4 cara untuk menciptakan lingkungan yang tidak dapat dipercaya dalam layanan keuangan

Database


Gambar menunjukkan keamanan operasional

Selama bertahun-tahun, para profesional keamanan telah melindungi TI mereka seperti penjaga abad pertengahan yang menjaga kota bertembok—mereka membuatnya sesulit mungkin untuk masuk ke dalam. Namun, begitu seseorang melewati perimeter, seseorang memiliki akses yang murah hati ke kekayaan di dalamnya. Di sektor keuangan, ini berarti akses ke informasi pengenal pribadi (PII), termasuk “kumpulan data yang dapat dipasarkan” dari nomor kartu kredit, nama, informasi Jaminan Sosial, dan lainnya. Sayangnya, pelanggaran tersebut telah terjadi dalam banyak kasus dan berdampak negatif pada pengguna akhir. Contoh terkenal adalah insiden Equifax, di mana pelanggaran kecil menyebabkan pelanggan tidak senang selama bertahun-tahun.

Sejak itu, pola pikir keamanan telah berubah karena pengguna semakin banyak mengakses jaringan dan aplikasi dari mana saja, di perangkat apa pun, pada platform yang dihosting di cloud – membuat pendekatan keamanan point-to-point klasik menjadi usang. . Lingkungan telah berubah, begitu juga ketergantungan padanya sebagai penghalang pelindung.

Mengingat banyaknya data rahasia klien dan pelanggan yang dihadapi industri jasa keuangan setiap hari – dan peraturan yang ketat – keamanan harus menjadi prioritas yang lebih tinggi. Nilai yang dirasakan dari data ini juga membuat organisasi jasa keuangan menjadi target utama pelanggaran data.

Dalam artikel ini, kami mengeksplorasi pendekatan berbeda terhadap keamanan yang disebut zero trust yang dapat melindungi aset Anda dengan lebih baik.

Perubahan pola

Zero trust menawarkan paradigma baru untuk keamanan siber. Dalam lingkungan tanpa kepercayaan, diasumsikan bahwa lingkungan telah dilanggar. Tidak ada yang namanya pengguna tepercaya, dan tidak ada pengguna atau perangkat yang mendapatkan kepercayaan hanya karena lokasi fisik atau jaringannya. Setiap pengguna, perangkat, dan koneksi harus terus diverifikasi dan diaudit.

Berikut adalah empat konsep untuk menciptakan lingkungan tanpa kepercayaan.

1. Keamanan data

Simbol data

Meskipun mengamankan akses ke aplikasi perbankan dan layanan online sangat penting, database, yang mendukung aplikasi ini, adalah bagian penting dari menciptakan lingkungan yang tidak dapat dipercaya. Basis data berisi banyak informasi sensitif dan teregulasi organisasi, bersama dengan data yang mungkin tidak sensitif, tetapi sangat penting untuk kelangsungan operasi organisasi. Oleh karena itu, penting bahwa database siap dan mampu beroperasi dalam lingkungan tanpa kepercayaan.

Karena semakin banyak basis data yang pindah ke layanan berbasis cloud, salah satu aspek penting adalah memastikan bahwa basis data aman secara default – artinya aman di luar kotak. Pendekatan ini mengambil sebagian tanggung jawab keamanan dari tangan administrator, karena tingkat keamanan tertinggi sudah ada sejak awal, tanpa perlu perhatian dari pengguna atau administrator. Pengguna dan administrator harus secara aktif membuat perubahan agar dapat diberikan akses—tidak ada yang diberikan secara otomatis.

Karena semakin banyak lembaga keuangan yang menggunakan cloud, keamanan data dapat menjadi lebih kompleks. Tanggung jawab keamanan dibagi antara organisasi pelanggan sendiri, penyedia cloud dan vendor layanan cloud yang digunakan. Pendekatan ini dikenal sebagai model tanggung jawab bersama. Ini menjauh dari model klasik di mana TI harus memperkuat server dan keamanan dan kemudian harus mengeraskan perangkat lunak di atas—misalnya, versi perangkat lunak database—dan kemudian mengeraskan kode aplikasi yang sebenarnya.

Dalam model ini, perangkat keras (CPU, jaringan, penyimpanan) semata-mata merupakan domain dari penyedia cloud yang menyediakan sistem ini. Penyedia layanan untuk model Data-as-a-Service kemudian mengirimkan database ke klien dengan titik akhir yang ditentukan. Hanya dengan begitu tim pelanggan nyata dan pengembang aplikasi serta tim DevOps mereka akan berperan untuk solusi nyata.

Keamanan dan fleksibilitas di cloud hanya dimungkinkan jika semua orang jelas tentang peran dan tanggung jawab mereka. Ini adalah tanggung jawab bersama vendor cloud untuk memastikan bahwa produk mereka aman secara default, sementara mereka masih tersedia, tetapi juga bahwa organisasi mengambil langkah-langkah yang tepat untuk terus melindungi data yang mereka simpan di cloud. .

2. Otentikasi untuk pelanggan dan pengguna

Ikon yang mewakili pengguna

Di bank dan lembaga keuangan, ada fokus yang kuat pada otentikasi pelanggan, atau memastikan bahwa akses ke dana seaman mungkin. Namun, memastikan akses yang aman ke database juga penting di sisi lain. Organisasi TI dapat menggunakan berbagai metode untuk memungkinkan pengguna mengotentikasi diri mereka sendiri ke database. Seringkali, proses ini melibatkan nama pengguna dan kata sandi. Namun, mengingat meningkatnya kebutuhan organisasi jasa keuangan untuk menjaga privasi informasi rahasia pelanggan, langkah ini seharusnya hanya dianggap sebagai lapisan dasar.

Pada lapisan database, penting untuk memiliki keamanan lapisan transport dan otentikasi SCRAM, yang memastikan bahwa lalu lintas klien ke database diautentikasi dan dienkripsi dalam perjalanan.

Otentikasi tanpa kata sandi juga harus dipertimbangkan – tidak hanya untuk pelanggan, tetapi juga untuk tim internal. Ini dapat dilakukan dengan beberapa cara dengan database, misalnya, sertifikat yang dibuat secara otomatis mungkin diperlukan untuk mengakses database. Opsi lanjutan tersedia untuk organisasi yang telah menggunakan sertifikat X.509 dan memiliki infrastruktur manajemen sertifikat.

3. Pendaftaran dan audit

Dalam industri keuangan yang sangat teregulasi, penting juga untuk memantau lingkungan tanpa kepercayaan Anda untuk memastikannya tetap kuat dan mencakup database Anda. Basis data harus dapat merekam semua tindakan atau memiliki kemampuan untuk menerapkan filter untuk merekam hanya peristiwa, pengguna, atau peran tertentu.

Audit berbasis peran memungkinkan Anda untuk mencatat dan melaporkan aktivitas dengan peran tertentu, seperti userAdmin atau dbAdmin, bersama dengan peran apa pun yang diwarisi oleh setiap pengguna, daripada perlu mengekstrak aktivitas untuk setiap administrator individu. Pendekatan ini memudahkan organisasi untuk menerapkan kontrol operasional ujung ke ujung dan mempertahankan wawasan yang diperlukan untuk kepatuhan dan pelaporan.

4. Enkripsi

Dengan sejumlah besar data berharga, lembaga keuangan harus memastikan bahwa mereka menggunakan enkripsi – dalam penerbangan, saat istirahat, dan bahkan saat digunakan. Mengamankan data dengan tingkat konteks, enkripsi sisi klien memungkinkan Anda berpindah ke layanan terkelola di cloud dengan lebih percaya diri. Basis data hanya berfungsi dengan bidang terenkripsi, dan organisasi mengontrol kunci enkripsi mereka sendiri, bukan penyedia basis data yang mengelolanya. Lapisan keamanan tambahan ini memberlakukan pemisahan tugas yang lebih ketat antara mereka yang menggunakan database dan mereka yang mengelola dan mengelolanya.

Selain itu, karena lebih banyak data yang ditransfer dan disimpan di cloud—beberapa di antaranya sangat sensitif terhadap beban kerja—opsi teknis tambahan diperlukan untuk mengontrol dan membatasi akses ke data rahasia dan teregulasi. Namun, data ini masih perlu digunakan. Oleh karena itu, sangat penting untuk memastikan bahwa enkripsi data digunakan sebagai bagian dari solusi tanpa kepercayaan Anda. Pendekatan ini memungkinkan organisasi untuk menyimpan data sensitif dengan aman dan memenuhi persyaratan kepatuhan, sekaligus memungkinkan berbagai bagian bisnis untuk mendapatkan akses dan wawasan darinya.

Hasil

Di dunia di mana keamanan data menjadi semakin penting, organisasi jasa keuangan termasuk yang paling dirugikan jika data jatuh ke tangan yang salah. Meninggalkan mentalitas perimeter dan bergerak menuju nol kepercayaan—terutama karena semakin banyak layanan dan layanan cloud yang tertanam dalam infrastruktur—adalah satu-satunya cara untuk benar-benar melindungi aset berharga tersebut.

Pelajari lebih lanjut tentang menciptakan keunggulan strategis dalam layanan keuangan. Baca e-booknya sekarang.



Source link

Tinggalkan Balasan

Alamat email Anda tidak akan dipublikasikan. Ruas yang wajib ditandai *