Κυβερνοασφάλεια και Απόρρητο · Επιχειρηματικά Συστήματα και Οικονομικά
Ετοιμότητα κυπριακών επιχειρήσεων για μετακβαντική κρυπτογραφία
Γιατί συζητάμε για μετακβαντική κρυπτογραφία
Η σημερινή ασφάλεια του διαδικτύου στηρίζεται σε μεγάλο βαθμό σε κρυπτογραφικές μεθόδους που προστατεύουν συνδέσεις, ιστοσελίδες, ενημερώσεις λογισμικού και εμπιστευτικά αρχεία. Οι ερευνητές προετοιμάζονται για ένα μέλλον στο οποίο κβαντικοί υπολογιστές επαρκούς ισχύος θα μπορούσαν να αποδυναμώσουν ορισμένους ευρέως χρησιμοποιούμενους αλγόριθμους δημόσιου κλειδιού. Αυτό δεν σημαίνει ότι οι σημερινές επιχειρηματικές ιστοσελίδες μπορούν να παραβιαστούν από κβαντικό υπολογιστή τώρα. Είναι ζήτημα σχεδιασμού για πληροφορίες που πρέπει να παραμείνουν εμπιστευτικές για πολλά χρόνια και συστήματα που δύσκολα θα αλλάξουν γρήγορα.
Τον Αύγουστο του 2024, το Εθνικό Ινστιτούτο Προτύπων και Τεχνολογίας των ΗΠΑ δημοσίευσε τα πρώτα τρία μετακβαντικά πρότυπα: FIPS 203, FIPS 204 και FIPS 205. Η δημοσίευσή τους προσφέρει σε τεχνολογικούς παρόχους και οργανισμούς σταθερά πρότυπα για αξιολόγηση. Η επιχειρηματική εργασία δεν είναι να αντικατασταθεί αμέσως κάθε βιβλιοθήκη κρυπτογράφησης. Είναι να εντοπιστεί πού χρησιμοποιείται η κρυπτογραφία, ποια συστήματα εξαρτώνται από αυτή και πώς η μελλοντική αλλαγή μπορεί να γίνει διαχειρίσιμη.
Ξεκινήστε με απογραφή
Η κρυπτογραφία συχνά υπάρχει σε περισσότερα σημεία από όσα περιμένει μια εταιρεία. Μπορεί να βρίσκεται σε πιστοποιητικά TLS ιστοσελίδας, εικονικά ιδιωτικά δίκτυα, ταυτότητα προσωπικού, ταυτοποίηση λογαριασμού πελάτη, κρυπτογραφημένα αντίγραφα ασφαλείας, υπογραφή λογισμικού, API, συσκευές πληρωμών και συνδέσεις με προμηθευτές. Κάποια συστήματα τα διαχειρίζεται πάροχος cloud· άλλα μπορεί να είναι παλιές συσκευές, εμπορικές εφαρμογές ή διασυνδέσεις με περιορισμένη τεκμηρίωση.
Δημιουργήστε πρακτική απογραφή με υπεύθυνο συστήματος, επιχειρηματικό σκοπό, κατηγορία δεδομένων, αλγόριθμους ή πρωτόκολλα όπου είναι γνωστά, προμηθευτή, κύκλο ανανέωσης και περιορισμούς αντικατάστασης. Δώστε προτεραιότητα σε αρχεία που χρειάζονται μακροχρόνια εμπιστευτικότητα, συστήματα με μεγάλους χρόνους προμήθειας και υπηρεσίες που είναι δαπανηρές ή επικίνδυνες να διακοπούν. Ρωτήστε τους προμηθευτές αν έχουν σχέδιο μετακβαντικής μετάβασης, πώς θα υποστηρίξουν κρυπτογραφική ευελιξία και πώς οι πελάτες θα ελέγξουν τη διαλειτουργικότητα.
Μην υποθέτετε ότι μια ετικέτα όπως «ασφαλές έναντι κβαντικών υπολογιστών» περιγράφει πλήρη λύση. Ο νέος αλγόριθμος και πάλι εξαρτάται από σωστή υλοποίηση, ασφαλή διαχείριση κλειδιών, αξιόπιστες ενημερώσεις λογισμικού και καλή διαχείριση ταυτότητας. Οι οργανισμοί πρέπει επίσης να εξετάζουν αν ένα σύστημα υποστηρίζει αλλαγή αλγορίθμων χωρίς πλήρη ανακατασκευή. Η κρυπτογραφική ευελιξία είναι η δυνατότητα ενημέρωσης των μηχανισμών μέσω προγραμματισμένων ρυθμίσεων ή αλλαγών λογισμικού αντί για επείγουσα αντικατάσταση.
Προστατεύστε ολόκληρη την αλυσίδα εμπιστοσύνης
Η προετοιμασία για μετακβαντικούς αλγόριθμους είναι μόνο ένα μέρος της ασφάλειας πληροφοριών. Αδύναμος κωδικός λογαριασμού, μη διορθωμένος διακομιστής, κλεμμένο διακριτικό διαχειριστή ή παραβιασμένος προμηθευτής μπορούν να εκθέσουν δεδομένα ανεξάρτητα από τον αλγόριθμο. Διατηρήστε ενεργούς τους καθιερωμένους ελέγχους: πολυπαραγοντική ταυτοποίηση, ελάχιστα δικαιώματα, ενημερώσεις, δοκιμασμένα αντίγραφα ασφαλείας, παρακολούθηση δικτύου και σχέδιο αντιμετώπισης περιστατικών. Συμπεριλάβετε τις κρυπτογραφικές εξαρτήσεις στην ίδια απογραφή στοιχείων και προμηθευτών που χρησιμοποιείται για άλλους τεχνολογικούς κινδύνους.
Οι επιχειρήσεις μπορούν επίσης να εξετάσουν το ενδεχόμενο «συλλογής τώρα, αποκρυπτογράφησης αργότερα»: ένας επιτιθέμενος μπορεί να αποθηκεύει σήμερα κρυπτογραφημένες πληροφορίες ελπίζοντας να τις αποκρυπτογραφήσει στο μέλλον. Η σημασία εξαρτάται από την ευαισθησία και τη διάρκεια ζωής των δεδομένων. Ένας δημόσιος κατάλογος ή προσωρινή επιβεβαίωση κράτησης διαφέρει από εμπιστευτικές συμβάσεις, αρχεία ταυτότητας ή ιδιόκτητη έρευνα που πρέπει να μείνουν απόρρητα για δεκαετίες. Η αξιολόγηση κινδύνου βοηθά να τεθούν σωστές προτεραιότητες αντί να προκαλείται αδικαιολόγητη ανησυχία.
Σχεδιάστε σταδιακή μετάβαση
Η πρώτη φάση είναι η ανακάλυψη και η ανάθεση ευθύνης. Εντοπίστε συστήματα, αρχεία και προμηθευτές, ορίστε τον συντονιστή και σημειώστε τεχνολογία που δεν μπορεί να αναβαθμιστεί με τη συνήθη διαδικασία. Έπειτα ζητήστε χρονοδιαγράμματα προμηθευτών και εξετάστε αν η αναβάθμιση χρειάζεται νέο εξοπλισμό, πιστοποιητικά, λογισμικό πελάτη ή αλλαγή συμβολαίων. Στη συνέχεια σχεδιάστε ελεγχόμενη δοκιμή σε μη κρίσιμο περιβάλλον, μετρήστε συμβατότητα σύνδεσης, απόδοση, ορατότητα αρχείων και διαδικασίες ανάκτησης.
Μην αλλάζετε κρυπτογράφηση σε παραγωγική υπηρεσία χωρίς να ελέγξετε όλους τους συμμετέχοντες πελάτες. Μια ιστοσελίδα μπορεί να χρησιμοποιείται από παλιότερες κινητές συσκευές, εργαλεία παρακολούθησης, πύλες πληρωμών και διασυνδέσεις πελατών. Ένα VPN μπορεί να συνδέει προμηθευτές με διαφορετικές δυνατότητες. Συντονίστε τις αλλαγές, τεκμηριώστε ασφαλή επαναφορά και προγραμματίστε τη μετάβαση ώστε η ομάδα λειτουργίας να παρακολουθεί το αποτέλεσμα. Διατηρήστε κατάλογο συστημάτων που δεν είναι έτοιμα και αιτιολογημένο σχέδιο εξαιρέσεων.
Πώς μπορεί να υποστηρίξει η Tetramatrix
Η Tetramatrix μπορεί να βοηθήσει τις επιχειρήσεις να κατανοήσουν τα στοιχεία λογισμικού, ιστοσελίδων και διασυνδέσεων που αποτελούν την ψηφιακή τους υπηρεσία, να τεκμηριώσουν εξαρτήσεις και να σχεδιάσουν συστήματα που εξελίσσονται. Αυτό μπορεί να περιλαμβάνει ανασκόπηση αρχιτεκτονικής εφαρμογής, εξέταση επιλογών διασύνδεσης τρίτων, βελτίωση πρακτικών ενημέρωσης και αντιγράφων ασφαλείας ή σχεδιασμό αναβάθμισης ταυτοποίησης και ασφαλών συνδέσεων όταν υποστηρίζονται από τα αντίστοιχα στοιχεία.
Δεν θεωρούμε ένα άρθρο ή μια υλοποίηση λογισμικού υποκατάστατο ειδικής κρυπτογραφικής αξιολόγησης. Όταν ένα σύστημα χειρίζεται ρυθμιζόμενες ή πολύ ευαίσθητες πληροφορίες, ο οργανισμός πρέπει να εμπλέξει την ομάδα ασφάλειας, νομικούς συμβούλους και εξειδικευμένους επαγγελματίες ασφάλειας. Ένας τεχνολογικός συνεργάτης μπορεί παρ’ όλα αυτά να διευκολύνει την απογραφή και τη μετάβαση εντοπίζοντας τις εφαρμογές που ανήκουν στην εταιρεία, τις μεταξύ τους διασυνδέσεις και τις αλλαγές που χρειάζονται ελεγχόμενη ανάπτυξη.
Η υπηρεσία υποδομών και η υπηρεσία διασύνδεσης δεδομένων μπορούν να υποστηρίξουν ανασκόπηση εφαρμογών web, εξαρτήσεων φιλοξενίας και συνδέσεων συστημάτων μέσα σε ευρύτερο σχέδιο ετοιμότητας. Μπορούμε να καταγράψουμε απαιτήσεις αναβάθμισης και να δοκιμάσουμε προγραμματισμένη αλλαγή εφαρμογής, χωρίς να ισχυριστούμε ότι ένα προϊόν είναι πιστοποιημένο ή απρόσβλητο από κβαντικούς υπολογιστές.
Μετατρέψτε ένα νέο πρότυπο σε επιχειρηματικό σχέδιο
Οι διοικήσεις και οι τεχνικοί υπεύθυνοι μπορούν να συμφωνήσουν σε ένα μετρήσιμο αποτέλεσμα για το πρώτο τρίμηνο: αξιοποιήσιμη απογραφή, απαντήσεις προμηθευτών για κρίσιμες υπηρεσίες ή επιτυχημένη δοκιμή σε μη παραγωγικό σύστημα. Παρακολουθήστε πόσα συστήματα έχουν γνωστές εξαρτήσεις, υπεύθυνο, απάντηση προμηθευτή και δοκιμασμένη διαδρομή αναβάθμισης. Αυτοί οι δείκτες δείχνουν πρόοδο χωρίς να προσποιούνται ότι υπάρχει μία ημερομηνία κατά την οποία κάθε επιχείρηση πρέπει να αντικαταστήσει όλους τους αλγόριθμους.
Τα πρότυπα NIST επιτρέπουν τον ενημερωμένο σχεδιασμό, ενώ ο ρυθμός μετάβασης εξαρτάται από παρόχους, ρυθμιστικές απαιτήσεις, συσκευές και επιχειρηματικούς κινδύνους. Ξεκινήστε από συστήματα που προστατεύουν ευαίσθητα δεδομένα μεγάλης διάρκειας ή έχουν μεγάλο κύκλο αντικατάστασης. Βελτιώστε την τεκμηρίωση, θέστε συγκεκριμένες ερωτήσεις στους προμηθευτές και σχεδιάστε εφαρμογές για αλλαγές. Αυτή η μετρημένη προσέγγιση μειώνει την πιθανότητα μια μελλοντική κρυπτογραφική ενημέρωση να γίνει επιχειρησιακή έκτακτη ανάγκη.