Siber güvenlik ve içeriden tehdit ortamı son yıllarda önemli ölçüde gelişti. Giderek daha karmaşık hale gelen saldırıların ve gelişen siber tehditlerin hakim olduğu bu değişen ortam, güvenliğe teknik çözümlerden daha fazlasını gerektiren bütünsel bir yaklaşım gerektiriyor. Kritik kurumsal varlıkları (hem dijital hem de fiziksel) çeşitli siber güvenlik ve güvenlik tehditlerinden koruma sorumluluğu yalnızca Bilgi ve Güvenlik Baş Yöneticileri (CISO’lar) ve Baş Güvenlik Görevlileri’ne (CSO’lar) ait değildir. İnsan kaynakları (İK) departmanları, özellikle içeriden gelen tehditler söz konusu olduğunda giderek daha önemli bir rol oynuyor. İnsan kaynakları yönetimi, organizasyonel davranış ve kurumsal kültür konusundaki deneyimleri, siber güvenlik ekiplerinin güçlendirilmesinde ve içeriden tehdit programlarının oluşturulmasında kritik öneme sahip olabilir. Bu yazı, siber güvenlik ekipleri ve içeriden tehdit programlarında İK’nın temel rolünü vurgulamaktadır.
Siber Güvenlik Görevlisi)
Siber tehdit ortamı daha karmaşık ve tehlikeli hale geldi. Siber suçlular, devlet destekli bilgisayar korsanları ve hatta hoşnutsuz çalışanlar, kötü niyetli olmayan veya kazara gerçekleşen olaylara bakılmaksızın sistemlere sızmak ve değerli verileri çıkarmak için giderek daha karmaşık yöntemler kullanıyor. Özellikle içeriden gelen tehditler, sistemlere, verilere ve tesislere meşru erişimi olan kişilerden geldikleri ve bu nedenle tespit edilmeleri zor olduğu için artan bir endişe kaynağıdır. Kullanıcı varlığı davranış analizi gibi teknik çözümler bu tehditlerin azaltılmasında kritik öneme sahip olabilir ancak İK gibi diğer departmanların desteğiyle tamamlanmalıdır. İK’nın insan yönetimi ve kurumsal davranış konusundaki uzmanlığı, şirketlerin varlıklarını korumalarına ve siber güvenlik direncine katkıda bulunmalarına yardımcı olabilir. İnsanların davranışlarını gözlemlemek ve anlamak, insanlarla ilgili potansiyel siber güvenlik risklerini tahmin etmek, tanımlamak ve azaltmak için kullanılabilecek eyleme geçirilebilir içgörülere yol açabilir.
İK’nın şirketin siber güvenlik çabalarına katkıda bulunduğu en gözle görülür yollardan biri, yetenek kazanma ve geliştirme stratejileridir. İK ekiplerinin temel görevi, çeşitlilik gibi ek hedeflerle uygun adayları işe almak ve elde tutmaktır. Ancak İK ekiplerinin daha derin ve daha temel bir düşünme biçimi, bu gelişen tehditlerle mücadeleye yardımcı olabilecek bir yaratıcılık ve yenilik ortamını teşvik etmesi ve teşvik etmesidir. Ayrıca İK, adaylar işe alındıktan sonra bile organizasyon genelinde olumlu bir güvenlik kültürü yaratmada kritik bir rol oynar. Buna çalışanların kurumu, çalışanları, müşterileri ve paydaşları koruma sorumluluklarını anlamalarını sağlayacak eğitim ve farkındalık programları da dahildir. Bu temellerin etkili iletişim yoluyla atılması, çalışanlar arasında proaktif, pozitif ve sürdürülebilir güvenlik odaklı bir strateji ve zihniyetin geliştirilmesine yardımcı olabilir; bu, işbirlikçi kurumsal siber güvenlik savunma stratejilerinin geliştirilmesi için çok değerlidir.
İş hukuku açısından bakıldığında insan kaynaklarının omurgası, yürürlükteki yasa ve düzenlemelere uygunluğun sağlanmasıdır. Bunlar, adil, yasalara uygun bir çalışma ortamını teşvik etmek ve çalışanların ve kuruluşun çıkarlarını korumak amacıyla istihdam ilişkilerini düzenler. Bu, işe alım, davranış kuralları, etik standartlar ve uzaktan çalışma/esnek çalışma düzenlemelerini içerebilir. Bu kapsamlı olmayan liste, İK’nın organizasyonel ve güvenlik politikası perspektifinden oynadığı geniş kapsamlı ve çeşitli karşılıklı ilişkileri göstermektedir. Güçlü güvenlik politikaları ve prosedürlerinin işbirliğine, geliştirilmesine ve uygulanmasına insan kaynaklarının katılımı, herhangi bir güvenlik stratejisi için esastır.
İnsan Kaynakları, olayları uygun şekilde ele almak ve gelecekteki riskleri azaltmak için önlemler almak üzere etkilenen tüm çalışanlar, kuruluş ve çeşitli departmanlar arasında bir köprü görevi görür. Buna ek olarak, insan kaynakları departmanları genellikle güvenlik olay müdahale planlarının geliştirilmesini ve etkinleştirilmesini destekleyerek, güvenlik olayları sırasında iletişimi destekleyerek ve birçok olay operasyonel çalışma saatleri nedeniyle uzatılabileceğinden müdahale edenlerin sağlık ve refahını sağlayarak katkıda bulunur. Göz önünde bulundurulması gereken bir insan unsuru veya değişkeni ile ilgili bir ihlal veya olay meydana geldiğinde soruşturmaları desteklemek için İK girdisinin de gerekli olması şaşırtıcı değildir.
İK’nın en önemli katkılarından biri kurumsal içeriden tehdit programlarının geliştirilmesi ve yönetilmesidir. İK ekipleri genellikle işe alım sırasında ilk temas noktasıdır ve şirketlerin bilinçli işe alım kararları vermesine yardımcı olacak tüm inceleme, uygunluk ve uygunluk sertifikalarına sahiptir. kuruluşun güvenliğini korumak, düzenlemelere uymak ve güvenli ve güvenilir bir çalışma ortamı sağlamak. İK ekipleri aynı zamanda çalışan veritabanlarını aktif olarak yönetir ve gerekli sözleşme değişikliklerini, dahili sistem güncellemelerini (örneğin çıkış tarihlerinin güncellenmesi veya departman transferlerinin gerçekleştirilmesi) ayarlayıp gözden geçirerek kurumsal birleştirme, taşıma ve ayrılma (JML) süreçleri konusunda iş birimleri ve BT ekipleriyle koordinasyon sağlar. B. Kodlar) Yetkisiz erişim riskini en aza indirecek erişim kontrolleri.
İnsan kaynakları departmanları, iş arkadaşlarına yönelik bir tedavi stratejisiyle başlayarak olaylara müdahale, soruşturmalar ve düzeltici stratejiler konusundaki bilgi ve deneyimlerinden yararlanabilir. Aşağıdakiler gibi insan merkezli iyileştirme planları sağlayarak güvenlik çabalarını destekleyebilirler: B. Güvenlik politikalarını güçlendirin, bunları iletin veya daha erişilebilir ve şeffaf hale getirin ve daha ileri eğitim, farkındalık veya güvenlik önlemleri geliştirin; B. veri güvenliği ve veri korumasına odaklanarak.
Olay müdahalesi ve soruşturma sonuçlarından elde edilen katılım düzeyi ve içgörüler göz önüne alındığında, İK, davranış göstergelerinin tanımlanmasına yardımcı olabilir ve çalışanın kullandığı davranışlar, modeller, etkileşimler ve diğer risk faktörlerine ilişkin anlayışlarından yararlanarak tehdit profili oluşturmaya yardımcı olabilir. Bu profiller, davranışsal göstergelerin ciddiyetine, erişim düzeylerine, iş rollerine ve çalışanların ne ölçüde zarar verebileceğine bağlı olarak potansiyel içeriden gelen tehditlerin belirlenmesine ve önceliklendirilmesine yardımcı olabilir.
Siber güvenlik tehdit ortamı sürekli olarak gelişmektedir ve İK’nın kuruluşların genel savunma stratejileri açısından önemi göz ardı edilemez. İK’nın siber güvenlikteki rolü artık sadece destekleyici değil; Sınır ötesi siber güvenlik ve içeriden tehdit stratejilerine kapsamlı bir yaklaşım geliştirmek açısından kritik öneme sahiptirler. Güvenlik Bilgileri ve Olay Yönetimi (SIEM) ve Kullanıcı Varlık Davranış Analizi (UEBA) gibi temel araçlar, çeşitli güvenlik günlüklerini gerçek zamanlı olarak toplayıp bir araya getirerek, anormal veya riskli davranışları tanımlayan gelişmiş analitiklerle kuruluşların güvenlik uygulamalarını önemli ölçüde iyileştirir. Bu, İK profesyonellerinin benzersiz mesleki rollerinden, becerilerinden ve içgörülerinden yararlanmak için ideal bir platformdur. Bu bütünsel yaklaşım, bir kuruluşun siber güvenlik direncine önemli ölçüde katkıda bulunabilir ve siber güvenliğin geleceğidir.
Bu makale Securonix İnsan Kaynakları Direktörü Janet Paul tarafından yazılmıştır.
Siber Güvenlik Görevlisi)
Siber tehdit ortamı daha karmaşık ve tehlikeli hale geldi. Siber suçlular, devlet destekli bilgisayar korsanları ve hatta hoşnutsuz çalışanlar, kötü niyetli olmayan veya kazara gerçekleşen olaylara bakılmaksızın sistemlere sızmak ve değerli verileri çıkarmak için giderek daha karmaşık yöntemler kullanıyor. Özellikle içeriden gelen tehditler, sistemlere, verilere ve tesislere meşru erişimi olan kişilerden geldikleri ve bu nedenle tespit edilmeleri zor olduğu için artan bir endişe kaynağıdır. Kullanıcı varlığı davranış analizi gibi teknik çözümler bu tehditlerin azaltılmasında kritik öneme sahip olabilir ancak İK gibi diğer departmanların desteğiyle tamamlanmalıdır. İK’nın insan yönetimi ve kurumsal davranış konusundaki uzmanlığı, şirketlerin varlıklarını korumalarına ve siber güvenlik direncine katkıda bulunmalarına yardımcı olabilir. İnsanların davranışlarını gözlemlemek ve anlamak, insanlarla ilgili potansiyel siber güvenlik risklerini tahmin etmek, tanımlamak ve azaltmak için kullanılabilecek eyleme geçirilebilir içgörülere yol açabilir.
İK’nın şirketin siber güvenlik çabalarına katkıda bulunduğu en gözle görülür yollardan biri, yetenek kazanma ve geliştirme stratejileridir. İK ekiplerinin temel görevi, çeşitlilik gibi ek hedeflerle uygun adayları işe almak ve elde tutmaktır. Ancak İK ekiplerinin daha derin ve daha temel bir düşünme biçimi, bu gelişen tehditlerle mücadeleye yardımcı olabilecek bir yaratıcılık ve yenilik ortamını teşvik etmesi ve teşvik etmesidir. Ayrıca İK, adaylar işe alındıktan sonra bile organizasyon genelinde olumlu bir güvenlik kültürü yaratmada kritik bir rol oynar. Buna çalışanların kurumu, çalışanları, müşterileri ve paydaşları koruma sorumluluklarını anlamalarını sağlayacak eğitim ve farkındalık programları da dahildir. Bu temellerin etkili iletişim yoluyla atılması, çalışanlar arasında proaktif, pozitif ve sürdürülebilir güvenlik odaklı bir strateji ve zihniyetin geliştirilmesine yardımcı olabilir; bu, işbirlikçi kurumsal siber güvenlik savunma stratejilerinin geliştirilmesi için çok değerlidir.
İş hukuku açısından bakıldığında insan kaynaklarının omurgası, yürürlükteki yasa ve düzenlemelere uygunluğun sağlanmasıdır. Bunlar, adil, yasalara uygun bir çalışma ortamını teşvik etmek ve çalışanların ve kuruluşun çıkarlarını korumak amacıyla istihdam ilişkilerini düzenler. Bu, işe alım, davranış kuralları, etik standartlar ve uzaktan çalışma/esnek çalışma düzenlemelerini içerebilir. Bu kapsamlı olmayan liste, İK’nın organizasyonel ve güvenlik politikası perspektifinden oynadığı geniş kapsamlı ve çeşitli karşılıklı ilişkileri göstermektedir. Güçlü güvenlik politikaları ve prosedürlerinin işbirliğine, geliştirilmesine ve uygulanmasına insan kaynaklarının katılımı, herhangi bir güvenlik stratejisi için esastır.
İnsan Kaynakları, olayları uygun şekilde ele almak ve gelecekteki riskleri azaltmak için önlemler almak üzere etkilenen tüm çalışanlar, kuruluş ve çeşitli departmanlar arasında bir köprü görevi görür. Buna ek olarak, insan kaynakları departmanları genellikle güvenlik olay müdahale planlarının geliştirilmesini ve etkinleştirilmesini destekleyerek, güvenlik olayları sırasında iletişimi destekleyerek ve birçok olay operasyonel çalışma saatleri nedeniyle uzatılabileceğinden müdahale edenlerin sağlık ve refahını sağlayarak katkıda bulunur. Göz önünde bulundurulması gereken bir insan unsuru veya değişkeni ile ilgili bir ihlal veya olay meydana geldiğinde soruşturmaları desteklemek için İK girdisinin de gerekli olması şaşırtıcı değildir.
İK’nın en önemli katkılarından biri kurumsal içeriden tehdit programlarının geliştirilmesi ve yönetilmesidir. İK ekipleri genellikle işe alım sırasında ilk temas noktasıdır ve şirketlerin bilinçli işe alım kararları vermesine yardımcı olacak tüm inceleme, uygunluk ve uygunluk sertifikalarına sahiptir. kuruluşun güvenliğini korumak, düzenlemelere uymak ve güvenli ve güvenilir bir çalışma ortamı sağlamak. İK ekipleri aynı zamanda çalışan veritabanlarını aktif olarak yönetir ve gerekli sözleşme değişikliklerini, dahili sistem güncellemelerini (örneğin çıkış tarihlerinin güncellenmesi veya departman transferlerinin gerçekleştirilmesi) ayarlayıp gözden geçirerek kurumsal birleştirme, taşıma ve ayrılma (JML) süreçleri konusunda iş birimleri ve BT ekipleriyle koordinasyon sağlar. B. Kodlar) Yetkisiz erişim riskini en aza indirecek erişim kontrolleri.
İnsan kaynakları departmanları, iş arkadaşlarına yönelik bir tedavi stratejisiyle başlayarak olaylara müdahale, soruşturmalar ve düzeltici stratejiler konusundaki bilgi ve deneyimlerinden yararlanabilir. Aşağıdakiler gibi insan merkezli iyileştirme planları sağlayarak güvenlik çabalarını destekleyebilirler: B. Güvenlik politikalarını güçlendirin, bunları iletin veya daha erişilebilir ve şeffaf hale getirin ve daha ileri eğitim, farkındalık veya güvenlik önlemleri geliştirin; B. veri güvenliği ve veri korumasına odaklanarak.
Olay müdahalesi ve soruşturma sonuçlarından elde edilen katılım düzeyi ve içgörüler göz önüne alındığında, İK, davranış göstergelerinin tanımlanmasına yardımcı olabilir ve çalışanın kullandığı davranışlar, modeller, etkileşimler ve diğer risk faktörlerine ilişkin anlayışlarından yararlanarak tehdit profili oluşturmaya yardımcı olabilir. Bu profiller, davranışsal göstergelerin ciddiyetine, erişim düzeylerine, iş rollerine ve çalışanların ne ölçüde zarar verebileceğine bağlı olarak potansiyel içeriden gelen tehditlerin belirlenmesine ve önceliklendirilmesine yardımcı olabilir.
Siber güvenlik tehdit ortamı sürekli olarak gelişmektedir ve İK’nın kuruluşların genel savunma stratejileri açısından önemi göz ardı edilemez. İK’nın siber güvenlikteki rolü artık sadece destekleyici değil; Sınır ötesi siber güvenlik ve içeriden tehdit stratejilerine kapsamlı bir yaklaşım geliştirmek açısından kritik öneme sahiptirler. Güvenlik Bilgileri ve Olay Yönetimi (SIEM) ve Kullanıcı Varlık Davranış Analizi (UEBA) gibi temel araçlar, çeşitli güvenlik günlüklerini gerçek zamanlı olarak toplayıp bir araya getirerek, anormal veya riskli davranışları tanımlayan gelişmiş analitiklerle kuruluşların güvenlik uygulamalarını önemli ölçüde iyileştirir. Bu, İK profesyonellerinin benzersiz mesleki rollerinden, becerilerinden ve içgörülerinden yararlanmak için ideal bir platformdur. Bu bütünsel yaklaşım, bir kuruluşun siber güvenlik direncine önemli ölçüde katkıda bulunabilir ve siber güvenliğin geleceğidir.
Bu makale Securonix İnsan Kaynakları Direktörü Janet Paul tarafından yazılmıştır.