İsim: David Soldani
Üyelik: Rakuten
Siber güvenlik alanındaki mevcut rolünüzü kısaca tanıtır mısınız?
Sorumluluk ve uzmanlık alanlarım şunları içerir, ancak bunlarla sınırlı değildir: güvenlik inovasyonu ve ileri araştırma; güvenlik mimarisi tasarımı ve standartları; güvenlik mühendisliği; metodoloji ve araçlar; güvenlik güvencesi (DevSecOps); güvenlik politikaları, yönetişim, risk yönetimi ve uyum; bulut tabanlı platformlarda mevcut (5G) ve gelecekteki mobil ağlar (6G) için güvenlik çözümleri geliştirme.
Siber güvenlik kariyeriniz nasıl başladı?
25 yılı aşkın bir süredir bilişim alanında aktifim ve siber güvenlik, özellikle 2013’te 5G’yi tasarladıktan sonra beni en çok meşgul eden alanlardan biri. Başlangıçta odak noktam güvenlik mühendisliği ve mimarileriydi, gelişmiş güvenlik önlemleri (örneğin, veri gizliliği ve bütünlüğü koruması için kriptografi, ağ ve yazılım güvenliği, kimlik ve erişim yönetimi ve güvenlik güvencesi), riskleri (tehditler x güvenlik açıkları) azaltmaya yönelik teknolojiler ve çevik güvenlik operasyonlarına yönelik çözümler. Ardından CISO olarak bunun ötesinde güvenlik politikaları, sanal ve fiziksel altyapıların güvenlik duruşu, yönetişim, risk yönetimi ve uyumluluktan (GRC) sorumlu oldum. Hangileri eşit derecede önemlidir.
Tipik bir iş günü sizin için nasıl geçiyor?
Yeni fikirler üretiyoruz, yeni yaklaşımlar üzerinde çalışıyoruz, ağ altyapısının güvenliğini geliştirmeye yönelik yöntemler, bulut yerel platformu, bulut yerel işlevleri (ağ mikro hizmetleri), uygulamaları ve kuruluşumuzun işi. Mevcut odak noktamız, mevcut (5G) ve gelecekteki (6G) açık sanal mobil ağlar için bulut tabanlı güvenlik ve gözlemlenebilirliktir. Diğer önemli görevlerin yanı sıra, gözden geçirmem, öncelikleri belirlemem ve yeni ve devam eden eylem öğelerini ve biletleri boşaltmam gerekiyor; Odak projelerimizin ilerleyişini denetlemek, organizasyonumu yönetmek (temizlik dahil) ve ekip üyelerimi desteklemek; yeni müşteri adaylarını belirleyin ve sorunlu noktaları ele alın; teknik becerilerimi geliştirmek; iç ve dış paydaşlarıma danışmak ve onlarla etkileşimde bulunmak
İş süreçlerimizi, yönetişimimizi ve politikalarımızı takip ederek doğru şeyleri ve doğru şeyleri yaptığımızdan emin olun. Ayrıca, fırsat buldukça, çözümlerimizi ve düşünce liderliğimizi desteklemek için teknoloji etkinliklerine, yayınlara ve teknik şartnamelere (standartlara) katkıda bulunuyorum.
Rolünüzün en zorlayıcı ve en keyifli yanları neler?
Rolümün tüm yönlerinden zevk alıyorum ve yeni zorlukları seviyorum. Güvenliği, Planla, Oluştur, Dağıt ve Çalıştırma aşamalarından oluşan bir süreç olarak düşünün. “Plan” aşamasında, inovasyon ve ileri araştırmalara, üniversiteler veya diğer araştırma kuruluşlarıyla işbirliğine, güvenlik mimarisine, kavramların kanıtlanmasına, teknik şartnamelere ve standartlara katkıda bulunmaktan memnuniyet duyuyorum. “Yapma” aşamasında, görüntü tarama, CI/CD ardışık düzenlerinin güvenliğini sağlama, sır yönetimi, ana bilgisayar işletim sisteminin güvenliğini sağlama ve ana bilgisayara iş yükü erişimini güvence altına almaya yönelik yeni yaklaşımlar ve teknolojiler beni büyüledi. “Dağıtım” aşamasında, küme sağlamlaştırma, çevre güvenlik duvarları, güvenlik grupları, kabul denetleyicileri ve ağ yeteneklerini ve hizmetlerini ortaya çıkarmak için güvenli bir yol üzerinde çalışmayı seviyorum. “Çalışma Zamanı” aşamasında, ağ politikası, uygulama katmanı politikası, izleme ve gözlemlenebilirlik araçları, şifreleme (ör. mTLS), denetim ve tehdit tespitine yönelik yeni yaklaşımlar üzerinde çalışmaktan keyif alıyorum. Çalışma zamanı güvenliği için, Berkeley Packet Filter’ın (eBPF) genişletilmiş versiyonunun kullanılmasını savunuyorum. Bu dönüşümsel teknoloji, mevcut (5G) ve gelecekteki mobil ağlar (6G) için ağ oluşturma, güvenlik, izleme ve gözlemlenebilirliği yeniden tanımlama yolunu hızlandırıyor. Üst yönetimden destek almak, güvenlik yönetişimi, risk kontrolü (potansiyel kayıpların niteliksel ve niceliksel analizi dahil) ve belirlenen riskleri işletme sahiplerimiz için katlanılabilir bir düzeye indirecek etkili önlemler dahil olmak üzere ve uyum, muhtemelen bu sürecin en zorlu yönleridir.
güvenlik Yönetimi.
İşinizde başarılı olmak için en önemli üç becerinin ne olduğunu düşünüyorsunuz?
rol?
Güvenlik yönetişimi, risk yönetimi ve uyumluluğu, güvenlik mimarisi ve modern ağ altyapılarının mühendisliği konularında güçlü becerilere, deneyime ve uzmanlığa (know-how) ihtiyacınız var. Bu, kapsayıcı ve kapsayıcı düzenleme (Kubernetes) güvenliği ve gözlemlenebilirliği için en iyi uygulamalara ve teknolojilere aşina olmanız gerektiği anlamına gelir; ve CI/CD ardışık düzenlerinin (DevSecOps) güvenliğini sağlamayı öğrenin. Ayrıca, kimlik ve erişim yönetimi (IAM) ve ilgili iş süreçlerinde çok yetenekli ve çok yetkin olmalısınız. Bir öznenin (kullanıcı, kullanıcı grubu, hizmet hesabı) bir nesneye (cihaz, uygulama veya platform kaynağı) erişimini nasıl tanımlayacağınızı, doğrulayacağınızı ve yetkilendireceğinizi ve herhangi bir şeyi nasıl tespit edeceğinizi ve yanıtlayacağınızı (esnekliği) bilmeniz gerekir. özellikle hizmetlerinize, verilerinize, ağınıza ve ilgili bulut platformuna olası (dahili veya harici) yetkisiz erişim
kaynaklar. ISO 27001, SOC2 Type2 ve GSMA NESAS gibi ancak bunlarla sınırlı olmamak üzere sektör tarafından benimsenen en önemli güvenlik standartlarını, sertifikaları ve ağ öğesi güvenlik güvence şemasını anlamanız gerekir. Ve mahremiyetin nasıl korunacağı, örneğin yerel yasalara ve AB GDPR’ye uygun olarak.
Kariyerine siber güvenlik alanında başlayan/bu sektöre girmek isteyen kişiler için ne gibi tavsiyeleriniz var?
Kapsayıcılar, hizmet ağları, mikro hizmetler, değişmez altyapı ve bildirimsel API’ler gibi bulutta yerel mimari ve teknolojilere odaklanır ve Kubernetes’i ve bulutta yerel ağ işlevlerini, yani tasarlanmış ve uygulanan ağ işlevlerini tanırdım. kapsayıcıların içinde çalıştırın – bulut yerel radyo erişim ağının bir örneği, O-RAN Alliance tarafından tanımlanan Açık sanal Radyo Erişim Ağı’dır (Açık vRAN). Duran ve hareket halindeki ilgili bilgiler (veriler) dahil olmak üzere bu varlıkları korumak için güçlü siber güvenlik becerileri geliştirin. Ayrıca, CISSP, CISA, CKA, CKAD veya CKS (veya KCNA) gibi en önemli sertifikalardan bazılarını alırdım ve en önemlisi, becerilerinizi daha da geliştirmenize izin veren bir endüstri organizasyonuna katılırdım. yetenekler, bilgi birikimi ve özellikle modern Telco (sanallaştırılmış) altyapılar, bulut tabanlı platformlar üzerinde çalışan siber güvenlik konusundaki teorik bilginizi uygulamaya koyun,
Kubernetes ve eBPF gibi uygulamalar ve teknolojiler.
İnsanlar siber güvenlikteki rolünüz hakkında daha fazla bilgi edinmek isterlerse nereye gitmeliler?
Bir yılda yarım milyondan fazla indirme ile beni LinkedIn’de (https://www.linkedin.com/in/dr-david-soldani/) takip edebilirsiniz. Bakınız: https://www.linkedin.com/pulse/selected-public-speeches-papers-dr-
david-soldani/. Teşekkür ederim.
