Siber Güvenlik Risklerinin 10 Yasası
1. Güvenlik başarısı saldırganın yatırım getirisini mahvediyor.
Güvenlik tamamen güvenli bir duruma ulaşamaz, bu nedenle Yatırım Getirilerini (ROI) bozarak ve azaltarak onları caydırın. Saldırganın maliyetini artırın ve en önemli varlıklarınız için saldırganın getirisini azaltın.
2. Ayak uydurmamak geride kalmaktır
Güvenlik sürekli bir yolculuktur, ilerlemeye devam etmelisiniz çünkü saldırganların varlıklarınızın kontrolünü başarılı bir şekilde ele geçirmesi sürekli olarak daha ucuz ve daha ucuz hale gelecektir. Güvenlik yamalarınızı, güvenlik stratejilerinizi, tehdit farkındalığınızı, envanterinizi, güvenlik araçlarınızı, güvenlik hijyeninizi, güvenlik izlemenizi, izin modellerinizi, platform kapsamınızı ve zaman içinde değişen diğer her şeyi sürekli olarak güncellemelisiniz.
3. Verimlilik her zaman kazanır
Güvenlik kullanıcılar için kolay değilse, işlerini halletmek için bunun etrafında çalışacaklardır. Her zaman çözümlerin güvenli ve kullanılabilir olduğundan emin olun.
4. Saldırganlar umursamaz
Saldırganlar ortamınıza girmek ve varlıklarınıza erişimi artırmak için ağa bağlı bir yazıcıyı, bir akvaryum termometresini, bir bulut hizmetini, bir PC'yi, bir Sunucuyu, bir Mac'i, bir mobil cihazı tehlikeye atmak, bir kullanıcıyı etkilemek veya kandırmak, bir yapılandırma hatasından veya güvensiz operasyonel süreçten yararlanmak veya sadece bir kimlik avı e-postasında parola istemek dahil olmak üzere mevcut tüm yöntemleri kullanacaktır. İşiniz, en kolay ve en ucuz seçeneklerin yanı sıra en faydalı olanları (örneğin, birçok sistemde yönetici ayrıcalıklarına yol açan her şey) anlamak ve ortadan kaldırmaktır.
5. Acımasız Önceliklendirme bir hayatta kalma becerisidir
Kimsenin tüm kaynaklara yönelik tüm riskleri ortadan kaldırmak için yeterli zamanı ve kaynağı yoktur. Her zaman kurumunuz için en önemli ve saldırganlar için en ilgi çekici olanla başlayın ve bu önceliklendirmeyi sürekli güncelleyin.
LinkedIn tarafından öneriliyor
6. Siber güvenlik bir takım sporudur
Kimse her şeyi yapamaz, bu nedenle kuruluşunuzun misyonunu korumak için her zaman yalnızca sizin (veya kuruluşunuzun) yapabileceği şeylere odaklanın. Başkalarının daha iyi veya daha ucuza yapabileceği şeyler için, onların yapmasını sağlayın (güvenlik satıcıları, bulut sağlayıcıları, topluluk).
7. Ağınız sandığınız kadar güvenilir değil
Parolalara dayanan ve herhangi bir intranet cihazına güvenen bir güvenlik stratejisi, hiçbir güvenlik stratejisi olmamasından yalnızca marjinal olarak daha iyidir. Saldırganlar bu savunmaları kolayca atlatabilir, bu nedenle her bir cihazın, kullanıcının ve uygulamanın güven düzeyi sıfır güven düzeyinden başlayarak sürekli olarak kanıtlanmalı ve doğrulanmalıdır.
8. Yalıtılmış ağlar otomatik olarak güvenli değildir
Hava boşluklu (air-gapped) ağlar doğru şekilde muhafaza edildiğinde güçlü bir güvenlik sunabilse de, her bir düğümün dış risklerden tamamen izole edilmesi gerektiğinden başarılı örnekler son derece nadirdir. Güvenlik, kaynakları yalıtılmış bir ağa yerleştirecek kadar kritikse, USB ortamı (örneğin yamalar için gerekli), intranet ağına köprüler ve harici cihazlar (örneğin, üretim hattındaki satıcı dizüstü bilgisayarları) gibi yöntemlerle potansiyel bağlantıyı ve tüm teknik kontrolleri atlatabilecek içeriden gelen tehditleri ele almak için hafifletmelere yatırım yapmalısınız.
9. Şifreleme tek başına bir veri koruma çözümü değildir
Şifreleme, bant dışı saldırılara (ağ paketlerine, dosyalara, depolamaya vb.) karşı koruma sağlar, ancak veriler yalnızca şifre çözme anahtarı (anahtar gücü + hırsızlığa / kopyalamaya karşı korumalar) ve diğer yetkili erişim araçları kadar güvenlidir.
10. Teknoloji insan ve süreç sorunlarını çözmez
Makine öğrenimi, yapay zeka ve diğer teknolojiler güvenlik alanında (doğru uygulandığında) inanılmaz sıçramalar sunsa da, siber güvenlik bir insan sorunudur ve asla tek başına teknoloji ile çözülemeyecektir.