Under många av mina år på Tripnet har tillgänglighet varit det självklara samtalsämnet. Systemen ska fungera, användarna ska komma åt dem och kunderna ska kunna jobba. Vi har byggt redundans, övervakat systemen dygnet runt och varit beredda att agera när någonting händer. Det arbetet är fortfarande precis lika viktigt.
Men spelplanen har förändrats. Vi är redan i ett läge där tillgänglighet ibland behöver stå tillbaka för att vi ska kunna skydda konfidentialiteten och riktigheten. Det här är inte en framtidsfråga. Det händer nu, och vi kommer att fatta fler sådana beslut framöver.
Det kan låta lite märkligt från någon som har ägnat mer än 30 år åt att hålla system igång. Men bra drift handlar inte längre bara om att hålla allt tillgängligt så länge som möjligt.
Det var bättre förr – eller åtminstone enklare.
När jag tänker tillbaka på Tripnets första år, och på många av kundsamtalen långt därefter, handlade väldigt mycket om att hålla systemen igång. Hur bygger vi redundans? Hur övervakar vi? Hur snabbt kan vi vara tillbaka om någonting går sönder? Tillgänglighet var konkret. När ett system låg nere märktes det direkt och någon behövde lösa problemet.
Frågorna om vem som kunde komma åt informationen, eller om någon hade förändrat den utan att vi märkte det, tog betydligt mindre plats i de samtalen. Inte för att de var oviktiga, utan för att både hotbilden och våra system såg annorlunda ut.
I dag behöver vi hålla flera saker i huvudet samtidigt, och ibland står de faktiskt i konflikt med varandra. Det är där de tre klassiska delarna i informationssäkerheten kommer in: tillgänglighet, riktighet och konfidentialitet. Marcelo förklarar dem i våra korta filmer från serien Veckans ord.
Tillgänglighet
Tillgänglighet handlar om att du ska kunna använda informationen och systemen när du behöver dem. Det är kanske också den mest synliga delen av informationssäkerheten, eftersom vi märker direkt när den försvinner. Därför har vi under så många år lagt enormt mycket kraft på redundans, reservkapacitet, övervakning, beredskap och återställning.
Det arbetet kommer inte att bli mindre viktigt. Men maximal tillgänglighet kan inte längre vara ett självändamål. I vissa situationer är ett fortsatt tillgängligt system den större risken.
Konfidentialitet
Konfidentialitet handlar om att informationen bara ska vara tillgänglig för dem som har rätt att ta del av den.
Tänk att vi får information om en allvarlig sårbarhet i en tjänst som är exponerad mot internet. Vi vet att sårbarheten finns, men vi vet kanske ännu inte hur enkel den är att utnyttja. Vi vet inte om någon redan försöker och vi vet kanske inte exakt vilka konsekvenser en förändring kan få.
Då kan rätt beslut vara att begränsa åtkomsten direkt. Inte senare. Inte när vi har hunnit analysera färdigt allt. Utan nu. Det betyder att vi medvetet offrar tillgänglighet för att skydda konfidentialiteten. Det är en del av modern säker drift.
Integritet
Integritet, eller riktighet, handlar om att vi ska kunna lita på informationen. Ett system kan vara igång, svara snabbt och se helt normalt ut samtidigt som informationen har förändrats.
Här spelar bra säkerhetskopiering, historik och verifierade återställningspunkter en viktig roll. Om vi misstänker att informationen har manipulerats kan vi behöva stoppa systemet, reda ut vad som är korrekt och återställa innan vi öppnar igen. Även där tappar vi tillgänglighet för att skydda något viktigare i stunden.
Allt går inte att återställa
Tillgänglighet, riktighet och konfidentialitet är tre olika skyddsvärden, men konsekvenserna ser olika ut. Ett system som ligger nere kan vi få igång igen. Felaktig information kan vi ofta återställa, om vi har rätt historik och vet vilket läge som faktiskt var korrekt.
Konfidentialitet fungerar annorlunda. Information som någon obehörig redan har läst eller kopierat går inte att göra oläst. En läckt kunddatabas går inte att hämta tillbaka och en affärshemlighet blir inte hemlig igen för att vi har stängt säkerhetshålet.
– Tillgänglighet kan vi återställa. Riktighet kan vi ofta återställa. Men läckt information kan vi aldrig göra oläckt.
Det är just den skillnaden som gör att vi redan nu behöver arbeta annorlunda.
När skyddet kräver ett avbrott
Ibland är det mest ansvarsfulla beslutet att stänga ner ett system.
Om vi inte kan säkerställa att informationen är skyddad kan vi behöva begränsa extern åtkomst, koppla bort en integration eller göra hela tjänsten otillgänglig tills vi har kontroll på situationen. Då väljer vi medvetet bort tillgänglighet för att skydda konfidentialiteten.
Samma sak gäller riktigheten. Om vi misstänker att information har manipulerats kan vi behöva stoppa systemet medan vi verifierar vad som är korrekt och återställer ett säkert läge. Även då betalar vi med tillgänglighet för att säkerställa en annan del av informationssäkerheten.
Det finns inte samma naturliga motsättning mellan konfidentialitet och riktighet. Tvärtom går de ofta åt samma håll. Om någon obehörig kan läsa information finns det ofta också en risk att samma person kan förändra den.
Men konsekvenserna skiljer sig åt. Felaktig information kan vi i bästa fall reparera. Röjd information kan vi inte ta tillbaka – ibland är bra drift att stänga av ett system. Inte för att vi har tappat kontrollen, utan för att vi vill behålla den.
Vad skyddar vi först?
Det här är inte längre en fråga vi borde prata med våra kunder om någon gång framöver – det här måste vi veta nu. Vi måste veta vilka system där tillgängligheten alltid väger tyngst. Vi måste veta vilka system där ett informationsläckage är den största risken. Vi måste veta var riktigheten är så viktig att vi hellre stoppar tjänsten än låter användarna fortsätta arbeta med information vi inte längre litar på.
Det räcker inte att säga att ett system är samhälls- eller affärskritiskt. Vi behöver veta varför det är kritiskt.
- Är det kritiskt för att det alltid måste vara tillgängligt?
- För att informationen alltid måste vara korrekt?
- Eller för att informationen absolut inte får hamna i fel händer?
Det här behöver vi reda ut tillsammans innan situationen uppstår. När våra systemingenjörer sitter med en allvarlig incident på en söndagskväll ska de inte behöva börja med att fundera på vad kunden egentligen vill skydda först och främst. Det ska redan vara känt. Det är så vi behöver arbeta nu. Bra drift är inte längre bara att hålla systemen igång. Det är att förstå när tillgänglighet ska prioriteras och när den måste få stå tillbaka för att skydda riktighet eller konfidentialitet. Ibland kommer det mest ansvarsfulla beslutet att vara – att stänga ner.
– Inte för att någonting har gått sönder – utan för att vi inte tänker låta någonting värre hända.
