I januar 2022 var IKT-sjef, Sondre Andersen i Sandefjord kommune øverste ansvarlig for en 5 år gammel portbasert brannmur som var i ferd med å bli utdatert. Han var på jakt etter en ny partner med datasikkerhet innebygget i DNA-et.
Hvem kunne levere den beste løsningen til den påkrevde fornyelsen av brannmuren? Andersen var helt sikker på en ting. Han ønsket en leverandør av datasikkerhet som setter filosofien bak Zero Trust ut i praksis.
– For mange er Zero Trust bare et «buzzord» som sjelden etterleves i praksis. I anbudsprosessen ba vi alle potensielle leverandører om å beskrive sitt forhold til Zero Trust. Her var Data Equipment ikke bare de eneste som inkluderte filosofien i løsningsforslaget sitt. De var spot on, forteller Andersen.
Hva innebærer IT-sikkerhet med Zero Trust?
- Zero Trust er en strategi for IT-sikkerhet som baserer seg på at man aldri skal ha tillit til datatekniske komponenter som PC-er, smarttelefoner, servere, IoT-enheter etc.
- Zero Trust er en cybersikkerhetsstrategi, hvor fokuset er å beskytte data og ressurser, uansett hvor de måtte befinne seg. Utgangspunktet er at du ikke har tillit. Derfor skal man kun gi tilgang til IT-systemer etter verifisering.
- Zero Trust utgjør ikke i seg selv en garanti for å unngå å bli utsatt for datainnbrudd og hacking. Men strategien gjør det så vanskelig som overhodet mulig å kompromittere en hel infrastruktur.
Tilganger gis basert i prinsippet om at den må være helt essensiell for at noen skal kunne gjøre jobben sin (The principle of least privilege).
Angrepsflaten til hackere blir minst mulig
Finner en inntrenger en svakhet i systemet, er sjansen stor for at innbruddstyven kan få tilgang til kritiske data. Den grundige tilgangskontrollen reduserer angrepsflaten til et absolutt minimum. Utgående tilgangskontroll gjennomføres på samme måte som inngående. Full inspeksjon av all tillatt trafikk, begge veier og logging av all datatrafikk, er sentralt i Zero Trust.
IKT-sjefen i Sandefjord hadde altså denne filosofien som et hovedkrav. Sondre Andersen ville ha Zero Trust og en brannmur som var moderne og appbasert. Han ønsket å være proaktiv, ikke reaktiv mot trusselbildet i dagens digitale verden.
Krigen i Ukraina aktualiserte dette ytterligere. I tillegg krevde IT-sjefen at den nye brannmuren skulle settes opp med fokus på kompatibilitet, merverdi og ikke minst ta hensyn til personvern og GDPR-lovgivningen.
Viktige kjennetegn ved Zero Trust:
- Utgangspunktet er at du allerede er kompromittert
- Du vet at eksterne og interne trusler eksisterer på nettverket hele tiden
- Nettverksplassering/lokasjon er ikke nok for å bygge tillit
- Alle enheter, brukere og kommunikasjon er autentisert og autorisert
- Regler for tillit må være dynamiske, og dannet på bakgrunn av så mange elementer som mulig
Les mer: Zero Trust handler om tillit
Du er kanskje også interessert i å lese om IoT og Zero Trust? Produsenten patcher ikke kjøleskapet ditt
IT-sjefen syretestet manuelle nødrutiner under utrullingen av brannmuren
Sandefjord kommune endte opp med å velge Data Equipment med fokuset på Zero Trust-strategien som tungen på vektskåla. Det var en stor og komplisert jobb som ventet.
På kort tid skulle 15.000 brukere fordelt på 170 lokasjoner i 230 systemer omlegges – fallhøyden var mildt sagt noe utenom det vanlige for kommunens IKT-apparat.
– Det var som å rive ut motoren av en bil i fart! Forteller Andersen.
Etter grundig forarbeid var det tid for utrulling av den nye brannmuren fra Palo Alto Networks . Alle som til daglig er avhengige av kommunens IKT-systemer var godt informert.
Andersen så også sitt snitt til å utnytte anledningen til en omfattende gjennomgang av kommunens øvrige sikkerhetsrutiner.
– Ettersom alle systemene var planlagt nede, oppfordret vi alle kommunens organer til å benytte sjansen til og syreteste manuelle nødrutiner og planverk, forteller IKT-sjefen i Sandefjord entusiastisk.
En systematisk og metodisk partner på IT-sikkerhet
Heldigvis kunne utrullingen konstateres som en suksess etter passering av "point of no return" og IKT-sjefen i Sandefjord kunne senke skuldrene.
– Data Equipment jobbet systematisk og metodisk uten et snev av stress og kaos. Det betrygget oss på en fantastisk måte gjennom hele dagen, og bekreftet inntrykket vårt om at vi har med profesjonelle folk å gjøre. I sum var vi operative dagen etter, oppsummerer Andersen.
IKT-sjefen kunne konstatere at implementeringen av den nye brannmuren med Zero Trust som utgangspunkt var vellykket. Nå vet han at IT-sikkerheten er ivaretatt i Sandefjord og står også i bresjen for et generelt sikrere offentlig IKT-Norge.
Sandefjord: En kommune rigget for fremtidens digitale trusselbilde
Hovedpilaren i kommunens overordnede sikkerhetsstrategi er IT-sikkerhet og personvern, og dette forankres i hele kommuneledelsen
Basert på Zero Trust-strategien jobbes det også kontinuerlig med å utvikle en god sikkerhetskultur i Sandefjord. Kommunen har til og med skapt seg et eget slagord: «På den sikre siden». Som et resultat av dette utfordrer også Sandefjord øvrige leverandører på at tiltak som gjennomføres skal være håndterbare for alle brukere.
– Vi føler at ting faller skikkelig på plass nå. Det er alltid en periode med omstilling for å justere seg inn, men vi har fått utmerket støtte fra Data Equipment. Så det har gått smertefritt. Sier Sondre Andersen, IKT-sjef i Sandefjord.Les også: Zero Trust og Zero Day når serveren ikke er oppdatert
– Når fagfolk velger fagfolk, blir gjerne resultatet et kompetent og suksessfullt samarbeid. I Data Equipment selger vi ikke hyllevare, vi selger kompetanse, sier rådgiver i Data Equipment, Øyvind Evjum.Om Sandefjord kommune:
Sandefjord er en av Vestfold og Telemark fylkes mest folkerike kommuner, med 65.000 innbyggere.1. januar 2017 slo kommunene Stokke, Andebu og Sandefjord seg sammen til én kommune.
