Siber saldırılar ve veri ihlalleri
Bütçesi daha kısıtlı kamu kurumları desteğe ihtiyaç duyuyor — işte nasıl yardımcı olunabilir.
Darshan Tiwari, CEO ve Kurucu Ortağı, Consultadd Public Services
Çalıştığım bir kamu kurumu neredeyse bir milyon dolar kaybetti ve hiçbir alarm duymadı. Fidye notu yoktu, kilitli sunucular yoktu. Saldırganlar birkaç personelin e-posta hesabına sızdı, kurumun birkaç ay boyunca parayı nasıl hareket ettirdiğini izledi ve ardından uygun fiyatlı konut projesine gönderilmesi gereken bir havaleyi sessizce başka yöne çevirdi. Para kaybolana kadar kimse fark etmedi.
Bu bir federal kurum değildi, Fortune 500 şirketi de değildi. Yerel bir konut idaresiydi, ailelerin kira ödemesine yardımcı olan türden bir yer. Ve sürekli döndüğüm nokta şu: İhlal hikâyenin sonu değil. Kurumu gerçek bir güvenlik programı kurmaya iten şey buydu ve bugün çalıştığım kurumların en iyi savunulanlarından biri. Bu toparlanma asıl mesele. Açık gerçek, ama bir kez kapatmaya karar verildikten sonra çoğu kişinin beklediğinden daha hızlı kapanıyor.
Şu ana kadar 46 eyalette 82 projede çalıştım ve aynı toparlanmayı şans diye nitelenecek kadar az kez gördüm. Yerel yönetimler federal hükümetle aynı veriyi tutuyor; yani Sosyal Güvenlik numaraları, tıbbi kayıtlar, ceza adaleti dosyaları, bordro. Bunu koruyacak insan sayısı ise çok daha az. Eyalet ve yerel kuruluşların yüzde 80'inden fazlası güvenliği beşten az özel personelle yürütüyor. Bu kurumlar dikkatsiz değil, sayıca eziliyor. Kaynak sorunları tasarlanarak aşılabilir ve ben gerçekten işe yaradığını gördüğüm şeyler şunlar.
Temel sorularla başlayın
Araca değil, maruziyete bakın. Her projeme sıkıcı sorularla başlıyorum: Ne çalıştırıyorsunuz, hangi verinin üzerinde oturuyorsunuz, gerçekte nerede açık var; ürün konuşulmadan önce. 14 departmanı tek bir yöneticiyle yürüten bir ilçe ile bir okul bölgesinin aynı plana ihtiyacı yok ve bu farkı görmeye ayrılan bir saat, bir yıl sonra her şeyin hâlâ ayakta olup olmadığını belirliyor.
Kurumu bütçesinin olduğu yerde karşılayın. Çoğu kurumsal güvenlik, yedi haneli bütçeli kuruluşlar için fiyatlandırılıyor ve paketleniyor. Tüm BT için 200.000 dolarla çalışan bir ilçe böyle satın alamaz. Kapsamlı bir risk değerlendirmesi, çok faktörlü kimlik doğrulama yayılımı ya da kendi şartlarıyla bir olay müdahale retainer'ı satın alabilir. İşi kurumun bir seferde finanse edebileceği parçalara bölmek, yardım alıp alamamak arasındaki farkı oluşturuyor. Bu daha yavaş ilerliyor ve yavaş ilerlemek, ihale süreçleri, personel değişimi ve bir sonraki seçimden sağ çıkmanın yolu.
Uyumluluğun önemi
Uyumluluk konuşmasını en başa alın. Konut idareleri HUD kurallarına tabi, ilçeler CJIS kapsamında kayıt tutuyor, bölgeler öğrenci verisi barındırıyor. CJIS ve SOC 2'yi sözleşme imzalandıktan sonra değil, ilk toplantıda gündeme getirmek, küçük bir kurumun yönetimine kumar oynuyormuş gibi hissettirmeden evet demesi için olanak tanıyor.
Sözleşme kapandığında ortadan kaybolmayın. Yıllar sonra ayakta kalan kurumlar neredeyse her zaman sözleşme bittikten sonra da odada kalan, yeni işe alınan kişiyi yeniden eğiten, tehditler hareket ettikçe ayar yapan birinin olduğu kurumlar. Tüm BT departmanınız tek bir aşırı çalışan kişi olduğunda, bu ilişki faturadaki her araçtan daha önemli.
Sonuncusu bedava. Düzinece kurumda çalışan bizler aynı ekiplerin aynı oyun kitabını bir ilçeden diğerine taşıdığını görüyoruz. Anonimleştirilmiş bulguları yazın, bölgesel kamu-BT derneklerine götürün ve bir işte öğrendiğiniz şey bir sonraki kurum için koruma haline geliyor. Daha fazla kişi bunu yapmalı.
Bunun Kongre'yi ya da yeni bir hibeyi beklemesine gerek yok. Daha küçük bir bütçeyi gerçek bir müşteri olarak görmek ve işi ona göre inşa etmek bir tercih meselesi.
CEO ve Kurucu Ortağı, Consultadd Public Services
BT, dijital dönüşüm ve teknik proje teslimi alanında on yılı aşkın uzmanlığa sahip yönetici lider. ABD hükümeti, savunma, sağlık ve eğitim sektörlerine güvenli ve uyumlu teknolojiyle operasyonlarını modernleştirmeleri konusunda yardımcı olmayı uzmanlık alanı yapıyor.
