A jak ji vyřešit bez nákupu dalších nástrojů.
Většina organizací nemá problém s bezpečností sítě. Má problém se složitostí sítě.
Podnikové sítě postupně rostou živelně. Přibývají nové aplikace, vznikají nová prostředí, připojují se nové lokality a pravidla firewallu se vytvářejí pod časovým tlakem nebo při zavádění projektů a často zůstanou neuklizená. Každá jednotlivá změna bývá zdůvodněná. Problém je, že se nikdo nevrátí, aby to, co vzniklo, zjednodušil.
Výsledkem je síť, která technicky funguje, ale provozně je křehká a stále rizikovější.
Skutečné náklady složitosti
Dopad složitosti sítě sahá daleko za samotnou úroveň zabezpečení. Projevuje se jako:
- Pravidla firewallu, která se nikdo neodváží odstranit
- Změny, které trvají týdny místo hodin
- Vysoké provozní riziko i u jednoduchých úprav
- Zastíněná pravidla, která často povolují víc, než by měla
- Auditní cykly, které se mění v reaktivní hašení požárů
- Bezpečnostní týmy, které udržují stará rozhodnutí místo snižování rizika
V této fázi mnoho organizací usoudí, že potřebuje lepší nástroje. Ve skutečnosti už výkonné platformy mají. Chybí jim struktura, společné porozumění a přehled.
Úzkým hrdlem nejsou nástroje, ale struktura
Ve většině podnikových prostředí je interních znalostí málo, jsou roztříštěné a nerovnoměrně rozložené.
Nikdo sám plně nerozumí všem aplikacím, systémům, závislostem a obchodním požadavkům, které služby firewallu využívají. Přesto bývá úklid firewallu a odpovědnost za bezpečnost sítě často svěřena jediné osobě, obvykle nejzkušenějšímu inženýrovi v týmu.
Vzniká tak nezdravá a neudržitelná dynamika:
- Jeden člověk se stává úzkým hrdlem rozhodování
- Stará pravidla zůstávají nedotčená kvůli nejistotě
- Rozhodnutí o riziku padají bez úplného obchodního kontextu
- Znalosti zůstávají v hlavách lidí a nejsou zdokumentované
Zároveň bývá samotné vlastnictví aplikací slabší, než organizace předpokládají. Vlastníci aplikací v mnoha případech svým aplikacím plně nerozumějí, zejména starším systémům, které se léta vyvíjely postupnými změnami, střídáním týmů a nezdokumentovanými integracemi. Tato nejasnost vede k pochopitelné opatrnosti. Když si lidé nejsou jistí, jak se jejich aplikace chová, nejbezpečnější volbou se zdá nic neměnit, nebo jak tomu rád říkám: „když to funguje, nesahej na to.“
Výsledek je předvídatelný:
- Pravidla firewallu se ponechávají „pro jistotu“
- Příliš volný přístup zůstává zachován
- Bezpečnostním opatřením se lidé vyhýbají, místo aby je zpřesnili
„Složitost přetrvává ne proto, že by týmy nebyly schopné, ale proto, že odpovědnost je centralizovaná, zatímco porozumění je roztříštěné nebo úplně chybí.“
Cesta vpřed nevede přes vynucování rozhodnutí, ale přes obnovu porozumění. Když vlastníci aplikací dostanou podporu v pochopení toho, jak jejich aplikace využívají síťové služby a služby firewallu, které toky jsou skutečně potřebné a které jsou historickým pozůstatkem, a jak technické závislosti souvisejí s obchodní funkčností, stávají se aktivními přispěvateli k bezpečnosti, ne pasivními nositeli rizika.
Ochrana aplikace začíná pochopením toho, jak komunikuje. Správně provedený úklid firewallu se stává příležitostí zlepšit bezpečnost i odolnost aplikací, ne hrozbou pro stabilitu.
Bezpečnost sítě je týmový sport
Účinné zjednodušení bezpečnosti sítě není hrdinský výkon jednotlivce. Snížení složitosti vyžaduje spolupráci napříč týmy:
- Vlastníci aplikací vysvětlují, proč konkrétní provoz existuje
- Infrastrukturní týmy vyjasňují, jak jsou systémy propojené
- Bezpečnostní týmy dodávají strukturu, posouzení rizika a mantinely
- Rozhodnutí se dokumentují, revidují a sdílejí
Když taková spolupráce funguje, změní se něco důležitého. Pravidla firewallu přestanou být „technickými artefakty“ a stanou se obchodními rozhodnutími s jasným vlastníkem.
Co skutečně funguje v praxi
V organizacích, kterým se složitost sítě daří snížit, je postup překvapivě podobný:
- Získat přehled o skutečných tocích provozu, ne o předpokladech
- Přiřadit toky k aktivům a k jejich obchodnímu účelu
- Normalizovat a racionalizovat pravidla firewallu
- Zavést řízení životního cyklu pravidel (proč existuje, kdo ho vlastní, kdy vyprší)
- Sledovat pokrok pomocí jednoduchých a poctivých metrik (např. podíl zrevidovaných a zdůvodněných pravidel)
Není to okázalá práce. Ale funguje.
Výsledek: méně rizika, víc pružnosti
Když se složitost snižuje záměrně:
- Úroveň zabezpečení se měřitelně zlepšuje
- Změny se provádějí rychleji
- Rozhovory s auditory se opírají o fakta místo obhajování
- Znalosti přecházejí z jednotlivců do organizace
Nejdůležitější změna je kulturní. Bezpečnost sítě se stává provozní disciplínou, ne sbírkou nástrojů.
Závěrem
Pokud váš firewall zpomaluje byznys, málokdy je to proto, že je „příliš přísný“. Mnohem častěji proto, že síť se stala příliš složitou na to, aby se dala bezpečně spravovat. Řešením není další produkt. Je to struktura, přehled a sdílená odpovědnost.