İngiltere’nin Ulusal Siber Güvenlik Merkezi (NCSC), kuruluşların güçlü siber güvenlik uygulamalarını günlük operasyonlarına yerleştirmelerine yardımcı olmak için bir dizi altı temel prensip tanıttı. Hükümet ve endüstri liderleri ile işbirliği içinde geliştirilen bu rehberlik, sürdürülebilir siber esnekliğe ulaşmak için hem teknik kontrollere hem de insan davranışlarına öncelik veren kalıcı bir güvenlik kültürü aşılamayı amaçlamaktadır.
NCSC’nin yaklaşımı, yalnızca uyum veya izole eğitim çabalarına odaklanmak yerine, kuruluşları her düzeyde siber hijyen, farkındalık ve sorumluluk zihniyetini teşvik etmeye teşvik eder. Bu temel ilkeler, kültürel dönüşüme rehberlik etmek için esnek bir çerçeve sağlar ve her boyut ve endüstriden organizasyonlara uyacak şekilde uyarlanmıştır.
Kültür neden siber güvenlikte önemlidir?
Siber güvenlik kültürü, bireylerin güvenlik risklerini nasıl düşündüğünü ve bunlara nasıl tepki verdiğini şekillendiren kolektif değerleri, davranışları ve normları kapsar. NCSC’ye göre, başarılı sonuçlar sadece teknolojik savunmaların sonucu değildir, aynı zamanda güvenli davranışlar rutin olarak anlaşıldığında, teşvik edildiğinde ve işgücü boyunca uygulandığında ortaya çıkar.
Rehberlik özellikle hem siber güvenlik uzmanları hem de liderlik ekipleri için değerlidir. Güvenlik ekipleri stratejileri tanımlayabilir ve kontrolleri uygulayabilirken, uzun vadeli kültürel değişim liderlikten alım gerektirir-öncelikleri şekillendiren, işyeri normlarını etkileyen ve güvenli davranışları modelleyenler.
NCSC’nin altı temel ilkesi
Bir kolaylaştırıcı olarak siber güvenlik çerçevesi
Kuruluşlar siber güvenliği misyonları ve hedefleri ile hizalamalıdır. Güvenliği bir engel olarak görmek yerine, liderler bunu verimliliği, yeniliği ve güveni destekleyen bir işlev olarak entegre etmelidir. Örneğin, müşteri güvenini korumak için gerekli olan güvenli uygulamaların çerçevelenmesi, operasyonel hedefler ve siber hijyen arasında uyum sağlayabilir. Liderlik güvenliğin değerini ilettiğinde, paylaşılan bir amaç duygusunu teşvik eder.
Güven ve güvenlik yoluyla açıklığı teşvik edin
Psikolojik güvenlik yaratmak, güvenli davranışı teşvik etmenin anahtarıdır. Çalışanlar, suç korkusu olmadan olayları bildirmek, hataları kabul etmek veya soru sormaktan rahat hissetmelidir. Açık iletişimi ve şeffaf olay işlemesini teşvik eden kuruluşlar daha çevik ve tehditlere duyarlıdır. NCSC, “İnsanlar hataları bildirmek için cezadan korkmadıklarında, örgütsel öğrenmeye katkıda bulunma olasılıkları daha yüksektir” diyor.
Esnekliği artırmak için değişime uyum sağlayın
Siber tehditler hızlı bir şekilde gelişir ve güvenlik de gelişmelidir. Bu ilke, kuruluşları bir tehdit değil, bir ilerleme fırsatı olarak ele almaya teşvik etmektedir. İster politikaların güncellenmesi veya yeni araçlar getirilmesi, süreç departmanlar arasında işbirliği içermelidir. Rutin tehdit izleme ve çalışan geri bildirim döngüleri, iyileştirme alanlarının belirlenmesine yardımcı olabilir. Daha da önemlisi, kuruluşlar güncellemelerin anlamlı, stratejik amaçlara hizmet etmesini sağlayarak “yorgunluktan” kaçınmalıdır.
Sosyal normların rolünü kabul edin
Gayri resmi davranışlar genellikle güvenliği resmi kurallardan daha fazla şekillendirir. Sosyal normlar-şifreleri paylaşmak veya protokolleri atlatmak gibi-kontrolsüz bırakılırsa iyi niyetli politikaları zayıflatabilir. NCSC, hem yararlı hem de zararlı normların tanımlanmasını ve güvenli davranışı teşvik etmek için olumlu akran etkisi kullanmanızı önerir. Örneğin, meslektaşlarının iyi siber hijyen uyguladıklarını gören yeni gelenlerin bu alışkanlıkları kendileri benimseme olasılığı daha yüksektir.
Liderliğin kültürel değişimdeki rolünü tanıyın
Liderlik, güvenli bir kültürün geliştirilmesinde önemli bir rol oynamaktadır. Liderler güvenli davranışları modellemeli, değerini iletmeli ve güven oluşturmalıdır. Kıdemli personel geçmiş hatalar veya güvenlik zorlukları hakkında açıklık gösterdiğinde, öğrenmeyi normalleştirir ve korkuyu azaltırlar. Buna karşılık, liderlik politikaları görmezden geldiğinde veya atladığında, tehlikeli bir emsal oluşturur. NCSC, “Liderlik kuruluşun tonunu belirliyor ve iş ve güvenlik hedefleri arasında uyum sağlayabilir” diyor.
Erişilebilir ve net güvenlik rehberliğini koruyun
Güvenlik politikaları pratik, anlaşılabilir ve erişilebilir olmalıdır. Aşırı karmaşık veya modası geçmiş yönergeler sadece çalışanları karıştırmakla kalmaz, aynı zamanda kırılganlığı da arttırır. Politikalar düz dilde yazılmalı, gerçek dünya senaryolarında test edilmeli ve düzenli olarak güncellenmelidir. Bu kuralları yerleşik ve devam eden eğitime dahil etmek iyi uygulamaları güçlendirmeye yardımcı olur. Açık tabelalar, basit dil ve zamanında güncellemeler etkili yönetişime katkıda bulunur.
İlkeleri uygulamaya koymak
Her prensibe gerçek dünya örnekleri ve pratik öneriler eşlik eder. Örneğin:
- İlke 1: Satış çabalarını güvenlik engellemek yerine, satış ve BT ekipleri güvenli, verimli iş akışları oluşturmak için işbirliği yaparlar.
- İlke 2: Çalışanlar, şüpheli faaliyetleri yansımadan korkmadan işaretlemeye teşvik edilir.
- İlke 3: Çapraz fonksiyonel ekipler, yetkisiz araçlara güvenli alternatifler bulmak için birlikte çalışır.
- İlke 4: Konuklar dahili erişim vermek yerine güvenli bir Wi-Fi ağına yönlendirilir.
- İlke 5: Yöneticiler aşırı izinlerden kaçınarak erişim kontrolündeki en iyi uygulamaları güçlendirir.
- İlke 6: Eski pandemi dönemi politikaları gözden geçirilir, güncellenir ve açıkça iletilir.
Kültürel değişimi destekleyen araçlar
NCSC ayrıca davranışı etkileyen görünür ve gizli unsurları gösteren “Siber Güvenlik Kültürü Buzdağı” infografisi sunar. Yüzey düzeyinde eylemler-şifre politikalarını takip etmek gibi-daha derin organizasyonel değerler, liderlik uygulamaları ve takım dinamikleri tarafından desteklenmektedir.
- RBu temel ilkeleri, organizasyonS:
- Mevcut uygulamaları değerlendirmek için net geri bildirim mekanizmaları oluşturun.
- Politikaları işbirliği içinde geliştirmek veya geliştirmek için çeşitli paydaşları bir araya getirin.
- Kuralları iş hedefleriyle hizalayın ve kullanıcı dostu olduklarından emin olun.
- Güvenli davranışı kutlayın ve iyi alışkanlıkları güçlendirmek için teşvikleri kullanın.
İlgili
Medya Feragatnamesi: Bu rapor, çeşitli yollarla elde edilen iç ve dış araştırmalara dayanmaktadır. Sağlanan bilgiler yalnızca referans amaçlıdır ve kullanıcılar buna güvenmeleri için tam sorumluluk taşırlar. Cyber Express, bu bilgileri kullanmanın doğruluğu veya sonuçları konusunda hiçbir sorumluluk kabul etmez.