Baş bilgi güvenliği görevlilerinin (CISO’lar) karşılaştığı zorluklar son on yılda önemli ölçüde gelişti. Bugün, güvenlik çabalarını ve bütçelerini, kuruluşlarının, verilerinin güvende olduğuna dair müşteri güvenini sürdürmekten fikri mülkiyeti hırsızlığa karşı korumaya kadar değişebilen iş hedefleriyle uyumlu hale getirmeleri gerekir.
Üst yönetim ekibinin kilit bir üyesi olarak, CISO’ların genellikle yönetim kurulu düzeyinde raporlama sorumlulukları vardır. Kimliklerin neredeyse ilk ve son savunma hattı olduğu bulutun getirdiği yeni ve yıldırıcı bir teknik karmaşıklık düzeyini yönetmeleri gerekiyor. Ve iş burada bitmiyor. Başarılı olmak için, çeşitli disiplinlerde becerilere sahip bir takım oluşturmak ve doğru savunma teknolojilerini seçmek için büyük çaba sarf etmeleri gerekir.
Teknik Zorluk
Hızlandırılmış bulut benimseme ile birlikte uzaktan veya hibrit çalışma modellerine geçiş, saldırı yüzeyini büyük ölçüde genişletti CISO’lar korumalıdır. Ayrıca, genellikle birden fazla bulutla uğraşmak zorunda kalıyorlar. Başlıca sağlayıcıların – Amazon Web Services, Azure ve Google Cloud Platform – hepsinin biraz farklı yapıları, prosedürleri, gereksinimleri vb. vardır ve bunların tümü, bunları yönetmenin karmaşıklığını daha da artırır. yayılan mimariler
Buluta geçiş yapan veri merkezi odaklı şirketler, geleneksel güvenlik duvarlarının hiçbir zaman üstesinden gelmek için tasarlanmadığı yeni bir dizi güvenlik endişesiyle karşı karşıya kalıyor. bu nedenle, inciArtık yaygın olarak duyulan “Kimlik yeni sınırdır” nakaratını duyuyoruz. Bu kesinlikle doğrudur. Güvenlik duvarları ve diğer ağ tabanlı kontroller terk edilmemeli ancak CISO’ların kimlik konularına odaklanması gerekiyor. Aşağıdaki üç adımlı süreç, bu alanda hızlı ve verimli sonuçlar verebilir.
- Fazla ayrıcalıkları dizginleyin. Buluta geçiş sırasında, genel ayrıcalıklar genellikle geçiş ekibindeki herkese verilir. Bundan kaçınmak en iyisidir, ancak gerçekleşirse, geçişten sonra ayrıcalıklar gözden geçirilmeli ve sınırlandırılmalıdır. Bunu yapmanın iyi bir yolu, hangi kaynaklara hangi kişiler tarafından erişildiğini izlemektir. Bir kişi belirli bir kaynağa erişmiyorsa, erişim hakkı iptal edilmelidir.
-
Fazla ayrıcalıkları ve yanlış yapılandırmaları ilişkilendirin. Bulut yanlış yapılandırmaları başka bir ciddi risktir. Ancak, ayrıcalıklı bir kimliğin yanlış yapılandırılmış bir bulut kaynağına erişimi olduğunda, sonuçlar felaket olabilir. Neyse ki, yanlış yapılandırmaların yanı sıra aşırı ayrıcalıkları tespit etmeye ve tehditleri ortadan kaldırmak için bunları düzeltmeye yardımcı olacak otomatik araçlar artık mevcut.
- Önceliklendirme. Her yanlış yapılandırmayı düzeltmek için asla yeterli zaman veya yeterli personel yoktur, bu nedenle en büyük güvenlik riski kaynağı olanlara odaklanmak önemlidir. Örneğin, bulut depolama gruplarına yönelik kimlik tabanlı erişim tehditlerinin düzeltilmesi, veri ihlallerinin önlenmesi açısından kritik öneme sahiptir. Aşırı izinler, varsayılan vb. yoluyla verileri açığa çıkaran yapılandırma hatalarının izlenmesi en yüksek önceliğe sahip olmalıdır.
İnsan Mücadelesi
Bulut altyapısının güvenliğini sağlamak, benzersiz beceriler gerektirir ve işi yapacak nitelikli bireyler bulmak, CISO’ların en büyük zorluklarından biridir. Her bulut güvenlik ekibinin sahip olması gereken üç temel yetkinlik alanı vardır:
- Mimari yeterlilik. Güvenlik ekipleri, bir kuruluşun güvenlik duruşunu değerlendirmek ve zaman içinde olgunlaştırmak için bir yol haritası oluşturmak için bir referans modele ihtiyaç duyar. CSA çerçevesi mükemmel bir kaynaktır ve birkaç tane daha mevcuttur. CSA gibi endüstri standardı güvenlik çerçevelerinde sunulan mimari kavramları net bir şekilde anlamadan, bulut saldırı yüzeyini azaltmak zordur ve kör noktaları gözden kaçırmak kolaydır.
-
Bulut mühendisliği. Güvenlik ekibinin ayrıca yönetim, bakım ve daha fazlasını içerebilecek bulut güvenliğinin günlük gereksinimlerini karşılaması gerekir. Yetkili bulut mühendisliği, güvenlik alanında “ışıkları açık tutmak” için çok önemlidir.
-
Reaktif yetenekler. Küresel olarak, siber saldırılar günde 30.000 oranında gerçekleşiyor. Her kuruluş, olayların düzenli olarak meydana gelmesini bekleyebilir ve güvenlik ekiplerinin, ciddi sonuçları önlemese bile sınırlamak için hızla tepki verebilecek uzmanlara ihtiyacı vardır.
Bir bulut güvenlik ekibinin ideal yapısı, işbirliği içinde çalışabilen ağ, bulut ve geliştirme uzmanlarını kapsar. Bu yeteneklere sahip bir ekip oluşturma görevi, şu anda 3,4 milyon siber güvenlik çalışanı açığı olduğu gerçeğiyle karmaşıklaşıyor.
İşe almaya ek olarak işe yarayan bir yaklaşım, eğitim yoluyla içeriden gelişimdir. Bu, şirket içinde veya üçüncü taraf sertifika programları aracılığıyla gerçekleşebilir. Ayrıca, sağlayıcıları seçerken kuruluşlar, teklifleri güçlü bir eğitim bileşeni içerenleri tercih etmelidir. Mümkünse, CISO’lar güvenlikle ilgili olmayan çalışanları bazı güvenlik görevlerinde çalıştırmanın yollarını bulabilir.
Bir kez bir araya getirildiğinde, herhangi bir güvenlik ekibinin karşılaşacağı sorunlardan biri, norm haline gelen çoklu bulut mimarileriyle uğraşmaktır. Üç büyük bulut platformunun araçlarına, terminolojisine ve güvenlik modeline çok az kişi aşinadır. Bu nedenle birçok şirket, farklı bulut platformlarının güvenliğiyle ilgili nüansları anlayan ve AWS, Azure, GCP vb. konusunda özel eğitim almamış kullanıcılar için güvenlik görevlerini basitleştiren bulut yerel teknolojilere yöneliyor.
Özetlemek gerekirse, günümüzün CISO’larının karşılaştığı zorluklar büyük ölçüde, korunması gereken büyük ölçüde genişletilmiş bir saldırı yüzeyi oluşturan bulut tarafından yönlendirilmektedir. Bu arada, her bir bulut platformu tarafından kullanılan yönetim modeline ve araçlara hakim olmak, son derece yetersiz olan güvenlik uzmanlığı gerektirir. Güvenlik ekiplerinin bulut altyapılarını korumak için en iyi uygulamaları uygulamalarına yardımcı olmak için gereken görünürlük ve platform bilgisini sağlayan ve aynı zamanda süreçte analistlerin becerilerini artırmalarına yardımcı olan çözümler mevcuttur.