Miközben az üzletmenet-kritikus alkalmazások ma már természetes módon, párhuzamosan futnak publikus felhőben, privát infrastruktúrán és helyi adatközpontokban, az ezeket szabályozó biztonsági házirendek megrekedtek a múltban. A szétaprózott, kezelhetetlen alkalmazás-kapcsolódások egyszerre technikai kényelmetlenségek és a modern szoftverkiadás legfőbb fékjei.

Az üzleti szempontból kritikus alkalmazások lokációja (forrás: AlgoSec)

Az üzemeltetés ára

A szabályok félrekonfigurálása nem csak biztonsági kérdés, hanem az üzemeltetési modell legdrágább strukturális hibája. A szervezetek 65%-a tapasztalt legalább egy üzletileg kritikus leállást az elmúlt évben rossz szabálykonfiguráció miatt. Ennél is drámaibb, hogy 46%-uknál ez két vagy több alkalommal is előfordult.

A hiba nem az egyéni mulasztásokban, hanem a folyamatokban keresendő. A szervezetek 48%-ánál a módosítások még mindig kézzel történnek. A modern IT-infrastruktúra „kézifékje” lassítja a fejlesztést és mérhető üzleti veszteséget okoz.

A felelősség bizonytalansága

A hibrid környezetekben a felelősség szétforgácsolódott, ami a „vakon repülés” állapotát idézi elő. A szabályok definiálásáért és az alkalmazások kapcsolódásáért legalább négy különböző csapat osztozik a felelősségen, gyakran egységes koordináció nélkül:

A fragmentáltságot súlyosbítja az, hogy a csapatok 67%-a naponta három vagy több biztonsági konzolt használ, 16%-uk pedig hatnál is többet. Ilyen körülmények között nem meglepő, hogy a válaszadók 92%-a komoly nehézségekbe ütközik, amikor egyetlen, pontos és egységes nézetet kellene alkotnia a teljes hálózati szabályrendszerről.

A manuális megfelelőség csapdája

Sok vezető még mindig a manuális felülvizsgálatban látja a biztonságos utat, de a statisztika cáfolja ezt az illúziót. Bár a szervezetek 40%-a manuális folyamatokkal próbál megfelelni az előírásoknak, az auditok 25%-a így is kudarcot vall.

A manuális modell képtelen lekövetni a hibrid felhő változási sebességét, a válaszidők pedig kritikus lassúsággal mozognak. A szervezetek 38%-ának legalább 4 napba (gyakran hetekbe) telik egy hiba elhárítása. A legriasztóbb adat azonban az, hogy 14%-uknak fogalma sincs, mennyi ideig tart a javítás. Ők azok, akiknél a láthatóság hiánya operatív vaksággal párosul.

A DORA és a NIS2 korában a „pontszerű” audit már nem elég. A szabályozók folyamatos bizonyítékgyűjtést várnak el, amit manuális eszközökkel lehetetlen előállítani.

Kockázatelemzés alapok nélkül

A piaci igények és a technikai realitás közötti szakadékot jól mutatja, hogy a szervezetek 32%-a a módosítások előtti kockázatelemzést jelölte meg a legfontosabb vágyott képességként. Mindenki látni szeretné a változtatás hatását, mielőtt az megbénítaná a rendszert.

Itt azonban egy súlyos logikai ellentmondással szembesülünk. Hogyan akarunk komplex elemző szoftvereket telepíteni, ha magát az alapot sem látjuk? Ha a szervezetek 92%-a nem látja át a jelenlegi szabályrendszerét, akkor a tervezett módosítások hatásvizsgálata csupán találgatás marad. A láthatósági alapok nélkül a legfejlettebb kockázatelemző eszköz is csak hamis biztonságérzetet nyújt.

A pénzügyi realitás is kijózanító. A szervezetek mindössze 44%-a vár büdzsénövelést, és mindössze 7% számít jelentős emelésre. A megoldás viszont nem az extra költés, hanem az üzemeltetési modell érettségi szintjének emelése. Jelenleg a szervezetek többsége a skála alján ragadt:

• 1. szint – Manuális (40%): A megfelelőség kézi felülvizsgálaton alapul.
• 2. szint – Reaktív (21%): A hibákat csak akkor javítják, ha már bekövetkeztek.
• 3. szint – Proaktív (30%): Automatizált eszközök jelzik a kockázatokat az incidens előtt.
• 4. szint – Integrált (9%): A biztonsági szabályzat a fejlesztési workflow szerves része.

A legtöbb szervezet az „Integrált” szintre vágyik, de a „Manuális” szinten vesztegel. A konklúzió egyértelmű. A jövő nyertesei nem azok lesznek, akik több eszközt vásárolnak, hanem azok, akik újratervezik a működési modelljüket az automatizáció és a workflow-integráció mentén.

Forrás

The State of Hybrid and Multi-Cloud Security Policy Management

Kapcsolódó tartalom

AlgoSec képzések a RelNet eLearning programban