Bảo mật như Bản sắc vs. Bảo mật như Độ bền vững: Vì sao trò đập chuột chũi đang thất bại

Trong một bài blog gần đây, kỹ sư bảo mật David Adrian vạch ra ranh giới rõ rệt giữa hai tư duy trong bảo mật sản phẩm: Bảo mật như Bản sắc và Bảo mật như Độ bền vững. Tư duy trước là tinh thần hacker—được văn hóa đại chúng tôn vinh, thúc đẩy bởi cảm giác hồi hộp khi tìm ra lỗ hổng bất ngờ. Tư duy sau là về việc xây dựng các hệ thống giữ nguyên tính chất ngay cả khi bị tấn công, nơi bảo mật chỉ là kỹ thuật tốt.

Adrian lập luận rằng tư duy bản sắc, dù có giá trị trong việc khám phá, có thể trở thành cái bẫy. Khi giá trị bản thân gắn với việc trở thành thám tử thông minh tìm ra lỗi bất ngờ, bạn bắt đầu từ chối những giải pháp không khớp với câu chuyện đó. Ông ví von với việc phong trào môi trường ban đầu từ chối các giải pháp công nghệ như năng lượng mặt trời giá rẻ và nông nghiệp năng suất cao—những giải pháp trông không đủ 'thân thiện môi trường', dù cuối cùng chúng cắt giảm khí thải nhiều hơn các chính sách được ưa chuộng.

Trong bảo mật, điều này thể hiện qua việc phụ thuộc quá mức vào các chương trình thưởng lỗ hổng (VRP) như mục tiêu cuối cùng. Đúng, VRP hữu ích—chúng tạo kênh cho báo cáo bên ngoài và nguồn dữ liệu ổn định. Nhưng Adrian khẳng định giá trị thực của VRP không phải là liệt kê mọi lỗi, mà là cung cấp thông tin cho chiến lược rộng hơn nhằm giảm tần suất lỗi theo thời gian. Nếu cùng loại vấn đề cứ lặp lại, bạn không tiến bộ; bạn chỉ vá nhanh hơn.

Ông đối chiếu điều này với mô hình SRE: khi một dịch vụ vi phạm SLO, đội SRE được trao quyền dừng công việc tính năng và sửa vấn đề hệ thống. Đó không phải trò đập chuột chũi; đó là xử lý nguyên nhân gốc. Đội bảo mật nên có thẩm quyền tương tự để can thiệp khi thấy các lớp lỗ hổng tái diễn.

Kết luận của Adrian: 'Chơi trò đập chuột chũi là thất bại.' Nếu chỉ số bảo mật của bạn chỉ là 'sự cố đã xử lý tăng đều', bạn không bảo mật gì cả—bạn chỉ đang bận rộn. Công việc khó khăn là làm cho những lỗi đó hiếm gặp ngay từ đầu.