WannaCry’dan MOVEit’e kadar siber ‘olayların’ olduğu bir çağda yaşıyoruz. Ancak bir satıcının kendisini bu kadar büyük bir olayın merkez üssünde bulması inkar edilemez derecede nadirdir. CrowdStrike’a girin. CrowdStrike BT kesintisinin bir siber olay olmadığını belirtmek çok önemli olsa da, CrowdStrike’ı küresel ilgi odağı haline getirdi ve dünyayı şu soruyu sormaya zorladı: Bazı kuruluşlara çok mu bağımlıyız? Böyle bir şey olsa ne olur yaptım siber saldırı nedeniyle mi oldu?
Bu tür (ve büyüklükte) bir olayın hemen ardından, insanlar yanıt, sorumluluk ve hesap verebilirlik talep ediyor. Bu, kriz anlarında oldukça insani bir tepkidir. Başarısızlıkların temel nedenlerini anlamak, daha dayanıklı bir topluluk oluşturmak için çok önemlidir. Siber güvenlik uzmanları için herhangi bir siber, BT veya daha genel anlamda teknolojiyle ilgili bir olayın ardından, bir düşünme dönemi ve temel nedenleri anlama dürtüsü vardır. Bunu bilmek, kalıcı etkinin yol haritasını çıkarmamıza ve önleme ve müdahale planlarını uygulamaya koymamıza yardımcı olur.
Son zamanlardaki BT kesintisi, geleneksel bir siber güvenlik ihlali olmasa da, güvenli yazılım geliştirmenin kritikliğinin altını çiziyor. Temel altyapı için bir avuç şirkete güvenmek, tek başarısızlık noktalarına ve üçüncü taraf risk açıklarına neden olur ve bu da son derece risklidir.
CISA’nın Güvenli Tasarım taahhüdü, güvenli yazılım geliştirme için doğru yönde atılmış bir adımdır ve kuruluşları geliştirme süreçlerinde güvenliğe öncelik vermeye teşvik eder. Ancak endüstri çapında benimsenme, düzenleme, hükümet rehberliği ve işbirlikçi çabaların bir kombinasyonunu gerektirir. Tasarım gereği bina güvenliği, özellikle mevcut sistemlerin yenilenmesiyle ilgili zorluklar nedeniyle çok önemlidir. Güvenli bir şekilde inşa etmek ilk başta üretimdeki en hızlı veya en ucuz yöntem gibi görünmese de, özellikle uzun vadede maliyet ve zamandan tasarruf sağladığı için göz ardı edilemeyecek bir sorumluluktur.
Bunun gibi bir olayı anlamanın kesinlikle güvenlik hususları olmasına rağmen, müşteriler, iş ortakları ve paydaşlar söz konusu olduğunda hasar kontrolünü sağlamanın kriz iletişimi tarafı da vardır. Bir krizin halkın gözü önünde ve dışında ele alınma şekli bir şirketin geleceğini etkileyebilir veya bozabilir.
CrowdStrike’ın olayı iyi idare ettiğini düşünüyorum. Neden? Çünkü şirket şeffaftı. CrowdStrike parmakla işaret etmek yerine ilerlemeye odaklandı. CrowdStrike, düzenli açıklamalar ve ayrıntılı bir olay sonrası soruşturma raporu yayınlayarak daha geniş topluluğun yanı sıra müşteriler ve iş ortaklarını da gelişmelerden haberdar etti. Raporda aynı zamanda aşırı paylaşım yapılmadan durumun devam ettiği kabul ediliyor ve bazı kararların neden alındığı da özetleniyor. Siber güvenlikte gizlilik kisvesi altında çok fazla şey oluyor, dolayısıyla bu durumlarda şeffaflık çok önemli.
Öte yandan CrowdStrike, olayın ardından toplulukla daha mütevazı bir şekilde etkileşime girecek gibi görünüyor. Bu yıl DEF CON’da ‘En Epik Başarısız’ Pwnie ödülünü kabul etmek, her ne kadar oldukça yeni olsa da, yumurtayı olduğu gibi kabul etmenin bir yoludur. Bu, durumun ciddiyetini ortadan kaldırmasa da stratejik olarak CrowdStrike’ın topluluk içindeki itibarını yeniden inşa etmek için izlediği yaklaşımı gösteriyor.
Kesin olan bir şey var ki, sektör olarak bizim varsayılan olarak şeffaflığı benimsememiz gerekiyor (ve sadece kriz zamanlarında değil). Açıklık güvenlik, paydaş memnuniyeti ve dayanıklılık açısından çok önemlidir.
Elliott Wilkes, Gelişmiş Siber Savunma Sistemleri’nde CTO’dur. Deneyimli bir dijital dönüşüm lideri ve ürün yöneticisi olan Wilkes, hem Amerikan hem de İngiliz hükümetleriyle on yıldan fazla çalışma deneyimine sahiptir ve son olarak Kamu Hizmetinde siber güvenlik danışmanı olarak görev yapmıştır.