SA Power Networks, yıllık olarak gözden geçirmeyi ve güncellemeyi planladığı beş yıllık bir siber güvenlik stratejisi üzerinde çalışıyor.
Resim Kredisi: SA Güç Ağları
Konuşurken Itnews podcastSiber Güvenlik Başkanı ve BT esnekliği Nathan Morelli, bu yıl, kuruluşun ilk kez her beş yılda bir hazırlanan düzenleyici bir belgeden kendi bağımsız siber güvenlik stratejisine girdiğini söyledi.
Avustralya kamu hizmetleri, her beş yılda bir Avustralya Enerji Düzenleyici (AER) tarafından onay için ayrıntılı bir iş planı hazırlamalıdır.
Plan tipik olarak önerilen teknoloji harcamalarının ayrıntılarını içerir, ancak kolayca bulunamaz veya okunmaz.
“Ayrıntılı iş durumundaki 80 kişilik sayfa, harici olarak iyi sunulmuyor [to the public and also] Ekibimize tutunacak bir şey vermiyor ve ‘Ben bu yolculuğun bir parçasıyım. Yaptığımız şey bu, bunun için bir yol haritası ve bu yüzden ‘, ”dedi Morelli.
Bu, 2025-2030 arasında yer alan SA Power Networks’te siber güvenlik için beş yıllık iş vakasını üretmeye yönelik çabaya inanıyordu.
Morelli, “Şimdiye kadar gördüğüm siber güvenlikte finansmanın en ayrıntılı gerekçelerinden biri” dedi.
“Çok ayrıntılı bir süreçten geçiyorsunuz, ekonomistleri dahil ediyorsunuz, çok şey var.
“Bunu boşa harcamak istemedik [effort]. “
Sonuç, halka açık ve dahili olarak erişilebilir, bağımsız siber güvenlik stratejisi belgesidir.
SA Power Networks, Morelli’nin iyi karşılandığını söylediği siber güvenlik çalışmalarının yıllık bir incelemesini halka açık bir şekilde yayınlıyor.
“Yıllık raporlar hakkında çok fazla olumlu geri bildirim aldık ve bu, ekibimizin siber güvenlik topluluğunda rol oynamasına gerçekten yardımcı olan bir şey” dedi.
“Aynı şeyi istiyoruz [to happen] strateji ile. ”
“Strateji tüm kamu bilgileridir çünkü bu iş durumuna dayanmaktadır… ama neden olmasın [also] Aynı anda gerçekten prezentabl bir belge mi yapıyorsunuz?
“Biz [also] Yıllık güncellemeyi de yapmak istiyorum, böylece insanlar nasıl geliştiğini ve nasıl değiştirmemiz gerektiğini görebiliyorlar. ”
Açılış siber güvenlik stratejisinin yayınlanmasından haftalar sonra Morelli, stratejide belirtilen çalışma sırasının risk profilleri ve tehditlerdeki değişiklikler nedeniyle “ayarlanması” gerektiğini belirtti.
“Zaten bu noktadayız, eğer tekrar zamanımız olsaydı, yol haritasında farklı bir sipariş olurdu” dedi.
“Zaten o yol haritasını ayarlıyoruz. [But] Biz [also] Bir yıl içinde geri dönüp ayarlamak istiyorum. ”
Benzerlikler ve farklılıklar
Önceki beş yıllık dönemde, siber güvenliğin odak noktası, Güvenlik Operasyon Merkezi’ni (SOC) eklemek ve dış kaynak için önceki bir eğilimden sonra iç kapasiteyi yeniden inşa etmekti.
Dönem aynı zamanda ayakta durmaya ve yönetilen tespit ve yanıt (EDR/MDR), güvenlik olay ve bilgi yönetimi (SIEM) takımlarındaki davranışsal analiz yeteneklerinin ve kimlik ve erişim yönetimine daha fazla odaklanmaya odaklanarak karakterize edildi.
Bunlardan bazıları yeni siber güvenlik stratejisini sürdürürken, diğer stratejik sütunlar daha yenidir.
Örneğin, kimlik ve erişim “strateji çalışmasının önümüzdeki beş yıl içinde gerçekten önünde” dedi Morelli.
İç kapasite ayrıca kilit bir odak alanı olmaya devam etmektedir.
Morelli, “İyi egzersiz yapan harika, iyi eğitimli insanlara sahip olmak her zaman önemlidir” dedi. “Son beş yılda önemliydi ve önümüzdeki beşte önemli olacak.”
Daha yeni bir odak alanı örneği, bulut tabanlı ağ ve ağ kenarını güvence altına almaktır.
“Son beş yılda SASE hakkında düşünmek için bir organizasyon olarak olgunluğa sahip değildik [secure access service edge] ve bulut tabanlı ağ oluşturma, ”dedi Morelli.
“Şimdi gerçekten odaklandığımız bir şey ve [will be] Önümüzdeki iki yıl içinde bunu gerçekten iyi sunmaya odaklandı – bunu süreçlere entegre ettiğimizden emin olmak ve insanların gerçekten iyi bir üretkenlik sonucu elde ettikleri, ancak bunu gerçekten güvenli bir şekilde yapıyorlar. ”
Zaten öncelikler
2025-2030 için siber güvenlik stratejisinde özetlenen 12 temel girişimden ikisi kimliğe odaklanmaktadır: kimlik ve erişim kontrollerini geliştirmek ve kimlik yönetimi. Zaten, bu çalışmanın zaman çizelgesi, hızla gelişen tehdit manzarasını yansıtan stratejideki tarihlere kıyasla ileriye taşındı.
Morelli, “Yapmayı planladığımız ancak başlangıçta stratejinin ikinci yarısına ittik. “Olaylara ve gördüklerimize dayanarak girişimleri karıştırmalıyız.”
Önceki beş yıllık dönemde, SA güç ağları – diğer faaliyetlerin yanı sıra – siber güvenlik işlevinin temel bir yeteneği olarak gömülü kimlik. Morelli, “Bu yeteneği takıma entegre ettik ve gömdük,” dedi.
Şirketin kimlik altyapısı SailPoint Technologies, Ping Kimliği ve Microsoft Active Directory’den (AD) oluşur, ancak Morelli AD yönetiminin oldukça otomatik olduğunu söyledi. “Rol tahsisi ve rol yönetişimi sürecini olabildiğince otomatikleştirmeye çalışıyoruz.”
Çalışmalar arasında SA Power Networks, sistem ve veri sahiplerine “çok fazla erişim yönetimini ademi merkeziyetçi” ve kimin ne düzeyde erişim gerektiğini anlamak için yerleştirildiklerini düşünüyor. Siber güvenlik, bu modelde bir yönetişim ve eğitim rolünü sürdürecektir.
Bulut güvenliği
Siber güvenlik stratejisindeki önemli bir eylem öğesi de bulut güvenliği ile ilgilidir. Özellikle, şirket “korunmasız depolama gibi bulut ortamına özgü güvenlik açıklarının ve yanlış yapılandırmaların tanımlanmasını sağlamak ve bu bulutla ilgili risklerden yararlanma şansını en aza indirmek için bir bulut güvenlik platformu uygulayacaktır.
Sa Power Networks’ün sadece son 12 ila 18 ay içinde bulutta koşmak için “kendi şirket içi uygun modern gelişmelerini yapmaya başladığını”, Siber Güvenlik Başkanı ve Dayanıklılık Nathan Morelli dedi.
Artık geliştirme döngüsünde endişeleri belirleyen güvenlik ekibine güvenmek yerine, bazı güvenlik sorumluluklarını yazılım geliştiricilerine ‘kaydırmak’ istiyor.
SA Power Networks, CI/CD takımlarına dahil edilen korkulukların ve yeni bulunan görünürlüklerin bir kombinasyonu ile desteklenen geliştirme ekiplerinin takip etmesi için bazı Devsecops ilkelerini hazırladı.
Aynı zamanda, güvenliği yerleştirmek ve bulut hizmetlerinin ihtiyaç duyulduğuna ve ölçeklendirme şekline güvence koymak ve güvence altına almak için kodu olarak altyapı (IAC) alanına da taşınmak istiyor.
Azure ekosisteminde bazı yerli takımlar olsa da, Morelli bu aletin Wiz kadar “sezgisel” olmadığını veya risk varlıklarının veya potansiyel saldırı yollarının belirlenmesinde yararlı olmadığını belirtti.
“Biz büyük bir saldırı yolu türüyiz. Bu yaklaşımı seviyoruz [identifying] Saldırı yolları, risk varlıklarınız nerede ve onlara ulaşmanın en hızlı yolu nedir? Wiz’de yaptığımız bazı çalışmalar saldırı yolları etrafında ve bu Azure’da doğal olarak mevcut değil. ”