CSIRO, çekirdek sistemlerin korunmasına, erişim kontrollerinin sıkılmasına ve olay tepkisinin iyileştirilmesine vurgu yaparak işletme ve araştırma işlevlerinde siber güvenliği artırıyor.
Konuşurken Itnews podcastAraştırma Ajansı’nın yakın zamanda atanan Baş Bilgi Güvenliği Görevlisi Jamie Rossato, hem ajansın işletme hem de araştırma işlevlerine sağlam bir siber güvenlik duruşunu yerleştirmek için yol haritasını paylaştı.
Geçen yıl Eylül ayında CSIRO’ya katıldığından beri Rossato, “katılım, bilgilendirme, eğit, etkileme ve işletme felsefesi etrafında kapsamlı bir siber güvenlik stratejisi ve paydaş ilişkileri oluşturmaya odaklandı.
“Dinlemek ve öğrenmek ve neyin önemli olduğunu anlamak için ilk altı ayı gerçekten aldım [stakeholders] Sonuçları ve öncelikleri söz konusu olduğunda, siber güvenlik stratejimizi formüle ettikçe, siber güvenliği geleceğe nasıl uyguladığımızı şüphesiz şekillendirecek bir dizi perspektifle bilgilendirildi. ”
Bu dinleme ve öğrenme dönemi, Rossato’nun siber güvenlik başarısının “temelleri mükemmel bir şekilde yürütmekten” geldiğine dair uzun süredir devam eden duruşuna uyumlu bir siber güvenlik stratejisiyle sonuçlandı.
Bu nedenle, CSIRO siber güvenliği beş temel sütun etrafında inşa edilmiştir: sistem koruması, veri koruma, güçlü kimlik yönetişimi, olay tepkisi ve son olarak yönetişim ve gözetim.
Rossato, “Sağlam bir strateji, tüm paydaşların ihtiyaçlarını ve önceliklerini anlamakla başlıyor” dedi.
“Amaç, sadece etkili olmakla kalmayıp aynı zamanda teknolojinin ve araştırmanın gelişen doğasına da uyarlanabilir bir güvenlik çerçevesi oluşturmaktır.”
Pratik bir bakış açısından, Rossato rolünün “önümüzdeki iki saat içinde neler olacağından endişe ettiğim birkaç işlevden biri” olduğunun farkındadır.
Bu nedenle, “önümüzdeki iki saat içinde ortaya çıkabilecek krizle ilgilenecek teknoloji ve insanlar gerçekten [CSIRO’s] Siber güvenlik duruşu ”diye açıkladı.
“Her zaman kontrollerimizi ilerletmek, kontrollerimizi olgunlaştırmak, kontrollerimizi genişletmek ve genişletmek, çevremizi daha fazla anlamak, işleri bağlam içine koymak ve çevremizde gördüğümüz şeyleri orada olmaması gereken şeyleri tespit etmek ve yanıtlamak istiyoruz.”
Bunu göz önünde bulundurarak Rossato, hem sistem korumasını hem de hızlı algılama ve yanıt yeteneklerini desteklemek için doğru teknoloji çözümlerinin kaynaklanmasının gerekli olduğunu belirtti. Bununla birlikte, doğru araçları seçmek teknik özelliklerin ötesine geçer – aynı zamanda güven ve güvenilirlik ile ilgilidir.
“Daha genel olarak, en iyi başarıyı yaşadım [technology] Teslim edileceğini söylediklerini sunan bir yetenek sağlayan satıcılar ”dedi.
“Bir bezelye kutusu açarsam, içeride bir kutu bezelye görmek istiyorum. Bazen aşırı vekil ve yetersiz teslimat yapmak kolaydır. Benim için, teslim etmeyi taahhüt ettiğimiz şeyi sunduğumuzdan emin olurum … aslında size tahsis edilen kaynaklarla ve kontrollerde yaptığınız yatırımlarla başarıyor musunuz?”
Uyum “Son Oyun” değildir
Rossato’nun stratejisi, güçlü operasyonel güvenliği korumaya odaklanırken titiz düzenleyici gereksinimleri karşılamanın öneminin altını çiziyor.
“Uyum önemlidir, ancak nihai hedef olmamalıdır” dedi. “Uyumlunun bir Ciso’nun son oyunu olması gerektiğine inanmıyorum.
“Odak noktamız, riski etkili bir şekilde yöneten ve kullandığımız teknolojinin güvenli olmasını ve sadece uyumluluk uğruna kutuları işaretlemek yerine ajansın daha geniş misyonunu destekleyen güçlü bir siber güvenlik duruşu oluşturmaktır.
“Kesinlikle, bu ajansta, odak noktam bilim için güvenli ve güvenli bir teknoloji üzerine … eğer bu uyumluluğu kendi başına son olarak elde etmeye odaklanıyorsam, aslında orada olan diğer tehditlerden bazılarını kaçırma riskiyle karşı karşıya kalıyorum.
“Kurallar var ve elde etmemiz gereken yükümlülükler var. Yapabilmeliyiz ve bunları örgütsel risk iştahı doğrultusunda güçlü siber güvenlik duruş yönetimine odaklanarak başarmalıyız” diye ekledi.
Odaklanma Ortamı
Rossato, CSIRO’ya iki buçuk yıl içinde kuruluşun ilk adanmış CISO’su olarak girdi.
Selefi şimdi emekli CIO Brendan Dalton, Mart 2022 ile Ağustos 2024 arasında BT ve siber liderliğin ikili işlevlerini denetledi.
CSIRO’nun özel CISO pozisyonunu yeniden yaratma kararı hakkında konuşan Rossato, Dalton’a “aynı anda çok zorlu iki iş yaptığını” kabul etti.
“[Being] Herhangi bir devlet kurumundaki kurumsal teknoloji işlevi için CIO kolay bir başarı değildir ve daha sonra bunun üzerine siber güvenlik eklemek oldukça zordur ”dedi.
“Bir kişinin siber güvenliğe bir bütün olarak organizasyon için özel odaklanmam olarak adanmış olması … geri adım atabileceğim ve araştırma birimlerinin, işletme birimlerinin, araştırmacılarımızın kendileri ve kilit paydaşlarımızla bilimi güvenli ve güvenli yapmamız gereken teknolojiyi nasıl yapacağımız anlamına geliyordu, sadece içsel değil.