Prilagođena poslovna rješenja uz visoku razinu sigurnosti

Poslovanje u oblaku, osiguranje kontinuiteta poslovanja u krizi samo su neke od tema koje su se nametnule posljednjih tjedana i mjeseci kada je svijet pogodila jedna velika kriza, a pritom Zagreb još i potres i to su teme o kojima smo porazgovarali s voditeljem informacijske sigurnosti u Setcoru Vedranom Vujasinovićem.

On ističe kako planovi za oporavak od katastrofe uključuju obnovu vitalnih sustava, odnosno njegov najvažniji cilj jest minimalizirati trajanje prekida poslovanja i vratiti potrebne tehničkih operacija u najkraće moguće vrijeme. Pritom napominje cjelovito rješenje u oblaku za isporuku različitih usluga poput računalne snage, aplikacija, pohrane podataka, backupa, kibernetičke sigurnosti, a sve to iz redundantnih podatkovnih centara baziranih na tehnologijama vodećih svjetskih proizvođača.

Dvije velike nedavne krize pokazale su koliko je važno imati kontinuitet poslovanja. Kako danas osigurati disaster recovery i business continuity?

Oporavak od katastrofe (DR) i kontinuitet poslovanja (BC) dvije su ključne strategije od kojih svaka čini važan aspekt u zaštiti poslovnih operacija. Kontinuitet poslovanja sastoji se od preciznog i jasno definiranog plana djelovanja. Osigurava nastavak redovitog poslovanja i tijekom katastrofe dok je Oporavak od katastrofe podskup planiranja kontinuiteta poslovanja. Planovi za oporavak od katastrofe uključuju obnovu vitalnih sustava, odnosno njegov najvažniji cilj jest minimalizirati trajanje prekida poslovanja i vratiti potrebne tehničkih operacija u najkraće moguće vrijeme. Uspješna tvrtka u nekoliko sekundi nakon napada može zatvoriti vrata ako nema plan kako nastaviti poslovanje u slučaju katastrofe. Uzrok katastrofe je u pravilu nebitan, bio to DDoS napad, zlonamjerni kod zaprimljen putem e-pošte, zlonamjerne reklame na popularnom news portalu, potres, rat, kvar ili zlonamjerni zaposlenik na kraju se svode na jedno – ima li tvrtka adekvatan i primjenjiv plan za takvu situaciju. Naime, ako nema, naći će se pred ogromnim problemom koji je ponekad gotovo nemoguće riješiti. Očigledno je da je plan poslovnog kontinuiteta ključan čimbenik za uspješno poslovanje. Danas i male i velike tvrtke ovise o kvalitetnoj internet vezi, a svaka značajnija smetnja na istoj može zaustaviti vitalne sustave i dijelove poslovanja. Situacije u kojima dođe do takve katastrofe mogu dovesti do ozbiljnog zastoja u poslovanju tvrtke te značajno naškoditi ne samo trenutnim prihodovnim rezultatima već i reputaciji, što je svakako najteže ponovno izgraditi.

Uz to, potrebno je imati i primarnu i sekundarnu lokaciju za podatke – backup na ovaj ili onaj način. Koliko tvrtkama u ovom trenutku mogu pomoći cloud based rješenja s obzirom na to da se ne moraju brinuti o hardveru, a često i o softver?

Oblak se odnosi na cjelovito rješenje za isporuku različitih usluga poput računalne snage, aplikacija, pohrane podataka, backupa, kibernetičke sigurnosti i sl. iz redundantnih podatkovnih centara baziranih na tehnologijama vodećih svjetskih proizvođača. Inicijalna uspostava, održavanje i nadogradnja podatkovnog centra je troškovno i operativno zahtjevna. Zahtjeva investiciju u skupu infrastrukturu, koja treba kontinuirano biti nadograđivana, sukladno promjenama (razvoj platformi, sigurnosne nadogradnje, korisnička očekivanja i ponašanja, promjene u poslovnim modelima, regulatornim zahtjevima itd.). S druge strane, prelaskom na Cloud usluge, CAPEX više ne postoji, nestaju kapitalna ulaganja u IT infrastrukturu i potrebe za zapošljavanjem stručnjaka. Plaća se isključivo pravo na korištenje najnovijih tehnologija na mjesečnoj razini, sukladno potrebama tvrtke; često na modelu Pay as you Grow, što je posebno važno za tvrtke koje moraju optimizirati svoje troškove. Danas je moguće koristiti najmoderniju IT infrastrukturu sukladno potrebama razvoja tvrtke, u opsegu koji je najprikladniji za trenutni razvojni stadij tvrtke te optimalan u smislu troškova. Bira se procesorska snaga, RAM, broj servera, tip usluga koji tvrtka treba – nisu potrebna predimenzioniranja IT infrastrukture (kao što je slučaj u tradicionalnom IT modelu rada) jer je resurse moguće u svakom trenutku po potrebi povećati. U pravilu uz takvu uslugu dolaze i certificirani stručnjaci s iskustvom i znanjem upravljanja istom, koji će korisniku sugerirati najbolje moguće rješenje za njegove poslovne izazove. Tradicionalni način upravljanja IT funkcijom je planiranje podržavanja rasta opterećenosti IT sustava kupovinom dodatnih servera, licenci i podatkovnog prostora. Nije rijedak slučaj da se kapacitet kupljene (rezervne) infrastrukture ne iskoristi godinama; to je ogroman trošak za svaku tvrtku, a koji i s godinama gubi na vrijednosti. Cloud usluge mogu omogućiti kontinuitet poslovanja kroz ciljanu uslugu Backup-as-a-Service ili kroz cjelokupni tehnološki model za Disaster Recovery-as-a-Service.

Kako ukomponirati za neku manju tvrtku takvo neko rješenje koje uključuje cloud based infrastrukturu, softver za upravljanje poslovanjem?

Cloud based rješenje za ovakav slučaj bilo bi integrirano rješenje trenutno potrebne virtualne infrastrukture sa svim potrebnim hardverskim i softverskim komponentama koje ima podršku za razne tipove sadržaja koji se procesiraju kao što je i softver za upravljanje poslovanjem. Isto tako može biti uključena podrška za razne servise kao što su E-mail, File servisi, baze podataka i sl. Prelazak na Cloud uslugu ima brojne prednosti u odnosu na postojeće modele upravljanja IT funkcijom. Primjerice, korisnik tako može imati na raspolaganju SETCOR Internet link proizvoljnog kapaciteta, mogućnost povezivanja optičkim vodom od svoje lokacije do podatkovnih centara kao i mogućnost spajanja udaljenih lokacija direktno na podatkovni centar preko postojećih pružatelja internet usluga ili s našim SD-WAN rješenjem – OfficeBox sa 4G/LTE backup vezom za bezbrižno poslovanje. Korištenjem Cloud usluga tvrtke imaju na raspolaganju mogućnost da koriste baš ono što im je u tom trenutku potrebno te da njihovi IT stručnjaci ne posvećuju svoje radno vrijeme održavanju IT infrastrukture u tvrtki već ga posvećuju strateškom planiranju razvoja IT-a, u skladu s razvojnim planovima tvrtke u cjelini. To je dugoročno isplativije za svaku tvrtku koja stremi razvoju poslovanja. Dodamo li još i stvarnu DDOS zaštitu od napada koja omogućuje nastavak poslovanja čak i pod najsnažnijim napadima, za razliku od iluzornih zaštita u kojima se dogodi da određeni pružatelj usluga interneta jednostavno ugasi pristup internetu za napadnutog korisnika kako bi zaštitio svoju infrastrukturu umjesto da zaštiti korisnika i na taj način zapravo efektivno sudjeluje u narušavanju plana kontinuiteta, mi možemo reći da smo zajedno s korisnikom tehnološki pripremljeni odgovoriti na sve ugroze današnjice na primjenjiv i odgovarajući način. Tehnologija ne smije i ne treba biti ograničavajući faktor poslovanja. Ona treba biti katalizator poslovne izvrsnosti modernih tvrtki. Cloud model poslovanja omogućuje tvrtkama da se fokusiraju na tržište, konkurenciju i korisnika; a ne na razmišljanja što mu postojeća infrastruktura u tvrtki omogućuje. Cloud model poslovanja čini baš to, tehnologija i sigurnost servisa/podataka, se prepušta profesionalcima s najmodernijom tehnologijom, a fokus managementa i djelatnika je na izvrsnost poslovanja.

Mnogi danas govore i o problemima krađe podataka, a nedavno je jedna velika domaća tvrtka imala problem s kriptiranjem podataka i iznudom od strane hackera. Kako se boriti protiv takvih napada?

Uzroci curenja podataka najčešće su u jednoj od navedene tri kategorije, ‘dobronamjerni zaposlenici’ , ‘zlonamjerni zaposlenici’ ili ‘zlonamjerni nepoznati počinitelji’. Lojalni zaposlenici iskorištavaju informacije i resurse koji su im potrebne da bi zakonito obavljali svoj posao. Kombinacija nepotpunih poslovnih procesa, nedostatka obuke i svijesti ili nepostojanje odgovarajućih postupaka kontrole rizika može biti izvor ozbiljnih curenja podataka. Iako dobronamjerni zaposlenici i dalje predstavljaju većinu rizika od gubitka podataka o kojima se možda i najmanje priča, s druge strane postoje zaposlenici koji osjećaju da imaju pravo na podatke za koje su odgovorni i često se ne ustručavaju „zadržati kopiju za sebe“. Zlonamjerni nepoznati počinitelji (konkurenti, hakeri, kriminalci) obično su glavni pokretači koji stoje iza većine masovnih curenja podataka. To su akteri o kojima često čujemo u vijestima – ljudi i organizacije koje su motivirane da kradu informacije radi dobiti svojih organizacija ili radi osobne koristi. Upadaju u organizaciju, ostavljaju zlonamjerni programski kod koji im omogućuje trajan pristup, a onda traže jednostavne ciljeve, poput dragocjenih informacija koje dobronamjerni zaposlenici ostavljaju na nezaštićenim lokacijama lokalno u tvrtki ili pak direktno napadaju web aplikacije i servise u javnom cloudu koji se nalaze izvan tradicionalnih granica organizacije. Tehnološki gledano prijetnje s kojima se korisnici susreću na kraju su zlonamjerni kod, napredne prijetnje koje imaju dugoročno uporište u mrežnoj infrastrukturi ciljane tvrtke, ransomware, botneti, trojanci, krađa pristupnih podataka i slične prijetnje. Kako bi spriječili ovakve napade potrebna je kvalitetna sigurnosna strategija otkrivanja prijetnji, a reakcija na incidente zahtijeva duboku vidljivost u transakcijske događaje, svijest o prijetnjama kao i snažne alate za dubinsku, brzu i učinkovitu analizu ovih podataka. Kvalitetni alati za Data Loss Prevention omogućuju kontrolu svih vektora upada kao što su web, mail, endpoint i javni cloud – ali s jednakom sigurnosnom politikom i razinom sigurnosti za sve vektore jer ograda je jaka koliko i njezin najslabiji dio. Kako bi se mogli štititi od prijetnji moramo imati uvid u sav promet, sav sadržaj, kriptiran ili ne, s mogućnošću izolacije nepoznatog Web i E-mail sadržaja i izvršavanja u sigurnoj okolini bez nepotrebnog ograničavanja pristupa – štiteći se od svih poznatih i nepoznatih prijetnji tako, a omogućujući nesmetano sigurno poslovanje. Privatni cloud uz sve prednosti koje donosi omogućuje implementaciju svih rješenja svih proizvođača sigurnosnih rješenja sukladno potrebama korisnika i aktualnim trendovima, ne ograničavajući korisnika u razni sigurnosti koju želi postići.

Postoji li uopće efikasna zaštita podataka?

Zaštita podataka danas je zahtjevnija nego ikada zbog procesa digitalne transformacije kojemu je cilj da tehnologija korisnicima omogući da dobiju ono što žele, i to kad god i kako god to žele. To znači da tradicionalne granice organizacije više ne postoje što napadačima otvara puno veći spektar mogućnosti nego ranije. Iako jedan dio javnosti ima percepciju kako su cloud rješenja manje sigurna od IT rješenja baziranih na smještaju na serverima unutar tvrtke, ta percepcija ustvari nema niti poslovnog niti sigurnosnog uporišta u svakodnevnoj poslovnoj praksi. Poslovno gledano, troškovno je efikasnije da se koriste Cloud usluge. Naime, ne morate imati interni tim IT stručnjaka koji će održavati servere funkcionalnima i koji će brinuti o sigurnosti i backupu podataka. Dodatno, nije potrebno voditi računa o neprekidnom izvoru napajanja niti o drugim važnim stavkama poput hlađenja, kontinuirano ulagati u najnovije tehnologije jer kod Cloud rješenja to za Vas radi Vaš pružatelj Cloud usluga. Po pitanju sigurnosti, Cloud je višestruko sigurnije rješenje za upravljanje i pohranu podatka za tvrtke u odnosu na „on the premise“ IT infrastrukturu. Razina sigurnosti pristupa lokalnoj IT infrastrukturi je znatno manja u odnosu na data centre u kojima se pružaju Cloud usluge. O sigurnosti korisničkih podataka brine ne samo najnaprednija infrastruktura, koju novac može kupiti, nego i vrhunski sigurnosni stručnjaci koji brinu o sigurnosti podataka korisnika. Sukladno navedenom, ulaganja u tehnologiju i sigurnosne aspekte pružanja usluga kod Cloud pružatelje usluga su nemjerljivo veća u odnosu na sigurnosna ulaganja koje su tvrtke spremne investirati u On the premise rješenja. Dodatno, Cloud usluge omogućuju kontinuitet poslovanja jer kopije podataka svojih korisnika koriste na fizički i logički odvojenim lokacijama koje se nalaze u drugim regijama, državama ili kontinentima… Važno je za istaknuti kako su kod Cloud servisa podaci kriptirani i nitko osim djelatnika korisnika koje koriste Cloud servise nema pristup podacima niti ih može dekriptirati.

Da li su važnije politike upravljanja podacima, alati za upravljanje podacima ili kombinacija svega toga?

Tehnološka rješenja odnosno alati za upravljanje podacima su prijeko potrebni i bez njih je nemoguće umanjiti rizike poslovanja, ključan su element u upravljanju podacima, rješavanju pronađenih slabosti te je svaka tvrtka koja već razmišlja o tehnološkim rješenjima i ulaže u ista na pravom putu do postizanja učinkovite sigurnosne strategije odnosno politike upravljanja podacima. Ključ je u pronalaženju balansa između oboje, usklađujući izbor alata s procesima strategije kibernetičke sigurnosti moguće je postići sve potrebne ciljeve uz minimalna ulaganja. Sigurnost je proces u kojemu je potrebno svakodnevno pratiti višestruke faktore, posvetiti se istima i odgovarati na prijetnje u stvarnom vremenu – što je dediciran i zahtjevan posao sam po sebi, a tvrtke uz njega bi još trebale misliti na svoje primarno poslovanje. Upravo je ove izazove prepoznao Setcor i zato smo osmislili model poslovanja koji će tvrtki lišiti upravo te brige i omogućiti fokus na druge segmente poslovanja i razvoj istoga. Tehnologija i sigurnost ne smiju ograničavajući faktori poslovanja. Oni trebaju biti katalizatori poslovne izvrsnosti modernih tvrtki. Cloud model poslovanja omogućuje tvrtkama da se fokusiraju na tržište, konkurenciju i korisnika; a ne na razmišljanja što im postojeća infrastruktura u tvrtki omogućuje. Cloud model poslovanja omogućuje baš to – tehnologija i sigurnost podataka, se prepušta profesionalcima s najmodernijom tehnologijom, a fokus managementa i djelatnika je na izvrsnost poslovanja.

A konkretan primjer…

Imamo odličan primjer jedne banke, koja je u sklopu projekta zamjene središnjeg bankarskog sustava imala važan izazov pred sobom u vidu implementacije potpuno nove virtualizirane IT infrastrukture. Poseban naglasak je stavljen na kibernetičku sigurnost imajući na umu da je riječ o vrlo osjetljiv i važnim podacima. Cilj je bio koristiti hardverske i softverske kapacitete na optimalan način s istovremenim smanjenjem operativnih troškova vezanih uz informacijski sustav. Bio je riječ o velikom poslovnom izazovu za nas, jer smo morali osigurati cjelokupnu implementaciju upravljačkih mehanizama, održavanje, nadzor i upravljanje eksternaliziranom IT infrastrukturom. Krajnji rezultat je bio odličan – klijent je dobio visoko kvalitetan i pouzdan informacijski sustav, a njihovi korisnici moderne i brze bankarske usluge. Istaknuo bi ovom prilikom kako je evidentno da tvrtke danas sve više ulažu u različite tehnološke sigurnosne sustave, pa čak i zapošljavaju pojedince koji će se isključivo baviti kibernetičkom sigurnošću, ali cyber prijetnje postaju sve naprednije. Zlonamjerne kampanje su nerijetko prilagođene za određene tvrtke i tradicionalno ciljaju njihove tehnološke ranjivosti, dok se danas se sve češće usmjeravaju na ‘čovjeka kao ranjivost’ kako bi preskočili postojeće tehnološke mehanizme kibernetičke sigurnosti. Korištenje tradicionalnih tehnika baziranih na automatskim sigurnosnim rješenjima i reaktivno djelovanje pokazuje se nedovoljnim. Dolazi do propusta i zamora upozorenjima s postojećih rješenja koja sadrže veliki broj informacija, ali ne sadrže ključne informacije o konkretnom događaju na temelju kojih bi se učinkovito uklonila prijetnja. Jedna od usluga koja se direktno naslanja na smanjenje rizika što tehnoloških, što procesnih je i uspostava upravljanog sveobuhvatnog sustava za praćenja i nadzora sigurnosnih događaja na informacijskom sustavu tzv. Managed SOC (Security Operations Center). Sigurnosno-operativni centar je centralizirana jedinica koja se na organizacijskoj i tehničkoj razini bavi pitanjima sigurnosti, objedinjujući sva dostupna tehnološka rješenja, ljude i procese. Radi se o središnjem mjestu odakle sigurnosni analitičari od 0 do 24 nadziru sigurnosnu situaciju, provode istrage na dodijeljenim slučajevima, klasificiraju upozorenja, sprječavaju i rješavaju sigurnosne prijetnje koristeći tehnologiju, ekspertizu i prihvaćene procese kako bi došli do konkretnog rješenja situacije. Ključna prednost SETCOR SOC-a kao cloud usluge je upravo u pristupu kibernetičkoj sigurnosti kao procesu, a ne pojedinom tehnološkom proizvodu. Kombinirajući tu činjenicu s višegodišnjim iskustvom u radu na sigurnom cloudu s velikim brojem raznih korisnika koji redom imaju visoke zahtjeve na kibernetičku sigurnost – naši vrhunski stručnjaci kibernetičke sigurnosti konstantno su na prvoj liniji obrane i u toku s uvijek aktualnim sigurnosnim prijetnjama neovisno kojim vektorom dolazile. SETCOR cloud je u potpunosti izolirani samo-upravljivi produžetak mreže korisnika u kojemu korisnik ima potpunu kontrolu i izbor alata kibernetičke sigurnosti koji želi koristiti na redundantnoj i visoko efikasnoj infrastrukturi. U takvoj okolini razina sigurnosti može biti minimalno jednaka onoj na on-premise lokaciji korisnika, a gotovo uvijek je i značajno veća jer implementacija dolazi s minimalnom preporučenom razinom sigurnosnih politika i procedura, uhodanom implementacijom, vrhunskim certificiranim stručnjacima koji svakodnevno rade s istom te izborom usluga koje odgovaraju vašem poslovanju. Privatni cloud uz sve prednosti koje donosi omogućuje implementaciju svih rješenja svih proizvođača sigurnosnih rješenja sukladno potrebama korisnika i aktualnim trendovima, ne ograničavajući korisnika u razni sigurnosti koju želi postići. Potrebno je razmotriti na koji način razvijati svoju organizaciju, kako dizajnirati svoj poslovni i IT model upravljanja, potrebna kvalitetne prokušane procedure, nova znanja i vještine, potreban je novi pogled na poslovanje – a tu naravno kao posljedica svega dolazi i tehnologija odnosno cloud kao platforma koja objedinjuje korisnika, procese i tehnologiju, tu dolazi SETCOR sigurni cloud.

Članak je objavljen 27.05.2020. na: https://www.ictbusiness.info/poslovna-rjesenja/prilagodena-poslovna-rjesenja-uz-visoku-razinu-sigurnosti