Hur man bygger säker digital infrastruktur i skala med VM

VM i fotboll 2026 är inte som någon digital distribution som de flesta säkerhetsteam har hanterat tidigare. Det spänner över 16 städer i tre länder, tre olika jurisdiktioner och en patchwork av infrastruktur-ekosystem som aldrig varit avsedda att fungera tillsammans. Riskerna är inte begränsade till någon enskild arena eller system. De är distribuerade över en hel kontinent av sammanlänkade digitala tjänster.

De flesta storskaliga digitala system får månader, ibland år, på sig att förbereda sig innan de sätts i drift. Händelsestyrd infrastruktur får veckor. Och sedan körs den inför en miljard människor. Den kombinationen av komprimerade tidsramar, distribuerad äganderätt och global synlighet är inte en recept för noggrann säkerhetsplanering. Det är exakt den typen av miljö där hörn kapas och angripare vet det.

Detta är inte en grön fältbyggnad

Felet som de flesta människor gör när de tänker på att säkra en händelse som denna är att föreställa sig det som ett rent, specialbyggt system. Det är det inte. Det är befintlig stadinfrastruktur som har tillfälligt anpassats för turneringsbruk. Arenanätverk ansluter till leverantörssystem som ansluter till kommunala tjänster som ansluter till biljettplattformar. Varje fog är en potentiell felpunkt.

Stora idrottsevenemang skapar högt sammanlänkade miljöer där arena-infrastruktur, transport-system, biljettplattformar och kommunala tjänster blir tätt sammankopplade, vilket tillåter störningar i ett system att skada andra. Det är inte en hypotetisk situation. Det är vad som hände under vinter-OS i Pyeongchang, där en riktad attack mot en IT-tjänsteleverantör störde system under invigningsceremonin.

Stora evenemang kräver också att organisationer snabbt ansluter nya leverantörer, startar nya applikationer, utökar mobil kapacitet och ansluter system som normalt inte pratar med varandra. Var och en av dessa integrationer är en potentiell ingångspunkt. Och den säkerhetstestning som görs i början av förberedelserna reflekterar ofta inte den miljö som faktiskt finns när turneringen börjar.

De tre luckor som är viktigast

Över hotlandskapet för denna händelse sticker tre områden ut som konsekvent underskyddade.

• Leverantörs- och identitetsperimetern. Varje värdstad förlitar sig på tillfällig personal, underleverantörer, volontärer och utvidgade leverantörsnätverk. Snabb skalning skapar insider-sårbarhet, antingen det kommer från oaktsamhet, dålig säkerhets-hygien eller avsiktlig missbruk. När du inte kan fullständigt granska alla med tillgång, blir åtkomstkontroller den sista försvarslinjen, och de måste behandlas som sådana från dag ett.
• Konsumentinriktad autentisering. FBI har varnat för att hotaktörer aktivt skapar förfalskade FIFA-webbplatser för att stjäla inloggningsuppgifter, betalningsinformation och personuppgifter från fans, och har redan identifierat dussintals skadliga domäner som utger sig för att vara officiella VM-egenskaper. Forskare har noterat att risken på online-plattformar kommer från allt som ber användare att skapa ett konto, betala en avgift, logga in med ett socialt konto eller ange personuppgifter. Målet är alltid detsamma: stjäla inloggningsuppgifter, betalningsinformation och identitetsuppgifter. Bördan att skilja på säkra och bedrägliga kan inte falla på användaren. Det måste falla på plattformarna.
• Leverantörskedjans blindfläck. En Proofpoint-studie fann att 36 procent av officiella VM-sponsorer, leverantörer och partners inte har antagit den högsta nivån av e-postautentiseringskontroller. Det betyder att en stor del av det betrodda ekosystemet runt denna händelse är utsatt för domän-spoofing och imitation-attacker. Du kan bygga ett kulhålligt kärnsystem och fortfarande bli inträngd genom en catering-leverantörs komprometterade inloggningsuppgifter.

Fem saker som säkerhetsteam bör göra nu

VM presenterar en extrem version av ett problem som faktiskt är vanligt: bygga och säkra digital infrastruktur snabbt, under tryck, med ofullständig information. Dessa fem principer gäller oavsett om du stöder ett globalt idrottsevenemang eller lanserar en produkt nästa kvartal.

1. Börja med identitetsarkitektur, inte autentisering som monteras på senare. Definiera vem som får tillgång till vad innan den första koden skrivs. Behörighet bör vara den primära begränsningen. För många team behandlar autentisering som något som konfigureras efter att systemet är byggt, och då är de strukturella besluten som gör åtkomstkontroll svår redan inbyggda.
2. Behandla varje tredjeparts-integration som en hotvektor tills den bevisar motsatsen. En enda routing-förändring, en ny exponerad API-slutpunkt eller en modifierad brandväggsprincip kan skapa sårbarheter som är osynliga under normala driftsförhållanden. Kartlägg varje beroende i ekosystemet och granska det med samma skepsis som du skulle tillämpa på ett okänt externt system.
3. Tvinga MFA överallt, inklusive för tillfälliga och säsongsanpassade användare, men var medveten om vilken typ av MFA du distribuerar. Standard en-gångs-koder och SMS-baserad autentisering kan besegras av falska VM-webbplatser där angripare kan avlyssna koder i realtid genom en övertygande phishing-sida. Alternativt, phishing-resistent MFA, som pass-nycklar, stänger den luckan eftersom de är kryptografiskt bundna till den legitima domänen där de skapades. Valet av MFA är ett kritiskt beslut som bestämmer om din autentisering skyddar användare eller bara skapar en illusion av att göra det. 
4. Bygg för smidig degradering, inte bara intrångsförebyggande. I denna skala kommer något att bli komprometterat. Den verkliga frågan är om en komprometterad komponent kan skada resten av systemet. Segmentering av arenateknologi, operativ teknik och nätverk från företags-IT-infrastruktur är skillnaden mellan en innesluten incident och en som avbryter en globalt sänd match.
5. Enhetlig kundidentitet över alla kundinriktade beröringspunkter. Någon som köper en biljett bör inte behöva skapa separata konton på den officiella webbplatsen, mobilappen och en affiliate-webbplats. Utöver den friktion det skapar är fragmenterad identitet ett säkerhetsproblem eftersom varje ytterligare konto en fan skapar är en uppsättning inloggningsuppgifter som kan phishas, återanvändas, exponeras eller komprometteras. När identitet är isolerad över system finns det också ingen enda plats att övervaka för misstänkt beteende eller tillämpa konsekventa principer. En enhetlig inloggningserfarenhet är inte bara bättre för fansen, utan ger också säkerhetsteam en enda vy över vem som har tillgång till vad, över alla beröringspunkter, i realtid.  

Den bredare lärdomen

De flesta organisationer kommer aldrig att möta en distribution i VM-skala. Men den underliggande utmaningen är inte unik för mega-evenemang. Varje team som snabbt bygger upp infrastruktur, ansluter nya leverantörer eller skalar upp en produkt under tidsbegränsning möter samma grundläggande problem: säkerhetsbeslut fattade snabbt, med begränsad information, under förhållanden som ständigt förändras.

De team som hanterar det bra är inte de med de största budgetarna. De är de som behandlar säkerhet som en prioritet från början snarare än en checklista-punkt i slutet. VM är bara en mycket offentlig påminnelse om vad som händer när insatserna är höga och den disciplinen bryter samman.