IBM Security Summit

10 czerwca w Warszawie miał miejsce pierwszy w Europie Wschodniej IBM Security Summit.

Jako, że IBM Security zaprosił mnie do uczestnictwa w tym wydarzeniu pomyślałem, że odwdzięczę się krótkim opisem tego co najciekawszego wyniosłem ze spotkania.

Przede wszystkim spotkanie dotyczyło nowej wizji podejścia do zabezpieczeń. 

W niedalekiej przyszłości powinniśmy przygotować się na konieczność sprostania zagrożeniom płynącym z takich nowych technologii jak:

1) Artificial Intelligence

2) 5G

3) IoT

4) Automation

5) Blockchain

(Mamy Bingo!) Ale tak na serio - ilość danych, które gromadzimy będzie coraz większa i jeszcze trudniej będzie wykryć w ich natłoku to co naprawdę ma znaczenie. A warto zauważyć, że "to" będzie przede wszystkim przetwarzane w chmurze obliczeniowej (i to niejednej). Innymi słowy w niedługiej przyszłości będziemy mieć natłok danych w różnych chmurach a to wszystko będziemy musieli zabezpieczyć - zapewnić poufność i zgodność. Tak, tak - również i ja dodałbym tutaj więcej właściwości bezpieczeństwa informacji (a Bruce Schneier wprost to później zrobił), ale pomyślmy szczerze po „co komu bezpieczeństwo”...

Zarządy martwią się przede wszystkim o to by ludzie dalej kupowali produkty (czyli wizerunek to podstawa). Jak można szybko zaszkodzić swojemu wizerunkowi? Przede wszystkim pozwalając komuś skopiować (i rozpowszechnić) dane naszych klientów. Temat jest modny, media to podchwycą, klienci się oburzą, kurs akcji spadnie i nawet trzeba będzie zapłacić jakąś karę...

Drugi straszak, na który zwrócił uwagę IBM to brak zgodności. Patrząc na poprzedni przykład - sam fakt ujawnienia danych nie będzie jeszcze przesądzał o potężnej karze, ale jeżeli okażę się, że organizacje nie przestrzegała wymagań prawa...Cóż tym razem może nie skończyć się na karze typu 100 000 pln.

Szczególne wrażenie zrobiła na mnie prezentacja @Kevin Skapinetz

W bardzo atrakcyjne sposób opowiedział o tym jak zmienia się krajobraz bezpieczeństwa. Kiedyś mieliśmy monolityczne aplikacje, kaskadowe zarządzanie projektami (waterfall), serwerownie, zespoły wsparcia IT. Przyszłość zdaniem IBM to mikroserwisy, zwinne zarządzanie projektami (agile), chmury oraz zespoły DevOps.

Nie da się w tym świecie zarządzać bezpieczeństwem tak jak dotychczas.

Przejście na zarządzanie bezpieczeństwem danych w chmurze wymagać będzie zmiany podejścia: obdarzenia zaufaniem partnerów (dostawców chmur, usług security) i częściową utratę kontroli. Zaufanie będzie więc w przyszłości jeszcze ważniejsze niż dotychczas. I jeszcze trudniejsze będą rozważania dotyczące tego kogo nim obdarzymy.

Pierwszy raz w Warszawie było również mobilne centrum zarządzania kryzysowego IBM X Force Command Center. Potężna, rozkładająca się ciężarówka przygotowana do jednoczesnej pracy ponad 20 osób mogących zarządzać sytuacjami kryzysowymi to naprawdę rzadkość.

Największą atrakcją spotkania był jednak wykład Bruce'a Schneiera dotyczący wizji przyszłości - problemów z którymi musimy sobie jeszcze poradzić. 

Bruce zdefiniował 6 takich wyzwań:

1) Oprogramowanie jest byle jakie

Programy są zazwyczaj źle napisane i pełne podatności. W przypadku, gdy oprogramowanie znajduje się na urządzeniach ich łatanie jest wręcz koszmarem

2) Internet nie był zaprojektowany z myślą o bezpieczeństwie

Dodawanie na siłę zabezpieczeń do otwartych protokołów będzie bardzo trudne a czasami wręcz niemożliwe

3) Powszechność komputerów

W momencie gdy komputery otaczają nas z każdej strony (w momencie pisania tego artykułu widzę dookoła siebie 15 urządzeń elektronicznych - "komputerów") de facto każdy z nich może być wykorzystany przeciwko nam.

4) Kompleksowość systemów

Im bardziej rozbudowane są systemy informatyczne tym łatwiej w nich o błędy - w tym te najpoważniejsze

5) Niebezpieczeństwa związane z połączeniami (interconnections)

Ponieważ zaraz wszystko będzie się chciało ze sobą łączyć pojawia się pytanie jak to zrobić. Jak to Bruce słusznie zauważył - jak będzie musiał sparować ze sobą wzajemnie po Bluetooth 100 urządzeń to po prostu tego nie zrobi.

6) Ataki stają się coraz łatwiejsze i szybsze

A reakcja na nie będzie musiała być w znacznej części zautomatyzowana

A jak się na to przygotować?
Zaufany partner, automatyzacja no i oczywiście chmura...