Stack bezpieczeństwa dla firm software'owych

dostęp, który sięga do produkcji

Tożsamość to fundament dla każdego, ale w firmie software'owej najostrzej wygląda na samym szczycie drabiny uprawnień. Przejęty inżynier albo zapomniane konto administracyjne to prosta droga do repozytoriów, chmury i danych klientów, więc tu idą najpierw mocne kontrole. MFA wszędzie to minimum, a każdy, kto dotyka produkcji albo konsoli chmurowej, powinien mieć czynnik odporny na phishing, nie kod z aplikacji, który fałszywa strona logowania może przechwycić i przekazać dalej. Stały dostęp administracyjny to coś, co zostaje skradzione, więc przyznawaj go just-in-time i pozwól mu wygasać, zamiast trzymać go stale włączonym. A kiedy ktoś odchodzi, jego dostęp musi zniknąć w chmurze, repozytoriach i SaaS tego samego dnia, a nie tkwić miesiącami w trzech systemach, o których zapomniała checklista offboardingu.

warstwa maszynowa to miejsce, gdzie naprawdę jesteś wystawiony

To ta rzecz, którą warto potraktować poważnie wcześniej, niż wydaje się rozsądne, bo tu firmy software'owe są najbardziej wystawione i najsłabiej pilnowane. Firma software'owa ma więcej tożsamości maszynowych (NHI) niż ludzkich, i one wyciekają. Klucz API ląduje w historii gita, token konta serwisowego siedzi w logu, dane logowania trafiają w pośpiechu do pliku konfiguracyjnego, i każde z nich zostaje ważne latami, bo nikt ich nie posiada ani nie rotuje.

Ta robota nie jest skomplikowana, po prostu rzadko się ją robi. Zrób inwentarz kluczy, tokenów i kont serwisowych, bo nie ochronisz czegoś, czego nie masz na liście. Wyprowadź długożyjące sekrety z kodu do vaulta, rotuj je i zmierzaj w stronę krótkożyjących danych logowania, które wygasają, zanim opłaci się je ukraść. I zwróć szczególną uwagę na pipeline CI/CD, bo zwykle działa z wysokimi uprawnieniami i trzyma worek sekretów, co czyni go jednym z najcenniejszych celów, jakie posiada firma software'owa.

chmura i kod

Dwa obszary, które przychodzą razem z byciem firmą software'ową. Prowadzisz własną chmurę, co oznacza, że jej bezpieczeństwo to twoja sprawa, nie dostawcy, a źle skonfigurowany bucket albo rola z nadmiarowymi uprawnieniami to jeden z najczęstszych sposobów, w jaki takie firmy tracą dane. Narzędzia do oceny konfiguracji (posture) znajdują błędne ustawienia, a zarządzanie uprawnieniami dopasowuje do właściwego rozmiaru to, kto i co może działać, ze szczególną uwagą na role, których używa automatyzacja.

A skoro wysyłasz kod, bezpieczeństwo tego kodu jest częścią produktu. Na starcie nie potrzeba ciężkiego programu. Ruchem o najwyższym zwrocie na początku jest po prostu skanowanie pipeline'u pod kątem zacommitowanych sekretów i znanych podatnych zależności, a porządne testowanie kodu i aplikacji, firewall przed publicznymi aplikacjami i rejestr tego, co jest w środku tego, co wysyłasz, dochodzą wraz z dojrzewaniem produktu i zespołu.

saas i ai, ta cicha dwójka

Obie rosną bez niczyjej decyzji, że mają rosnąć, i obie kończą, trzymając dużo danych i dostępu. Po stronie SaaS wprowadź aplikacje za single sign-on i regularnie przeglądaj granty OAuth i podpięte aplikacje, które się nagromadzają, bo każda z nich to stały klucz do twoich danych trzymany przez stronę trzecią. Po stronie AI inżynierowie byli pierwsi, żeby je wdrożyć, i karmią je kodem, więc zadanie polega na wiedzy, co jest w użyciu, przeniesieniu wrażliwej pracy na warstwy enterprise, które nie trenują się na twoich danych, i kontroli tego, po co wolno sięgać asystentom i agentom AI.

bazowy poziom, którego nie pominiesz

Nic z powyższego nie zastępuje zwykłego minimum. Nadal chcesz solidnej ochrony endpointów na każdym urządzeniu, włączonego i skonfigurowanego filtrowania poczty oraz kopii zapasowych, z których faktycznie coś odtworzyłeś na próbę. Dla firmy cloud-native siedzą one o oczko niżej niż warstwy powyżej, ale nie są opcjonalne, a brak przetestowanej kopii zapasowej to luka, która zamienia incydent ransomware w katastrofę.

bezpieczeństwo to też narzędzie sprzedaży

To jest część, którą większość porad całkowicie pomija. Dla większości firm bezpieczeństwo to czysty koszt. Dla firmy software'owej ono też wygrywa i przegrywa kontrakty, bo przedsiębiorstwa, na których jej zależy, przyślą kwestionariusz, zapytają o SOC 2 albo ISO 27001 i przeprowadzą audyt dostawcy, zanim podpiszą, a wolna albo słaba odpowiedź zawiesza deal już wygrany na produkcie.

To zmienia moment startu. Zacznij pracę nad bezpieczeństwem wcześniej, niż wydaje się to konieczne, bo domontowywanie jej pod presją dealu jest bolesne i powolne. Traktuj kwestionariusz bezpieczeństwa jako powtarzalny artefakt sprzedażowy i zbuduj wielokrotnego użytku pakiet odpowiedzi, żeby każdy zajmował godziny zamiast wykolejać cały tydzień. I pamiętaj, że certyfikacja opiera się dokładnie na pracy nad tożsamością, dostępem i widocznością z góry tej listy, więc zrobienie jej najpierw robi SOC 2 dużo tańszym, kiedy po nią sięgniesz. Ta sama czysta historia dostępu skraca też due diligence inwestora.

co pominąć i kiedy to dodać

Spora część rynku będzie próbować sprzedać młodej firmie narzędzia, których jeszcze nie potrzebuje. Dedykowana platforma do zarządzania dostępem uprzywilejowanym, pełny pakiet identity governance, platforma przeciwdziałająca wyciekom danych, narzędzie do oceny postury SaaS, SIEM, centrum operacji bezpieczeństwa: wszystko realne w skali, wszystko przesadą i nie do udźwignięcia dla szybko poruszającego się zespołu, a kupowanie tego zbyt wcześnie to sposób, w jaki firmy kończą z narzędziami wdrożonymi w połowie i wciąż otwartymi podstawami.

Sygnały, że czas dodać więcej, są konkretne, nie mgliste. Klient przysyła kwestionariusz bezpieczeństwa albo pyta o SOC 2. Inwestor otwiera due diligence. Firma przekracza mniej więcej pięćdziesiąt osób, albo rozrost kont i kluczy wyrasta z tego, co jedna osoba może utrzymać w głowie. Albo zdarza się coś, co przestraszy. Każdy z tych sygnałów to znak, żeby przejść z minimum w stronę pełniejszego stacku.

od czego zacząć

Najpierw zobacz aktualny dostęp. Szybko poruszająca się organizacja inżynierska gromadzi konta, klucze i granty szybciej, niż ktokolwiek to śledzi, a większość realnego zagrożenia chowa się właśnie w tym rozroście, nie w jakimś wyrafinowanym ataku.