Tietoturvassa tiiviin puolustuksen joustava peruspilari on pitkään ollut integroida teknologioita tiiviisti yhteen. Ja kun teknologioita halutaan integroida tiiviisti yhteen, niiden välillä pitää olla keskusteluyhteys ja ennen kaikkea kaksisuuntainen vuorovaikutus. Yleisesti tätä mekanismia kutsutaan API-rajapinnaksi (Application Programming Interface), jonka avulla sovellukset keskustelevat keskenään. Mitä laajempi sanavarasto, sitä sujuvampaa keskustelu on ja myös keskustelusta saatava hyöty kasvaa. Lyhyesti, hyvä API – parempi mieli. Tiivistä kyberpuolustusta on helppo automatisoida ja silloin lopputulos on enemmän kuin osiensa summa. Palataan tähän hetken kuluttua.
Suurin tietoturvauhka löytyy laitteen ja penkin välistä
Sanotaan, että ongelma istuu penkillä. Se juo kahvia, lukee Facebook feediä intensiivisesti ja myöhemmin rampauttaa teknisen kyberpuolustuksen sekunneissa. Miten ihminen integroidaan tiiviisti kyberpuolustukseen, koska ihmisessä ei ole API-rajapintoja?
Herra Manuel Francon lähettäessä sähköpostia, että hän on lahjoittanut sinulle kaksi miljoonaa euroa, silmissäsi kiiluvat Pina Colada, palmut ja tulikiven katkuinen erokirje esimiehelle. Oudon tietoturvatyypin opetukset asioista, joita kukaan ei ymmärtänyt, eivät juuri sillä hetkellä muistu mieleen.
Ongelmaa on yritetty perinteisesti ratkoa koulutuksella, tosin huonolla menestyksellä. Myöhemmin ihmisten toleranssin kasvaessa on siirrytty kunnianhimoisempaan ja päättymättömään tietoturvasaarnaan, joka tunnetaan myös nimellä ”tietoturva osana yrityskulttuuria”. Jos iltapäivälehtiä on uskominen, laihat ovat olleet tulokset myös tällä lähestymisellä.
Miksi tietoturva koetaan rasitteena, eikä liiketoiminnan ajoavustimena?
Muutoksen saaminen ihmisten käyttäytymiseen on vaikeaa. Joku omaksuu tietoturvaohjeita nopeasti ja joku taas ei koskaan. Autovalmistajat ovat olleet samojen ongelmien äärellä jo pitkään. Kuinka monta kymmentä vuotta on puhuttu liikenteessä riittävistä turvaväleistä tai siitä, että talvella ei kannatta hurjastella? Sitten saapuu ensilumi ja kaikki pääväylät ovat täynnä kolareita.
Autoteollisuudesta on paljon opittavaa myös kyberpuolustuksen suhteen. Jos ihmisten käytöstä on hankala muuttaa, lopputuloksen todennäköisyyksiä voidaan ehkä säädellä teknologian keinoin. Autoihin on saatavissa ajoavustinta jokaiseen tilanteeseen hätäjarru- ja kaistallapitoavustimesta törmäysvaroittimeen. Miksi samaa lähestymistä ei käytetä liiketoiminnan suojaamisessa? Miksi tietoturva koetaan rasitteena, eikä liiketoiminnan ajoavustimena?
Digitaalisessa maailmassa ihminen on kuin norsu posliinikaupassa, ja se on tietoturvan kannalta hyvä asia
Palataanpa takaisin tiiviiseen integroituun teknologiseen puolustukseen, sen automatisointiin ja tarkastetaan, onko ihmisen API-rajapinta sittenkin jo epäsuorasti olemassa. Digitaalisessa maailmassa ihminen on kuin norsu posliinikaupassa ja se on hyvä asia. Kaikesta tekemisistämme jää jälkiä, ja digitaalista jälkeä voi kutsua myös metadataksi. Integroidun puolustuksen ydin on teknologioiden keskustelu ja mielipiteiden vaihto tämän metadatan ympärillä. Jos ihmistä ei voida kytkeä kyberpuolustukseen suoraan API-rajapinnalla, ihminen voidaan integroida tiiviiksi osaksi sitä epäsuorasti. Samaan tapaan kuin ajoavustin, joka tarkkailee ihmisen toimintaa pyrkien vaimentamaan huonoja ratkaisuja ja tehostamaan hyviä.
Tietoturvatuote esti pahuuden, sen pituinen se?
Herra Francon sähköposti tupsahtaa työntekijän postilaatikkoon. Herra Franco osaa asiansa, koska se on hänen työnsä ja menestyminen tarkoittaa toimeentuloa. Posti ei jää suodattimiin, mutta epäilys teknologialle jäi, että jotain kummallista tässä tapahtumassa on verrattuna työntekijän normaaliin postinkulkuun. Työntekijän yrittäessä lunastaa kahden miljoonan lahjoitusta klikaten linkkiä, toinen teknologia päättää estää pääsyn kyseiselle sivustolle syystä tai toisesta. Perinteisessä puolustuksessa asia päättyisi tähän – tuote esti pahuuden. Integroidussa puolustuksessa tarina on vasta alussa, koska puolustusta sopeutetaan, mahdollisia lisävahinkoja pyritään minimoimaan ja ihmisen epäsuorat API-rajapinnat työskentelevät keskenään ajoavustimen tavoin.
Epävarmuustekijät sähköpostin suodatuksessa, ihmisen käyttäytymismalli ja tietoturvakoulutuksen onnistuminen, uhkatiedustelu ja internetin peruspilareiden tuottama metadata ovat kullan arvoisia asioita integroidussa puolustuksessa:
1. Ihminen, joka klikkaa kalastelupostia, on todennäköisesti tehnyt sitä ennenkin, jos ei muualla niin kotiympäristössä. Tunnukset ympäristöön kannattaisi vaihtaa automaation avulla lisävahinkojen estämiseksi.
2. Samalla kannattaa harkita siirtymistä salasanattomaan maailmaan, sillä nyt on todisteita siitä, että tunnuksia todennäköisesti vuotaa suuntaan jos toiseen, koska käyttäytymismalli on olemassa.
3. Metriikkaa tietoturvakoulutuksen tehokkuudesta on nyt myös tarjolla.
4. Tiedottaminen hyökkäyksestä on suositeltavaa – tuoda tietoturva lähelle arkipäivän rutiineja. Kerrotaan työntekijöille, että ”olemme hyökkäyksen kohteena ja se näyttää tältä. Ollaanpa siis tarkkana”.
5. Sähköpostin suojausta voidaan tehostaa kyseisen yksilön kohdalla. Pienten poikkeamien merkitystä voidaan korostaa, eli kyseisellä työntekijällä on tiukemmat asetukset sähköpostin suhteen joko pysyvästi tai hetkellisesti.
6. Täsmäkoulutusta aihealueesta voidaan tarjota henkilökunnalle automaation avulla.
7. Työntekijöiden käyttäytymismallia voidaan testata omalla vastaavalla kalastelukampanjalla ja hankkia metriikkaa riskienhallintaan. Edelleen tästä saatu metriikka voi muuttaa teknistä puolustusta suuntaan tai toiseen.
8. Mitä mielikuvitus keksiikään, jotta puolustus olisi entistä joustavampi ja mukautuvampi.
Kaikki automaation ja integroidun puolustuksen avulla. Kaikki on hankittavissa ja tehtävissä tänään.
Tarvitseeko ihminen API-rajapinnan? Ei tarvitse, sillä se on jo epäsuorasti olemassa, ja sen nimi on digitaalinen maailma. Kysymys on siitä, ymmärretäänkö sen potentiaali ja käytetäänkö potentiaali hyödyksi. Ostetaanko tuotteita vai rakennetaanko integroitua ja joustavaa puolustusta, joka toimii ihmiselle digitaalisen maailman ajoavustimena.
Authors
