Sizler için RSA’den bilgiler aktarmaya devam ediyoruz. Pek çok yazımızda daha önce de belirttiğimiz gibi 2011 yılı belirli bir alanda uzmanlaşmış saldırıların yılı oldu. Bu gerçekle birlikte, kurumsal yapıların güvenliğine odaklanan pek çok lider şirketin odak noktasını geleneksel saldırılardan, yenilenen alana kaydırdığı görüldü. Dev güvenlik şirketlerinin katılımıyla San Francisco’da gerçekleşen RSA Konferansı’nda bu değişim öne çıkan konu oldu.
Teknolojinin getirdiği yenilikler insanların kurumsal dünyada çalışma sistemlerini yeniden şekillendirmeye ve değiştirmeye başladı. Tabii bu değişikliklerle birlikte yeni güvenlik zorlukları da ortaya çıkıyor. Bu noktada kafamızda iki soru canlanıyor: Günlük hayatta kullanılan teknolojilerin iş dünyasına uyarlanması (consumerization), çalışanların işyerinde kendi cihazlarını kullanması (Bring Your Own Device-BYOD) ve bulut bilişim kurumsal güvenlik tarafına neler getiriyor? Bu zorlukları nasıl aşabiliriz?
Yeni işgücü kuşağı
Symantec Başkanı ve CEO’su Enrique Salem’in günümüz işgücünün daha önceki nesillerle çelişen farklılıklarını ele alan konuşması, günümüz şirketlerinde deneyimli olma durumunu anlatmak için güzel bir yol olabilir.
Salem, yeni nesil çalışanlar 1990’larda yani internet bombasının patlarken ya da sonrasında doğanlar olarak anlattı. Bu insanlar her cihazın web üzerinden birbirine bağlı olduğu ve yine her şeyin web üzerinden yapıldığı bir dünyada yetiştirildiler. Onlar, sosyal medya ve bulut bilişim gibi araçları kullanarak günlük işleri daha öncesine göre çok farklı şekilde yapan doğuştan “bağlantı” insanı. Onlar, herhangi bir işi, her yerde, her zaman yapabilen mobil insanlar. Ancak her gün kullandıkları bilginin hacmine kıyasla yeterince dikkat sergileyemiyorlar.
Bu yeni nesil, iş dünyasına geçtiğimiz birkaç yılda adım atmaya başladı. Bu nesil iş dünyasına girerken yanında geleneksel kurumsal yapı mimarisini kendi çalışma metodolojilerine uyacak şekilde değiştirme isteğiyle geldi.
Sınırlar bulanıklaşıyor
İnsanlar yeni teknolojileri “doğuştan dijital” düşünce yapısıyla daha fazla kucakladıkça, yavaş yavaş bu yeni teknolojileri yaşam tarzlarıyla birleştirmeye; onu yaşam tarzlarının bir parçası haline getirmeye başlıyorlar. Mobil, her zaman bağlı, her zaman bilgi alan… Bunlar günlük işlerimizi gerçekleştirmekte çok yardımcı olan unsurlar; bu kavramları her geçen gün daha fazla insan iş ortamına uyarlıyor. Son kullanıcı ürünleri kurumsal ağlara girmeye başladılar. İnsanlar bu cihazları iş yerlerine getirmeye ve network sorumlularından bu cihazların iş yerinde de kullanımı için destek istemeye başladı. Çünkü bu şekilde işlerini çok daha kolay ve hızlı şekilde yapabiliyorlar. Her geçen gün daha fazla sistem, insanların verilerine her yerden ve her zaman erişebilmeleri için bulut platformuyla bütünleşiyor.
Yeni teknolojiler ve cihazlar, insanların özel hayatlarıyla iş yaşamları arsındaki çizgileri bulanıklaştırmak için hazır durumda. RSA Başkanı Art Coviello da konuşmasında iki yaşamı ayırma sınırını çoktan geçtiğimizi ifade etti. Sonuç olarak ortaya çıkan şu ki; BT organizasyonları doğrudan kontrol edemedikleri cihazları yönetmeyi öğrenmek zorunda, güvenlik organizasyonları da doğrudan kontrol edemedikleri cihazları korumayı öğrenmek zorunda.
Özgür bırak ya da kilitle
Cisco Kıdemli Başkan Yardımcısı Christopher Young konuşmasında da son birkaç yıldır kurumsal BT organizasyonlarının çözmeye çalıştığı aynı zorluğa değindi. Yeni nesil işgücünün “nasıl iş yapılmalı”ya karşı geliştirdiği tutum ve bu anlayışı sahiplenen hızlı adımlar, şirketleri çalışanlarına istediklerini, yani geliştirilmiş mobilite ve bağlantı, verme yönünde zorluyor.
İşin olumlu yanı, insanlar her zaman her yerden yapabilmeleri dolayısıyla daha fazla çalışmaya başladı ve bu sayede üretkenliği artırılmış oldu. Çoklu bağlantı ortamlarının ürünü hızlı bilgi akışı sağlayan sistemlerle kararlar daha hızlı alınıyor, üstelik daha iyi sonuçlarla. Bütün bunlar yeni kurumsal altyapının açık yapısı sayesinde mümkün hale geliyor.
Ne yazık ki bu olumlu unsurlarla birlikte kaynakları özgürleştirmek ve onları standart işyeri ortamı sınırları dışında erişilebilir kılmak, bu yapının yeni hassasiyetler kazanmasına ve yeni saldırı tiplerine açık hale gelmesine neden oluyor. Dünün kurumsal altyapısını korumakla bugünün altyapısını korumak arasındaki fark şu ki, eskiden yapmamız gereken tek şey her şeyi kilit altında tutmaktı. Bugünün getirdiği zorluğa baktığımız zaman, bilgi teknolojilerinin sergilediği yeni eğilimleri desteklemek adına her şeyin özgür bırakılması yönünde artan bir talep görüyoruz.
Adım atmak
Art Coviello’nun konuşması bize güvenlik gerektiren günümüz çoklu bağlantı dünyasında güvenliği sağlamak adına bazı tavsiyelerde bulunuyor.
Coviello’ya göre günümüz güvenlik alanında risk yönetimi önemli bir yere sahip. Sistemlerimiz her zaman tehdit altında. Bu kaçınılmaz durumu kabul etmek, bizim tehditler karşısında mümkün olan en hızlı sürede çözüm üretmeye hazır olduğumuzu garantiliyor. Günümüz saldırganları, altyapıların açık olmasından kaynaklanan boşlukları kullanıyorlar. Risk yönetimiyle, bu açıkları kapamak ve saldırılardan hasar görmemek adına daha donanımlı olmamızı sağlıyor.
Aynı zamanda Büyük Veri da bu güvenlik boşluklarını gözetlemekte anahtar rol oynuyor. Altyapımızdaki anormallikleri hızla ve etkin şekilde tanımlamamız; aynı zamanda tehditlere karşı açıkların kapatılması için bize yardım ediyor. Büyük Veri’nin bunu yapabilmek için üç ana bileşeni mevcut; veri setleri, analitik ve işlemeye hazır bilgi. Büyük miktarda bilgiye sahip olmak ve bu veriyi toplamak bunun işe yaraması için yeterli değil. Günümüz güvenlik uygulamalarının çoğu büyük miktarda veriye sahip ama yeterli zekaya değil. Hangi verinin değerli olduğunu anlama yeteneği ve bu veriyi diğerleriyle ilişkilendirmek, güvenlik zekasının getirdiği işlemeye hazır bilgi üretmekte önemli bir adım.
Siber güvenlik analistleri kendini geliştirmeli
Son olarak günümüzde bize yönelmeye başlayan yeni nesil saldırı türleri, siber-güvenlik analistlerinin yeteneklerini çeşitlendirmesini gerektirecek. Analiz yetenekleri, büyük resme bakabilme ve hatta insanların yetenekleri günümüz karmaşık adreslemede çok önemli. Güvenlik analistleri sistemlerindeki anormal durumlara dair net olmayan ipuçlarını yakalama yeteneğine sahip olmalı ve hangi sinyalleri takip etmenin önemli olduğunu anlamalı. Her şeyi takip etmeli ve duruma büyük resim perspektifiyle bakabilmeli. Aynı zamanda çoğu saldırı organizasyonlarda teknik olmayan departmanları hedeflediği ve bunlar genelde şirketin sayılarla uğraşan bölümler oldukları için, analistler buldukları bilgileri diğer insanlara, onların da kolayca anlayabileceği bir dilde aktarabilmeli. Bu örneklerde, hızlı ve etkin iletişim, hızlı hareket etmek ve saldırıyı mümkün olan en az kayıpla çözmek için kilit noktayı oluşturuyor.
Günümüz çoklu bağlantı dünyasında risk kaçınılmaz. Sonuçta kim risk olmayan bir dünya istemez ki? Coveillo’nun da söylediği gibi; “Her zaman istediğimizi elde edemeyiz. Bununla birlikte riski yönetmek, açıkları kapamak ve kaybı önlemek için pek çok yol var… Ve eğer çabalarsak ihtiyacımız olanı alanın yolunu bulabiliriz.”