Ny arkitektur for offentlig IT-sikkerhet

Cisco, EMC og Microsoft går sammen om «SISA»: en arkitektur for IT-sikkerhet i det offentlige.

Sikker bruk av IT-verktøy i det offentlige er en utfordring: Det er motivet bak dannelsen av SISA Alliance, med Cisco, Microsoft og EMC som de ledende partnerne.

SISA står for «Secure Information Sharing Architecture», altså arkitektur for sikker deling av informasjon.

Hensikten er å tilby en arkitektur som kan la offentlige organer bygge sikre IT-systemer uten samtidig å binde seg til én bestemt partner.

Arkitekturen legger opp normer for tjenester innen tilgangskontroll, vern av meldinger og dokumenter som skal utveksles innenfor systemet, vern av data, og vern mot innbrudd.

Innen tilgangskontroll spesifiserer SISA ikke bare hvordan brukere skal autentiseres, men også hvordan klientene – bærbare PC-er, mobiltelefoner – skal sjekkes før de slipper til i nettverket.

Innholdskontroll innebærer blant annet at alle meldinger – e-post med vedlegg, lynmeldinger og så videre – krypteres når de er i transitt. Det innebærer også at alle dokumenter ilegges rettighetsvern, slik at man har kontroll over hvem som har tilgang til dem. Systemet skal hindre ansatte fra å åpne e-post og dokumenter som de ifølge reglene ikke har tilgang til. De regulerer også tilgangen til informasjon i databaser.

Det presiseres at denne kontrollen skal gjelde uavhengig av både verktøy og formater som brukes til å utveksle meldinger og dokumenter: SISA skal kunne implementeres uavhengig av om en organisasjon velger Microsoft-formater eller åpne formater, og uavhengig av tekstbehandler, e-postklient og så videre.

Hensikten er å kunne bryte ned barrierene som heterogene miljøer i dag stiller mot sikker bruk av IT, og bygge opp IT-sikkerhet i flere lag: Selv om noen skulle greie å komme seg forbi noen sperrer, skal for eksempel beskyttelsen på hvert enkelt dokument sikre at følsom informasjon ikke kan komme på avveie.

SISA spesifiserer også vern mot metoder som vil kunne brukes av utro tjenere internt. Det legges blant annet opp til sentral kontroll av USB-utganger, også på bærbare PC-er, slik at man kan hindre brukere fra å laste ned klassifiserte dokumenter til bærbare lagre som USB-pinner og MP3-spillere. Det legges også opptil full kontroll over hva slags programvare som kan installeres i klienter som skal ha tilgang til et system.

Kontroll- og overvåkingstjenestene i SISA omfatter ordninger for rask sporing av forsøk på å oppnå tilgang til informasjon man ikke har adgang til.

SISA-alliansen tar sikte på å etablere ordninger for å sertifisere systemintegratorer. Det står mer om dette på alliansens nettsted.

Til toppen