Bu kötü bir fikir mi? Tuzaklar ve kuruluşların gevşek güvenlik ile üretkenliği ele almak için ne yapması gerektiği hakkında bilgi edinin.
Bir sistem yöneticisi olarak, ilk elden daha yüksek güvenlik kontrollerini ele aldım. koronavirüs pandemisi. Uzaktan iş erişimine duyulan ihtiyaç, bu tür erişimin tamamen güvence altına alınması ihtiyacıyla el ele gitti.
GÖRMEK: COVID-19 işyeri politikası (TechRepublic Premium)
Çalıştığım önlemler arasında şirkete ait dizüstü bilgisayarların kullanıcılara sağlanması (bunlar VPN'e bağlanmasına izin verilen tek cihazdır), çok faktörlü kimlik doğrulama (MFA), belirli bir zaman çerçevesi içinde ağ yeniden kimlik doğrulaması gerektiren VPN zaman aşımı ayarları, şirket uygulamalarına veya verilerine erişimi olan çalışan telefonları için zorunlu mobil cihaz güvenlik ayarları, ağ ayrımı ve dahili şirket kaynaklarına biyometrik erişime sahip yazılım simgeleri.
Bu uygulamaların hiçbiri, VPN'de doğrudan bulunmayan belirli kaynaklara bağlanmak için dahili bir “atlama kutusu” kullanılmasını gerektiren ağ ayrımı dışında özellikle külfetli olmamıştır. Ancak, bu bir değiş tokuştur – ben de dahil olmak üzere – çoğu çalışan, işe gidip gelme veya potansiyel bir durumla uğraşmak zorunda kalmamak için fazlasıyla isteklidir koronavirüs maruziyet.
Maalesef, bazı şirketler, ister kendi niyetleri yoluyla isterse de ihtiyaç duydukları şeyi yapmak için alternatif yollar izleyen çalışanlar aracılığıyla, güvenlik konusunda diğer yola gittiler. Olası güvenlik sorunlarını denetlemek ve izlemek, katı politikalar ve yönergeler uygulamak, erişimin, uygulamaların, araçların ve cihazların standartlaştırılmasını sağlamak ve titiz periyodik çalışan eğitimi gerçekleştirmek, güvenlik önceliklerinin uçuruma kaymasını engelleyen temel unsurlardır.
CXO'dan Matt Davey ile konuştum: 1Şifre, son güvenlik endişeleri hakkında bir şifre yöneticisi sağlayıcısı. Şirket, bu yılın başlarında bazı araştırmalar yaptı. gölge BT'yi içeren güvenlik endişeleri. Araştırma, kullanıcıların çoğunun BT departmanlarının bilmediği işle ilgili hesaplar oluşturduğunu, üçüncü bir hatırlanabilir parolayı yeniden kullandığını ve neredeyse yarısının benzer parolalar kullandığını ortaya çıkardı.
Veri ihlallerinin% 80'i şunları içerir: yetersiz şifre hijyeni, bunun gibi gevşek güvenlik protokollerinin önemli risk oluşturabileceği açıktır ve bu uzaktan çalışma çağında “ölçemeyeceğinizi yönetemezsiniz” sözü geçerlidir.
Scott Matteson: Bazı kuruluşlar tarafından hangi güvenlik protokolleri gevşetildi?
Matt Davey: Araştırmamız belirli özellikleri kapsamıyordu, ancak uzaktan çalışmaya geçişin doğrudan güvenlik protokolleri etrafındaki önceliklerin değişmesine neden olduğunu biliyoruz. Tüm çalışanları evden çalışma sistemine geçiren firmaların% 73'ü bazı güvenlik protokollerini ve gereksinimlerini gevşettiğini bildirdi. Ve bunu daha da açıklığa kavuşturmak için, KOBİ firmalarının% 46'sı bazı güvenlik protokollerini ve gereksinimlerini gevşettiğini bildirirken, büyük firmaların sadece% 19'u.
GÖRMEK: Sosyal mühendislik: İşletme uzmanları için kısa bilgiler (ücretsiz PDF) (TechRepublic)
Scott Matteson: Bunun gerekçesi neydi?
Matt Davey: Günün sonunda, üretkenlik söz konusudur. Anket yaptığımızların yüzde kırk altısı, rahat protokollerin iki faktörden kaynaklandığını söyledi: Çalışanlar kendi yazılımlarını yönettiklerinde daha fazla iş yapıyorlar ve çalışanlar güçlü güvenlik protokollerine karşı geri adım atıyorlar.
Birincisi, elbette, açıkça üretkenlikle ilgilidir, ancak geri tepme aynı zamanda üretkenliğe de indirgenir.
Daha güçlü güvenliğe karşı direnç, işlerin yapılmasına engel olduğu algısından kaynaklanıyor. Her beş çalışandan dördü, şirketlerinin BT politikasına her zaman uyduklarını söylüyor, bu da beşte birinin uymadığı anlamına geliyor. Bu, çalışanların yalnızca% 20'sinin tüm gölge BT faaliyetlerinden sorumlu olduğu (BT onayı olmadan yetkisiz yazılım kullanımı) önemli çıkarımlarımızdan biri ile uyumludur. BT'yi atlayanlar, bunu yapmanın bir numaralı nedeni olarak üretkenliği gösterdi.
Benzer şekilde, çalışanların yaklaşık% 16'sı rahatlığın güvenlikten daha önemli olduğunu söylüyor.
Scott Matteson: Sonuç neydi? Güvenlik olaylarında herhangi bir artış oldu mu?
Matt Davey: Araştırmamız belirli olaylara girmedi, ancak verilere baktığınızda net bir resim ortaya çıkıyor.
Diğer alanlardaki etkisine benzer şekilde, pandemi mevcut trendleri hızlandıracak kadar yeni trendler yaratmadı. Araştırmamızdan önceki 12 ay içinde (Mart 2020'de yapıldı), çalışanların% 63,5'i en az bir gölge BT hesabı oluşturdu. Pandemi vurduğunda, herkes uzaktan kuruluma uyum sağlamak için çabalıyordu, bu da bu yeni iş akışlarını barındıracak yeni bir yazılım aramak anlamına geliyordu. Yani, bir artış olduğuna dair çok az şüphe var gölge BT Pandemi sırasında oluşturulan hesaplar.
GÖRMEK: Siber güvenlik: Taktik alalım (ücretsiz PDF) (TechRepublic)
Scott Matteson: Bunun ne kadar sürmesi bekleniyor?
Matt Davey: Bu uzaktan çalışma anı sürdüğü sürece bu devam edecek.
Yakın zamanda işlerin eski haline geri dönmeyeceğiz. Pek çok şirket ofis alanlarına bakıyor ve ilk başta neden bu pahalı kiraları ödediklerini merak ediyor. Bazıları çalışanlarına kalıcı olarak evden çalışma seçeneği verdiler.
Durum böyle olunca, her şeyin eski haline dönmesinden ziyade yeni normal hakkında konuşmanın daha yararlı olduğunu düşünüyorum. Yine, bu zaten olan şeylerin sonucudur. Araştırmamızda, çalışanların% 64'ü şirketlerinin uzaktan çalışmaya geçmeye hazır olduğunu söyledi. Bu, birçok kişinin duvardaki yazıyı gördüğü ve daha önce uygun yatırımları yaptığı anlamına gelir. COVID-19 dünyayı altüst etti.
Ve şimdi bu ilk yatırım yapıldığına göre, bu firmalar, uzaktan çalışmanın varsayılan değilse de kesinlikle resmin çok daha büyük bir parçası olduğu bir gelecek için optimize etmeye odaklanabilirler.
Scott Matteson: Önerebileceğiniz herhangi bir önerilen veya onaylanmış çözüm var mı?
Matt Davey: Doğru verimlilik ve güvenlik dengesinin her şirket için farklı olacağını söylemek kolaydır, ancak daha ileri gitmek ve bu konuşmayı tamamen yeniden düzenlemek istiyorum. WFH tüm altyapımızı yeniden yapılandırdıkça, güvenliği üretkenlikle karşılaştırmak daha az yardımcı olur.
Bunun yerine, BT'nin daha güvenilir bir iş ortağı haline gelmesini düşünmeliyiz. Bu, işçilerin araçlarını seçmelerine izin vermek ve onlara uyum sağlamak anlamına gelir – sonuçta hepimizin istediği şey, iş adına daha fazla iş yapmak için belirttikleri hedeflerdir.
Aynı zamanda, iş kullanıcılarına daha fazla kontrol veriyorsanız, onlara işlerini nasıl güvenli bir şekilde yapacaklarını da öğretmelisiniz, böylece eğitim anahtar olur. Kötü parola uygulamaları saldırıların önemli bir çoğunluğuyla ilgilidir, bu nedenle son kullanıcılar için en iyi güvenlik uygulamalarının temellerini çivilemek büyük bir etkiye sahip olabilir.
GÖRMEK: Sıfır güven güvenliği: Hile sayfası (ücretsiz PDF) (TechRepublic)
Şaşırtıcı olmayan bir şekilde, uygun şifre hijyeninin temellerini alternatifinden daha kolay hale getirmek için bir kurumsal şifre yöneticisi öneririm. Ve bu yeni dünyada güçlü parola yönetimini en az asılı meyve olarak gören tek kişi ben değilim: şifre yöneticisi% 56'sı, çalışanların güçlü parola kullanmasını kolaylaştırmak için bunu yaptıklarını söyledi. Yüzde otuz iki, çalışanların işlerini halletmek için kullanmak istedikleri yazılımı kullanmalarını kolaylaştırmak için bunu yaptı.
Scott Matteson: Gelecekte ne olacak?
Matt Davey: Dediğim gibi, WFH burada kalacak. Upwork kısa süre önce 20.000 kişilik bir anketin sonuçlarını açıkladı. Çalışanların% 11,5'i artık evden daha sık çalışabildikleri için taşınmayı planlıyor. Bu çok büyük. Şimdi, firmalar yetenek bulmak için sadece daha büyük bir havuza dalmakla kalmıyor, aynı zamanda diğer doğru da – işçiler, belirli bir konumla sınırlı olmadıkları için her zamankinden daha fazla seçeneğe sahip olacak. Bu, firmaların rekabetçi kalmak ve en iyi yetenekleri çekmek için WFH düzenlemelerinde daha esnek olmaları gerektiği anlamına gelir.
Bu olurken, BT'nin çalışma biçiminde önemli bir değişiklik bekliyorum. Daha fazla danışmanlık rolü üstlenerek, ticari meslektaşlarıyla güvenilir ortaklıklar kurmaları gerekecek. Bu, BT'nin işlerin iş tarafına daha entegre olmasını gerektiriyor ve bu, BT departmanlarının şu anda günlük işleyişinde oldukça önemli bir ayrılık.
Örneğin, şu anda Kimlik ve Erişim Yönetimi (IAM) çok fazla zaman alıyor. Araştırmamıza göre, BT her yıl 21 gün (tam bir ay!) Parola sıfırlama gibi basit IAM görevlerini yerine getiriyor. O günleri geride bırakmaktan çok mutlu olacaklarını umuyorum.