Το αυξανόμενο κόστος και η πολυπλοκότητα της τεχνολογίας των πληροφοριών έχουν κάνει το ζήτημα της ασφάλειας δύσκολα διαχειρίσιμο για πολλές εταιρείες. Ως αποτέλεσμα, πολλές από αυτές αναζητούν εξωτερική βοήθεια μέσω παρόχων Managed Security Services (MSS).

Τα δεδομένα και οι τεχνολογίες που χρησιμοποιούνται για την πρόσβαση, την υλοποίηση, την αποθήκευση και τη μεταφορά τους έχουν εξελιχθεί σε πρωτογενείς παράγοντες δημιουργίας εσόδων στη σημερινή ψηφιακή οικονομία. Οι επιχειρήσεις κάθε κλάδου διαχειρίζονται τεράστιους όγκους δεδομένων σε καθημερινή βάση, που πρέπει να προστατευτούν από παράνομες δράσεις, καταστροφές και κλοπές. Παρομοίως, τα πολύπλοκα συστήματα μέσω των οποίων γίνεται η επεξεργασία των δεδομένων αυτών πρέπει να προστατευτούν, αφού η αποτυχία να προστατευτούν μπορεί να έχει καταστροφικές συνέπειες για μία επιχείρηση, όπως τεράστιες οικονομικές απώλειες και νομικές κυρώσεις. Τα τελευταία χρόνια, η σημασία της ασφάλειας των δεδομένων έχει αυξηθεί σημαντικά, κυρίως λόγω της εξάπλωσης του κυβερνοεγκλήματος και της νομοθεσίας σχετικά με την ασφάλεια.

Τα οφέλη μιας προσέγγισης MSS
Οι εταιρείες σήμερα βρίσκονται σε μια συνεχή μάχη για να προστατέψουν και να ασφαλίσουν τα δεδομένα τους. Οι απειλές συνεχίζουν να αλλάζουν και να πολλαπλασιάζονται παράλληλα με τις τεχνολογίες που χρησιμοποιούνται για να τις αποτρέψουν. Ο σχεδιασμός, η ενσωμάτωση και η διαχείριση ενός επιτυχημένου – θεωρητικά τουλάχιστον – προγράμματος ασφαλείας είναι μια αχανής, πολύπλοκη και δαπανηρή διαδικασία για τις περισσότερες εταιρείες. Και εφόσον ένα τέτοιο πρόγραμμα δεν εγγυάται ποτέ πλήρη προστασία, η επιτυχία του μετριέται από την αποδοτικότητά του στη διαχείριση των κινδύνων. Αντί να «αναλαμβάνουν» όλες τις ευθύνες και την αντιμετώπιση των κινδύνων, πολλές εταιρείες μοιράζονται την ευθύνη της ασφάλειας με τους παρόχους MSS απολαμβάνοντας έτσι μια πληθώρα πλεονεκτημάτων.

  • Κόστος: η μείωση του κόστους είναι, ίσως, το μεγαλύτερο πλεονέκτημα που μπορεί να αποκομίσει μια εταιρεία κάνοντας outsourcing τις λειτουργίες ασφαλείας. Σε γενικές γραμμές, είναι πιο φθηνό να γίνει outsourcing των υπηρεσιών αυτών από το να διαθέτουν μια πλήρη ομάδα ασφαλείας εσωτερικά. Οι πάροχοι MSS προσφέρουν οικονομίες κλίμακας μοιράζοντας το κόστος για ειδικούς ασφαλείας, υποδομές, hardware και λογισμικό σε διαφορετικούς πελάτες. Επιπλέον, οι δεξιότητες, η εμπειρία και οι προηγμένες τεχνολογίες που διαθέτουν μειώνουν σημαντικά τον κίνδυνο επιθέσεων, εξοικονομώντας για τους πελάτες τους τα κόστη που σχετίζονται με τις επιθέσεις αυτές.
  • Εμπειρία: δεδομένης της έλλειψης καταρτισμένων επαγγελματιών ασφαλείας, η προσέλκυση και διατήρηση του κατάλληλου προσωπικού αποτελεί για τις εταιρείες τεράστια πρόκληση. Το outsourcing τις απαλλάσσει από αυτή την ευθύνη, αφήνοντας την κατάρτιση με προσωπικό ασφαλείας στον πάροχο MSS. Επίσης, τους δίνει πρόσβαση σε άρτια εκπαιδευμένο και έμπειρο προσωπικό. Ενας πάροχος MSS έχει τη δυνατότητα να προσλάβει τους καλύτερους προσφέροντας εκπαίδευση και επαγγελματικές ευκαιρίες. Οι εταιρείες ωφελούνται από τις επαγγελματικές δεξιότητές τους, την τεχνολογική τους τεχνογνωσία και την εκτεταμένη εμπειρία τους στη διαχείριση πολλαπλών συμβάντων ασφαλείας σε καθημερινή βάση.
  • Υποδομές: οι υποδομές που προσφέρονται από τους παρόχους MSS είναι ακόμη ένα όφελος του outsourcing. Αρκετοί πάροχοι ειδικεύονται στη δημιουργία security operations centers (SOCs) σε πολλαπλές τοποθεσίες, τα οποία διαχειρίζεται άρτια εκπαιδευμένο προσωπικό. Οι υποδομές αυτές είναι συνήθως υψηλού επιπέδου και διαθέτουν τις καλύτερες και πιο εξελιγμένες λύσεις hardware και λογισμικού, ειδικά σχεδιασμένες για να εξασφαλίζουν την ασφάλεια των πελατών.
  • Service Performance: οι εταιρείες επωφελούνται από τα υψηλά επίπεδα απόδοσης του outsourcing των λειτουργιών ασφαλείας, μέσω των SOCs για παράδειγμα, αφού οι πάροχοι προσφέρουν διαχείριση, παρακολούθηση και υποστήριξη 24/7, σε σύγκριση με το in-house προσωπικό που μπορεί κάποια στιγμή να μην είναι διαθέσιμο, ιδιαίτερα σε μη-εργάσιμες ώρες. Οι λειτουργικές διαδικασίες εξασφαλίζουν την αδιάκοπη διαθεσιμότητα των υπηρεσιών και την άμεση ανταπόκριση σε κάθε συμβάν. Επιπλέον, μέσω των καλύτερων πρακτικών και μεθοδολογιών που διαθέτουν, έχουν τη δυνατότητα να εντοπίσουν τις απειλές με μεγαλύτερη ακρίβεια, αλλά και να εξαλείψουν τα χρονοβόρα “false alarms”. Οι πάροχοι MSS, τέλος, μπορούν να εγγυηθούν για την ποιότητα των υπηρεσιών τους και επομένως να ελαχιστοποιήσουν τους κινδύνους που απειλούν τους πελάτες τους.
  • Συμμόρφωση: η συμμόρφωση με τους «άπειρους» νόμους και κανόνες σχετικά με την ασφάλεια αποτελεί για τις επιχειρήσεις ένα ιδιαίτερα δύσκολο έργο. Οχι μόνο πρέπει να κατανοήσουν τις περίπλοκες νομικά απαιτήσεις τους, αλλά και να παρουσιάσουν λύσεις που θα «συμμορφώσουν» τα προγράμματα ασφαλείας τους. Μέσω του outsourcing, οι εταιρείες έχουν πρόσβαση σε επαγγελματίες με γνώσεις στις λύσεις συμμόρφωσης που μπορούν να τους προσφέρουν σωστή και περιεκτική γνώση των νομικών απαιτήσεων και των προτύπων της κάθε βιομηχανίας, καθώς και εμπειρία στην ανάπτυξη και ενσωμάτωση των καλύτερων πρακτικών ασφαλείας. Επίσης, παρέχουν υπηρεσίες ελέγχου για να εξασφαλίζεται ότι οι πελάτες είναι συνεχώς πιστοποιημένοι με όλα τα πρότυπα ασφαλείας.

Επιλέγοντας έναν πάροχο MSS Η επιλογή του κατάλληλου παρόχου απαιτεί προσεκτικό σχεδιασμό και εξέτασή του. Η αγορά MSS έχει κορεστεί από παρόχους των οποίων οι υπηρεσίες, οι δεξιότητες και η εμπειρία ποικίλει. Πολλοί πάροχοι είτε υστερούν σε υπηρεσίες και λύσεις είτε αυτά που προσφέρουν είναι πολύ αόριστα σε σχέση με τα χαρακτηριστικά και τις παροχές που αναζητά μια εταιρεία. Πρέπει η επιλογή του παρόχου να γίνει κατόπιν προσεκτικής εξέτασής τους, ώστε να επιλεγεί αυτός που θα μπορεί να προσφέρει και να ικανοποιήσει τις απαιτήσεις ασφαλείας. Πρόσθετοι παράγοντες που πρέπει να ληφθούν υπόψη κατά την επιλογή:

  • Οικονομική σταθερότητα – ο πάροχος διαθέτει σταθερή οικονομική πορεία και ποικιλομορφία στη πελατειακή του βάση, ώστε να μπορεί να υποστηρίξει τις διαφορετικές ανάγκες τους;
  • Υπηρεσίες ασφαλείας – προσφέρει ο παρόχος μια ευρεία γκάμα υπηρεσιών ασφαλείας για να ικανοποιήσει όλες τις απαιτήσεις ασφαλείας; Είναι πρόθυμος ο παρόχος να διαφοροποιήσει τις υπηρεσίες του για να ταιριάζουν στις ιδιαίτερες επιχειρησιακές ανάγκες του πελάτη;
  • Εμπειρία – τι προσωπικό απασχολεί ο πάροχος; Tο προσωπικό του είναι πιστοποιημένο να διαθέτει τις υπηρεσίες του;
  • Security operations centers (SOCs) – Κέντρα λειτουργίας της ασφάλειας – πόσα κέντρα διαθέτει και λειτουργεί ο πάροχος και πού βρίσκονται; Τι τεχνολογίες μπορούν να υποστηρίξουν και να χρησιμοποιήσουν; Τι μεθοδολογίες διαχείρισης της ασφάλειας χρησιμοποιούν και πόσο συχνά ελέγχονται τα συστήματά τους και από ποιον φορέα;
  • Πρότυπα διασφάλισης ποιότητας – συμμορφώνονται οι υπηρεσίες που προσφέρει ο πάροχος με τα διεθνή καi εθνικά πρότυπα; Τι πρότυπα διασφάλισης ποιότητας ακολουθούνται; Ο πάροχος είναι μέλος κάποιου φορέα/οργανισμού πιστοποίησης;
  • Υποστήριξη πελατών – πόσους πελάτες υποστηρίζει αυτή τη στιγμή ο πάροχος και πόσα περιστατικά ασφαλείας μπορεί να διαχειριστεί μέσα σε μία ημέρα; Υπάρχουν πρόσφατα παραδείγματα τέτοιων περιστατικών και πώς αντιμετωπίστηκαν; Μπορεί ο υποψήφιος πελάτης να ζητήσει συστάσεις από προηγούμενους και τωρινούς πελάτες;
  • Service level agreements (SLAs) – Προσφέρει ο πάροχος ξεκάθαρα SLAs και αυτά διαθέτουν την απαραίτητη ευελιξία σε περίπτωση αλλαγής των απαιτήσεων και των αναγκών του πελάτη; Ορίζονται συγκεκριμένες κυρώσεις για τη μη-συμμόρφωση με τα SLAs και εξασφαλίζεται η ιδιωτικότητά τους;

Κατά τη διαδικασία επιλογής του παρόχου, η επιχείρηση θα πρέπει να «αγωνιστεί» να χτίσει μια καλή σχέση που θα βασίζεται σε αμοιβαία εμπιστοσύνη και σεβασμό. Η σωστή επικοινωνία είναι απαραίτητο συστατικό για τη δημιουργία μίας τέτοιας σχέσης. Ορισμένες εταιρείες τείνουν να αφήνουν την ασφάλεια πλήρως στα χέρια του παρόχου, ωστόσο μια καλύτερη προσέγγιση είναι να ορίσουν έναν ή περισσότερους από τους δικούς τους εργαζόμενους να παρακολουθούν την πορεία των ζητημάτων ασφαλείας μέσω του παρόχου και να επιβλέπουν τις δραστηριότητές του, ώστε να διασφαλίσουν ότι οι κίνδυνοι μετριάζονται και οι συμβατικές υποχρεώσεις από τη μεριά του παρόχου εκπληρώνονται.

Αντιμετωπίζοντας τις κυβερνοαπειλές
Σήμερα, με τόσες πολλές πιθανές επιθέσεις, είναι δύσκολο για τις εταιρείες να σχεδιάσουν μια αξιόπιστη λίστα πιθανοτήτων, ώστε να μπορέσουν να ξεκινήσουν το σχεδιασμό της αμυντικής στρατηγικής τους. Ακόμα πιο δύσκολο είναι να αντιμετωπίσουν μια επίθεση αν δεν ξέρουν ποιος μπορεί να είναι ο επιτιθέμενος και τι μπορεί να θέλει να καταφέρει. Μια επίθεση μπορεί να έχει ως στόχο την πνευματική ιδιοκτησία μιας εταιρείας – ωστόσο, μπορεί η εταιρεία να μην είναι καν ο στόχος, αλλά στόχο μπορεί να αποτελούν τα δεδομένα των πελατών ή κάποιου συνεργάτη της επιχείρησης.

Επίσης, πολύ συχνά οι επιθέσεις δεν έχουν ως κίνητρο κάποια όφελος, αλλά μπορεί να υποκινούνται ακόμη και μόνο από πολιτικές πεποιθήσεις, ιδεολογίες κ.λ.π. Και καθώς το τοπίο των πιθανών επιθέσεων αλλάζει, το ίδιο γίνεται και με το πλήθος των τεχνικών και εργαλείων που είναι διαθέσιμα προς χρήση. Οι σημερινοί «εχθροί» των επιχειρήσεων διαθέτουν τα πιο εξελιγμένα εργαλεία από ποτέ, με πρόσβαση σε περισσότερους κώδικες και μεγαλύτερη εξειδίκευση από ποτέ άλλοτε. Δεν αρκεί λοιπόν ένας οργανισμός απλά να αντιμετωπίσει μια επίθεση: πρέπει συνεχώς να προετοιμάζεται για την επόμενη ακόμη και αν δεν μπορεί να προβλέψει τις λεπτομέρειές της – παρά μόνο ότι θα είναι πιο εξελιγμένη και ισχυρότερη από την προηγούμενη.

Πρέπει οι επιχειρήσεις, επομένως, να χτίσουν μια ισχυρή και προληπτική άμυνα που θα τις προστατεύει από τις επικείμενες επιθέσεις και θα αυξάνει την ταχύτητα και την ευελιξία της προστασίας σε οποιαδήποτε επίθεση. Βέβαια, είναι δελεαστικό για μια επιχείρηση να οχυρώσει τα συστήματά της. Ωστόσο, οι τωρινές επιχειρησιακές πρακτικές δεν το επιτρέπουν. Οι cloud, social και mobile τεχνολογίες, όπως το “Bring Your Own Device” είναι απλά πολύ οικονομικά αποδοτικές και αποτελεσματικές για να αγνοηθούν. Και οποιαδήποτε επιχείρηση εξαρτάται από τις εξωτερικές επαφές – πελάτες λιανικής, συνεργάτες κλπ – πρέπει παράλληλα να ικανοποιεί και τις δικές τους απαιτήσεις για εύκολη πρόσβαση και επικοινωνία. Δεν υπάρχει, επομένως, τρόπος – και ίσως δεν πρέπει να υπάρχει – που να επιτρέπει να «μπλοκαριστεί» η επικοινωνία και η πρόσβαση των πελατών.

Η επιχείρησή σας έχει ήδη γίνει στόχος Σήμερα, η στρατηγική ασφαλείας κάθε οργανισμού πρέπει να βασίζεται στη γενική αποδοχή ότι έχει ήδη «μολυνθεί» από κάποια μορφή κακόβουλου λογισμικού, σε κάποιο βαθμός, είτε εν γνώσει της είτε όχι. Και επειδή τα «τείχη» μιας επιχείρησης δεν πρέπει να είναι «μη-προσπελάσιμα» για να επιτρέπουν την «κυκλοφορία» των εργαζομένων με τους πελάτες και τους παρόχους, η πλήρης ασφάλεια είναι κάτι αδύνατο. Οι παραδοσιακές μορφές άμυνας είναι ακόμη χρήσιμες, ωστόσο πρέπει να ενισχυθούν με μηχανισμούς και τεχνολογίες που μπορούν να διαχειριστούν τις επιθέσεις που εισέρχονται στα συστήματα μίας επιχείρησης.

Πρέπει η προσοχή να επικεντρωθεί σε τακτικές cyber-security, χτίζοντας τείχη ασφαλείας και αναλύοντας, εντοπίζοντας και εξαλείφοντας τις επιθέσεις που βρίσκονται ήδη μέσα στο σύστημα. Πώς, όμως, μπορούν να εντοπιστούν, να εμποδιστούν και να απομακρυνθούν οι «μολύνσεις» αυτές; Λόγω της πολυπλοκότητας των επιτιθέμενων, των κινήτρων και των εργαλείων που χρησιμοποιούνται, η ερώτηση αυτή είναι δύσκολο να απαντηθεί. Ωστόσο, οι μέτοχοι μιας εταιρείας θα θεωρήσουν την ίδια υπεύθυνη αν μια επίθεση προκαλέσει ανεπανόρθωτες ζημιές και αυτή δεν έχει λάβει τα απαραίτητα μέτρα.

Η αξία των MSS Τα MSS πρέπει, να παρέχουν περιεκτικά στοιχεία και αναφορές για όλα τα συμβάντα που λαμβάνουν χώρα, ώστε να εξασφαλιστεί ότι όλα τα δεδομένα που απαιτούνται είναι διαθέσιμα για την πραγματική κατανόηση του τι συμβαίνει στο δίκτυο, τη διερεύνηση των επιθέσεων και τη συμμόρφωση με τους κανόνες. Η σωστή λύση θα επιτρέψει στους οργανισμούς να:

  • Θέτουν πολιτικές ασφαλείας που ευθυγραμμίζονται με τις επιχειρησιακές πολιτικές για τη διατήρηση ενός αποδεκτού επιπέδου προστασίας, τη διαχείριση της πρόσβασης και της προστασίας εναντίον επιθέσεων για την υποστήριξη των στόχων της συμμόρφωσης.
  • Παραμένουν «συγχρονισμένοι» με τις τελευταίες μορφές επιθέσεων για να προστατευθεί η επιχείρηση από κάθε είδους γνωστές και άγνωστες – ακόμη – απειλές, χρησιμοποιώντας την εμπειρία και την εξειδίκευση των επαγγελματιών ασφαλείας.
  • Διαχειρίζονται σωστά τις δαπάνες, μοιράζοντας τις επενδύσεις κεφαλαίου σε πολλαπλά τμήματα ώστε να μειωθούν τα κόστη.
  • Αυξάνουν την αξιοπιστία του δικτύου, με επαγγελματίες ασφαλείας που αφιερώνουν το χρόνο και τις γνώσεις τους στην παρακολούθηση και τη διαχείριση της ασφάλειας του δικτύου 24/7, βρίσκοντας άμεσες λύσεις και πετυχαίνοντας άμεση αποκατάσταση από ένα συμβάν, ώστε να ελαχιστοποιήσουν τις διακοπές στη λειτουργία και την επιρροή των επιπτώσεων στο δίκτυο.
  • Μεγιστοποιούν την αποδοτικότητα των εργαζομένων, εξασφαλίζοντας ότι μπορούν να επικεντρωθούν στα σημαντικά για την επιχείρηση έργα όπου μπορούν να έχουν τη μεγαλύτερη και καλύτερη απόδοση, οδηγώντας στα βέλτιστα για την επιχείρηση αποτελέσματα.

Εν κατακλείδι
Ενα «καλό» πρόγραμμα MSS δεν είναι αρκετά καλό δεδομένου του σημερινού «αβέβαιου» περιβάλλοντος ασφαλείας. Η εγκατάσταση ενός «δεύτερης διαλογής» προγράμματος μπορεί να οδηγήσει σε σοβαρές επιχειρησιακές απώλειες και πιθανόν σε ολοκληρωτική καταστροφή. Η αυξανόμενη πολυπλοκότητα σε απαιτήσεις και λύσεις ασφαλείας οδηγεί όλο και περισσότερες εταιρείες να εξετάσουν το ενδεχόμενο outsourcing των υπηρεσιών MSS. Αυτές που ακολουθούν τη στρατηγική αυτή θα δουν σημαντικά και πλούσια αποτελέσματα αν τελικά αποφασίσουν να δώσουν τα ηνία στους ειδικούς και να εστιάσουν τη δική τους προσοχή στους ουσιαστικούς επιχειρησιακούς τους στόχους.