Her kuruluş bir siber saldırı riski altındadır, ancak her kuruluş riski farklı şekilde ele alır. Hiç kimse KOBİ’lerin siber güvenlik konusunda büyük bir kuruluşla aynı yaklaşımı benimsemesini veya eski bir kuruluşun bir startup ile aynı risk iştahına sahip olmasını beklemiyor. Benzer şekilde, bir kuruluşun kendisini saldırılara karşı nasıl savunacağı, büyüklüğü, endüstri türü, tedarik zinciri kaynakları, dış kaynak kullanımı ve uzaktan çalışma yaklaşımı ve küresel mevcudiyeti gibi çeşitli faktörlere bağlıdır.
Birbirinden çok farklı üç sektörden güvenlik liderleri, ilgili siber güvenlik programlarını tartışmak için Dark Reading ile bir araya geldi.
John McClure, Amerika Birleşik Devletleri’nde yaklaşık 200 televizyon istasyonu, akış ve dijital platform ve neredeyse iki düzine spor yayınıyla büyük bir yeni ve spor yayıncılığı sağlayıcısı olan Sinclair Broadcast’ta CISO’dur. McClure, Sinclair’in herhangi bir kuruluşun karşı karşıya olduğu siber güvenlik tehditlerinin çoğuyla karşı karşıya olsa da acil durum yayın sinyalleri taşıdığı için kritik altyapının bir parçası olarak kabul edildiğini söylüyor. McClure’un son beş yılda gördüğü zorluklardan biri, ağ sınırlarının ortadan kalkması ve insanların çalışma biçimleri değişmeye devam ettikçe ağı korumanın yollarını bulmasıdır.
Doug Shepherd, 60’tan fazla ülkede 90.000 çalışanı bulunan dünya çapında bir ticari emlak şirketi olan Jones Lang LaSalle’de (JLL) saldırı güvenlik hizmetleri ekibinin kıdemli direktörüdür. Shepherd, uzun bir süre JLL’nin bir şirketten çok bir marka olduğunu, ancak son yıllarda JLL modeli altında daha uyumlu ve birlikte çalışan bir hale geldiğini açıklıyor. Shepherd, şirketin siber güvenlik endişelerinin, tüm farklı ofis ağlarını birleşik bir modele entegre etme ve bireysel güvenlik uygulamalarını şirket çapında tek bir politikada birleştirme etrafında döndüğünü söylüyor.
Luis Cunha, dünya çapında 165 üretim tesisinde 170.000 çalışanı olan bir otomotiv teknolojisi şirketi olan Aptiv’de güvenlik mühendisliği direktörüdür. Cunha, Aptiv için operasyonel teknoloji güvenliğinin bilgi teknolojisi kadar önemli olduğunu ve tüm teknolojilerde uç nokta güvenliğinin büyük bir endişe kaynağı olduğunu söylüyor.
Güvenlik Ekibinin Büyüklüğü
Güvenlik ekibi söz konusu olduğunda “doğru” boyut yoktur. Bazı kuruluşların büyük ekipleri vardır ve diğerleri küçük ekipleri dengelemek için üçüncü taraf sağlayıcılarla ortaklık kurar. Sinclair, JLL ve Aptiv’de bu fark çok açık.
Shepherd, JLL’ye ilk geldiğinde, güvenliğin çoğu dışarıdan temin ediliyordu ama şimdi güvenlik ekibinde 100 kişi var, diyor. Ancak Shepherd, şirketin büyüklüğü göz önüne alındığında ekibin biraz küçük olduğuna inanıyor.
Böyle dağıtık bir şirkette dış kaynak kullanımı, her ofisin kendi politikalarını belirlemesi anlamına geliyordu. JLL’nin güvenliği birleştirme konusuna odaklanması, dış kaynak kullanımından uzaklaşma kararı almasına neden oluyor. Shepherd, amacın dış kaynak kullanımına bağımlılığı azaltmak ve nihayetinde doğrudan güvenlik personeli ile çalışan yüklenicileri işe almak olduğunu söylüyor.
Sinclair’den McClure kesin rakamlar vermedi – sadece güvenlik ekibinin sektör ortalamasını karşıladığını söylüyor. Sinclair’de güvenlik hem şirket içinde hem de dışarıdan temin edilir. McClure, Sinclair’in, tehdit avcılığı gibi şirket içinde işe alınması ve elde tutulması zor olan beceriler için dış kaynak kullanımına güvendiğini söylüyor.
Cunha’ya göre, bir yıl önce mühendislik ekibindeki beş kişiden, güvenlik ekibinde 35 kişi bulunan Aptiv de var. Cunha, Aptiv’in çok fazla dış kaynak kullandığını ve bunun da kuruluşun çevikliği ve esnekliği üzerinde etkisi olduğunu düşünüyor. Cunha, dış kaynak kullandığınızda, güvenlik sorunlarına hızlı bir şekilde tepki verme ve değişiklik yapma yeteneğinizi kaybettiğinizi söylüyor.
Güvenlik Teknolojisine Yatırım
Bir kuruluşun ne tür güvenlik teknolojilerine yatırım yapacağı, düzenleme ve uyumluluk gereklilikleri, kuruluşun gördüğü tehdit türleri ve teknoloji yığını gibi faktörlere bağlıdır. Kuruluşlar operasyonlarının çoğunu buluta taşıdıkça, bulut güvenliğine yatırım yapıyorlar. Dağıtılmış bilgi işleme geçişle birlikte, kimlik daha da kritik bir odak alanı haline geliyor.
McClure, Sinclair’in kimlik ve bulut güvenliğine vurgu yaparak uç nokta algılama ve yanıt (EDR), genişletilmiş algılama ve yanıt (XDR) ve uç nokta güvenliği dahil olmak üzere bir dizi teknolojiye yatırım yaptığını söylüyor.
McClure, yayın sağlayıcısının ayrıca ağları boyunca yönlendirilen verilerin hacmini ve hızını desteklemek için otomasyona güvendiğini söylüyor. Otomasyon yeteneklerinden bazıları kullanılan teknolojiye özgü olsa da, şirket aynı zamanda birden çok platformda güvenlik düzenleme, otomasyon ve yanıt (SOAR) teknolojilerinden yararlanıyor.
Buna karşılık, Shepherd, kuruluş dış kaynak kullanımından şirket içi güvenliğe doğru ilerlerken, otomasyonun JLL için “çok erken günlerde” olduğunu söylüyor. Şirket, uç nokta ve bulut güvenliğine odaklanıyor ve otomasyon için de odak noktası burası. Shepherd, risk göstergelerini gerçek zamanlı olarak aramak için her uç noktadan her 15 dakikada bir veri çeken bir otomasyon tasarlıyor.
Shepherd, geçmişte güvenliğin Jones Lang LaSalle’de sessize alındığını, bu nedenle şu anda güvenlik ekibinin tüm çevreyi daha iyi görebilmesini sağlayacak teknolojiyi kurmaya odaklanıldığını söylüyor.
Cunha, Aptiv’in odak noktasının biraz farklı olduğunu, çünkü şirketin güvenli erişim hizmeti ucuna (SASE) daha fazla odaklanarak daha fazla güvenlik verimliliği ve kalitesi getiren teknolojiyi benimsemek istediğini söylüyor Cunha. Aptiv, üretim tesisleri için operasyonel teknoloji güvenliğine de yatırım yapıyor. Her iki güvenlik türü için de pek çok farklı satıcı vardır ve Cunha’nın hedefi, teknoloji ve satıcı çözümlerinin daha iyi birleştirilmesidir. Düzenleme ve otomasyon araçları, güvenlik araçlarının entegre edilmesinde çok önemli bir rol oynar.
Veriye Dayalı Güvenliğe Giden Yol
Aptiv’in Cunha’sı söz konusu olduğunda, sağlam veri analitiği olmadan orkestrasyona ve otomasyona sahip olamazsınız. Cunha, mühendislik ekiplerinin güvenlik araçlarını geliştirmek için veri analitiği kullandığını ve SOC’ye arama yetenekleri getirdiğini söylüyor. Cunha’nın ekibi, bir platforma güvenmek yerine kendi veri analitiğini gerçekleştiriyor.
Shepherd, otomasyon gibi, veri analitiğinin de JLL’de hâlâ ilk aşamalarda olduğunu, ancak bunun verilerin hâlâ yararlı olmadığı anlamına gelmediğini söylüyor. JLL, çevrede neler olup bittiğini belirlemeye yardımcı olmak için analitiği kullandığını söylüyor.
McClure, veri analitiğinin, Sinclair’in işi ve korunması gereken varlıkları anlamasına yardımcı olduğundan kapsamı kontrol etmek ve verimliliği kontrol etmek için kullanıldığını söylüyor.
En Büyük Güvenlik Endişeleri
Fidye yazılımı, Shepherd’ı geceleri ayakta tutan tehdittir. İş operasyonlarını nasıl aksattığı için JLL için en büyük endişe bu, diyor.
Aptiv’den Cunha’nın endişelerinin, veri yükümlülüğünü ve kurumsal itibarı etkileyen tehditler etrafında toplandığını söylüyor. Kimlik avı yaygın bir saldırı vektörü olsa da Cunha, operasyonel teknolojilere yönelik daha az bilinen tehditlerle de mücadele etmek zorundadır.
McClure için fidye yazılımları ve siber suçlar en büyük endişeler, ancak siber tehditlerin daha karmaşık hale gelmediğine dikkat çekiyor. Bunun yerine, saldırganlar için giriş engelinin azaldığını ve bunun sonucunda daha fazla saldırı olduğunu düşünüyor. Saldırı vektörlerinin yıllar içinde pek değişmediğini ve siber suçluların sisteme girmek için aynı yöntemleri kullandığını söylüyor.
McClure, saldırılardaki karmaşıklığın artması değil, kuruluşlar için en büyük zorluğun saldırıların hacmi olduğunu söylüyor.
