YORUM
Hassas verileriniz söz konusu olduğunda, en değerli varlıklarınızın nerede olduğunu bilmemek ve bunların yeterli düzeyde güvenliğini sağlamamak, felaketle sonuçlanabilir. Veri dayanıklılığı alt kümesidir siber dayanıklılık bir organizasyonun veri varlıklarına odaklanmıştır. Güvenlik ekiplerinin, verilerini etkili bir şekilde güvence altına almak için hassas veri depolarının nerede bulunduğunu ve içinde ne olduğunu anlayarak veri dayanıklılığına yönelik stratejik bir yaklaşıma ihtiyaçları vardır.
Veri keşfi ve sınıflandırması, veri güvenliği, veri yönetimi ve veri koruması (yedekleme ve kurtarma) için temeldir. Varlığından haberdar olmadığınız bir şeyi güvence altına alamazsınız (keşif) ve riskinizi azaltmak için uygun eylemi gerçekleştirmek üzere bir veri deposunun içinde ne olduğunu bilmeniz gerekir (sınıflandırma).
En sonuncum Girişim Stratejisi Grubu araştırmasıMeslektaşım Jon Brown ile birlikte yürüttüğüm , kuruluşların veri güvenliği duruş yönetimi (DSPM), veri güvenliği (şifreleme, maskeleme vb. ile veriyi güçlendirme), veri koruması (yedekleme ve kurtarma) ve veri yönetişiminin kesiştiği nokta olan veri dayanıklılığını nasıl sağladıklarını araştırıyor. Orta ölçekli ve kurumsal şirketlerden 370 BT ve siber güvenlik uzmanına veri dayanıklılığı ve DSPM hakkında anket yaptık. Hızla gelişen DSPM alanında, araştırma, hassas verileri bulmak, kategorize etmek ve bunlarla ilgili politikalar oluşturmak için bir DSPM dağıtımının ilk aşamasının yanıt verenlerin %76’sı için altı aydan az sürdüğünü, en büyük kümenin yanıt verenlerin %40’ından fazlası için dört ila altı ay olduğunu buldu.
DSPM tedarikçileri, teklifleri için değere ulaşma süresi (TTV) açısından kendilerini farklılaştırır ve farklı teknolojilerin TTV üzerinde muhtemelen önemli bir etkisi vardır. DSPM’yi uygulamak, insanları, süreci ve teknolojiyi bir araya getiren diğer projeler gibidir. Bir teknoloji dağıtımını operasyonel hale getirmek için gereken zamanın çoğu, denklemin insan ve süreç tarafından gelir. TTV değişse de, çeşitli baş bilgi güvenliği görevlileri (CISO’lar) ve tedarikçilerle konuşurken, bir projedeki tipik adımların şunlar olduğunu gördük:
-
Paydaşları uyumlu hale getirin ve planlayın.
-
Açığa çıkan veri depolarını belirleyin ve azaltın.
-
Kritik verilerin bulunduğu veri depolarını belirleyin.
-
Verileri (PCI DSS için kart sahibi verileri, korunan sağlık bilgileri, kişisel olarak tanımlanabilir bilgiler, GDPR kapsamındaki bilgiler) kuruluşunuzun kategorilerine (genel, dahili, hassas, kısıtlı) göre sınıflandırın.
-
Veri sahiplerini belirleyin/yetkilendirin.
-
Hassas/kısıtlı verilere erişimi olan kullanıcıları belirleyin ve erişimin gerekli olduğunu doğrulayın (eski erişim sorunu).
-
Erişimi, bilmesi gerekenle, en az ayrıcalıkla sınırlayın.
-
Yanlış yapılandırmaları belirleyin ve azaltın.
-
Sınıflandırmaya göre verileri korumak için gerekli güvenlik kontrollerini belirleyin.
Her ikisiyle de konuşurken güvenlik liderleri ve DSPM satıcıları için, paydaş uyumunu sağlama ve lansman için planlamanın ilk adımı muhtemelen proje başarısı için en önemli adımdır. İşte tüm adımlar:
-
Önemli paydaşları dahil edin: GRC (yönetim, risk ve uyumluluk), veri ekipleri, BT veri koruması, bulut mimarları ve güvenlik ekipleri gibi temel paydaşları hizalayarak başlayın. Herkesin DSPM dağıtım sürecindeki hedefleri, faydaları ve ilgili rollerini anladığından emin olun. Kazan-kazan’a odaklanın.
-
Hedefleri, tanımları ve ölçütleri tanımlayın: Veri ifşasını azaltma, uyumluluğu sağlama, genel veri güvenliği duruşunu iyileştirme veya üretken AI dağıtımını kolaylaştırma gibi DSPM girişiminin hedeflerini iş birliğine dayalı olarak belirleyin. Hangi verilerin işletme ve veri sınıflandırma tanımları açısından hassas olduğuna ulaşın. İlerlemeyi ve başarıyı ölçmek için temel performans göstergeleri (KPI’ler) üzerinde anlaşın. Önceden planlama yapmak, proje ilerledikçe sürtünmeyi önler veya en aza indirir.
-
Yöneticilerin katılımını güvence altına alın: DSPM’nin veri risklerini azaltma, düzenleyici uyumluluğu sağlama ve iş hedeflerini desteklemedeki önemini vurgulayarak paydaşlara net bir durum sunun. Kaynak tahsisi ve önceliklendirme için yukarıdan aşağıya destek sağlayın. DSPM’nin birçok paydaşı vardır ve yönetici desteği almak yeterli kaynak sağlamayı ve ekibin yanıt vermesini sağlar.
-
Rolleri ve sorumlulukları atayın: Her ekibin sorumluluklarını açıkça tanımlayın. Örneğin, GRC uyumluluk ve politika uyumuna odaklanacak, veri ekipleri veri sınıflandırmasını ve sahipliğini yönetecek ve güvenlik ekipleri güvenlik kontrollerinin ve izlemenin uygulanmasını denetleyecek.
Doğru yolda ilerlemek ve proje başlangıcında uyumu yakalamak, DSPM projenizin genel başarısı için şansınızı artıracaktır.
En son haberleri kaçırmayın Karanlık Okuma Gizli podcast, Iowa’nın Dallas County bölgesinde kalem testi işlerini yaptıkları için tutuklanan ve geceyi hapishanede geçirmek zorunda kalan iki siber güvenlik uzmanıyla konuşuyoruz. Şimdi dinle!