Compartimentarea

Originea

În Franța ocupată, între 1940 și 1944, rețelele de rezistență au învățat compartimentarea pe calea cea mai dureroasă. Primele rețele erau construite natural, ca orice grup de prieteni. Toată lumea îi cunoștea pe toți, ședințele se țineau în aceleași apartamente, listele de membri existau. Când Gestapo-ul aresta un singur om și îl interoga, cădea rețeaua întreagă. Rețeaua Interallié, una dintre cele mai mari din 1941, a fost desființată în câteva săptămâni după arestarea unei singure persoane care știa prea mult.

Lecția a fost codificată de serviciul britanic SOE și de organizațiile franceze în structura „celulei”. Grupuri de trei până la cinci oameni, în care fiecare membru cunoaște doar numele de cod al celorlalți din celulă și o singură persoană de legătură din afara ei. Agentul nu știa unde locuiesc ceilalți, nu știa ce fac celelalte celule, nu știa cine este șeful rețelei. Întâlnirile se fixau prin intermediari, mesajele prin cutii poștale moarte (fișa 8). Un om arestat putea trăda, sub tortură, cel mult patru sau cinci persoane, și nimic din ceea ce nu știa. Rețeaua supraviețuia pierderii oricărei celule.

În același timp, de cealaltă parte a oceanului, generalul Leslie Groves conducea Proiectul Manhattan cu același principiu, aplicat la o scară fără precedent. Zeci de mii de muncitori de la Oak Ridge și Hanford operau instalații uriașe fără să știe ce produc. Fizicienii de la Los Alamos lucrau pe fragmente ale problemei. Groves a scris mai târziu că împărțirea cunoașterii pe compartimente era însăși inima securității proiectului, fiecare om știind doar ceea ce îi era strict necesar pentru sarcina lui. Proiectul a rămas, în linii mari, necunoscut publicului și Congresului până la Hiroshima.

Și totuși, Klaus Fuchs, fizician cu acces la nucleul proiectului, a transmis Uniunii Sovietice detalii esențiale. Compartimentarea nu a împiedicat scurgerea. A limitat-o la ceea ce știa Fuchs și a făcut ca zeci de mii de alți oameni să nu poată scurge nimic. Aceasta este promisiunea reală a tehnicii, nu prevenirea, ci limitarea pagubei.

Surse: M. R. D. Foot, SOE in France (1966), cap. 4; Leslie R. Groves, Now It Can Be Told (1962), cap. 11; Richard Rhodes, The Making of the Atomic Bomb (1986), pentru cazul Fuchs.

Principiul

Compartimentarea pleacă de la o presupunere incomodă. Cineva din interior va fi compromis — nu neapărat trădător, poate păcălit de un e-mail, poate cu parola furată, poate cu laptopul lăsat în tren. Întrebarea nu este dacă, ci cât de mult poate fi pierdut atunci când se întâmplă.

Răspunsul este să proiectezi accesul astfel încât fiecare cont să vadă doar ce îi trebuie, ceea ce se numește principiul privilegiului minim. Contabila nu are acces la dosarele de personal, dezvoltatorul nu are acces la contabilitate, directorul nu are cont de administrator pe server. Apoi, compromiterea unui compartiment nu trebuie să deschidă următorul, iar rețeaua, serverele și datele sunt separate astfel încât un atacator care a intrat în laptopul unui agent de vânzări să nu poată ajunge, de acolo, la serverul de contabilitate. Și cunoașterea privilegiată este distribuită, pentru ca nimeni să nu știe tot, nici administratorul IT.

Compartimentarea și privilegiul minim sunt fundamentele pe care se construiește azi arhitectura numită zero trust — aceea în care nicio cerere, nici din interior, nu este considerată de încredere până nu este verificată. Zero trust adaugă peste ele verificarea continuă a identității și a dispozitivului; compartimentarea singură nu este zero trust, dar fără ea zero trust nu există. Rețeaua de rezistență din 1943 pusese temelia fără să aibă nevoie de cuvânt.

Amenințarea de azi

Aproape fiecare atac ransomware urmează același drum. Un angajat deschide un atașament sau introduce parola pe o pagină falsă, atacatorul obține controlul unui calculator obișnuit și de acolo „se mișcă lateral”, căutând alte calculatoare la care contul respectiv are acces, parole salvate, partajări de rețea deschise tuturor, și urcă treptat spre contul de administrator de domeniu. Într-o rețea plată, fără compartimente, drumul de la primul laptop la controlul total durează de obicei câteva ore. Într-o rețea compartimentată, atacatorul se oprește în primul compartiment, sau face suficient zgomot încercând să iasă încât este observat.

Al doilea scenariu este cel al accesului prea larg la date. În majoritatea firmelor românești de 20–100 de angajați, serverul de fișiere are un singur dosar partajat, la care au acces toți, cu dosarele de personal, contractele, listele de clienți și ofertele într-un loc. Un singur cont compromis, al oricui, înseamnă scurgerea întregului set de date personale al firmei și o notificare la ANSPDCP care trebuie să descrie toate categoriile de date afectate, pentru că toate erau accesibile.

Cazul Edward Snowden, din 2013, este exemplul extrem al aceleiași probleme. Un administrator de sistem contractual, cu drepturi largi de acces pentru motive tehnice, a putut copia un volum uriaș de documente care nu aveau nicio legătură cu sarcinile lui. Compartimentarea nu lipsea din politica NSA. Lipsea din implementare.

Cum o implementezi luni dimineață

Firma de 20 de oameni

Luați o foaie și faceți tabelul. Pe linii, fiecare angajat; pe coloane, fiecare sistem sau dosar important — contabilitate, personal, clienți, server, e-mail de administrare, bancă. Bifați cine are acces acum. Apoi, cu un alt pix, cine are nevoie. Diferența dintre cele două este lista de lucru pentru săptămâna aceasta.

Pe serverul de fișiere, înlocuiți dosarul unic cu trei sau patru dosare pe departamente, cu drepturi separate; dosarul de personal îl vede doar cine face salariile și directorul. Nimeni nu lucrează zi de zi cu un cont de administrator, nici administratorul IT, iar contul de administrator se folosește doar pentru administrare, separat de contul cu care se citește e-mailul. Puneți rețeaua de oaspeți, cu Wi-Fi-ul pentru vizitatori, telefoanele personale, imprimanta și camerele de supraveghere, pe un segment separat de calculatoarele de lucru. Orice router de business o face din două clicuri.

Firma de 500 de oameni

Rețeaua se segmentează pe zone — utilizatori, servere, administrare, producție, oaspeți — cu reguli explicite între ele și cu principiul că, implicit, nimic nu trece dintr-o zonă în alta. Controlul accesului se face pe roluri, cu revizuire trimestrială în care fiecare manager confirmă, pe lista lui, cine mai are nevoie de ce, iar conturile celor plecați se dezactivează în ziua plecării, nu „la următoarea curățenie”.

Administrarea se face de pe stații dedicate, izolate, de pe care nu se citește e-mail și nu se navighează pe internet. Datele personale sensibile, adică sănătate, salarii și evaluări, stau în sisteme separate, cu jurnalizarea fiecărui acces (fișa 12).

Unde eșuează

Fricțiunea naște ocoliri. Dacă oamenii nu pot ajunge la ce le trebuie, trimit fișierele pe e-mailul personal sau le pun pe un stick, iar compartimentarea prea strânsă creează un sistem paralel, necontrolat, mai periculos decât lipsa ei. Apoi este excepția permanentă — „dă-i acces lui Mihai până terminăm proiectul” devine acces pe viață, așa că orice drept temporar are o dată de expirare scrisă.

Rămâne administratorul care știe tot. Cineva trebuie să poată configura sistemul, iar acel cineva devine singurul punct de eșec. Soluția este regula celor doi (fișa 2) și jurnalizarea, nu iluzia că administratorul nu există. Rămâne și Fuchs — un om cu acces legitim la nucleu poate scurge nucleul. Compartimentarea limitează raza exploziei; nu o anulează. Iar rețelele de rezistență au eșuat și când compartimentarea era perfectă pe hârtie, dar oamenii, din prietenie, se întâlneau oricum. Procedura este cât de bună este disciplina.

Cadrul legal

Art. 5 alin. (1) lit. (c) GDPR (reducerea la minimum a datelor) și art. 25 (protecția datelor începând cu momentul conceperii și în mod implicit) cer, în esență, ca datele să fie accesibile doar celor care au nevoie de ele; art. 32 cere măsuri împotriva accesului neautorizat, iar un dosar partajat cu toată firma este un acces neautorizat în așteptare. Art. 21 alin. (2) lit. (i) din Directiva NIS2 cere politici de control al accesului și de gestionare a activelor. În ISO/IEC 27001:2022, controalele A.5.15 (controlul accesului), A.5.18 (drepturi de acces), A.8.3 (restricționarea accesului la informații) și A.8.22 (separarea rețelelor) sunt compartimentarea, pe articole.