“Askeri Şartname” veya “MIL-SPEC” terimleri, kulağa hükümet bürokrasisi gibi gelebilir. Bununla birlikte, ordu tarafından kullanılan her ekipmanın – vidalar, elektronik ve plastik gibi bileşenlerine kadar – belirli standartları karşılaması gerekliliği, ABD’nin Soğuk Savaşı neden kazanabildiğinin tartışmasız nedeniydi.
ABD ordusu kaliteye odaklanırken, Sovyetler Birliği, niceliğin niteliğin önemli bir parçası olduğu şeklindeki kendi doktriniyle niceliğe odaklandı. Rejim, sonsuz sayıda tank ve uçağın herhangi bir çatışmayı kazanmalarına izin vereceğine inanıyordu; bunun hatalı bir düşünce olduğu ortaya çıktı.
ABD ordusu için kalite ve oraya ulaşmak için gereken ayrıntılar kritik olmaya devam ediyor. Bunu ABD Hava Kuvvetleri’ndeki hizmetim sırasında F-16 savaş uçakları üzerinde çalışarak geçirdiğim yedi yıldan ilk elden biliyorum. O uçağa takılan her şeyin bir MIL-SPEC derecesine sahip olması gerekiyordu, yoksa yeterince iyi değildi. MIL-SPEC, örneğin bir devre kartı oluşturmak için kullanılan malzeme veya bileşenin, bileşeni arıza noktasına itecek şekilde test edilmesi gerektiği anlamına gelir; bu, tasarlandığı işletim gereksiniminin çok ötesindedir. için. Bu, donma, çözülme, ısınma, titreşim, düşme, basınçlandırma, basınç düşürme ve elektromanyetik darbelere (EMP’ler) maruz kalmayı içerir ancak bunlarla sınırlı değildir. ABD’nin aya bir adam göndermesine, göklere hükmeden gizli savaşçılara ve “suda bir delik gibi açılan” denizaltılara sahip olmasına izin veren kaliteye bu odaklanmaydı.
Özellikle bütçeler sınırlı olduğunda, kurumsal siber güvenlik için kaliteye odaklanmak da yol gösterici ilke olmalıdır. Miktarın işe yaramadığı giderek daha açık hale geliyor; Siber güvenlik araçlarına ve hizmetlerine yapılan harcamalar yılda %12’den fazla artıyor, ancak veri ihlalleri katlanarak artıyor ve bir araştırmaya göre 2025 yılına kadar zararları muhtemelen yılda 10 trilyon doları aşacak. McKinsey raporu. Bu zorluğun ortasında, bir ekip oluşturmaktan ürünleri test etmeye ve bir saldırı planlamaya kadar yolun her adımında kaliteyi benimsemek çok önemlidir.
Askeri Deneyime Sahip Bir Ekip Oluşturun
olarak Devlet destekli saldırı tehdidi büyüyorŞirketler, ister dahili ister harici bir sağlayıcı aracılığıyla olsun, siber ekipleri devlet veya askeri sektörlerde deneyime sahip kişilerden oluşuyorsa büyük fayda sağlayabilir. İşletmeler, Rusya ve Çin gibi yerlerden gelen devlet destekli saldırıların büyüyen bir tehdit olduğunun farkında; %42’si ankete katılan şirketler devlet destekli bir saldırı nedeniyle kendilerini risk altında hissettiklerini ve yarısı zaten bir saldırıda hedef alındıklarını söyledi. Ancak ankete göre, çok az kişi bu tür karmaşık saldırıları önleyecek ve hafifletecek kaynaklara sahip.
ile profesyoneller askeri veya devlet işlerinde geçmiş devlet destekli bilgisayar korsanlığı gruplarından gelen tehditleri bulma ve değerlendirme söz konusu olduğunda özellikle değerlidir. Bu tür tehditlerin teknik özelliklerine daha aşina olmanın yanı sıra, ordudan veya hükümetten gelenler, devlet destekli bilgisayar korsanlarından gelebilecek potansiyel tehditleri değerlendirirken göz önünde bulundurulması gereken, değişen jeopolitik manzara hakkında değerli bilgiler sağlar. Askeri veya hükümet geçmişi de bu uzmanları süreçlerin ve iletişimin önemini anlamaya hazırlar. Bunlar, bir şirketin siber güvenlik durumunun kalitesini belirleyebilecek iki unsurdur.
Test Et, Test Et ve Tekrar Test Et
Tıpkı F-16’larda kullandığım her unsurun en aşırı senaryolara dayanması gerektiği gibi, bir şirketin siber güvenlik önlemleri de öyle olmalıdır. ilgi çekici profesyonel kırmızı ekip veya etik hackerlar Bir şirketin BT sistemine sızmaya ve kontrolünü ele geçirmeye çalışan, savunma araçlarının ve stratejilerinin kalitesini kontrol etmenin en iyi yollarından biridir. Gerçek hayat testi, hangi araç ve politikaların çalıştığını ve hangilerinin değiştirilmesi veya iyileştirilmesi gerektiğini belirlemenin tek yoludur.
ABD Hava Kuvvetleri’nin gerçekleştirdiği ortak tatbikatlar ve Operasyonel Hazırlık Teftişlerine benzer şekilde, bu tür testler düzenli olarak yapılmalıdır. Önemli yeni bir tehdidin ortaya çıkması veya sızma gibi kritik olaylar da kapsamlı testleri tetiklemelidir. A kırmızı bir ekiple etkileşim kurmanın kilit kısmı iletişimin iyi olduğundan ve işe alan şirketin ne yapıldığına, sonuçların ne olduğuna dair tam bir rapor ve bulguları hafifletmeye yönelik öneriler aldığından emin olmaktır. Bu teknik yönlerin daha sonra teknik olmayan kurumsal liderlerin anlayabileceği bir dile ve kavramlara çevrilmesi gerekir; siber güvenlik açıklarının bir işletmenin kâr hanesi üzerindeki etkisi, büyüme potansiyeli ve genel risk durumu. Bu şekilde, bu karar vericiler en çok neyin risk altında olduğunu ve siber duruşlarının gerçek yaşam kalitesini iyileştirmek için nereye yatırım yapmaları gerektiğini anlayacaklar.
Masaüstü Egzersizlerini Hafife Almayın
Tatbikatları saldırı gerçekleşmiş gibi tutmak, bir şirketin müdahale kalitesini ve teknik düzeyin çok ötesinde hafifletme yeteneklerini test edebilir. Bir siber saldırı artık sadece teknik bir olay olmadığı için bu giderek daha önemli hale geliyor; saldırılar ve veri ihlalleri, yasal ve halkla ilişkiler zorluklarının yanı sıra önemli iş kesintilerine neden olur.
Gerçek şu ki, kaliteli savunmalarla bile çoğu kuruluş bir noktada bir tür saldırının veya veri ihlalinin kurbanı olacaktır. Ancak, bir şirket içindeki tüm taraflar müdahale prosedürlerini anlarsa, rollerini bilirlerse ve iyi iletişim kurarlarsa, zarar azaltılabilir veya ortadan kaldırılabilir. Kuruluşların, kaçınılmaz olanla mümkün olan en iyi şekilde nasıl başa çıkacaklarını anlamaları gerekir.
Şirketler bu adımları attığında bilgisayar korsanlarına karşı daha fazla şansa sahip olurlar. Siber suçlular genellikle sınırsız zamana ve birçok araca sahiptir – tıpkı Sovyetler Birliği gibi. Şirketler, araçlarının ve süreçlerinin en yüksek kalitede olmasını ve savaşta kendilerini kanıtlayabilmesini sağlayarak buna karşı koymalıdır.