Integritetsverifiseringer

Integritetsverifiseringer er prosesser og metoder som har som formål å bekrefte at data og systemer ikke har blitt endret, forringet eller skadet uten autorisasjon. Formålet er å opprettholde pålitelighet, konsistens og troverdighet i informasjonsbehandling gjennom hele livsløpet til data og programvare.

Omfanget inkluderer fil- og dataintegritet i lagrede og overførte data, programvare og systemer, samt hele leverandørkjeden og fysiske prosesser som påvirker informasjonens tilstand. Integritetsverifiseringer brukes både for daglig drift, programvareleveranser og sikkerhetsrevisjoner.

De vanligste teknikkene inkluderer kryptografiske hash-funksjoner som genererer en fast lengde verdi og som endres hvis innholdet endres (for eksempel SHA-256), og digitale signaturer som bekrefter avsender og integritet. Fil- og programvarepakker verifiseres ofte med checksums, signerte pakker eller GPG-signaturer. Kontinuerlig overvåking og revisjon av data og logger bidrar også til integritet.

I programvareutvikling er integritetsverifisering viktig i bygg- og distribusjonsprosesser, med praksiser som kode-signering, SBOM (software bill of materials) og reproducible builds. I driftsmiljøer verifiseres backupkopier, konfigurasjoner og systembilder mot kjente tilstander. I leverandørkjeden brukes provenance og kjede av spor for å redusere risikoen for kompromittert materiale.

Utfordringer inkluderer håndtering av nøkkelpar og risiko for nøkkelkompromittering, samt kostnader og ytelse ved kontinuerlig verifisering, og behovet for å sikre at verifiseringsdataene selv er beskyttet mot endringer eller bortfall.

Relevante standarder og praksiser stiller krav til integritetskontroller i organisasjoner, og dekker områder som kryptografiske mekanismer, logging og revisjon, og styring av sertifikater og nøkler. Dette emnet forbindes ofte med datasikkerhet, cybersikkerhet og programvareleveranse.