Evernote’s CTO Addresses Your Biggest Security Worries From 3 to 300 Employees

Hemen her kullanıcı için MFA’yı etkinleştirin ve yöneticiler için donanım güvenlik anahtarı zorunluluğu getirin. Bu hamle, notlarınız ve projeleriniz üzerinde anında etkili olacaktır. Evernote’un CTO’su Liam, bunu 3 ila 300 çalışanı olan ekipler için doğru ilk adım olarak değerlendiriyor ve güvenliğinize pratik bir temel sağlıyor.

Basit, tekrarlanabilir bir oyun kitabı ile güvenliği ölçeklendirin. İşe alım ve işten çıkarma süreçlerini otomatikleştirin, en az ayrıcalık ilkesini uygulayın ve sürtünme yaratmadan büyümeniz için politika uygulamasını merkezileştirin. Hem firmalar hem de startup'lar otomasyondan faydalanır; piyasa, güvenlikten ödün vermeden hızlı hareket eden ekipleri ödüllendirir. Ölçeklendirilemeyen yaklaşımlar sizi yavaşlatır ve yatırımcılar ölçeklenebilir yönetişim görmek ister diye belirtiyor Evernote’un CTO’su Liam.

Temel araçlar, davranış tabanlı tespit özelliği olan anti-kötü amaçlı yazılımlar, entegre uç nokta tespiti ve yanıtı (EDR) ve aktarım halindeyken ve bekleme halindeyken şifrelemedir. Tüm hizmetler için tek bir sağlayıcıya güvenmek tehlikelidir; verileri depoladığınız yerleri çeşitlendirin ve veri egemenliğini sağlayın. Düzenli kötü amaçlı yazılım taramaları, net olay oyun kitapları ve hızlı yama uygulamaları, bir olaydan sonra temizlik için harcadığınız süreyi azaltır. Güncellemeleri günler yerine saatler içinde yayınlayabilmek, firmanızın yangın söndürmek yerine değere odaklanabilmesini sağlar.

Bu çeyrekte uygulayabileceğiniz pratik adımlar arasında yönetici cihazlarını kullanıcı cihazlarından ayırmak, bilmesi gereken ilkesine dayalı veri paylaşımını zorunlu kılmak ve misafirler için MFA gerekliliği getirmek yer alıyor. Evernote’un CTO’su Liam ayrıca, yüksek riskli varlıkların bir listesini oluşturmanızı, veri akışlarını haritalandırmanızı ve erişimleri aylık olarak gözden geçirmenizi istiyor. Yatırımcılarınız risk ve kurtarma planları hakkında şeffaflık bekler, bu nedenle destek personelinizin ve müşterilerinizin inceleyebileceği bir olay müdahale belgesi yayınlayın. Bunu tozlu bir politika yerine canlı bir kontrol listesi olarak kullanın.

Açık ölçümler ve hızlı gösterimlerle etkiyi ölçün. Olay kontrol süresini, kötü amaçlı yazılım kalma süresini ve kurtarma SLA'larını takip edin. Ekibiniz iş birliği konusunda Netflix gibi çalışıyorsa, yüzey alanını küçük tutmak için erişim iptalini otomatikleştirin ve rol tabanlı erişim kontrolünü zorunlu kılın. Ekibiniz, verilerinizi korumak için pratik araçlar kullanan birer güvenlik öğrencisidir ve amaç, güvenliği işletmenizin güvendiği rutin bir yetenek haline getirmektir, külfetli bir onay kutusu değil.

İşe alım, erişim kontrolü ve olaya hazırlık için pratik önlemler

Benzersiz hesaplar, MFA ve en az ayrıcalık rolleri ile otomatik yetki kaldırma içeren üç adımlı bir işe alım politikası uygulayın. İşleri yavaşlatmadan güvenliği ölçeklendirmek istiyorsanız, kaynakları korumak ve manuel devirleri azaltmak için yetkilendirme ve yetki kaldırma işlemlerini otomatikleştirin. Bu yaklaşım müşterilere güvence sağlar ve erişimdeki boşlukları azaltır. Son vakalar, çoğu olayın yanlış yapılandırmalardan ve güncelliğini yitirmiş belirteçlerden kaynaklandığını ve ekiplerin tepki vermesinin çok uzun sürdüğünü gösteriyor. Manuel onaylar işe alım sürecini yavaşlatır.

Bu programı sürdürmek için insani faktörleri göz önünde bulundurun ve otomasyonu ve hesap verebilirliği vurgulayan bir güvenlik kültürü geliştirin. Son vakalardan toplanan kanıtlar, çoğu olayın işe alım ve erişim kontrolündeki boşluklardan kaynaklandığını gösteriyor. Kanıtlanmış uygulamalarla uyumlu kalmak için Livongo ve Googles IAM şablonlarından şablonlar kopyalıyoruz. Kararlı bir şekilde hareket etmek istiyorsanız, bu yaklaşım potansiyel riski azaltır ve müşterilere güven verir. Ürün ve satış ekiplerine, güvenliğin büyümeyi yavaşlatmak yerine iş sonuçlarını desteklediğini hatırlatırız.

• İşe alım ve kimlik yönetimi

  • IdP aracılığıyla yetkilendirmeyi merkezileştirin; benzersiz hesaplar gerektirin; MFA'yı zorunlu kılın; SSO; otomatik yetki kaldırma; güncel bir erişim matrisi tutun.
  • Yükseltilmiş erişim için belgelenmiş onay ve geçme-kalma kriterleri; maliyetli, geçici değişikliklerden kaçının ve denetlenebilir bir iz bırakın.
  • Güvenliği geliştirici iş akışlarına ve ürün zaman çizelgelerine entegre ederek direnci ele alın; ürün lansmanları sırasında sürtünmeyi en aza indirmek için satışları dahil edin.
  • Onboarding'i hızlandırmak ve ekipler arasında tutarlı kontroller sağlamak için kopyalamaya hazır politika şablonlarından oluşan bir kitaplık tutun.
  • Sahipsiz hesapları önlemek ve kaynakları bir sonraki döngü için korumak amacıyla işten ayrılmanın resmi bir süreç olarak toplanmasını sağlayın.

• Erişim kontrolü ve izleme

  • Varsayılan olarak en az ayrıcalığı uygulayın; yönetici hesaplarını ayırın; belgelenmiş onaylar ve olay sonrası inceleme ile camı kır uygulayın; erişim olaylarını neredeyse gerçek zamanlı olarak izleyin.
  • Süresi veya kapsamı sınırlı yüklenici erişimi sağlayın; sözleşme sonunda otomatik iptal; tüm denemeleri günlüğe kaydedin ve anormallikler konusunda uyarı verin.
  • Standartlaştırılmış denetim izlerini yayınlayın ve bir SIEM'e aktarın; üç ayda bir boşluk analizi yapın ve politikaları buna göre ayarlayın.
  • Tutarlı güvenlik duruşunu korumak ve değişikliklere karşı direnci azaltmak için ürünler ve işletmeler genelinde yönetimi sağlayın.

• Olaylara hazırlık ve müdahale

  • Yaygın senaryolar için çalıştırma kitapları geliştirin; paydaşlara rollerini hatırlatmak için dahili ve harici iletişim şablonlarını ekleyin.
  • Şiddet düzeylerini ve geçme-kalma eskalasyon çerçevesini tanımlayın; çevreleme, yok etme ve kurtarma adımlarını belirtin; oyun kitaplarının test edildiğinden emin olun.
  • Üç ayda bir masa başı tatbikatları yapın; son tehdit istihbaratını dahil edin; algılama ve müdahale süresini ölçün; sürekli iyileştirmeyi sağlayın.
  • Kapanma süresini azaltmak için otomasyon için livongo'dan ilham alan bir oyun kitabı benimseyin: sinyaller, uyarılar, kimlik bilgisi iptali ve hızlı kurtarma.

Hesap Sağlama ve Sağlamayı Kaldırma: 3-300 personel için yaşam döngüsünü basitleştirin

Öneri: SCIM ile kimlik sağlayıcınıza bağlı otomatik sağlamayı uygulayın ve bir rol sona erdiğinde erişimi kaldırmak için 24 saatlik bir sağlamayı kaldırma penceresi uygulayın. Bu, gerçek zamanlı güncellemeleri etkinleştirir, sorunları azaltır ve ölçekte riski ele almanıza yardımcı olur, bu da herkes için önemlidir.

Genel Bakış: Üç personel grubu (çalışanlar, yükleniciler, stajyerler) ile başlamak ve roller geliştikçe erişimlerini eşleştirmek için İK verilerinden ve politikasından yararlanın. Son olaylar, küçük gecikmelerin bile maruziyet yaratabileceğini gösteriyor, bu nedenle devasa uygulama portföyünüzle birlikte büyüyen teknik olarak sağlam kontrollere ihtiyacınız var. İleriye dönük olarak, verilerinizi aktarım halindeyken ve bekleme halindeyken şifrelemeli ve ortamınızın kenarında erişimi izleme şeklinizi keskinleştirmelisiniz. Bu zihniyet, uyumlu hale gelmelerini ve denetçilerin izi incelemesini kolaylaştırır.

• Üç personel grubu (personel türü) tanımlayın ve erişimi rol gereksinimlerine ve kritik sistemlerdeki bir tür minimum ayrıcalığa eşleyin.
• Tüm uygulamalarda hesap oluşturma, güncelleme ve kaldırma işlemlerini otomatikleştirmek için SCIM'i kullanın; özniteliklerin İK akışıyla senkronize kaldığından emin olun, bu da sapmayı azaltır ve onboarding'i hızlandırır.
• Sağlamayı İK olaylarına bağlayın ve erişim verilmeden önce MFA kaydını zorunlu kılın; bu, kimlik bilgisi kötüye kullanımını en erken aşamada ele almaya yardımcı olur.
• Uygulanabilir olduğunda RBAC ve ABAC aracılığıyla en az ayrıcalığı zorunlu kılın; grupları hassas verileri ve sistemleri yöneten kontrollerle hizalayın.
• Fesih işleminden sonra 24 saat içinde sağlamayı kaldırın; belirteçleri otomatik olarak iptal edin, oturumları devre dışı bırakın ve SaaS uygulamaları ve cihazlar genelinde erişimi temizleyin.
• Alışılmadık sağlama kalıpları veya erişim anormallikleri için olay akışları ve uyarılarla gerçek zamanlı olarak çalışın; sorunları birleşmeden önce ele alın.
• Düzenli erişim incelemeleri planlayın: küçük ekipler için aylık, daha büyük ekipler için üç ayda bir ve yüksek riskli sistemlere ve erişim sağladıkları verilere odaklanın.
• Denetim izini tutun: Kimin erişim izni verdiğini, ne zaman ve hangi sistemde verdiğini kaydedin; denetçiler ve uyumluluk kontrolleri için gereksinimleri karşılamak üzere raporlar dışa aktarın.
• Yükleniciler, satıcılar ve satın alınan kuruluşlar gibi uç durumları ele alın; her türlü harici erişimde aynı yaşam döngüsü kurallarını uygulayın.
• Varlıkları aktarım sırasında ve beklemedeyken şifreleyerek koruyun; oturum başına şifrelemeyi ve hizmetler arasında güçlü kimlik doğrulamayı zorunlu kılın; hız sınırları ve yük devretme ile kimlik katmanında ddos ile ilgili kesintilere karşı dayanıklılık oluşturun.

Son gözlemler, disiplinli bir yaklaşımın ekipler büyüdükçe ölçeklendiğini ve wayve gibi girişimlerin sıkı bir tedarik sürecinin hızla nasıl karşılığını verdiğini gösteriyor. Bu, erişime dair net bir genel bakış sunar, izinlerini yönetmeyi kolaylaştırır ve küçük bir ekipten daha büyük bir ekibe geçerken riski gözetmenize yardımcı olur. Süreci teknik olarak sağlam tutarak ve kontrolleri keskinleştirerek, daha olgun bir organizasyon haline gelirken uyumlu kalmak için kendinize yalın bir yol sağlarsınız.

Kimlik Doğrulama: MFA, geçiş anahtarları ve kurtarma iş akışları

Tüm çalışanlar için varsayılan kimlik doğrulama yöntemi olarak geçiş anahtarlarını kullanın ve yönetici ve yüksek riskli erişim için MFA'nın gerekli olmasını sağlayın. Bu yaklaşım, oturum açma yorgunluğunu azaltır ve kimlik avına karşı direnci mutlak surette güçlendirerek yatırımcıların etrafında toplanabileceği yeni nesil bir kimlik yolu olduğunu kanıtlar. Güveni artırır ve kaputun altında parolaların ötesinde çalışan bir çerçeve gösterir. Lütfen, takımlar genelinde, 60 gün içinde %85-95 geçiş anahtarı benimsenmesini hedefleyerek, dağıtımı hızlandıralım. Yatırımcılar için bu, güvenlik çıtasını yükseltmiş liderlik altında kanıtlanmış, ölçeklenebilir bir konumu ifade eder.

Geçiş anahtarlarının kullanılamadığı cihazlar veya senaryolar için MFA gerekli olmaya devam ediyor; her yöneticinin ve kritik kaynağın ikinci bir faktör gerektirdiğinden emin olun. Kimlik avına dayanıklı FIDO2 geçiş anahtarlarını destekleyen ve koordineli bir çerçevenin parçası olan bir sağlayıcı kullanın. Bu, dağıtımı sıkmanıza ve benimsenmeyi ölçmenize olanak tanır; net ölçümlerle ilerlemeyi izleyin. Livongo tarzı programlar, sürtünme eklemeden güvenliğin nasıl ölçekleneceğini gösterir. Amaç, yorgunluğu azaltırken etkinliği yüksek tutmaktır.

Kurtarma iş akışları hızlı ve güvenli olmalıdır: kurtarma kodları verin, ikincil bir kanal aracılığıyla yedek doğrulama gerektirin ve onaylı bir yönetici sıfırlama yolu üzerinden yönlendirin. Her zaman sosyal mühendislik riski vardır; katı kimlik kontrolleri, oran sınırları ve son etkinlik doğrulaması ile azaltın. Boşlukları yakalamak ve mevcut tehdit modeliyle uyumlu olduklarını doğrulamak için bu adımları üç ayda bir belgeleyin ve test edin. Kullanıcıların hassas verileri açığa çıkarmadan kurtarmayı nasıl başlatacaklarını bildiklerinden emin olun.

İzleme ve ölçümler büyümeye ve hesap verebilirliğe rehberlik eder: etkinleştirme oranı, kurtarma istekleri, başarısız oturum açma girişimleri ve geri yükleme süresi. Önümüzdeki 90 gün için bir rampa planı kilometre taşları belirler ve yatırımcılara önce/sonra vektörlerini karşılaştırarak net bir etki gösterebilirsiniz. Ekip haftalık bir karnesini yayınlamalı ve paydaşlara özetler göndermelidir; her zaman güvenliği göz önünde bulundurmalı ve rol ve sağlayıcı yönetimi ile koordineli çalışmalıdır. Pilot uygulamalarda işe yaradı ve çerçeveniz ve yönetiminize uyum sağladığınızda ölçeklenebilir.

Erişim Yönetişimi: RBAC, gruplar ve ölçekte en az ayrıcalık

Sekiz temel role sahip bir RBAC modeli uygulayın, her rolü sıkı bir şekilde belirlenmiş bir izin kümesiyle eşleyin ve varsayılan olarak bu izinlerin ötesinde hiçbir şeye erişimi zorunlu tutun. İçerik düzenleyicileri, araştırmacılar, veri dışa aktarma uzmanları ve operasyon görevleri gibi iş gruplarını yansıtan gruplar oluşturun ve üyeleri sınırlı istisna gruplarıyla birincil bir gruba atayın. Bu, sağlam bir kontrol katmanı sağlar ve dikkati risklere odaklar, birinin yapabileceği ile işinin gerektirdiği arasında çok az sapma olmasını sağlar. Politika motorunun kendisi bu sınırları zorlar ve erişim alma talebinin işlenmesiyle birlikte değişiklikler kaydedilir, böylece daha sonraki denetimler kimin neyi ve neden istediğini doğrulayabilir. İzlenmesi gereken şey, gruplar arasındaki ayrıcalıklardaki herhangi bir sapmadır.

İzinleri kullanıcı başına değil, grup düzeyinde vererek en az ayrıcalığı uygulayın ve nadir olaylar için tam zamanında yükseltme uygulayın. Hassas gruplara üyeliğin haftalık olarak gözden geçirildiği ve değişikliklerin güvenli bir günlükte izlendiği bir rotasyon kadansı uygulayın. Her rolün ihtiyaç duyduğu minimum varlık kümesini içerdiğini doğrulamak için otomatik testler kullanın ve alana özgü korumalı alanlarda gerçek iş senaryolarını simüle eden üç aylık testler yapın. Uyumu teyit etmek için her önemli değişiklikten sonra odaklanmış bir test yapın; bu, kontrol düzlemindeki yorgunluğu azaltır ve uyarıdaki gürültüyü önlerken sahipliği net tutar. Ancak bu, bir iş ihtiyacı ortaya çıktığında birinin istisnaları hızlı bir şekilde onaylayabilmesi için açık yükseltme yolları gerektirir.

Ölçek düşünceleri: ekipler büyüdükçe, gruplar için alan sınırlarını tanımlayın ve RBAC matrisini kompakt tutun; en iyi uygulama, rolleri 12-15 ile sınırlamak ve grup iç içe geçmesini seyrek kullanmaktır. Büyük kuruluşlarda, işe alma veya bir satın alma gibi olaylar önceden tanımlanmış bir oyun kitabı gerektirir: geçici olarak zamana bağlı erişime sahip bir misafir veya yüklenici rolü ekleyin, ardından etkinlik sona erdiğinde iptal edin. Erişim yönetimi için Netflix benzeri kalıplar, otomatikleştirilmiş politika kararlarını ve net sahipliği vurgular; burada, güvenlikteki biri politikaya sahip olur ve doğrudan onaylar yönetici veya veri sahibinden gelir. Tüm varlıklar bir durum etiketine sahiptir ve gürültüyü ve sapma işaretini azaltarak güvenli politikanın içinde yer alır. Bu yapı aynı zamanda hızlı değişiklikler sırasında uyumlu kalmalarına yardımcı olur, böylece minimum kesinti alırlar.

Metrikler ve sinyaller: varlık ve alana göre erişimi izleyin, hangi grupların izinleri tuttuğunu, doğrudan erişim isteklerinin sayısını ve işler arasındaki kalıpları gösteren aylık raporlar oluşturun. Bir kullanıcının yeni haklar alması gerekiyorsa, yöneticiden bir onay alın ve gerçek kullanıma karşı hafif bir testle yetkiyi doğrulayın. Sağlam bir yaklaşım, uyarılardaki gürültü için eşikler içerir ve manuel çalışmayı en aza indirmek için otomatik mutabakat kullanır, işe alma veya denetimler sırasında sürtünmeyi önler. Uygulamada, ekipler kimlikten kaynağa net bir görüş hattı sağlayan bir politika motoru benimseyebilir ve bir iznin meşru olup olmadığına yanıt verebilmelidir.

Cihaz ve Uç Nokta Güvenliği: mobil cihaz yönetimi ve politika uygulama

Tüm çalışan cihazlarında sunucu tarafı zorlaması ile birleşik bir mobil cihaz yönetimi politikası uygulayın. Her cihazı otomatik olarak kaydedin, güçlü parolalar ve cihaz şifrelemesi gerektirin ve ilk günden riski en aza indirmek için şirket genelinde bir izin listesi ile onaylanmamış uygulamaları engelleyin. Politikalar cihazlar arasında uygulanabilir olmalıdır.

Uyumluluğu oluştuğu anda yakalamak için otomasyon öncelikli izleme ve uyarıyı etkinleştirin. Karantina alanı veya jailbreak yapılmış veya uyumsuz cihazlar için erişimi kısıtlamak için koşullu erişim kullanın ve politika değişikliklerini tüm kayıtlı cihazlarda uzaktan itin.

Erken aşama ekipleri için, uyumlu kalırken hızla hareket etmek amacıyla temel kontroller ve hızlı kazanım ilkesi zarfıyla otomasyon öncelikli bir temel oluşturun.

Düzeltme kararlarını desteklemek için her etkinlikten ve duruş kontrolünden kanıt toplayın. Uyarıları riske göre sıralayın, özlü bir kanıt zaman çizelgesi oluşturun ve yanıtı hızlandırmak için güvenlik görüşmelerine aktarın.

3'ten 300 çalışana kadar ölçeklenebilen sağlam bir temel oluşturun: cihaz yapılandırması, uygulama beyaz listesi ve bekleyen verilerin korunması için temel bir ilkeyle başlayın, ardından gerekirse kapsayıcılaştırma ve uygulama başına VPN'e genişletin.

Liderliği ve yatırımcıları aynı hizaya getirmek için ilkeyi, iş akışlarını ve sonuçları sunum kitabınızda belgeleyin; sorunları düzeltme adımlarıyla ilişkilendirin ve sertifika hazırlığı için risk modelinizdeki sokak istihbaratı kaynaklarını güncelleyin.

Ekiple yapılan görüşme devamlı olmalıdır: değer ölçütlerini paylaşın, merkezi bir MDM'nin avantajını gösterin ve iyileştirmeleri kanıtlamak için izlemeden elde edilen kanıtları kullanın. Uyarıları önceliklendirmek için kanıta dayalı, ileri görüşlü bir yaklaşıma kesinlikle bağlı kalın ve Markowitz'den ilham alan risk ağırlıklandırması ekleyin. Bu ileri duruş, hızı ve riski dengelemeye yardımcı olur.

Görünürlük ve Yanıt: denetim, uyarılar ve olay oyun kitapları

Kimlik doğrulama günlüklerini, kötü amaçlı yazılımlara karşı sinyalleri, erişim olaylarını ve ürün telemetrisini alan merkezi bir denetim merkezi kurun, ardından bunu bir ilke ihlali durumunda nöbetçi kanalı dakikalar içinde bilgilendiren otomatik uyarı sistemiyle eşleştirin.

Bilinen iyi davranış için temeller oluşturun ve her çeyrekte bir değerlendirme yapın; kontrolleri doğrulamak için yıllık bir dış denetim yapın ve süreklilik için eski yapılandırmaları mevcut kontrol durumuna eşleyin.

Olay oyun kitaplarını net sahiplik, algılama kriterleri, içerleme adımları, ortadan kaldırma eylemleri ve kurtarma kontrol listeleriyle oluşturun. Bunları aylık olarak uygulayın, paydaşlara sonuçların genel özetini anlatın ve yıllık incelemeler için eski oyun kitaplarını arşivleyin.

Uyarıları hızı ve sinyal kalitesini dengeleyecek şekilde tasarlayın: önem derecesine göre kategorilere ayırın, bağlam ekleyin (kullanıcı kimliği, kimlik doğrulama durumu, ana makine, kötü amaçlı yazılıma karşı koruma durumu) ve doğru nöbetçi penceresine yönlendirin. ekipleri gürültüyle boğmayın; tek bir eşiğe güvenilmemelidir.

Nelerin önemli olduğunu ölçün: MTTD ve MTTR ölçütlerini, uyarı oranını ve bilinen iyi davranıştan kaynaklanan uyarıların payını alın. Herkesin aynı sayfada olduğundan emin olmak için basit bir gösterge panosu kullanarak bir bakışta genel bir bakış sağlayın.

İster erken aşama ürünleri oluşturun, ister kurumsal ölçeğe geçin, aşamaya uygun stratejiler uygulayın: erken aşama için hafif otomasyon ve çalıştırma kitapları, olgun ürünler için resmi risk puanlaması ve yıllık denetimler.

Savunma öncelikli bir zihniyet benimseyin ve ideal olarak tek bir araç veya veri kaynaklarını birleştirmek için wayve olan iyi bir kontrol düzlemi dağıtın. Tatbikatlar için astronot benzeri bir disiplin kullanın, kimlik doğrulama ve erişim kontrollerinin uygulandığından emin olun ve ekiplere yaklaşan olaylar ortaya çıktığında oyun kitaplarının etkiyi nasıl azalttığını anlatın.