Κάθε εύρημα στο προηγούμενο κείμενο έχει την ίδια βασική αιτία: ένα σύστημα χτίστηκε, και η συμμόρφωση ζητήθηκε από αυτό εκ των υστέρων. Η επισκόπηση πρόσβασης είναι επώδυνη επειδή οι ταυτότητες ζουν σε έξι μέρη. Η δοκιμή αποκατάστασης λείπει επειδή κανείς δεν σχεδίασε για αποκατάσταση. Το αρχείο καταγραφής είναι άδειο επειδή η καταγραφή ήταν μια ρύθμιση που κάποιος ξέχασε. Η φθηνότερη στιγμή για να διορθώσεις όλα αυτά είναι πριν υπάρξει ο πρώτος server. Αυτό το τελευταίο κείμενο αφορά τις αρχιτεκτονικές αποφάσεις που κάνουν τα τεκμήρια παραπροϊόν της λειτουργίας και όχι τριμηνιαία αγγαρεία.

Μέρος όγδοο, και τελευταίο, της σειράς The Compliance Architect. Προϋποθέτει τον πίνακα ελέγχων και την αρχιτεκτονική τεκμηρίων από νωρίτερα στη σειρά, και τα μετατρέπει σε σχεδιαστικούς περιορισμούς.

Γιατί η Εκ των Υστέρων Προσαρμογή Κοστίζει Όσο Κοστίζει

Ένας έλεγχος που προσαρμόζεται εκ των υστέρων σε σύστημα που ήδη τρέχει έχει τρία κόστη που ο ίδιος έλεγχος στον σχεδιασμό δεν έχει. Πρέπει να βιδωθεί χωρίς να σπάσει ό,τι δουλεύει, που σημαίνει εξαιρέσεις, και οι εξαιρέσεις είναι αυτό που ψάχνουν και οι επιθεωρητές και οι επιτιθέμενοι. Πρέπει να τεκμηριωθεί από κάποιον που πηγαίνει και κοιτά, επειδή το σύστημα δεν χτίστηκε για να αναφέρει για τον εαυτό του. Και πρέπει να συντηρείται απέναντι σε έναν σχεδιασμό που συνεχώς απομακρύνεται από αυτόν, επειδή οι άνθρωποι που αλλάζουν το σύστημα δεν σκέφτονται τον έλεγχο ως μέρος του συστήματος.

Η εναλλακτική δεν είναι να σχεδιάζεις «για συμμόρφωση». Η συμμόρφωση είναι κακός σχεδιαστικός στόχος· αλλάζει με τον κανονισμό και σε βάζει στον πειρασμό να χτίζεις για το έγγραφο και όχι για τον κίνδυνο. Η εναλλακτική είναι να σχεδιάζεις για ένα μικρό σύνολο ιδιοτήτων που κάθε πλαίσιο αυτής της σειράς αποδεικνύεται ότι απαιτεί, και να αφήνεις τα τεκμήρια να προκύπτουν από τον σχεδιασμό. Είναι εννέα.

1. Μία Ταυτότητα, Παντού

Κάθε άνθρωπος και κάθε φόρτος εργασίας ταυτοποιείται απέναντι σε έναν και μόνο πάροχο ταυτότητας, με MFA επιβεβλημένο στον πάροχο και ρόλους που ανατίθενται εκεί, όχι σε κάθε εφαρμογή. Οι εφαρμογές εμπιστεύονται τον πάροχο· δεν κρατούν δικούς τους πίνακες χρηστών. Οι λογαριασμοί υπηρεσιών έχουν ιδιοκτήτη, λήγουν, και εναλλάσσονται.

Τι κερδίζεις: η επισκόπηση πρόσβασης (ISO 5.18, NIS2 21(2)(θ), DORA 9(4)(γ)) γίνεται μία εξαγωγή από ένα σύστημα. Η κάλυψη MFA (NIS2 21(2)(ι)) είναι μία πολιτική, αποδεδειγμένα εφαρμοσμένη. Η αφαίρεση πρόσβασης αποχωρούντων είναι μία ενέργεια. Η εναλλακτική, μία ταυτότητα ανά εφαρμογή, παράγει την επισκόπηση πρόσβασης έξι λιστών που κανείς δεν ολοκληρώνει.

2. Τμηματοποίηση ως Προεπιλεγμένη Τοπολογία

Τα δίκτυα παραγωγής, δοκιμών, ανάπτυξης, εταιρικό και διαχείρισης είναι χωριστά, και η κίνηση μεταξύ τους απαγορεύεται εκτός αν επιτρέπεται. Η διαχειριστική πρόσβαση στην παραγωγή περνά από bastion ή υπηρεσία προνομιακής πρόσβασης με καταγραφή συνεδρίας, ποτέ απευθείας από σταθμό εργασίας. Οι λογαριασμοί ή οι συνδρομές cloud χωρίζονται ανά περιβάλλον και ανά ευαισθησία.

Τι κερδίζεις: η ακτίνα έκρηξης ενός περιστατικού είναι οριοθετημένη, που είναι η ουσία της «ασφάλειας συστημάτων δικτύου και πληροφοριών» της NIS2 και του άρθρου 9 του DORA. Το τεκμήριο είναι η πολιτική firewall και τα flow logs, και τα δύο παραγόμενα από μηχανή. Και το «πήγαινέ με στο σύστημα» του επιθεωρητή καταλήγει σε καταγεγραμμένη συνεδρία αντί για κοινόχρηστο κωδικό root.

3. Η Καταγραφή Δεν Είναι Προαιρετική ούτε Τοπική

Κάθε σύστημα στέλνει logs σε κεντρική πλατφόρμα από τη μέρα που χτίζεται, με την πρόσβαση στην ίδια την πλατφόρμα ελεγχόμενη και την αποθήκευσή της αμετάβλητη για την περίοδο διατήρησης. Γεγονότα ταυτοποίησης, χρήση προνομίων, αλλαγές διαμόρφωσης και διαχειριστικές ενέργειες είναι υποχρεωτικές πηγές· τα logs εφαρμογών προστίθενται ανά σύστημα. Η διατήρηση είναι απόφαση που παίρνεται μία φορά, ανά κατηγορία log, και καταγράφεται.

Τι κερδίζεις: ISO 8.15 και 8.16, NIS2 21(2)(β) και (ε), DORA άρθρο 10, GDPR 32(1)(δ), και, κρίσιμα, την ικανότητα να απαντήσεις στις ερωτήσεις αναφοράς των 24 και 72 ωρών. Μια αναφορά περιστατικού που λέει «δεν ξέρουμε πότε ξεκίνησε» είναι το άμεσο αποτέλεσμα της καταγραφής ως δευτερεύουσας σκέψης.

4. Backups που Δοκιμάζονται επειδή η Αποκατάσταση Είναι Χαρακτηριστικό

Τα backups ακολουθούν τον βαρετό κανόνα (τρία αντίγραφα, δύο μέσα, ένα εκτός εγκατάστασης) με μία σύγχρονη προσθήκη: τουλάχιστον ένα αντίγραφο είναι αμετάβλητο ή λογικά απομονωμένο, ώστε ransomware με διαχειριστικά διαπιστευτήρια να μην μπορεί να το διαγράψει. Η αποκατάσταση είναι χρονοπρογραμματισμένη λειτουργία σε script, όχι χειροκίνητη έκτακτη ανάγκη· το script αποκαθιστά ένα δείγμα σε απομονωμένο περιβάλλον μηνιαία και καταγράφει το αποτέλεσμα.

Τι κερδίζεις: ISO 8.13, NIS2 21(2)(γ), DORA άρθρα 11 και 12, GDPR 32(1)(γ). Η δοκιμή αποκατάστασης που ζητά ο επιθεωρητής υπάρχει επειδή το σύστημα την τρέχει, και ο στόχος ανάκαμψης είναι μετρημένος αριθμός και όχι ευχή.

5. Κρυπτογράφηση Παντού, Κλειδιά Κάπου Συγκεκριμένα

TLS για κάθε σύνδεση συμπεριλαμβανομένων των εσωτερικών· κρυπτογράφηση σε ηρεμία για κάθε αποθήκη δεδομένων· και κλειδιά σε υπηρεσία διαχείρισης κλειδιών με εναλλαγή, καταγραφή πρόσβασης και διαχωρισμό ανάμεσα στους ανθρώπους που διαχειρίζονται συστήματα και στους ανθρώπους που μπορούν να χρησιμοποιήσουν κλειδιά. Τα πιστοποιητικά εκδίδονται και ανανεώνονται αυτόματα.

Τι κερδίζεις: ISO 8.24, NIS2 21(2)(η), DORA 9(4)(δ), GDPR 32(1)(α) και, κατά το άρθρο 34(3)(α), ένα υπερασπίσιμο επιχείρημα ότι μια παραβίαση κρυπτογραφημένων δεδομένων δεν απαιτεί ενημέρωση των υποκειμένων. Η λήξη πιστοποιητικών παύει να είναι πηγή περιστατικών.

6. Υποδομή ως Κώδικας, Αλλαγές ως Επισκοπήσεις

Η υποδομή ορίζεται σε κώδικα, σε αποθετήριο, και εγκαθίσταται από pipeline. Μια αλλαγή είναι merge request με επισκοπούντα, αυτοματοποιημένες δοκιμές και αρχείο εγκατάστασης. Κανείς δεν αλλάζει την παραγωγή με το χέρι· όπου πρέπει, η διαδρομή έκτακτης ανάγκης καταγράφεται και συμφωνείται πίσω στον κώδικα μέσα σε μέρες. Η απόκλιση ανάμεσα στον κώδικα και την κατάσταση που τρέχει ανιχνεύεται και ειδοποιεί.

Τι κερδίζεις: ISO 8.9, 8.32 και παράγραφος 6.3, NIS2 21(2)(ε), DORA 9(4)(ε). Τα baselines διαμόρφωσης είναι ο κώδικας. Τα αρχεία αλλαγών είναι το ιστορικό merge. Το «δείξε μου τρεις αλλαγές» του επιθεωρητή είναι ένας σύνδεσμος. Και το τεκμήριο συμμόρφωσης για τη διαχείριση διαμόρφωσης, που είναι σχεδόν αδύνατο να παραχθεί για χειροκίνητα διαχειριζόμενα συστήματα, παράγεται συνεχώς.

7. Ελάχιστο Προνόμιο, Just in Time

Μόνιμο διαχειριστικό προνόμιο δεν υπάρχει. Οι διαχειριστές είναι συνηθισμένοι χρήστες που ζητούν ανύψωση για μια εργασία, για οριοθετημένο χρόνο, με έγκριση όπου ο κίνδυνος το δικαιολογεί, και κάθε ανύψωση καταγράφεται. Οι φόρτοι εργασίας παίρνουν τον στενότερο ρόλο που τους επιτρέπει να λειτουργούν. Τα μυστικά εγχέονται κατά την εκτέλεση από vault, ποτέ δεν αποθηκεύονται σε κώδικα ή αρχεία διαμόρφωσης.

Τι κερδίζεις: ISO 8.2 και 8.5, NIS2 21(2)(θ), DORA 9(4)(γ). Η επισκόπηση προνομιακής πρόσβασης γίνεται λίστα ανυψώσεων με αιτιολογίες. Η κλοπή διαπιστευτηρίων δίνει στον επιτιθέμενο έναν συνηθισμένο χρήστη, όχι ένα domain. Και το εύρημα «μυστικό στο αποθετήριο», που είναι στα τρία πρώτα κάθε δοκιμής διείσδυσης που έχω διαβάσει, δεν μπορεί να συμβεί.

8. Δεδομένα Ταξινομημένα, Ελαχιστοποιημένα, με Λήξη

Κάθε αποθήκη δεδομένων φέρει ταξινόμηση και περίοδο διατήρησης, που ορίζονται όταν δημιουργείται. Τα προσωπικά δεδομένα σημαίνονται ως τέτοια. Η διαγραφή είναι χρονοπρογραμματισμένη και αυτόματη, όχι έργο που κάνει κάποιος όταν ρωτήσει η ΑΠΔΠΧ. Τα περιβάλλοντα δοκιμών και ανάπτυξης χρησιμοποιούν αποκρυμμένα ή συνθετικά δεδομένα, ποτέ αντίγραφα παραγωγής.

Τι κερδίζεις: ISO 5.12, 5.13, 8.10 και 8.11, GDPR άρθρα 5(1)(ε), 25 και 30. Το αρχείο δραστηριοτήτων επεξεργασίας είναι ένα ερώτημα πάνω στις ετικέτες. Το τεκμήριο διαγραφής που ζητούν οι επιθεωρητές του 2022 υπάρχει επειδή η διαγραφή είναι εργασία με log. Και μια παραβίαση στο περιβάλλον ανάπτυξης είναι παραβίαση συνθετικών δεδομένων.

9. Προμηθευτές και Έξοδοι Σχεδιασμένοι από την Αρχή

Κάθε εξωτερική εξάρτηση, συμπεριλαμβανομένου του παρόχου cloud, καταγράφεται όταν εισάγεται, με τα δεδομένα της, την τοποθεσία της, την κρισιμότητά της και τον ιδιοκτήτη της. Για κρίσιμες εξαρτήσεις η έξοδος σχεδιάζεται μαζί με την είσοδο: μορφές εξαγωγής δεδομένων, εκτίμηση της προσπάθειας μετάβασης, και, όπου ο κίνδυνος το δικαιολογεί, δεύτερος πάροχος ή φορητή εγκατάσταση (containers, τυποποιημένες διεπαφές, χωρίς ιδιόκτητο κλείδωμα στο επίπεδο δεδομένων). Τα manifests εξαρτήσεων και οι κατάλογοι υλικών λογισμικού παράγονται από το build.

Τι κερδίζεις: ISO 5.19 έως 5.23, NIS2 21(2)(δ), DORA άρθρα 28 έως 30 και τις στρατηγικές εξόδου που περιέγραψε το κείμενο για τον DORA, και τις προσδοκίες του CRA για διαφάνεια συστατικών. Το μητρώο πληροφοριών συμπληρώνεται από το αρχείο εξαρτήσεων αντί να ανασυντίθεται από τιμολόγια.

Τα Μοτίβα Μαζί

Βάλε τα εννέα μαζί και το σύστημα που προκύπτει έχει μια ιδιότητα που καμία ποσότητα πολιτικής δεν μπορεί να δώσει σε ένα εκ των υστέρων προσαρμοσμένο: αναφέρει για τον εαυτό του. Ο πάροχος ταυτότητας ξέρει ποιος έχει πρόσβαση. Το pipeline ξέρει τι άλλαξε. Η πλατφόρμα logs ξέρει τι συνέβη. Το σύστημα backup ξέρει τι μπορεί να ανακτηθεί. Το vault ξέρει ποιος χρησιμοποίησε ποιο κλειδί. Το αποθετήριο τεκμηρίων από το κείμενο του αυτοματισμού δεν είναι νέο σύστημα που πηγαίνει και ρωτά· είναι ένα σύνολο εξαγωγών από συστήματα που ήδη ξέρουν. Το μητρώο ελέγχων από το κείμενο του πίνακα αντιστοιχίζει αυτές τις εξαγωγές σε τέσσερα πλαίσια, και ο επιθεωρητής από το προηγούμενο κείμενο βρίσκει έναν οργανισμό που ταιριάζει με τα έγγραφά του επειδή τα έγγραφα παράχθηκαν από τον οργανισμό.

Τι Κοστίζει

Δεν θα προσποιηθώ ότι είναι δωρεάν. Σε σύγκριση με μια αδόμητη κατασκευή, τα εννέα μοτίβα προσθέτουν χρόνο σχεδιασμού εκ των προτέρων (εβδομάδες, για ένα τυπικό σύστημα), έναν μικρό συνεχή φόρο σε κάθε αλλαγή (την επισκόπηση, το pipeline), και κάποια υποδομή (πλατφόρμα logs, vault, bastion, αμετάβλητη αποθήκευση). Σε αντάλλαγμα αφαιρούν το έργο εκ των υστέρων προσαρμογής που κάθε ρυθμιζόμενος οργανισμός αλλιώς τρέχει, συνήθως πάνω από μία φορά, και αφαιρούν μόνιμα το μεγαλύτερο μέρος της προσπάθειας προετοιμασίας επιθεώρησης. Σε έναν τριετή κύκλο πιστοποίησης, σε κάθε περίπτωση που μπόρεσα να συγκρίνω, η κατασκευή με προτεραιότητα τη συμμόρφωση ήταν φθηνότερη. Στη διάρκεια ζωής ενός συστήματος, η διαφορά δεν είναι καν κοντά.

Κάνουν επίσης, και αυτό είναι το κομμάτι που με νοιάζει περισσότερο, το σύστημα ασφαλέστερο. Καθένα από τα εννέα μοτίβα είναι πρώτα έλεγχος ασφάλειας και δεύτερα έλεγχος συμμόρφωσης. Ένας οργανισμός που τα υιοθετεί επειδή το ζήτησε ο ρυθμιστής θα διαπιστώσει ότι ο ρυθμιστής, για μια φορά, ζητούσε το σωστό.

Για Συστήματα που Ήδη Υπάρχουν

Οι περισσότεροι αναγνώστες δεν χτίζουν από το μηδέν. Η ειλικρινής καθοδήγηση για μια υποδομή που τρέχει είναι να υιοθετήσεις τα μοτίβα με τη σειρά της αξίας τεκμηρίων και της αξίας ακτίνας έκρηξης μαζί, που στην πράξη σημαίνει: κεντρική ταυτότητα με MFA πρώτα, μετά κεντρική καταγραφή, μετά αμετάβλητα backups με αποκατάσταση σε script, μετά υποδομή ως κώδικας για ό,τι ξαναχτίζεται επόμενο, μετά τα υπόλοιπα καθώς τα συστήματα αγγίζονται. Μην προσαρμόσεις και τα εννέα ταυτόχρονα· αυτό είναι το έργο εκ των υστέρων προσαρμογής που η σειρά αυτή υπάρχει για να αποφύγει. Θέσε τον κανόνα ότι καθετί νέο ακολουθεί και τα εννέα, και ότι καθετί που αγγίζεται υιοθετεί τουλάχιστον ένα ακόμη. Η υποδομή συγκλίνει σε δύο με τρία χρόνια, που είναι ένας κύκλος πιστοποίησης, και η επιθεώρηση γίνεται ευκολότερη κάθε χρόνο του.

Κλείνοντας τη Σειρά

Οκτώ κείμενα πριν η σειρά αυτή άνοιξε με την παρατήρηση ότι τρία ρυθμιστικά ρολόγια τελείωσαν μέσα σε έναν χρόνο, και ότι οι οργανισμοί μπορούσαν να τα αντιμετωπίσουν ως τρία έργα ή ως ένα. Το επιχείρημα από τότε ήταν σωρευτικό: ένα σύνολο ελέγχων με τέσσερις αντιστοιχίσεις, οι προσδοκίες ενός ρυθμιστή αντιστοιχισμένες πάνω του, ένα πακέτο προμηθευτή, ένα αποθετήριο τεκμηρίων, η μέθοδος ενός επιθεωρητή για να προετοιμαστείς, και τελικά μία αρχιτεκτονική που παράγει τα τεκμήρια λειτουργώντας. Τίποτα από αυτά δεν είναι καινοφανές και όλα είναι σπάνια, γιατί απαιτούν να αποφασίσεις, νωρίς, ότι η ασφάλεια είναι ιδιότητα του συστήματος και όχι έγγραφο γι' αυτό.

Τα πλαίσια θα συνεχίσουν να αλλάζουν. Οι υποχρεώσεις αναφοράς του CRA είναι σε ισχύ αυτόν τον μήνα, το καθεστώς υψηλού κινδύνου του AI Act φτάνει, οι τροποποιήσεις της NIS2 προχωρούν στη νομοθετική διαδικασία, και θα υπάρξουν κι άλλα. Ένας οργανισμός χτισμένος στα εννέα μοτίβα θα αντιστοιχίσει καθένα από αυτά στο ίδιο μητρώο μέσα σε ένα απόγευμα. Ένας οργανισμός χτισμένος αλλιώς θα προσλάβει άλλον έναν σύμβουλο. Αυτή είναι ολόκληρη η διαφορά, και αποφασίζεται στον σχεδιασμό.