Hvaða 7 tegundir netöryggis eru til og af hverju skipta þær máli?

Netbanki sem hættir að svara, tölvupóstur sem lítur út eins og hann komi frá bankanum þínum en gerir það ekki, og skjár sem læsist með kröfu um lausnargjald. Þetta eru þrjár ólíkar árásir, og til að verjast þeim öllum þarf ólíkar tegundir netöryggis. Þegar fólk talar um „7 tegundir netöryggis" er það einmitt að lýsa því hvernig verjandi hlið tæknigeirans skiptir vinnunni upp í svæði sem hvert um sig ver ákveðinn hluta af kerfinu.

Ég ætla að fara í gegnum þessar sjö tegundir án tæknilegs orðaflaums, með dæmi sem hver sem er getur ímyndað sér. Í leiðinni færðu tilfinningu fyrir því hvar starfstækifærin liggja hér á landi.

Hvað gerir netöryggi eiginlega?

Netöryggi snýst um að halda gögnum, kerfum og fólki öruggu gegn árásum, þjófnaði og mistökum. Sumt af því er tæknilegt: að setja upp eldveggi, greina óvenjulega umferð, laga veikleika í hugbúnaði. Annað snýst um fólk og verkferla, því veikasti hlekkurinn er sjaldnast vélin heldur manneskjan sem smellir á vitlausan hlekk.

Til að setja þetta í samhengi: hugsaðu þér fyrirtæki í Reykjavík sem selur vörur á netinu. Það þarf að verja vefsíðuna sína, gagnagrunninn með kortaupplýsingum viðskiptavina, tölvupóst starfsfólks, og öppin sín í skýinu. Hver þessara þátta er eigin víglína, og þar koma tegundirnar sjö inn.

Tegundirnar sjö, útskýrðar með dæmum

1. Netöryggi neta (network security)

Þetta ver sjálft netið sem tengir tölvurnar saman. Eldveggir, greining á innbrotum og eftirlit með umferð falla hér undir. Dæmi: kerfi tekur eftir því að einhver reynir að tengjast innra neti fyrirtækisins hundrað sinnum á einni mínútu og lokar á tenginguna sjálfkrafa.

2. Öryggi forrita (application security)

Hér er verið að verja hugbúnaðinn sjálfan, oft áður en hann fer í loftið. Forritari sem gleymir að hreinsa innslátt frá notanda getur skilið eftir gat sem árásarmaður notar til að lesa gagnagrunninn. Öryggi forrita snýst um að finna og loka slíkum götum meðan verið er að smíða appið.

3. Öryggi upplýsinga (information security)

Þetta snýst um gögnin sjálf, hvort sem þau eru geymd eða á ferð. Dulkóðun er lykilatriði: ef fartölvu starfsmanns er stolið á kaffihúsi eiga gögnin á henni að vera ólæsileg þeim sem stal henni.

4. Rekstraröryggi (operational security)

Hér liggur áherslan á verkferla og ákvarðanir: hver má sjá hvaða gögn, hvernig aðgangi er úthlutað og afturkallað. Þegar starfsmaður hættir þarf aðgangur hans að hverfa strax, ekki mánuði síðar.

5. Öryggi í skýinu (cloud security)

Æ fleiri íslensk fyrirtæki geyma gögn hjá þjónustum eins og AWS, Microsoft Azure og Google Cloud. Öryggi í skýinu snýst um að stilla þessar þjónustur rétt. Algeng mistök: gagnasafn er skilið eftir opið öllum á netinu vegna rangrar stillingar, ekki vegna árásar.

6. Netvitund og fræðsla notenda (end-user education)

Tæknin ein dugir ekki. Ef starfsmaður smellir á vefveiðitölvupóst (phishing) og gefur upp lykilorð sitt, þá skipta bestu eldveggir litlu máli. Þjálfun fólks í að þekkja svindl er ein ódýrasta og áhrifaríkasta vörnin sem til er.

7. Neyðaráætlun og samfellda rekstrar (disaster recovery)

Þegar eitthvað fer úrskeiðis, hvað þá? Þessi grein snýst um að ná kerfum aftur upp, endurheimta gögn úr afritum og halda rekstri gangandi. Fyrirtæki sem verður fyrir lausnarhugbúnaðarárás og á gott afrit getur haldið áfram; það sem á ekkert afrit gæti þurft að borga.

Er netöryggi bara IT-starf?

Stutta svarið: nei, þótt það sé skylt. Netöryggi vex út frá upplýsingatækni en hefur þroskast í eigin svið með sínum eigin hlutverkum. Öryggissérfræðingur (security analyst), meinlekaprófari (penetration tester) og öryggisstjóri vinna öll með tækni, en líka með áhættumat, reglufylgni og samskipti við fólk sem skilur ekki tæknina.

Ef þú vilt sjá muninn í fljótu bragði:

	Hefðbundið IT-starf	Netöryggisstarf
Meginmarkmið	Halda kerfum gangandi	Verja kerfi gegn árásum
Dæmigert verkefni	Setja upp búnað, leysa vandamál notenda	Greina árásir, finna veikleika, afmarka tjón
Hugsunarháttur	„Hvernig fæ ég þetta til að virka?"	„Hvernig gæti einhver misnotað þetta?"
Dæmigerð hlutverk	Kerfisstjóri, notendaþjónusta	Öryggissérfræðingur, meinlekaprófari

Margir byrja reyndar í almennu upplýsingatæknistarfi og færa sig svo yfir í öryggi. Ef þú ert að velta fyrir þér hvort forritunarkunnátta sé skilyrði, þá er svarið blæbrigðaríkt eftir hlutverki, og við höfum farið nánar í það annars staðar.

Getur maður þénað vel í netöryggi?

Háar tölur á borð við 200.000 dollara á ári sjást aðallega í Bandaríkjunum og eiga þá við reyndustu sérfræðinga eða stjórnendur á stórum tæknifyrirtækjum. Á Íslandi er myndin önnur, en netöryggi er engu að síður vel launað og eftirspurnin er raunveruleg. Bankar, tryggingafélög, hugbúnaðarfyrirtæki og opinberar stofnanir þurfa öll fólk sem kann að verja kerfin sín.

Byrjandi kemst sjaldnast beint í hæstu launin. En launaþróunin er brött fyrir þá sem safna reynslu og vottunum, og fá svið bjóða jafn skýran feril fyrir þá sem eru forvitnir og úrræðagóðir.

Hvernig kemst þú inn á sviðið?

Þú þarft ekki háskólagráðu í tölvunarfræði til að byrja. Það sem skiptir mestu er skipulögð leið sem kennir grunninn í öllum sjö tegundunum og gefur þér verkefni sem líkjast raunverulegum aðstæðum. Ákafanám (bootcamp) er ein slík leið, sérstaklega fyrir fólk sem er að skipta um starfsvettvang og hefur ekki tíma í margra ára nám.

Ef þú vilt fá skipulagða þjálfun með leiðbeinanda getur þú skoðað netöryggisnámið hjá Code Labs Academy, sem tekur þig frá grunni upp í hæfni sem vinnumarkaðurinn kallar eftir. Fyrir þá sem vilja læra á eigin hraða með fjölskyldu og vinnu samhliða er líka til netöryggi í sjálfsnámi. Og ef þú ert enn að bera saman möguleika er gott að skoða úrval námskeiða og verðin áður en þú ákveður þig.

Netöryggi er ekki eitt fag heldur sjö samofin svæði, og þú þarft ekki að vera sérfræðingur í þeim öllum til að fá vinnu, aðeins að skilja hvernig þau vinna saman. Ef þér finnst spennandi að hugsa eins og sá sem ver kerfin, taktu þá fyrsta skrefið og kynntu þér netöryggisbootcamp Code Labs Academy.