Matt Honea, Güvenlik ve Uyum Başkanı, Forward Networks
Altyapı ve kritik veri varlıkları da dahil olmak üzere büyük ve karmaşık bir kurumsal ağı yeterince güvenli hale getirme zorluğu, CISO’ları rahatsız etmeye devam ediyor. Maliyet, kapsam, vasıflı güvenlik uzmanlarının eksikliği, hızla gelişen teknoloji yığınları ve entegrasyonlar, buluta geçiş, bunların tümü tersten esen örneklerdir. Bazı CISO’lar için, özellikle finansal hizmetler ve sağlık hizmetleri gibi yüksek derecede risk içeren sektörlerdekiler için, konuşmalar teknoloji ile başlar. Diğerleri için güvenlik bütçesidir. Kuruluşlar, ağlarının tam olarak ne kadar büyük olduğunu, varlıklarının nerede olduğunu ve gelişigüzel miktarda veriyi korumanın ne kadara mal olacağını anlamaya çalışıyor. Bu çok büyük bir girişim.
Görünürlük ve Ölçeklenebilirlik
Etkili güvenlik aracı planlaması için CISO, altyapının ve verilerin kapsamını anlamak için bulut, hibrit ve şirket içi ortamlarda görünürlük ve izleme yeteneklerine ihtiyaç duyar. Doğru bir ağ mimarisi haritası, bir plan görevi görür ve varlıkları, riskleri ve fazlalıkları belirlemek için görünürlük sağlar.
Örneğin, bir ağ mimarisi haritası, ağa kaç cihazın bağlı olduğunu ve ağın risk altında olabilecek alanlarını veya verilerini saptayabilir. Ayrıca, ortadan kaldırıldığında operasyonel maliyetleri azaltan güvenlik duvarı fazlalıklarını da ortaya çıkarabilir. Bu düzeyde ayrıntılı ağ görünürlüğü, kuruluşların mimarilerini tüm ortamlarda daha kesin içgörülerle ölçeklendirmelerine olanak tanıyarak verimliliği en üst düzeye çıkarır ve maliyetleri düşürür.
Bir ağın haritasını veya dijital ikizini geliştirmek, birden çok çözümü parça parça satın almaktan çok daha ucuzdur. Hem güvenlik hem de ağ ekipleri, sistemlerin sayısı arttıkça veya azaldıkça cihazları izleyebilir, bu da kuruluşların neyi güvenceye almaları gerektiğini bilmelerine ve dolayısıyla gereksiz, pahalı sunucular satın almak yerine kullandıkları kadar ödeme yapmalarına olanak tanır. Bu, geçiş maliyetlerini ve kesintileri önemli ölçüde azaltır. Arıza süresini en aza indirmek, çoğu kuruluş için geliri en üst düzeye çıkarır.
Bulut Güvenliği ve Varlık Yönetimi
Bir ağ mimarisi haritası, bulut güvenliğini ve varlık yönetimini de geliştirecektir. Örneğin, bir kuruluş doğru ve güncel bir cihaz envanterine ve bunların ağa nasıl bağlandıklarına sahip olduğunda, hileli cihazlar daha hızlı tespit edilir. Kuruluş, süreçlerinin ve teknolojilerinin tam bir hesabını elde ettikçe ve sorunları daha kolay tespit edip saptayabildikçe, olaylara müdahale daha kolay hale gelir.
Bu, çoklu bulut ortamında daha karmaşık hale gelir. AWS, Azure ve GCP ortamlarına sahip bir kuruluş hayal edin. Bir ağ mimarisi haritası olmadan, kuruluşun her bir bulut haritasına gitmesi ve bunları mimariyle kaplaması gerekir. Bu, küresel olarak tüm bulut, hibrit ve şirket içi ortamları temsil edebilen tek bir haritaya sahip olmaya kıyasla işin 3 katıdır.
Envanter yönetimi, sadeleştirilmiş işletim sistemlerine sahip çok sayıda cihazı hesaba katmaz. Bir mimari diyagram sunucuları yansıtabilir ancak güvenlik duvarlarını, yönlendiricileri ve anahtarları hesaba katmaz. Bunu bilen saldırganlar bu cihazların peşine düşer çünkü bunlar genellikle yamasızdır, istismar edilmesi daha kolaydır ve ekipler bunlara bakmaz.
Aslında, Cisco kısa süre önce cihazlarının Rus destekli bilgisayar korsanları tarafından hedef alındığına dair bilgiler yayınladı ve müşterilerini bu cihazlara yama uygulamaya teşvik etti. Ulus-devlet destekli faaliyetler genellikle diğer bilgisayar korsanları tarafından taklit edilir ve bu da bu tür riskleri artırır. Eksiksiz bir varlık envanterine sahip olmak, bir kuruluşun özellikle küresel, çoklu bulut ortamında tehditleri belirleme ve düzeltme becerisini önemli ölçüde geliştirir.
Uyumluluk ve Görselleştirme
Sektöre özgü ve coğrafi olarak yönlendirilen mevzuat, kurumsal ağların güvenliğini sağlamanın karmaşıklığını ve maliyetini de artırıyor. HIPAA, PCI DSS, SOX ve benzerlerine ek olarak Avrupa, Kuzey Amerika ve Asya yerel gizlilik yasalarını ve uyumluluk düzenlemelerini yayınladılar veya yakında yayınlayacaklar. Kaliforniya Tüketici Gizliliği Yasası (CCPA) artık diğer şeylerin yanı sıra yama yönetimi, yeterli günlük kaydı ve olayların zamanında bildirimini içeren makul bir güvenliğe sahip olmak için olumlu bir yükümlülüğe sahiptir.
Bugün çoğu güvenlik bütçesi, yeni yasal gereklilikleri hesaba katmamaktadır. Ve yeni mevzuat, uyumluluk gereksinimlerini karşılamak için verileri taşımanın ve tutmanın ve altyapıyı çoğaltmanın gerçek ekonomik maliyetini hesaba katmıyor. Bu üstel veri artışı, kuruluşların artık izlemesi ve güvenliğini sağlaması gereken tahmini 3x yüzey alanına sahip olduğu anlamına gelir.
Sonunda, kuruluşların düzenleyicilere verileri üzerinde kontrol sahibi olduklarını kanıtlamaları istenecektir. Bir ağ mimarisi haritası veya dijital ikiz, hangi sistemlerin yürürlükte olduğunu, erişimin nasıl kontrol edildiğini ve küresel ölçekte saldırı yüzeyini hangi önlemlerin koruduğunu verimli bir şekilde aktarabilir. Bir ağ haritası, nelerin bağlı olduğuna ve kritik varlıkların güvenliğini sağlamak için hangi teknolojilerin ve süreçlerin yürürlükte olduğuna dair bölgeye göre ayrıntılı bir görselleştirme sağlar. Bu görünürlük düzeyi, gelişen ve son derece karmaşık bir ağı yönetmek, sürdürmek ve korumak için çok önemlidir.
Bulut için Güvenlik Bütçesi Nasıl Çerçevelenir?
Kuruluşlar, yeni mevzuatın teknolojik ve mali etkisini kavramaya başladıkça, muhtemelen güvenlik bütçelerini yeniden gözden geçirmeleri gerekecek. Bu, sıfırlama düğmesine basmak için iyi bir zamandır. Bulut için güvenlik bütçesi, genel bulut harcamasıyla orantılı olmalıdır.
Ne yazık ki, örneğin mühendislik maliyetleriyle orantılı olan veya tarihsel olarak toplam BT bütçesinin yaklaşık %5’ini oluşturacak şekilde ayrılan güvenlik bütçeleri bulmak daha yaygındır. Bu o zamanlar iyiydi. Ancak günümüzde bulut maliyetleri ayda on milyonlarca doları bulabiliyor çünkü sistemler tamamen IaaS’de barındırılıyor.
Kuruluşların güvenlik duruşlarını iş risklerinin yanında değerlendirmek için biraz zaman ayırmaları gerekir. Ortaya çıkan iki yaygın alan, Bulut Güvenliği Duruş Yönetimi (CSPM) ve Kimlik ve Erişim Yönetimi (IAM) ile ilgilidir. Her ikisi de sistemleri yamalamaya ve sistemlere uygun erişimi sağlamaya odaklanır. Saldırganlar, bu tür güvenlik açıkları için ortalıkta dolaşmaya bayılırlar, bu nedenle ihlallerin başlıca nedeni bunlardır.
Yolculuğu Daha Güvenli, Uygun Maliyetli Bir Ağla Eşleyin
Çoğu, bir tür haritalama sistemi olmadan ABD’yi baştan başa gezmeye çalışmaz. Neden? Çünkü yanlış dönüşler, gecikmeler ve ek maliyetler anlamına gelir. Güvenli bir kurumsal ağ mimarisi geliştirmek ayrıca mevcut kaynaklarda gezinmek, varlıkları bulmak, fazlalıkları ve riskleri belirlemek ve ağı korumak ve uyumluluk düzenlemelerini karşılamak için hangi güvenlik katmanlarının mantıklı olduğunu belirlemek için bir harita gerektirir.
Her CISO, veri güvenliği, saldırı yüzeyi yönetimi, envanter yönetimi ve yetkili verilerle mücadele ediyor. Doğru bir ağ haritası, güvenlik uzmanlarına şirket içinde ve bulutta ağı en iyi şekilde koruyan ve uyumluluğu kanıtlayan süreçleri ve teknolojileri uygulamak için ihtiyaç duydukları görünürlüğü sağlar. Bu yön ile işletmeler, güvenlik duruşlarını önemli ölçüde iyileştirecek ve büyük paralar tasarruf edecek.
yazar hakkında
Matt Honea, kuruluşun güvenlik uygulamasına liderlik etmekten sorumlu olduğu ve müşterilerin şirket içi, hibrit ve bulut genelinde tüm ağın doğru görünürlüğünü elde etmesine yardımcı olmaya odaklandığı Forward Networks Güvenlik ve Uyumluluk Başkanıdır.
Matt, bir güvenlik uzmanı ve lider olarak onlarca yıllık deneyime sahiptir. Son olarak, SmartNews’te Güvenlik Başkanı olarak görev yaptı. Ayrıca Guidewire Software’de Siber Güvenlik Kıdemli Direktörü, ABD Dışişleri Bakanlığı, Dış Servis, Teknik Analiz ve Özel Operasyonlar Şefi ve Güvenlik Mühendisliği Sorumlusu olarak ve Ziguana’da Kurucu Ortak, Geliştirici ve Tasarımcı olarak görev yaptı. 2019’da Silicon Valley Business Journal’ın “40 yaş altı 40” listesine girdi.