“Şifrelemeye ihtiyacımız var! Bunu baştan sona yapın! Bunu her yerde uygulayın!”
Tanıdık geliyor mu? Bunlar şu anda birçok CISO’nun aldığı talimatlardır. Bunlar, artan fidye yazılımı saldırıları dalgasından alarma geçen, müşterilerden ve düzenleyicilerden gelen gizlilik baskılarına yanıt vermek için çabalayan ve kolay, hatasız bir çözüm bulmak için çılgınca çabalayan üst düzey yönetim ekiplerinden geliyor.
Siber güvenlikte neredeyse her zaman olduğu gibi, CISO’lar hiçbir çözümün tamamen hatasız olmadığını biliyor. Yine de şifreleme kesinlikle bir varlık olabilir. Akıllıca kullanıldığında, bir şirketin kurumsal ağlara yetkisiz girişlere ve şirket ve müşteri verilerinin çalınmasına karşı en iyi savunması olabilir.
Ve şifrelemenin dağıtımı hiç bu kadar kolay ve uygun maliyetli olmamıştı. Şirketlerimizin yatırım yaptığı teknoloji ürünlerinin çoğu artık varsayılan şifreleme ayarlarıyla birlikte geliyor. Dahili yazılım mühendisleri, tasarım gereği güvenli ilkelere göre yeni uygulamalar ve hizmetler geliştirirken sıklıkla şifreleme yeteneklerini de dahil ederler.
Kısacası şifreleme, yeni bir arabadaki hava yastıkları gibi birçok yeni yazılım ürününün standart bir güvenlik özelliğidir.
Ama kolay mı? Kusursuz mu? Kesinlikle hayır. CISO’lar, şifrelemenin aşırı derecede ve çok az düşünülerek uygulandığında BT güvenliği işini çok daha zorlaştırabileceğinin ve aslında yeni riskler.
Rastgele uygulandığında şifreleme, güvenlik operasyonları ekiplerinin sistemleri ve verileri izlerken ihtiyaç duyduğu görünürlüğü azaltabilir. Bu, siber suçluların kötü niyetli faaliyetlerini gizlemek için kullandıkları kör noktalar ve gölgeli köşeler oluşturur. Ve bu saldırganlar, şifrelemeyi kendileri kullanma konusunda kesinlikle beceriksiz değiller. Örneğin, kötü amaçlı yazılımları gizlemenin harika bir yolu.
Peki cevap nedir? CISO’lar, üst düzey yönetim ekiplerinin şifrelemeyle ilgili sorunlarda gezinmesine ve şirketlerini bu teknolojiden en iyi şekilde yararlanırken riskten kaçınmalarını sağlayacak dengeli bir yaklaşıma yönlendirmelerine stratejik olarak nasıl yardımcı olabilir?
Risk yönetimi kaslarınızı esnetin
Ne zaman ve nerede şifreleneceğine (ve şifrenin çözüleceğine) karar vermek, bir şirketin risk yönetimi süreçleri ve uygulamalarının gerçek bir testidir. BT güvenliği açısından bakıldığında bu, tehdit modelleme konusunda oyununuzu geliştirmek anlamına gelir. Saldırganlar veya içerideki kötü niyetli kişiler için en kritik hedefleri belirlemek amacıyla genel BT ve iş ortamının derinlemesine anlaşılması gerekir. Buna ek olarak şifrelemenin iş üzerindeki potansiyel etkisini anlama ihtiyacı da ortaya çıkar; çünkü uçtan uca şifreliyorsanız veri dönüşümlerini veya alt iş süreçlerini etkileme tehlikesi her zaman vardır. Bazı veri türleri şifreleme için bariz adaylar olabilir, bazıları ise olmayabilir. Hatta bazıları, hem ağ trafiğini hem de bireysel veri öğelerini şifrelediğiniz çift şifrelemeyle sonuçlanabilir. Ancak tüm bunların, eldeki spesifik iş süreci ve potansiyel riskler ile sistem performansı ihtiyacı ışığında değerlendirilmesi gerekir. İş için en iyi neyin işe yarayacağını belirlemede çoğu zaman vurulması gereken hassas bir denge vardır.
Uç güvenliğini yönetin
Şifrelemeyle birlikte, başta kurumsal dizüstü bilgisayarlar ve mobil cihazlar olmak üzere uç cihazların ve hizmetlerin güvenliğinin sağlanmasına daha fazla dikkat edilmesi ihtiyacı ortaya çıkıyor. Çoğu şirkette bunun, şifrelemenin bir şirketin en uç noktalarını güvence altına almada önemli bir rol oynadığı, Kovid-19 salgını sırasında uzaktan çalışmaya geçişle tetiklenen, devam eden daha geniş bir çabanın parçası olması muhtemeldir.
Pek çok şirket, çalışanların bilgi işlem cihazları için yönetilen kurumsal tarayıcı teknolojilerini benimsiyor ve BT güvenlik ekiplerinin birden fazla işletim sistemi ve cihaz genelinde tarayıcı politikalarını, ayarlarını, uygulamalarını ve uzantılarını merkezi bir konumdan yapılandırmasına ve yönetmesine olanak tanıyor.
Bazıları, ağ ve bulutta yerleşik güvenlik teknolojilerini bir araya getiren ve genellikle bir şirketin ucuna gelen ve giden trafiği denetlemek için satır içi trafik şifreleme ve şifre çözme yeteneklerini içeren bir bulut mimarisi modeli olan SASE (tek erişim hizmeti kenarı) teknolojilerini benimsiyor. Kullanılan teknoloji ne olursa olsun, daha fazla şifreleme, güvenlik ekipleri için son kullanıcı sistemlerine daha fazla odaklanmak anlamına gelir ve bu da son kullanıcılar için performans etkileri yaratabilir.
Farklı Düşün
Her şeyden önce CISO’ların ve ekiplerinin, şifrelemenin uygulandığı kurumsal sistemleri nasıl izleyecekleri ve koruyacakları konusunda farklı düşünmeleri gerekiyor. Aynı hedeflere ulaşmanın çoğu zaman birden fazla yolu olduğunun farkına vararak yaratıcı olmanın zamanı geldi.
Yaratıcılık aynı zamanda risk, iş ve güvenlik gereksinimleri gibi tüm gereklilikleri bir araya getirme ve tüm bunları karşılayan seçenekler ortaya koyma konusunda da devreye giriyor. Tüm bunları bir araya getirmek çok fazla deneyim, işlevler arası bilgi ve hayal gücü gerektirir. Ekiplerini bu yolculuğa çıkarma ve şifreleme görünürlüğü azalttığında, güvenlik sorunları ve olayları hakkında ihtiyaç duydukları bilgileri almak için genellikle bakılacak başka yerler olduğunu anlamaları için ihtiyaç duydukları becerilere sahip olmalarını sağlama sorumluluğu güvenlik liderlerine aittir. .
Ayrıca şirket içi geliştiricilere, üzerinde çalıştıkları uygulama ve hizmetlere şifrelemeyi dahil etmeyi düşünmeleri (ve belki de düşünmemeleri) konusunda rehberlik etme konusunda da oynayacakları bir rol var.
Dolayısıyla, şifreleme sorunu ortaya çıktığında (ve çıkacak), CISO’nun öne çıkıp işletmelerinin bu teknolojiyi olması gerektiği gibi hassas bir araç olarak uygulamasına yardımcı olacak oldukça sağlam görüşmelere öncülük etme zamanı gelmiştir. kör bir alet ya da daha kötüsü, iki ucu keskin bir kılıç.