Güvenlik liderleri, devam eden siber güvenlik becerileri eksikliği konusunda yıllardır alarm veriyor. Siber saldırılar giderek daha karmaşık ve sık hale gelirken bile kurumsal savunma ekipleri açık pozisyonları doldurmakta daha fazla sorun yaşıyor. Sorun aşılamaz gibi görünebilir, ancak öyle olmamalıdır.
Çok az şirketin dikkate aldığı çözümlerden biri, güvenlik ekibini operasyonlardan çıkarmaktır. Beceri açığı sorununun ne kadar daha az korkutucu görüneceğini düşünün kurumsal güvenlik odağını yönetişime daraltırsagüvenlik sistemlerinin uygulanmasını ve yönetimini sağlarken gözetim, denetim ve denetim bunları kullanan operasyonel ekipler.
Böyle bir değişiklik dramatik olurdu. Kurumsal güvenlik fonksiyonu, hem personel sayısı hem de sorumlu olduğu belirli görevlerin sayısı açısından önemli ölçüde küçülecek, ancak daha stratejik ve daha etkili hale gelecektir.
Günümüzün Daha Az Verimli Yaklaşımı
Günümüzün tipik güvenlik ekibi her türlü operasyonel faaliyete dahil oluyor. Örneğin, geliştirme grubu yeni bir uygulama oluştururken, güvenlik personeli tasarım ayrıntılarına, temel teknolojilerin ayarlarına ve hangi kullanıcıların geliştirme sunucularına erişebileceğinin belirlenmesine dahil olabilir.
Ancak merkezi güvenlik ekibi bu kararları verecek operasyonel bilgiye hemen sahip olmayabilir. Uygulamanın arkasındaki iş faktörlerini, geliştirme ekibindeki bireylerin yapısını ve uzmanlığını vb. anlamak için önemli miktarda zaman ayırmaları gerekebilir.
Geliştirme ekibi yöneticileri, çözümlerini bir araya getirmenin operasyonel yönleri konusunda zaten gerekli uzmanlığa sahiptir. Kurumsal güvenlik ekibi, belirli saldırıları önlemek için gereken kontroller konusunda uzmanlığa sahiptir. Neden her grubun kendi temel becerilerinde uzmanlaşmasına izin verin?
Nasıl Çalışır?
Benim öngördüğüm gibi güvenlik ekibi, hem geliştirme sırasında hem de lansman sonrasında uygulamayı korumak için gereken kontrolleri soyut düzeyde oluşturma sorumluluğunu üstlenebilir. Ancak bu kontrollerin oluşturulması sorumluluğunu geliştirme grubuna devredebilirler. Geliştirme ekibi hangi güvenlik yazılımına ve yapılandırmalarına ihtiyaç duyduklarına karar verebilir, özel güvenlik politikaları belirleyebilir ve kullanıcı izinlerini belirleyebilir. Daha sonra kurumsal güvenlik ekibi, talep edilen kontrollerin uygulandığından ve beklendiği gibi performans gösterdiğinden emin olmak için geliştirme ortamını ve sonuçta ortaya çıkan uygulamayı inceleyebilir.
Bu yaklaşım, ayrıntılı karar alma sürecini bu kararlara en yakın kişilerin eline bırakacaktır. Güvenlik ekibinin, geliştirme grubunun kullandığı teknolojiler hakkında biraz bilgi sahibi olması gerekir, ancak çoğunlukla operasyon gruplarının elde etmesi gereken güvenlik sonuçlarına ilişkin beklentileri belirleyen kontrol uzmanları olmaları gerekir.
Erişim kontrolünü düşünün. İnsanların şirketin geliştirme ortamına girmek için kimlik doğrulaması nasıl yapılmalıdır? Söyledikleri kişi olduklarını kanıtlamak için hangi kimlik bilgileri yeterlidir? Kurumsal güvenlik grubunun erişim kontrolünün üst düzey yönetimine sahip olması mantıklıdır, ancak bu soruları etkili bir şekilde yanıtlamak için geliştirme ortamı ve geliştirme ekibi hakkında çok şey öğrenmeleri gerekecektir. Bu arada geliştirme ekibindeki kişiler zaten bu bilgiye sahip. Gruplarının erişim kontrolü politikalarının yabani otları arasında karar vermelerine izin vermek sadece mantıklıdır.
Geliştirme süreçleri bir örnektir. Düşündüğüm güvenlik ekibi ağ oluşturma sürecine dahil olmayacak; ağ ekibine kontrol gereksinimlerini sağlayacaklar ve ardından bu gereksinimlerin takip edildiğinden emin olacaklardı. Bulut ortamında güvenlik ekibi yüksek düzeyde beklentiler belirleyebilir, ardından inceleme taraması yaparak anormallikleri arayabilir. Ancak bu onların bulut güvenliği kararlarına katılımlarının kapsamı olacaktır.
Bu Değişiklik Ne Anlama Geliyor?
Açıkçası, vizyonum BT'nin tamamen yeniden yapılandırılmasını gerektirecektir. Bazı açılardan güvenlik faaliyetlerini çeyrek asır önceki noktaya doğru taşıyacak. Güvenliğin genellikle ayrı bir işlev olmadığı zamanlarda şirketler, kuruluş genelindeki operasyonel konu uzmanlarına güvenlikle ilgili en iyi uygulamaları öğretiyordu. Uzmanlık geniş bir alana dağılmıştı, ancak güvenlik herkesin iş sorumluluklarının yalnızca küçük bir kısmıydı.
Güvenlik faaliyetlerinin merkezi bir fonksiyonda birleştirilmesi, konuda uzmanlaşmış uzmanların ortaya çıkmasını sağlamıştır. Bu yüksek vasıflı ve bulunması zor profesyoneller, şirketin güvenlik stratejisinin genel yönünü belirlemeye, belirli saldırı türlerini önlemek için gerekli kontrolleri dikte etmeye ve bu kontrollerin etkili olmasını sağlamak için yönetişim ve gözetim sağlamaya odaklanmalıdır.
Sektörün, rutin güvenlik duvarı bakımı veya SaaS uygulamalarının yapılandırılması gibi daha operasyonel sorumlulukların merkezi güvenlik grubu için uygun olup olmadığını yeniden değerlendirmesini görmek isterim. Bu görevlerin şirketin sistemlerini bağlayan, tasarlayan, tasarlayan, uygulayan ve yapılandıran kişiler için daha uygun olduğunu düşünüyorum. Yakından aşina oldukları sistemlerin ve süreçlerin güvenliği konusunda doğru kararlar verebilecek uzmanlığa sahiptirler.
Güvenlik kararlarını operasyon gruplarına aktaran bir organizasyon yapısı, güvenlik ekibinin bazı günlük sorumluluklarını daraltabilir. Bununla birlikte, aynı zamanda ekibin karar verme düzeyini de yükseltecek, daha stratejik faaliyetler için personele zaman kazandıracak ve güvenliğe özgü yeterliliklere sahip profesyonelleri bulma konusundaki sürekli zorluklara düzenli bir çözüm sunacaktır.
