Tell it to the Marines: Ledarskapsprinciper och nätverkssäkerhet

Det är efter arbetstid på en fredag. Du pratar med en fjärranställd om att installera en nästa generations brandvägg. Ingen trafik passerar genom nätverket och nu sitter du fast i projektet tills det är åtgärdat. Underhållsfönster utanför arbetstid på helgerna i syfte att förbättra cybersäkerheten kan vara några av de mest stressiga och riskfyllda projekten med låg moral som en organisation genomför. Risken och stressen kan dock minskas genom att tillämpa den planeringsmetod som används av United States Marine Corps (USMC) reservister. USMC:s planeringskoncept kan lätt anpassas till cybersäkerhetsprojekt, vilket ökar oddsen för framgång.

USMC:s taktiska planering fokuserar på att tillämpa sex truppledande steg. Detta är det grundläggande tillvägagångssätt som marinkåren använder för alla operationer. Marinsoldater har använt dessa steg (kända under akronymen BAMCIS) för att planera allt från marinkårens årliga födelsedagsbal den 10 november till ett angrepp på ett fientligt krypskyttebo. BAMCIS är en akronym för: BAMCIS är en akronym för ”Begin planning” (påbörja planeringen), ”Arrange for recognition” (ordna rekognoscering), ”Make recognition” (genomföra rekognoscering), ”Complete the plan” (slutföra planen), ”Issue the order” (utfärda order) och ”Supervise” (övervaka). Målet med BAMCIS är att samla in information, göra en plan, genomföra och se till att uppdraget lyckas.1

Med installationen av en brandvägg av nästa generations brandvägg som ett illustrativt scenario ska vi gå igenom dessa truppledande steg och identifiera hur de kan förbättra oddsen för att utrustningen ska fungera utan problem och minska chanserna för att tillbringa en hel helg med felsökning.

Steg 1: Börja planeringen

Uppdragsanalysen (eller projektplaneringen) börjar här. Den dag då grönt ljus ges är den dag då planeringen bör börja: Bestäm hur länge den parallella infrastrukturen behöver vara på plats. Identifiera vilka resurser som kommer att krävas under eventuella hot-cut-migreringar. Kvantifiera vilken inverkan den nya infrastrukturen för nätverkssäkerhet kommer att ha på organisationens användare. Förbered många frågor under detta steg. Du måste göra vissa antaganden om projektet för att kunna börja planera. Om fjärrkontoret ligger utanför USA måste språkbarriärer, kryptografiska exportrestriktioner och tullfrågor tas upp så tidigt som möjligt. Det är svårt att framgångsrikt installera infrastrukturen för nätverkssäkerhet om infrastrukturen eller ingenjören sitter fast i tullen!

Steg 2: Ordna rekognosering

I konventionell krigsföring är detta steg det steg där du skulle samla in information om fiendens storlek, kapacitet och svagheter. Men vad detta steg egentligen svarar på är frågan ”Vilken information saknar jag för att nå framgång? ”2 Använd alla tillgängliga samarbetsmetoder för att se till att all information som krävs för en framgångsrik utbyggnad av nätverkssäkerhetsinfrastrukturen upptäcks långt innan den tas i bruk. Fysiska krav, t.ex. ström och kylning, säkerhetsprinciper som kontrollerar tillgången till infrastrukturen och bilder av platsen bör inhämtas. Beroende på organisationen kan det bli ett projekt i sig att få de nödvändiga förtydligandena, men det är viktigt att få fram denna information för att lyckas.

Tänk också på den information som krävs från utrustningsleverantören. Oavsett om du köper nästa generations brandvägg direkt från leverantören och installerar den själv eller om du förlitar dig på en outsourcad lösningsleverantör, är det avgörande för framgång att få denna information innan den faktiska installationen av infrastrukturen.

Steg 3: Gör rekognosering

Det är här som ledningen använder alla tillgängliga tillgångar för att fylla eventuella informationsluckor efter att rekognosceringen har arrangerats. När det gäller nästa generations brandvägg är det här vi skulle analysera specifikationerna för att se till att det finns tillräckligt med utrymme, kraft och säkerhet. Cybersäkerhetsinfrastruktur som är placerad i ett vanligt rum med ett fallande tak, och bakom en dörr utan bakre skydd och inte i ett låst skåp är ett problem som väntar på att uppstå.3 Om din rekognoscering visar att platsen inte uppfyller de nödvändiga fysiska säkerhetsnormerna måste detta lösas innan du går vidare. Att nå ut till de team som påverkas av säkerhetsinfrastrukturen är nyckeln till att fylla informationsluckor som är nödvändiga för att förhindra en smärtsam helglång felsökning.

Steg 4: Komplettera planen

I steg ett formulerades många frågor och antaganden för att få planen på plats. Nu är det dags att besvara dessa frågor och granska alla dessa antaganden. Bli inte förälskad i din plan. En kollegial granskning är avgörande. När man till exempel skriver installationsprocedurer kan det ta fem minuter att hitta ett stavfel som rör anslutning av nästa generations brandvägg. Om det stavfelet inte hittas kan det ta många timmar att felsöka varför ingen trafik flödar. Börja fundera på alla potentiella felsteg i samband med installationen.4 Det sista man önskar är att vara mindre säker eller att underhållsfönstret överskrider förväntningarna, vilket skulle ha en omätligt negativ inverkan på organisationen. Den färdiga planen måste ta hänsyn till ändring av standardinloggningsuppgifter för administrativa konton, inaktivering av oanvända portar och tjänster samt leverantörens rekommenderade bästa praxis. Alltför ofta utelämnas dessa när man försöker få lösningen implementerad före deadline, så se till att inkludera dem i planen.

Steg 5: Utfärda ordern

De flesta militära operationer innebär att en ”Five Paragraph Operations Order” utfärdas. Detta är en tydlig och kortfattad sammanfattning av den viktigaste informationen som behövs för att genomföra operationen. Vi strävar efter att ha samma typ av tydliga och kortfattade instruktioner.5 All information för en framgångsrik utbyggnad av infrastrukturen för nätsäkerhet måste förmedlas till dem som utför arbetet. Detta inbegriper skriftliga instruktioner, användning av konferenssamtal, virtuella whiteboards och skärmdumpar. En bred kommunikationsplan kan lösa många problem innan de har en chans att bli problem. Även om ingen vill sitta fast i möten hela dagen efter det att de slutliga instruktionerna har skickats, bör man ta sig tid att se till att alla förstår varandra långt innan förändringen av infrastrukturen för nätsäkerhet påbörjas. Anta att ingen faktiskt läser dina e-postmeddelanden eller lyssnar på dina idéer i konferensrummet, ställ frågor till teammedlemmarna om planen och se till att de svarar med rätt svar!

Steg 6: Övervaka

Och utan övervakning ökar sannolikheten för att marinsoldater fattar dåliga beslut, t.ex. att inte dricka tillräckligt med vatten före en het ökenrunda på tre mil, eller att berusad utlösa ett brandlarm som täcker flera flygplan i skum.6 En ordentlig övervakning kan däremot leda till att marinsoldater fattar kloka beslut som förändrar historiens gång. Infrastrukturprojekt för nätverkssäkerhet är inte annorlunda. Övervakning är avgörande för att se till att arbetet utförs enligt plan och i enlighet med de fastställda standarderna. USMC anser att övervakning är det viktigaste elementet i ledningen av trupper. Övervakning är inte bara ledningens ansvar. Alla projektdeltagare är ansvariga för att säga ifrån när de observerar något otillfredsställande, t.ex. bristande dokumentation eller dåligt genomförande av en brandväggs regler för trafikfiltrering – när de ser det hända. Det är lätt att korrigera dokumentationen omedelbart efter genomförandet när en övervakare kräver insyn i hur brandväggen filtrerar trafiken. Det är svårt att korrigera den flera år senare när man ska felsöka varför en ny applikation filtreras felaktigt.

Desto mer teammedlemmar kan repetera ändringar i nätverkssäkerheten, desto mindre sannolikt är det att de drabbas av produktionsavbrott på grund av ändringarna.

Med tanke på ökningen av virtualiserings- och molnteknologier blir det allt lättare att repetera infrastrukturskapande projekt för nätverkssäkerheten i en kontrollerad miljö innan de släpps ut i produktionen. Precis som en befälhavare i en infanteribataljon skulle ingjuta värden som ”träna som du slåss, slåss som du tränar” i trupperna när de förbereder sig för strid, måste ledningen för organisationen ingjuta värden som rör korrekt testning och träning innan lösningar sätts i produktion. Ju mer gruppmedlemmarna kan öva på ändringar av nätverkssäkerheten, desto mindre sannolikt är det att de drabbas av produktionsavbrott på grund av ändringarna. De flesta skulle hålla med om att en ny marinsoldat måste lära sig grunderna i navigering på land i en kontrollerad träningsmiljö innan han förväntas navigera en patrull som är utplacerad i ett krigsområde. På samma sätt måste cybersäkerhetspersonal ges möjlighet att lära sig hur konfigurationen av deras nätverkssäkerhetsinfrastruktur kommer att påverka organisationens data i rörelse i en laboratoriemiljö innan den sätts in i produktionscyberrymden.

Även om varje organisation är unik är dessa sex truppledande steg, som har sitt ursprung i marinkåren, tillämpliga på andra organisationer. Även de mest civila organisationerna kan tillämpa några lärdomar från militären som bara kan leda till färre smärtsamma felsökningsupplevelser utanför arbetstid.

Hältighetsförklaring: De åsikter som uttrycks i den här artikeln är författarnas och representerar inte nödvändigtvis åsikterna hos de organisationer som de är associerade med.

Källor

1. http://www.marines.mil/Portals/59/Publications/MCWP%203-11.2%20Marine%20Rifle%20Squad.pdf
2. http://www.trngcmd.marines.mil/Portals/207/Docs/TBS/B2B2367%20Tactical%20Planning.pdf
3. Mitnick, Kevin D., och William L. Simon. Ghost in the Wires (Spöket i kablarna): My Adventures as the World’s Most Wanted Hacker. Little, Brown & Co., 2012.
4. http://global.datacenterworld.com/dcwg18/Custom/Handout/Speaker0_Session1019658_2.pdf
5. http://www.trngcmd.marines.mil/Portals/207/Docs/FMTBE/Student%20Materials/FMST/209.pdf
6. https://www.stripes.com/news/pacific/drunk-marine-releases-fire-suppression-system-in-kadena-hangar-1.351940