Bu yılın başlarında, OPSWAT , üçüncü taraf iletişim sağlayıcılarımızdan biri tarafından, kendi taraflarında meydana gelen ve kiracımızla ilişkili sınırlı iş iletişim bilgilerinin açığa çıkma riski taşıyan bir güvenlik olayı hakkında OPSWAT . Bildirim doğrudan söz konusu sağlayıcıdan geldi ve ardından onların ekibi ile bizim ekibimiz arasında aktif bir koordinasyon süreci başlatıldı.
Bildirim aldığımız sırada, OPSWAT herhangi bir kötü niyetli faaliyet belirtisi, müşterimizden veri sızdırılmasına dair kanıt ya da devam eden bir tehdit bulunmamaktaydı. Yine de bu durumu hak ettiği ciddiyetle ele aldık.
Bir CISO olarak, bu tür olaylar teoride konuşması kolay, ancak pratikte başa çıkması çok daha zor olan bazı gerçekleri bir kez daha gözler önüne seriyor.
Öncelikle, üçüncü taraf riskleri artık ikincil bir sorun değildir. Günümüzün işletmeleri birbirleriyle derin bir şekilde bağlantılıdır. Kimlik platformları, SaaS entegrasyonları ve müşteri etkileşim sistemleri gerçek bir iş değeri yaratır; ancak aynı zamanda, doğrudan kontrolünüz dışındaki bir sorun ortaya çıktığında maruz kalma alanını da genişletir. Kendi güvenlik durumunuz sağlam olsa bile, bu durumun etkileri yine de kuruluşunuza ulaşabilir.
İkincisi, şirket içindeki şeffaflık, durumun kontrol altına alınması kadar önemlidir. Kapsam ve etkiler konusunda netlik kazandıktan sonra, çalışanlarımızla doğrudan iletişim kurmayı tercih ettik. Bunu aktif bir tehdit olarak görmedik, ancak insanların daha iyi kararlar aldığını biliyorduk. Sessizlikle belirsizlik yaratmak yerine, iletişim yoluyla güven inşa etmeye karar verdik.
Üçüncüsü, müdahale kalitesi paniğe değil, hazırlığa bağlıdır. Güvenlik, BT ve kurumsal uygulama ekiplerimiz, roller, eskalasyon yolları ve kanıt işleme süreçlerinin halihazırda yürürlükte olması sayesinde hızlı hareket edebildi. Günlükler saklandı. Erişim yolları incelendi. İkincil riskleri tespit etmek için tehdit istihbaratı kullanıldı. Bu disiplin, olay daha meydana gelmeden önce zamanında oluşturulmuştu; zira önceden zemin hazırlığı yapılmadan bir olay sırasında disiplinin kendiliğinden ortaya çıkmayacağını çok iyi biliyorduk.
Son olarak, bu tür olayların ardından genellikle kimlik avı veya sosyal mühendislik girişimleri gelir. Sistemler güvenli kalsa bile, insanlar yine de hedef alınabilir. Dikkatli olmak, beklenmedik talepleri doğrulamak ve şüpheli faaliyetleri bildirmek, elimizdeki en etkili savunma yöntemlerinden bazıları olmaya devam etmektedir.
Bu bakış açısını, belirli bir tedarikçiyle ilgili bir olayı öne çıkarmak yerine, daha genel bir ilkeyi vurgulamak amacıyla sunuyorum. Siber güvenlik, sadece ihlallerin önlenmesinden ibaret değildir; aynı zamanda bir kuruluşun kendi ortamını etkileyen olaylara nasıl tepki verdiği, iletişiminin netliği ve paydaşlar arasında güvenin sürekli olarak pekiştirilmesini de içerir.
OPSWAT olarak, güvenliği arka planda kalan bir işlev değil, operasyonel bir sorumluluk olarak ele almaya devam edeceğiz. Bu, kendimize ve iş ortaklarımıza yüksek standartlar uygulamak, önemli konularda açık bir şekilde iletişim kurmak ve dayanıklılığın mükemmellikten değil, hazırlık ve insanlardan kaynaklandığı gerçeğini göz önünde bulundurmak anlamına geliyor.
- Mike Barker
, OPSWAT Bilgi Güvenliği Direktörü ve Operasyon Direktörü
