Mange lokasjoner og høye sikkerhetskrav: Hvordan begrense spredning i nettverket? 

Mange lokasjoner, ulike tilgangsbehov og krav til dokumentert sikkerhet. For statlige virksomheter og større organisasjoner må nettverket støtte både den daglige driften og tydelige skiller mellom tjenester. Når en sikkerhetshendelse rammer, har det betydning hvilke andre systemer en angriper kan nå. Tjenesteorientert nettverksarkitektur kan gi et bedre grunnlag for å begrense konsekvensene. 

En statlig transportvirksomhet må knytte sammen kontorer, driftslokasjoner og tekniske anlegg. En logistikkvirksomhet har terminaler, lager og administrative miljøer med ulike tilgangsbehov. I forsvarssektoren må løsninger og tilgang tilpasses oppgavene, informasjonen og sikkerhetskravene i det enkelte miljøet. 

Statlige etater og større virksomheter har også behov for å beskytte informasjon og opprettholde driften på tvers av mange lokasjoner. Kravene varierer, men et sentralt spørsmål er felles: Hvilke forbindelser må fungere, og hvilke forbindelser skal ikke være mulige? 

En hendelse bør få så begrenset rekkevidde som mulig 

Når en enhet blir kompromittert, har det betydning hvilke andre systemer den kan nå. Unødvendige forbindelser mellom administrative systemer, teknisk utstyr og operative tjenester kan gi en angriper flere veier videre. 

Segmentering handler om å begrense kommunikasjonen til det virksomheten faktisk trenger. Ansatte skal ha tilgang til nødvendige fagsystemer. Leverandører skal bare nå utstyret de har ansvar for. Gjester skal kunne bruke internett uten tilgang til interne ressurser. 

For virksomheter med et samfunnskritisk oppdrag må disse skillene ta utgangspunkt i tjenestene som skal beskyttes, konsekvensene av bortfall og avhengighetene mellom systemene. 

En IT-hendelse kan bli en driftskrise 

Da Hydro ble rammet av et cyberangrep 19. mars 2019, opplyste selskapet at flere forretningsområder var påvirket. Anlegg og operasjoner ble isolert, og virksomheten tok i bruk manuelle prosedyrer der det var mulig. Manglende tilgang til produksjonssystemer førte til produksjonsutfordringer og midlertidig stans ved flere anlegg. Kilde: Hydros oppdatering 19. mars 2019. 

Poenget er derfor ikke at én bestemt nettverksarkitektur ville ha forhindret angrepet. Hendelsen viser snarere hvor tett digitale systemer, produksjon og operativ drift henger sammen. Når sentrale systemer faller bort, må virksomheten vite hvilke funksjoner som fortsatt kan opprettholdes, hvilke deler av miljøet som bør isoleres, og hvilke avhengigheter som kan gjøre gjenoppretting mer krevende. For virksomheter med kritiske tjenester blir dette et spørsmål om beredskap, tjenesteprioritering og kontroll på kommunikasjonen mellom systemer. 

Skill tjenestene gjennom hele nettverket 

En nettverksarkitektur kan holde ulike tjenester logisk adskilt over en felles fysisk infrastruktur. Skillet følger da tjenesten på tvers av relevante bygg og lokasjoner. Kommunikasjon mellom tjenestene etableres og kontrolleres der det er nødvendig. 

En tjenesteorientert nettverksarkitektur kan redusere behovet for separate fysiske nettverk ved at flere tjenester holdes logisk adskilt over felles infrastruktur. Dette er likevel ikke riktig for alle miljøer. Sikkerhetskrav, klassifisering og behov for uavhengighet må avgjøre hvor logisk separasjon er tilstrekkelig, og hvor det kreves fysisk adskilte løsninger. Det er særlig viktig i forsvarssektoren og andre miljøer med særskilte beskyttelsesbehov. 

Et konkret eksempel: Kritisk infrastruktur 

Tenk dere en offentlig virksomhet som opererer en samfunnskritisk infrastruktur og skal etablere en ny lokasjon. Ansatte trenger tilgang til administrative systemer. Sensorer, kameraer og byggtekniske installasjoner skal kommunisere med dedikerte plattformer, og eksterne leverandører trenger kontrollert tilgang til utstyret de vedlikeholder. 

Utfordringen er å kunne levere disse tjenestene raskt og effektivt uten å bygge separate nettverk for hver funksjon. Der krav og regelverk tillater det, kan flere typer trafikk benytte samme fysiske infrastruktur samtidig som kommunikasjonen holdes logisk adskilt. En kompromittert teknisk enhet skal ikke automatisk kunne kommunisere med administrative systemer eller andre deler av miljøet. Leverandørtilgang må styres gjennom egne regler, med tydelige sikkerhetskontroller og begrensninger. 

Like viktig er evnen til å håndtere hendelser når de oppstår. Virksomheten må vite hvilke deler av miljøet som påvirkes, hvordan disse kan isoleres, og hvilke konsekvenser tiltakene får for den daglige driften. I noen situasjoner kan det være nødvendig å stenge ned større deler av miljøet, mens andre hendelser kan håndteres mer målrettet. Uansett må tiltakene være planlagt, testet og kunne gjennomføres uten unødvendig kompleksitet. 

Verdien ligger i å kunne etablere nye lokasjoner og tjenester raskere, opprettholde nødvendig segmentering og samtidig ha forutsigbare mekanismer for å begrense konsekvensene av feil, kompromittering eller driftsavvik. 

Endringer må bevare skillet mellom tjenestene 

Nye lokasjoner, nytt utstyr og endrede tjenestebehov krever løpende tilpasninger. I nettverk med mange lokale oppsett kan én endring kreve manuell konfigurasjon i flere komponenter. Det gjør det mer krevende å kontrollere at separasjonen er ivaretatt hele veien. 

Med en tjenesteorientert og automatisert nettverksarkitektur kan godkjente tjenester etableres der de skal brukes, uten at hele nettverket må bygges om for hver endring. Like viktig er det motsatte: Når et prosjekt avsluttes, en leverandørtilgang ikke lenger trengs, eller en midlertidig tjeneste tas ut av bruk, bør tilgangen og de tilhørende nettverksforbindelsene kunne fjernes på en kontrollert og forutsigbar måte. Slik reduseres risikoen for at gamle unntak, ubrukt konfigurasjon eller midlertidige åpninger blir liggende igjen som skjulte avhengigheter. 

Arkitekturen må fortsatt dokumenteres og testes. Hvilke enheter som tilhører hver tjeneste, og hvor kommunikasjon mellom tjenester tillates, er avgjørende valg. 

Tjenesteseparasjon på tvers av lokasjoner 

Med en tjenesteorientert nettverksarkitektur kan nettverkstjenester holdes logisk adskilt gjennom infrastrukturen. Det gir et grunnlag for å etablere avgrensede tjenester for ulike grupper av brukere, enheter og systemer, og utvide dem til relevante lokasjoner. 

For virksomheter med mange lokasjoner er verdien at sikkerhetsskillene kan følge tjenestene gjennom nettverket. Kommunikasjon mellom tjenester må fortsatt etableres og kontrolleres ut fra behovene. Autentisering, tilgangsstyring og andre sikkerhetskontroller må inngå i helheten. 

Høye sikkerhetskrav må kunne etterprøves 

I forsvarssektoren og andre miljøer med høye sikkerhetskrav må virksomheten kunne vise hvordan tilganger kontrolleres, hvordan sikkerhetsskiller opprettholdes, og hvordan endringer og hendelser følges opp. Sikkerhet må bygges inn i både arkitekturen og driften. 

Det innebærer å avklare hvem og hva som får koble seg til, begrense kommunikasjon mellom tjenester, beskytte administratortilgang og følge opp sikkerhetsvarsler. Behov for kryptering, fysisk separasjon og godkjenning må vurderes for det konkrete miljøet. Et produktvalg alene dokumenterer ikke at alle kravene er oppfylt. 

Separasjon må ses sammen med tilgjengelighet og beredskap 

Logisk adskilte tjenester kan fortsatt være avhengige av de samme forbindelsene, strømforsyningen, serverne eller påloggingsløsningene. En feil i en felles komponent kan derfor påvirke flere tjenester samtidig. 

Nettverksseparasjon må ses sammen med redundans, sikkerhetsovervåking, hendelseshåndtering og gjenoppretting. Virksomheten må vite hvilke tjenester som skal prioriteres, hvilke avhengigheter som er kritiske, og hvordan driften skal opprettholdes ved bortfall. 

Fra regulatoriske krav til konkrete kontroller 

Virksomheten må først avklare hvilke krav som gjelder for oppgavene, informasjonen og systemene. Krav til tilgangsbegrensning, sporbarhet og tilgjengelighet må omsettes til konkrete tiltak og dokumentasjon. 

Nettverksseparasjon kan være ett av disse tiltakene. Den må følges opp med oversikt over tillatt kommunikasjon, dokumenterte tilgangsregler, relevante logger og testing av at skillene fungerer. Etterlevelse må vurderes for den samlede løsningen og driften. 

Fem spørsmål IT-ledelsen bør stille 

1. Hvilke tjenester er mest kritiske for samfunnsoppdraget vårt, og hva er konsekvensene hvis de blir utilgjengelige? 

2. Er administrative systemer, teknisk utstyr og operative tjenester adskilt i tråd med sikkerhetsbehovene? 

3. Hvor må tjenester kommunisere med hverandre, og hvordan kontrollerer vi disse forbindelsene? 

4. Kan vi endre eller utvide nettverket uten å svekke etablerte sikkerhetsskiller? 

5. Hvilke felles avhengigheter kan fortsatt føre til bortfall i flere kritiske tjenester samtidig? 

Kontroll der konsekvensene er størst 

Et nettverk skal gjøre nødvendig kommunikasjon mulig og opprettholde de skillene virksomheten trenger. For virksomheter med et samfunnskritisk oppdrag betyr det å bygge sikkerhet og tilgjengelighet rundt tjenestene som må fungere. 

Tydelig separasjon kan begrense rekkevidden av en hendelse. Sammen med planlagt beredskap og kontroll på felles avhengigheter gir det et bedre grunnlag for å håndtere det uventede. 

Artikkelen er laget i samarbeid med Extreme Networks. 

Strategiske partnere