Claude Mandy, Simetri Sistemleri Baş Evangelisti
Cadılar Bayramı sezonu hayalet ve goblin korkusuyla doludur, ancak endişe yaratması gereken yalnızca bu ürkütücü yaratıklar değildir. Dijital dünya, kendine ait birkaç canavara sahipmiş gibi hissedebilir; kötü niyetli aktörler ve gölge verilerde gizlenen kötü niyetli tehditler. Daha fazla kuruluş bulut ve diğer isteğe bağlı bilgi işlem hizmetlerini benimsedikçe, bu tehditlere ilişkin korku da artmaya devam ediyor. Bu tehditleri uzak tutmak ve verilerini güvende tutmak için kuruluşların, verilerinin nerede olduğunu, bu verilere kimlerin erişebildiğini, nasıl kullanıldığını ve güvenli olup olmadığını bilmeleri gerekir.
Bu tatili daha fazla korku ve önseziyle doldurmak yerine, sürekli gelişen bu tehditlere dikkat çekmek ve kuruluşların kişisel verilerini daha iyi korumalarını sağlamak için kullanmak istiyoruz. Burada, siber dünyanın organizasyonların peşini bırakmayan bazı canavarlarını ve mitlerini açığa çıkaracağız ve bunların maskesinin nasıl kaldırılacağı ve verilerin nasıl güvende tutulacağı konusunda pratik rehberlik ve en iyi uygulamaları sunacağız.
Zombi Hesaplarına Erişim Oyalanıyor
Kuruluşlarda, uzun süredir unutulmuş kullanıcı hesaplarının, verilerine meşru erişim izni verildiğinde, ölümsüzler gibi hareketsiz kaldığı durumlar sıklıkla görülür. Bu “zombi” hesaplar, eğer oyalanmaya bırakılırsa, veri güvenliği için önemli bir tehdit oluşturabilir. Birçok kuruluşta izinler verilir ancak daha sonra unutulur; bu da genellikle güvenlik açıklarına neden olur.
Bu kalıcı zombi hesaplarına karşı korunmak için, en az ayrıcalık ilkesini uygulamak, artık kullanılmıyorsa veya ihtiyaç duyulmuyorsa izinleri kaldırmak önemlidir; kullanıcılar yalnızca görevleri için gerekli izinlere sahip olmalıdır. Belirli bir izne artık ihtiyaç duyulmadığında, derhal iptal edilmelidir. İzinleri proaktif bir şekilde yöneterek ve kimin neye erişimi olduğunu sürekli izleyerek kuruluşlar verilerini koruyabilir ve bu ölümsüz zombi hesaplarını engelleyebilir.
Mumyalanmış Veriler Uykuda Yatıp Açığa Çıkmayı Bekliyor
Daha yaygın olarak hareketsiz veya kullanılmayan veriler olarak adlandırılan “mumyalanmış” veriler, çok geç olmadan harekete geçilmesi gereken başka bir konudur. Mumyalanmış veriler sessizce yatıyor ve keşfedilir keşfedilmez bir veri ihlalinin ortaya çıkmasını bekliyor. Çoğu zaman yapılandırılmamıştır ve bir kuruluş tarafından yönetilmez veya güvence altına alınmaz. Artık acil bir ticari amaca hizmet etmese de hâlâ ciddi bir risk teşkil ediyor; hareketsiz veriler bir kuruluşun güvenlik kapsamını genişletiyor ve kötü niyetli aktörler tarafından keşfedilmesi halinde onu potansiyel veri ihlallerine karşı duyarlı hale getiriyor.
Bu tehlikeyi azaltmak için kuruluşlar, atıl verilere erişimi kısıtlayan, verileri güvenli bir şekilde arşivleyen ve sonunda artık kullanışlı olmadığında veya saklanması gerekmediğinde verileri güvenli bir şekilde imha eden sağlam veri yaşam döngüsü yönetimi süreçleri oluşturmalıdır. Tanımlanmış veri yaşam döngüsü yönetimi süreçleri ve “mumyalanmış” verilerin uygun şekilde imha edilmesi, kuruluşunuzun üzerine bir veri ihlali “lanetinin” salınmasını önlemek için gereklidir.
Sistemlerinizde Bulunan Hayalet Hesaplar
Etkin olmayan “hayalet” hesaplar doğaüstü varlıklar olmayabilir ancak yine de sistemlerinize ve verilerinize musallat olabilirler. Bu hesaplar genellikle kuruluştan ayrılan ancak hâlâ erişime sahip olan eski çalışanlara aittir. Organizasyonların bu aktif olmayan “hayalet” kimliklere erişim ayrıcalıklarını kaldıramaması nedeniyle her ortamda birikmektedirler. Bu son derece tehlikelidir çünkü erişime izin verilirse, siber tehdit aktörleri bu “hayalet” hesaplardan yararlanabilirler; üstelik bu hesap bir zamanlar yetkilendirilmiş olduğundan çoğu zaman güvenlik ekipleri bunu fark etmez.
Bu tehlikeyi ortadan kaldırmak için kuruluşların devam eden bir fesih süreci olması gerekir. Ancak hayalet hesaplar da sürekli olarak izlenmeli, hesap kullanımı sürekli olarak kontrol edilmeli ve kuruluşun hesap sonlandırma süreci başarısız olursa en kısa sürede kaldırılmaları sağlanmalıdır. Verileri güvende tutmak için bu rahatsız edici hayalet hesapların kaldırılmasına öncelik vermek önemlidir.
Bu Cadılar Bayramı sezonunda kuruluşların bu veri güvenliği canavarlarından korkmaması gerekiyor. Kuruluşlar, veri güvenliği duruşlarını iyileştirmek için bu stratejileri birleştirerek en ürkütücü sezonlarda bile güvende kalabilirler.
Yazar Biyografisi:
Claude Mandy, Symmetry’de Veri Güvenliği Baş Evangelistidir; burada inovasyona, sektör katılımına odaklanır ve modern veri güvenliğinin sektörde nasıl görüldüğünü ve kullanıldığını geliştirme çabalarına liderlik eder. Symmetry’den önce Gartner’da 3 yıl boyunca güvenlik, risk yönetimi ve gizlilik gibi çeşitli konuları kapsayan kıdemli yönetici ve analist olarak çalıştı. Bay Mandy, Gartner’dan önce dünyanın en büyük 20 genel sigorta ve reasürans şirketinden biri olan QBE Insurance’ta küresel Baş Bilgi Güvenliği Görevlisi olarak görev yapıyordu. QBE’den önce Claude, Avustralya Commonwealth Bank ile KPMG Namibya ve Güney Afrika’da bir dizi üst düzey risk ve güvenlik liderliği görevlerinde bulundu.
Reklam