ஆளுகை மற்றும் இணக்கத்திற்கு அப்பால்: அது ஏன் பாதுகாப்பு ஆபத்து என்பது முக்கியமானது

காளான் தொழில் மற்றும் தகவல் தொழில்நுட்ப பாதுகாப்பை நிர்வகிக்கும் அரசாங்க ஆணைகள் மிகவும் ஒழுங்குபடுத்தப்பட்ட சூழலுக்கும் வருடாந்திர இணக்க தீ பயிற்சிகளுக்கும் வழிவகுத்தன. சராசரி நிறுவனங்களை பாதிக்கும் விதிமுறைகளின் எண்ணிக்கை எளிதில் ஒரு டஜன் அல்லது அதற்கு மேற்பட்டதை விட அதிகமாக இருக்கும், மேலும் நாளுக்கு நாள் மிகவும் சிக்கலானதாக வளரும். இது பெரும்பாலான நிறுவனங்கள் தங்கள் நீண்ட கால தகவல் தொழில்நுட்ப முன்னுரிமைகள் பட்டியலின் மேல் ஆளுகை மற்றும் இணக்க முயற்சிகளுக்கு அளவுக்கு அதிகமான ஆதாரங்களை ஒதுக்க கட்டாயப்படுத்துகிறது. இந்த முயற்சிகள் உத்தரவாதமா? அல்லது பாதுகாப்பிற்கான இணக்க உந்துதல் அணுகுமுறையின் ஒரு பகுதியாக ஒரு செக்-பாக்ஸ் தேவையா?

கசப்பான உண்மை என்னவென்றால், நீங்கள் ஒரு தணிக்கை திட்டமிட முடியும், ஆனால் நீங்கள் ஒரு சைபர் தாக்குதலை திட்டமிட முடியாது. மீறல்கள் தலைப்புச் செய்திகளை உருவாக்கும் போது கிட்டத்தட்ட ஒவ்வொரு நாளும், இந்த உண்மை நமக்கு நினைவூட்டப்படுகிறது. இதன் விளைவாக, பல நிறுவனங்கள் தங்கள் இடர் தோரணையைப் பற்றிய நுண்ணறிவைப் பெற, அவை எளிய இணக்க மதிப்பீடுகளுக்கு அப்பால் செல்ல வேண்டும் என்று முடிவு செய்துள்ளன. இதன் விளைவாக, அவர்கள் அச்சுறுத்தல்கள் மற்றும் பாதிப்புகள், அத்துடன் வணிக தாக்கத்தையும் கணக்கில் எடுத்துக்கொள்கிறார்கள். இந்த மூன்று காரணிகளின் கலவையே ஆபத்து பற்றிய முழுமையான பார்வையை உறுதிப்படுத்துகிறது.

இணக்கத்தின் ஆபத்து

காசோலை பெட்டியைத் தொடரும் நிறுவனங்கள், இடர் நிர்வாகத்திற்கான இணக்கத்தால் இயக்கப்படும் அணுகுமுறையானது புள்ளி-நேர நேர பாதுகாப்பை மட்டுமே அடைகிறது. ஏனென்றால் ஒரு நிறுவனத்தின் பாதுகாப்பு தோரணை மாறும் மற்றும் காலப்போக்கில் மாறுகிறது. இது மீண்டும் மீண்டும் நிரூபிக்கப்பட்டுள்ளது.

சமீபத்தில், முற்போக்கான அமைப்புகள் பாதுகாப்பிற்கான மிகவும் செயலூக்கமான, ஆபத்து அடிப்படையிலான அணுகுமுறையைத் தொடரத் தொடங்கியுள்ளன. ஒரு ஆபத்து அடிப்படையிலான மாதிரியின் குறிக்கோள், ஒரு நிறுவனத்தின் தகவல் தொழில்நுட்ப பாதுகாப்பு நடவடிக்கைகளின் செயல்திறனை அதிகரிப்பது மற்றும் ஆபத்து மற்றும் இணக்க தோரணையில் தெரிவுநிலையை வழங்குவதாகும். இறுதி இலக்கு இணக்கமாக இருப்பது, ஆபத்தை குறைத்தல் மற்றும் தொடர்ச்சியான அடிப்படையில் பாதுகாப்பை கடினப்படுத்துதல்.

பல காரணிகள் நிறுவனங்கள் ஆபத்து அடிப்படையிலான மாதிரிக்கு செல்ல காரணமாகின்றன. இவை அடங்கும், ஆனால் இவை மட்டும் அல்ல:

• வளர்ந்து வரும் இணைய சட்டம் (எ.கா., சைபர் நுண்ணறிவு பகிர்வு மற்றும் பாதுகாப்பு சட்டம்)
• நாணயக் கட்டுப்பாட்டாளரின் அலுவலகத்தின் மேற்பார்வை வழிகாட்டுதல் (OCC)

மீட்புக்கு பாதுகாப்பு?

தரவு மீறல் அபாயத்தை பாதிப்பு மேலாண்மை குறைக்கும் என்று பொதுவாக நம்பப்படுகிறது. இருப்பினும், அவற்றுடன் தொடர்புடைய அபாயத்தின் பின்னணியில் பாதிப்புகளை வைக்காமல், நிறுவனங்கள் பெரும்பாலும் அவற்றின் தீர்வு ஆதாரங்களை தவறாக வடிவமைக்கின்றன. பெரும்பாலும் அவை "குறைந்த தொங்கும் பழத்தை" மட்டுமே உரையாற்றும் போது மிக முக்கியமான அபாயங்களை கவனிக்கின்றன.

இது பணத்தை வீணாக்குவது மட்டுமல்லாமல், சிக்கலான பாதிப்புகளை சுரண்டுவதற்கான ஹேக்கர்களுக்கான நீண்ட வாய்ப்பையும் இது உருவாக்குகிறது. சாளரத் தாக்குபவர்கள் ஒரு மென்பொருள் குறைபாட்டைப் பயன்படுத்த வேண்டும் என்பதைக் குறைப்பதே இறுதி குறிக்கோள். ஆகையால், பாதிப்பு மேலாண்மை என்பது பாதுகாப்பிற்கான முழுமையான, இடர் அடிப்படையிலான அணுகுமுறையால் கூடுதலாக இருக்க வேண்டும், இது அச்சுறுத்தல்கள், மறுபயன்பாடு, நிறுவனத்தின் இணக்க தோரணை மற்றும் வணிக தாக்கம் போன்ற காரணிகளைக் கருதுகிறது. அச்சுறுத்தல் பாதிப்பை அடைய முடியாவிட்டால், அதனுடன் தொடர்புடைய ஆபத்து குறைக்கப்படலாம் அல்லது அகற்றப்படும்.

ஒரே உண்மையாக ஆபத்து

ஒரு நிறுவனத்தின் இணக்க தோரணை ஐடி பாதுகாப்பில் ஒரு முக்கிய பங்கைக் கொண்டிருக்கலாம், அச்சுறுத்தல்கள் தங்கள் இலக்கை அடைவதைத் தடுக்க பயன்படுத்தக்கூடிய ஈடுசெய்யும் கட்டுப்பாடுகளை அடையாளம் காண்பதன் மூலம். முந்தைய ஆண்டில் வெரிசோன் மற்றும் பிற நிறுவனங்கள் நிகழ்த்திய மீறல் விசாரணைகளிலிருந்து பெறப்பட்ட தரவுகளின் பகுப்பாய்வான 2013 வெரிசோன் தரவு மீறல் விசாரணை அறிக்கையின்படி, 97 சதவீத பாதுகாப்பு சம்பவங்கள் எளிய அல்லது இடைநிலைக் கட்டுப்பாடுகள் மூலம் தவிர்க்கக்கூடியவை. இருப்பினும், உண்மையான தாக்கத்தை தீர்மானிப்பதில் வணிக தாக்கம் ஒரு முக்கியமான காரணியாகும். எடுத்துக்காட்டாக, முக்கியமான வணிக சொத்துக்களை அச்சுறுத்தும் பாதிப்புகள் குறைவான முக்கியமான இலக்குகளுடன் தொடர்புடையதை விட மிக அதிக ஆபத்தைக் குறிக்கின்றன.

இணக்க தோரணை பொதுவாக சொத்துக்களின் வணிக விமர்சனத்துடன் பிணைக்கப்படவில்லை. அதற்கு பதிலாக, ஈடுசெய்யும் கட்டுப்பாடுகள் பொதுவாகப் பயன்படுத்தப்பட்டு அதற்கேற்ப சோதிக்கப்படும். ஒரு சொத்து ஒரு நிறுவனத்திற்கு பிரதிநிதித்துவப்படுத்தும் வணிக விமர்சனத்தைப் பற்றிய தெளிவான புரிதல் இல்லாமல், ஒரு நிறுவனத்தால் தீர்வு முயற்சிகளுக்கு முன்னுரிமை அளிக்க முடியாது. செயல்பாட்டு திறனை அதிகரிக்கவும், மதிப்பீட்டு துல்லியத்தை மேம்படுத்தவும், தாக்குதல் மேற்பரப்புகளைக் குறைக்கவும் மற்றும் முதலீட்டு முடிவெடுப்பதை மேம்படுத்தவும் ஆபத்து-உந்துதல் அணுகுமுறை பாதுகாப்பு தோரணை மற்றும் வணிக பாதிப்பு ஆகிய இரண்டையும் குறிக்கிறது.

முன்னர் குறிப்பிட்டபடி, ஆபத்து மூன்று முக்கிய காரணிகளால் பாதிக்கப்படுகிறது: இணக்க தோரணை, அச்சுறுத்தல்கள் மற்றும் பாதிப்புகள் மற்றும் வணிக பாதிப்பு. இதன் விளைவாக, வணிக நடவடிக்கைகளில் ஏற்படும் பாதிப்புகளைக் கணக்கிடுவதற்கும், தீர்வு நடவடிக்கைகளுக்கு முன்னுரிமை அளிப்பதற்கும் தற்போதைய, புதிய மற்றும் வளர்ந்து வரும் அச்சுறுத்தல் தகவலுடன் ஆபத்து மற்றும் இணக்க தோரணைகள் பற்றிய விமர்சன நுண்ணறிவை ஒருங்கிணைப்பது அவசியம்.

அபாயத்தின் முழுமையான பார்வைக்கு மூன்று கூறுகள்

பாதுகாப்பிற்கான ஆபத்து அடிப்படையிலான அணுகுமுறையை செயல்படுத்த மூன்று முக்கிய கூறுகள் உள்ளன:

• தொடர்ச்சியான இணக்கத்தில் சொத்துக்களின் நல்லிணக்கம் மற்றும் தரவு வகைப்பாட்டின் ஆட்டோமேஷன், தொழில்நுட்பக் கட்டுப்பாடுகளின் சீரமைப்பு, இணக்க சோதனையின் ஆட்டோமேஷன், மதிப்பீட்டு கணக்கெடுப்புகளை வரிசைப்படுத்துதல் மற்றும் தரவு ஒருங்கிணைப்பின் தன்னியக்கமாக்கல் ஆகியவை அடங்கும். தொடர்ச்சியான இணக்கத்துடன், தரவு சேகரிப்பு மற்றும் தரவு பகுப்பாய்வில் துல்லியத்தை அதிகரிக்க ஒரு பொதுவான கட்டுப்பாட்டு கட்டமைப்பை மேம்படுத்துவதன் மூலம் நிறுவனங்கள் ஒன்றுடன் ஒன்று குறைக்க முடியும், மேலும் தேவையற்ற, அத்துடன் கையேடு, உழைப்பு-தீவிர முயற்சிகளை 75 சதவீதம் வரை குறைக்கலாம்.
• தொடர்ச்சியான கண்காணிப்பு தரவு மதிப்பீடுகளின் அதிகரித்த அதிர்வெண்ணைக் குறிக்கிறது மற்றும் பாதுகாப்புத் தகவல் மற்றும் நிகழ்வு மேலாண்மை (SIEM), சொத்து மேலாண்மை, அச்சுறுத்தல் ஊட்டங்கள் மற்றும் பாதிப்பு ஸ்கேனர்கள் போன்ற பல்வேறு மூலங்களிலிருந்து தரவை ஒருங்கிணைத்து இயல்பாக்குவதன் மூலம் பாதுகாப்பு தரவு ஆட்டோமேஷன் தேவைப்படுகிறது. இதையொட்டி, தீர்வுகளை ஒன்றிணைத்தல், செயல்முறைகளை ஒழுங்குபடுத்துதல், சுரண்டல்கள் மற்றும் அச்சுறுத்தல்களை சரியான நேரத்தில் அம்பலப்படுத்த சூழ்நிலை விழிப்புணர்வை உருவாக்குதல் மற்றும் வரலாற்று போக்கு தரவுகளை சேகரிப்பதன் மூலம் நிறுவனங்கள் செலவுகளை குறைக்க முடியும், இது முன்கணிப்பு பாதுகாப்புக்கு உதவும்.
• மூடிய-வளைய, இடர் அடிப்படையிலான பரிகாரம் வணிக அலகுகளுக்குள் உள்ள பொருள் வல்லுநர்களை ஆபத்து அட்டவணை மற்றும் இடர் சகிப்புத்தன்மையை வரையறுக்க உதவுகிறது. இந்த செயல்முறை வணிக விமர்சனத்தை வரையறுக்க சொத்து வகைப்பாடு, இடர் அடிப்படையிலான முன்னுரிமையை செயல்படுத்த தொடர்ச்சியான மதிப்பெண் மற்றும் மூடிய-லூப் கண்காணிப்பு மற்றும் அளவீட்டு ஆகியவற்றை உள்ளடக்கியது. தற்போதுள்ள சொத்துக்கள், மக்கள், செயல்முறைகள், சாத்தியமான அபாயங்கள் மற்றும் சாத்தியமான அச்சுறுத்தல்கள் ஆகியவற்றின் தொடர்ச்சியான மறுஆய்வு சுழற்சியை நிறுவுவதன் மூலம், நிறுவனங்கள் செயல்பாட்டு செயல்திறனை வியத்தகு முறையில் அதிகரிக்க முடியும், அதே நேரத்தில் வணிக, பாதுகாப்பு மற்றும் தகவல் தொழில்நுட்ப நடவடிக்கைகளில் ஒத்துழைப்பை மேம்படுத்துகின்றன. இது பாதுகாப்பு முயற்சிகளை - நேரத்திற்குத் தீர்மானம், பாதுகாப்பு நடவடிக்கைகளில் ஈடுபடுவோர், கூடுதல் பாதுகாப்பு கருவிகளை வாங்குதல் போன்றவற்றை அளவிட உதவுகிறது.

ஆபத்து மற்றும் இணக்கம் குறித்த பாட்டம் லைன்

இணக்க ஆணைகள் ஒருபோதும் ஐடி பாதுகாப்பு பஸ்ஸை இயக்க வடிவமைக்கப்படவில்லை. இடர் மதிப்பீடு, தொடர்ச்சியான கண்காணிப்பு மற்றும் மூடிய-லூப் பரிகாரம் ஆகியவற்றால் இயக்கப்படும் ஒரு மாறும் பாதுகாப்பு கட்டமைப்பிற்குள் அவை துணைப் பாத்திரத்தை வகிக்க வேண்டும்.