Tilgjengelighet for kommersielle løsninger

Publisert: 08.04.2015

Da NSM publiserte krav til krypto for beskyttelse av BEGRENSET i 2004 var det blant annet på bakgrunn av ønske fra brukere om å ta i bruk tilgjengelige løsninger fra kommersielle leverandører. Kommersielle løsninger er som regel mer tilgjengelig enn spesialutviklede, men samtidig er man prisgitt hvordan leverandører endrer prioriteringer underveis.

Tradisjonelle kryptoløsninger og hvordan de utvikles er tidligere beskrevet i Sikkerhetsbloggen. I slike utviklingsløp har bruker avtale med leverandør slik at produktet blir vedlikeholdt (og kanskje også utviklet) i utstyrets levetid. Vedlikehold kan inkludere alt fra programvareoppgraderinger til oppfriskning av utstyrets farge. I tillegg inneholder slike avtaler som oftest også en garanti om leveranse av erstatningsutstyr når utstyr som ikke lenger kan vedlikeholdes, må kasseres. Dermed vet man hele tiden at man har nok tilgjengelig utstyr for å dekke de operative behovene sine.

Slik lovnad koster gjerne mye, fordi det krever at utvikler/leverandør vedlikeholder egen kompetanse og opprettholder produksjonskapasitet, spesielt når levetiden på utstyret og kapasiteten strekker seg over mange år.

Denne kostnaden har det vært ønskelig å redusere ved å benytte kommersielle løsninger der vedlikeholdskostnadene normalt spres på en større kundemasse. Og kostnadsreduksjon er en drivende, om ikke den eneste grunnen til å benytte kommersielle løsninger.

Dessverre glemmer man ofte at selv om man ønsker å redusere kostnaden til vedlikehold, må man ikke gi fra seg garantien om tilgjengelig kapasitet.

NSM har opplevd at produkter må erstattes fordi leverandøren ikke lenger tilbyr produktet eller løsningen som ble spesifisert i utviklingsløpet og godkjenningssøknaden. Når et prosjekt eller en driftsorganisasjon utvikler en løsning, må den testes og godkjennes før den kan tas i bruk. Dette, sammen med selve godkjenningsprosessen, kan ta lang tid. Dersom man ikke har kjøpt inn mange nok lisenser eller enheter i testfasen, og leverandøren trekker produktet fra markedet i mellomtiden, er det ikke sikkert at man har nok produkter å rulle ut når godkjenningen foreligger.

I noen tilfeller er det greit at man bytter ut produkter med nye. Som regel aksepterer NSM at man tar i bruk nyere versjoner av programvare, så fremt den opprinnelige versjonen var evaluert og sertifisert, og leverandøren har påbegynt evaluering av ny versjon.

Utfordringen er likevel at om man bytter ut et produkt med et annet, må man foreta de samme vurderingene på det nye produktet som det gamle. Dersom alt av evalueringer og sertifiseringer foreligger, vil dette være en relativt enkel jobb, men erfaring tilsier at det er få produkter innenfor ulike produktområdene som har nødvendig tillit til å benyttes i graderte systemer.

Og, det er ikke bare tiden det tar for en sikkerhetsvurdering av løsningen som tar tid. Som nevnt over må produktet eller løsningen kvalitetssikres før de tas i bruk. Dette er typisk interne tester og angår i hovedsak ikke NSM direkte, men gjennom krav til sikker drift er det forutsatt at man har gjennomført slike tester før nye løsninger tas i bruk.

Det er viktig at når man ønsker å ta i bruk (nye) produkter og løsninger, at det foreligger avtaler som dekker både support, vedlikehold og ikke minst krav om tilgjengelighet for produktet eller løsningen i den tiden løsningen er planlagt å benyttes. Disse kravene bør derfor adresseres allerede i anbudsfasen.

Og dersom man planlegger for at en løsning skal benyttes i tre år, sørg for at løsningen er tilgjengelig i seks, slik at man har tid til planlegging, testing og erstatning av løsningen med en ny. Den nye løsningen vil også garantert ta lengre tid enn forventet å få på plass…

comments powered by Disqus