CrowdStrike CEO’su George Kurtz‘nin başarısızlığa uğramış bir yazılım güncellemesi için derhal ve koşulsuz özür dilemesi küresel BT sistemlerini ve ağlarını çevrimdışı hale getirdi Cuma günü siber güvenlik sektöründe alışılmadık bir olay yaşandı.
Siber güvenlik yöneticilerinin özür dileme veya hatalarını kabul etme alışkanlıkları yoktur.
CrowdStrike’ın yazılım güncellemesinin Cuma günü küresel ekonominin büyük bir bölümünü çökertmesinden birkaç saat sonra, Kurtz “Bugün” Hatanın zincirleme etkileri henüz ortaya çıkmadığı için özür diledi.
“Öncelikle şunu söylemek istiyorum ki, müşterilerimize, gezginlere, şirketimiz de dahil olmak üzere bundan etkilenen herkese verdiğimiz etkiden dolayı derin bir üzüntü duyuyoruz.Kurtz, NBC’nin sabah haber programında şöyle dedi.
İle CrowdStrike’ın itibarı tehlikedeSiber güvenlik sağlayıcısının diğer üst düzey yöneticileri de samimi bir şekilde özür dileyerek hasarın sorumluluğunu kabul ettiler.
“Cuma günü sizi hayal kırıklığına uğrattık ve bunun için çok üzgünüm,” CrowdStrike CSO’su Shawn Henry Pazartesi günü yaptığı açıklamada, LinkedIn gönderisi.
Henry, “Yıllar boyunca damlalara olan güvenimiz saatler içinde kova kova kayboldu ve bu bir mide yumruğuydu,” dedi. “Korumayı taahhüt ettiğimiz insanları hayal kırıklığına uğrattık ve yıkıldığımızı söylemek çok büyük bir hafife alma olur.”
CrowdStrike’ın tepkisi benzersiz olmasa da verdiği zararlar… talihsiz yazılım güncellemesi sebep olduğu zararlar karşılaştırılamaz.
“Yakın geçmişte bu ölçekte veya büyüklükte hiçbir şey yaşanmadı, hatta hiç yaşanmadı” Infinite Global’da kriz iletişimi uzmanı ve başkan yardımcısı olan Kelsey Eidbo, e-posta yoluyla şunları söyledi.
“Siber güvenlik şirketleri genellikle hikayenin konusu değildir çünkü kasıtlı olarak perde arkasında faaliyet gösterirler,” dedi Eidbo. “Bu hafta Crowdstrike’taki kriz bir uyarı niteliğindeydi ve siber şirketler, BT satıcıları ve dünyayı döndürmek için onlara güvenen hepimiz için kesinlikle uyarıcı bir hikaye olarak tarihe geçecek.”
Siber güvenlikte nadir bir durum
Siber güvenlik sektöründe mea culpa’lar seyrektir. CrowdStrike, kendi isteğiyle ve koşulsuz olarak olağan bir hesap verebilirlik düzeyini kabul etti.
“Kurtz’un hatalı bir yazılım güncellemesi için hemen özür dilemesi siber güvenlikte nadir görülen bir durumdur – başka bir örnek aklıma gelmiyor – ancak kurumsal hesap verebilirliğin artan bir eğilimini yansıtıyor.” Dell’Oro Group’ta kurumsal güvenlik ve ağ araştırmaları kıdemli direktörü Mauricio Sanchez, bir e-postada şunları söyledi:.
CrowdStrike’ın hızlı ve enerjik tepkisi aynı zamanda bir hasar kontrolü ve kendini koruma eylemiydi.
Eidbo, kriz yönetimi açısından CrowdStrike’ın söylentilerin önüne geçmesi ve “bunun bir ihlal değil, bir kesinti olduğunu mümkün olan en kısa sürede teyit etmesi”nin kritik öneme sahip olduğunu söyledi.
Eidbo, “Sorumluluğu erken, kamuoyu önünde ve proaktif bir şekilde kabul eden ve üstlenen şirketler, kendilerini şirketlerinin karşı karşıya olduğu sorun konusunda yetkili ve önde gelen uzman olarak konumlandırıyor ve bir satıcı söz konusu olduğunda, itibar açısından müşterilerinin üzerindeki yükün en azından bir kısmını hafifletiyorlar” dedi.
Yöneticiler, CrowdStrike’ın 2011’de kurulduğu günden bu yana en kötü günlerinden birini yaşamasıyla birlikte, yaşananlar hakkındaki anlatıyı kontrol etmeye ve tepkiye güven oluşturmaya çalıştılar.
“CrowdStrike’ın açık, pişmanlık duyan ve herkesin katılımını gerektiren bir yaklaşımı benimsemesi kesinlikle yardımcı oldu.” Gartner Başkan Yardımcısı analisti Katell Thielemann, e-posta yoluyla söylendi.
“Şirketlerin güvenlik açıklarını kabul etmeyerek, suçu başkasına atarak veya gerçekleri gizleyerek ve iletişimi geciktirerek ters yöne gitmeye karar verdiği örnekler gördük.” Thielemann dedi. “İşte o zaman marka zarar görür.”
İyileşmenin tam ortasında güveni yeniden inşa etmek
Siber güvenlik satıcıları, özünde yazılım ekosisteminde inanılmaz derecede zor bir rol oynar: müşterileri kötü amaçlı faaliyetlere karşı tespit edip uyarmak, riski azaltmak ve saldırıları durdurmak. Onların işi, sistemleri güvenli ve emniyetli tutmaktır.
Güvenlik tedarikçilerinin büyük olaylara şeffaflık, doğruluk ve duyarlılıkla yaklaşması, müşterileriyle daha iyi ilişkiler kurmalarına ve itibarlarına daha az zarar veren daha hızlı bir kurtarma sürecine sahip olmalarına neden oluyor. Forrester’da baş analist olan Allie Mellen.
Mellen, e-posta yoluyla yaptığı açıklamada, “Güven, bir güvenlik tedarikçisi ile müşterileri ve ortakları arasındaki ilişkide en önemli unsurdur. Bu, tüm tedarikçiler için geçerlidir, ancak özellikle güvenilirlik ve yeterliliğin temel olduğu güvenlik için geçerlidir.” dedi.
Mellen, “CrowdStrike, yıllar içinde müşterileriyle çok fazla güven oluşturdu ve bu olaya nasıl yaklaşacağı, bundan sonraki süreçte müşterileriyle olan ilişkisini belirleyecek” dedi.
CrowdStrike yönetiminin hızlı ve pişmanlık dolu tepkisi, operasyonları kurtarmak ve eski haline getirmek için şirket ve hükümet ve sektördeki ortaklarla yakın bir şekilde çalışan federal yetkililerin de dikkatini çekti.
Siber Güvenlik ve Altyapı Güvenlik Ajansı Direktörü Jen Easterly Cumartesi günü yaptığı açıklamada, “Kötü niyetli olmasa da ciddi bir hataydı ve Kurtz bunun tüm sorumluluğunu üstlendi, özür diledi ve sorunu iş birliği içinde çözmeye karar verdi” dedi. LinkedIn gönderisi.