Güvenlik uzmanlarına göre siber güvenlik tehditlerine karşı mücadelede bütüncül bir plan geliştirilmesi en önemli konuların başında geliyor.
Güvenlik uzmanları şirketleri siber tehditleri önleme konusuna odaklanmayı ihmal etmemeleri konusunda uyarıyor. Başınıza gelebilecek en büyük siber tehdit elektrik şebekenizi ya da kritik altyapı bileşenlerinizden birisini etkileyecek düzeyde olmayabilir. Engellemek üzere her daim odaklanmış olduğunuz internet platformundaki saldırıların kolektif olarak gizliliğinize zarar verebilecek düzeye ulaşması neticesinde ortaya çıkabilecek hasarlar sizin için çok daha büyük bir risk teşkil ediyor olabilir.
Palo Alto Networks şirketinin önemli güvenlik çalışanlarından olan Rick Howard, siber güvenlik tehditlerle ilgili olarak operasyonlara kolektif olarak zarar verebilecek tehditlerle konusunda eşik noktasında olduğumuzu belirtiyor.
Güvenliğe meydan okumanın bir sanal Pearl Harbor olmadığını söyleyen Howard, günümüzdeki internet kullanma alışkanlığıyla ilgili olarak şunları dile getiriyor: “Ailemizle ve arkadaşlarımızla iletişim kurarken ya da işimizdeki operasyonları yürütürken interneti yaygın bir şekilde kullanıyoruz. Kullanımımız esnasında binlerce açık ve bu açıklardan kaynaklanan pek çok ihlali yaşıyor olmamıza karşın 15 yıl önce düşündüğümüz gibi düşünmüyoruz. Ve tam bu noktada bir Pearl Harbor yaşayacağımıza dair ipuçları ön plana çıkıyor. Mevcut ortamda güvenlikle ilgili detayların ötesinde dijital alandaki gizliliğimizi küçük parçalar halinde kaybetmemiz söz konusu.” Peki ama güvenebileceğimiz bir ortamın olmaması noktasına ulaştığımızda toplum olarak ne yapabiliriz.
Howard, şirketlerin güvenlik konusunda çok daha temel engeller ve hamleler yapması gerektiğine dikkat çekiyor. Howard’a göre güvenlik konusunda atılacak adımlarda dijital altyapıdaki tüm detayın sürece dahil edilmesi ve operasyonlarla ilgili somut risklerin kavranması önem taşıyor.
Sektörde siber güvenlik alanında ön plana çıkan pek çok nesne olduğunu dile getiren Howard, ağ güvenliği konusunda çalışan kişilerin yapması gereken en önemli çalışmanın bulundukları ortamda kendileri için nelerin endişe verici, nelerin daha basit düzeyde olduğuyla ilgili sağlam bir risk analizi yapmak olduğunu belirtiyor.
Palo Alto Networks şirketinin CSO’su John Davis, güvenlikle ilgili reaktif bir davranış benimseyen şirketlerin daha çok şirket ağına erişmek isteyen korsanların saldırılarını önlemeye odaklandığına dikkat çekiyor. Davis, şirketlerin korsanlar tarafından tek seferde verilebilecek zarardan çok veri ihlali ile ilgili problemlere odaklanması gerektiğini ifade ediyor.
Davis, sektördeki bazı şirketlerin önleyici yöndeki güvenlik niteliklerinden çok her daim tetikte olma ve kontrol mekanizmasını çalıştırmayı gerektiren algılama ve tepki verme yönündeki düşünce yapısını benimsediğini belirtiyor.
Bu şekilde çok daha iyi sonuçlar alınabileceğini ifade eden Davis şunları söylüyor: Şimdi her şeyi önleyemiyor olabilirsiniz. Fakat ilk aşamada tehditleri ne şekilde önleyebileceğiniz konusunda önemli bir birikim sağlayabileceğinizi düşünecek olursak ihlallerle ilgili çalışmaları yürütecek, saldırı gerçekleşmesi halinde çözümler ortaya koyabilecek kişileri, zamanı ve kaynakları daha iyi kullanabileceğinizi söyleyebiliriz. Ancak saldırıları önlemeye odaklanmış bir düşünce yapısında tüm bu fırsatları kaçırma ihtimaliniz söz konusudur.
Teknoloji haberlerinde veri ihlalleri konusundaki başlıklarla sıkça karşılaşıyor olmanız muhtemeldir. Bununla birlikte ihlallerle ilgili konuların artık üst düzey yöneticilerin ve yönetim kurullarının gündemi haline geldiğini göz ardı etmemek gerekiyor. CEO, diğer üst düzey yöneticiler ve yönetim kurulu üyeleri gibi IT dünyasındaki ortamdan pek fazla haberdar olmayan kişilerin güvenlikle ilgili konulara dahil olmasının baskıyı arttığı şüphe götürmez bir gerçek.
Howard’ın kapsamlı risk analizi oluşturulması yönündeki görüşüne katılan Davis, ağdaki farklı segmentlerde güvenlikle ilgili detayların göz önünde bulundurularak kurumsal ihtiyaçların belirlenmesi gerektiğini söylüyor. Takımların gerekli durumlarda farklı alanlarda çalışmalar yapılmasını sağlayacak şekilde bir araya getirilmesi bütüncül bir yaklaşımla edinilebilecek faydaların başında geliyor.
Davis, bilgi teknolojileriyle ilgili kişileri ve siber güvenlik konusundaki uzmanları bir araya getirmenin bütüncül yaklaşım oluşturmada yardımcı bir etken olduğunu dile getiriyor. Genellikle bu iki topluluğun birbirinden ayrı ve tek başına çalıştığına dikkat çeken Davis, IT departmanının organizasyondaki çalışmaları yürütmeye; siber güvenlikle ilgili çalışanların işleri yavaşlatarak çoğu zaman kazan-kaybet şeklindeki sonuçları ortaya koyan güvenliği sağlama yaklaşımına odaklandığını belirtiyor.
IT ve siber güvenlik operasyonuyla ilgilenen kişiler arasında ayrım çözümlemesinin yapılması her iki tarafın olaylara daha genel bir perspektiften bakmasını sağlayacak şekilde bir araya gelmesini mümkün kılıyor. Davis bu süreçte organizasyonun Nasıl daha güvenli şekilde çalışacağı ve iş ile ilgili ihtiyaçların neler olduğu yönündeki soruların cevaplanması gerektiğini vurguluyor. Diğer taraftan yapılacak çalışmanın temel olarak organizasyondaki puanlamayı sağlayacak olmasından dolayı organizasyondaki CISO ve CIO’ya organizasyonun risk yönetimiyle ilgili duruşu konusunda imkan sağlayacağını söylemek mümkün. Tüm bunlar CIO ve CISO’lar için organizasyondaki yönetimi kolaylaştıracak mükemmel araçlar olma niteliği taşıyor.
