Sistemlerinizi siber suçlara karşı korumak istediğinizde, savunma yapmanızı sağlayacak temel nokta Güvenlik Açığı Yönetimi yapabilmektir. Ancak, Güvenlik Açığı Yönetimi için kendi başınıza bir güvenlik stratejisi başlatmanız ve uygulamanız zor olabilir. Biz de bundan dolayı, yönetimde başarılı olmanızı sağlayacak 5 anahtar adımı anlatacağız.
- Otomasyon ve süreklilik
Güvenlik Açığı Yönetiminin aslında sürekli devam eden ve hiç bitmeyecek bir süreç olduğunu kabul etmek gereklidir. Ancak birçok işletme sürekli çalışacak kaynaklara sahip değildir, bu yüzden otomasyon oldukça önemli bir işlevdir.
- Arka planda otomatik ve sürekli taramaların çalıştırılabileceği otomatik bir iş süreci oluşturun.
- Otomasyon, proaktif günlük güvenlik stratejinizde sistematik bir çalışma alanı yaratır.
- Risk temelli yaklaşım
Risk tabanlı güvenlik açığı yönetimi (RBVM), güvenlik açığı tehditlerini potansiyel iş etkileri üzerinde anlayabilmenizi sağlar. Bu adımı basit tutup bunun yerine temel metriklere bakmanızı tavsiye ederiz.
- Temel metriklere dayalı olarak güvenlik açıklarına öncelik verin. Her bir parametreyi her zaman dikkate almak bazen işe yaramaz ve verimli de olmaz. Bunun yerine, önce düzeltmek ve aşağı inmek için düşük çaba harcayarak yüksek riskli güvenlik açıklarına odaklanın.
- Güvenlik açıklarınızı ölçmek için CVSS (Ortak Güvenlik Açığı Sistem Puanı), bir sistemin kuruluşunuz için ne kadar ciddi oluğunu ve açıklardan yararlanma durumu gibi basit ölçümler yapmaya çalışın.
- Hırs seviyesi
Çok hırslanırsanız, Güvenlik Açığı Yönetiminde hayal kırıklığına uğrayabilirsiniz çünkü devam eden ve hiç sonu olmayan bir sürece adım atarsınız.
- Karşılaştığınız riskler hakkında fikir edinme ve anlama ilk adım olmalıdır. Karşılaştığınız tehditleri anlamaya başladığınızda ve tespit ettiğinizde işletmeniz için çok büyük bir adım atmış olursunuz.
- Tavsiyemiz Q10 çalışma sürecini kullanmanız. Bu yöntemde, önümüzdeki çeyrekte çözülmesi gereken en kritik 5-10 güvenlik açığını belirlemekten oluşur.
- Birlikte Çalışın
Güvenlik Açığı Yönetimini tek kişilik bir işmiş gibi düşünmeyin veya uğraşmayın. Her işte olduğu gibi işbirliği anahtardır.
- Sistem sahiplerini, geliştirme ekibini, CISO’yu, IT yöneticisini vb. bu yönetime dahil edin ve üstlerine düşen görevi yapmalarına izin verin.
- Entegrasyon
Siber güvenlik sürecinizde ne kadar ilerlediğinize bağlı olarak, ekosisteminizdeki diğer araçlar ve ürünlerle birleştirmek ve entegrasyonlarını sağlayabilirsiniz.
- Dış kaynak ortağınızın veya sizin birlikte çalıştığınız diğer sistemlerle, örneğin SIEM veya biletleme çözümleri ile entegre edin. Bugün yapamazsanız da gelecekte olacaktır.
BONUS ANAHTAR
- Kullanıcılar
Kullanıcılarınız sizi riske atarsa, dünyanın en iyi korunan sistemini bile kullansanız zarar görebilirsiniz. Kullanıcıları takip etmeyi aklınızdan çıkarmamalısınız.
- Özel ve otomatikleştirilmiş farkındalık eğitimleri vererek oryantasyon programları oluşturarak ve ayrıca en önemlisi sosyal mühendislik simülasyonu aracılığıyla kullanıcılarınızı bilinçli ve dirençli tutun. Kısacası bir de insanlardan güvenlik duvarı oluşturun ve farkındalık yaratın.
- Tekrarlanan simülasyonlar ve farkındalık çalışmaları yoluyla sürekli değişen ve gelişen tehditler hakkında çalışanların güncel bilgileri takip edebilmesine olanaklar sağlayın.
Güvenlik stratejinizi oluştururken bu 5 adımdan yararlanmayı unutmayın. Umarım yazımız işinize yarayacaktır.
