İyi haber şu ki, durgunluk olsun ya da olmasın, güvenlik CIO’lar için bir şekilde kesilemez bir gider olmaya devam ediyor. Morgan Stanley Research’ten yeni veriler. Kötü haber şu ki, aynı CIO’lar yazılımlarına yama yapmazlarsa hiçbiri işe yaramaz. AWS Başkan Yardımcısı Matt Wilson şu durumlarda kesinlikle doğrudur: o tartışır“Güvenlik veya güvenilirlik açısından kritik sistemlerde dağıtılan yazılımın güvenli bir şekilde yamalanması (diğer şeylerin yanı sıra) veya onlar için bakımının sağlanması için gerekli hizmetleri muhafaza etmek, tüketicinin sorumluluğundadır.”
Yine de, açık kaynak veya başka bir şekilde yama uygulanmamış yazılımların kaldığı da doğrudur. bilgisayar korsanları için en büyük tek saldırı vektörü. Bu belki de açık kaynak için daha büyük bir sorundur, çünkü doğası gereği güvenli değildir (tersi gerçeğe daha yakındır), ancak çok yaygın olarak kullanılır. Bu nedenle, açık kaynak güvenliğine para atmaya devam edebiliriz, ancak işletmeler bağımlı oldukları yazılımı yamalamakla uğraşamazlarsa, bunun ne faydası olacak?
Daha fazla para, daha az sorun?
İlk olarak, iyi haber: Bir zamanlar güvenlik harcamalarına öncelik verme konusunda reaktif olan CIO’lar artık proaktif hale geliyor. İle Gartner’ın tahmini, kuruluşlar 2021’de güvenlik ürünlerine 150 milyar dolardan fazla harcadı. Bu çok para ve 2022’de veya sonrasında azalacak gibi görünmüyor. Ekonomi resesyona girerse hangi BT projelerini finanse etme olasılıklarının az ya da çok olduğu sorulduğunda, CIO’lar hem kesintilere karşı bağışıklık (dijital dönüşüm de dahil olmak üzere her şeyin önünde, güçlü bir saniye) ve güvenlik için güvenliği listenin en üstüne koydu. harcamalardaki büyüme, bulut bilişimin hemen arkasında. Güvenliğin eskiden yalnızca bir ihlale maruz kaldıktan sonra umursadığını iddia ettiği bir şey olduğu göz önüne alındığında, bu gerçek bir ilerlemeye işaret ediyor.
İşletmeler nereye harcama yapıyor? İle bazı raporlar, diğer şeylerin yanı sıra kimlik ve erişim yönetimi, mesajlaşma güvenliği ve ağ güvenliği için fonlar akıtılıyor. IDC’ye göre para, yönetilen güvenlik hizmetlerine, ayrıca otomatikleştirilmiş uygulama testlerine ve daha fazlasına gidecek.
Otomasyon akıllıca görünüyor. Mikro hizmetler ve diğer BT trendleri, çok sayıda fayda sağlasalar bile, kurumsal güvenliği önemli ölçüde karmaşıklaştırdı. 2020’de yazdım: “Geliştiricilerin inşa ettiği ve diğer herkesin onları temizlemekle görevlendirildiği bir dünyada, ister mikro hizmetlerden ister monolitik uygulamalardan bahsediyor olalım, güvenlik her zaman bir mücadele olacaktır.” Otomasyon, belirli bir yazılım parçası için gerekli test ve düzeltme eklerini kaçıran geliştiricilerin veya operasyon çalışanlarının olasılığını azaltmaya yardımcı olabilir.
İşletmeler artan seviyelerde açık kaynaklı yazılım kullandıkça bu daha da kritik hale geliyor yama ve bakım için süreçler oluşturmadan. Açık kaynaklı yazılım, tartışmasız üstün bir işlem yazılımın güvenliğini sağlamak için, ancak yama yapılmamış olarak bırakılırsa, herhangi bir yama uygulanmamış özel yazılım kadar kötü olabilir. Yani gördüğünde gibi yanlış başlıklar “Açık kaynak kodu, yaygın kullanımı nedeniyle güvenli değil ve riskli, iddialar raporuna göre,” Steven J. Vaughn-Nichols’u hatırlamakta fayda var. karşı argüman: “Kullanım değil [of open source that creates security risks]sorun olan sorumsuz kullanım.”
İnsanlar güvenlik sürecinin bir parçasıdır
Daha temel bir endişeye yöneliyor olabiliriz. Olarak Ivanti’nin Chris Goettl pozisyonları, “Güvenlik tehdidi aktörleri, güvenlik açıkları oluşturmada hedefledikleri çoğu şirketten her zaman daha hızlı hareket edeceklerdir.” Ne kadar hızlı? Peki, göre RAND araştırması, bir güvenlik tehdidi aktörünün bilinen bir tehditten faydalanması sadece 22 gün sürse de, bu tehdit kabaca yedi yıl boyunca yamasız kalabilir. Bunun nedeni, bakımı yapılmayan kodun halen kullanılmakta olması (oldukça yaygın) veya yalnızca işletmenin genel olarak bilinen bir güvenlik açığını düzeltmemesi olabilir.
Güvenlik yazılımını finanse etmeye duyduğumuz yeni ilgiyle birlikte, bir güvenlik geliştirmeye daha fazla para yatırmamamız gerekip gerekmediğini merak ediyorum. zihniyet. Bir şirketin güvenlik duruşu, ancak onu yöneten insanlar kadar iyidir. Açık Yazılım Güvenliği Vakfı, güvenlik eğitimini ilk sıraya koymakta haklıdır. onun alan listesi Aynı ilkeler herhangi bir yazılım için büyük ölçüde geçerli olsa da, açık kaynak için güvenliği artırmak için ele alınmalıdır.
Son zamanlarda, bazı büyük şirketler, açık kaynak güvenliği konusunda büyük bahisler yaptı ve önemli açık kaynak altyapısının güvenliğini sağlamaya yardımcı olmak için 150 milyon dolar taahhüt etti. Bu harika bir girişim ama yeterince ileri gitmediğine inanıyorum. Güvenlik her zaman insanlarla ve süreçlerle ilgilidir ve her ikisi de otomasyonla desteklenebilir, ancak kurumsal yazılımlarını güvence altına almakla görevli kişiler açık kaynak veya başka bir şekilde güvenlik hakkında nasıl düşünecekleri konusunda eğitim almadıkça, hiçbir miktarda para bizi satın alamaz. güvenlik.
Aslında, Alissa Irei’nin yazdığı gibi, güvenlik bakımı için hangi sistemlere öncelik verilmesi gerektiği konusunda kurum genelinde anlaşmanın yanı sıra eğitim de gerekir. Irei’nin makalesinde, Enterprise Strategy Group’ta kıdemli analist olan Doug Cahill, “sadece bir yama seli var. Organizasyon ne kadar büyük ve heterojen olursa, tüm sistemlerin her zaman güncel olması o kadar az pratik olur.” Yama gerektiren sistem yığını göz önüne alındığında, akıllı şirketler geri adım atacak, en kritik uygulamaları destekleyen yazılımları değerlendirecek ve öncelik sırasına koyacaktır.
Bir yamanın uyumluluğu bozarak ve müşteriye yönelik uygulamaları çevrimdışına alarak çözdüğünden daha fazla sorun yaratması da söz konusu olabilir. Ancak bu alanlarda, her zaman olduğu gibi, kilit nokta insanları eğitmek ve süreçleri inşa etmektir. Bu, güvenlik için büyük harcamalar yapmakla övünmeye başlamadan önce, doğru alanlarda harcadığınızdan emin olun demenin uzun bir yolu. Nasıl olduğunuzu görmek için bulut güvenliğiyle ilgili bu dokuz soruya verdiğiniz yanıtları kontrol edin.
Telif Hakkı © 2022 IDG Communications, Inc.
Kaynak : https://www.infoworld.com/article/3665089/security-survives-the-budget-axe.html#tk.rss_all