Jeśli chodzi o cyberbezpieczeństwo w branżach regulowanych, to Jakub Jagielak, dyrektor ds. rozwoju cyberbezpieczeństwa w Atende, wskazuje na dwa dokumenty. Pierwszym jest ustawa o krajowym systemie cyberbezpieczeństwa (KSC), której przepisy teoretycznie powinny być bezwzględnie stosowane przez podmioty nią objęte, ale nierzadko są traktowane na równi z dobrymi praktykami.

– Przepisy wymagają dopracowania, a wiele firm, które powinny być objęte regulacjami KSC, nie dostało decyzji stwierdzającej, że z punktu działania państwa świadczą tzw. usługi kluczowe. W rezultacie procedury nie nadążają za rzeczywistością i dokonującymi się zmianami – mówi Jakub Jagielak.

Autorem drugiego dokumentu jest Komisja Nadzoru Finansowego, który to organ nie ma mocy sprawczej na poziomie ustaw, więc wydaje rekomendacje. A te, z punktu widzenia sektora finansowego, są de facto dobrymi praktykami. Przyjęło się jednak, że banki traktują rekomendacje KNF jako wytyczne, wychodząc z założenia, że lepiej nie mieć później kłopotów z regulatorem.

– Dlatego szybciej wprowadzane są mechanizmy i zmiany sugerowane przez KNF niż wytyczne z ustawy o KSC. Jeśli jednak porównać oba dokumenty, to widać, że są one bardzo do siebie podobne. Twórcy ustawy o KSC w dużej mierze oparli się na rekomendacjach KNF, przenosząc je na obszar bardziej technologiczny – zauważa specjalista Atende.

Także Bartosz Dzirba, CTO w Passus SA, wskazuje na odnoszące się do Operatorów Usług Kluczowych (OUK) przepisy o zachowaniu ciągłości działania. Chociaż dotyczą znacznie szerszego obszaru, to bez wątpienia brak przygotowania i zaniechania w zakresie cyberbezpieczeństwa prędzej czy później przyczynią się do powstania zagrożeń skutkujących przerwaniem tej ciągłości. W rezultacie Ustawa o krajowym systemie cyberbezpieczeństwa może być dla integratorów ważnym argumentem sprzedażowym.

Regulacje unijne

W tym zakresie powstały dokumenty, takie jak dyrektywa NIS (z aktualizacją NIS 2), które są wdrażane na poziomie krajowym. Podmioty regulowane, których realnie dotyczą te przepisy, to sektory związane z bezpieczeństwem państwowym, energetycznym, szeroko rozumianymi finansami, zdrowiem, transportem itd. To zatem bardzo pokaźna lista przedsiębiorstw i instytucji. Drugą kategorią są dostawcy usług cyfrowych, do których w teorii również można by zaliczyć bardzo dużo firm. W praktyce chodzi jednak przede wszystkim o międzynarodowe koncerny, których zakres działania wiąże się z trzema rzeczami: dostawą platform internetowych, chmurą i wyszukiwarkami. Dlatego w tym drugim przypadku trudno spodziewać się wysypu polskich przedsiębiorstw.

– Oczywiście są też organizacje, które chcą i rozumieją potrzebę zabezpieczenia infrastruktury, bez względu na przepisy tworzone na poziomie krajowym czy unijnym. Wśród nich takie, które w ten sposób zamierzają uzyskać przewagę konkurencyjną – podkreśla Bartosz Dzirba.

Sprzedaż regulowana: ani łatwo, ani przyjemnie?

W teorii dbałość o cyberbezpieczeństwo powinna cechować każdego klienta z branży regulowanej, ale w praktyce nie zawsze tak bywa… „Do tej pory nic mi się nie stało. Szacuję, że ryzyko jest niewielkie i nic się nie zdarzy jeszcze przez długi czas. Odłożę więc wdrożenie systemu cyberbezpieczeństwa na później i zaoszczędzone pieniądze przeznaczę na coś innego…” – w ten sposób Jakub Jagielak przedstawia tok myślenia, który nie jest wcale spotykany tak rzadko, jak mogłoby się wydawać.

Nieważne, że odsuwanie w czasie wdrożenia ochrony może mieć poważne konsekwencje, chociażby w postaci olbrzymiej kary finansowej, którą nałoży regulator, gdy dojdzie do wycieku danych. A przecież nie mniejsze straty dotyczyć będą reputacji. Przykładowo, kancelaria prawna, w której doszło do wycieku poufnych danych, będzie się być może musiała zamknąć, bo żaden klient już nigdy jej nie zaufa.

Do wcale nierzadkiej beztroski może przyczyniać się to, że regulator daje obecnie zbyt duży margines w interpretowaniu przepisów. Przepisy sprowadzają się do tego, co należałoby zrobić i jakie procedury wprowadzić, ale nie precyzują, jak to powinno zostać zrealizowane. Przykładowo, jeśli zobowiązują do monitorowania logów, czyli aktywności urządzeń, to można to robić na wielu poziomach. A zatem zbierać i przeglądać ręcznie albo automatycznie łączyć, korelować i uzyskiwać informacje wskazujące na zaawansowane zagrożenia, które za chwilę doprowadzą do nieszczęścia.

– Weźmy wytyczną dotyczącą ochrony stacji końcowych. Z jednej strony może to być zainstalowanie antywirusa i poprzestanie na tym, z drugiej dodanie do niego innych, zaawansowanych mechanizmów, które znacznie podniosą poziom bezpieczeństwa – mówi Jakub Jagielak.

Monitorowanie logów jest co prawda tożsame z zastosowaniem takiego rozwiązania, jak SIEM-a (Security Information and Event Management), ale tylko i wyłącznie w środowisku specjalistów ds. bezpieczeństwa. Gdy potrzeba wdrożenia SIEM trafi na zarząd, to często będzie kwestionowana zasadność zakupu takiego systemu.

– Pojawią się wątpliwości, czy konieczne jest zastosowanie tak potężnego narzędzia, które w dodatku jest drogie. Dlatego wcale nierzadko, zamiast kupić zaawansowane rozwiązanie do monitorowania logów, klient ogranicza się tylko do podstawowej funkcjonalności zarządzania logami, co kosztuje bez porównania mniej, a wymóg regulatora zostaje spełniony – tłumaczy specjalista Atende.

I tego może nie zmienić nawet audyt, który wykaże konieczność zastosowania SIEM-a. Wciąż pozostaje bowiem furtka: w przypadku braku jakichś systemów, można wytłumaczyć regulatorowi, dlaczego do tej pory ich nie wdrożono i liczyć na to, że takie wyjaśnienie zostanie przyjęte. Można przy tym usprawiedliwić się ograniczonymi budżetami i przedstawić rozciągnięty w czasie plan wdrażania – krok po kroku. To dodatkowo da takiej firmie większe pole manewru w kontekście dalszych audytów.

Do takich sytuacji dochodzi rzadziej w sektorze finansowym (szczególnie bankowym), w którym sprzedaż security w dużym stopniu determinują rekomendacje KNF dotyczące stosowania rozwiązań mających zapewnić ochronę i bezpieczeństwo danych, zarówno on-premise, jak i w chmurze. Banki muszą brać pod uwagę wytyczne mówiące, jakiego rodzaju działania mogą czy wręcz powinny być podejmowane, a jakie nie.

– Na tę warstwę regulacji wprowadzonych przez KNF, nakłada się dodatkowy czynnik w postaci ogólnie bardzo wysokiego poziomu świadomości technologicznej oraz innowacyjności polskiego sektora finansowego, który jest jednym z wiodących pod tym względem w Europie, a nawet na świecie. To sprawia, że bardzo dobrze pracuje się z klientami z tej branży, a sam rynek jest w miarę stabilny – mówi Piotr Skirski, Regional Manager Public & Enterprise w Cisco.

Pandemia w jakimś sensie zachwiała tą stabilnością i wymusiła na bankach wprowadzenie dodatkowych rozwiązań bezpieczeństwa, które pozwoliły przenieść pracowników na pracę zdalną, przy jednoczesnym zachowaniu wszelkich procedur dla zabezpieczenia danych wrażliwych w środowisku domowego biura.

– Banki zaczęły inwestować w rozwiązania VPN, ochronę DNS czy dodatkowe bezpieczeństwo urządzeń końcowych. Popularność zyskują też rozwiązania analityczne zapewniające pełną widoczność aplikacji w infrastrukturze IT banku – twierdzi przedstawiciel Cisco.

Dobry rynek do rozwoju usług

Rozwój rynku IT i coraz częstsze incydenty stanowiły już wystarczające argumenty do zainteresowania się cyberbezpieczeństwem, ale przepisy realnie to jeszcze wzmocniły. Już samo RODO zmusiło do większego niż wcześniej inwestowania w cyberbezpieczeństwo, co nie oznacza jednak od razu zakupu konkretnych rozwiązań.

– Przepisy to głównie procedury, regularne audyty, zarządzanie ryzykiem, szkolenia, co nie przekłada się jeszcze na wdrożenie systemu „klasy X” – zauważa Bartosz Dzirba.

Dlatego regulacje bardziej napędzają sprzedaż firmom audytorskim czy firmom świadczącym outsourcing cyberbezpieczeństwa. Co ma swoją dobrą stronę, bo nawet świetnie wdrożone narzędzie nie zabezpieczy użytkownika, jeśli tzw. czynnik ludzki nie będzie odpowiednio wyedukowany.

– Często więc przy okazji projektów IT zajmujemy się nie tylko ich wsparciem, ale ciągłym utrzymaniem i analizą danych. Zdarzają się też usługi, w ramach których próbujemy świadomie ten „czynnik ludzki” przetestować. W ostatnim czasie obserwujemy duży wzrost zainteresowania systemami do automatycznego testowania podatności, choć nie zawsze wyniki są wykorzystywane do realnych działań i poprawy bezpieczeństwa – mówi CTO Passusa.

Jeśli chodzi o wdrożenia, to każdy przypadek powinien być traktowany indywidualnie, a system bezpieczeństwa szyty na miarę realnego ryzyka, oczekiwań, kosztów i możliwości zespołu ds. bezpieczeństwa w danej firmie. Jednak bywa, że dyrektorzy IT oczekują gotowych rozwiązań. Dlatego niektórzy producenci stworzyli „czarne skrzynki”, które są połączeniem wielu ich produktów z zakresu security i obejmują swoim działaniem możliwie szeroki obszar cyberbezpieczeństwa w organizacji.

– Jednak vendorów o bardzo szerokiej ofercie nie ma dużo, za to na rynku funkcjonuje wielu producentów mocno wyspecjalizowanych narzędzi. Dlatego to integratorzy podejmują się tworzenia takich „czarnych skrzynek”, aby rósł zarówno poziom realnej ochrony, jak i możliwości „odhaczania” kolejnych pozycji z listy audytora – twierdzi Bartosz Dzirba.

Regulacje wymagają dopracowania

Zdaniem Jakuba Jagielaka dwa najważniejsze dokumenty – ustawa o KSC i rekomendacje KNF – to wciąż za mało, jeśli chodzi o obszar cyberbezpieczeństwa w państwie. Problemem jest chociażby to, że wytyczne nie przekładają się na wiedzę, w jaki sposób budować system cyberbezpieczeństwa. Ma to zmienić nowelizacja ustawy o KSC, która powinna być niedługo przesłana do sejmu, więc jest szansa, że wkrótce wejdzie w życie.

– A to jest konieczne, ponieważ na wielu konferencjach podsumowywano efekty dotychczasowej ustawy i nie wypadało to dobrze. Ze wszystkich firm, które powinny być zaklasyfikowane jako kluczowe dla systemu cyberbezpieczeństwa, taki status ma dziś jakieś 40 procent – szacuje Jakub Jagielak.

Takie zaklasyfikowanie pociąga za sobą konieczność przeprowadzenia audytów i sporządzenia rekomendacji, które następnie zostaną wdrożone. Największe firmy, takie jak producenci i dystrybutorzy energii, od początku musiały stawiać sobie wysoko poprzeczkę, budując system cyberbezpieczeństwa. Dlatego były pod tym względem zgodne z oczekiwaniami regulatora jeszcze przed wejściem w życie ustawy. Gorzej z mniejszymi organizacjami i takimi sektorami, jak kanalizacja czy wodociągi – one mają sporo do nadrobienia. Dlatego branże regulowane to rynek, na którym pracy integratorom zajmującym się cyberbezpieczeństwem nie powinno zabraknąć jeszcze długo. Muszą być jednak przygotowani na szereg wyzwań i edukowanie rynku.

Zdaniem integratora

Jakub Jagielak, dyrektor ds. rozwoju cyberbezpieczeństwa, Atende  

Dwa dokumenty – ustawa o KSC i rekomendacje KNF – to wciąż za mało, jeśli chodzi o obszar cyberbezpieczeństwa w państwie. Organizacje funkcjonują w ramach długich i złożonych łańcuchów dostaw i to właśnie one są źródłem potencjalnych zagrożeń. Nietrudno sobie wyobrazić taką sytuację, w której zewnętrzny dostawca, dajmy na to grupy energetycznej czy zbrojeniowej, nie stosuje się do przepisów KSC, bo nie ma takiego obowiązku. W rezultacie staje się furtką dla cyberprzestępców, bo najłatwiej jest im złamać jego zabezpieczenia. Problemem jest także to, że wytyczne nie przekładają się na wiedzę, w jaki sposób budować system cyberbezpieczeństwa. Ma to zmienić nowelizacja ustawy o KSC, która powinna być niedługo przesłana do sejmu, więc jest szansa, że wkrótce wejdzie w życie.

  

Bartosz Dzirba, CTO i członek zarządu, Passus SA  

W odpowiedzi na ewolucję zagrożeń i postępującą cyfryzację wszystkiego rynek cyberbezpieczeństwa rozwija się nieustannie i zmienia bardzo szybko. Większość organizacji, czy to tych wymienionych w regulacjach prawnych, czy też nie, już od dawna świadomie i poważnie podchodzi do obszaru security. To w zasadzie dziś pewien standard, bo chodzi o ich własne bezpieczeństwo, zabezpieczenie danych, o zaufanie klientów itp. Choć przepisy wspomagają pewne działania, to nie są głównym motywatorem – no chyba, że dla kogoś najważniejsze staje się zaliczenie audytu… To przekłada się na realne i w miarę ciągłe wzrosty sprzedaży produktów, usług, ale i doradztwa w tym zakresie. Jeśli dostawcy potrafią być na bieżąco i mają kompetencje, jest to bardzo dobry rynek do wykazania się.

  

Artykuł Cyberbezpieczeństwo w branżach regulowanych pochodzi z serwisu CRN.

Zwiększone zapotrzebowanie na analizę ruchu sieciowego wynika także z bieżącej sytuacji, związanej z pandemią COVID-19. Z jednej strony większość organizacji już wprowadziła bądź właśnie wprowadza pewne formy pracy zdalnej. Wymaga to dostosowania narzędzi pracy, zastosowania mechanizmów uwierzytelniania i kontroli dostępu, a także monitorowania zarówno zachowania pracowników, jak i ruchu sieciowego. Z drugiej strony, w związku z coraz większą liczbą osób pracujących w sposób zdalny oraz przebywających w izolacji, usługi i rozwiązania są na coraz większą skalę udostępniane poprzez e-platformy, co stanowi źródło dochodów, ale tworzy też nowy wektor podatności.

– To powoduje, że monitorowanie ruchu sieciowego, które do tej pory traktowane było nieco po macoszemu, staje się jednym z zasadniczych komponentów bezpieczeństwa informatycznego w organizacjach – twierdzi Krzysztof Hałgas, dyrektor zarządzający w Bakotechu.

Niemniej rozwiązania do monitoringu i zaawansowanej analityki zdarzeń w sieci wciąż nie są stosowane powszechnie. Zwykle klientom brakuje pełnej wiedzy i zrozumienia, że ich częste problemy z komunikacją mogą być szybko i skutecznie zdiagnozowane. Stosunkowo mała wiedza o korzyściach, jakie daje korzystanie z narzędzi do monitorowania przekłada się na wydłużenie procesu ich sprzedaży.

– Często dopiero PoC, czyli testowanie rozwiązania, pokazuje klientowi ogromną wartość tego typu narzędzi i dopiero wtedy dochodzi do zakupu – mówi Beata Haber, Business Development Manager we Flowmon Networks.

Za główną barierę, która utrudnia sprzedaż rozwiązań do analizy i bezpieczeństwa sieci, część specjalistów uważa ich ceny. Klientom trzeba cierpliwie, i często bezskutecznie, tłumaczyć, że w celu ochrony danych muszą zainwestować w swoją sieć wiele tysięcy złotych. Przeszkodą w sprzedaży rozwiązań do monitoringu i analizy sieci jest także dość powszechna opinia, że są to narzędzia trudne we wdrażaniu i obsłudze.

– Z punktu widzenia przeciętnego użytkownika może to tak wyglądać, ponieważ te narzędzia są tworzone z myślą o osobach, które potrafią interpretować dostarczane wyniki, głównie inżynierach. Jednak w ostatnich latach można było zaobserwować ewolucję wielu produktów na tym rynku, z narzędzi wyłącznie dla inżynierów do rozwiązań także dla biznesu – uważa Bartosz Dzirba, CTO w Passus SA.

W rezultacie interfejsy graficzne zostały uproszczone i stały się bardziej atrakcyjne, zmniejszyła się także liczba prezentowanych domyślnie parametrów. Pulpity pokazują w przejrzysty sposób, według zrozumiałego schematu – na czerwono to, co wymaga interwencji, na pomarańczowo to, co wymaga uwagi oraz na zielono to, co działa prawidłowo. Dzięki temu możliwe jest szybkie zorientowanie się w sytuacji, przykładowo – jak funkcjonuje dana aplikacja w skali oddziału czy całej organizacji. Jeśli trzeba dotrzeć do rzeczy bardziej szczegółowych i skomplikowanych, to wciąż możliwe jest zagłębienie się do takiego poziomu.

– Z kolei jeśli chodzi o implementację, to nie można mówić, że są to rozwiązania gotowe do użytku „wprost z pudełka”. Ich producenci starają się jednak maksymalnie uprościć proces wdrażania, więc w przypadku klasycznego monitoringu sieci można go często zamknąć nawet w przeciągu kilku godzin – zapewnia Bartosz Dzirba.

Zdaniem integratora    

Bartosz Dzirba, CTO, Passus SA  

Jeśli wzrasta zapotrzebowanie na infrastrukturę, to musi rosnąć także potrzeba monitoringu sieci i aplikacji. Coraz więcej projektów dotyczy monitorowania działania aplikacji od strony użytkownika końcowego. Stało się ono szczególnie ważne obecnie, w warunkach pandemii, która doprowadziła do bez porównania większego wykorzystania pracy zdalnej. Dlatego, obok tradycyjnych rozwiązań, będzie przybywać tych opartych na agentach instalowanych na urządzeniach końcowych. Mogą one dużo lepiej pokazać poziom obsługi użytkownika. Klienci mają obecnie znacznie mniejsze niż w przeszłości opory przed instalowaniem dodatkowego oprogramowania na urządzeniach ich pracowników. Kolejnym rosnącym trendem jest wykorzystanie zasobów chmurowych i konieczność monitorowania poziomu tego rodzaju usług. W rezultacie przybywa też rozwiązań przeznaczonych wyłącznie dla chmury.

  

Czy da się zarobić na open source?

Wpływ na obraz rynku monitoringu i analizy sieci ma także to, że od zawsze funkcjonowały na nim rozwiązania darmowe, tworzone zwykle w modelu open source. Dlatego, jeśli klient wie, że na rynku są dostępne bezpłatne narzędzia, które może wdrożyć i zacząć używać – sprzedaż komercyjnych rozwiązań może być utrudniona.

– Nie ma nic złego w wykorzystywaniu narzędzi open source. Klient powinien wziąć jednak pod uwagę, że mogą być one trudniejsze w obsłudze i we wdrożeniu. Może się nawet okazać, że zapłaci porównywalne do zakupu produktu komercyjnego pieniądze za usługi umożliwiające korzystanie ze wszystkich możliwości narzędzia dostępnego za darmo – twierdzi Bartosz Dzirba.

Kluczową sprawą może być wsparcie i rozwój oprogramowania. Klient, który będzie przekonany, że wystarczy mu internetowa społeczność twórców i użytkowników danego narzędzia, w sytuacji wymagającej szybkiego działania może nie doczekać się rozwiązania swojego problemu. W przypadku rozwiązania komercyjnego za jego zakupem idzie support – w razie wystąpienia błędu będzie ktoś, kto zgodnie z umową serwisową go naprawi. Także ścieżka rozwoju może być wytyczona w bardziej klarowny sposób, aktualizacje i poprawki będą bardziej regularne, a interfejs lepiej zaprojektowany (co przełoży się na większą łatwość obsługi i jej wyższą efektywność, a więc niższe koszty operacyjne).

– Na rynku możemy znaleźć szereg darmowych lub bardzo dobrze cenowo spozycjonowanych narzędzi do monitorowania sieci, jednak najczęściej mają one ograniczoną funkcjonalność, wymagają eksperckiej wiedzy związanej z administracją oraz umiejętności developerskich do ich wdrożenia. Rozwiązania, które posiadają szersze funkcjonalności i profesjonalny kanał sprzedaży, zazwyczaj są droższe, co z kolei ogranicza ich zasięg rynkowy do średnich i większych organizacji – przyznaje Krzysztof Hałgas.

Darmowe oprogramowanie do monitorowania sieci może być dobrym rozwiązaniem, jeśli budżet jest napięty do granic, a sieć właśnie doświadczyła nagłego przestoju i trzeba natychmiast wdrożyć określone narzędzie (bez przechodzenia przez cały proces zakupu). Są też i tacy, którzy decydują się na używanie go stale, jednak może to mieć nieoczekiwane konsekwencje.

– Znałem klientów, którzy korzystali z rozwiązania open source, zatrudniając panującego nad wszystkim specjalistę. Gdy taki fachowiec zwalniał się z pracy, odchodząc do innej firmy, narzędzie stawało się praktycznie bezużyteczne, bo nikt nie wiedział, jak sobie z nim radzić – zauważa Bartosz Dzirba.

Są i takie rozwiązania open source, do których można dokupić wdrożenie i wsparcie. Ten model może być polem do popisu dla integratora, który wyspecjalizuje się w takich właśnie usługach. Jeśli wyjdzie z założenia, że nie zawsze musi sprzedać komercyjny produkt za z góry określone, spore pieniądze, może rozwinąć swoje możliwości w supporcie i bieżącej obsłudze darmowego narzędzia, jednocześnie całkiem przyzwoicie na tym zarabiając.

Doskonałe narzędzie dla MSP?

Założenie, że można swoje szanse sprzedażowe poszerzyć o możliwość stałych wpływów, to prosta droga do modelu MSP, czyli integratora świadczącego zewnętrzne usługi zarządzane. Model ten świetnie sprawdza się wszędzie tam, gdzie klient preferuje zakupienie usługi, której implementację i administrację ceduje na doświadczonego dostawcę. Zdaniem Krzysztofa Hałgasa rynek monitorowania ruchu sieciowego czy też usług sieciowych działających u klienta dopiero się rodzi i ze względu na ograniczoną ofertę rynkową wciąż pozostaje niszą.

– Wydaje się, że kluczowym problemem pozostaje wciąż brak potrzeby posiadania rozwiązań monitorowania sieci, wynikający z niskiej świadomości zagrożeń wśród zasadniczej części potencjalnych klientów oraz ograniczonego zaufania do usługodawców, którzy, posiadając dostęp do infrastruktury klienta, jednocześnie mogą uzyskiwać dostęp do szeregu danych wrażliwych dla danej organizacji. Przez wielu uczestników rynku postrzegane jest to zatem wciąż jako zagrożenie, a nie wsparcie – tłumaczy szef Bakotechu.

Przy sprzedaży rozwiązań wymagających dużej wiedzy, jak to ma miejsce przy rozwiązaniach monitorowania sieci, rola partnera jest kluczowa. Klient końcowy, nawet posiadając dział IT, potrzebuje partnera, który potrafi w sposób metodyczny opisać występujące luki bądź podatności w użytkowanych systemach i zaproponować dedykowane rozwiązanie, które pomoże w ich eliminacji. Ze względu na to, że sieci oraz ich konfiguracja są unikalne dla każdego klienta, bardzo trudno jest zaoferować standardowy produkt „z pudełka”. Aby w pełni odpowiedzieć na potrzeby klienta partner musi przeprowadzić audyt, a następnie właściwie wdrożyć i skonfigurować narzędzie do analizy ruchu. Wymagana jest do tego profesjonalna wiedza, zarówno ogólna związana z sieciami IT, jak i ta związana bezpośrednio z oferowanym rozwiązaniem.

Zdaniem specjalisty

Beata Haber, Business Development Manager, Flowmon Networks  

Gdy chodzi o szanse na sukces resellera, słowo-klucz to integracja. Większość produktów do monitoringu sieci może być integrowana z innymi systemami działającymi u klienta, zwłaszcza z obszaru bezpieczeństwa. Celem jest dostosowanie rozwiązania do konkretnych potrzeb klienta, dostrojenie go i zautomatyzowanie określonych zadań operacyjnych, ewentualnie możliwość świadczenia usług zarządzanych. Zaawansowana wiedza i praktyczne doświadczenie w integracji systemów dają przewagę konkurencyjną na rynku i pozwalają integratorom na budowanie pozycji zaufanego doradcy, znacznie poszerzając ich zakres współpracy z klientami.

  

Michał Sobieski, Product Manager, Alstor SDS  

Uwzględniając informację zwrotną z rynku, wielu producentów wprowadziło do oferty wersje mobilne swoich produktów – do przeglądu stanu sieci w zdalnej lokalizacji. Pracownik integratora uzbrojony w zestaw przenośnych urządzeń, takich jak TAP-y czy analizatory sieci, podpina się do aktywnej sieci i bez problemu wyciąga z niej kopię przepływających danych. Umożliwia to dogłębną analizę ruchu, bez wpływu na sieć, a następnie wygenerowanie raportu klientowi. Ponieważ ceny urządzeń do monitoringu są relatywnie wysokie, poza zasięgiem wielu użytkowników sieci, to pojawia się przestrzeń dla resellera. Po zainwestowaniu w takie rozwiązanie może sam świadczyć usługi diagnostyczne albo nawet wypożyczać sprzęt.

  

Grzegorz Szmigiel, dyrektor techniczny, Veracomp  

Klienci oczekują dzisiaj nie tylko dostarczenia sprzętu, oprogramowania czy środowiska, ale kompleksowych usług związanych z serwisowaniem, zarządzaniem i analityką – takich, które będą mogły być rozliczane w cyklu abonamentowym. To słuszne podejście, ponieważ daje możliwość korzystania z najnowszych technologii i zapewnia wysoki poziom bezpieczeństwa. Wielu integratorów od dłuższego już czasu buduje swoją ofertę w oparciu o usługi. Stawiają przy tym na posiadane kompetencje, zasoby data center oraz tworzone ośrodki zarządzania bezpieczeństwem. Nawet jeśli tempo rozwoju tego rodzaju oferty nie było zbyt duże w ostatnich latach, to obecnie zainteresowanie nią rośnie.

  

Artykuł Narzędzia do monitorowania i analizy sieci pochodzi z serwisu CRN.

Jeśli więc administratorzy wcześniej nie zgłaszali zwierzchnikom żadnych problemów, teraz zarządy – wiedząc o wymogach formalnych – raz na jakiś czas decydują się na sprawdzenie, czy rzeczywiście ich nie ma. Gdy w wyniku audytu firma dostanie słabą ocenę, dajmy na to w zakresie kontroli dostępu do infrastruktury IT, integratorzy mogą się spodziewać zapytań o sposoby rozwiązania problemów.

Dostęp nie tylko dla użytkowników

Na rynku są trzy typy rozwiązań zabezpieczających infrastrukturę IT, które spełniają potrzeby przedsiębiorstw w obszarze cyberbezpieczeństwa. Pierwsze to klasyczne narzędzia do ochrony, w rodzaju antywirusa, antyspamu, firewalla oraz IPS, które filtrują pliki i ruch w sieci, chroniąc przed zagrożeniami przenoszonymi za ich pośrednictwem. Drugi typ stanowią platformy zbierające różnego rodzaju logi dostarczane przez infrastrukturę (z danymi surowymi albo przetworzonymi), szukające anomalii i podejrzanych aktywności, także przy użyciu technik uczenia maszynowego i sztucznej inteligencji.

Na trzecią grupę składają się rozwiązania, które nie oferują ochrony opartej na filtrach i skanerach, ale wymuszają stosowanie odpowiednich reguł polityki bezpieczeństwa, m.in. związanych z dostępem do firmowych danych (zarówno pracowników jak i współpracowników, w tym także z podmiotów zewnętrznych), zarządzaniem hasłami oraz kluczami SSH do kont uprzywilejowanych. Specjaliści podkreślają, że w tego typu rozwiązaniach ważną rolę odgrywa zarządzanie dostępem uprzywilejowanym. Nie powinno więc dziwić, że w zestawieniu dziesięciu najlepszych projektów ochronnych z roku bieżącego analitycy Gartnera umieścili Privileged Access Management na pierwszym miejscu.

W zakresie zabezpieczania dostępu ważna jest taka organizacja infrastruktury, która określi jasny podział sieci na segmenty. Łatwo wówczas zastosować narzędzia, które służą do monitorowania dostępu z prawami administratora oraz zarządzania kontami uprzywilejowanymi (np. sposobem przydzielania haseł użytkownikom bądź urządzeniom oraz kontrolą ich wykorzystywania).

Niektóre urządzenia muszą mieć dostęp na poziomie uprzywilejowanym, bo inaczej nie byłoby mowy o bezpieczeństwie odmienianej ostatnio przez wszystkie przypadki automatyzacji działania infrastruktury. A gdy na rynku brakuje specjalistów, wszyscy starają się w mniejszym lub większym zakresie wprowadzać zautomatyzowane zarządzanie firmową infrastrukturą IT.

Audytorzy uważnie przeglądają skrypty związane z automatyzacją, m.in. dotyczące budowania nowych maszyn wirtualnych czy aplikacji w chmurze. Sprawdzają, jak są tworzone konta użytkowników i hasła do nich oraz gdzie te dane są przechowywane. Dlatego zarządzanie dostępem uprzywilejowanym i kontami z prawami administratora staje się coraz ważniejsze, zarówno w przedsiębiorstwach, jak i w instytucjach.

Wciąż zbyt mała świadomość

Zdobywanie wiedzy w zakresie kontroli dostępu (również uprzywilejowanego) nie jest jednak proste. Zdaniem Marty Zborowskiej, Sales Directora w Connect Distribution, to wciąż nowy temat i wymaga od dostawców działań edukacyjnych. W praktyce w każdej firmie wykorzystywane są hasła i konta uprzywilejowane, które umożliwiają uzyskanie dostępu do krytycznych danych i systemów. Jednak, gdy rozmowa z klientem schodzi na rozwiązania PAM, najważniejszą dla niego kwestią pozostaje nagrywanie sesji.

– Gdy próbujemy tłumaczyć, dlaczego PAM jest tak istotny i dlaczego konta uprzywilejowane muszą znajdować się pod kontrolą, reakcja klienta ogranicza się do pytania: czy macie państwo nagrywarkę sesji internetowych? – mówi Marta Zborowska.

Jeśli nawet klienci słyszeli o zagrożeniach związanych z kontami uprzywilejowanymi, twierdzą, że nie potrzebują jeszcze narzędzi do zarządzania nimi, a inni odsuwają zakup takich rozwiązań na plan dalszy. Skupiają się wyłącznie na udokumentowanym posiadaniu nagranej sesji, ponieważ tego wymagają przepisy i o tym mówią przeprowadzający audyt.

Według specjalistów, z którymi rozmawialiśmy, polscy klienci, a konkretnie osoby odpowiedzialne w firmach za bezpieczeństwo IT, wciąż działają bez jasnej, długoterminowej strategii. Rzadko zdarza się, że w przypadku ograniczonego budżetu planowane jest wdrożenie najpierw jednego zabezpieczenia (przykładowo zarządzania dostępem uprzywilejowanym), a za rok – gdy znów będą pieniądze – implementacja uwierzytelniania dwuskładnikowego. Klienci najczęściej działają bowiem od szkody do szkody, reagując przede wszystkim na bieżące problemy.

Co dodać do hasła?

Rozwiązanie do zarządzania dostępem przejmuje kontrolę nad wszystkimi mechanizmami logowania się do zasobów IT. Często na początku wykonuje audyt wszystkiego, co jest w sieci, by następnie umożliwić nadawanie uprawnień zgodnie z przyjętą polityką bezpieczeństwa. Od niej będzie zależeć, czy wystarczy uwierzytelnienie za pomocą hasła, czy potrzebne będzie wdrożenie rozwiązania wieloskładnikowego (Multi-Factor Authentication). MFA zwiększa poziom ochrony i zwykle jest wprowadzane w modelu dwuskładnikowym – login/hasło plus wybrany dodatkowy sposób uwierzytelniania. Na rynku dostępnych jest wiele różnych rozwiązań do tworzenia takich zabezpieczeń.

– Odnotowujemy coraz więcej zapytań dotyczących możliwości współpracy systemu zarządzania dostępem uprzywilejowanym z uwierzytelnianiem dwuskładnikowym – twierdzi Paweł Rybczyk, Territory Manager CEE & CIS w firmie Wallix.

Oceniając polski rynek rozwiązań do uwierzytelniania wieloskładnikowego, Krzysztof Hałgas, dyrektor Bakotechu, zauważa na nim wyraźny podział. Z jednej strony są firmy i instytucje, które zgodnie z wewnętrznymi regulacjami powinny korzystać z tego typu rozwiązań i używają ich od wielu lat. Ta część rynku jest w pewnym sensie zamknięta, bo w całości opanowana przez dostawców, którzy są liderami w tym segmencie. Wykorzystywane są tu przeważnie tokeny sprzętowe (rzadziej programowe).

Z drugiej strony są średni i mali przedsiębiorcy, którzy albo nie uświadamiają sobie potrzeby używania bardziej zaawansowanych mechanizmów kontroli dostępu, albo sądzą, że ich to nie dotyczy (co na jedno wychodzi). Zaczynają myśleć o ich wdrożeniu dopiero wtedy, kiedy coś się wydarzy. Do zarządów firm dociera wówczas, że wieloskładnikowe uwierzytelnianie uchroniłoby ich przed szkodą.

– Liderzy rynku nie trafiają do takich klientów, bo są skoncentrowani na dużych przedsiębiorstwach. Poza tym ich rozwiązania są relatywnie drogie i mogą być trudne we wdrożeniu. Tymczasem na rynku znajdują się produkty, które za nieduże pieniądze umożliwiają prostą instalację i wygodne wykorzystanie MFA – wyjaśnia Krzysztof Hałgas.

W przeznaczonych dla tej grupy klientów systemach kontrolę dostępu do informacji zapewnia przykładowo programowe rozwiązanie zarządzane z chmury, wprowadzające uwierzytelnianie wieloskładnikowe do systemu informatycznego, które będzie wykorzystywać smartfony jako urządzenia zapewniające dodatkowy składnik autentykacji. Dzięki chmurze łatwiejsze staje się także administrowanie rozwiązaniem – dodawanie użytkowników, integrowanie z AD, zdalne przyznawanie uprawnień i ich odbieranie. Z kolei dzięki temu, że tokenem sprzętowym staje się smartfon, użytkownicy nie muszą nosić ze sobą żadnego dodatkowego urządzenia do uwierzytelniania.

Wykorzystanie chmury i telefonów w takich rozwiązaniach może jednak budzić obawy klientów. Dostawcy bronią swych rozwiązań, tłumacząc potencjalnym nabywcom, że takie środowisko jest w pełni bezpieczne: w chmurze przechowuje się niewiele informacji i to w formie, która zapobiega ich nieuprawnionemu wykorzystaniu. Odnosząc się do kwestii telefonów, mówią o mechanizmach, które uniemożliwiają uzyskanie kodu uwierzytelniającego na innym urządzeniu niż smartfon, dla którego ów kod jest przeznaczony.

Obecnie wiele firm stosuje systemy pojedynczego logowania (Single Sign-On), które ułatwiają życie użytkownikom, gdyż nie wymagają wpisywania kolejnych danych uwierzytelniających podczas logowania się do systemów i aplikacji. Z drugiej strony upraszczają pracę administratorom, zapewniając im większą kontrolę nad hasłami. Dzięki temu nie muszą pamiętać o odbieraniu uprawnień odchodzącym bądź zwalnianym pracownikom. Wystarczy, że wyłączą jedno hasło, a wszystkie uprawnienia takiej osoby tracą ważność, co uniemożliwia jej wszelki dostęp do danych. We wdrażaniu SSO jeszcze większe znaczenie ma wdrożenie uwierzytelniania dwuskładnikowego, bo jeśli jeden „klucz” otwiera tak wiele „drzwi”, to tym bardziej trzeba upewnić się, że używa go odpowiednia osoba.

Biometria – z dużej chmury (na razie) mały deszcz

Jakiś czas temu wydawało się, że biometria opanuje rynek uwierzytelniania. Pojawiło się wiele rozwiązań wykorzystujących odcisk palca i inne metody biometryczne. Analitycy przewidywali, że ich sprzedaż będzie rosła w szybkim tempie, ale tak się nie stało. Na przeszkodzie stoją prawdopodobnie dodatkowe koszty czytników oraz konieczność używania przez pracowników kolejnego urządzenia.

– Klienci wolą prostsze we wdrożeniu rozwiązania i – bez zmian – częściej korzystają z tokenów sprzętowych i programowych – utrzymuje Krzysztof Hałgas.

Dostawcy i ich partnerzy z branży zabezpieczeń przyznają, że zastosowanie biometrii do uwierzytelniania się wciąż nie zyskało popularności w segmencie biznesowym. Co innego na rynku konsumenckim, gdzie się szeroko rozpowszechniło. Posiadacze nowych smartfonów bardzo często uzyskują do nich dostęp przy użyciu czytnika linii papilarnych, skanera tęczówki czy mechanizmu rozpoznawania twarzy. Choć trzeba pamiętać, że poziom takich zabezpieczeń jest różny. Parę miesięcy temu Holenderskie Stowarzyszenie Konsumentów przedstawiło wyniki testów, które pokazały, że wiele modeli smartfonów znanych marek udało się odblokować za pomocą wysokiej jakości fotografii właściciela.

Niemniej techniki biometryczne są stale doskonalone. Łatwość ich użycia sprawia, że z biegiem czasu klienci będą zapewne domagać się ich stosowania także w życiu zawodowym. Nie byłby to pierwszy przykład przenikania trendów konsumenckich do biznesu. Mimo falstartu biometrii przed laty, można przypuszczać, że będzie ona zyskiwać na znaczeniu jako drugi, wygodny element uwierzytelniający w schemacie MFF. A w przyszłości, kto wie? Może jedyny.

Nie lekceważyć dostępu

Dostawcy przekonują, że kontrola dostępu informatycznego powinna być dla zarządów firm tak oczywista, jak kontrola dostępu fizycznego. O ile jednak przedsiębiorcy nie mają dzisiaj żadnych wątpliwości, że potrzebują ochrony z kamerami i całodobowym monitoringiem, o tyle wciąż nie są przekonani, że równie dokładnie powinno się kontrolować, kto i jak korzysta z firmowych zasobów IT.

Z doświadczeń producentów rozwiązań do uwierzytelniania i ich partnerów wynika, że często pracownicy działów IT nie tłumaczą szefom, dlaczego kontrola dostępu do firmowej infrastruktury jest konieczna, jak działa i jakie bywają konsekwencje braku odpowiednich zabezpieczeń. Dlatego to integratorzy powinni rozmawiać z osobami decyzyjnymi w przedsiębiorstwach i wyjaśniać, że ułatwianie intruzowi dostępu do firmowej sieci nie różni się od wpuszczania złodzieja do siedziby, a szkody mogą być dużo większe. Ponieważ edukacja jest tak ważna, dostawcy oferują coraz więcej szkoleń, zarówno dla swoich partnerów, jak i ich klientów.

Przewiduje się, że zarządzanie tożsamością i dostępem będzie w kolejnych latach odgrywać ważną rolę na rynku zabezpieczeń, ze względu na zapewnianą przez takie rozwiązania centralizację kontroli oraz efektywność ich działania. Dzięki umożliwieniu zaawansowanego uwierzytelniania, wykorzystywania katalogu, zarządzania hasłami, korzystania z funkcji pojedynczego logowania (SSO) oraz przeprowadzania audytu przedsiębiorcy zyskują gwarancję, że ich najważniejsze dane i aplikacje są właściwie zabezpieczone.

Artykuł Zarządzanie dostępem: hasło to za mało pochodzi z serwisu CRN.