Şifrelemek kolay. Asıl iş anahtar

Yanlış soru

“Verileri şifreliyor musunuz?” her zaman evet yanıtını alan, bu yüzden hiçbir şey öğretmeyen bir sorudur. Disk şifrelemesi standarttır, internet üzerindeki trafik şifrelidir ve her büyük bulut hizmeti içine koyduğunuzu siz istemeden şifreler.

Bir şey öğreten soru şudur: bunu geri açan anahtar nerede duruyor ve ona kim ulaşabiliyor. Çünkü anahtarı kasanın yanında duran şifreli veri korunmuş değildir; yalnızca okunması daha zahmetlidir.

Bir denetim tam olarak bu farkın üzerine düşer. Kilit var mı diye değil, anahtar kimde diye.

Bir anahtarın durabileceği üç yer

Uygulamada üç modelle karşılaşırsınız ve aralarındaki fark teknik değil, yönetişimseldir.

• Anahtarı sağlayıcı yönetir. Bulut hizmetlerinde standart budur. Çalışır, iyi korunur ve uğraşmanız gerekmez. Öbür yüzü: sağlayıcının kendisinin ulaşamadığını gösteremezsiniz; çünkü bu sizin politikanızın değil, onların sisteminin bir özelliğidir.
• Anahtarı siz sağlayıcıya verirsiniz. Azure ve AWS bunu destekler: anahtarı kendiniz oluşturur, kullanıma verirsiniz. Yaşam döngüsünü izler, geri çekebilirsiniz. Anahtar yine de onların ortamındadır.
• Anahtar kendi donanımınızdadır. Bir donanım güvenlik modülü anahtarları cihazdan hiç çıkmayacak biçimde saklar. İşlemler cihazın içinde olur; dışarı çıkan sonuçtur, anahtar değil. Thales bunu sağlayan üreticilerden biridir ve anahtarın sağlayıcının dışında olduğunun gösterilmesi istendiğinde denetçilerin işaret ettiği model budur.

Üçüncü model ilk ikisinden pahalı ve daha zahmetlidir. Bir gerekçe olduğunda öneririz, etkileyici göründüğü için değil.

Bir denetim gerçekte ne sorar

Bir denetimde, bir DORA incelemesinde ya da NIS2 görüşmesinde algoritma neredeyse hiç konuşulmaz. Dört şey konuşulur ve dördü de idaridir.

• Anahtar nerede duruyor. “Bulutta” değil; hangi sistemde, kimin denetiminde ve hangi ülkede.
• Kim ulaşabiliyor. Yalnızca rol bazında değil, isim bazında; ve şu anda orada kimin çalıştığıyla uyuşan bir listeyle.
• En son ne zaman değiştirildi. Sekiz yıldır duran bir anahtar, başına hiçbir şey gelmemiş olsa da bir bulgudur.
• Kaybolursa ne olur. Bu soruyu kimse yanıtlayamıyorsa, o verinin yedeği teoriktir.

Bu dört soru pahalı donanım olmadan yanıtlanabilir. Kayıt olmadan yanıtlanamaz ve uygulamada iş tam orada aksar.

Anahtar ve yedek

Diğerlerinin toplamından daha sık karşılaştığımız tek bir hata var: yedek, yalnızca geri yüklemeye çalıştığınız ortamın içinde bulunan bir anahtarla şifrelenmiştir.

Bu, o ortamı kaybettiğiniz güne kadar iyi gider. O gün elinizde kimsenin açamadığı kopyalar kalır ve bunu düşünülebilecek en kötü anda öğrenirsiniz. Değiştirilemez yedekler bunu çözmez; onlar değiştirmeye ve silmeye karşı korur, anahtarı kaybetmeye karşı değil.

Bu yüzden yalnızca bir yedeğin geri gelip gelmediğini değil, sıfırdan kurulmuş bir ortama geri gelip gelmediğini test ederiz. Bu başka türden bir testtir ve daha sık sürpriz çıkarır.

Bu işte biz ne yapıyoruz

Şifreleme geliştirmiyoruz ve anahtar yönetimi yazılımı yazmıyoruz. Yaptığımız şunlar:

• Anahtarların nerede olduğunu haritalamak. Bir devralmada neredeyse her zaman ilk sürpriz budur: kimsenin sandığından fazladır ve bir kısmı kimsenin öngörmediği bir yerdedir.
• Erişimi sınırlamak ve kaydetmek. Kişi bazında, çok adımlı doğrulamayla ve sonradan okunabilir bir kayıtla.
• Değişimi planlamak. Bir anahtarın da sertifika gibi bitiş tarihi vardır. Bunları izler ve çok önceden haber veririz.
• Kurtarmayı var olan ortam olmadan test etmek. Sayılan test, hiçbir şey kalmamış gibi davranılan testtir.

Bunun daha geniş güvenliğe nasıl oturduğu siber güvenlik altında; kurtarma sürelerini nasıl kararlaştırıp gösterdiğimiz yedekleme ve süreklilik altında.

Donanım ne zaman anlamlı

Donanım tabanlı anahtar saklama, şu üçünden en az biri geçerliyse anlamlıdır.

• Mevzuattan ya da bir müşteriden gelen, anahtarların bulut sağlayıcınızın ortamının dışında olduğunun gösterilmesi gerektiğine dair bir gereklilik var.
• Kart verisi ya da bir standardın bunu açıkça istediği başka bir veri işliyorsunuz.
• Hiç kimsenin — sizin de dâhil — bir anahtarı okuyamayacağını, yalnızca kullanabileceğini gösterebilmeniz gerekiyor.

Üçü de geçerli değilse, iyi kayıt tutmakla birlikte bulut sağlayıcınızdaki anahtar yönetimi akıllıca olandır ve bunu söyleriz. Gerekliliği olmayan bir şeyi satın almak, bir sonraki açığa gitmeyen paradır.