Blog

Transformarea digitală domină agenda companiilor, autorităților și organizațiilor necomerciale din Republica Moldova. Prin intermediul programelor de susținere internațională, fondurilor naționale de asistență tehnică se investește-te la greu în diferite soluții de automatizare procese, gestiune resurse și operațiuni, servicii de auto-deservire cu implicarea minimă a factorului uman.

Digitalizarea accelerată bazată pe aceste inovații nu întotdeauna țin cont de riscurile din domeniul securității cibernetice. Amenințările de această natură sunt tot mai numeroase, iar pierderile tot mai mari. Diminuarea riscurilor începe de la o coordonare atentă la toate etapele de dezvoltare și/sau integrare a soluțiilor noi.

Pentru a face față acestor riscuri trebuie să ne folosim de toate instrumentele pe care le avem la dispoziție – tehnologii, infrastructură, măsuri metodologice, organizaționale și juridice, capacități de interoperabilitate  și cooperare pentru a construi elemente de încredere pe viitor.

Pentru a face față provocărilor la etapa de dezvoltare a soluțiior, astăzi companiile apelează la DevSecOps, o abordare care implică activități de atenuare a riscurilor pe tot parcursul de dezvoltare și livrare. Acest lucru, în consecință, oferă o idee despre modul în care o aplicație progresează, cine implementează, ce, când, și în ce mediu. Dacă într-o abordare tradițională a testării de securitate, o echipă dedicată este aliniată pentru a avea grijă de securitatea aplicației, efectuând controale manuale în faza de la mijlocul până la sfârșitul ciclului de dezvoltare. Abordarea DevSecOps este gestionată în comun de echipele de securitate și dezvoltare. Aici, o aplicație este testată continuu pe tot parcursul ciclului de dezvoltare, ținând cont de toate componentele viitorului sistem operațional, aplicație, bază de date, servicii de interoperabilitate, infrastructură de backup și mediu de producere.

Atenuarea riscurilor de securitate în abordarea DevSecOps nu se reduce doar la automatizare, bucle rapide de feedback, ciclu de lansare consistent etc. Dincolo de aceastea, DevSecOps asigură câteva beneficii suplimentare în procesul de dezvoltare a produsului, și anume:

·face ca ciclul de livrare a software-ului să fie observabil, și permite echipei să urmărească existența fiecărui proces din cadrul ciclului;

· creează o relație de încredere între părțile interesate și echipa IT, asigurând că ceea ce a început ca o cerință, la început, este actualizat continuu ca soluție;

· ajută la menținerea conformității și asistă echipele de dezvoltare să asigure că soluția software respectă cele mai bune practici esențiale de conformitate;

· ajută la rezolvarea vulnerabilităților apărute în urma presiunii time-to-market, documentării slabe, lipsa colaborării în echipă, deciziilor tehnice greșite, neînțelegerea obiectivelor, etc;

· ajutăutilizarea în mod sigur a codului sursă prin scanarea automată a elementelor de securitate la diferite etape de dezvoltare, demionuînd șansa de a adăuga componente compromise la cod, și salvează echipa de  probleme la etapa ulterioară;

· oferă beneficii ale mediului ”Cloud” prin testarea automată a vulnerabilităților deja în acest mediu. Acesta permite analiza continuă a codului, monitorizează conformitatea, investighează amenințările, gestionează modificările și multe altele;

Un alt aspect ține de pregătirea instituțională a deținătorului soluției implementate. Ce trebuie să facă organizația sau compania pe fundalul amenințărilor cibernetice în procesul lansării produsului digital în utilizare. Putem cu certitudine trasa următorii pași esențiali pe care companiile ar trebui să îi facă, înainte de a se avânta în proiecte de transformare digitală:

· companiile trebuie să se asigure că datele critice/sensibile sunt stocate într-o infrastructură fără conexiune direct la internet, plasate în mediul digital de încredere, protejată de un paravan de protecție și monitorizată permanent la acțiunile și evenimentele nedocumentate;

· să dispună de politicele și procedurile necesare pentru a stabili o cultură și un comportament sistemic și profesionist în domeniul securității cibernetice;

· să organizeze instruiri școlarizarea periodică a angajaților pentru a forma abilitățile necesare și a diminua riscurile de a accesa link-uri sau fișiere din email-uri nesolicitate pentru a preveni infectarea cu ransomware;

· companiilor li se recomandă să formeze și să păstreze copii ale datelor importante şi să ia măsuri prin care să diminueze timpul de restabilire în caz de necesitate;

· să dispună de echipe competente de securitate informatică care vor desfășura periodic teste de rezistență ale infrastructurii și pentru a detecta din timp eventuale vulnerabilități;

· este necesar ca companiile, în afară de programele de instruire, să desfășoare și exerciții în urma cărora să poată evalua cât de vulnerabili sunt sistemele, angajații lor în fața amenințărilor de tip phishing, sau chit de repede pot fi restabilite serviciile sau resursele atacate;

· companiile ar trebui să implementeze soluții de securitate performante și viabile înzestrate cu toate instrumentele de prevenire și protecție a serviciilor și resurselor, și conectate la actualizarea permanentă a bibliotecilor de asignare a noilor instrumente de amenințare depistate de societatea profesională din domeniu;

Asigurarea acestor elemente necesită o implicare a tuturor responsabililor din partea organizației. Iar procesul de dezvoltare a sistemelor să țină cont mereu de riscurile care vor apărea în urma realizării acestor proiecte. O expertiză în acest sens și, respectiv o hartă de parcurs pentru edificarea sau ajustarea elementelor de securitate cibernetică vă poate apăra de multe probleme în viitor. În cadrul proiectelor realizate, echipa Infoera vă poate oferi următoarele activități:

· expertize aprofundate ale arhitecturii de securitate, a politicilor și practicilor de securitate;

· evaluări ale vulnerabilităților care vă dezvăluie punctele slabe și vă oferă un plan de acțiune pentru a le rezolva;

· stabilire pași de parcurs care vă ajută să vă îmbunătățiți configurația și să vă consolidați securitatea cu noi elemente;

· dezvoltare politici de tehnologie de securitate care standardizează segmentarea rețelei, protecția serverelor, autentificarea, accesul de la distanță, proiectarea și implementarea firewall-ului etc.

În concluzie putem menționa că prezența afacerii în mediul online și schimbul permanent de informații cu alte sisteme va necesita o monitorizare și adaptare permanentă la noile amenințări, iar lupta cu infractorii cibernetici va implica mereu resurse – nu doar de ordin financiar, ci și umane. Iar pentru a asigura un sentiment de libertate online, a proteja activele și a menține încrederea în tehnologiile digitale, securitatea cibernetică va trebuie să fie susținută de un ecosistem de soluții intelegente și parteneri care să asigure în comun combaterea amenințărilor și tratarea riscurile în mediul online de colaborare.