Siber güvenlik bütçesi oluşturma: En önemli hususlar

Siber güvenlik bütçelemesi günümüzün sıcak konularından biridir. Veri ihlali manşetleri, güçlü siber güvenliğin her kuruluş için hayati önem taşıdığını açıkça ortaya koyuyor; ancak liderlik ekipleri, "Siber güvenliği iyileştirin! Bunun yerine etkili bir siber güvenlik bütçesi oluşturmaları gerekiyor.

Bu makale yardımcı olabilir. Siber güvenlik maliyetlerini etkileyen faktörleri ve kuruluşların halihazırda siber güvenliğe ne kadar geniş bir BT bütçesi ayırdığını araştırıyor, bütçe taleplerinin nasıl gerekçelendirileceği konusunda rehberlik sağlıyor ve daha uzun vadeli planlama için dikkate alınması gereken temel eğilimleri ortaya koyuyor.

Siber güvenliğin kuruluşlara maliyeti ne kadardır?

Bir kuruluş için siber güvenliğin maliyeti önemli ölçüde değişebilir. Siber güvenlik bütçesinin temel bileşenleri aşağıdakileri içerir:

Yazılım — Siber güvenlik bütçenizdeki en belirgin kalemler yazılım çözümleridir. Bunlar genellikle antivirüs uygulamalarını, güvenlik duvarlarını, denetim ve değişiklik yönetimi araçlarını ve yedekleme ve kurtarma çözümlerini içerir. Nitekim büyük işletmelerin elinde artık ortalama 76 farklı güvenlik aracı bulunuyor.
Personel — Bununla birlikte, siber güvenliğin en büyük maliyeti aslında personeldir ve toplam güvenlik bütçesinin %38'ini oluşturur. Nitelikli siber güvenlik yeteneklerine yıllardır yüksek talep var ve BT'nin emekliye ayrılmasındaki artış gibi eğilimler sorunu daha da ağırlaştırdı. Ancak yazılım ile personel arasındaki karmaşık ilişkiyi anlamak önemlidir. Çok fazla kuruluş pahalı siber güvenlik yeteneklerini işe alıyor ve onlara tekrarlayan görevler veriyor. Ancak doğru otomatik çözümlere yatırım yaparsanız, sınırlı BT ekibinizin daha stratejik konulara odaklanmasına olanak tanıyabilirsiniz. Üstelik bu strateji aslında iş memnuniyetini ve yeteneklerin elde tutulmasını da artırabilir.
Hizmetler — Kuruluşlar, güvenlik açığı değerlendirmeleri ve sızma testleri gibi belirli görevlerin yanı sıra devam eden yönetilen güvenlik hizmetleri için sıklıkla üçüncü taraf siber güvenlik hizmetlerinden yararlanır.
Donanım — Çoğu kuruluşun hâlâ şirket içi bir alanı vardır, bu nedenle sunucularını, yönlendiricilerini ve diğer BT altyapılarını güncel tutmak için siber güvenlik bütçesini ayırmaları gerekir. Ayrıca iş istasyonları, dizüstü bilgisayarlar ve diğer donanım yatırımlarını da planlamaları gerekiyor.
Eğitim programları — Siber güvenlik farkındalığı, en iyi uygulamalar ve ortaya çıkan tehditler hakkında düzenli eğitim tüm kullanıcılar için çok önemlidir. İdeal olarak, eğitim belirli hedef kitlelere göre uyarlanmalıdır. Yönetim ekipleri, danışmanlar ve ağa erişimi olan herkes dahil tüm çalışanları kapsadığınızdan emin olun. Kimlik avı benzeri e-postalar göndermek ve bunları kimin bildirdiğini ve kimin kurbanı olduğunu kontrol etmek gibi eğitimin etkililiğini düzenli olarak test etmeyi düşünün.
Uyumluluk maliyetleri — HIPAA, GDPR veya PCI-DSS gibi düzenleyici zorunluluklara tabi olan kuruluşların raporlama ve denetim hazırlığından bir Veri Koruma Görevlisi (DPO) işe almaya kadar uyumlulukla ilgili maliyetleri olması muhtemeldir. .
Olay müdahalesi — Siber güvenlik bütçesinin amacı elbette veri ihlallerini ve diğer olayları önlemektir. Ancak kuruluşların başarılı siber saldırı olasılığına karşı hazırlıklı olmaları gerekir. Maliyetler arasında adli soruşturmalar, yasal maliyetler, uyum cezaları, halkla ilişkiler çalışmaları ve kimlik hırsızlığının izlenmesi gibi tazminat tedbirleri yer alabilir.
Siber güvenlik sigortası — Birçok kuruluş, veri ihlalinin mali etkisini azaltmak için siber güvenlik sigortası satın alır. Aşağıda açıklandığı gibi, bu paranın bunun yerine siber güvenlik kontrollerine harcanmasının daha iyi olup olmayacağını değerlendirdiğinizden emin olun.
Olası durumlar ve beklenmedik maliyetler — Bazı kuruluşlar, siber güvenlik bütçelerine beklenmedik harcamalar için bir miktar tampon koyar. Örneğin, ciddi güvenlik açıkları düzenli olarak keşfedilir ve bazılarının azaltılması için ciddi çaba gösterilmesi gerekir. Örneğin, Log4j'de, kötü niyetli aktörlerin savunmasız sistemlerde neredeyse istedikleri her kodu çalıştırmasına olanak tanıyan bir güvenlik açığı keşfedildi. Açık kaynaklı bir yazılım kütüphanesi olan Log4j, Microsoft, Apple, Cloudflare ve daha birçok satıcı tarafından yaygın olarak kullanılmaktadır. Sonuç olarak, kuruluşlar hala savunmasız sistemleri belirlemek, yamaları ve diğer hafifletici önlemleri test edip yüklemek ve bu düzeltmelerin doğru şekilde uygulanıp uygulanmadığını kontrol etmek için çalışıyor.

BT bütçesinin ne kadarı siber güvenliğe ayrılmalı?

Kuruluşlar ortalama olarak BT bütçelerinin yüzde 11,6'sını siber güvenliğe ayırıyor. Ancak yaklaşık üçte biri bu oranın yüzde 6'dan az olduğunu söylüyor. Güvenilir rakamlar elde etmedeki problemin bir kısmı, farklı kuruluşların neyin "siber güvenlik bütçesinin" parçası olduğu ve neyin olmadığı konusunda farklı kriterlere sahip olmasıdır. Örneğin, yeni bir çalışan için dizüstü bilgisayar satın almak geleneksel olarak normal BT bütçesinden karşılanır. Ancak bu makinenin, işletim sistemine dahil olmayan antivirüs ve izleme araçları gibi güvenlikle ilgili çeşitli yazılımlarla donatılması gerekir. Bu nedenle, farklı kuruluşların "yeni dizüstü bilgisayarlar" gibi bir satır öğesi için bütçeyi kategorilere ayırmanın farklı yollarına sahip olması şaşırtıcı değildir. ”

BT bütçenizin ne kadarını siber güvenliğe ayıracağınız sorusuna herkese uyacak tek bir cevap olmasa da, yüzdeyi etkileyebilecek temel faktörlerden bazıları şunlardır:

Kuruluşun boyutu ve karmaşıklığı — Genel olarak, kuruluşun boyutu ve karmaşıklığı arttıkça toplam BT ve siber güvenlik maliyetleri de artar. Ancak daha küçük şirketler, sınırlı BT personelinin kendilerini daha savunmasız hale getirebileceğinin farkında oldukları için BT bütçelerinin daha büyük bir yüzdesini siber güvenliğe ayırabilirler.
Sektör — BT bütçelerindeki güvenlik tahsisi sektöre göre önemli ölçüde farklılık gösterir: Teknoloji, tüketim malları ve hizmetler yüzde 15'ten fazlasını ayırırken hukuk, üretim, sağlık ve perakende gibi sektörlerdeki kuruluşlar yüzde 10'dan azını ayırıyor .
Uyumluluk gereklilikleri — HIPPA ve FERPA gibi bazı uyumluluk zorunlulukları sektöre bağlı olsa da diğerleri daha geniş kapsamlı olarak uygulanır; dolayısıyla bu faktörü ayrıca belirtmekte fayda var. Örneğin, PCI-DSS, kredi kartı ödemelerini kabul eden tüm kuruluşlar için geçerlidir ve GDPR gibi modern veri gizliliği düzenlemeleri hem endüstriler hem de ülkeler genelinde geçerlidir. Buna göre neredeyse her kuruluşun siber güvenlik bütçesine uyumluluğu dahil etmesi gerekiyor.
Güvenlik olgunluğu — Olgun güvenlik programlarına sahip kuruluşlar, yeni başlayanlara kıyasla bütçelerinin daha azını siber güvenliğe ayırabilir. Bu, sağlık kuruluşlarının sıkı düzenlemeye tabi bir sektörde olmalarına rağmen neden bütçe yüzdesinin alt sınırında yer aldıklarını açıklamaya yardımcı olabilir; bu düzenlemeler uzun süredir yürürlükte.
Risk profili — Siber saldırılar için daha çekici hedefler olan kuruluşların, bütçelerinin daha yüksek bir yüzdesini siber güvenliğe ayırması gerekebilir. Örnekler arasında çok sayıda değerli kişisel veriye sahip olan (Equifax ve Twitter gibi), bir tedarik zincirinin temel unsurları olan (Solar Winds gibi) veya temel hizmetler sunan (Colonial Pipeline gibi) kuruluşlar yer alır.
Teknoloji ayak izi — BT ekosisteminin boyutu ve doğası, bir kuruluşun siber güvenlik stratejisini büyük ölçüde etkiler. Özellikle siber güvenlik bütçesi, kullandığınız şirket içi sistemlere ve bulut kaynaklarına bağlı olarak farklı görünecektir.
Üçüncü taraf sağlayıcıların kullanımı: Özellikle sunucu ve veri depolama kapasitesinde, kuruluşlar genellikle BT görevlerini yönetmek için üçüncü taraf sağlayıcıları işe alır. Bunu yaparken şirketler, satıcıların yeterli güvenlik önlemlerine sahip olmasını sağlamalıdır. Dış kaynak kullanımı ve durum tespiti zaman ve kaynak gerektirir, bu da maliyetleri artırabilir. Örneğin, yalnızca siber güvenlik kapsamında satıcı risk değerlendirmeleri gibi önlemler gerekli olacaktır.
Önceki güvenlik olayları — Geçmişte bir (veya daha fazla) veri ihlaline maruz kalan kuruluşların BT bütçelerinin daha fazlasını siber güvenliğe yatırması muhtemeldir. Yaşanan saldırı türleri belirli satır öğelerini etkileyebilir; örneğin kimlik avı saldırılarının kurbanı olan bir kuruluş, çalışan eğitimi ve e-posta filtreleme yazılımı gibi önlemlere odaklanabilir.

Siber güvenlik bütçesi nasıl gerekçelendirilir?

Paydaşlara siber güvenlik bütçesini gerekçelendirmek zor olabilir. Gerçekten de CEO'ların ve CISO'ların %36'sı gibi şaşırtıcı bir oran, yönetim kurullarının siber güvenlik tehditlerine ancak bir ihlal veya başka bir olay meydana geldikten sonra dikkat edeceğini söylüyor. Siber güvenlik bütçesini haklı çıkarmak istiyorsanız bu gerici moddan çıkmanın önemli olduğunu zaten biliyorsunuz. Ne yapabilirsin?

Önemli olan tek bir temel mesaja odaklanmaktır: Siber güvenlik riski iş riskidir.

Araştırmalar, yönetim kurulunun siber güvenliği bir iş riski olarak ele aldığı kuruluşlar arasında proaktif yatırımlara, teknik risklerle ilgilenmeye ve siber güvenlik bütçesinin onaylanmasına yönelik eğilimin daha yüksek olduğunu gösteriyor.

İşte bu mesajı eve ulaştırmak için bazı etkili stratejiler.

Hareketsizliğin maliyetini ölçün.

Riskler bilinmediğinde veya ölçülemediğinde, insanları, özellikle de bütçenin ipini elinde bulunduranları harekete geçmeye ikna etmek çok zordur. Davanızın temelini oluşturmak için, bir veri ihlalinin küresel ortalama maliyetinin 2023'te 4,45 milyon ABD doları olduğu gerçeğiyle başlayın; bu, üç yılda yüzde 15 artış gösterdi.

Küçük kuruluşlardaki liderlik ekipleri bu istatistiğin konuyla alakalı olmadığını söyleyebilir, o yüzden şunu elinizin altında bulundurun: Bir veri ihlalinin 500'den az çalışanı olan kuruluşlar üzerindeki ortalama etkisi 3,31 milyon dolardır.

İhlallerin mali açıdan neden bu kadar yıkıcı olduğunu göstermek için kesinti maliyetiyle başlayın. İşletmelerin yüzde 40'ının, tek bir saatlik kesintinin 1 milyon ila 5 milyon ABD doları arasında bir maliyete neden olduğunu ve en kötü senaryoda kayıpların dakika başına milyonlarca dolara ulaşabileceğini söylediğini belirtin.

Daha sonra şu ek olası doğrudan ve dolaylı maliyetlere geçin:

Fikri mülkiyetin ve diğer iş açısından kritik bilgilerin kaybı
Muhtemelen pahalı dış uzmanlık da dahil olmak üzere iyileştirme ve adli tıp harcamaları
Fidye yazılımı şantaj ödemeleri
Mevzuat ve uyumluluk cezaları — kuruluşunuzun tabi olduğu belirli talimatlara ilişkin cezaları mutlaka araştırın
Hukuk ve halkla ilişkiler ücretleri
Etkilenen taraflar için bildirim, kredi izleme ve kimlik hırsızlığının azaltılmasına yönelik harcamalar
Şirketin güvenilirliğine, markasına ve itibarına zarar verilmesi
Müşteri kaybı
Sigorta priminde artış, hatta poliçeye uygunluk kaybı

Siber güvenlik sigortasının neden siber dayanıklılığın yerini alamayacağını açıklayın.

Bazı liderlik ekipleri, siber risk sigortasını kuruluşun siber güvenlik bütçesinin merkezi haline getirmek isteyebilir. Bir siber risk politikasına sahip olmak, bir ihlal veya başka bir olayla ilişkili mali riskin bir kısmını aktarsa da, bunun neden hiçbir şekilde diğer siber güvenlik bütçe kalemlerinin yerini alması gereken her derde deva olmadığına dair güçlü argümanlarınız var.

Siber risk sigortasına yatırım yapmanın azalan değerini şu gerçeklerle göstererek başlayın:

Politika oranları hızla artıyor. Kısa bir süre öncesine kadar, pek çok şirketin pazarda yer edinmek istemesi nedeniyle siber risk sigortası poliçelerinin genellikle düşük fiyatlandırıldığı iddia ediliyordu. Ancak son yıllarda siber saldırıların hem sıklığı hem de karmaşıklığı arttıkça, bu sağlayıcıların çoğu büyük tazminatlar ödemek zorunda kaldı ve telafi etmek için oranları artırıyorlar. Bir çalışma, doğrudan primlerin 2022'de yüzde 50 arttığını ortaya koyarken, başka bir makale artışı yüzde 80 olarak sabitledi. Bazı kuruluşlar, politikaları için yılda 1 milyon ABD Doları kadar para ödediklerini bildiriyor.
Sigortaya sahip olmak saldırıya uğrama riskinizi artırabilir. Bir araştırma, siber sigortası olan kuruluşların fidye yazılımlarından etkilenme olasılığının, olmayanlara göre daha yüksek olduğunu ve yüzde 70 oranında daha yüksek olduğunu ortaya çıkardı. defalarca saldırıya uğradı.
Siber risk sigortasında sıklıkla önemli istisnalar bulunur. Herhangi bir sigorta poliçesinde küçük harfler çok önemlidir. Siber risk sigortası poliçelerinde sıklıkla çok sayıda istisna bulunur ve bunların uygulanması şu anda mahkemelerde tartışılmaktadır. En yaygın istisnalardan bazıları şunlardır:

Önceki kanunlar hükümleri, sigortacıyı poliçe düzenlenmeden önce meydana gelen faaliyetlere ilişkin tazminat taleplerini ödemekten muaf tutar. Kötü niyetli faaliyetler genellikle aylarca, hatta yıllarca fark edilemediğinden, bu akılda tutulması gereken çok önemli bir istisnadır.
Standartlara uyulmaması istisnaları, bir olayın kuruluşun gerekli kontrollerin yürürlükte kalmasını sağlamadaki başarısızlığından kaynaklanması durumunda sigortacının tazminat talebini ödemeyi reddetmesine olanak tanır.
Savaş fiili hükümleri, devlet destekli siber güvenlik saldırılarından kaynaklanan kayıpları kapsamaz. Bu madde, bu hariç tutmanın kapsamına ilişkin temel soruları en iyi ihtimalle belirsiz bırakan davalara ve mahkeme dışı anlaşmalara yol açmıştır. Ancak Lloyd's of London, artık tüm bağımsız siber saldırı politikalarının, ilan edilmiş olsun veya olmasın, devlet destekli bir siber saldırı veya savaştan kaynaklanan zararların sorumluluğunu hariç tutan bir madde içermesini zorunlu kılıyor.
Uygunluk cezalarının sınırlandırılması, poliçe bir olaydan kaynaklanan hasarın diğer yönlerini kapsasa bile, sigortalı şirketi yüksek para cezaları ve diğer masraflarla karşı karşıya bırakabilir.

Daha sonra daha uygun maliyetli bir yaklaşım sunun. Artık pek çok sigorta şirketinin, siber risk sigortası poliçesine hak kazanmak veya maliyetini azaltmak için kuruluşların belirli türde güvenlik kontrollerine sahip olmasını gerektirdiğini unutmayın ve temel nedeni açıklayın: Sağlam siber güvenlik kontrollerinin yürürlükte olması, ihlal riskini azaltır öncelikle meydana gelen olayların zararlarının azaltılmasına yardımcı olur. Bu gerekli kontrollerin siber güvenlik bütçenizdeki kalemlerle nasıl eşleştiğine dikkat çekin.

Artık mantıksal sonucu sunmaya hazırsınız: Siber güvenlik bütçenizin büyük bir kısmını tonlarca istisna içeren pahalı sigortalara harcamak yerine, bu parayı olayları önlemeye ve saldırılardan hızla kurtulmaya ayırın. Bu yatırımlar bir poliçeye hak kazanmak için zaten gerekli olabilir ve kapsamlı bir strateji uygulayarak sigorta satın alma ihtiyacını tamamen ortadan kaldırabilirsiniz.

Kuruluşunuzun mevcut riskini ve bunu hafifletmeye yönelik bir stratejiyi sunun.

İş risklerine ilişkin görünürlük sağlamak, bunları hafifletme konusunda aciliyet duygusu uyandırmanın güçlü bir yoludur ve bu da liderlik ekiplerini siber güvenlik bütçesini onaylamaya teşvik edebilir. Buna göre, mevcut risk duruşunuzu elinizden geldiğince inceleyin. Yanlış yapılandırılmış ayarlar, aşırı erişim hakları ve tehdit etkinliği gibi risklerinizin görünürlüğünü artıran araçları arayın. Ayrıca, kuruluşunuz herhangi bir düzenlemeye veya endüstri standardına tabiyse geçerli gereklilikleri karşılayamadığınız durumları vurgulayın ve uyumluluğu kanıtlayın.

Özellikle açık ve ölçülebilir bir önlem, Active Directory'nizde, saldırganların alan adınızın tam kontrolünü ele geçirmek için kötüye kullanabileceği saldırı yollarının sayısıdır. Hızlı ve ücretsiz bir AD risk değerlendirmesiyle kuruluşlar genellikle binlerce hatta milyonlarca saldırı yolunu ve bunların nasıl kapatılacağına ilişkin ayrıntıları ortaya çıkarır.

Risk değerlendirmenizi, siber güvenlik bütçenizin bu riskleri nasıl azaltacağını gösteren ayrıntılı bir planla eşleştirin. Daha önce de belirtildiği gibi, BT risklerini azaltmanın nasıl doğrudan iş riskini azaltmaya dönüştüğünü açıkladığınızdan emin olun. Örneğin, önerdiğiniz yatırımların, veri ihlalleri ve fidye yazılımı bulaşma olasılığını azaltarak ve daha önce ayrıntılı olarak açıklanan olay müdahale maliyetlerini azaltarak mali kayıpları nasıl önleyebileceğini açıklayın. Mümkün olduğunda bu tasarrufları ölçün.

Bu yaklaşım, yönetime siber güvenlik bütçenizi finanse etmek için ikna edici kanıtlar sağlar. Aslında araştırmalar, daha iyi iş riski yönetimi etkinliğine sahip kuruluşların, siber güvenlik bütçesine, daha düşük etkinliğe sahip kuruluşlara göre daha fazla öncelik verdiğini gösteriyor. Basitçe söylemek gerekirse, görünürlük sağlayın ve eylemin takip edilme olasılığı yüksektir.

Hikayeler anlatın ve bunları çeşitli hedef kitlenize göre uyarlayın.

Siber güvenlik bütçeniz için konuyu sunarken, insanların hem rakamlara hem de hikayelere iyi yanıt verdiğini unutmayın. Dolayısıyla, somut rakamların yanı sıra, yetersiz siber güvenlik yatırımları nedeniyle güvenlik ihlallerine maruz kalan kuruluşların gerçek dünyadaki örneklerini paylaşın ve uğradıkları hasarı ölçmek için elinizden geleni yapın. Mümkün olduğunda anlatılarınızı mevcut hedef kitlenize uyarlayın ve kariyerleri boyunca üstlendikleri roller veya çalıştıkları sektörler gibi deneyimleriyle yankı uyandıracak hikayeler seçin.

Diğer taraftan, siber güvenliğe yatırım yapmanın bir kuruluşa nasıl rekabet avantajı veya başka ticari fayda sağladığını gösteren hikayelere de bakın. Örneğin, hem müşteriler hem de iş ortakları, güvenliğe önem veren bir şirketle iş yapmayı tercih etme eğilimindedir. Aslında, risk değerlendirmeleri veya belirli güvenlik kontrolleri sözleşmelerde bile zorunlu kılınabilir; bu nedenle, belirli siber güvenlik kilometre taşlarına ulaşmanın kuruluşunuza daha geniş iş fırsatları sağlayıp sağlamayacağını araştırmaya değer.

Stratejinize odaklanmak için en kritik varlıklarınızı belirleyin.

Siber güvenlik bütçeniz, kuruluşunuzun Tier 0 olarak bilinen en yüksek değere sahip varlıklarının korunmasına öncelik vermelidir. Bu varlıklar, kritik sunucuları ve ayrıcalıklı hesapları içerir. Kritik verilere erişim sağladıkları ve BT ekosisteminin kontrolüne yönelik basamaklar oluşturdukları için Seviye 0 varlıkları, tehdit aktörlerinin en önemli hedefleridir.

Bir Active Directory ortamında, Katman 0 varlıkları, önemli kimlik bilgilerini depolayan ve iş süreçlerinin çalışması için gerekli hayati önem taşıyan kimlik doğrulama ve yetkilendirme hizmetlerini sağlayan etki alanı denetleyicilerini (DC'ler) içerir. Aslında iş süreçlerinin genellikle yüzde 90'ı veya daha fazlası Active Directory ve Entra ID'ye (eski adıyla Azure AD) bağımlıdır. Katman 0 ayrıca, Etki Alanı Yöneticileri ve Kurumsal Yöneticiler gibi yüksek ayrıcalıklı grupların üyeleri gibi, ortam üzerinde yönetim denetimi olan tüm hesapları da içerir. Bunun yalnızca insanlara atanmış kullanıcı hesaplarını değil aynı zamanda hizmet hesaplarını ve bilgisayar hesaplarını da kapsadığını unutmayın.

Daha da önemlisi, Katman 0 aynı zamanda yükseltilmiş ayrıcalıklara elde edebilecek tüm hesapları da içerir. Açık kaynaklı araç BloodHound'un, gizli izinlerin, iç içe geçmiş grup üyeliğinin ve AD mimarisindeki doğal güvenlik açıklarının bir kombinasyonunu kullanarak, bir saldırganın sıradan kullanıcıdan yüksek ayrıcalıklı yöneticiye geçmek için atması gereken adımları açıkça ortaya koyacağını unutmayın. Bu nedenle, bu saldırı yollarını proaktif bir şekilde belirlemek, bunları derhal azaltmak ve henüz ele almadığınız konuları izlemek hayati önem taşımaktadır.

CISO'lar, en önemli güvenlik endişelerinin, müşteriler ve iş ortaklarıyla etkileşime yönelik dijital kanalların büyümesi olduğunu söylüyor; dolayısıyla müşterilerin, iş ortaklarının ve çalışanların kimliklerinin korunmasına odaklanmak, muhtemelen liderlik ekibinizin öncelikleriyle örtüşecektir. Kimlik bilgilerinin tehlikeye girme riskinin azaltılması, saldırganların kuruluşta yer edinmesini ve 1. Katman varlıklarınızı tehlikeye atmak için yanlara doğru hareket etmesini engellemeye yardımcı olur.

Düşüncelerinizi siber güvenlikten siber dayanıklılığa kadar genişletin.

Siber güvenliğe dar bir şekilde odaklanmak yerine düşüncenizi siber dirençliliğe kadar genişletin. Sonuçta asıl amacınız yalnızca siber güvenlik olaylarından kaçınmak değil. Bunun yerine, BT sistemlerini ve dolayısıyla işletmeyi mümkün olduğunca çalışır durumda tutmak ve bir kesinti meydana geldiğinde hızlı bir şekilde tekrar çalışır duruma getirmektir. Ve aksamalar yalnızca kasıtlı saldırılardan kaynaklanmıyor; BT yöneticilerinin hataları, elektrik kesintileri ve ekipman arızaları gibi kötü amaçlı olmayan olaylardan da kaynaklanabilirler.

Buna göre, gerçekten etkili bir siber güvenlik bütçesi, siber dayanıklılığın dört sütununu da kapsamalıdır:

Öngörün — Siber saldırılar, doğal afetler, elektrik kesintileri gibi yapısal arızalar, sistemlerde beklenmedik derecede yüksek yükler gibi stresler, aşırı çalışan yöneticilerin hataları ve çalışanların veya çalışanların kötü niyetli etkinlikleri dahil olmak üzere mümkün olduğunca çok türde olumsuzluk için plan yapın. müteahhitler.
Dayanın — Zorluklar karşısında temel işlevlerin devam edebilmesini sağlamak için adımlar atın. Bu, tüm destekleyici süreçler, sistemler, hizmetler ve altyapıyla birlikte bu temel işlevlerin tanımlanmasını gerektirir. Ardından, bu işlevlerin tanımladığınız türdeki olumsuzluklar nedeniyle kesintiye uğrama riskini en aza indirecek adımları atın.
Kurtarma — Zorluk sırasında ve sonrasında temel işlevleri geri yükleyebileceğinizden emin olun.
Uyum sağlayın — İş ihtiyaçlarınız, BT ekosisteminiz ve siber tehdit ortamınız sürekli değişiyor; bu nedenle, kritik iş işlevleri envanterinizi ve bunların destekleyici yeteneklerinin yanı sıra risk azaltma, müdahale ve çözümlerinizi düzenli olarak değerlendirdiğinizden emin olun. restorasyon stratejileri.

Hızlı Active Directory kurtarmayı etkinleştirin.

Siber dayanıklılığın üçüncü ayağı daha fazla tartışılmayı hak ediyor. Yedekleme ve kurtarma stratejisi genellikle e-posta içeriği, veritabanları ve belgeler gibi veriler hakkında düşünmekle sınırlıdır. Ve bu verilerin kazara veya kasıtlı bir saldırının parçası olarak silinmesi veya bozulması durumunda geri yükleyebilmek kesinlikle önemlidir. Ancak Kurtarma sütununun "verilerden" ziyade "işlevleri" geri yüklemeye odaklandığına dikkat edin. ” Bunun nedeni, tüm veritabanlarınızı, e-posta mesajlarınızı ve elektronik tablolarınızı geri yükleseniz bile, Active Directory bunlara erişim sağlayacak şekilde çalışır durumda değilse bunların kesinlikle hiçbir faydası olmaz.

Active Directory hem bir veritabanı hem de bir dizi hayati hizmet olduğundan, basit veri yedekleme ve kurtarma, onu bir felaketten sonra hayata geri döndürmez. Active Directory olağanüstü durum kurtarma, daha ziyade, alan denetleyicilerinizin kimlik doğrulama ve yetkilendirme gibi temel hizmetleri sunabilmeleri için yeniden çalışmasını sağlamakla ilgilidir. Basitçe söylemek gerekirse, en az bir operasyonel DC olmadan şirket içi veya hibrit Microsoft ekosisteminiz çalışamaz.

DC'lerin kurtarılması, birden fazla aşamada çok sayıda adımın titizlikle koordine edilmesini gerektirir: sürece hazırlanmak, geri yüklemeyi fiilen gerçekleştirmek, DC'yi çoğaltma ortaklarıyla senkronize etmek ve onu tekrar kullanılabilir hale getirmek ve daha fazlası. Felaket tek bir AD etki alanındaki tüm DC'leri devre dışı bıraktıysa bu yeterince karmaşıktır; Active Directory ormanınızın tamamı etkilendiyse kurtarma süreci daha da uzun ve karmaşık olur. Ve unutmayın, Active Directory'nin kapalı olduğu her saniye işiniz de çöker.

Bu nedenle özel bir Active Directory yedekleme ve kurtarma çözümüne yatırım yapmak hayati önem taşımaktadır. Doğru çözümle, kesinti sürelerini ve dolayısıyla iş kesintilerini ve mali kayıpları önemli ölçüde önleyebilirsiniz. Gerçek hayattaki deneyim raporları arasında, AD kurtarma süresini manuel işlemlerle yalnızca 1 saat 15 dakikaya indiren bir kuruluş ve AD kurtarma araçlarını değiştirerek AD kurtarma süresini 1-2 günden yalnızca 1-4 saate düşüren bir kuruluş yer alıyor. — Fidye yazılımı saldırılarından daha hızlı kurtarma sayesinde üç yıl içinde 19,7 milyon ABD doları potansiyel tasarruf elde edildi. Bu rakamlar, siber güvenlik bütçenizi incelerken üst düzey yöneticilerin de mutlaka ilgisini çekecektir.

Siber güvenlik harcamaları 2023'te ne kadar olacak?

Son olarak, siber güvenlik bütçelerinin görünümünü ve önümüzdeki yıllarda onu etkilemesi muhtemel temel eğilimleri inceleyelim. Bir araştırmaya göre, on kuruluştan dokuzunun siber güvenlik bütçeleri 2022'den 2023'e arttı ve 2023'ten 2024'e kadar artması bekleniyor. 2022'den 2023'e artış yüzde 11 oldu ve 2022'den 2023'e kadar ortalama yüzde 19'luk bir artış daha bekleniyor. 2023-2024 bütçe döngüsü. Çoğu CEO ve CISO'nun verimli ve etkili kullanıma daha fazla bütçe ayırabileceklerini söylemesi şaşırtıcı değil; iki kattan üç ila beş kata kadar bütçe.

Ancak başka bir rapor, küresel istikrarsızlık ve enflasyonist baskılar gibi faktörlere yanıt olarak siber güvenlik harcamalarındaki artışların azalmaya başladığını ortaya koyuyor. Hatta birçok CISO'nun, genel bütçe sıkılaştırmasının bir parçası olarak onaylanmış 2023 bütçelerinin kesildiğini söylediğini belirtiyor. Siber güvenlik bütçelerini artıran kuruluşların yüzde 80'i, bütçe artışının bir güvenlik olayı, büyük sektör aksaması veya diğer aşırı durumlardan kaynaklandığını belirtti; bu, yukarıda tartışılan gerici düşünce eğilimini yansıtıyor.

Siber güvenlik harcamalarıyla ilgili diğer önemli trendler arasında şunlar yer alıyor:

Fidye Yazılımı — Fidye yazılımı saldırıları hızla artmaya devam ediyor ve sıklığı 2022'den 2023'e neredeyse iki katına çıkıyor. Sonuç olarak kuruluşların siber güvenlik bütçelerine etkili fidye yazılımı algılama, önleme ve kurtarma çözümlerini dahil etmeleri gerekecek.
Bulut güvenliği — Kuruluşlar buluta daha fazla veri ve iş yükü aktardıkça, bulut güvenliği çözümlerine yapılan harcamalar artacaktır.
IoT güvenliği — Benzer şekilde kuruluşlar IoT cihazlarını benimsedikçe, güvenlik açıklarını anlamak ve azaltmak ve çevrelerindeki etkinlikleri izlemek için siber güvenlik bütçesi ayırmaları gerekecek.
Yapay zeka (AI) ve makine öğrenimi (ML) — Hızla ilerleyen bu teknolojiler, artık her zamankinden daha az teknik beceriyle etkili saldırılar başlatabilen rakipler tarafından aktif olarak kullanılıyor Bu nedenle kuruluşların riski azaltmak için siber güvenlik stratejilerini ayarlamaları gerekiyor. Yapay zeka ve makine öğrenimi aynı zamanda BT ekiplerinin siber güvenlik bütçe taleplerine dahil edeceği tehdit algılama ve yanıt çözümlerinde de iyileştirmeler sağlıyor.
Düzenleme değişiklikleri — Hükümetin her kademesinde yeni veri koruma ve veri gizliliği düzenlemeleri yürürlüğe giriyor ve mevcut talimatlar, daha katı gereklilikler ve daha ağır cezalarla revize ediliyor. Kuruluşlar, uyumluluğun sağlanmasına yardımcı olmak için siber güvenlik bütçelerini ayarlayacak.
Sıfır Güven güvenlik modeli — Dünya çapındaki kuruluşlar siber güvenlik konusunda Sıfır Güven yaklaşımını benimsiyor. Bu güvenlik modeli, hiçbir kullanıcıya veya hizmete dolaylı olarak güvenilmemesi gerektiğini ve kuruluşların şüpheli etkinlikleri aktif olarak araması gerektiğini savunur. Sıfır Güven, siber dayanıklılık zihniyetiyle el ele yürür; çünkü Sıfır Güven modelini uygulamak, önemsiz hasara yol açan sınırlı bir saldırı ile hayati iş süreçlerini durma noktasına getiren büyük bir olay arasında fark yaratabilir.

Çözüm

Sağlam bir siber güvenlik bütçesi geliştirmek ve onaylatmak basit bir süreç değildir. Başarıyı garantilemeye yardımcı olmak için mevcut BT risk durumunuz hakkında somut veriler aldığınızdan ve bu BT risklerinin doğrudan iş risklerine nasıl dönüştüğünü açıkça ifade ettiğinizden emin olun. Siber güvenlik bütçenizi en fazla etkiyi yaratacağı yere odaklayın: Kimliklerinizi yönettikleri ve hayati sistemlerinize ve verilerinize erişimi kontrol ettikleri için Tier 0 varlıklarınıza, özellikle de Active Directory ve Entra ID'ye. Son olarak, düşüncelerinizi siber güvenlikten siber dayanıklılığa kadar genişletin ve etkin Active Directory olağanüstü durum kurtarma işlemini siber güvenlik bütçenizin temel bir parçası haline getirin.