Dubinska obrana koncept je sigurnosti informacijske tehnologije (IT) koji uključuje korištenje višestrukih slojeva sigurnosti kako bi informacije bile sigurne. Ovo se ne odnosi na korištenje određenih softverskih programa, već je metodologija “najbolje prakse” koja se može koristiti kao smjernica za osiguranje sustava. Postoje tri osnovne komponente za korištenje ovog pristupa — ljudi, tehnologija i operacije — a osiguranje sve tri komponente stvara snažno preklapanje u sigurnosti. Dubinska obrana temelji se na vojnom konceptu u kojem se raspoređeni slojevi obrane mogu koristiti za usporavanje napredovanja opozicije.
Osnovna ideja koja stoji iza dubokog pristupa obrani IT sigurnosti je da se za osiguranje podataka treba koristiti više slojeva zaštite. To znači da, iako skener virusa može biti jedan učinkovit način za sprječavanje zlonamjernog softvera, također bi trebao biti uparen s programom vatrozida, osjetljivi podaci bi trebali biti šifrirani i zaštićeni lozinkom, a korisnici bi trebali dobiti upute o najboljim praksama. Prakse “dubinske obrane” uspostavila je Američka agencija za nacionalnu sigurnost (NSA) kako bi zaštitila računalne sustave od mogućih napada.
Postoje tri primarne komponente u stvaranju dubinskog obrambenog sustava, a to su ljudi koji imaju pristup sustavu, korištena tehnologija i operacije ili upravljanje tim sustavom. Ljudi ne uključuju samo zaposlenike tvrtke, koji mogu biti ovlašteni za pristup osjetljivim podacima, već i one koji bi mogli napasti tvrtku i pristupiti informacijama ilegalno. Zaposlenike treba podučiti najboljim praksama, a vidljivo prisustvo sigurnosti treba vidjeti kako bi se pojačala važnost ljudi kao komponente IT sigurnosti.
Stvarna tehnologija koja se koristi u sustavu također je ključna za stvaranje dubinskog pristupa sigurnosti. To znači da softver treba biti pouzdan i provjeren od pouzdanih trećih strana koje su testirale softver. Potrebno je uspostaviti slojeve tehnološke sigurnosti, uključujući enkripciju, vatrozide, sustave za praćenje pristupa podacima i zaštitu računalnih terminala lozinkom. Operacije uključene u ovu vrstu projekta također su od vitalnog značaja, jer je učinkovito upravljanje ljudima i tehnologijom jedini način da se osigura da su ti sustavi na mjestu i da se pravilno koriste.
Dubinska obrana osmišljena je ne samo za bolju zaštitu informacija, već i za usporavanje i otkrivanje napada na tvrtku ili agenciju. Ovaj pristup priznaje da je napad pitanje “kada”, a ne “ako”, pa je sustav dizajniran da stvori slojevitu obranu kako bi usporio napad. Budući da napad traje dulje da se dovrši, drugi se sustavi mogu koristiti za njegovo otkrivanje. To omogućuje tvrtki ili agenciji da ne samo osiguraju podatke, već i identificiraju napadače koji pokušavaju nezakonito pristupiti tim podacima i djelovati protiv njih.