Att tänka framåt för att eliminera nya risker

Initiativ nio i Comprehensive National Cybersecurity Initiative är intressant:

Define and develop enduring “leap-ahead” technology, strategies, and programs. One goal of the CNCI is to develop technologies that provide increases in cybersecurity by orders of magnitude above current systems and which can be deployed within 5 to 10 years. This initiative seeks to develop strategies and programs to enhance the component of the government R&D portfolio that pursues high-risk/high-payoff solutions to critical cybersecurity problems. The Federal Government has begun to outline Grand Challenges for the research community to help solve these difficult problems that require ‘out of the box’ thinking. In dealing with the private sector, the government is identifying and communicating common needs that should drive mutual investment in key research areas.

Detta är för stora organisationer självklart intressant och viktigt. Utan att direkt kommentera detta utan mer allmänt inom säkerhet tror jag att det är viktigt att tänka mindre än vanligt i detta avseende på lösningar och mer vilka hot och säkerhetskrav annan ny teknik och samhällsförändring kommer innebära. Jämför med vad jag refererade till den senaste metodiken jag arbetar på om än inte specifikt anpassad (men nog så tillämparbar) rörande riktad information i till exempel:

Ett modernt förhållningssätt till information i krigföring
Internetsäkerhet 2010 och framåt
Perceptio | Hedonimeter.org

Alltid att risken med direkt tillämpbara säkerhetslösningar när man tänker långt fram är att man hamnar i något tämligen komplext som löser mer än man behöver. Komplext i mjukvara liksom i allt annat är risk.

Däremot rörande jämfört mot faktiska applikationer mer underliggande och grundläggande teknik är på ett annat sätt relevant. Självklart för stora organisationer finns alltid specifika behov och för väldigt stora organisationer kan lösningar av sådant kräva många års arbeta inklusive forskning.

Några saker jag själv för en organisation av denna storlek i sig och ännu större vad man har ansvar för skulle föreslå är till exempel:

1. Lösning för att skapa närmast total överblick av alla säkerhetsprodukter och säkerhetslösningar som utvecklas i öppen källkod, kommersiellt eller på annat sätt finns att tillgå. Samt vilket är vad som mer är R&D hur värde skapas från det rörande problemlösning (betänk att DOD har ansvar även nationellt). Viktigast kanske här gäller också eliminering av risk där ju säkerhetsapplikationer är ett område i sig där saker inte sällan missas även lätt allmänt (t.ex. rörande kodbibliotek).

2. Effektiva lösningar för att snabbt verifiera respektive praktiskt korrigera säkerheten i ett nätverk där drift inte kan störas men där problem kan finnas, kan innebära en stor risk som ej hanterats eller där angrepp är misstänkta. Att allmänt missa en del i en stor arkitektur är självklart vad som inträffar och mer allmänt kan problemet uppstå utan för den arkitektur man har kontroll över. Här vill man med andra ord ha en tillfällig lösning som kostar väldigt lite att införa och praktiskt löser de flesta troliga problem. Det kan t.ex. vara ett par seriella servrar (ev. skalade) med olika säkerhetslösningar som läggs runt nätverk som behöver vara funktionella men har åtminstone misstänkta problem och hot.

3. Allt rörande alla de säkerhetsområden utanför vad som idag hanteras. Det handlar om vad jag kortfattat beskrev som internet warfare generation III och IV:

"Nytt för de flesta:

Säkerhetsproblem för sociala media som hanteras ofullständigt (7/29/2009) - Third generation internet warfare

Vad framtiden bär med sig:

Internetsäkerhet 2010 och framåt (1/26/2010) - Fourth generation internet warfare"

Från: Att lära medan man inför skydd mot internet warfare är bättre

Just den sista punkten är den jag tror många västländer föreställer sig att de har större kunskap och förmåga än vad som faktiskt är fallet.