Cloudsec 2020

Yılın önemli Siber Güvenlik etkinliklerinden birisi olan CloudSec TrendMicro tarafından 24 -25 -26 Kasım tarihlerinde sanal ortamda düzenlendi. Covid-19 un sebep olduğu nadir olumlu konulardan birisi bu tür etkinliklere online katılabilme imkanı bulmamız. Üç gün boyunca özellikle Anahtar Konuşmacıları (Keynote Speaker) takip etmeye çalıştım. Toplantılardan aldığım notları ve önemli konuları özetlemeye çalışacağım.

Siber Güvenlik Covid-19 sonrası daha da önemli hale geldiğini hepimiz biliyoruz. Özellikle uzaktan çalıştığımız bu dönemde kurumsal sistemlere erişimlerin güvenliği, hassas verilerimizin korunması ve özellikle fidye yazılımlardan korunmak için hem kurumların hem de bireylerin yapması gereken oldukça konu mevcut. Başta TrendMicro ve etkinliğe katılan diğer teknoloji üreticileri bu ihtiyaçları adresleyecek çözüm ve servislerini anlattılar.

Bu tür etkinliklerde en beğendiğim bölüm kullanıcı deneyimlerinin ve görüşlerinin paylaşıldığı oturumlar oluyor genelde. Öyleyse son gün Dyson Global Bilgi Güvenliği Başkanı CK Chim kullanıcı deneyimi paylaşımı ile başlayayım.

Bay CHIM’in sunumundan notlar;

• “Siber dönüşüm, başkalarının görmezden geldiği sorunları çözmek ve daha iyi hale getirmektir.”
  • Hedef olduğunuzu kabul edin
  • Temel hijyen konusunu çözün
  • Riskleri görünür hale getirin
  • Siber savunmayı güçlendirin
• “Siber güvenik, kurumlar için “değer üreten” ve “rekabette fark yaratan” bir unsur haline gelmiştir. ” Sunumun en can alıcı kısmı burası. CHIM’in bu tespitine katılmamak mümkün mü? Siber güvenliğin kurumlara yarattığı değeri nasıl gösterebileceğimiz ile ilgili bir de formül paylaştı;
  • Cyber ROI = Return of Value (ROV)
  • Business Value= Revenue($)*Multiplier(%)
  • Multiplier(%)=Trust(%)*Resilince(%)
• Siber güvenlik konusunda yapılacak yatırımın kurumun güvenini ve dayanıklılığını ne kadar yükseltiyor ise kuruma sağladığı değer o oranda artıyor. Tartışılabilir ancak özellikle ülkemizde hala siber güvenlik alanında yapılan harcamaları masraf olarak görenler olduğunu düşünürsek bu formülün siber güvenlik harcamalarının kuruma yaratacağı değeri göstebilmesi açısından önemli olarak görüyorum.
• “Siber güvenlik operasyonlarını, otonom ve analitik yetkinliklerle donatarak daha akıllı bir hale getirecek net bir planınız olmalı”
• “Yeni nesil Siber savunma yetkinliklerinin yukarda verilen formüle göre kurumun güvenine ve dayanıklılığına olan etkisini aşağıdaki grafik te göstermiş.

SOC’nin geleceği ile ilgili DXC ve Proficio yöneticilerinin katıldığı sunumdan;

• Tehdit analizler için”Makina öğrenme ve siber istihbarat teknolojilerinin” kullanılmasının önemi belirtildi
• Risk bazlı uyarı ve güvenlik ihlalleri için MITRE ATT&CK çerçevesinin kullanılması öneriliyor
• Tehditlerin otomatik olarak kontrol altına alabilmek için SOAR teknolojilerinin kullanımının önemine değindiler

Aynı sunumda SOC kullanırken müşterilere öneriler;

• SOC hizmeti alınan şirketle müşterinin ilişkisinin satıcı-müşteri ilişkisinden öte stratejik bir iş ortaklığı şeklinde olması gerektiğini belirtiyorlar
• Açık iletişim, iyi ve kötü geri bildirimlerin şeffaf bir şekilde paylaşılması, servis sağlayıcı iş ortağı yol haritasının birlikte belirlenmesinin önemi dile getirildi.
• İlişki yönetimine yatırım yapılması, düzenli toplantılar ve üst düzey yöneticilerin bu toplantılara katılımının önemli olduğu belirtildi.
• Hizmet alımında hedeflerin belirlenmesi ve düzenli olarak ölçülmesi ve raporlanması gerektiği de belirtildi.

Yine SOC konusunda Infosys’in sunumundan notlar;

• Geleneksel SOC hizmetinde otomasyonun olmadığına dair bir tespit yapılmış.
• Modern SOC hizmetinde Tehdit’in tespit edildikten hemen sonra otomatik olarak alınması gereken önlemleri alacak (SOAR) teknolojilerin kullanılması gerektiği anlatılıyor.
• Aşağıdaki resimde aslında bir kurumun siber güvenlik konusunda neleri yapması gerektiği güzel bir özeti. Infosys bu slide’ı en iyi deneyim olarak paylaştı.

Aynı gün bir etik hacker’ın sunumundan notlar;

• Hacker’ların en büyük motivasyonu hala Finansal!
• Her bir dakika da 1000 den fazla insan hackleniyor!
• Hacklenmenin maliyeti yıllık 1 Triliyon Usd!
• 1 Milyon siber güvenlik pozisyonu doldurulamadı! – Forbes
• 2021 yılında 3,5 Milyon siber güvenlik işi açılacak! – CyberSecurity Ventures
• Zaman bir yanılsama aynı zamanda sanat (Stefan Edmunds) – Siber saldırıların ortalama tespiti 206 gün sürüyor!
• Tahminleri
  • Kötü yazılımlar (Malware)
  • Fidye yazılımlar (Ransomware)
  • Doğal olarak Siber güvenlik bütçelerinin yükseleceği yönünde!

Etkinliğin ikinci gününde IBM’den Matthew Glitzer’in Siber Güvenliğe yatırım yapmamanın etkilerini anlattığı sunumdan notlar;

• Siber güvenlik bir iş problemi, teknik bir problem olmadığının altını çiziyor. Ancak kurumda konuyu herkesin farklı ifade ettiğini belirtiyor;
• CIO, “Güvenlik postürümüz ne durumda, en zayıf olduğumuz yerler nereleri, nasıl bir iş kullanım şekli oluşturabilirim ki yönetime anlatabileyim”
• Yönetim Kurulu/CEO, “Gerek ve yeterleri yapıyor muyuz? Bir sonraki haberlere çıkan biz olmayalım?”
• CFO, ” Neden Siber güvenliğe bu kadar harcama yapmalıyız? Bu harcamaların işe yaratacağı değer nedir?
• CISO, ” Tüm zaafiyetleri ve tehditleri adresledik mi?”
• Kurumda tüm paydaşların Siber Güvenliğe bakışını aynı seviyeye getirmek önemli,
• Risk yönetiminin, siber saldırıların finansal etkilerini de içerecek şekilde yapılması önemli,
• Siber güvenlik yatırımlarının, kuruma sağlayacağı faydanın hesaplanması önemli

Matthew sunumunda IBM’in desteği ile Ponemon enstitüsü tarafından yapılan bir araştırmanın özetini paylaştı. Bu araştırmayı ayrı bir yazıda detaylı ele almıştım. İlgi duyan buradan erişebilir.

IDC 2021 yılı için yaptığı CIO’ların gündemine yönelik araştırmanın sonuçlarını paylaştı;

• Dijital dayanıklılığı yüksek olan şirketler Covid-19 krizinde;
  • SUPOR: Şubat’ın ikinci haftasında üretim hatlarının bir kısmını açtı.
  • Lin Qingxuan: Bir kozmetik şirketi olan Lin krizle birlikte mağazalarının %40 ını kapatmak zorunda kalmıştı. Hemen sonrasında mağazalarında çalışan 100 güzellik danışmanını online influencer olarak organize etti. Sonuç Wuhan’daki satışlar bir önceki yıla göre %200 gerçekleşti.
• Dijital dönüşüm ve dijital dayanıklılık elele gitmeli
• Gelecek dijital ekonomide. 2020-2023 yılları arasında sadece Asya Pasifik bölgesinde 1,2 Trilyon Usd yeni dijital yatırım yapılacağı öngörülüyor.
• CIO’ların %65’i şirketlerinde müşteri ile direkt temas eden çalışanlarını veri, yapay zeka ve siber güvenlik teknolojileri ile hızlı karar alma süreçlerini destekleyeceğini belirtmiş.
• Kurumların %65 i yeni operasyonlarını öncelikle dijital ortamda tam otomasyon içinde devreye alacağını belirtmiş. Fiziksel etkileşim geçmişte kalıyor.
• CIO’ların %65’i çalışan verimliliğini artıracak teknolojilerie yatırım yapacaklarını belirtmiş. Örnek; Robotik, otomasyon, yapay zeka…
• 2025 yılına gelindiğinde, değişken küresel koşullar ayak uydurabilmek için, iş liderlerinin %75’i, değer zincirlerini yeni pazarlara, endüstrilere ve ekosistemlere uyarlamak için dijital platformlardan ve ekosistem yeteneklerinden yararlanacaklarını belirtmişler.
• Geleceğin endüstrileri yeniden tasarlanıyor;
  • Petronas, Smart Gep: 2026 yılında A1000 operasyonlarının %75’inde direkt mal alımı dijital ortamlarda yapılacak. 2020 ye göre satınalma maliyetlerinde %15 lik bir azalma sağlanacak.
    • Kullanılacak teknolojiler; iş akışı, süreç modernizasyonu, dijital platformlar, entegrasyon araçları, API’ler.
  • LI&Fung + JD.COM: 2022 yılına gelindiğinde, endüstri ekosistemleri, geleneksel inovasyon yaklaşımlarına kıyasla piyasaya %40 daha fazla inovasyona dayalı yeni dijital ve fiziksel ürün ve hizmet sunulacak.
    • Platformlar, teknoloji öncü ürün ve servisler, API’ler.
  • Zuellig Pharma: 2023 yılına gelindiğinde, A1000 kuruluşlarının %50’si, kapasite, uzmanlık, pazar ve çevre koşullarını izlemek ve bozulmaya hızlı yanıt vermek ve pazara %50 daha hızlı zaman vermek için ekosistem katılımcılarıyla veri paylaşmak için ekosistemler arası dijital operasyon merkezleri geliştirecek.
    • Siber güvenlik, IoT sensörleri, veri analitiği, yapay zeka, raporlama ve entegrasyon araçları
  • Haier: 2024 yılına gelindiğinde, A500 işletmelerinin %55’i, yeni karlı gelir alanı yaratmak için sahip oldukları derin alan bilgisinden yararlanarak, dahili olarak gelişmiş endüstri yazılımı ve veri hizmetlerini abonelik olarak satacaklar.
    • Low/No-Code yazılım geliştirme araçları, uygulama platformları, açık inovatif pazaryerleri, veri tekilleştirme ve görselleştirme araçları
• Covid-19 ile birlikte dijital dayanıklılığın yeniden tanımlanması gerekiyor. IDC bu tanımları şu şekilde yapmış.
  • İş dayanaklılığı (Business Resiliency): Kurumun bir krizden hızlıca çıkarak normal operasyonuna dönmesi
  • Dijital dayanaklılık (Digital Resiliency): Kurumun bir krizden hızla çıkarak normal operasyonlarına dönmesinin yanında, iş süreçlerini, ürün yada hizmetlerini yeni şartlara uygun bir şekilde sunabilmesi ve yeni durumdan fayda sağlaması
• Dijital dayanıklı bir organizasyon olabilmek için bir Çin çok şirketli holding CxO’su şu 6 öneriyi yapmış;
  1. Modernizasyon ve dönüşüm için sürekli iyileştirmeler ve atılımlar sağlamak için akıllı bir stratejiyi yeniden düzenleyin ve formüle edin.
  2. Endüstrinin doğal avantajlarını güçlendirmek için verilerin değerine sürekli dikkat edin ve kullanın.
  3. Kurumsal yapınızı, iş dönüşümünü kolaylaştıracak şekilde düzenleyin.
  4. İş süreçlerini optimize etmek ve yeniden yapılandırmak için yeni teknolojiler kullanın.
  5. İnovasyonu teşvik etmek için çevik bir kültür oluşturun.
  6. Çalışanları güçlendirin, yeni araçlar sağlayın ve örgütsel canlılığı teşvik edin. Bir kuruluşun çalışanlarının becerilerini şekillendirebilme yeteneği, başarılı bir gelecek yaratmanın anahtarıdır.

Yazıyı TrendMicro kurucusu ve CEO’su Eva Chen sunumuyla toparlayalım. Güler yüzlü, enerji dolu ve çalışanlarına çok değer veren birisi Sn. Chen. Sunumun moderatörü Chen’e güzel sorular yöneltti, cevapları daha güzel;

• Dijital dönüşümün en zor kısmı nedir? Chen’nin cevabı “İnsan“
• Başarınızın sırrı nedir? Chen’in cavabı “İyi insanları bulmak ve işe almak. İyi insanlar müşteri ihtiyaçlarını iyi algılayıp onlara en güzel ve en iyi çözümleri sunar“

TrendMicro 2020 yılında bu felsefeyle insanların gelişimine katkı yapmak için 1,8 Milyon Usd bağış yapmış. Müşteri öncelikli bir şirket olduklarını belirtiyor ve 1998 yılından bugüne karlı ve sağlıklı bir şirket olduklarını 2019 yılında 1,5 Milyar Usd kar yarattıklarını paylaştı.

Chen sunumundan önemli gördüğüm konuları paylaşıyorum;

• Görsel de paylaştığı Siber güvenlik ortamını adresleyecek çözümler üretmek için kullandıkları stratejiyi gösteriyor.
• Slide’ta “Execution Success” formülüne dikkatinizi çekerim. Başarı için olumsuz sonuçları engelleyecek şekilde hızlı ve tutarlı davranmalıyız şekinde yorumladım.

Kurumlar içerisinde bir çok veri kaynağı mevcut, siber tehditler her yerden gelebiliyor. Bunlarla baş edebilmek için analitik yetenekleri yüksek ve güçlü korelasyon özelliğine sahip çözümlere ihtiyaç olduğunu belirtiyor. Bu kapsamda XDR çözümünü geliştirdiklerini belirtti. XDR hem on premise hem de bulut altyapısını destekleyen bir çözüm, linkten detaylı bilgi alabilirsiniz.

Kendi açımdan oldukça faydalandığım bir etkinlik oldu. TrendMicro’ya etkinlik için çok teşekkürler. 2021 de bakalım neler konuşulacak.