Röda miljöer och säkra informationssystem

Vi hjälper er hela vägen från säkerhetskrav till fungerande röd miljö.

En röd miljö är inte bara en teknisk lösning

Säkerheten avgörs av helheten

När säkerhetsklassificerad information ska hanteras räcker det inte att välja rätt servrar, klienter eller säkerhetsprodukter. Tekniken är bara en del av den miljö som behöver fungera och kunna granskas som helhet.

En röd miljö berör exempelvis fysisk säkerhet, personalsäkerhet, administrativ säkerhet och informationssystem. Det innebär att tekniska och organisatoriska frågor måste hanteras tillsammans. Det är här komplexiteten uppstår.

Ladda ned produktblad
Två kollegor sitter vid sina bärbara datorer i ett mörkt rum.
Serverhall

Organisationen behöver bland annat kunna svara på:

  • Vilken information ska hanteras och vilka säkerhetskrav gäller?
  • Vilka hot och sårbarheter behöver hanteras?
  • Hur ska informationssystemet utformas?
  • Var ska system, servrar och användarplatser finnas?
  • Vilka personer ska få tillgång och vilka roller och behörigheter behövs?
  • Hur ska information kunna föras in och ut ur miljön?
  • Vilken dokumentation krävs?
  • Hur verifieras att kraven verkligen är uppfyllda?
  • Hur ska miljön ackrediteras och granskas?
  • Hur ska systemet driftas, förvaltas och förändras efter driftsättning?

Den största risken finns ofta mellan delarna

En tekniskt säker lösning kan ändå få problem om dokumentationen inte håller, ansvarsfördelningen är oklar, den fysiska miljön inte motsvarar kraven eller driftorganisationen inte är förberedd.

Områden som behöver hanteras är bristande säkerhet, regelefterlevnad, insiderhot, systemavbrott, förändrade hotbilder och genomföranderisker. Även risken att säkerhetsnivån låses för tidigt eller att ansvarsfördelningen under uppbyggnaden blir otydlig.

Därför behöver en röd miljö byggas som ett sammanhängande säkerhetssystem, inte som ett isolerat IT-projekt.

En sammanhållen väg från behov till ackrediterad miljö

Vi håller ihop teknik, säkerhet, människor och processer

Combitech driver etableringen som ett införandeprojekt för röd miljö, där rätt specialistkompetenser kopplas in under projektets olika delar.

Arbetet organiseras kring fem huvudområden: ackreditering, dokumentation, informationssystem, fysisk säkerhet och säkerhetsförvaltning, med gemensam projektstyrning, beslutspunkter, riskhantering, samordning och ändringshantering.

Kvinna skriver på whiteboard

Från första frågan till fungerande drift

Ett typiskt införande följer fem steg:

1. Analys – förstå verksamheten innan lösningen bestäms:

Vi börjar med verksamhetsanalys, regelverksanalys samt hot- och sårbarhetsanalys. Tillsammans skapar vi en övergripande design och ett beslutsunderlag som visar vad miljön behöver klara.  

2. Krav – gör säkerhetskraven konkreta:

Krav sammanställs, tolkas och fördelas på teknik, lokaler, processer och organisation. Den övergripande designen utvecklas till en realiserbar lösning och arbetet med nödvändig assurans- och ackrediteringsdokumentation planeras.

3. Realisering – bygg hela miljön, inte bara IT-systemet:

Informationssystemet konfigureras och byggs samtidigt som den fysiska miljön, säkerhetsförvaltningen och dokumentationen etableras. Det kan exempelvis innebära systemarkitektur, brandväggar och andra säkerhetskomponenter, lokaler och zoner, härdade klienter, användarroller, loggning, behörigheter, driftorganisation och arbetsrutiner.

4. Granskning – bevisa att lösningen uppfyller kraven:

System och processer verifieras genom funktionella tester, säkerhetstester och penetrationstestning. Dokumentationen granskas och underlag tas fram för relevant granskning, samråd och ackreditering.

5. Drift – gör säkerheten hållbar över tid:

När miljön tas i drift övergår fokus till behörighetshantering, säkerhetsförvaltning, support, förändringshantering och livscykelhantering. En planerad framtida drift är dessutom en viktig del redan under införandet. Delar som behöver hanteras är utbildning, drifthandböcker, arbetsplatser, tillgänglighet, redundans och testmiljöer.

Safezone är en del av lösningen, inte hela lösningen

I ett införandeprojekt kan Safezone användas som den produktifierade tekniska plattformen för säker informationshantering.

Safezone erbjuder bland annat funktioner för identitets- och åtkomsthantering, isolerade virtuella användarmiljöer samt kontrollerad import, export och delning av data.

Den tekniska arkitekturen kan samtidigt anpassas till verksamhetens behov; exempelvis val kring klientplattform, tvåfaktorslösning, logg- och analysplattform, backup samt andra tekniska komponenter.

Det viktiga är alltså inte att installera en viss produkt. Det viktiga är att etablera en miljö där teknik, säkerhet, människor och arbetssätt tillsammans uppfyller de krav som verksamheten ställer.

Läs mer om Safezone här.

Cybersecurity ikoner svävar ovanför bärbar dator.

En säker miljö som går att använda, granska och förvalta

Från projekt till förmåga:

  • Ni får mer än ett installerat system: Målet med införandeprojektet är inte bara att få tekniken på plats. Målet är att skapa en säker miljö som verksamheten kan använda och organisationen kan ta ansvar för över tid.
  • En väg genom komplexiteten: Ni får en sammanhållen process där krav, arkitektur, fysisk säkerhet, ackrediteringsarbete, dokumentation, test och driftplanering hanteras tillsammans.
  • Risker upptäcks innan de blir dyra problem: Genom att analysera verksamhet, regelverk, hot och beroenden tidigt minskar risken för att fel säkerhetsnivå, arkitektur eller fysisk lösning byggs in från början.
  • Rätt kompetens vid rätt tidpunkt: Etableringen kan kräva kompetens inom allt från ackreditering och IT-säkerhetsarkitektur till fysisk säkerhet, penetrationstestning och säkerhetsförvaltning. Införandemodellen samlar dessa kompetenser inom ett gemensamt projekt.
  • En miljö byggd för drift, inte bara för projektavslut: Drift och förvaltning planeras redan under införandet. Dokumentation, roller, behörigheter, drifthandböcker, utbildning och rutiner etableras innan övergången till drift.
  • En teknisk lösning som kan anpassas: När Safezone används kan plattformen kombineras med valbara tekniker för exempelvis användarplattform, autentisering, logghantering och backup. Dessutom isolerade virtuella klienter, tvåfaktorsautentisering och separation mellan projekt och användargrupper.

Resultatet är inte bara ett system. Det är en etablerad säker förmåga.

Behöver ni etablera eller modernisera en röd miljö?

Oavsett om ni befinner er i ett tidigt behovsskede eller redan har definierade krav kan vi hjälpa er att reda ut nästa steg. Kontakta oss!

Thomas Johnson

Business Development Analyst

thomas.johnson@combitech.com
073-437 21 51

Shaping a smart and resilient society

Vi på Combitech accelererar utvecklingen av ett smartare, mer hållbart och mer motståndskraftigt samhälle. Genom att kombinera vår solida erfarenhet och kunskap från försvars- och industrisektorn säkerställer vi att verksamheter, samhällen och vårt totalförsvar står stadiga inför framtidens utmaningar och möjligheter.

Shaping a smart and resilient society

Vi på Combitech accelererar utvecklingen av ett smartare, mer hållbart och mer motståndskraftigt samhälle. Genom att kombinera vår solida erfarenhet och kunskap från försvars- och industrisektorn säkerställer vi att verksamheter, samhällen och vårt totalförsvar står stadiga inför framtidens utmaningar och möjligheter.

Vårt erbjudande

Karriär

Kontakta oss

Adress: Ljungadalsgatan 2, SE-352 46 Växjö

E-post: info@combitech.com

Telefon: 010-216 90 00

Följ oss