Uma Breve História da SABSA | Parte 1 – 21 anos este ano
À medida que a SABSA chega ao seu 21º aniversário, vale a pena tirar alguns momentos para olhar para trás sobre seu nascimento e desenvolvimento. A primeira publicação da SABSA foi em outubro de 1996 na conferência compsec:
John Sherwood: “SALSA: Um método de desenvolvimento da arquitetura e estratégia de segurança corporativa”; COMPSEC 96, Londres, outubro de 1996.
SALSA? Isso mesmo - SALSA. Mas, mais sobre isso em pouco tempo. Então, de onde foi essa fonte? Foi do nada? Não, não é bem assim. As sementes foram plantadas um ano antes. Naquela época, no outono de 1995, eu trabalhava como consultor na sede da S.W.I.F.T. em La Hulpe, Bélgica.
A S.W.I.F.T. havia sido recentemente reorganizada para criar um novo departamento chamado Global Information Security (GIS) para abordar algumas questões levantadas pelos então auditores externos. Embora houvesse um Departamento de Inspeção por muitos anos (efetivamente uma função de auditoria interna), não havia nenhuma função de segurança explícita e proativa. O novo departamento foi criado para corrigir essa omissão.
Ele vai dizer muito sobre o status cultural e a popularidade da ‘Segurança da Informação’ na época que muitas pessoas diriam que ‘GIS’ era abreviação para “fazê-lo parar”. Essa era a reputação que a “Segurança da Informação” havia reunido ao longo de três décadas desde o seu surgimento no final da década de 1960. A equipe de segurança da informação corporativa foi vista (muitas vezes por uma boa razão) como o “departamento de prevenção de negócios”. “Não, você não pode fazer isso, não é seguro” foi o bordão que ganhou essa reputação em muitas organizações.
O recém-nomeado diretor de SS na S.W.I.F.T. (Erik Guldentops, anteriormente inspetor-chefe) estava interessado em garantir que essa má reputação fosse dissipada, e que a Segurança da Informação fosse vista como uma contribuição positiva para os negócios da S.W.I.F.T. Esse negócio foi, e ainda é, a transferência em uma escala global de vários trilhões de dólares por dia entre os maiores bancos do mundo. (Sim, esse número de dar água nos olhos está correto).
O mandato de Erik em sua nova nomeação era criar uma estratégia de segurança da informação de cinco anos e fazer com que o Conselho da S.W.I.F.T. aprovasse um orçamento significativo para alcançar esse objetivo. A moeda na época (pré-Euro) era o franco belga (BEF), que tinha uma taxa de câmbio baixa em relação ao dólar ou a libra esterlina. Assim, os números orçamentários tendiam a ser grandes, citados em milhões de BEFs (MBEFs) ou mega-BEFS como nos referimos carinhosamente a eles. Erik precisava justificar um orçamento multi-mega-BEF, para o qual ele precisava de um plano que pudesse ser mostrado ao Conselho.
Numa tarde de novembro cinza e chuvosa em 1995 eu estava trabalhando no meu escritório em La Hulpe e Erik veio me ver. “Olá John. O que você sabe sobre arquitetura de segurança? disse ele. “Bem”, eu disse “Eu sei que há um padrão ISO 7498-2 que fala sobre arquitetura de segurança OSI (interconexão de sistemas abertos). ISO 7498-1 é a descrição bem conhecida do modelo de arquitetura de rede OSI de 7 camadas, mas a parte 2, sobre arquitetura de segurança osi, é menos conhecida. E é só isso”. Então Erik me disse: “Por favor, procure e veja o que você pode encontrar porque eu preciso desenvolver uma arquitetura de segurança da informação para s.W.I.F.T.”.
Aqueles de vocês que são relativamente novos no jogo de pesquisa estarão pensando “Por que eles não apenas google-lo?” A resposta é: porque não havia tal coisa como o Google naqueles dias, ou HTTP, ou WWW. Havia uma ferramenta pública de pesquisa na internet chamada gopher, que pré-datava http e a World Wide Web como a plataforma estruturante de documentos. Usando gopher, não encontrei outras referências úteis à “arquitetura de segurança”. Vocês hoje não sabem a sorte que têm com as ferramentas agora disponíveis.
Então tivemos um ponto de partida: ISO 7498-2: OSI Security Architecture. O que é incrível sobre isso é que foi um modelo conceitual excepcionalmente sólido a partir do qual construir um modelo de arquitetura de segurança em larga escala e estrutura. Pode ter sido o único documento que encontramos, mas foi o melhor possível. Ele forma o coração da pilha em camadas SABSA até hoje.
Claro, nesta fase estávamos trabalhando em um modelo de arquitetura de segurança para S.W.I.F.T. Foi apenas um ano depois, quando publiquei o artigo na COMPSEC em Londres, que este trabalho foi apresentado fora da S.W.I.F.T. sob o nome SALSA. Sim, a primeira publicação foi chamada salsa, que representava a Sherwood Associates Limited Security Architecture. Foi a ideia de Andy Clark (coautor, juntamente com David Lynas, da Enterprise Security Architecture: A Business-Driven Approach) usar esse nome e nós gostamos. O artigo original foi publicado pela Elsevier Science em sua revista De Computadores e Segurança, como: “SALSA: Um Método de Desenvolvimento da Arquitetura e Estratégia de Segurança Corporativa”; Computadores & Segurança, Volume 15 Nº 6, 1996. Aparentemente esse artigo ainda está disponível hoje.
Algum tempo depois recebi uma carta de “cessar e desistir” de uma empresa agressiva de advogados de Nova York que alegava que eu estava abusando da marca registrada de seu cliente. O cliente tinha um pacote geral de software de negócios de mesmo nome. Eu resmuei e educadamente apontei que não havia conflito, mas uma carta ainda mais agressiva ameaçando a ação judicial se seguiu. Falei com Andy e decidimos que tínhamos duas escolhas: passar o resto de nossas vidas defendendo a ação ou mudar o nome. Adivinha o que fizemos. Pelo menos mostrou que o artigo publicado estava sendo lido. E assim, salsa tornou-se SABSA.
Desde a primeira síntese da estrutura da SABSA, os serviços de segurança têm sido um dos conceitos centrais mais importantes do trabalho. A referência ao padrão relevante é:
ISO 7498-2:1989: Sistemas de Processamento de Informações – Interconexão de Sistemas Abertos – Modelo de Referência Básica – Parte 2: Arquitetura de Segurança.
A ISO 7498-2 introduz o conceito de serviços de segurança, mecanismos de segurança e gerenciamento de segurança. Mais importante, deixa claro diferenciações e relações entre esses três conceitos. As principais relações conceituais descritas na ISO 7498-2, como extraída para a estrutura original de arquitetura de segurança em camadas SABSA, são resumidas na Figura 1.
Figura 1 - Núcleo ISO 7498-2 Relações Conceituais
Ampliamos o modelo ISO 7498-2 adicionando uma camada de negócios e uma camada estratégica acima da camada de serviços, adicionamos uma camada de produtos e tecnologias abaixo dos mecanismos e ampliamos o gerenciamento tanto para cima quanto para baixo para indicar que ele é necessário em cada camada do modelo. Assim, nasceu o primeiro modelo de arquitetura SABSA. Isso foi desenvolvido ainda mais em iterações subsequentes, mas mais do que isso mais tarde.
Figura 2 - Modelo em Camadas SABSA Original da Publicação de 1996
A história da SABSA agora se estende por 21 anos e teve muitos pontos de virada importantes ao longo do caminho. O que você vê hoje é o resultado de muito trabalho e entrada de muitas fontes diferentes. No próximo artigo do blog, seguirei esse caminho de desenvolvimento que tomou a SABSA desde os primórdios até os dias atuais. A Figura 3 mostra o quão longe este modelo original evoluiu, com vários backplanes de modelos e frameworks adicionais sobrepostos. As camadas agora são consideradas como “vistas” de acordo com os papéis e “pontos de vista” dos principais atores de cada camada.
Figura 3 – O modelo moderno sabsa meta