REPORT. RSA Conference Europe Εκεί που εξελίσσεται η γνώση για την ασφάλεια

Transcript

1 REPORT RSA Conference Europe 2013 Εκεί που εξελίσσεται η γνώση για την ασφάλεια Στο Άμστερνταμ στις 29 με 31 Οκτωβρίου διεξήχθη φέτος το RSA Conference Europe Το ΙΤ Security Professional ήταν εκεί και στις επόμενες σελίδες θα προσπαθήσουμε να σας παρουσιάσουμε κάποια από τα highlights και τις εντυπώσεις μας από το συνέδριο. Αποστολή στο Άμστερνταμ Του Βλάση Αμανατίδη ε κάθε κλάδο της τεχνολογίας και όχι μόνο, Σ υπάρχουν άνθρωποι, εταιρείες, ανεξάρτητοι φορείς, μέσα ενημέρωσης αλλά και εκδηλώσεις που μνημονεύονται από τους ειδικούς και όλους όσοι ασχολούνται με τον εκάστοτε χώρο ως σημεία αναφοράς. Στον τομέα της Ασφάλειας Πληροφοριών και ειδικότερα σε ό,τι αφορά στις σχετικές εκδηλώσεις που διεξάγονται παγκοσμίως, τα συνέδρια RSA Conference αποτελούν αναμφισβήτητα ένα από αυτά τα σημεία αναφοράς. Για δεύτερη φορά λοιπόν, είχα την ευκαιρία να επισκεφθώ το RSA Conference Europe 2013 που φέτος διεξήχθη στις 29 με 31 Οκτωβρίου στην πανέμορφη πρωτεύουσα της Ολλανδίας, την πόλη του Άμστερνταμ και συγκεκριμένα στο Εκθεσιακό και Συνεδριακό Κέντρο RAI Convention Centre. Ήταν η πρώτη φορά όπου συνέδριο RSA Conference Europe διοργανώθηκε εκτός Λονδίνου και πραγματικά οι εντυπώσεις από την οργάνωση αλλά και το περιεχόμενό του ήταν πάρα πολύ θετικές. Τα συνέδρια RSA Conference που διοργανώνονται από την RSA - Το τμήμα Ασφαλείας της EMC - διεξάγονται μία φορά το χρόνο σε τρεις περιοχές του πλανήτη και συγκεκριμένα στην Αμερική, στην Ευρώπη και στην περιοχή που ορίζεται από Ασία Ειρηνικό Ιαπωνία. Κάθε διοργάνωση συγκεντρώνει πάρα πολλούς επαγγελματίες από τον τομέα της ασφάλειας πληροφοριών, αλλά και γενικότερα επαγγελματίες ΙΤ και μπορούμε να πούμε ότι εκεί αποτυπώνονται όλες οι νέες τάσεις στον τομέα της ασφάλειας πληροφοριών. Όσοι έχουν την ευκαιρία να παρακολουθήσουν τα keynotes και τις πολλαπλές θεματικές συνεδρίες, είναι σίγουρο ότι αποκομίζουν σημαντικά γνωστικά εφόδια προκειμένου να αντιμετωπίσουν αποτελεσματικά τις προκλήσεις και απαιτήσεις της εποχής σε σχέση με την ασφάλεια πληροφοριών στο επαγγελματικό περιβάλλον. Αν πρέπει να αναφέρουμε ένα κεντρικό συμπέρασμα που προκύπτει από το φετινό συνέδριο, είναι σίγουρα η ανάγκη επαναπροσδιορισμού της στρατηγικής ασφάλειας μέσα στους Οργανισμούς. Η νέα αυτή στρατηγική θα πρέπει να βασίζεται σε ευφυή μοντέλα προστασίας των δεδομένων, που μεταξύ άλλων θα αξιοποιούν τεχνολογίες Βig Data Analytics. Επίσης αναδείχθηκε η ανάγκη για αναζήτηση της βέλτιστης ισορροπίας μεταξύ της Ασφάλειας και της Ιδιωτικότητας, καθώς επίσης και η απαίτηση για συνεργασία και αν- 26 security

2 ταλλαγή πληροφοριών σχετικά με τους κινδύνους που απειλούν τις υποδομές πληροφορικής, έτσι ώστε να είναι εφικτός όσο το δυνατό γρηγορότερα ο εντοπισμός των απειλών και η αντιμετώπισή τους. smartphones και tablets, θα οδηγηθούμε το 2020 στην καθολική επικράτηση του Internet of Things. Όλα τα παραπάνω οδηγούν σύμφωνα με τον Art Coviello στην ανάγκη αναβάθμισης του λεγόμενου «intelligence-driven security model» που πλέον θα πρέπει να βασίζεται σε τεχνικές Big Data and Αnalytics με Risk-based ανάλυση, δυναμικούς και ευέλικτους ελεγκτικούς μηχανισμούς και διαδραστικά συστήματα διαχείρισης. Ένα ακόμα σημείο στο οποίο έδωσε έμφαση στην παρουσίασή του ο Art Coviello, ήταν η επίτευξη της βέλτιστης ισορροπίας μεταξύ της ανάγκης για προστασία των δεδομένων αλλά και διασφάλισης της ιδιωτικότητας πελατών και εργαζομένων, με στόχο την ενίσχυση της παραγωγικότητας και της ανάπτυξης στον κάθε Οργανισμό. [1] Ο Art Coviello, Εκτελεστικός Αντιπρόεδρος της EMC και Εκτελεστικός Πρόεδρος της RSA Νέα στρατηγική ασφάλειας με επίκεντρο τα Big Data Analytics Πιο αναλυτικά, όπως συμβαίνει παραδοσιακά στα RSA Conferenece, την εναρκτήρια ομιλία έκανε ο Art Coviello [1], Εκτελεστικός Αντιπρόεδρος της EMC και Εκτελεστικός Πρόεδρος της RSA. Στην αρχή της ομιλίας του, το εμπειρότατο κορυφαίο στέλεχος της εταιρείας θέλησε - λόγω και της επιλογής του τόπου διεξαγωγής του συνεδρίου - να παραλληλίσει τη ραγδαία ανάπτυξη της Ολλανδικής οικονομίας - που είναι συνυφασμένη με την εμπορική καινοτομία, με τις απαιτήσεις που υπάρχουν στον ψηφιακό κόσμο σήμερα και την ανάγκη για νέες πρωτοποριακές προσεγγίσεις σχετικά με την ασφάλεια. Όπως χαρακτηριστικά τόνισε, οι παραδοσιακές μέθοδοι ασφάλειας δεν είναι πλέον τόσο αποτελεσματικές και επιτιθέμενοι στα δίκτυα και στις εταιρικές πληροφορίες διαθέτουν νέα εξελιγμένα εργαλεία, κάτι που οδηγεί αναπόφευκτα και στην ανάγκη μετασχηματισμού και των εργαλείων προστασίας. Την αξιοποίηση νέων Future Proof λύσεων θέλησε να προβάλει, παραθέτοντας τις προβλέψεις του σχετικά με το πώς θα διαμορφωθεί το τοπίο στον ψηφιακό κόσμο τα επόμενα χρόνια. Ανέφερε λοιπόν χαρακτηριστικά, ότι το 2020, από τα Apps των φορητών συσκευών θα περάσουμε στα Big Data Apps που θα βρίσκονται παντού και ακόμα από τα 2 zettabytes του σημερινού όγκου ψηφιακών δεδομένων που είναι αποθηκευμένα, θα φτάσουμε την ίδια χρονιά στα zettabytes, ενώ παράλληλα από την υπάρχουσα κατάσταση διασύνδεσης και επικοινωνίας μέσω των [2] Ο Amit Yoran, Ανώτερος Αντιπρόεδρος της RSA Παίρνοντας τη σκυτάλη από τον Art Coviello, ο Amit Yoran [2], Ανώτερος Αντιπρόεδρος της RSA, προχώρησε ακόμα περισσότερο σε σχέση με την ανάγκη υιοθέτησης του intelligence-driven security model, παρουσιάζοντας τα τρία βασικά βήματα που απαιτούνται για την επίτευξη του συγκεκριμένου μοντέλου: Visibility Analysis Action. Αναλύοντας τα βήματα, επισήμανε ότι απαιτείται από τους Οργανισμούς να έχουν το απαραίτητο επίπεδο Visibility (ορατότητα) όχι μόνο για τα παραδοσιακά δίκτυα, τα endpoints και τις καταγραφές δεδομένων, αλλά εξίσου και για τις νέες πληροφορίες που προκύπτουν από τις εφαρμογές, τις ταυτότητες και τα ίδια τα δεδομένα. Αυτή η διαδικασία με την υιοθέτηση του cloud και του mobility γίνεται ολοένα και πιο σύνθετη, τόνισε ο ομιλητής. Το δεύτερο βήμα που αφορά στην ανάλυση είναι εξίσου σημαντικό για τη λήψη αποφάσεων, επισήμανε ο Amit Yoran, αποφάσεις, οι οποίες θα πρέπει να λαμβάνονται αναλύοντας ολοένα και περισσότεsecurity 27

3 REPORT RSA Conference Europe 2013 ρες παραμέτρους. Στο τρίτο βήμα, που αφορά στη δράση των Οργανισμών στο νέο περιβάλλον όπως αυτό διαμορφώνεται, θα πρέπει οι υποδομές του ΙΤ να είναι σε θέση να ανταποκριθούν με ευελιξία και ταχύτητα, κάτι που απαιτεί δυναμική ικανότητα προσαρμογής στους μηχανισμούς ελέγχου της ασφάλειας και σε ένα ευρύ πεδίο επιπέδων πρόληψης με στόχο την έγκαιρη αναγνώριση των απειλών. Ο Amit Yoran υποστήριξε ότι μια τεχνολογική πλατφόρμα που θα ενοποιεί τα τρία αυτά βήματα (Visibility Analysis Action) αναδεικνύει μια ευφυή προσέγγιση που έχει ως αποτέλεσμα την ενοποίηση διαχείρισης της ασφάλειας, των ελέγχων, του governance, του ρίσκου και της συμμόρφωσης. Επίσης τόνισε και αυτός από την πλευρά του, ότι πρέπει να δημιουργηθεί ένα περιβάλλον όπου η ασφάλεια και η ιδιωτικότητα θα βρίσκονται σε πλήρη αρμονία και αλληλοϋποστήριξη. [3] Ο Stephen Trilling, SVP, Chief Technology Officer της Symantec Crypto Commons Ευφυή μοντέλα ασφάλειας Ένα νέο πρότυπο άμυνας απέναντι στις στοχευμένες επιθέσεις, που θα βασίζεται σε μια κεντροποιημένη λογική, παρουσίασε στη συνέχεια ο Stephen Trilling [3], SVP, Chief Technology Officer της Symantec, ο οποίος υποστήριξε ότι το μέλλον μιας αποτελεσματικής πολιτικής ασφάλειας θα βασίζεται σε μια μαζική cloud-based αποθήκευση πληροφοριών. Το όραμα του Stephen Trilling για την ασφάλεια πληροφοριών είναι - όπως χαρακτηριστικά ανέφερε - ένα παγκόσμιο δίκτυο αισθητήρων, που θα συλλέγει πληροφορίες για τα συμβάντα ασφαλείας από χιλιάδες Επιχειρήσεις και Οργανισμούς, διαμορφώνοντας ένα εντελώς νέο πρότυπο σε σχέση με τις προσπάθειες άμυνας απέναντι στις στοχευόμενες επιθέσεις. Οι επιχειρήσεις δεν θα πρέπει να λειτουργούν πλέον στα ζητήματα της ασφάλειας ως μοναχικές οντότητες, υποστήριξε, αλλά ως μέρος μιας μεγάλης κοινότητας που θα αξιοποιεί πολλαπλές πηγές πληροφοριών, ώστε να υπερασπιστεί καλύτερα τα δίκτυα πληροφορικής ανά το κόσμο. Αν αυτό επιτευχθεί, τότε ακόμα και οι πλέον πολύπλοκες στοχευμένες επιθέσεις θα εντοπίζονται σε λίγα λεπτά, επεσήμανε χαρακτηριστικά. Οι βασικές ομιλίες του πρωινού της πρώτης ημέρας που παρακολουθήσαμε, ολοκληρώθηκαν με τον Mike Reavey, General Manager Trustworthy Computing της Microsoft. Από την ομιλία του, ξεχωρίσαμε τη δήλωσή του ότι τα windows XP είναι αυτή τη στιγμή 6 φορές περισσότερο ευάλωτα σε κακόβουλο λογισμικό από ότι τα Windows 8. O Mike Reavey παρουσίασε στη συνέχεια τη νέα εποχή της λειτουργικής ασφάλειας στις online υπηρεσίες, με βάση το μοντέλο Operational Security Assurance (OSA). Το μοντέλο αυτό που μετουσιώνει τις προσπάθειες του τμήματος της εταιρείας για συνεχή προσήλωση στην ασφάλεια, όπου από το 2004 το Microsoft Security Development Lifecycle (SDL) έχει βοηθήσει τους προγραμματιστές να αναπτύσσουν περισσότερο ασφαλές λογισμικό. Όμως πλέον οι επιτιθέμενοι 28 security

4 δεν αξιοποιούν μόνο κάποιες ευπάθειες στο λογισμικό, αλλά ευρύτερες λειτουργικές τρωτότητες, επεσήμανε ο ομιλητής και συμπληρώνοντας υποστήριξε ότι απαιτείται η υιοθέτηση του μοντέλου OSA, το οποίο ευθυγραμμίζεται με τις εσωτερικές πολιτικές της Microsoft και των προτύπων για την ασφάλεια πληροφοριών, όπως το ISO27001 και άλλες οδηγίες σχετικές με το cloud. Επίσης βοηθά στην προστασία Internet-based εξωτερικών απειλών και προβλέπει βασικούς ελέγχους ασφαλείας για γνωστές επιθέσεις, αλλά και μέχρι τώρα άγνωστες ευπάθειες. [4] Ο Mark Hughes, Chief Executive Officer του τμήματος ασφαλείας της BT Προκλήσεις και λύσεις Στη δεύτερη ημέρα του συνεδρίου παρακολουθήσαμε εξίσου ενδιαφέρουσες Keynote ομιλίες, όπως αυτή του Wolfgang Kandek, Chief Technology Officer της Qualys, που παρουσίασε το μοντέλο data-driven security ως μία πρόταση που θα βοηθήσει σημαντικά στη λήψη των καθημερινών αποφάσεων, αλλά και στη χάραξη στρατηγικών πολιτικών. Επίσης είχαμε την ευκαιρία να ακούσουμε τον Mark Hughes [4], Chief Executive Officer του τμήματος ασφαλείας της BT, να μας περιγράφει το πώς αυτός ο τεράστιος τηλεπικοινωνιακός πάροχος αντεπεξήλθε με επιτυχία στις προκλήσεις ασφαλείας των δικτύων που παρουσιάστηκαν κατά τη διάρκεια των Ολυμπιακών Αγώνων του Λονδίνου το Επιπλέον προέβλεψε ότι οι επιθέσεις στο μέλλον θα αυξηθούν σημαντικά στα Apps και τα social media και ότι τα κίνητρα αλλά και οι μέθοδοι των επιτιθέμενων θα αλλάζουν διαρκώς. Στη συνέχεια ο Joshua Corman, Director of Security Intelligence της Akamai Technologies παρουσίασε τις προκλήσεις και τις ευκαιρίες που δημιουργούνται από μια πρωτοποριακή προσέγγιση για την ασφάλεια, με την ονομασία DevOps (development + operations), εστιάζοντας στην ανάγκη ανάπτυξης ενός αντι-πολύπλοκου μοντέλου ασφάλειας που θα απλοποιεί τις διαδικασίες προς όφελος της λειτουργικότητας. Ο πλέον επικοινωνιακός ομιλητής του συνεδρίου, Hugh Thompson, Programme Committee Chair του RSA Conference έκλεισε τα keynotes της δεύτερης ημέρας επισημαίνοντας την ανάγκη αξιοποίησης των μεθόδων analytics και στον τομέα της ασφάλειας για τη λήψη καλύτερων αποφάσεων, καθώς επίσης και τα πλεονεκτήματα που προκύπτουν από την ευθυγράμμιση των πολιτικών ασφαλείας με τη συνολική λειτουργία και τους στόχους μιας επιχείρησης. [5] Crypto Commons - ο χώρος που φιλοξενούσε τα περίπτερα των χορηγών του συνεδρίου Ιδιαίτερα εποικοδομητική ήταν και η επίσκεψή μου στο Crypto Commons [5] - το χώρο που φιλοξενούσε τα περίπτερα των χορηγών του συνεδρίου όπου όσοι βρεθήκαμε εκεί είχαμε την ευκαιρία να ενημερωθούμε για τις λύσεις που παρέχουν εταιρείες σχετικές με το χώρο της ασφάλειας πληροφοριών, να συζητήσουμε με στελέχη αυτών των εταιρειών και να παρακολουθήσουμε μικρές εκπαιδευτικές παρουσιάσεις. Νέα εργαλεία με Risk Based προσέγγιση Κατά τη διάρκεια της επίσκεψής μου στο RSA Conference Europe 2013 είχα επίσης την ευκαιρία να συνομιλήσω πρόσωπο με πρόσωπο με δύο σημαντικά στελέχη με μεγάλη εμπειρία στον τομέα της Ασφάλειας Πληροφοριών. Αρχικά συνάντησα τον Ελληνικής καταγωγής Demetrios Lazarikos ή όπως αλλιώς είναι γνωστός στο χώρο Laz Lazarikos, ο οποίος είναι IT Τhreat Strategist στην RSA και θεωsecurity 29

5 REPORT RSA Conference Europe 2013 ρείται παγκοσμίως ένας από τους κορυφαίους ειδικούς και οραματιστές στην Ασφάλεια Πληροφοριών. Έχει υπηρετήσει σε πολύ κομβικές θέσεις στον τομέα του IT Secοurity, Risk Management and Compliance σε διάφορες εταιρείες, όπως Sears Online Business Unit. Στην αρχή ζήτησα από τον κο Lazarikos να μας περιγράψει το τοπίο σε σχέση με τις απειλές στον κυβερνοχώρο σήμερα και μας ανέφερε χαρακτηριστικά «οι κυβερνοαπατεώνες και όσοι επιτίθενται στα δίκτυα σήμερα, είναι πάρα πολύ οργανωμένοι. Λειτουργούν στα πρότυπα μιας κανονικής και οργανωμένης επιχείρησης, έχουν ομάδες εργασίας, συνεργάζονται στα πλαίσια παγκόσμιων δικτύων και ανταλλάσσουν διαρκώς πληροφορίες προκειμένου να αναπτύξουν κακόβουλα προγράμματα και κώδικες. Επίσης, οι απειλές και οι επιθέσεις αυξάνονται συνεχώς ποσοτικά και ποιοτικά και στοχεύουν παντού: σε κανονικά δίκτυα, σε φορητές συσκευές αλλά και στο cloud. Έχουμε δηλαδή να αντιμετωπίσουμε ένα περιβάλλον γεμάτο προκλήσεις για τους ανθρώπους της ασφάλειας, όπου όλοι μπορεί να είναι στόχος. Κάθε Επιχείρηση ή Οργανισμός, ανεξάρτητα σε ποια αγορά δραστηριοποιείται, μπορεί να αποτελέσει στόχο επιθέσεων». Ρώτησα στη συνέχεια το πώς οι Οργανισμοί θα μπορέσουν να ενεργούν προληπτικά για να αντιμετωπίσουν αποτελεσματικά τις επιθέσεις σε αυτό το περιβάλλον και ο κος Λαζαρίκος απάντησε: «οι σύγχρονοι ηλεκτρονικοί εγκληματίες μπορούν να προσπεράσουν τα παραδοσιακά συστήματα ασφάλειας. Απαιτούνται λοιπόν νέα εργαλεία που θα έχουν δυνατότητες συμπεριφοριστικής ανάλυσης, με riskbased προσέγγιση, που θα λειτουργούν σε πραγματικό χρόνο. Οι οργανισμοί θα πρέπει επίσης να επενδύσουν σε εξειδικευμένους ανθρώπους με ικανότητες, που θα υποστηρίζουν αποτελεσματικά τις πολιτικές ασφαλείας, τα μέτρα προστασίας αλλά και τους τεχνολογικούς πόρους, προκειμένου να αναγνωρίζουν και να εξαλείφουν τις απειλές σε σύντομο χρόνο». Συμπληρώνοντας - και σε σχετική αναφορά για το intelligence-driven security model, που τόσος λόγος έγινε στο συνέδριο - ο κος Λαζαρίκος μας εξήγησε «ότι το συγκεκριμένο μοντέλο βασίζεται στη συλλογή δεδομένων και πληροφοριών που έχουν ενδιαφέρον για την ασφάλεια, που συλλέγονται από πολλαπλές διαφορετικές πηγές, με σκοπό το συσχετισμό των δεδομένων και τον εντοπισμό των κακόβουλων σημείων και των υπόπτων συμπεριφορών και που θα βοηθήσουν στη λήψη σωστών αποφάσεων για τις απαραίτητες ενέργειες που θα ακολουθήσουν». Προχωρώντας στη συνέχεια σε περιγραφή συγκεκριμένων λύσεων - όπως η τεχνολογία RSA Silver Tail που αποτελεί βασικό κομμάτι των επαγγελματικών λύσεων της RSA - μας επισήμανε «η λύση Silver Tail έχει σχεδιαστεί ώστε να συλλέγει και να αναλύει τεράστιο όγκο δεδομένων σε πραγματικό χρόνο, προκειμένου να εντοπίζει απειλές, απάτες και πολλές άλλες κακόβουλες δραστηριότητες, μέσα από έναν πιο έξυπνο μηχανισμό εντοπισμού, με βάση τη συμπεριφορά των χρηστών και το ενδεχόμενο ρίσκο, με αποτέλεσμα την ταχύτερη ανίχνευση και εξουδετέρωση των διαδικτυακών απειλών». Επιχειρήσαμε στο τέλος της συζήτησής μας με τον κο Λαζαρίκο να αναδείξουμε τη θέση του ανθρώπινου παράγοντα στον τομέα της ασφάλειας στις επιχειρήσεις, υποστηρίζοντας ότι: «η εκπαίδευση των εργαζομένων σχετικά με τις πολιτικές ασφαλείας είναι ένας πολύ κρίσιμος παράγοντας για την αποτελεσματικότητα προστασίας των πληροφοριών. Απαιτείται εκπαίδευση όχι μόνο στην αρχή της πρόσληψης κάποιου εργαζομένου, αλλά και στη συνέχεια με τακτικές ενημερώσεις για διάφορα θέματα που προκύπτουν και αφορούν όλους, από την κορυφή της εταιρείας μέχρι και έναν απλό υπάλληλο και σε τακτική βάση». Επίσης, σχετικά με το ρόλο των υπευθύνων για την IT ασφάλεια μέσα στις σύγχρονες επιχειρήσεις, επισήμανε ότι: «ο επαγγελματίας στην ασφάλεια πληροφοριών σήμερα θα πρέπει να λαμβάνει υποστήριξη από όλα τα τμήματα του Οργανισμού. Να ερευνά, να συλλέγει πληροφορίες και να συ- 30 security

6 νεργάζεται με αντίστοιχα στελέχη από άλλους Οργανισμούς, όπως επίσης είναι πολύ σημαντικό να έχει τη δυνατότητα να διαχειριστεί χρήματα, που θα επενδύσει σε λύσεις ασφαλείας. Για τους επαγγελματίες της ασφάλειας μέσα στις επιχειρήσεις είναι πάρα πολύ σημαντική η υιοθέτηση της Risk-based προσέγγισης, αφού θα τους επιτρέψει ξεκάθαρα την αναγνώριση της εκάστοτε πιθανής απειλής και κατ επέκταση την επιλογή της εκάστοτε λύσης. Ισχυρή αυθεντικοποιήση με ευθυγράμμιση στην επιχειρηματική λειτουργία Ιδιαίτερα ενδιαφέρουσα ήταν και η συνάντηση που είχαμε με τον Manoj Nair, Senior Vice President, Identity Trust Management στην RSA. Η συνέντευξη που μου παραχώρησε, περιστράφηκε κυρίως γύρω από τη Διαχείριση Ταυτοποίησης, θέμα στο οποίο η RSA θεωρείται ηγέτης παγκοσμίως. Ξεκινήσαμε τη συζήτηση με αναφορά στις προκλήσεις σχετικά με την αυθεντικοποίηση σήμερα και ο κος Nair επισήμανε: «από μόνη της η αυθεντικοποίηση των χρηστών είναι μια πολύ μεγάλη πρόκληση σήμερα, σε προσωπικό και σε επαγγελματικό πεδίο. Ο καθένας από εμάς έχει δεκάδες ψηφιακές online ταυτότητες και αντίστοιχους κωδικούς πρόσβασης, ενώ στους Οργανισμούς πολλές φορές η δυνατότητα πρόσβασης σε κρίσιμα δεδομένα μόνο με τη χρήση κωδικών, καθιστούν ιδιαίτερα ευάλωτες πολλές πληροφορίες απέναντι σε επιθέσεις. Επίσης η χρήση των προσωπικών φορητών συσκευών και για επιχειρηματικές λειτουργίες στα πλαίσια της τάσης του BYOD, αλλά και η αποθήκευση δεδομένων στο cloud το οποίο διαχειρίζεται κάποιος πάροχος, έχουν διαμορφώσει ένα εντελώς νέο και πολυσύνθετο τοπίο σε σχέση με την αυθεντικοποίηση». Μιλώντας στη συνέχεια για τις μελλοντικές εξελίξεις στον τομέα της διαχείρισης ταυτοτήτων, ο ειδικός στο συγκεκριμένο τομέα Manoj Nair ανέφερε ότι: «το μέλλον στη διαχείριση ταυτοτήτων θα είναι λύσεις που θα έχουν μεγαλύτερο business context, intelligence-driven και risk-based προσέγγιση και θα είναι περισσότερο δυναμικές και ευθυγραμμισμένες με τη γενικότερη επιχειρηματική λειτουργία. Επίσης, οι όποιες λύσεις αναπτύσσονται από εδώ και ύστερα σε σχέση με τη διαχείριση ταυτοτήτων, θα πρέπει να είναι προσαρμοσμένες στην πλέον αναπτυσσόμενη τάση στο επιχειρηματικό περιβάλλον, που είναι φυσικά το mobility. Ήδη ως RSA έχουμε πάρα πολλές risk-based authentication λύσεις εγκατεστημένες σε πελάτες ανά τον κόσμο σε πολλές και κρίσιμες υποδομές, όπως στο χρηματοοικονομικό τομέα, για την υποστήριξη οικονομικών συναλλαγών και την προστασία από απάτες». Αντιπροσωπευτική λύση στο συγκεκριμένο τομέα είναι το RSA Authentication Manager για τα νέα χαρακτηριστικά του οποίου μας ο κος Nair ανέφερε: «Πρόκειται για μια λύση ελέγχου πρόσβασης νέας γενιάς, που συνδυάζει ισχυρή τεχνολογία one-time password και risk-based αυθεντικοποίηση, ασφαλίζοντας τα κρίσιμα δεδομένα στην Επιχείρηση και στο cloud. Η διαδικασία του login γίνεται γρήγορα και απλά και επιτυγχάνεται παράλληλα με τον έλεγχο μιας πληθώρας παραγόντων ρίσκου, που βοηθούν στη διασφάλιση κάθε συναλλαγής. Η λύση έχει σχεδιαστεί να παρέχει μεγάλη ορατότητα στον έλεγχο πρόσβασης, αξιοποιώντας πληροφορίες για το προφίλ και τη συμπεριφορά του κάθε χρήστη. Η νέα έκδοση του RSA Authentication Manager 8 προσφέρει προστασία έναντι των Προηγμένων Επιθέσεων και εντοπίζει μη εξουσιοδοτημένες προσβάσεις και ύποπτες δραστηριότητες». Αναφερόμενοι στο τέλος της συνάντησής μας στο ρόλο των IT administrators στις σύγχρονες επιχειρήσεις και το τι πρέπει να κάνουν για να μειώσουν τα ρίσκα σχετικά με τον τομέα της πρόσβασης των χρηστών, ο κος Nair τόνισε «... πρέπει να αντιληφθούν τη νέα πραγματικότητα που επιφέρουν στο οικοσύστημα των επιχειρήσεων οι νέες τάσεις στο ΙΤ, όπως το Mobility και το Cloud. Να προσαρμόσουν και να αναβαθμίσουν τα μέτρα ασφάλειας σύμφωνα με τις τωρινές και τις μελλοντικές ανάγκες που θα προκύψουν από την υιοθέτηση των τάσεων αυτών. Να λαμβάνουν υπόψη το business context και να ευθυγραμμίζουν τις λειτουργίες της ασφάλειας με τις συνολικές λειτουργίες του Οργανισμού, ώστε να ενισχυθεί η παραγωγικότητα». Κλείνοντας το ρεπορτάζ μας, μπορούμε να πούμε ότι η εμπειρία της επίσκεψης στο RSA Conference Europe 2013 ήταν σίγουρα πολύ εποικοδομητική. Όχι μόνο γιατί επαγγελματικά είχα τη δυνατότητα να μάθω περισσότερα πράγματα για τις νεότερες εξελίξεις στο χώρο ή την ευκαιρία να παρακολουθήσω σημαντικές παρουσιάσεις και να συνομιλήσω με κορυφαία στελέχη, αλλά γιατί κυρίως ζώντας αυτές τις ημέρες κοντά σε αυτό το συνέδριο, μπόρεσα να διαισθανθώ αλλά και να αναπτύξω ακόμα περισσότερο μέσα μου την απαραίτητη κουλτούρα ασφάλειας, που είναι χρήσιμη ως πυξίδα στην επαγγελματική αλλά και προσωπική διαδρομή του καθενός. itsecurity security 31