W projektach IT bezpieczeństwo powinno być jednym z fundamentów – od pierwszych założeń architektonicznych, przez pisanie kodu i konfigurację chmury, aż po późniejsze aktualizacje. Jeden błąd popełniony na początku może oznaczać nie tylko podatność systemu, ale także utratę danych, przestój, straty finansowe i konsekwencje prawne. Kluczowi są jednak przede wszystkim ludzie, którzy potrafią właściwie zaprojektować, wdrożyć i nadzorować bezpieczne technologie.
Jeszcze kilka lat temu cyberbezpieczeństwo często traktowano jako zadanie wyspecjalizowanego zespołu, który dołączał do projektu na określonym etapie. Dziś takie podejście przestaje wystarczać. Współczesne projekty IT obejmują chmurę, API, rozwiązania AI, zewnętrzne usługi i dużą liczbę użytkowników. Każdy z tych elementów może stać się potencjalnym punktem wejścia dla cyberprzestępcy.
Najdroższy błąd powstaje na początku projektu
Najlepszy moment na myślenie o bezpieczeństwie to nie koniec projektu, ale jego początek. Wtedy podejmowane są decyzje dotyczące architektury, danych, dostępu i sposobu działania systemu. „Cyberbezpieczeństwo nie powinno być „warstwą”, którą nakładamy na gotowy produkt. Powinno być częścią jego konstrukcji. Już na etapie definiowania wymagań trzeba zastanowić się, jakie dane będą przetwarzane, jakie są potencjalne zagrożenia i jakie mechanizmy ochrony powinny zostać zastosowane. Bezpieczeństwo projektowane od początku jest nie tylko skuteczniejsze, ale często również tańsze niż naprawianie problemów po wdrożeniu”, mówi Charles Gamba, CEO ITDS Polska. Oznacza to m.in. właściwe zarządzanie dostępami, szyfrowanie danych, bezpieczne mechanizmy uwierzytelniania, testowanie rozwiązań oraz przygotowanie organizacji na ewentualny incydent.
Bezpieczeństwo tworzą ludzie, nie same narzędzia
Technologie bezpieczeństwa są coraz bardziej zaawansowane, ale nie zastąpią kompetentnych specjalistów. Bezpieczny projekt wymaga współpracy architektów, programistów, ekspertów DevOps, cloud i cybersecurity. Każda z tych osób odpowiada za inny element układanki. „Bezpieczny projekt IT powstaje wtedy, gdy każdy członek zespołu rozumie, za co odpowiada. Programista powinien myśleć nie tylko o tym, czy kod działa, ale również o tym, jak może zostać wykorzystany w niepożądany sposób. Architekt musi uwzględniać bezpieczeństwo całego środowiska, a zespoły DevOps – właściwą konfigurację infrastruktury i dostępów. Cyberbezpieczeństwo jest odpowiedzialnością zespołową”, podkreśla Charles Gamba. To właśnie kompetencje ludzi decydują o tym, czy odpowiednie mechanizmy zostaną prawidłowo zaprojektowane i wykorzystane. Dlatego w projektach IT coraz większe znaczenie ma nie tylko dostęp do technologii, ale również dostęp do doświadczonych ekspertów.
Chmura i AI zwiększają możliwości, ale także ryzyko
Przeniesienie systemu do chmury nie oznacza automatycznie przeniesienia całej odpowiedzialności za bezpieczeństwo na dostawcę. Nadal pozostają kwestie konfiguracji środowiska, uprawnień, ochrony danych i kontroli dostępu. Podobnie jest ze sztuczną inteligencją. AI może pomagać w wykrywaniu zagrożeń i analizowaniu kodu, ale jednocześnie może zostać wykorzystana przez cyberprzestępców. Ryzyko dotyczy również danych przekazywanych do narzędzi AI i sposobu ich integracji z systemami firmy.
„AI jest doskonałym przykładem tego, jak szybko zmienia się definicja cyberbezpieczeństwa. Dziś musimy pytać nie tylko o ochronę aplikacji, serwerów i sieci, ale również o to, jakie dane trafiają do modeli AI, z jakimi systemami są one połączone i jakie uprawnienia otrzymują. Nie możemy pozwolić sobie na podejście „najpierw wdrożymy, później zabezpieczymy”, zauważa Charles Gamba.
RODO zaczyna się już na etapie projektowania
W projektach, w których przetwarzane są dane osobowe, bezpieczeństwo technologiczne musi iść w parze z wymogami prawnymi, w tym RODO. Ochrona danych powinna być uwzględniona już na etapie projektowania rozwiązania, a nie dopiero przy jego wdrożeniu. „RODO nie mówi firmom, jak napisać bezpieczny kod, ale nakłada na nie obowiązek zapewnienia odpowiedniego poziomu bezpieczeństwa przetwarzanych danych. Dlatego kwestie ochrony danych powinny być uwzględniane już na etapie projektowania systemu czy aplikacji. Zasada privacy by design oznacza w praktyce, że bezpieczeństwo i ochrona danych powinny być elementem architektury rozwiązania, a nie czymś dodanym na końcu projektu”, mówi Karolina Praszek-Gołębiewska, prawniczka i specjalistka w dziedzinie ochrony danych osobowych.
Bezpieczeństwo musi być częścią biznesu
Cyberbezpieczeństwo nie kończy się na dziale IT. Wraz z rozwojem firmy rośnie liczba pracowników, systemów, dostawców i dostępów do danych. Bez odpowiednio zaprojektowanych procesów i jasno określonej odpowiedzialności zwiększa się również ryzyko błędu. „W wielu firmach bezpieczeństwo jest traktowane jako odpowiedzialność działu IT, podczas gdy w rzeczywistości jest elementem każdego procesu biznesowego. Kiedy firma rośnie, pojawiają się kolejne osoby, systemy, dostawcy i poziomy dostępu. Dlatego skalowanie biznesu powinno zawsze iść w parze z budowaniem bezpiecznych i powtarzalnych procesów”, mówi Iwona Borawska, founderka i CEO The Process®, interim managerka i doradczyni biznesowa.
Najważniejsi są ludzie
Ostatecznie nawet najlepsze procedury, narzędzia i technologie nie zapewnią bezpieczeństwa bez odpowiednich kompetencji. To ludzie projektują architekturę systemu, piszą kod, konfigurują środowiska, monitorują zagrożenia i reagują, kiedy pojawia się incydent. „Technologia jest tylko narzędziem. O poziomie bezpieczeństwa decydują ludzie, którzy potrafią właściwie ją wykorzystać. Dlatego tak ważne jest, aby organizacje miały dostęp do ekspertów, którzy rozumieją nie tylko konkretną technologię, ale również biznesowy kontekst projektu i związane z nim ryzyka”, podsumowuje Charles Gamba. To właśnie na dostarczaniu takich kompetencji opiera się działalność ITDS Polska. Firma specjalizuje się w dostarczaniu doświadczonych ekspertów IT i budowaniu wyspecjalizowanych zespołów, które wspierają organizacje w realizacji złożonych projektów technologicznych, również w obszarze cyberbezpieczeństwa. Bo bezpieczny projekt zaczyna się zanim powstanie pierwsza linia kodu – i zawsze zaczyna się od właściwych ludzi.
Be First to Comment