Tietoturva-arkkitehtuuri, joka tulee rakennetuksi eikä vain suunnitelluksi.

Asiakkaiden tietoturvavaatimukset, tekoälyn kirjoittama koodi ja EU:n kyberkestävyysasetus nostavat ohjelmistotuotteiden tietoturvan rimaa. Liityn tiimiinne tekevänä tietoturva-arkkitehtina: suunnittelen tietoturvan ja rakennan sen yhdessä kehittäjienne kanssa.

Lähetä sähköpostia LinkedIn
Jarre Leskinen
Jarre Leskinen, CISSPTietoturva-arkkitehti

Miksi ohjelmistotiimit ottavat minut mukaan

  • Asiakkaat ja sääntely vaativat näyttöä tuotteenne tietoturvasta.

    Yritysasiakkaiden tietoturvakatselmoinnit, kyselylomakkeet, ISO 27001 ja nyt kyberkestävyysasetus (CRA).

    Ratkaisu

    Määrittelen tietoturva-arkkitehtuurinne ja rakennan kehitysprosessin, jossa tietoturva on osa työtä. Silloin vastauksenne kuvaavat sitä, miten ohjelmistonne oikeasti tehdään, ja voitte myös osoittaa sen.

  • Tiiminne kehittää tekoälyn avulla nopeammin kuin tietoturva pysyy perässä.

    Enemmän koodia, agentti-integraatioita sekä uusia tunnistautumis- ja luvituspolkuja.

    Ratkaisu

    Tietoturvan pitää olla osa sitä, miten ominaisuudet suunnitellaan ja rakennetaan, eikä vasta lopussa tehtävä tarkistus. Teen siitä luontevan osan tiimin prosessia suunnittelusta julkaisuun, jotta vauhti ei kasva hallinnan kustannuksella.

  • Tietoturvalta puuttuu kokenut vastuuhenkilö.

    Tietoturvatyö päätyy sille, jolla sattuu olemaan aikaa, ja kokeneen asiantuntijan rekrytointi kestää kuukausia.

    Ratkaisu

    Liityn tiimiinne 3⁠–⁠12 kuukaudeksi tietoturva-arkkitehdiksi tai -asiantuntijaksi. Vastaan priorisoinnista, rakennan suojaukset yhdessä kehittäjien kanssa ja jätän tiimille valmiudet jatkaa itse.

Tietoturva, joka rakennetaan tiiminne kanssa.

Olen Jarre Leskinen, tietoturva-arkkitehti, ja toimin itsenäisesti Ingritia Oy:n kautta. Autan ohjelmistotuotteita kehittäviä tiimejä sovellusturvallisuudessa, pilvi- ja Kubernetes-tietoturvassa sekä asiakastunnistautumisessa.

Taustani on ohjelmistokehityksessä. Siksi aloitan kehitysprosessistanne ja arkkitehtuurista enkä vain tarkistuslistasta, ja siksi jokaisen havainnon mukana tulee korjaus, joka sopii teidän teknologiaanne sekä tapaanne työskennellä. Jätän mieluummin jälkeeni osaavamman tiimin kuin pitkän raportin.

Nimi Ingritia tulee sanasta integrity, rehellisyys. Se on tässä työssä minulle tärkeintä.

Missä työskentelen

Sovelluskoodista pilveen asti. Turvallinen kehitysprosessi kulkee jokaisen kerroksen läpi.

  1. SovellusVerkkosovelluksetRajapinnatCI/CD-putket
  2. TunnistautuminenAsiakkaiden kirjautuminenOAuth 2.0 ja OIDC
  3. AlustaKubernetesInfrastruktuuri koodina
  4. PilviAzureAWS
Jokaisella kerroksella

Turvallinen kehitysprosessi

Uhkamallinnus, koodikatselmointi ja testaus osana CI/CD:tä

Näyttöä, jonka voi tarkistaa

KriittinenAutentikaation ohitus
oauth2-proxy

Löysin kriittisen autentikaation ohitus -haavoittuvuuden koodia lukemalla ja ilmoitin siitä ylläpitäjille.

GHSA-wr5q-7wxw-x568Tietoturvatiedote
KriittinenAutentikaation ohitus
Membrane API Gateway

Löysin kriittisen autentikaation ohitus -haavoittuvuuden koodia lukemalla ja ilmoitin siitä ylläpitäjille.

GHSA-9m3q-j7rj-q639Tietoturvatiedote

Miten työ alkaa

Useimmiten liityn tiimiinne tietoturva-arkkitehdiksi tai -asiantuntijaksi 3⁠–⁠12 kuukaudeksi, osa- tai kokoaikaisesti. Joskus työ alkaa pienemmästä, rajatusta sovelluksen, pilviympäristön tai asiakastunnistautumisen arvioinnista. Ensimmäinen askel on joka tapauksessa lyhyt puhelu siitä, mitä olette rakentamassa.

  1. Lyhyt puhelu

    Siitä, mitä olette rakentamassa ja mikä teitä tai asiakkaitanne huolettaa.

  2. Rajattu arviointi

    Sovellus, pilviympäristö tai asiakastunnistautuminen.

    Yleisin

    Paikka tiimissä

    Tietoturva-arkkitehtinne tai -asiantuntijanne 3⁠–⁠12 kuukaudeksi, osa- tai kokoaikaisesti.

Mitä paikka tiimissä tuottaa vuosineljänneksessä

Esimerkki
  1. Suunnittelu Maksupolun uhka­mallinnus
  2. Tiimin prosessi Tietoturva­katselmointi osaksi valmiin määritelmää
  3. terraform/k8s Podien tietoturva ja verkko­politiikat
  4. auth-service Pääsyavaimet ja turvallisempi tilin palautus
  5. docs/security Näyttö­aineisto asiakkaan tietoturva­katselmointiin

Kerro, mitä olette rakentamassa.

Lyhyt viesti riittää: mikä tuote on kyseessä, mikä teitä tai asiakkaitanne huolettaa ja milloin tarvitsisitte apua. Vastaan yleensä saman tai seuraavan työpäivän aikana.

hello@ingritia.fi LinkedIn
Jarre Leskinen
Toimeksianto käynnissä, otan vastaan uusia tehtäviä vuodelle 2027