Ett it-system kravställs, konstrueras, levereras och rullas ut. Beroende på kravställning och systemets tänkta användningsområde så hanteras säkerhetskraven på olika sätt. Handlar det om ett ”vanligt” it-system finns det säkerhetskrav till någon nivå och kvalitet. Är det ett system som ska bära säkerhetsskyddsklassade uppgifter så finns det en tredje part som ställer säkerhetskrav som också har ansvar för att granska leveransen utifrån dessa krav.
Oavsett så kan vi anta att säkerheten för ett visst it-system får godkänt och att ett beslut fattas om att ta systemet i bruk. Men, vad händer sen? I normalfallet lever systemet resten av sin livscykel i en stadig utveckling mot mer komplexitet, försämrad synk mellan system och dokumentation, sporadiska uppdateringar, funktionstillväxt, ny driftpersonal, ny maskinvara, integration mot andra system etc.
Efter ett par år av användning enligt ovan, gäller fortfarande den kravuppfyllnad och den säkerhet som fanns när systemet togs i drift? Har ansvariga personer kontroll över systemet? Nej, givetvis inte, men ändå är det så här som majoriteten av våra samhällsviktiga och affärskritiska it-system hanteras idag.
Det är av yttersta vikt att man redan i konstruktionsskedet av ett it-system också bestämmer hur en strategiskt hållbar förvaltning ska fungera. Ännu viktigare, är att man bestämmer hur säkerheten i systemet ska vidmakthållas. Vidare gäller det att ta fram mekanismer för att under systemets livstid höja dess säkerhet, eller som Basalt benämner det, säkerställa ”evolutionär säkerhet”. Tilltro till systemets förmåga och skydd av viktiga informationstillgångar är viktigt, och kommer att vara ett fokus för våra kunder under många år framöver.
Inom förvaltning av it-system är det viktigt att ha regelverk och policys så att det finns ett rättesnöre för alla inblandade parter att hålla sig i vid exempelvis funktionstillväxt, förändringar eller andra systemförändringar som kan påverka systemets integritet eller säkerhet.
Detta är idag implementerat i någon form i de flesta informationstunga organisationer men hur ser följsamheten ut? Finns det förutsättningar för en förvaltningsorganisation att vidmakthålla ett organiskt framvuxet it-system som varit drift i under några år? Hur effektivt, eller hur dyrt är det?
Nedan följer några exempel på frågor som bör ställas, och som man vill ha adekvata svar på:
- Hur upptäcks nya sårbarheter och tillgängliga säkerhetsuppdateringar för alla de applikationer som nyttjas?
- Hur säkerställs att systemets ingående funktioner och applikationer är korrekt uppdaterade och i rätt tid?
- Hur testas uppdateringar innan de driftsätts? Eller kör man uppdateringspaketen rakt av och håller tummarna?
- Finns det test- och referenssystem som har någon som helst likhet med systemet som körs i drift?
- Hur kan uppdateringar kontinuerligt testas?
- Installeras uppdateringar manuellt? Kan man enkelt backa tillbaka om en uppdatering inte fungerar?
- Sker det omvärldsbevakning för att reda ut vilka uppdateringar som behöver göras?
- Hur många har administrativa behörigheter? Görs uppdateringar med dessa behörigheter?
- Finns det personberoenden?
För att möta utmaningarna med leverans och förvaltning av on-prem lösning krävs nytt tänk och nya metoder. Det handlar om att använda automatisering, att kunna beskriva ett it-system på detaljnivå innan det produceras, använda automatiserade tester och en systematik i systembygget som sedan nyttjas även i förvaltningsskedet.
Målet är en metodik som skapar väl testade och kvalitetssäkrade uppdateringspaket som uppgraderar ingående applikationer och funktioner och som med hög grad av assurans inte sänker systemet, utan höjer säkerheten och kommer att fungera som avsett vid varje uppdatering. Uppdateringspaketen ska kunna köras utan att någon loggar in med administrativa behörigheter genom att hela installationen genomförs av fördefinierade jobb som är kontrollerade och testade och inte kräver hög behörighet för att startas.
Läs även de andra delarna i serien:
Del 1: Kontroll
Del 2: Krav, utvecklingsmiljö och medarbetare
Del 3: Arkitektur, kultur och metod
Del 4: Granskning av tredje part, spårbarhet och assurans
Del 5: Bygga säkra IT-system på riktigt! Del 5: Assume breach och IT-säkerhetsprogram
Del 6: Dokumentation
Del 7: Säkerhetsfunktioner
Del 8: Användartjänster på en säker grund
Del 9: Data in och data ut, det är där det händer
