CISO'lar: Güvenlik temellerine geri dönme zamanı

Panelistler, Çarşamba günü ReliaQuest tarafından düzenlenen çevrimiçi bir web seminerinde, pandemi sonrası dünyanın siber güvenliğin farklı şekilde ele alındığını göreceğini söyledi.

siber güvenlik kavramı

Görsel: iStock/sdecoret

Siber tehdit ortamı geçen yıl içinde daha tehlikeli hale geldi ve üst düzey yöneticiler daha fazla dikkat gösteriyor – ancak kuruluşlar iyi bir siber hijyene sahip olana kadar dünyadaki tüm araçlar yardımcı olmayacak. Bu, Çarşamba günü ReliaQuest tarafından düzenlenen sanal bir düşünce kuruluşu web seminerine katılan CISO'lardan gelen mesajlardan biriydi.

Nielsen'in CISO'su Chris Hatter, "Siber hijyen konusunda iyi olmanın temelleri, siber güvenliğin en çok ihmal edilen yönüdür" dedi. "Temel konularda iyi değilseniz ve ağınızdaki yama ve uzaktan izleme gibi temelleri anladığınızdan emin değilseniz, başarıya hazır değilsiniz."

Yakın zamanda Moffitt Kanser Araştırma Enstitüsü'nün CISO'su olarak görevinden ayrılan Dave Summit, "Başarılı bir programın anahtarı temel unsurlardır. Eğer temellere sahip değilseniz… diğer her şeyi kaçırıyorsunuz demektir" diyerek hemfikirdi.

GÖRMEK: COVID-19 işyeri politikası (TechRepublic Premium)

Şu anda düşünce kuruluşu Kritik Altyapı Teknolojisi Enstitüsü'nün bir üyesi olan Summit, ihmal edilen bir başka alanın da eski sistemlerin yeterince hızlı değiştirilmemesiyle ilgilendiğini ekledi. "Güvenlik şirketi ardı ardına ahşap işlerinden çıkıyor ve herkes tüm sorunlarınız için doğru çözümü sunuyor gibi görünüyor ve durumun böyle olmadığını hepimiz biliyoruz."

Summit, uyarı yorgunluğunun başka bir sorun olduğunu söyledi. "Olayların ne anlama geldiğini ve kuruluşunuz için ne anlama geldiğini bilmek için onları nasıl düzgün bir şekilde filtreleyebileceğimizi anlama konusunda iyi bir noktaya gelmedik. Bu, siberleri hızla çökerten büyük bir olay."

ESG'nin kıdemli baş analisti olan moderatör Jon Oltsik, eğitimi en çok ihmal edilen alan olarak ekleyeceğini söyledi. Ek olarak, "risk açısından, kritik görev uygulamalarıyla ilgili oldukları için risk tanımlamasını ve siber riski gerçekten anlamayı nasıl geliştirir veya en üst düzeye çıkarmak için çalışırsınız?" Oltsik dedi.

Oltsik, siber tehditlerin daha karmaşık hale gelmesinin yanı sıra, kötü niyetli aktörlerin sayısının da arttığını, daha kalıcı olduklarını ve birbirleriyle daha iyi iletişim ve işbirliği yapabildiklerini söyledi.

Oltsik, "Sağlayıcı tarafında olduğundan daha iyi iletişim kuruyorlar" dedi. "Pandemiden etkilenen uzaktan çalışanlar arttı ve siber güvenlik becerileri eksikliği" diğer faktörler.

Oltsik, "Daha iyiye gitmiyor ve beceri kıtlığı, yeterli sayıda insanımız olmadığı için yanlış yorumlanıyor, ancak aynı zamanda doğru becerilere de sahip değiliz," dedi.

CISO'lar için diğer acı noktaları, güvenlik teknolojisi yığınının karmaşık hale gelmesi ve yeniliklere, değişen teknolojilere ve farklı satıcı ortamlarına ayak uydurmak zorunda olmaları olduğunu söyledi.

ReliaQuest'in CTO'su Joe Partlow, siber güvenlikle ilgili karar verme söz konusu olduğunda, bugün kurullardan çok daha fazla katılım olduğunu ve güvenlik ekiplerinden çok daha fazlasının istendiğini söyledi.

riski tanımlama

Summit, riskleri anlama yeteneğinin şu anda eksik olduğuna inandığını söylediği becerilerden biri. Bir süredir siber güvenlik, günlük teknik operasyonlara daha fazla odaklandı ve şimdi yönetim alanına taşındığını söyledi.

Hatter, "Risk yönetimi büyük ölçüde bir takım sporudur – bunu gerçekten bir boşlukta yapamazsınız," diye hemfikirdi Hatter. Bazen iş birimleri, verilerinin hiçbirinin özel veya hassas olduğunu düşünmez ve kuruluşların bir sürece sahip olması gerekir. riski tanımlamak için "belirli bir iş birimi için anlamlı olan şekillerde" dedi. Hatter, risk açıkça tanımlandığında, BT'nin hangi sistemlerin savunmasız olduğunu bulmak ve tehlikeye atılanları azaltmak için daha derin ölçümlere girebileceğini söyledi.

Summit, eskiden siber güvenliğin amacının verileri ve insanların mahremiyetini korumak olduğunu söyledi. Bu düşüncede büyük bir değişim oldu.

"Bir hastanın verilerini kaybetmek bir şeydir, ki bu korunması son derece önemlidir, ancak insanların" seyahat etme kabiliyetini veya gıda tedarik zincirini kesintiye uğratmaya başladığınızda, "tamamen farklı düzeyde sorunlarınız olur… Bu sadece verileri korumakla ilgili değil, aynı zamanda büyük değişikliklerin meydana geldiği yer burasıdır."

Summit, şirketler siber güvenliği çok daha önce yüksek bir öncelik haline getirseydi, "bu konumda olmazdık" ve hükümet denetimiyle karşı karşıya kalsaydık, uzun zamandır söylediğini de sözlerine ekledi.

Hatter, siber güvenlik alanının "inanılmaz derecede dinamik" olduğunu ve CISO'ların üç ila beş yıl planlama lüksüne sahip olmadığını söyledi. "Sağlam ve sağlam bir strateji oluşturmak ve uygulamak istiyoruz. Ancak piyasa güçleri talep ediyor; yaptığımız şeyi yeniden kalibre ediyoruz ve COVID-19 bunun harika bir örneğiydi." CISO'ların artık mümkün olduğunca esnek bir stratejiye sahip olmaları, ancak değişiklik yapmaya hazır olmaları gerekiyor.

Summit, yönetilen güvenlik hizmeti sağlayıcılarının yardımcı olabileceğini söyledi, ancak CISO'lar hala bunalmış hissediyor. "Saldırılarla dolup taştığımızı hissediyorum ve herkes bunu fark edip sorular soruyor ve güvenlik ekipleri araçlardan gelen alarm yorgunluğuyla aşırı yüklenmiş durumda. Şimdi, insanlar doğru soruları soruyorlar, (ama) bu da uzaklaşıyor" sorunları çözmeye kadar geçen süre."

Tehdit algılamayı daha verimli hale getirme

Oltsik, ESG araştırmasının işletmelerin %88'inin bu yıl tehdit tespitine daha fazla yatırım yapacağını gösterdiğini söyledi. Panelistlere tehdit tespitini daha verimli hale getirmek için neler yapılabileceğini sordu.

Hatter, tehdit korumasını iyileştirmenin, en iyi teknolojilere sahip olduğunuzdan emin olmak anlamına gelmediğini söyledi. "Sizi başarıya hazırlayan bir BT standardizasyon düzeyine ve sorunları tespit etmek için görünürlüğe yönelik kurumsal bir bağlılığa sahip olmanız gerekir."

Standartlara bağlılık olmadan, BT ve güvenlik uzmanları "sürekli olarak yönetilmeyen varlıkların peşinden koşacak" dedi.

Summit, endüstrinin siber ekiplerin BT'den daha fazla ayrılacağını göreceğine inandığını ve "çok geç kalındığını" söyledi. Bunun nedeni, siber güvenlik sorunlarının çoğunun yanlış yapılandırmalar ve varlıkların uygunsuz kullanımı ile ilgili olduğunu söyledi.

"Bana göre BT'nin önceliği bu. Temelleri doğru yapıyorsanız… risk seviyenizi zaten düşürüyorsunuz. O zaman siber ekipler, yanlış yapılandırmaları aramak yerine farklı bir şeye odaklanabilir." Zamanlarını çevreye ne olduğuna ve dışarı sızmaya bakarak harcayabilir ve gerçek tehditlerin ne olduğuna odaklanabilirler, dedi.

Araçlar, araçlar ve daha fazla araç

Partlow, ReliaQuest'in bir kuruluşta ortalama 30 ila 40 araç gördüğünü söyledi ve "ve çoğu zaman bu sadece kafa karışıklığını ve gürültüyü artırıyor." Birçoğu da tam yeteneklerine alışkın değil, dedi.

"Tehdit tespitini zorlaştıran bir numaralı şey, (ağ) ortamının tamamında görünürlük olmamasıdır," dedi ve "Göremediğinizi güvence altına alamazsınız." Tehdit tespitini iyileştirmenin en iyi yolu, Partlow, bu görünürlüğü elde edin ve gürültüyü azaltın dedi.

Hatter, "bize daha fazla destek vermek ve daha karmaşık kural kümeleri oluşturmak için satıcıların fiyatlandırma modellerini yeniden gözden geçirmeleri gerektiğini düşündüğünü söyledi. Bu benim ve konuştuğum diğer CISO'lar için bir acı noktası."

BT ekipleri zaten alarm yorgunluğuna sahip olduğundan Summit, daha fazla araca yatırım yapmadan önce MSSP'leriyle konuşmalarını önerdi. "Yönetilen bir ortağınız varsa, onların deneyimlerinden yararlanın. Çok çeşitli müşteriler için çalışıyorlar ve neye bakacağınıza karar vermenize yardımcı olabilecek birçok değerli bilgiye sahipler."

Ayrıca ISAC gibi organizasyonları kullanmak için bir fiş yaptı. Moffitt'teyken, bilgi paylaşma ve farklı araç setlerinin artılarını ve eksilerini öğrenme yeteneği nedeniyle "Bizim için ne kadar önemli olduklarını ne kadar vurgulasam azdır".

"Çok şey öğrendik ve birçok aracımızı bu şekilde seçtik. Hiçbir ekibin izole olmasını asla tavsiye etmem. Dışarıda çok çeşitli insanlar kullanın."

Ayrıca bkz.

Source link

İlk yorum yapan olun

Bir yanıt bırakın

E-posta hesabınız yayımlanmayacak.


*