Uusi vuosi, uudet security-kujeet?

Vuosi vaihtui, odotetusti, ja saimme pyytämättä ja yllätyksenä karkausvuoden. Yksi työpäivä lisää!, ja paljon arkipyhiä samalla - täydellistä.

Mikään ei ole niin vaikeaa kuin ennustaminen, ja vielä vaikeampaa on tulevaisuuden ennustaminen. Tästä huolimatta päätin näin vuoden ensimmäisenä työpäivänä reflektoida hieman tämän vuoden odotuksia ja ajatuksia tietoturvan suhteen. Voidaan sitten pikkujoulun taksijonossa besserwisseröidä mikä meni pieleen, ja osuiko jokin ajatus häränsilmään.

Generatiivinen tekoäly tuo apuja, mutta vähemmän kuin toivottiin

Vuosi 2023 oli eittämättä ja väittämättä generatiivisen tekoälyn esiinmarssi. ChatGPT, Copilot-palvelut ja ylipäänsä suuret kielimallit löivät kaikki kanveesiin kyvykkyydellään. Samalla nähtiin aika rajujakin ennusteita tuottavuudesta, työpaikoista, ja tulevaisuudesta työstä.

Security Copilot lienee tämän vuoden odotetuimpia palveluita Microsoftilta tietoturvan osalta. Valmiiksi koulittu kielimalli, jota juurretaan organisaation omalla tietoturvadatalla - Käärijän sanoin,"Parketti kutsuu mua ku en oo enää lukossa!" Odotukset ovat kovat, mutta kiinnittäisin samalla huomion kahteen nyanssiin: mihin palvelu kykenee 1.0-versiossa, ja millä lisenssikustannuksilla? Olen inhorealisti, ja odotusarvot ovat kohtuulliset mutta maltilliset. Paljon hyvää, ja samalla paljon "äh, eikö se osaakaan.."-havaintoja.

Tämän kalenterivuoden aikana tulemme näkemään laajemmin generatiivisen tekoälyn hyödyntämisen ja kyvykkyyksien valjastamisen räätälöityihin ratkaisuihin. Security Copilot on valmistuote, joka suorittanee hyvin tietyt asiat. Muut tarpeet, joissa tekoälystä on hyötyä, voidaan taklata paikallisilla ja pilvi-hostatuilla suurilla (ja pienillä) kielimalleilla. Ollama.ai on tästä erinomainen esimerkki.

Enemmän yksityiskohtaisempia ratkaisuja

Muutama vuosi sitten, kun perustimme Not Bad Securityn, ennakoin, että joka toinen projekti olisi äärettömän haastava koneoppimiseen pohjautuva analytiikkaratkaisu tietoturvan optimointiin. Niitäkin on, mutta huomattavasti vielä vähemmän. Perusasioita laitetaan tämäkin vuosi kunton, ja siinä ei absoluuttisesti ole mitään pahaa - päinvastoin!, välillä on hyvä hoitaa perusasioita jotta syvällisemmät ja monimutkaisemmat hankkeet ovat mahdollisia.

Tälle vuodelle ennakoin enemmän yksityiskohtaisempia ratkaisuja - siinä missä aiemmin blankettina rakennettiin "vahvaa tunnistautumista käyttäjille", saatetaan nyt pohtia hyvinkin seikkaperäisesti ehdollista pääsyä Zero Trust-konseptissa. Vähintään yhtä tärkeä, mutta paljon enemmän yksityiskohtia.

Microsoftin joulukuussa julkaisema referenssiarkkitehtuuri viittilöi lupaavia suuntaviivoja. Sen osana julkaistu Security Adoption Framework (SAF) on mielenkiintoinen, ja siitä kannattaa omaan organisaatioon poimia parhaat osat.

Tietoturva kuuluu kaikille ja kaikkialle

Viimeisenä ennustuksena ei niinkään ole ennustus, vaan vahva näkemys viime vuodelta. Tietoturva kuuluu aivan kaikkialle, ja se tulee vastaan kaikille - kaikkialla. Ei ole arkkitehtuuria ilman tietoturvaa. Ei ole infraa tai Azure DevOps-pipelinejä ilman tietoturvaa. Ei ole autentikointia ilman pohdintaa tietoturvasta.

Aikoinaan, kun perehdyin pienenä poikana enemmän tietoturvaan, olivat tietoturvaprojektit todella isosti hands on-tekemistä. Ovat toki yhä, mutta eri tavalla. Nyt mukana on enemmän loogista arkkitehtuuria, pohdintaa vaihtoehdoista ja kyvykkyyksistä, ja lopulta päätösten perusteella järkevää tekemistä. Ennen wanhaan tehtiin hurjasti, ja usein palikoita piti koodailla atomeista itse kasaan - kunnes huomattiin, että oho, tehtiin silleen tyhmästi ettei tää toimi kuten ajateltiin.

Olen usein kuvaillut tietoturvan parissa tekemäämme työsarkaa käsitteellä "altaan syvästä päästä matalaan - ja takaisin", ja sitä se on myös tänä vuonna. Yhtäältä laajoja siveltimen vetoja taivaanrataan, ja samalla pientä ja tarkkaa pipertämistä etualalla. Tämä fundamentti tekemisen malli korostuu tämän vuoden aikana entisestään.

Turvallista vuotta kaikille!