesta katastrofaalisen. Toimitusketjun kompromettoinnista, jossa hyökkääjä valjastaa luotetun toimittajan tai ohjelmistoriippuvuuden tavoittaakseen monta uhria kerralla, on tullut teoriasta toistuva kaava. Tekoäly istuu nyt kilpailun molemmilla puolilla, nopeuttaen uskottavan tietojenkalastelun laatimista ja haavoittuvuuksien lajittelua hyökkääjille, samalla kun se auttaa puolustajia korreloimaan signaaleja mittakaavassa, johon ihmiset eivät pysty. Mikään tästä ei korvaa perusperiaatteita; se nostaa tahtia, jolla niitä on sovellettava.

Hyvä tietoturva-arkkitehtuuri lepää pienen periaatejoukon varassa, jotka vahvistavat toisiaan. Syvyyspuolustus on vanhin ja yhä tärkein: minkään yksittäisen kontrollin ei tule olla kantava, jotta minkään yksittäisen kerroksen pettäminen ei paljasta sitä, millä on merkitystä. Verkkosegmentoinnin, identiteetin, kovennuksen, valvonnan ja datasuojauksen kerrokset järjestetään niin, että hyökkääjä, joka voittaa yhden, kohtaa yhä seuraavan. Tämä ei ole toisteisuutta itsensä vuoksi; se ostaa puolustajalle aikaa ja luo kitkan ja kohinan, joista havainnointi riippuu.

Zero trust on saman vaiston moderni ilmaus sovellettuna maailmaan, jossa ei ole perimetriä. Sen säännöt on helppo lausua ja vaativia toteuttaa. Älä koskaan luota epäsuorasti ja varmenna aina nimenomaisesti, arvioiden identiteettiä, laitteen tilaa ja kontekstia jokaisessa pyynnössä pikemminkin kuin kerran yhdyskäytävällä. Myönnä vähimmät oikeudet, niin että jokaisella identiteetillä, ihmisellä tai koneella, on vain se pääsy, jota se tarvitsee, vain niin kauan kuin se sitä tarvitsee, mieluiten juuri oikeaan aikaan provisioituna pikemminkin kuin pysyvästi voimassa. Segmentoi aggressiivisesti, niin ettei jalansija yhdessä työkuormassa muutu vapaaksi liikkumiseksi läpi IT-maiseman. Ja oleta tietomurto: suunnittele ikään kuin hyökkääjä olisi jo sisällä, mikä muotoilee tavoitteen uudelleen kaikkien ulkona pitämisestä sen rajoittamiseksi, mihin mikään yksittäinen kompromettointi voi yltää ja kuinka kauan se voi piileskellä. Tietomurron olettaminen kääntää arkkitehtuurin kohti rajaamista, vaikutussäteen pienentämistä ja rikasta telemetriaa, koska suunnitelmalla, joka vain yrittää estää tunkeutumisen, ei ole vastausta sille päivälle, kun ehkäisy pettää. Datan salaus siirrossa ja levossa, vahva avaintenhallinta sekä kattava, peukalointia kestävä lokitus ovat sidekudos, joka tekee näistä periaatteista havaittavia ja täytäntöönpantavia pikemminkin kuin tavoitteellisia.

Useimmat tietomurrot eivät ole eksoottisten tekniikoiden tulosta. Ne hyödyntävät ennustettavia heikkouksia siinä, miten järjestelmät suunniteltiin ja niitä käytettiin, ja samat pettämistavat toistuvat kaikenkokoisissa organisaatioissa.

Litteät verkot. Kun kaikki voi tavoittaa kaiken, yksittäisestä kompromettoituneesta laitteesta tulee koko maiseman kompromettointi. Segmentoinnin puute on ero poikkeaman ja katastrofin välillä, koska se antaa hyökkääjälle lateraalisen liikkumisen ilmaiseksi. Epäsuora luottamus ja pysyvät oikeudet. Tilit, palveluidentiteetit ja integraatiot keräävät oikeuksia, joita ei koskaan peruuteta, ja hallinnolliset oikeudet lepäävät lepotilassa odottaen tulla varastetuiksi. Oikeudet, jotka ovat pysyvästi olemassa, joutuvat lopulta väärinkäytön kohteeksi. Hälytysväsymys ja valvomaton telemetria. Organisaatiot investoivat työkaluihin, jotka tuottavat signaaleja, joita kukaan ei lue, joten todiste tunkeutumisesta istuu lokissa, jota ei koskaan tarkastella ennen jälkikäteistä forensista tutkintaa. Havainnointi, johon ei reagoida, ei ole havainnointia. Vaatimustenmukaisuuden erehtyminen turvallisuudeksi. Auditoinnin läpäisy varmentaa, että joukko kontrolleja oli olemassa arviointipäivänä, ei sitä, että järjestelmä vastustaa päättäväistä hyökkääjää. Sertifikaatin kohteleminen turvallisuuden todisteena on yksi vaarallisimmista turvateatterin muodoista. Testaamattomat oletukset. Suunnitelmat ovat täynnä uskomuksia siitä, mitä hyökkääjä ei voi tehdä, ja niitä uskomuksia tarkistetaan harvoin, kunnes joku tarkistaa ne vihamielisesti. Kontrolli, jota ei ole koskaan hyökätty, ei ole koskaan validoitu. Identiteettien rehottaminen. Orvot tilit, jaetut tunnistetiedot ja unohtuneet palveluidentiteetit muodostavat varjohyökkäyspinnan, jota mikään kaavio ei näytä eikä kukaan omista.

Nashua kohtelee turvallisuutta insinööri- ja hallintotieteenä pikemminkin kuin hankintaharjoituksena. Toimeksiannot alkavat sen selvittämisellä, millä oikeasti on merkitystä: varat, datavirrat ja prosessit, joiden menetys tai turmeltuminen vahingoittaisi organisaatiota todella, sekä ne täsmälliset uhkat, jotka uskottavasti niihin kohdistuvat. Tältä perustalta suoritamme jäsenneltyä uhkamallinnusta, kartoittaen luottamusrajat ja hyökkäysreitit niin, että investointia voidaan ohjata todistein pikemminkin kuin äänekkäimmällä tuotepuheella. Tuotos on oikeasuhtainen etenemissuunnitelma, jossa jokainen ehdotettu kontrolli on sidottu nimettyyn riskiin, jotta kulutus voidaan perustella hallitukselle ja valvojalle.

Eettinen hakkerointi on keskiössä siinä, miten validoimme tämän työn. Tunkeutumistestaajamme lähestyvät järjestelmiä samoin kuin kyvykäs vastapuoli, edeten tiedustelun, hyväksikäytön ja hyväksikäytön jälkeisen vaiheen läpi osoittaakseen, ei vain että haavoittuvuus on olemassa, vaan mitä hyökkääjä voisi sillä todella saavuttaa, mukaan lukien lateraalinen liikkuminen ja oikeuksien laajentaminen. Löydökset toimitetaan selkein toistoaskelin, liiketoimintavaikutuksin ja priorisoiduin korjauksin, ja testaamme uudelleen varmistaaksemme, että korjaukset pitävät, sen sijaan että olettaisimme niiden pitävän. Kertaluonteisen testauksen lisäksi järjestämme red team- ja purple team -harjoituksia, joissa hyökkäävät ja puolustavat ammattilaiset työskentelevät yhdessä, niin että organisaation kyky havaita ja reagoida paranee sen ehkäisykyvyn ohella. Rakennamme identiteetin- ja pääsynhallintaohjelmat vähimpien oikeuksien ja tietojenkalastelun kestävän todennuksen ympärille, suunnittelemme segmentoinnin ja zero trust -täytäntöönpanon arkkitehtuureihin ja pystytämme sen valvonta- ja reagointikyvyn, jota tietomurron olettava ajattelu edellyttää. Tarkoitus läpi kaiken on jättää asiakkaalle mitattu, testattu ja ylläpidettävä tietoturva-asetelma, ei työkalujen hylly.

Nashuan erottaa se, että se kieltäytyy erottamasta turvallisuuden hyökkäävää ja puolustavaa puolikasta toisistaan. Monet toimittajat myyvät organisaatiolle kontrolleja, ja toinen toimittaja myöhemmin hyökkää noihin kontrolleihin ja luetteloi niiden heikkoudet. Me pidämme molempia näkökulmia yhtä aikaa, niin että tapa, jolla suunnittelemme järjestelmän, on jo perustettu siihen, miten sen murtaisimme, ja tapa, jolla sitä testaamme, syöttää suoraan takaisin siihen, miten se rakennetaan uudelleen. Tuo jatkuvuus, uhkamallista arkkitehtuuriin, eettiseen hakkerointiin, korjaukseen ja uudelleentestaukseen, on se, mikä muuttaa turvallisuuden joukosta irrallisia projekteja johdonmukaiseksi, parantuvaksi asetelmaksi.

Tähän liittyy myös käytännöllinen seuraus, joka muuttaa sen, mitä työ saa olettaa. Kun toimeksianto vaatii kyvykkyyttä, jota ei vielä ole olemassa, sen ei tarvitse odottaa hankintasykliä tai toimittajan etenemissuunnitelmaa. enterprise platform on rakennettu mukautumaan lähes mihin tahansa ominaisuuteen ripeästi, agenttipohjaisen insinöörityön kautta: tarvittava kuvataan selkokielellä ja tuotetaan nopeasti, mutta aina lujien arkkitehtuuriperiaatteiden puitteissa ja tiukan laadunvarmistuksen alaisena, niin ettei nopeus koskaan tule johdonmukaisuuden, turvallisuuden tai hallinnan kustannuksella. Vaikutus on strateginen pikemminkin kuin pelkästään kätevä. Se siirtää tee tai osta -rajaa, pitää optionaalisuuden halpana ja antaa arkkitehtuurin seurata strategiaa pikemminkin kuin strategian taipua siihen, mitä sattui olemaan hyllyssä.

Tuloksena on turvallisuus, joka käyttäytyy niin kuin tieteenala vaatii: oikeasuhtaisena todelliseen riskiin nähden, kerroksittaisena niin ettei mikään yksittäinen pettäminen ole kohtalokas, rakennettuna oletukselle, että tietomurto on kysymys milloin eikä jos, ja jatkuvasti validoituna ihmisten toimesta, joiden työ on ajatella kuin vastapuoli. Se on ero organisaation, joka omistaa kokoelman tietoturvatuotteita, ja sellaisen välillä, joka voi uskottavasti kestää päättäväisen hyökkäyksen, toipua poikkeamista, joita se ei voi ehkäistä, ja tehdä tiliä päätöksistään hallituksille, asiakkaille ja valvojille, jotka eivät nyt odota vähempää.