Tell it to the Marines: Leadership Principles and Network Security:

On perjantaina työajan jälkeen. Keskustelet etätyöntekijän kanssa seuraavan sukupolven palomuurin asentamisesta. Verkon läpi ei kulje mitään liikennettä, ja nyt olet jumissa projektissa, kunnes se on korjattu. Viikonloppuisin virka-ajan ulkopuolella tapahtuva ylläpito kyberturvallisuuden parantamisen nimissä voi olla yksi organisaation stressaavimmista, riskialttiimmista ja vähämoraalisimmista hankkeista. Riskiä ja stressiä voidaan kuitenkin vähentää soveltamalla Yhdysvaltain merijalkaväen reserviläisten käyttämää suunnittelumenetelmää. USMC:n suunnittelukonseptit voidaan helposti sovittaa kyberturvallisuushankkeisiin, mikä lisää onnistumisen todennäköisyyttä.

USMC:n taktisessa suunnittelussa keskitytään soveltamaan kuutta joukkoja johtavaa vaihetta. Tämä on peruslähestymistapa, jota merijalkaväki käyttää kaikissa operaatioissa. Merijalkaväki on käyttänyt näitä vaiheita (jotka tunnetaan lyhenteellä BAMCIS) suunnitellessaan mitä tahansa merijalkaväen vuotuisista merijalkaväen syntymäpäiväjuhlista marraskuun 10. päivänä vihollisen tarkka-ampujan pesään kohdistuvaan hyökkäykseen. BAMCIS on lyhenne seuraavista sanoista: Begin planning, Arrange for reconnaissance, Make reconnaissance, Complete the plan, Issue the order, and Supervise (aloita suunnittelu, järjestä tiedustelu, tee tiedustelu, täydennä suunnitelma, anna käsky ja valvo), ja se on merijalkaväen johtamisen keskeinen periaate. BAMCIS:n tavoitteena on kerätä tietoa, tehdä suunnitelma, toteuttaa ja varmistaa tehtävän onnistuminen.1

Käyttäen seuraavan sukupolven palomuurin asentamista havainnollistavana skenaariona käymme läpi nämä joukkojen johtamisen vaiheet ja selvitämme, miten niiden avulla voidaan parantaa todennäköisyyttä sille, että laitteisto toimii heti alusta alkaen, ja pienentää mahdollisuuksia viettää kokonainen viikonloppu vianmääritykseen.

Vaihe 1: Suunnittelun aloittaminen

Tehtävän analyysi (tai hankesuunnittelun suunnittelu) aloitetaan tästä. Vihreän valon antamispäivä on päivä, jolloin suunnittelu on aloitettava: Määritä, kuinka kauan rinnakkaisen infrastruktuurin on oltava toiminnassa. Määritä, mitä resursseja tarvitaan mahdollisten hot-cut-siirtojen aikana. Määritä, miten uusi verkkoturvallisuusinfrastruktuuri vaikuttaa organisaation käyttäjiin. Valmistaudu moniin kysymyksiin tämän vaiheen aikana. Sinun on tehtävä joitakin oletuksia hankkeesta, jotta voit aloittaa suunnittelun. Jos etätoimisto sijaitsee Yhdysvaltojen ulkopuolella, kielimuurit, salauksen vientirajoitukset ja tullikysymykset on otettava huomioon mahdollisimman varhaisessa vaiheessa. On vaikea ottaa onnistuneesti käyttöön verkkoturvallisuusinfrastruktuuria, jos infrastruktuuri tai insinööri on jumissa tullissa!

Vaihe 2: Järjestä tiedustelu

Tavanomaisessa sodankäynnissä tässä vaiheessa kerättäisiin tietoa vihollisen koosta, kyvyistä ja heikkouksista. Todellisuudessa tämä vaihe vastaa kuitenkin kysymykseen: ”Mitä tietoja minulta puuttuu menestyksen saavuttamiseksi?” 2 Käytä kaikkia käytettävissä olevia yhteistyömenetelmiä varmistaaksesi, että kaikki verkkoturvallisuusinfrastruktuurin onnistuneen käyttöönoton edellyttämät tiedot saadaan selville kauan ennen käyttöönottoa. Fyysiset vaatimukset, kuten virransyöttö ja jäähdytys, infrastruktuuriin pääsyä valvovat turvallisuuskäytännöt ja kuvat paikasta olisi hankittava. Organisaatiosta riippuen tarvittavien selvitysten hankkiminen saattaa muodostua projektiksi sinänsä, mutta näiden tietojen hankkiminen on välttämätöntä onnistumisen kannalta.

Huomioi myös laitetoimittajalta tarvittavat tiedot. Riippumatta siitä, hankitko seuraavan sukupolven palomuurin suoraan toimittajalta ja asennat sen itse vai turvaudutko ulkoistetun ratkaisun tarjoajan apuun, näiden tietojen saaminen ennen infrastruktuurin varsinaista käyttöönottoa on kriittisen tärkeää onnistumisen kannalta.

Vaihe 3: Tee tiedustelu

Tässä vaiheessa johto käyttää kaikkia käytettävissä olevia voimavaroja täyttääkseen kaikki tiedoissa esiintyvät puutteet sen jälkeen, kun tiedot on järjestetty tiedustelun jälkeen. Seuraavan sukupolven palomuurin tapauksessa tässä vaiheessa analysoitaisiin spesifikaatiot riittävän tilan, tehon ja turvallisuuden varmistamiseksi. Kyberturvallisuusinfrastruktuuri, joka sijaitsee tavallisessa huoneessa, jossa on alaslaskettu katto ja oven takana, jossa ei ole takaporttisuojausta, eikä lukitussa kaapissa, on ongelma, joka odottaa syntymistään.3 Jos tiedustelunne osoittaa, että sijaintipaikka ei ole vaadittujen fyysisten turvallisuusstandardien mukainen, tämä on ratkaistava ennen jatkamista. Yhteydenotto niihin tiimeihin, joihin turvallisuusinfrastruktuuri vaikuttaa, on avain tietojen puutteiden täyttämiseen, jotka ovat välttämättömiä, jotta vältytään tuskalliselta viikonlopun mittaiselta vianetsinnältä.

Vaihe 4: Täydennä suunnitelma

Vaiheessa yksi muotoiltiin monia kysymyksiä ja oletuksia, jotta suunnitelma saatiin alkuun. Nyt on aika vastata näihin kysymyksiin ja tarkastella kaikkia näitä oletuksia. Älä rakastu suunnitelmaasi. Vertaisarviointi on ratkaisevan tärkeää. Esimerkiksi asennusmenettelyjä kirjoitettaessa saattaa kestää viisi minuuttia löytää kirjoitusvirhe, joka liittyy seuraavan sukupolven palomuurin kytkemiseen. Jos tuota kirjoitusvirhettä ei löydy, voi vianmääritys, miksi liikenne ei kulje, viedä useita tunteja. Aloita miettimään kaikkia käyttöönottoon liittyviä mahdollisia vikatilanteita.4 Viimeinen asia, jota halutaan, on se, että tietoturva heikkenee tai että huoltoikkuna ylittää odotukset, millä on mittaamattoman kielteinen vaikutus organisaatioon. Valmiissa suunnitelmassa on otettava huomioon oletusarvoisen hallintatilin tunnistetietojen muuttaminen, käyttämättömien porttien ja palvelujen poistaminen käytöstä sekä myyjän suosittelemat parhaat käytännöt. Aivan liian usein nämä jätetään huomiotta, kun ratkaisu yritetään saada käyttöön ennen määräaikoja, joten varmista, että ne sisällytetään suunnitelmaan.

Vaihe 5: Anna käsky

Useimpiin sotilasoperaatioihin liittyy ”viiden kohdan operaatiokäskyn” antaminen. Tämä on selkeä ja tiivis yhteenveto olennaisista tiedoista, joita tarvitaan operaation toteuttamiseksi. Me pyrimme samanlaisiin selkeisiin ja ytimekkäisiin ohjeisiin.5 Kaikki verkkoturvallisuusinfrastruktuurin onnistuneen käyttöönoton edellyttämät tiedot on välitettävä työn tekijöille. Tähän kuuluvat kirjalliset ohjeet, konferenssipuhelut, virtuaaliset taulut ja kuvakaappaukset. Laajalla viestintäsuunnitelmalla voidaan ratkaista monia ongelmia ennen kuin niistä ehtii tulla ongelmia. Vaikka kukaan ei halua juuttua koko päiväksi kokouksiin lopullisten ohjeiden lähettämisen jälkeen, on syytä käyttää aikaa yhteisen ymmärryksen varmistamiseen jo kauan ennen verkon tietoturvainfrastruktuurin muutoksen aloittamista. Oleta, ettei kukaan oikeasti lue sähköpostejasi tai kuuntele ajatuksiasi kokoushuoneessa, kysy tiimin jäseniltä kysymyksiä suunnitelmasta ja varmista, että he vastaavat oikeat vastaukset!

Vaihe 6: Valvo

Ilman valvontaa kasvaa todennäköisyys, että merijalkaväen sotilaat tekevät huonoja päätöksiä, kuten eivät juo tarpeeksi vettä ennen kuumaa kolmen mailin aavikkojuoksua tai laukaisevat juovuksissaan palohälyttimen, joka peittää vaahdon alleen usean lentokoneen.6 Asianmukainen valvonta taas voi johtaa siihen, että merijalkaväen sotilaat tekevät viisaita päätöksiä, jotka muuttavat historian kulkua. Verkon turvallisuusinfrastruktuurihankkeet eivät poikkea tästä. Valvonta on ratkaisevan tärkeää sen varmistamiseksi, että työ tehdään suunnitelman mukaisesti ja asetettujen standardien mukaisesti. USMC pitää valvontaa tärkeimpänä tekijänä joukkojen johtamisessa. Valvonta ei ole vain johtajien vastuulla. Kaikkien projektiin osallistuvien vastuulla on puhua asiasta aina, kun he havaitsevat jotain epätyydyttävää, kuten dokumentoinnin puutteen tai palomuurin liikenteen suodatussääntöjen huonon toteutuksen – kun he näkevät sen tapahtuvan. Dokumentointia on helppo korjata heti käyttöönoton jälkeen, kun esimies vaatii näkemystä siitä, miten palomuuri suodattaa liikennettä. Sitä on vaikea korjata vuosia myöhemmin, kun vianmäärityksessä selvitetään, miksi uusi sovellus suodatetaan väärin.

Mitä enemmän tiimin jäsenet pystyvät harjoittelemaan verkkoturvallisuusmuutoksia, sitä epätodennäköisempää on, että muutokset aiheuttavat tuotantokatkoksia.

Virtualisointi- ja pilvitekniikoiden yleistymisen myötä verkkoturvainfrastruktuurihankkeita on yhä helpompi harjoitella valvotussa ympäristössä ennen kuin ne siirretään tuotantoon. Aivan kuten jalkaväkipataljoonan komentaja sisäistää joukoille taisteluun valmistautuessaan arvot ”treenaa, miten taistelet, taistele, miten treenaat”, organisaation johdon on sisäistettävä arvot, jotka liittyvät asianmukaiseen testaukseen ja harjoitteluun ennen kuin ratkaisut otetaan tuotantoon. Mitä enemmän tiimin jäsenet pystyvät harjoittelemaan verkkoturvamuutoksia, sitä epätodennäköisempää on, että muutokset aiheuttavat tuotantokatkoksia. Useimmat ovat samaa mieltä siitä, että uuden merijalkaväen sotilaan on opeteltava maalla suunnistamisen perusteet valvotussa harjoitusympäristössä, ennen kuin hänen odotetaan suunnistavan sota-alueelle lähetettyä partiota. Vastaavasti kyberturvallisuushenkilöstölle on annettava mahdollisuus oppia, miten heidän verkkoturvallisuusinfrastruktuurinsa konfiguraatio vaikuttaa organisaation liikkeessä olevaan dataan laboratorio-olosuhteissa, ennen kuin se otetaan käyttöön tuotantokyberavaruudessa.

Kaikki organisaatiot ovat ainutlaatuisia, mutta nämä merijalkaväestä lähtöisin olevat kuusi joukkoja johtavaa vaihetta ovat sovellettavissa myös muihin organisaatioihin. Jopa siviiliorganisaatiot voivat soveltaa muutamia armeijalta saatuja oppeja, jotka saattavat johtaa vähemmän tuskallisiin virka-ajan ulkopuolisiin vianetsintäkokemuksiin.

Vastuulauseke: Tässä artikkelissa esitetyt näkemykset ovat kirjoittajien omia eivätkä välttämättä edusta minkään organisaation näkemyksiä, johon he ovat yhteydessä.

Lähteet

1. http://www.marines.mil/Portals/59/Publications/MCWP%203-11.2%20Marine%20Rifle%20Squad.pdf
2. http://www.marines.mil/Portals/59/Publications/MCWP%203-11.2%20Marine%20Rifle%20Squad.pdf
3. http://www.trngcmd.marines.mil/Portals/207/Docs/TBS/B2B2367%20Tactical%20Planning.pdf
4. Mitnick, Kevin D., ja William L. Simon. Ghost in the Wires: Seikkailuni maailman etsityimpänä hakkerina. Little, Brown & Co., 2012.
5. http://global.datacenterworld.com/dcwg18/Custom/Handout/Speaker0_Session1019658_2.pdf
6. http://www.trngcmd.marines.mil/Portals/207/Docs/FMTBE/Student%20Materials/FMST/209.pdf
7. https://www.stripes.com/news/pacific/drunk-marine-releases-fire-suppression-system-in-kadena-hangar-1.351940