Soru: “Güvenlik herkesin sorumluluğundadır” sözünün insanların güvenliğin kimsenin sorumluluğunda olmadığı hissine yol açmamasını nasıl sağlayabilirim?
Axonius’un CISO’su ve SANS Enstitüsü Öğretim Üyesi Lenny Zeltser: Bu özlü sloganın arkasında, kuruluştaki herkesin güvenlik programına katkıda bulunması fikri yatmaktadır. Resmi olarak güvenlik ekibinde yer alan çalışanlar bile bilgi varlıklarını kendi başlarına koruyamaz. Hizmetleri sunan, ürünler geliştiren ve güvenlikle ilgili kararlar almayı gerektiren çeşitli ticari faaliyetlerde bulunanlar, bu ekibin dışındaki kişilerdir.
Ancak sorumluluğun yayılması ilkesi İnsanların bir grubun parçası olduklarında muhtemelen başka birinin harekete geçeceğini düşündükleri için kendilerini daha az sorumlu hissettiklerini öne sürüyor. Bununla mücadele etmenin anahtarı beklentileri açıklığa kavuşturmak, insanları sorumlu tutmak ve paydaşlarla etkilenen öğeler arasında kişisel bir bağlantı kurmaktır.
1. Beklentileri Netleştirin
Aşağıdaki gibi bir sorumluluk matrisi kullanabiliriz: RACIGüvenlikle ilgili belirli faaliyetler için sorumlu, hesap verebilir, danışılması ve bilgilendirilmesi gereken tüm kuruluş genelinde kimleri yakalamak.
Siber güvenlik liderleri genellikle bir kuruluşun güvenlik programını tasarlar ve yönetir, dolayısıyla diğer çalışanlara güvenlik rehberliği sağlamaları gerekir. Teknik meslektaşların güvenlik ilkelerini projelere dahil etmesi, güvenlik açıklarını düzeltmesi ve teknolojiyi güvenli yollarla dağıtması gerekir. BT ekipleri, risk bazlı, üzerinde anlaşmaya varılan zaman çizelgelerine göre sistemlere yama uygular.
Tedarik veya hukuk ekipleri, satıcıların güvenlik incelemelerini tanımlanmış bir sürece göre dahil eder ve gerekli güvenlik gereksinimlerini sözleşmelere dahil eder. İK ekipleri yeni işe alınan kişileri belirli özgeçmiş kontrolü gerekliliklerine göre inceler.
Beklentileri belgelemenin ve diğer iş birimleriyle kendi dillerinde konuşmanın yanı sıra, bir sorumluluk matrisi oluşturmaya yol açan tartışmalar, anlaşmazlıkları veya kapsam boşluklarını ortaya çıkarabilir ve kuruluşa bunları çözme fırsatı verebilir.
Departmandan bağımsız olarak, bir kuruluştaki herkes bilgilerin doğru şekilde kullanılmasından, şüpheli etkinliklerin izlenmesinden ve rapor edilmesinden ve şirketin güvenlik korkuluklarını içeren yerleşik şablonların, kitaplıkların ve standartların kullanılmasından sorumludur.
2. Sorumluluğu Uygulamak
En iyi niyetle bile, asıl işi siber güvenlik olmayan kişiler bazen güvenlikle ilgili sorumluluklarını unutacak veya yerine getirmeyecektir. Bunu yapma şanslarını artırmak için üç yaklaşımın bir kombinasyonunu kullanabiliriz:
- Güvenlik beklentilerini hayata geçirin Güvenli olmayan seçimleri veya eylemleri önlemek için teknolojiyi kullanmak. Örneğin, yalnızca çalışanlara 2FA’yı etkinleştirmelerini hatırlatmak yerine, kullanıcı kimlik doğrulamasını iki faktörlü kimlik doğrulama (2FA) gerektirecek şekilde yapılandırın.
- Ciddi risklere karşı korkuluklar uygulayın İnsanlar kuruluşun makul olarak belirlediği sınırların dışında eylemlerde bulunduğunda. Örneğin, Terraform gibi kod olarak altyapı araçları, mühendislerin genel altyapıyı kontrol etmesine izin verirken kullanıcıların önceden onaylanmış modüller içinde özgürce çalışmasına olanak tanır.
- Boşlukları izleyin ve harekete geçin Doğru güvenlik adımları atılmadığında. Günlük toplama yoluyla güvenlikle ilgili etkinliklerin gözlemlenmesi ve sürekli uyumluluk izlemesi bunun bir parçasıdır. Örneğin, özgeçmiş kontrollerinin gerçekleştiğini doğrulamak için, kaçırılan çalışan taramalarını tespit etmek amacıyla İK ve özgeçmiş kontrol sistemlerini sorgulayabiliriz.
Pek çok güvenlik kontrolü arasında yama yönetiminin hesap verebilirliğini sağlamak özellikle zordur çünkü bu uygulama genellikle sorumlulukları birden fazla ekibe dağıtır. Yazılıma DevOps, BT, geliştiriciler, harici satıcılar ve hatta son kullanıcılar tarafından yama yapılabilir. Örneğin, hesap verebilirliği sürdürmek için BT ekibi çalışanların merkezi olarak yönetilmeyen onaylı uygulamaları yüklemesine izin verebilir, ancak uygulamaların güncelliğini yitirdiğini takip edebilir ve son kullanıcılara harekete geçmelerini hatırlatabilir.
3. Kişiselleştirin
Beklentileri iletmenin ve hesap verebilirliği zorlamanın yanı sıra, sorumluluğun yayılmasıyla mücadele etmenin bir başka yolu da kişi ile eldeki görev arasında kişisel bir bağlantı kurmaktır.
İnsanlar iş yerinde kullandıkları sistemlere alışırlar. Pek çok kişi şirket tarafından sağlanan dizüstü bilgisayarı “kendi” dizüstü bilgisayarı olarak düşünmeye başlıyor. Çalışma belgelerini sakladıkları klasörleri “kendi” klasörleri, özelleştirdikleri uygulamaları ise “kendi” uygulamaları olarak görüyorlar. Güvenlik ekibi, kişinin bu tür varlıklarla bağlantısını vurgulamak için bu eki kullanabilir, böylece ilgili güvenlik sorumluluklarını hatırlama olasılıkları artar. Örneğin:
- Son kullanıcıların yama uygulama sorumlulukları olduğunda dizüstü bilgisayarları için insanlara bunların onların sistemler. Dizüstü bilgisayarı en iyi durumda tutmak (örneğin, güvenlik yamalarını uygulamak için yeniden başlatmak), en iyi işleri yapmalarını sağlar.
- İnsanların projelere güvenliği dahil etmeyi hatırlamaları gerektiğinde veya tasarım tartışmaları, saklamanın faydalarını vurgulayın onların veri güvenliğini, bir güvenlik uzmanının tavsiyelerine uyarak elde etme olasılıkları daha yüksektir. Güvenlik risklerini önceden ele almak, kesinti olasılığını en aza indirecektir. onların proje.
- Meslektaşların verileri koruma ihtiyacını vurgularken üçüncü taraflarla paylaşıldığını unutmayın onların Gerekli güvenlik önlemlerine uyulmadığı takdirde etkileşimler tehlikeye girebilir.
Güvenlik sorumluluklarını paydaşlar arasında paylaştırırken, kuruluş personelinin ulaşmayı amaçladığı ortak iş hedeflerine de işaret edin. Başarılı olmak için çalışanların, kuruluşun iş hedeflerini ve güvenlik sorumluluklarının şirketin bu hedeflere ulaşmada nasıl yardımcı olabileceğini veya engelleyebileceğini anlamaları gerekir. Güvenlik görevlerini bu bağlamda çerçeveleyerek, güvenliği aslında herkesin sorumluluğu haline getiren bir güvenlik programı oluşturma olasılığınız artar.