Softwarefirmaet ImmuneSecurity, der producerer software til overvågning af netværk, ønsker fremtidige kontrakter med eksempelvis regeringer og Nato. Derfor igangsætter selskabet nu en krævende ansøgningsproces, for at opnå det nødvendige sikkerhedscertifikat, der i øjeblikket ikke er opnået af nogen dansk virksomhed.
ImmuneSecurity har til formålet indledt et samarbejde med den amerikanske flykæmpe Boeing, der har stor erfaring inden for sikkerhedscertificering og skal hjælpe den lille virksomhed med testfaciliteter og ekspertise op til den eksamen, der skal bestås i et eksternt laboratorium.
Konkret kræves det, at ImmuneSecurity skal stille med omfattende dokumentation og gennemteste systemet ud fra fastlagte parametre. Denne test skal være reproducérbar af et eksternt, godkendt laboratorium, der gerne skulle få samme positive resultater, som ansøgeren, før certifikatet kan blive en realitet.
Certifikatet kommer i syv niveauer, der afspejler, hvor omfattende dokumentations- og testkravene til produktet har været og groft sagt, hvor sikkert det er.
»De syv niveauer siger noget om, hvor omfattende du har bevist, hvorvidt et produkt er sikkert. Jo højere man kommer op, desto mere skal man bevise,« siger Christian Have, der er vicepræsident for løsninger og integration hos ImmuneSecurity, til Version2.
Og den test er ifølge Christian Have meget svær at bestå i første omgang – medmindre man altså har én af verdens største flyproducenter til at hjælpe sig.
»Det, der er styrken ved samarbejdet, er, at vi med hjælp fra Boeing kan simulere hele ansøgningsprocessen, så den rigtige eksamen hos det eksterne akkrediteringsfirma mere eller mindre bliver en formalitet,« siger direktør for ImmuneSecurity Jesper Zerlang til Version2.
Anerkendt standard
Common Criteria (forkortes CC) er en sikkerhedsstandard, der anvendes til udstedelse af it-sikkerhedscertifikater. Certifikaterne findes i syv såkaldte EAL-niveauer (Evaluation Assurance Level), der bliver mere krævende jo højere tallet er.
Af kendte produkter, der har gennemgået den besværlige proces kan nævnes OS X 10.6 og Windows 7, der har certifikater på henholdsvis EAL3+ og EAL4+. Plusset dækker over, at produkterne overstiger forventningerne på nogle parametre, men ikke nok til at springe et helt niveau op.
ImmuneSecurity vil have deres produkt, LogPoint, godkendt til niveau tre på EAL-skalaen.
Tallet er et udtryk for, hvor gennemgribende produktet er blevet testet, før certifikatet er blevet givet og til perspektivering kan nævnes, at niveau syv er et krav til systemer, der kører på rumfartøjer, som skal ud i det ydre rum – eller som det bliver udtrykt på pressemødet:
»Når du er oppe i den kaliber, har du i bund og grund ført matematisk bevis for, at din software ikke kan crashe.«
LogPoint er et såkaldt SIEM-system, der overvåger netværk ved at ensrette forskellige log-data, som præsenteres brugervenligt og overskueligt. I realtid kan systemet alarmere administratorer om uhensigtsmæssig færden på netværket, hvad enten det er Facebook-browsing i arbejdstiden eller et indkommende DDoS-angreb.
Boeing og ImmuneSecurity er enige om, at LogPoint viser lovende potentiale inden for SIEM-branchen, og derfor er flygiganten klar til at sætte ressourcer af til at hjælpe den danske virksomhed med at få blåstemplet produktet. Det vil nemlig åbne for helt nye markeder.
Certifikat åbner militære døre
CC-standarden er bredt anerkendt heriblandt af flere regeringer, og er ofte et krav til systemer, der skal bære kritisk it-infrastruktur.
Idéen bag standarden er, at myndigheder og private it-sikkerhedskunder kan udarbejde en såkaldt ‘protection profile’, der specificerer sikkerhedskravene til en bestemt type løsning. Leverandører kan så søge at opnå et certifikat, der via tredjeparts tests i godkendte laboratorier garanterer at leve op til de krav.
Niveau tre ud af syv lyder måske ikke imponerende, men ifølge Christian Have, der er vicepræsident for løsninger og integration hos ImmuneSecurity, er der tale om et kvantespring fra niveau to-certifikater og til de krav, der stilles til niveau tre. Derfor regner ImmuneSecurity med, at certifikater vil give dem en konkurrencemæssig fordel.
»Mange af vores konkurrenter er nemlig kun på niveau to, så vi bliver med al sandsynlighed et mere attraktivt alternativ for organisationer som PET og Forsvarets Efterretningstjeneste, der typisk stiller de her krav,« siger Christian Have til Version2.
Ligeledes er niveau tre reelt det øverste trin på stigen, hvor det stadig er rentabelt for kommercielle virksomheder at få testet deres produkter. Prisen stiger ifølge Christian Have nemlig eksponentielt, når certifikaterne kommer op i de højere luftlag.
Jesper Zerlang forklarer, at certifikatet giver adgang til blandt andet at byde på Nato-udbud, der som regel kræver et EAL3-niveau før en leverandør overhovedet kan komme i betragtning.
Niveau 3 stiller ifølge Jesper Zerlang krav til, at det kan dokumenteres, at selv de mindste produkt-opdateringer lever op til standarden, og ved nye versionsnumre skal hele produktet recertificeres af et godkendt testlaboratorium, der kan efterprøve virksomhedens egne testresultater. Niveau tre er dermed i en anden liga end trinnet før, og derfor er det værd at investere kræfter i at opnå.
»Kunderne vil vide, at LogPoint har været igennem en mere udførlig verifikation og ikke blot en dokumenteret beskrivelse men rent faktisk har et eksternt uafhængigt bureau bekræftet, at LogPoint er udviklet og dokumenteret på et kommercielt meget højt niveau,« siger han.
Det er ImmuneSecuritys forhåbning, at certifikatet er i hus vil den 1. maj 2014.
Leave a Reply