siber-1
Güvenlik sorumluluklarını paydaşlar arasında paylaştırırken, kuruluş personelinin ulaşmayı amaçladığı ortak iş hedeflerine de işaret edin Bunu yapma şanslarını artırmak için üç yaklaşımın bir kombinasyonunu kullanabiliriz:
- Güvenlik beklentilerini hayata geçirin Güvenli olmayan seçimleri veya eylemleri önlemek için teknolojiyi kullanmak Resmi olarak güvenlik ekibinde yer alan çalışanlar bile bilgi varlıklarını kendi başlarına koruyamaz
3 Örneğin, özgeçmiş kontrollerinin gerçekleştiğini doğrulamak için, kaçırılan çalışan taramalarını tespit etmek amacıyla İK ve özgeçmiş kontrol sistemlerini sorgulayabiliriz Güvenlik görevlerini bu bağlamda çerçeveleyerek, güvenliği aslında herkesin sorumluluğu haline getiren bir güvenlik programı oluşturma olasılığınız artar İK ekipleri yeni işe alınan kişileri belirli özgeçmiş kontrolü gerekliliklerine göre inceler Günlük toplama yoluyla güvenlikle ilgili etkinliklerin gözlemlenmesi ve sürekli uyumluluk izlemesi bunun bir parçasıdır Hizmetleri sunan, ürünler geliştiren ve güvenlikle ilgili kararlar almayı gerektiren çeşitli ticari faaliyetlerde bulunanlar, bu ekibin dışındaki kişilerdir
2 Beklentileri Netleştirin
Aşağıdaki gibi bir sorumluluk matrisi kullanabiliriz: RACIGüvenlikle ilgili belirli faaliyetler için sorumlu, hesap verebilir, danışılması ve bilgilendirilmesi gereken tüm kuruluş genelinde kimleri yakalamak Kişiselleştirin
Beklentileri iletmenin ve hesap verebilirliği zorlamanın yanı sıra, sorumluluğun yayılmasıyla mücadele etmenin bir başka yolu da kişi ile eldeki görev arasında kişisel bir bağlantı kurmaktır
Tedarik veya hukuk ekipleri, satıcıların güvenlik incelemelerini tanımlanmış bir sürece göre dahil eder ve gerekli güvenlik gereksinimlerini sözleşmelere dahil eder Teknik meslektaşların güvenlik ilkelerini projelere dahil etmesi, güvenlik açıklarını düzeltmesi ve teknolojiyi güvenli yollarla dağıtması gerekir Örneğin, hesap verebilirliği sürdürmek için BT ekibi çalışanların merkezi olarak yönetilmeyen onaylı uygulamaları yüklemesine izin verebilir, ancak uygulamaların güncelliğini yitirdiğini takip edebilir ve son kullanıcılara harekete geçmelerini hatırlatabilir Güvenlik ekibi, kişinin bu tür varlıklarla bağlantısını vurgulamak için bu eki kullanabilir, böylece ilgili güvenlik sorumluluklarını hatırlama olasılıkları artar Pek çok kişi şirket tarafından sağlanan dizüstü bilgisayarı “kendi” dizüstü bilgisayarı olarak düşünmeye başlıyor Dizüstü bilgisayarı en iyi durumda tutmak (örneğin, güvenlik yamalarını uygulamak için yeniden başlatmak), en iyi işleri yapmalarını sağlar
Pek çok güvenlik kontrolü arasında yama yönetiminin hesap verebilirliğini sağlamak özellikle zordur çünkü bu uygulama genellikle sorumlulukları birden fazla ekibe dağıtır
Soru: “Güvenlik herkesin sorumluluğundadır” sözünün insanların güvenliğin kimsenin sorumluluğunda olmadığı hissine yol açmamasını nasıl sağlayabilirim?
Axonius’un CISO’su ve SANS Enstitüsü Öğretim Üyesi Lenny Zeltser: Bu özlü sloganın arkasında, kuruluştaki herkesin güvenlik programına katkıda bulunması fikri yatmaktadır onların proje Örneğin, yalnızca çalışanlara 2FA’yı etkinleştirmelerini hatırlatmak yerine, kullanıcı kimlik doğrulamasını iki faktörlü kimlik doğrulama (2FA) gerektirecek şekilde yapılandırın
Departmandan bağımsız olarak, bir kuruluştaki herkes bilgilerin doğru şekilde kullanılmasından, şüpheli etkinliklerin izlenmesinden ve rapor edilmesinden ve şirketin güvenlik korkuluklarını içeren yerleşik şablonların, kitaplıkların ve standartların kullanılmasından sorumludur
Beklentileri belgelemenin ve diğer iş birimleriyle kendi dillerinde konuşmanın yanı sıra, bir sorumluluk matrisi oluşturmaya yol açan tartışmalar, anlaşmazlıkları veya kapsam boşluklarını ortaya çıkarabilir ve kuruluşa bunları çözme fırsatı verebilir
- Son kullanıcıların yama uygulama sorumlulukları olduğunda dizüstü bilgisayarları için insanlara bunların onların sistemler
Ancak sorumluluğun yayılması ilkesi İnsanların bir grubun parçası olduklarında muhtemelen başka birinin harekete geçeceğini düşündükleri için kendilerini daha az sorumlu hissettiklerini öne sürüyor BT ekipleri, risk bazlı, üzerinde anlaşmaya varılan zaman çizelgelerine göre sistemlere yama uygular Güvenlik risklerini önceden ele almak, kesinti olasılığını en aza indirecektir
İnsanlar iş yerinde kullandıkları sistemlere alışırlar
Siber güvenlik liderleri genellikle bir kuruluşun güvenlik programını tasarlar ve yönetir, dolayısıyla diğer çalışanlara güvenlik rehberliği sağlamaları gerekir Sorumluluğu Uygulamak
En iyi niyetle bile, asıl işi siber güvenlik olmayan kişiler bazen güvenlikle ilgili sorumluluklarını unutacak veya yerine getirmeyecektir
1 - Boşlukları izleyin ve harekete geçin Doğru güvenlik adımları atılmadığında