Tanrı aşkına ne düşünüyorlardı? İçerik devi Patreon kısa süre önce dış kaynaklı hizmetler karşılığında tüm dahili siber güvenlik ekibini görevden aldığında, biz ve diğer güvenlik uzmanları bunu merak ediyorduk.
Tabii ki, bu hareketin gerçek motivasyonlarını bilmiyoruz. Ancak dışarıdan bakanlar olarak, kararın siber güvenlikle ilgili sonuçlarının herhangi bir kuruluş için kaçınılmaz olacağını tahmin edebiliriz.
İç ekibi kovun ve büyük bir risk almış olursunuz.
Patreon, milyarlarca dolar gelir elde eden bir içerik oluşturucu sitedir. Bizim bilmediğimiz sebeplerden dolayı Patreon sadece birkaç çalışanı veya orta yönetimdeki birini işten çıkarmadı. Hayır: şirket tüm güvenlik ekibini kovdu.
Bu, önemli sonuçları olan büyük bir karardır, çünkü hesaplanamaz bir kurumsal bilgi kaybıyla sonuçlanır. Teknik düzeyde, iç güvenlik uzmanlarının sadece “bileceği” ve zamanla birikeceği, derin sistem karşılıklı bağımlılıkları hakkındaki yumuşak bilgi kaybıdır. Nadiren yazıya dökülen bilgi.
Takımı kovun ve tüm bu bilgi gitmiş olur. Yeniden inşa edilebilir mi? Muhtemelen, ama bir krizin ortasında, dışarıdan bir ekibin işleri çözmesi ne kadar sürer? Bu kimsenin tahmini değil, ama kolay olmayacak.
“Satın alma” ve “hemen şimdi”
Şirket içi ve dış kaynaklı ekipleri değerlendirirken ve şirket içi ekibinizi kovarken endişelenmeniz gereken iki şey daha var. Adanmışlık ve tepkiselliktir.
Bir müteahhit ne kadar bilgili olursa olsun, bir müteahhit asla şirketinizde sistemlerinizi yöneten dahili çalışanınızdan aldığınız katkıya sahip olmayacaktır. Sonuçta, müteahhitler bir sisteme sözleşmeli oldukları ve şirket kültürüne asla tam olarak entegre olmayacakları için bakarlar.
Bu, sorunların çözülme kararlılığını ve hızını ve bir ekibin bir sorunu çözmek için ne kadar yatırım yaptığını etkiler. Evet, SLA’lar performans standartlarına rehberlik edebilir, ancak önemli olduğunda, bir krizde, SLA, özel, dahili bir ekiple sahip olduğunuz acil “şu an” duygusunu asla tekrarlamaz.
Elbette, dahili ekipler bir sorunu anında çözemeyebilir. Yine de, bir güvenlik krizinin ortasında, istediğiniz son şey saati izleyen ve dikkatlerini birkaç müşteriye dağıtan bir grup müteahhittir.
Kaybedilen yeteneği değiştirmeyi unutun
Bunun gibi önemli bir karar verirken göz önünde bulundurulması gereken bir diğer nokta: Pişman olursak kararı geri alabilir miyiz? Evet, yeterli zaman verildiğinde Patreon, kaybettikleri yetenekleri ve bilgileri yeniden inşa edebilir. Ama şirket bunu yapacak yeteneği bulabilir mi?
Yetenek edinme, teknoloji pazarında önemli bir sorundur – yeteneği elde tutmak zordur ve yeni yetenekleri işe almak daha da zordur. Her iki durumda da, orta düzeyde bir yeterlilik düzeyini yeniden oluşturmak aylar ve aylar alacaktır.
Ayrıca, işe alınanların yeni ortamlarını ve çalıştıkları diğer ortamlardan ne kadar farklı olduğunu anlamak için zaman harcadıkları için büyük masraflara da yol açacaktır. Bunların çoğu deneyim yoluyla öğrenilir – hiçbir “en iyi uygulama” kılavuzu bunu tam olarak kapsayamaz.
Net sonuç istendiği gibi mi?
Patreon’un bu kararı neden verdiğini bilmiyoruz, ancak bu, dış kaynak kullanımı için ortak motivasyon olan maliyet tasarrufu sağlayan bir önlem olabilir. Ama olay şu: Gerçekten her şeyin üstünde olan dahili bir siber güvenlik ekibine yatırım yapmak, gerektiğinde maliyetten tasarruf etmenizi sağlayacak şekilde tasarlanmıştır.
Bir kuruluşun sistemleri saldırıya uğradığında, köklü, yüksek eğitimli bir şirket içi ekip başarılı bir ihlali önlemek için çalışmış olacaktır. Tüm bu sıkı çalışma, özveri ve bilgi, son derece güvenli sistemlere katkıda bulunur.
Bu siber güvenlik için bir zorluktur: İyi finanse edilmiş ve motive olmuş bir ekip işini iyi yaptığında, olayların olmaması dışında gösterecek hiçbir şey yoktur. Diğer taraftan, (daha ucuz?) bir dış yüklenici tarafından sağlanan yetersiz güvenlikten kaynaklanan olaylarla başa çıkmak ve temizlemek inanılmaz maliyetli olabilir.
Basın için kötü, finans için kötü, güvenlik için kötü
Şirket içi bir siber güvenlik ekibinin tamamını işten çıkarmak için maliyet tasarrufu dışında geçerli bir neden var mıydı? Yetkinlik eksikliği, içeriden risk, kişilerarası sorunlar, iletişim eksikliği veya iş hedeflerine ulaşamama? Bunların hepsi geçerli sebepler olacaktır.
Ancak geçerli bir sebep olsa bile sonuç iyi olmayacaktır. Siber güvenlik rejimlerindeki büyük, ani değişiklikler yanlış sinyal gönderdiğinden basında kötü yer var. Bu da, Patreon’un alt çizgisini yönlendiren yaratıcılara karşı güven kaybına yol açabilir.
En önemli risk bir siber güvenlik hatasıdır. En önemli risk, tüm bir iç güvenlik ekibini ateşlerken bir siber güvenlik hatasıdır. İç ekip yetersiz miydi? Belki de daha iyi bir çözüm, iç bilgiyi dış uzmanlıkla birleştirmek olurdu.
Artık dümende kimse yokken, Patreon’un hareketinin güvenlik çabaları için iyi sonuç vermeyeceğini ve onlarınkinin, Patreon’a içerikleriyle güvenmeye devam eden içerik oluşturucular için iyi sonuçlanmama riski olduğunu düşünüyoruz.
Siber güvenlik kolaylaşmıyor ve saygın ve güvenilir dış yardım bulmak da kolaylaşmıyor. Seçeneklerinizi tartarken, böyle bir harekete geçmeden önce durumunuzu iki kez kontrol etmelisiniz. En iyi karar olsa bile, itibar lekesini çıkarmak zor olurdu.