Avustralya’nın önde gelen BT hizmetleri sağlayıcısı Interactive’e göre, geniş bir güvenlik alanı yelpazesi yerine birkaç temel sütuna odaklanmak, başarılı bir siber güvenlik programının anahtarıdır.
Interactive’in yanı sıra küçük bir şirket ve büyük bir devlet kurumu için güvenlik programları yürüten Interactive baş bilgi güvenliği sorumlusu Fred Thiele, varlık ve veri yönetimi, güvenlik açığı yönetimi ve kimlik yönetiminin üç sütununu ele almanın, Sorunların büyük bir kısmı mevzuata uygunluk veya siber güvenlik çerçeveleri kapsamındadır.
Thiele, “Bu çerçevelere bakarsanız takip edebileceğiniz yaklaşık 20 parça veya bileşen var” dedi.
Siber güvenlik liderlerinin üç sütunu ele almak için ortamlarını, sahip oldukları veri türünü ve bu verileri nasıl topladıklarını, sakladıklarını ve sınıflandırdıklarını kapsayan bir keşif süreci uygulaması gerekiyordu. Bu süreç varlık yönetimiyle el ele yürüdü.
Thiele, ikinci parçanın güvenlik açığı yönetimi olduğunu ve “bu, zamanın başlangıcından beri mevcut olmasına rağmen, çok az insanın doğru anladığı bir şeydi” dedi.
Yıllık raporların incelenmesi, şirketlerin çeşitli şekillerde tehlikeye atıldığını gösterdi. Thiele, “Tamamen eğitim ve farkındalıkla ilgili olan bir sosyal mühendislik boyutu var, ancak aynı zamanda bir bilgisayar korsanının bir güvenlik açığı aracılığıyla bir ortama silahlı bir istismarla sızdığı pek çok vaka da var” dedi. “Bu durumlarda şirket güvenlik açığını kapatmış olsaydı sorun yaşamayacaklardı.
Uç noktaları korumaktan kimlikleri korumaya geçiş
Kimlik yönetimi üçüncü sütundur ve Thiele’ye göre uç noktaların korunmasından kimliklerin korunmasına geçişten kaynaklanmaktadır. Ancak birçok kimliğe aşırı ayrıcalıkların atanması sorunu ortaya çıktı ve bu da düşük seviyeli bir kimliğin ihlal edilmesi durumunda bile kuruluşa gelebilecek potansiyel hasarı artırıyor.
Thiele, işletmelerin kimlik riskini üç şekilde en aza indirebileceğini söyledi. Birincisi, her kimliğin rol tabanlı bir erişim kontrolü matrisine doğrulanmasıyla, ortamlarındaki kimlikleri değerlendirme biçimleri konusunda tutarlı olmaktır. İkincisi, kullanıcı bağlamını anlamaktır ve Thiele, güvenlik açısından uygun olmayabilecek bir çalışanın yabancı bir yerden oturum açmasına izin verilmesi örneğini aktarır. Üçüncüsü, erişim ayrıcalıklarını sürekli olarak değerlendirmek ve kişinin iş içindeki durumu veya koşullarındaki değişikliklere uygun olarak değişiklikler yapmaktır.
Thiele sözlerini şöyle tamamladı: “Varlık ve veri yönetimini, güvenlik açığı yönetimini ve kimlik yönetimini doğru şekilde yaparsak sorunlarımızın çoğu ortadan kalkar.”