Net güvenlik röportajının bu yardımcı olmasında, Matthew Darlage, Vatandaşlar’da, bankalarda siber esnekliğin güçlendirilmesi için temel stratejileri tartışıyor.
NIST gibi çerçevelere bağlılığın sürekli iyileştirme için gerekli olduğunu ve veri koruma önlemlerinin banka operasyonlarını korumak için kritik öneme sahip olduğunu vurgulamaktadır. Darlage ayrıca, esnekliği korumak için üçüncü taraf risk yönetimi ve uyarlanabilir güvenlik uygulamalarının gerekli olduğunu savunuyor.
Bankalar için etkili bir siber esneklik stratejisinin temel sütunları nelerdir?
Genel görüşüm, etkili bir siber esneklik ve savunma derinlemesine stratejisinin, sağlam bir geleneksel GRC programına sahip olmaları, ancak bunlarla sınırlı olmamak üzere, güçlü risk yönetimi uygulamaları, sağlam ve hataya dayanıklı güvenlik altyapısı, güçlü olay müdahale yetenekleri, düzenli olarak test edilen, güçlendirme/esneklik programı, güçlü bir şekilde iyileşme/esneklik programı oluşturma, üçüncü sırada yer almasıdır.
Kimlik ve Erişim Yönetimi (IAM), güçlü erişim kontrolleri modernleştirilmiş kimlik uygulamalarının ve güvenli bir şekilde etkin bir işgücü ve müşteri deneyiminin uygulanmasını desteklediğinden başka bir kilit alandır. Yeni “güvenlik duvarı” kimliğinizdir ve bu kimliğin sizi katmanlı bir şekilde koruyabilecek ve umarım mümkün olduğunca sürtünmesiz olacak şekilde yapılandırılmış bir uyarlanabilir güvenlik politikasına bağlı olması gerekir. Bir başka büyük kısmı da bir güvenlik kültürünü teşvik etmek ve herkesi insan güvenlik duvarı yapmaktır.
NIST Siber Güvenlik Çerçevesi gibi küresel düzenleyici çerçeveler bankaların esnekliğe yaklaşımlarını nasıl etkiler?
NIST Siber Güvenlik Çerçevesi (CSF) ve benzer çerçeveler, BT güvenliğine sürekli bir iyileştirme yaklaşımını teşvik eder ve kuruluşları güvenlik duruşlarını düzenli olarak değerlendirmeye, boşlukları tanımlamaya ve siber esnekliklerini artırmak için önlemler geliştirmeye teşvik eder. Özetle, bu çerçeveler, kuruluşların siber programlarını ve genel esnekliğini geliştirmeleri için ortak bir/standartlaştırma dilini kullanarak değerli ve özelleştirilebilir bir yürütme şablonu sağlayabilir. Kuruluşların risklerini anlamalarını, sağlam güvenlik kontrollerini veya yeteneklerini anlamalarını ve siber olaylardan caydırma, dayanma ve iyileşme yeteneklerini sürekli olarak geliştirmelerini sağlar.
Bankaların siber olaylara yanıt verirken karşılaştığı en yaygın tuzaklar nelerdir?
Genel deneyimim, olaylara, güvenlik veya başka bir şekilde yanıt vermekle ilgili yaygın bir tuzağın, tüm organizasyon platformlarınızın düşündüğünüz şekilde çalıştığını veya oyun kitaplarınızın mevcut koşulları yansıtacak şekilde güncellendiğini varsaydığı varsayılmaktadır. Olay tepkisinin en önemli kısmı insanlardır. Teknoloji ve süreçler önemli olmakla birlikte, herhangi bir kuruluşun yapabileceği en iyi yatırım mümkün olan en iyi yeteneği işe almaktır.
Tuzaklar olarak göreceğim diğer alanlar etkili iletişim planları eksikliği, uyarlanabilir olmamak, asla etkilenmeyeceğinizi varsayarak ve kuruluşun diğer temel işlevlerine (risk, yasal, uyum, gizlilik vb.) Güçlü bir bağlantıya sahip olmamaktır. Üçüncü taraf riski, özellikle güvenlik açıkları ve bariz saldırı yüzeyi sonuçları olduğunda, çok sayıda tutarlı, kapsamlı yönetişim ve meşhur bakım ve besleme gerektiren bir alandır.
Üçüncü taraf satıcılara olan güven göz önüne alındığında, bankalar tedarik zinciri siber tehditlerine karşı nasıl esneklik sağlayabilir?
Bunu, bankaların sürekli izleme ve iyileştirmeye hızlı bir şekilde uyum sağlamaları ve lazer odaklı olması gereken kritik bir alan olarak görüyorum. Tedarik zinciri ve üçüncü taraf riskleri düşünmek, sözleşmeye dayalı önlemler, hükümleri denetleme, SLA’lar, paylaşılan sorumluluklar vb.
Bankalar ayrıca risk seviyelerine, önceki olaylara, tehdit istihbaratına ve güven puanlarına bağlamsallaştırılan gerekli özen ve güvenlik incelemelerini de yapmalıdır. Bir kuruluşun satıcıları ağlarının bir uzantısıdır, bu da sürekli olarak artan farkındalık ve yönetişim gerektiren bir saldırı yüzeyini paylaşmalarına neden olur.
Bankacılık yöneticilerine siber esneklik konusunda önemli bir tavsiye verebilseydiniz, bu ne olurdu?
Bankacılık yöneticileri veri korumasını temel bir görev haline getirmelidir. Siber güvenlik alanında yaptığımız şeyin büyük çoğunluğu doğrudan bağlı olmalı ve kuruluşların en kritik varlık – verileri olan verileri korumak için dönmelidir. Bu, tüm veri yaşam döngüsü boyunca güçlü veri koruma önlemlerini uygulamak için elinizden gelen her şeyi yapmak anlamına gelir.
Bankalar, geniş ve hiper bağlantılı bir teknoloji ekosistemine sürekli büyüleyici bir şekilde katılırlar, bu nedenle ödeme işleme sistemlerinden çekirdek kurumsal altyapıya kadar her şey için veri korumasını en büyük öncelik olarak görmeniz gerekir. Kurul genelinde güvenlik bir kolaylaştırıcı olarak görülmelidir, bu nedenle liderler buna şirketin gelecekteki başarısına stratejik bir yatırım olarak bakmalıdır.