Sikkerhet, neste nivå

I Deploi er vi opptatt av IT-sikkerhet året rundt, og vi vil derfor stadig være innom temaet i våre nyhetsbrev. Siden oktober er Nasjonal Sikkerhetsmåned, ønsker vi denne gangen å dedikere hele nyhetsbrevet til serversikkerhet. Temaet er like viktig, enten det er servere eller administrerte tjenester du leier av oss.

I fjor tok vi for oss grunnleggende serversikkerhet. Om du ønsker å lese det på nytt, finner du det her.

I denne posten tar vi for oss ytterligere temaer innen sikkerhet.

Kryptering av disk

Enten du leier server, tjeneste (software as a service, SaaS), eller en annen administrert tjeneste må data til syvende og sist lagres på fysiske disker i et eller annet datasenter. Man kan øke beskyttelsen av slike data på tre ulike nivåer:

Beskytte mot datalekkasje ved tyveri av de fysiske diskene
Beskytte mot datalekkasje ved angrep rettet mot skyleverandøren
Beskytte mot datalekkasje ved angrep mot dine egne systemer

I alle disse tre tilfellene kan man kryptere dataene som ligger lagret på disken. Dette kalles også encryption-at-rest.

De fleste skyleverandører vil kryptere diskene slik at de beskytter mot datalekkasje ved tyveri av diskene eller ved angrep mot egne systemer. Selv om skyleverandøren har gjort dette, kan noen fremdeles få tilgang til dataene dine gjennom sikkerhetsproblemer i dine egne systemer. Dette kan du selv løse ved at applikasjonene på serveren krypterer sine egne data når de lagres på disken. Dette gjør det vanskeligere for inntrengere å stjele data.

Risikoen ved kryptering av data er at du selv kan miste tilgangen til dataene om du mister nøklene eller krypteringssystemet svikter. Dette er ikke det samme som å miste nøklene til huset sitt: Moderne kryptering er så sterk at du i praksis vil miste tilgangen til dataene dine for alltid.

Økt sikkerhet i serveradministrasjon

Hvis du ønsker økt sikkerhet i serveradministrasjonen, kan vi i Deploi ta oss av serveradministrasjonen. Dette gir økt sikkerhet på to nivåer:

I en slik løsning er eneste inngangsport til serveradministrasjon Deploi sine interne systemer, noe som vil redusere antall potensielle angrepsflater.
Våre eksperter kan bidra med sin vurdering av sikkerheten i endringer av oppsett. Du får altså en second opinion på valget som blir tatt, noe som minsker sjansen for uhell i konfigurasjonen.

Ta kontakt hvis du ønsker dette.

Økt sikkerhet i overføring av sensitiv informasjon

Ofte er man nødt til å overføre sensitiv informasjon, som passord, krypteringsnøkler og privatnøkler.

For økt sikkerhet i overføring av slik informasjon til og fra oss i Deploi, anbefaler vi asymmetrisk kryptering med offentlige og private nøkler. Med en slik teknologi får vi en nøkkel av deg som gjør at kun du kan lese data vi låser med nøkkelen. Tilsvarende får du en nøkkel av oss som gjør at kun vi kan lese data du låser med nøkkelen.

Ønsker du å benytte denne teknologien i kommunikasjonen med Deploi, ta kontakt, så skal vi sørge for at all sensitiv kommunikasjon med oss er kryptert med denne metoden.

Påminnelse om god praksis

Til sist en påminnelse om god praksis de fleste i bransjen er enige om:

Ikke klikk på linker i e-post eller SMS. Du skal alltid kunne finne frem til en tjeneste hos en leverandør via deres hjemmeside.
Kontakter du oss i Deploi, vil vi alltid sørge for å få bekreftelse på at du er en som kan representere kunden. Såkalt «phishing» er å utgi seg for å være en kunde, og vi i Deploi har rutiner for å beskytte kundene mot dette. Det er viktig at kundene forstår at det som kan virke som unødvendige steg i kommunikasjonen, ofte er på grunn av dette, og er ment å være til kundenes beste.
Oppgi aldri informasjon til noen som utgir seg fra å være fra Deploi utenom gjennom avtalte kommunikasjonskanaler.
Vær forsiktig med å sette kode eller biblioteker i produksjon uten en grundig vurdering av eget behov og kodens skadepotensiale. En relativt enkel måte å komme seg inn i dine systemer på, er via kodebiblioteker som utviklerne dine installerer i programvaren din.
Kjenn godt til hvordan dine egne systemer «ser ut» og oppfører seg til vanlig. Da er det enklere å identifisere unormal oppførsel. Er noe utenom det vanlige, bør dette alltid undersøkes.