Analitycy Cyber​​Readiness wzięli pod lupę małe i średnie firmy z Ameryki Północnej, Australii, Azji oraz Europy.  Niemal połowa z nich zatrudniała od jednego do dziewięciu pracowników, a 45 proc. zadeklarowało coroczne przychody poniżej 250 000 dol. 55 proc. respondentów przyznało, że nie ma zbyt dużej świadomości na temat MFA i związanych z tym korzyści. Natomiast 54 proc. ankietowanych nie wdrożyło takiego rozwiązania.  W tej grupie 30 proc. stwierdziło, że nie rozumie MFA, 17 proc. nie dostrzega w tym żadnej wartości, a dla 15 proc. konfiguracja jest zbyt zawiła.

 –    Brak elementarnej wiedzy na temat bezpieczeństwa jest poważnym problemem w przypadku małych i średnich firm.  Dzieje się tak, bowiem mniejsze przedsiębiorstwa często nie zatrudniają specjalistów od cyberbezpieczeństwa. Czasami kwestiami zabezpieczeń IT zajmuje się administrator systemów, mający na głowie wiele innych zadań, ale bywa też, że w MŚP nie ma w ogóle osób odpowiedzialnych za bezpieczeństwo IT – mówi Mariusz Politowicz z firmy Marken, dystrybutor rozwiązań Bitdefender w Polsce.

 Tylko 28 proc, właścicieli małych i średnich firm wymaga stosowania MFA na swoim oprogramowaniu, sprzęcie i urządzeniach sieciowych. Co ciekawe, 30 proc. respondentów z tej grupy przyznało, że postępuje według zdefiniowanej przez siebie polityki bezpieczeństwa, ale nie uwzględnia ona MFA, 27 proc. zadeklarowało, że ich polityka wspomina o MFA, ale nie wymaga jej stosowania, a 15 proc.  ujawniło, że nie ma żadnej strategii dotyczącej cyberbezpieczeństwa.

 Biorąc pod uwagę rodzaj aplikacji oraz kont wymagających uwierzytelniania wieloskładnikowego, na szczycie listy w badaniu znalazły się bazy danych (45 proc.), a następnie oprogramowanie finansowo-księgowe i HR. Inne usługi wymagające pomocy MFA obejmowały konta w mediach społecznościowych, programy do obsługi poczty e-mail i kalendarzy, aplikacje zwiększające wydajność i zdalny dostęp.

Przedsiębiorstwa mogą korzystać z różnych metod MFA. Firmy biorące udział w badaniu Cyber​​Readiness najczęściej wymieniały powiadomienia push na telefon lub alternatywny adres e-mail (29 proc.), jednorazowe hasła (28 proc.), urządzenia bazujące na tokenie (15 proc.), automatycznie generowane kody (12 proc), biometrię (7 proc.) oraz aplikacje uwierzytelniające (7 proc.).

Więcej informacji znajduje się tutaj

Artykuł Jak MŚP podchodzą do uwierzytelniania wieloskładnikowego? pochodzi z serwisu CRN.

W nie tak znowu odległych latach, gdy hasła były uważane za skuteczną ochronę, często podchodzono do nich w sposób – delikatnie mówiąc – niefrasobliwy. Nazwą użytkownika był zazwyczaj adres mailowy, hasło było krótkie, łatwe do zapamiętania i związane z czymś, co znamy (np. imieniem psa). Te czasy to już na szczęście przeszłość, bo nawet w tych firmach, które wciąż polegają wyłącznie na hasłach, widać jednak pewną zmianę w zachowaniu użytkowników i administratorów.

– W przedsiębiorstwach, w których istnieje jako taka świadomość w obszarze cyberbezpieczeństwa, ale też bardzo mocne ograniczenia budżetowe, stosuje się zarządzanie polityką haseł. Nadaje im się wymagania co do długości, rodzaju użytych znaków oraz wymusza cykliczne zmiany hasła, uwzględniając wcześniejszą historię zmian. Takie rozwiązanie co prawda nie jest najlepsze, ale dobrze, że w ogóle jest stosowane – mówi Jakub Jagielak, lider technologiczny w obszarze cyberbezpieczeństwa w Atende.

Na przestrzeni ostatnich lat zaszło wiele zmian w sposobach realizacji dostępu do wszelkiego rodzaju zasobów. Nowa normalność to dziś praca hybrydowa albo nawet całkowicie zdalna. W budowaniu cyberbezpieczeństwa stosowane od dawna podejście „zamku i fosy” (wokół firmowej sieci) przestaje być efektywne z perspektywy nie tylko ochrony, ale również wygody użytkownika. Za trendami muszą podążać sposoby i narzędzia uwierzytelniania. Dziś hasło to za mało, nawet naprawdę skomplikowane. Proces uwierzytelniania bazujący tylko na nim lub czymkolwiek innym, co człowiek zna, to proszenie się o kłopoty.

Kilka składników zamiast hasła  

W nowej rzeczywistości rośnie zainteresowanie rozwiązaniami MFA (Multi-Factor Authentication), czyli uwierzytelnienia wieloskładnikowego, najczęściej realizowanego w formie dwuskładnikowej (2FA). Przy odpowiedniej implementacji daje ono wyraźny wzrost bezpieczeństwa i ogranicza kradzieże tożsamości. Jeśli hasło wyciekło, to – dajmy na to – bez urządzenia mobilnego, które służy jako drugi wektor uwierzytelnienia, napastnikowi na niewiele się przyda.

– To, że fizycznie nie siedzimy już przy swoich służbowych biurkach, nie zmienia faktu, że potrzebujemy stałego i bezpiecznego dostępu do naszych narzędzi – mówi Michał Porada, Business Development Manager Cisco Security w Ingram Micro.– Z tego samego powodu firmy coraz chętniej migrują do chmury: dla prostego dostępu do zasobów czy współużytkowania dokumentów. Jak wtedy upewnić administratora systemu, że dostęp uzyskuje uprawniona osoba? W takim przypadku 2FA to podstawa.

Najbliższa przyszłość należy więc do dwuskładnikowego, czy nawet kilkuskładnikowego uwierzytelniania, w którym oprócz tradycyjnej metody (login plus hasło) stosuje się dodatkowe składniki potwierdzające, że osoba, która się właśnie loguje jest tą, za którą się podaje: token sprzętowy lub programowy, kod SMS albo wiadomość push.

– Jako dodatek do hasła, silną metodą podwójnego uwierzytelnienia jest klucz sprzętowy, z tego powodu, że generowanie drugiego składnika odbywa się poza systemem komputera. Token nie ma połączenia z internetem, więc hakerzy nie są w stanie go przejąć. Popularnym i dobrym rozwiązaniem są też aplikacje na smartfonie, ale tutaj nie można już wykluczyć kompromitacji urządzenia – mówi Jakub Jagielak.

Wymieniając inne sposoby weryfikacji tożsamości niż hasła, Michał Sanecki, architekt rozwiązań IT w NetFormers, zwraca uwagę na dane biometryczne. W tym sposobie uwierzytelniania wykorzystywane są unikalne cechy biologiczne osoby, aby zweryfikować jej tożsamość. System może analizować odciski palców, głos, siatkówkę, rysy twarzy itp. Dane biometryczne są bezpieczne, ponieważ są prawie niemożliwe do podrobienia lub powielenia. Metoda ta jest również przyjazna dla użytkownika – skany są szybkie, a sam sposób uwierzytelnienia całkiem wygodny. Nie trzeba pamiętać kodu ani nosić przy sobie urządzenia zewnętrznego. Jednak, aby ograniczyć ryzyko włamania, lepiej rozszerzyć podejście do zabezpieczeń.

– Hasło pozostaje ważnym czynnikiem, pod warunkiem, że nie jest używane samodzielnie. To samo dotyczy biometrii, która również ma swoje wady i w pewnych sytuacjach może okazać się zawodna. Dlatego wdrażamy rozwiązania, które łączą dwa lub więcej mechanizmów bezpieczeństwa dostępu do zasobów IT, w tym aplikacji i urządzeń. Zapewniają one bezpieczny dostęp do zasobów sieciowych, wykorzystujący właśnie wielopoziomową autentykację. Wspieranych w nich jest wiele metod uwierzytelniania, chociażby za pomocą aplikacji mobilnej, tokena, wiadomości SMS, czy czujników biometrycznych – mówi Michał Sanecki.

Artykuł Jak hasło staje się przeżytkiem pochodzi z serwisu CRN.

W związku z tym wzmocnienie logowania o dodatkowy czynnik przy wykorzystaniu uwierzytelniania wieloskładnikowego (MFA) powoli staje się standardem. Prawidłowo zaprojektowane i wdrożone metody MFA są wręcz niezawodne i skuteczne w walce z najbardziej nawet wyrafinowanymi atakami. Trudno natomiast znaleźć rozwiązania, które podniosą bezpieczeństwo, a nie będą jednocześnie uciążliwe dla użytkownika. Zazwyczaj wymagają one dodatkowego działania i obligują do wykonania konkretnej czynności: przepisania kodu SMS czy tokena, podłączenia klucza, przyłożenia karty czy odciśnięcia palca na czytniku.

Digital Fingerprints, polski startup, wszedł na rynek z zupełnie nowym pomysłem, który stał się złotym środkiem pomiędzy bezpieczeństwem a user experience użytkownika. Nowa generacja rozwiązań bezpieczeństwa to wykorzystanie technologii opartej na biometrii behawioralnej. Należy ona do metod, które dokonują pomiarów w tle, w sposób transparentny. Polega na weryfikacji tożsamości użytkownika na podstawie jego interakcji z komputerem, wedle różnych parametrów, takich jak wzorce rytmu, ogólna prędkość, typowe błędy i zmiany prędkości poruszania się między określonymi klawiszami. Obserwacje i analiza sposobu korzystania ze sprzętu pozwala na stworzenie unikalnego dla każdej osoby modelu behawioralnego, który jest niemożliwy do podrobienia.

Co ważne, budując modele oparte na uczeniu maszynowym, zbierane są jedynie informacje o tym, w jaki sposób użytkownik wchodzi w interakcję z komputerem. Wszelkie dane dotyczące tego co robi są anonimizowane jeszcze z poziomu przeglądarki. Mówiąc prościej, rozwiązanie wie tylko JAK, a nie CO wpisuje użytkownik. Wszelkie pomiary koncentrują się wyłącznie na zachowaniu, zatem nie są też zbierane żadne informacje, które mogłyby jednoznacznie identyfikować użytkownika (np. adres IP, informacje o przeglądarce itp.).

Aby jednak rozwiać wszelkie wątpliwości odnośnie do tego, czy jest to rozwiązanie etyczne i zgodne z regulacjami, wszelkie dane zbierane są na podstawie zgody użytkownika. Dodatkowo powstał ogólnodostępny manifest (https://fingerprints.digital/pl/manifest/), który jasno pokazuje podejście Digital Fingerprints do tematu bezpieczeństwa, prywatności i etyki.

Rozwiązanie posiada też adaptację modeli online, a dzięki uczeniu maszynowemu potrafi dostosować się do zmian w zachowaniu użytkowników. Bo jak wiadomo, wszelkie nasze zachowania prędzej czy później ulegają mniejszym bądź większym zmianom.

Kluczową wartością biometrii behawioralnej jest uwierzytelnianie ciągłe. Działa ona w czasie rzeczywistym przez cały okres trwania sesji użytkownika: od momentu logowania aż po zakończenie sesji. Daje to ogromną przewagę nad zwykłymi, standardowymi rozwiązaniami MFA. O ile w tych pierwszych proces autoryzacji i udzielenia dostępu występuje tylko w momencie logowania, to mechanizmy, na których opiera się biometria behawioralna, weryfikują tożsamość użytkownika nieustannie, w każdym momencie pracy na urządzeniu. Pozwala to zapobiec potencjalnemu przejęciu konta, sesji czy kradzieży tożsamości. Nawet wizja wycieku hasła nie jest aż tak groźna – potencjalny przestępca, próbując zalogować się pozyskanymi poświadczeniami, nie przejdzie pomyślnie autoryzacji, gdyż jego model behawioralny nie będzie zgodny z tym, który charakteryzuje legalnego użytkownika.

Jakiś czas temu Gartner prognozował, że do 2022 r. biometria behawioralna zastąpi tradycyjne metody logowania za pomocą hasła. Być może ta przepowiednia nie spełni się w całości, bowiem do końca 2021 roku pozostało niewiele czasu, a już teraz możemy być pewni, że biometria behawioralna to prawdziwa rewolucja w cyberbezpieczeństwie!

Więcej informacji: https://fingerprints.digital/pl/

Artykuł Nadchodzi nowe: kolejna cegiełka w murze cyberochrony pochodzi z serwisu CRN.

Rozwiązanie Swivel Secure oferuje wszystkie metody autoryzacji. Klienci mogą korzystać z tokenów fizycznych, kodów SMS, dedykowanej aplikacji mobilnej (w trybie PUSH), powiadomień telefonicznych lub mailowych oraz, co najciekawsze, autorskiej i opatentowanej technologii PINsafe. Metoda ta polega na generowaniu kodów jednorazowych, bez potrzeby używania w tym celu zewnętrznych nośników (token, telefon) czy aplikacji.To bardzo duże uproszczenie i zaleta dla tych klientów, których użytkownicy na przykład nie posiadają telefonu służbowego.

Rozwiązanie to działa podobnie do logowania w niektórych bankach, gdzie mimo długiego i skomplikowanego hasła, proszeni jesteśmy o wpisanie tylko wybranych, wskazanych znaków. Tak samo jest w przypadku rozwiązania Swivel Secure – kod PIN zdefiniowany przez użytkownika nigdy nie jest wpisywany w całości. Ten sam mechanizm możemy wykorzystać podczas logowania do systemu Windows. To wyjątkowa funkcjonalność na tle innych rozwiązań MFA.

Swivel Secure umożliwia integrację z wieloma systemami. Od aplikacji webowych, takich jak Microsoft 365 czy innych wykorzystujących protokół SAML, poprzez możliwość działania jako serwer RADIUS (np. z VPN-ami), aż po integrację po API z aplikacjami używanymi przez klienta. Warto dodać, że wszystkie integracje, jak również metody autoryzacji są dostępne w ramach jednej licencji, bez dodatkowych opłat.

W zakresie cyberbezpieczeństwa ważną grupę rozwiązań stanowią produkty PAS – Priviliged Access Security, a wśród nich doskonałe, ale wciąż mało znane na polskim rynku produkty marki Osirium – PAM i moduły: PPA – Privileged Process Automation oraz PEM – Privileged Endpoint Management. Osirium PAM przechowuje i zarządza hasłami administratorów. W prosty i bezpieczny sposób zarządza połączeniami z systemami docelowymi, takimi jak serwery Windows, Linux, urządzenia sieciowe czy firewalle. Bez potrzeby przekazywania poświadczeń administracyjnych możemy takie połączenia udostępniać innym członkom zespołu IT czy zewnętrznym firmom. W połączeniu z wieloskładnikowym uwierzytelnianiem Swivel Secure zwiększa wielokrotnie bezpieczeństwo infrastruktury IT klienta. Jest też świetnym narzędziem do prowadzenia ewidencji operacji, za pomocą szczegółowych logów lub nagrań, zbieranych podczas sesji.

Dzięki PPA możemy zautomatyzować zadania administracyjne, w tym resetowanie haseł, usuwanie lub tworzenie użytkowników w AD, a także innych systemach (np. Exchange, Jira, MS365). Wszystko to może odbywać się przy pomocy jednego, prostego interfejsu, bez logowania się do poszczególnych systemów. Możemy takie zadania oddelegować osobom bez specjalistycznej wiedzy technicznej.

Moduł PEM znakomicie wpisuje się w dzisiejsze czasy masowej pracy zdalnej. Bez konieczności angażowania działu IT, ingerencji administratora, użytkownik w bezpieczny sposób sam może wykonać operacje z podwyższonymi uprawnieniami dla danej aplikacji, tylko w określonym przez administratora czasie. Jedną z głównych zalet systemów z rodziny Osirium jest odciążenie działów IT przy jednoczesnym podniesieniu poziomu bezpieczeństwa w środowisku firmowym.

Dodatkowe informacje: Bartosz Jankowski, Partner Account Manager, Versim, bartosz.jankowski@versim.pl, www.versim.pl

Artykuł Rozwiązania PAM i MFA, czyli najwyższe bezpieczeństwo zasobów pochodzi z serwisu CRN.

– Nie było czegoś takiego jak w ubiegłych latach, że jeśli projekty były przesuwane w czasie, to tylko na 1-2 kwartały – podkreśla Paweł Rybczyk, Senior Territory Sales Manager CEE&CIS w Wallix.

Teraz powinno być już lepiej

Są jednak optymistyczne przesłanki, by twierdzić, że czas sprzedaży oprogramowania do zabezpieczania dostępu dopiero się zaczyna. Wcześniej budżety musiały zostać przeznaczone na sprzęt, więc zeszłoroczne inwestycje na IT dotyczyły zakupów laptopów, serwerów, rozwiązań do wideokonferencji itp. W tym roku są już pierwsze oznaki innego podejścia. Klienci, dysponując niezbędną infrastrukturą sprzętową i połączeniami VPN, chcą teraz lepiej nadzorować to, co się dzieje w ich środowisku IT.

Na decyzje o zakupie lepszej ochrony bez wątpienia wpływać będzie nagłaśnianie poważnych incydentów bezpieczeństwa w Polsce, takich jak ataki na Małopolski Urząd Marszałkowski czy CD Projekt. Coraz częściej dochodzi do nich w naszym kraju, a pytani przez CRN Polska integratorzy twierdzą, że powoływanie się na te i podobne przykłady bardzo pomaga w rozmowach.

– Ponieważ teraz stały się zdalnymi nawet te zewnętrzne usługi, które wcześniej były realizowane na miejscu w firmie, to klienci chcą mieć lepszy wgląd w zasady takiego dostępu – twierdzi Paweł Rybczyk. – I niekoniecznie kontrolowani muszą być użytkownicy z uprawnieniami superadmina. Firmy chcą wiedzieć, kto i kiedy się łączy, a dodatkowo rejestrować, co robi. Za tym idzie integracja rozwiązań IAM/PAM z uwierzytelnianiem dwuskładnikowym.

Większe zainteresowanie zarządzaniem dostępem przejawia też przemysł, bowiem w zakładach produkcyjnych część czynności, w tym związanych z utrzymaniem czy serwisem urządzeń, zaczęła być wykonywana zdalnie. Wobec konieczności rygorystycznej kontroli dostępu wymagane są profesjonalne zabezpieczenia.

Hasła prędko nie odejdą

Przeszło dwa lata temu Gartner przewidywał, że do 2022 r. 60 proc. korporacji i globalnie działających przedsiębiorstw oraz 90 proc. średnich przedsiębiorstw wdroży metody bezhasłowe w ponad 50 proc. zastosowań, co miało być ogromnym wzrostem w porównaniu z 5 proc. w 2018 r. Na początku 2021 można mieć jednak wątpliwości, czy już za rok hasła znajdą się w odwrocie. Rzeczywiście, postęp techniczny w biometrii i rozwój standardów takich jak FIDO2 sprawiają, że trend „passwordless” przybiera na sile. Powstają ciekawe rozwiązania bazujące na biometrii behawioralnej, która jest połączeniem biometrii i analizy behawioralnej UBA (User Behavior Analytics), czyli uczenia maszynowego – rejestrującego standardowe zachowania użytkownika i alarmującego, gdy odbiegają one od normy. Przykładem może być rozwijana przez polski startup usługa Digital Fingerprints.

Pytani przez CRN Polska dostawcy i integratorzy nie zauważają jednak, by klienci gremialnie rezygnowali z haseł. Zwracają przy tym uwagę, że samo hasło nie powinno być jednak podstawą udzielenia dostępu do systemów newralgicznych. Reguły polityki związane z hasłami zmieniają się, ale pewne przyzwyczajenia użytkowników zostają. Gdy korzysta się z prostych haseł, trzeba być świadomym, że jest wiele metod, które mogą być wykorzystane przez napastników do ich złamania. Kolejnym zagrożeniem jest wykorzystywanie tych samych haseł przez użytkowników w wielu serwisach.

Dlatego bardzo wzrosło zainteresowanie rozwiązaniami MFA (uwierzytelniania wieloskładnikowego, najczęściej 2FA) w najróżniejszej formie. Jednakże z jakichkolwiek systemów klienci by nie korzystali, jeżeli nie będą za tym stały odpowiednie reguły polityki bezpieczeństwa, ich egzekwowanie i monitoring, na nic całe przedsięwzięcie.

– Warto pamiętać o zasadzie „least privilege”, czyli nieudzielania użytkownikom większego dostępu niż potrzebują do wykonania danego zadania – mówi Michał Porada, Business Development Manager Cisco Security w Ingram Micro. – Im mniej dostępu, szczególnie do zasobów newralgicznych, tym administratorzy lepiej śpią. Uprawnienia powinny być okresowo sprawdzane, ponieważ w firmach role pracowników często mogą się zmieniać, zaś treść dokumentu polityki bezpieczeństwa należy weryfikować. Uwierzytelnianie się za pomocą 2FA powinno być stosowane wszędzie, gdzie to możliwe.

Według Pawła Zwierzyńskiego, inżyniera sieciowego w Vernity, istotne jest, by użytkownicy posiadali uprawnienia do systemów zgodnie z funkcją biznesową jaką sprawują w firmie. Bardzo często są one jednak zbyt duże – zarówno w warstwie sieciowej, jak i systemowej.

– Nawet jeśli na początku zasady dostępu odpowiadają pełnionym funkcjom biznesowym, to po pewnym czasie ich spójność nie zostaje zachowana, czy to przez błędy administratorów, czy przez umyślne dawanie większych uprawnień dla „świętego spokoju”. Dlatego tak ważne jest ich cykliczne rewidowanie – mówi przedstawiciel poznańskiego integratora.

Michał Porada sugeruje, by zadawać klientowi wiele pytań o rzeczy, które mają bezpośredni wpływ na bezpieczeństwo w jego firmie. Przykładowo: co się stanie po podłączeniu małego routera Wi-Fi do gniazdka LAN w ścianie obok drukarki? Czy zapewniony jest wgląd w aktywność pracowników? Z jakich aplikacji oni korzystają i w jakim stanie są stacje końcowe? Czy pracownik nie próbuje logować się do konkretnych systemów wewnętrznych z wykorzystaniem nieautoryzowanego urządzenia?

Czym jest Zero Trust?

Skrajnym ograniczeniem i pełną kontrolą dostępu, a ostatnio bardzo nośnym marketingowo hasłem, jest koncepcja Zero Trust, powstała już wiele lat temu. U jej podstaw leży konieczność weryfikowania wszelkich prób połączenia z systemem przed udzieleniem dostępu do niego. Zasadą jest brak zaufania do wszystkich i wszystkiego, nawet jeśli to coś podłączone jest już do sieci lokalnej.

– Model ten nie jest możliwy do wdrożenia za pomocą jednego „magicznego pudełka”, bo tak naprawdę pociąga za sobą wiele elementów funkcjonujących w infrastrukturze oraz dotyczy całkowitej zmiany podejścia w dostępie do danych i zasobów, a także reguł polityki z tym związanych – mówi Michał Porada. – W rezultacie mocno dotyka użytkowników końcowych i chociaż dużo się mówi o Zero Trust, to pełne wdrożenie nie jest w tym przypadku procesem ani szybkim i tanim, ani bezbolesnym.

Choć na rynku zaczęły się pojawiać kompletne oferty promowane pod szyldem Zero Trust, to jednak wielu specjalistów uważa, że nie są to tak naprawdę produkty gotowe do wdrożenia i użycia. Szyte na miarę podejście Zero Trust wymaga zwykle użycia różnych produktów, co powinno wynikać ze specyfiki konkretnego klienta. Wdrożenie trzeba poprzedzić weryfikacją wszystkich zasobów w infrastrukturze klienta oraz każdego dostępu i dopiero na tej podstawie wprowadzać ograniczenia. Problem polega na tym, że potrzebnej do tego wiedzy w przedsiębiorstwach brakuje. O ile strategiczne podejście wykazują jeszcze duże firmy, o tyle mniejsze nie mają wystarczającego know-how.

Dopiero, gdy posiada się konsekwentnie realizowaną strategię bezpieczeństwa, można wdrażać różne produkty, które pomogą w realizacji modelu Zero Trust. Dlatego integrator oferujący taki produkt powinien klientowi pomóc w stworzeniu strategii, która będzie wystarczająca nie na miesiąc lub dwa, ale znacznie dłużej. Swoją drogą, dzięki temu, niejako przy okazji, relacja z klientem także staje się długoterminowa.

– W tym kontekście Zero Trust jest czymś pozytywnym. Klienci chcą o tym podejściu rozmawiać, a dla partnerów to szansa zrobienia z bezpieczeństwa projektu, a nie sprzedaży tego czy innego produktu – mówi Paweł Rybczyk.

W kontrze do Zero Trust wydają się działać niektórzy dostawcy rozwiązań bazujących na sztucznej inteligencji. Twierdzą, że zamiast zamykać wszystko, lepiej jest wdrożyć coś, co nauczy się prawidłowych zachowań w danym środowisku, wyszukując anomalie i reagując na nie. Ten rynek jest jednak wciąż w fazie rozwoju.

Zdaniem integratora

Paweł Zwierzyński, inżynier sieciowy, Vernity  

Z początkiem pandemii wyzwania, jakie pojawiły się u naszych klientów, dotyczyły głównie problemów wydajnościowych. Ich infrastruktury nie były gotowe na tak duży wzrost liczby użytkowników pracujących zdalnie. Później na pierwszy plan wyszły kwestie związane z bezpieczeństwem. Większość klientów korzysta tylko z haseł, co stanowi duże zagrożenie. Często dane uwierzytelniające do VPN to również poświadczenia korporacyjne, na przykład do Office 365, więc atakujący, przechwytując je, uzyskuje dostęp do infrastruktury – mieliśmy taki przypadek. Przy dostępie tylko na podstawie haseł i bez polityki w tym obszarze w każdej firmie znajdzie się użytkownik z hasłem typu „Zima2021!”. Klienci są coraz bardziej świadomi, że hasła to za mało i zaczynają postrzegać wieloskładnikowe uwierzytelnianie jako konieczne. Kolejne zagrożenie dotyczy tego, że domowe biura stały się w sumie zdalnymi oddziałami firm, a w domu działają urządzenia IoT. Łatwo się do nich włamać i przez nie uzyskać dostęp do infrastruktury firmowej.

  

Przyspieszenie na rynku usług bezpieczeństwa

Warto odnotować, że wśród klientów biznesowych zaczyna rosnąć zainteresowanie modelem subskrypcyjnym. Użytkownicy tacy mniej chętnie inwestują w wieczyste licencje, których cena zakupu jest odpowiednio większa, choć potem nie trzeba już nic płacić. Dzieje się tak, gdy przedsiębiorcy nie są pewni, jak rozwinie się sytuacja w gospodarce. Przy czym są klienci, którzy nie tylko decydują się na abonament, ale nierzadko chcą, by wybrane rozwiązanie ochronne było zarządzane przez dostawcę usługi.

– Nie chodzi tu o oferty SOC, których przybyło w ostatnich latach, ale ogólnie o usługę bezpiecznego dostępu do infrastruktury, która może bazować na różnych rozwiązaniach ochronnych – dodaje Paweł Rybczyk. – Może to być VPN oraz IAM/PAM z usługą zarządzania dostępem dla klienta, który nie dysponuje odpowiednim zespołem technicznym, by mógł tym zajmować się sam, albo nie ma czasu na kolejne szkolenie swojego przeciążonego personelu IT.

Wcześniej model MSSP z dużymi oporami przebijał się w Polsce do świadomości klientów, dostawców i ich partnerów. Wydaje się, że pandemia i krótkoterminowe planowanie wyraźnie zwiększyły trend świadczenia usług na zasadzie abonamentu, którymi zainteresowany jest nie tylko sektor prywatny, ale także publiczny. Dzięki temu integratorzy coraz częściej będą musieli nie tylko dostarczyć klientowi same produkty, jak przełącznik, router, firewall czy inne zabezpieczenia, ale „opakować” je kompleksową usługą, związaną z zarządzaniem czy integracją z innymi systemami. Co ważne, taki pakiet będzie wynikać z opracowanej wspólnie przez obie strony strategii bezpieczeństwa.

Jak chmura zmieni rynek zabezpieczeń?

Są sygnały z rynku, że klienci przenoszący się do chmury rezygnują z wdrożonych wcześniej we własnej infrastrukturze zabezpieczeń, w tym rozwiązań zarządzania dostępem. Gdy chodzi o chmurę i jej bezpieczeństwo, osobom odpowiedzialnym za IT w firmach zdarza się wpadać z jednej skrajności w drugą. Najpierw cloud był środowiskiem, któremu w ogóle nie należy ufać. Obecnie z kolei można spotkać się z opiniami, że po migracji do chmury już nie trzeba martwić się o narzędzia ochrony, bo wszystko zapewnia jej operator.

Takim klientom warto przypomnieć, kto odpowiada za bezpieczeństwo chmury i w jakim stopniu. Wszyscy dostawcy chmury publicznej proponują model odpowiedzialności współdzielonej z użytkownikiem. W przypadku często wybieranej przez przedsiębiorstwa usługi IaaS operator jest odpowiedzialny za całą infrastrukturę obsługującą – za usługi podstawowe, oprogramowanie do wirtualizacji i sprzęt, łatanie luk i naprawianie błędów w tym obszarze, a także zasilanie i redundancję centrum danych. Rzeczywiście, operator wnosi odporność na zagrożenia, ale tylko niektóre, na przykład ataki typu DDoS.

Dla użytkownika współdzielona odpowiedzialność w usłudze IaaS oznacza, że odpowiada on za to, co wnosi, czyli za systemy i aplikacje. Zarządzanie nimi, ich aktualizowanie i łatanie jest po jego stronie. Co ważne (choć może się to wydać mniej oczywiste), również do niego należy konfiguracja sieci i jej zabezpieczeń. Musi więc zadbać o wdrożenie także narzędzi do kontroli dostępu i uwierzytelniania, najlepiej zintegrowanych w jeden system ochrony dla wykorzystywanego najczęściej środowiska hybrydowego.

– Wykorzystanie chmury wiele zmienia, bo zapewnia wygodną obecnie decentralizację zasobów i możliwość korzystania z usług SaaS – mówi Michał Porada. – Trzeba jednak pamiętać, że dostęp do instancji chmurowych i przechowywanych tam danych również musi zostać odpowiednio zabezpieczony. Przechwycenie loginu i hasła bądź typowe błędy, na przykład przy ustaleniu dostępu do danych, mogą być początkiem dramatu.

Dostawcy wciąż dostosowują swoje oferty – proponują produkty, które są w stanie zabezpieczać dostęp zarówno w chmurze (w tym również w modelu multi-cloud), jak i on-premise. Dla klientów, którzy posiadają jakąś własną infrastrukturę i jednocześnie obawiają się uzależnienia od jednego usługodawcy, może to być lepszy wybór w porównaniu z natywnymi dla chmury narzędziami, które są oferowane przez jej operatorów.

Zdaniem producenta

Paweł Rybczyk, Senior Territory Sales Manager CEE&CIS, Wallix  

W Polsce jako MSSP zaczynają działać operatorzy centrów danych, którzy chcą uzupełnić swoją ofertę infrastruktury o warstwę bezpieczeństwa i aplikacji. Ale nie tylko oni, bo w usługi wchodzą także niektórzy nasi integratorzy, którzy z różnych produktów ze swojego portfolio tworzą całościową ofertę as-a-Service pod wspólnym szyldem, na przykład bezpiecznego dostępu. Takie rozwiązanie nie jest wtedy hostowane po stronie partnera, jak w przypadku operatora centrum danych, tylko wdrażane u klienta, który płaci za nie abonament obejmujący, oprócz licencji, także zarządzanie. De facto w takim modelu dla producenta czy dystrybutora to integrator staje się klientem końcowym.

  

Michał Porada, Business Development Manager Cisco Security, Ingram Micro  

Firmy stanęły wobec wielkiego wyzwania, by z jednej strony zadbać o własne bezpieczeństwo, a z drugiej o komfort pracownika działającego w trybie zdalnym. Gdy wiele z nich ma już za sobą przygotowanie infrastruktury, odpowiednich licencji i reguł polityki, rośnie wśród nich chęć zapewnienia bezpieczniejszego i bardziej kontrolowanego dostępu. W tym tkwi przyczyna zainteresowania takimi rozwiązaniami jak 2FA oraz wykorzystaniem zaawansowanych możliwości narzędzi typu NAC do tworzenia granularnych zasad dostępu, zależnych nie tylko od poświadczeń, ale również wielu innych elementów, jak urządzenie, zainstalowane oprogramowanie, aktualizacje itp.