Tämä opas on tarkoitettu tietoturvan hankinnan ensikertalaiselle, esimerkiksi vastikään tietohallintopäälliköksi nimitetylle, jonka vastuulle tulivat pyytämättä ja yllättäen myös tietoturvahankinnat.
Oppaassa käydään läpi yleisimmät tietoturvapalvelut (myös ne, joita Silverskin ei tarjoa) ja avataan, minkä ongelman ne ratkaisevat. Lisäksi kerromme, miten tunnistat palvelun, jonka nimen taakse kätkeytyykin vain kolme automaattityökalua trenssitakissa.
Mikä se on: Automaattinen tarkastusmenetelmä tunnettujen haavoittuvuuksien löytämiseksi sekä jatkuva näkymä siihen, mitä ulkopuoliset organisaatiostanne havaitsevat – mikä on usein enemmän kuin itse tiedät.
Haavaskanneri raportoi oven olevan valmistettu heikosta materiaalista, mutta se ei kerro, voiko asiaton henkilö kulkea sen läpi. Liiketoimintalogiikka, käyttöoikeudet ja järjestelmien tarkoitusperä ovat sen tavoittamattomissa. Tekoälyavusteisten työkalujen myötä skannauksesta on tullut lähes maksutonta ja jatkuvaa, ja sen olettaisi kuuluvan jo valmiiksi käyttämiisi alustoihin.
Milloin ostaa: Aina, erityisesti jatkuvana palveluna. Se vertautuu käsien pesuun: olennaista ja terveyttä ylläpitävää, mutta ei korvaa terveystarkastusta.
Mikä se on: Tietoturvaan erikoistunut henkilö – mahdollisesti apunaan parvi tekoälyä – yrittää päästä luvatta käsiksi ennalta määriteltyyn kohteeseen, kuten web-sovellukseen, API-rajapintaan, pilvipalveluun tai tietoverkkoon.
Epäonnistunut tunkeutumisyritys ei kuitenkaan ole vakuutus siitä, että tunkeutuminen olisi mahdotonta. Testaaminen paljastaa kohdejärjestelmän tietoturvaheikkoudet ja
-haavoittuvuudet. Se ei kuitenkaan todista, että niitä ei ole – samaan tapaan kuin epäonnistunut etsintä kadonneiden auton avainten osalta ei todista ettei avaimia ole; etsintä ei vain löytänyt niitä sillä kertaa.
Tekoälyn liittyminen testaustiimiin on muuttanut tilannetta: työkalut hoitavat rutiinit, jolloin asiantuntija voi keskittyä koneellisesti vaikeammin mallinnettaviin asioihin, kuten sovelluslogiikkaan ja liiketoimintasääntöihin. Koska koodia tuotetaan nykyään koneen nopeudella ja viedään tuotantoon jopa useita kertoja päivässä, yksittäisen testin tulokset vanhenevat aiempaa nopeammin.
Milloin ostaa: Osta penetraatiotestaus (tuttavallisemmin pena) ennen ensimmäistä julkaisua ja isomman remontin jälkeen. Tahdita se sovelluksen muutosten mukaan mieluummin kuin kalenterin – kalenteri harvoin aiheuttaa haavoittuvuuksia, vaikka sen perusteella päätetäänkin useimmat testausajankohdat.
Mikä se on: Tavoiteperusteinen hyökkäyssimulaatio, joka testaa yhtä aikaa ihmisiä, prosesseja ja teknologiaa.
Purple teaming tarkoittaa, että hyökkääjät ja puolustajat toimivat yhteistyössä. Se kuulostaa ristiriitaiselta, mutta on käytännössä nopein tapa oppia. Tavoitteena ei ole löytää kaikkia haavoittuvuuksia, vaan testata kyvykkyyttä havaita hyökkäys ja vastata siihen. Kun hyökkäykset nopeutuvat tekoälyn ansiosta, puolustuksen on pysyttävä kyydissä.
Milloin ostaa: Vasta kun monitorointi ja vaste ovat sillä tasolla, että niitä ylipäätään kannattaa testata. Tämä on harvoin ensimmäinen tarvitsemasi palvelu. Red team -harjoitus vartioimattomaan ympäristöön on kuin palkkaisit murtovarkaan keikkaamaan kotisi, jossa ei ole kameroita tai hälyttimiä. Varas pääsee takuulla sisään, ja maksat lähinnä siitä, että tieto kirjataan tyylikkääseen PowerPoint-esitykseen.
Mikä se on: Jäsennelty tapa katselmoida suunnitelmia tai toteutusta. Siinä kysytään ”mitä ei saisi koskaan tapahtua” ja vastataan ”kuinka se voisi tapahtua”. Mitään vastaan ei hyökätä vaan pelkästään järkeillään, mikä tekee palvelusta vähiten dramaattisen mutta usein arvokkaimman (ei kalleimman).
Tekoälyn aikakaudella uhkamallinnuksesta on tullut entistä olennaisempi: tekoäly tuottaa koodia hurjaa vauhtia, mutta virheellinen suunnitelma tuottaa virheellisen toteutuksen, kirjoitutetaan se miten monta kertaa tai miten elegantisti tahansa.
Milloin ostaa: Kun järjestelmää vasta suunnitellaan tai siihen on tulossa isoja muutoksia. Suunnitteluvirhe on virheistä halvin korjata, sillä piirustuksia on helpompi muokata kuin väärään paikkaan valettua betonia.
Mikä se on: Lähdekoodin läpiluku tai koneellinen skannaaminen tietoturvaongelmien paljastamiseksi.
Tämä ei todista, että koodi olisi ajettuna turvallinen, sillä konfiguraatio, integraatiot ja ajoympäristö asuvat toisaalla. Täydellinen koodi heikosti suojatussa ympäristössä tuottaa silti heikosti suojatun järjestelmän.
Koska tekoäly kirjoittaa kasvavan osan koodista ja osaa myös katselmoida sitä, päädytään kiinnostavan ongelman äärelle: työkalu, joka kirjoitti koodin, ei voi virheettömästi todistaa sen oikeellisuutta, koska sen omat sokeat pisteet vaikuttavat kummassakin roolissa. Samasta syystä ylioppilaat eivät arvioi omia kokeitaan.
Milloin ostaa: Ota osaksi jatkuvaa ohjelmistokehitystä, sillä se tuo havaitsemisen lähelle koodin tuotantoa.
Mikä se on: Kanava haavoittuvuuksien vastaanottamiseen ulkopuolisilta tutkijoilta, jotka odottavat löydöksistään palkkiota. Testikattavuus riippuu siitä, keitä ohjelmaan osallistuu ja mihin he sattuvat sillä viikolla keskittymään. Varsinaista testisuunnitelmaa ei ole.
EU:n kyberkestävyyssäädös (CRA) edellyttää koordinoitua haavoittuvuuksien julkaisupolitiikkaa, joten virallinen ilmoituskanava on nykyään enemmän vaatimus kuin mukavuustekijä.
Milloin ostaa: Ilmoituskanavan pystyttäminen kannattaa tehdä, sillä se ei maksa juuri mitään ja tahot, jotka löytävät ongelmia voivat raportoida ne sinne. Muussa tapauksessa heidän ainoa vaihtoehtonsa on julkaista ne sosiaalisessa mediassa. Bug bounty-ohjelma kannattaa käynnistää vasta kun sinulla on kyvykkyys korjata sisääntulevat havainnot. Muussa tapauksessa olet hankkimassa varsin kalliin aloitelaatikon.
Mikä se on: muutostahtista penetraatiotestausta. Jokainen julkaisu tai sovelluksen merkittävä muutos, laukaisee testiajon, jonka jälkeen tuloksia verrataan aiempaan. Se raportoi tietoturvatason kehitystä ajan yli, jolloin testaajat tuntevat sen kehityshistorian. Se ei ole loputonta skannausta vaan asiantuntijat tekevät suurimman työn. Se vastaa tekoälyaikakauden kiihtyneeseen muutostahtiin, kuvaa tietoturvatason trendit sekä varmistaa aiemmin löydettyjen havaintojen korjaukset.
Milloin ostaa: Kun sovelluksesi muuttuvat kuukausittain tai nopeammin. Varmista toimittajalta, tarkoittaako ”jatkuva” oikeaa asiantuntijatyötä vai pelkkää kuukausimaksullista skannausta.
Mikä se on: Chatbottien, tekoälyavustajien ja muiden tekoälyintegraatioiden testaamista tuotteissasi ja prosesseissasi.
Tekoälyn riskit ovat aidosti uusia. Koska tekoäly lukee komentoja mistä tahansa tietolähteestä, dokumentti, sähköposti tai verkkosivu voi sisältää piilotettuja käskyjä, jotka tekoäly suorittaa vahingossa. Tämä prompt injection -ilmiö vastaa sitä, että palkkaamasi yli-innokas assistentti tottelee jokaista löytämäänsä post-it-lappua. Testaamisessa tekoälyä pyritään manipuloimaan luovuttamaan arkaluonteista tietoa tai tekemään kiellettyjä asioita.
Milloin ostaa: Ennen kuin tekoälytoiminto pääsee käsiksi asiakasdataan tai suorittamaan komentoja jonkun puolesta. Mieluummin ennen julkaisua, sillä jälkikäteen palvelun nimi on ”digitaalinen forensiikka ja tietoturvapoikkeamien hallinta”.
Mikä se on: Auditointi selvittää, mitä tietoturvakontrolleja organisaatiolla on ja noudatetaanko niitä. Testaaminen puolestaan selvittää, toimivatko kontrollit silloin, kun joku aktiivisesti yrittää ohittaa ne.
Sertifioidun organisaation asiakasportaali voi olla täysin suojaamaton, sillä sertifiointi tarkastelee hallintajärjestelmää. Vastaavasti sertifioimattoman organisaation portaali voi olla läpeensä testattu.
Milloin ostaa: Yleensä tarvitset molemmat, sillä kumpikaan ei korvaa toista – aivan kuten ajokortti ei korvaa jarruja.
Palvelun nimi saattaa olla markkinointiosaston keksimä. Kysy ensin itseltäsi:
Ellet tiedä, mihin kysymykseen haet vastausta, et ole valmis ostamaan. Sen sijaan olet valmis olemaan myynnin kohteena, mikä on hyvin eri ja merkittävästi kalliimpi kokemus.
Perinteinen testauksen laajuus (scope) määritellään näin: ”Tässä on 12 IP-osoitetta ja kaksi URLia.” Se kertoo testaajalle mistä etsiä, mutta ei mitään siitä, millä on väliä.
Parempi scope kuuluu esimerkiksi näin:
Nyt testaaja tietää, mitä ei saisi tapahtua, ja pyrkii saamaan juuri sen aikaiseksi. Samalla raportti puhuu liiketoiminnan kieltä teknisen jargonin sijaan. Hyvä toimittaja haluaa ymmärtää järjestelmän liiketoimintamerkityksen ennen tarjouksen jättämistä. Pelkistä IP-osoitteista kiinnostunut toimittaja tuottaa vain listan teknisiä havaintoja – ei todellista riskiarviota.
Jos huomaat tarjousvaiheessa jonkin seuraavista, kysy toimittajalta tarkentavia kysymyksiä. Jos huomaat kaksi tai useamman, pyydä tarjous muualta:
Uusi julkaisu, integraatio, kumppani tai lisätty tekoälytoiminto laukaisee tarpeen testaukselle. Samoin tieto kolmannen osapuolen kirjastossa olevasta haavoittuvuudesta. Säännöllinen rytmi on silti tarpeen, sillä maailma muuttuu ympärillä, vaikka oma koodisi ei muuttuisikaan.
Kaipaatko apua sen hahmottamiseen, mikä kysymys teidän kannattaisi ratkaista ensimmäisenä? Ota yhteyttä, niin käydään tilanteenne läpi yhdessä.