De complexiteit ondermijnt de veiligheid van een systeem. Dit kan leiden tot een ondermijning van de, beschikbaarheid en performance. Dit onderwerp. “The worst enemy of security is complexity” is algemeen aanvaard binnen #Cybersecurity en systeem ontwerp.
~ Bovenstaande figuur illustreert de balans tussen complexiteit, performance en beschikbaarheid ~
Er zijn hierbij twee delen te onderscheiden met betrekking tot de aanpak:
- De bestaande omgevingen
- De nieuw te bouwen omgevingen
In dit artikel concentreren we op de complexiteit van bestaande omgevingen en hoe het risico van deze complexiteit kan worden gemitigeerd.
Het concept stappenplan is als volgt:
- Breng de kritische systemen in kaart
- Beoordeel deze op complexiteit, performance, beschikbaarheid en operationele kosten
- Documenteer het systeem en breng deze mogelijk onder in een CMDB (zie advies CMDB opzetten)
- Voer een risicoanalyse uit of review de oude risicoanalyse(s)
- Stel een plan op om de risico’s in te perken
- Documenteer het geheel zodat bij problemen snel alle informatie beschikbaar is voor een Root Cause Analyse (RCA)
Oude complexe (legacy) systemen vormen een security risico alsmede een risico m.b.t. beschikbaarheid en performance.
Case: Voorbeeld en kenmerken van een complex systeem
Kenmerken van een complex systeem: Een complex systeem bestaat vaak uit meerdere servers waarbij verschillende Operating Systemen aanwezig kunnen zijn. Verder zaak vaak aanwezig:
- Meerdere koppelingen (intern, extern)
- Batch verwerking van data
- Afhankelijkheden andere partijen (intern, extern)
- Meerdere software componenten
- Middleware
- Uitgebreide security op verschillende fronten
Operationele problemen (mogelijk): Regelmatig (grote) storingen, performanceproblemen, beschikbaarheidsproblemen, geen mensen beschikbaar met kennis van het systeem.
Operationele ondersteuning vraagt om een team van beheerders en functioneel beheerders. Met name als het een kritisch systeem is die een hoge beschikbaarheid dient te hebben krijgt men ook uitdagingen op het gebied van onderhoud (o.a. patches, life cycle management). Het bestaande change managementproces wordt hierdoor getoetst.
Aanpak: (i) Operationele kennis van het systeem in zijn geheel dient opgebouwd te worden. Deze kennis dient te worden gedeeld en in een team kunnen dan kleine verbeteringen worden doorgevoerd (low hanging fruit) om de operationele problemen te beperken. (ii) Dit geeft dan ruimte om structurele verbeteringen door te kunnen voeren (lage kosten met groot resultaat).
Resultaat: Betere samenwerking team, uitwisseling van informatie, vastlegging incidenten en problemen. Verbeterde beschikbaarheid en performance
De complexiteit ondermijnt veiligheid, beschikbaarheid en performance
Om dit verder in te kunnen perken is een goede monitoring van het systeem noodzakelijk waarbij een gelaagde aanpak wenselijk is.
Lees meer over monitoring