[KRÖNIKA] Vitsen med cybersäkerhet är självklart att stoppa alla attacker, eller hur?
Problemet med den strategin är att den inte går att genomföra.
Det kommer att inträffa säkerhetsincidenter. Lösningen på det dilemmat är att anamma en attityd som går ut på att undersöka och lära sig av de incidenter som inträffar. Det görs med ett arbetssätt som kan kallas kaossäkerhet, skriver Mike Johnson, Chief Information Security Officer på Fastly.
Hur kan kaos bidra till säkrare tekniklösningar, när kaos i tekniska arkitekturer bidrar till säkerhetsproblem i allra högsta grad? Tricket är att omfamna kaos och använda det till sin egen fördel. Det görs med ett arbetssätt som kallas security chaos engineering (SCE). Lås oss säga kaossäkerhet på svenska.
Acceptera och utforska
Bakgrunden är att alla digitala lösningar är komplexa, oberoende av storlek, vilket leder till varierande grader av… kaos och därigenom till säkerhetsproblem. En stor orsak till kaos är att system, tjänster och infrastruktur ständig genomgår förändringar, på grund av nya och förändrade krav. Det traditionella sättet att hantera det här är att försöka bringa ordning i kaoset, vilket till största delen är en övermäktig uppgift.
Det gäller att inse att det är omöjligt att förhindra säkerhetsproblem genom att försöka bringa ordning i tekniklösningar. Arbetssättet kaossäkerhet går ut på att undersöka hur förändringarna som genomförs påverkar tekniklösningar. Det gör att det blir enklare att arbeta proaktivt med säkerhet. Att i högre grad förebygga och hantera säkerhetshål i stället för att fokusera på att hantera de incidenter som de ger upphov till.
Bra genomförd kaossäkerhet gör det möjligt för företag att genomföra förändringar av tekniklösningar i ett högt tempo, vilket gynnar innovation.
Hela kedjan av händelser
Hur kaossäkerhet genomförs varierar så klart beroende på hur tekniklösningarna är utformade på olika företag. Det är en skillnad mot många traditionella arbetssättet för cybersäkerhet, som går ut på anpassning till ofta rigida mallar.
Det finns dock några gemensamma drag för olika implementationer av kaossäkerhet. Ett sådant är att skifta fokus från att förhindra problem till varje pris, till att odla en nyfikenhet vad gäller att undersöka problem. Ett exempel är att undersöka hur incidenter fortplantar sig i en teknisk arkitektur och dra lärdom av de upptäckter som görs.
Det tillvägagångssättet har potential att leda till snabbare återställning efter de säkerhetsincidenter som garanterat kommer att inträffa.
Funkar för alla
Det här kan låta avancerat, vilket leder till tanken att kaossäkerhet är något som passar stora företag med många säkerhetsexperter anställda. Men kaossäkerhet passar för alla typer av företag och organisationer, oberoende av storlek. En bra start är att prova det här arbetssättet för att undersöka de viktigaste och mest värdefulla systemen.
Allra viktigast är att ge upp tanken om att stoppa alla attacker som kan ske, och i stället dra lärdom av de attacker som kommer att ske.
Slutligen är det viktigt att påpeka att kaossäkerhet inte på något sätt innebär att behöva försaka de traditionella säkerhetslösningar som visat sig vara värdefulla. Det går att dra nytta av det bästa med båda arbetssätten.
