Access över IP
När informationsteknologin fortsätter sin frammarsch i våra vardagsliv måste flera funktioner tänkas fram från grunden. Ta passersystem som exempel: en gång i tiden var det ett lås som monterades på en dörr. I dag kan det låset även behöva placeras i ett datanätverk. Och detta innebär att man både måste ställa och besvara nya typer av frågor.
– Vi befinner oss i en övergångsperiod mellan det gamla säkerhetstänkandet och det nya, säger Mikael Wassdahl, säkerhetschef hos IT-konsulterna WM-data i Stockholm. Han undersöker för närvarande olika passersystemlösningar för sitt företag, och erfarenheten har lärt honom att IT-kompatibiliteten måste undersökas för alla system som ingår i nätverk, lika mycket som de andra funktionerna kontrolleras.
– För snart tre år sedan, berättar han, när jag ansvarade för både IT- och säkerhetsfrågor, köpte vi in ett kameraövervakningssystem. Jag gjorde då misstaget att endast se det som ett videosystem, men sedan slutade Microsoft att ge support för Windows NT4 och vi beslutade att inte köpa någon support. Övervakningssystemet kunde tyvärr inte uppgraderas. Min erfarenhet har lärt mig att numera alltid se säkerhet som en IT-fråga.
Problemet i det här aktuella fallet löstes genom att sätta in en extra brandvägg, men det innebar att övervakningssystemet inte längre var tillgängligt på det sätt som var tänkt.
Godkännande av nätverket
Anders Borg, forsknings- och utvecklingschef för Software Platforms hos ASSA ABLOY, förstår Mikaels åsikter.
– IT-chefer säger ofta att de inte tillåter något i sina nätverk som de inte själva har godkänt, och det är fullt förståeligt, säger han. De vill veta hur utrustningen kan störa deras nätverk, och när utrustningen är installerad behöver de veta vad de ska göra med den. Behövs det säkerhetskopior? Kan de köra den i sin databas?
Detta är precis vad Mikael vill höra.
– Leverantören måste kunna berätta för oss hur systemet är konfigurerat och uppbyggt. Vi ska bara behöva kontrollera om det är kompatibelt med våra system, och sedan hantera de eventuella skillnader som kan finnas mellan vår världsbild och deras.
Men Mikael oroar sig mest över säkerheten i IT-systemet, och är paradoxalt nog inte övertygad om att säkerhetsföretagen verkligen förstår problemet.
– Det pågår en sorts paradigmskifte, säger han. Säkerhetsföretagen beger sig in i IT-sfären, men det är inte många IT-företag som rör sig mot den fysiska säkerhetsbranschen. Han menar att detta innebär att säkerhetsföretagen endast är första eller andra generationens programutvecklare. – Det tar tid att utveckla säkra processer, säger han.
Ökad uppmärksamhet
Anders är beredd att hålla med, men han tror att säkerhetsföretagen blir mer och mer medvetna om problemet, i synnerhet som integrationen ökar.
– Systemen blir både säkrare och mer integrerade. Vårt förra system hade en väldigt grundläggande kryptering. Vi tog helt enkelt för givet att det skulle köras på ett separat nätverk.
Men många kunder anser att integration är bekvämt och praktiskt. Vissa anser att det faktum att passersystemen körs på ett intranät gör det hela tillräckligt säkert. Anders berättar att vissa företag vill använda passerkorten som smartkort, som även ska användas vid inloggning på datornätverket. Ett företag ville till exempel använda kortet för att registrera var människor befann sig i byggnaden, för att kunna kontrollera att den person som verkade logga in verkligen var där.
I andra system aktiveras ett TV-övervakningssystem så snart någon drar sitt kort genom en läsare. Om kortet är ogiltigt, skickas ett videoklipp omedelbart till säkerhetscentralen tillsammans med loggen.
Sådan integration medför säkerhetsrisker. Anders säger att man måste väga säkerhet och bekvämlighet mot varandra, medan Mikael säger att alla talar om integration, men den gör dig väldigt sårbar.
Riktade attacker
Självklart beror mycket på vilken nivå av säkerhet som ett projekt kräver. WM-data ställer höga krav. Företaget skriver kod för säkerhetsmedvetna kunder som banker, och Mikael måste kunna garantera att ingen fientlig kod kommer in i de program som hans företag levererar.
– Tidigare berodde de främsta riskerna på misstag eller på folk som testade olika saker, men nu ser vi planerade attacker från organiserade brottslingar. De skulle kunna tränga in i ett banksystem genom att till exempel plantera fientlig kod i vår utvecklingsprocess. Därför har WM-data extremt begränsad åtkomst till de områden där koden utarbetas.
– Man måste ha en ytterst ren utvecklingsmiljö, säger Mikael, och frågan som jag som köpare skulle vilja ställa till säkerhetsföretaget är: Hur kan ni garantera att igen fientlig kod letar sig in i er utvecklingsprocess?
Även om passerkontrollen ligger på ett fysiskt eller virtuellt nätverk som är åtskiljt från resten av systemet, kommer det att finnas kontaktpunkter mellan systemen även för WM-data, till exempel när passerkontrollen måste matchas mot personuppgifter. Detta innebär att Mikael måste kunna känna sig säker på att säkerhetsföretaget tar lika allvarligt på säkerhet och utvecklingsprocessen som han själv gör. Men även om passerkontrollen skulle vara helt fristående från huvudnätverket, kan otillåten åtkomst innebära större risker än att någon får sig en måltid i personalmatsalen:
– Alla som har fysisk tillgång till en server kan starta om systemet, störa det och sedan radera spåren efter sig, varnar Mikael.
Samtidigt kan det finnas vissa säkerhetsfördelar med att lägga passerkontrollen på ett nätverk. WM-data har 85 kontor i hela Sverige och Mikael berättar att de gör en noggrann genomgång av organisationen vartannat år, och gör massor med mindre justeringar där emellan.
– Det finns alltid en viss förskjutning mellan den aktuella verkligheten i företaget och hur passersystemet tror att verkligheten ser ut. För att kunna hålla passersystemet uppdaterat behövs information från andra system. Om någon till exempel lämnar företaget eller byter jobb, kan det ta ett tag innan alla behörigheter har dragits in. Den här typen av saker kan göras mycket mer effektivt med ett IT-baserat system.
Integration, bekvämlighet och säkerhet
I slutändan kan vi konstatera att det inte finns någon absolut säkerhet. Man kan begränsa kontaktpunkterna mellan nätverken genom att endast tillåta fördröjd kommunikation, man kan kryptera de data man skickar, man kan begränsa antalet öppna portar i brandväggen och begränsa dem till en viss server. Men det råder fortfarande oenighet kring hur mycket integration som är önskvärd. Vissa användare kommer att fortsätta vilja ha så mycket fysisk åtskillnad mellan systemen som möjligt, medan andra kommer att vilja dra nytta av bekvämlighetsfördelarna utan att behöva ge avkall på den allmänna säkerheten. Glen Greer, CTO på Shared Technologies vid ASSA ABLOY gör följande inlägg i diskussionen:
– Vi har i flera marknadsundersökningar sett att konvergens kommer att bli ett allt viktigare inslag i framtidens säkerhetslösningar – många system och tjänster måste dela på samma nätverk utan att störa varandra och samtidigt möjliggöra maximal säkerhet. Som leverantör av säkerhetslösningar är vi medvetna om de problem som den framtida utvecklingen kommer att innebära för oss, och vi arbetar ytterst målinriktat för att kunna möta våra kunders höga säkerhetskrav.
Helt klart är att du kan förvänta dig mer information om detta ämne i våra kommande nyhetsbrev på ASSA ABLOY Future Lab.
* Anger obligatoriskt fält