Siber güvenlik ekipleri, eski sistemleri yönetmeye çalışırken bile yeni becerilere ihtiyaç duyuyor
Halihazırda bir yetenek eksikliğiyle karşı karşıya olan siber güvenlik ekipleri, bir yandan kuruluşlarının vazgeçmek istemediği eski sistemleri korurken bir yandan da üretken yapay zekanın artan benimsenmesiyle başa çıkmak için yeni becerilere ihtiyaç duyacak.
Halihazırda bir yetenek eksikliğiyle karşı karşıya olan siber güvenlik ekipleri, artık üretken yapay zeka (AI) ve makine öğreniminin giderek artan şekilde benimsenmesiyle başa çıkmak için ek becerilere ihtiyaç duyuyor. Bu durum, gelişmeye devam eden bir tehdit ortamı ve kuruluşların bırakmayı zor bulduğu eski sistemler de dahil olmak üzere, korunması gereken genişleyen bir saldırı yüzeyi nedeniyle daha da karmaşık hale geliyor.
Halihazırda yeterli siber güvenlik yeteneğini işe almakta zorlanıyorlar.
Asya-Pasifik'teki siber güvenlik profesyonellerinin sayısı 2023'te yıllık %11,8 artarak 1 milyonun biraz altına ulaşırken, bölgenin dijital varlıkları yeterli düzeyde güvence altına almak için hâlâ 2,67 milyona daha ihtiyacı var. Bu siber güvenlik iş gücü açığı, 3.685'i Asya-Pasifik'ten olmak üzere 14.865 katılımcının katıldığı 2023 ISC2 Siber Güvenlik İşgücü Araştırması'na göre %23,4 oranında genişleyerek bölge için rekor düzeyde bir seviyedir.
Sertifikalı siber güvenlik uzmanlarından oluşan kar amacı gütmeyen bir kuruluş olan ISC2'nin (Uluslararası Bilgi Sistemleri Güvenliği Sertifikasyon Konsorsiyumu) tahminlerine göre, dünya çapında bu fark 2022'ye göre %12,6 artarak neredeyse 4 milyon siber güvenlik profesyoneline ulaştı.
ISC2, küresel siber güvenlik iş gücünün şu anda 2022'ye göre %8,7 artışla 5,45 milyona ulaştığını ve tam kapasiteye ulaşmak için neredeyse iki katına çıkması gerekeceğini söyledi.
Birliğin CISO'su Jon France, ZDNET'e en büyük açığın Asya-Pasifik'te olduğunu ancak bunun daraldığına dair umut verici işaretler olduğunu söyledi. Örneğin Singapur, siber güvenlik iş gücü açığını bu yıl %34 oranında azalttı. Dijital varlıkların, ISC2 projelerinin yeterince korunması için sektörde 4.000 profesyonele daha ihtiyaç var.
Araştırmaya göre dünya genelinde siber güvenlik profesyonellerinin yüzde 92'si, kuruluşlarının sızma testi ve sıfır güven uygulaması gibi teknik beceriler de dahil olmak üzere en az bir alanda beceri açığı olduğuna inanıyor. Bulut güvenliği, yapay zeka ve makine öğrenimi sırasıyla %35 ve %32 ile şirketlerin eksik olduğu beceriler listesinin başında yer alıyor.
Fransa, kuruluşların yapay zekayı daha fazla sürece dahil etmesiyle bulut bilişim ihtiyacını ve her iki beceri setine olan ihtiyacı daha da artırdıkça bu talebin artmaya devam edeceğini belirtti. Bunun, siber güvenlik profesyonellerinin yapay zekanın nasıl entegre edildiğini ve desteklediği uygulama ve iş akışlarının nasıl güvenli hale getirildiğini anlamaları gerektiği anlamına geldiğini söyledi.
Bağlantısız bırakıldığında, siber güvenlik becerilerindeki ve personeldeki boşlukların ekiplerin aşırı yüklenmesine neden olacağı ve bunun da güvenlik açıklarının ele alınmasında ihmallere yol açabileceği konusunda uyardı. Yanlış yapılandırma ve güvenlik yamalarının gerisinde kalmanın ihlallere yol açabilecek en yaygın hatalar arasında yer aldığını ekledi.
Yapay zekanın benimsenmesi yeni becerilere olan ihtiyacı artırıyor
Üretken yapay zekanın ortaya çıkmasıyla işlerin daha karmaşık hale gelmesi muhtemeldir.
ChatGPT ve Stable Diffusion gibi araçlar, saldırganların mesajların ve görüntülerin güvenilirliğini artırmasına olanak tanıyarak hedeflerini kandırmayı kolaylaştırdı. Analist firmanın CISO'ların ve güvenlik yetenek yönetiminin rolü hakkındaki araştırmasına katkıda bulunan Forrester baş analisti Jess Burn, bunun kimlik avı e-postalarının ve web sitelerinin kalitesini önemli ölçüde artırdığını söyledi.
Bu araçlar kötü aktörlerin daha büyük ölçekte saldırılar oluşturmasına ve başlatmasına yardımcı olsa da Burn, bunun savunucuların bu tür tehditlere nasıl tepki vereceğini değiştirmediğini belirtti. Bir e-posta röportajında, "Yıllardır olduğu gibi siber saldırıların sayısının artmasını bekliyoruz, ancak tehditlerin kendisi yeni değil" dedi. "Güvenlik uygulayıcıları bunları nasıl tanımlayacaklarını, çözeceklerini ve hafifleteceklerini zaten biliyor."
Analist, önde kalabilmek için güvenlik liderlerinin ekiplerine hızlı mühendislik eğitimini dahil etmeleri gerektiğini, böylece üretken yapay zeka istemlerinin nasıl çalıştığını daha iyi anlayabilmeleri gerektiğini söyledi.
Ayrıca, penetrasyon test uzmanlarının ve kırmızı ekiplerin, üretken yapay zeka ve büyük dil modelleri tarafından desteklenen çözümlerin değerlendirmelerine hızlı odaklı katılımları dahil etme ihtiyacının altını çizdi.
Modellerin fikri mülkiyet peşinde koşan siber suçlular tarafından lekelenmemesini veya çalınmamasını sağlamak için saldırgan yapay zeka güvenlik becerileri geliştirmeleri gerekiyor. Ayrıca bu modelleri eğitmek için kullanılan hassas verilerin açığa çıkmamasını veya sızdırılmamasını sağlamaları gerektiğini söyledi.
EY'nin Asya-Pasifik siber güvenlik danışmanlık lideri Jeremy Pizzala, daha inandırıcı kimlik avı e-postası yazma becerisine ek olarak, üretken yapay zeka araçlarının bunu önlemek için uygulanan sınırlamalara rağmen kötü amaçlı yazılım yazacak şekilde yönlendirilebileceğini belirtti. Kendisi de dahil olmak üzere araştırmacıların, ChatGPT gibi platformları yönlendiren ve onları kötü amaçlı yazılım yazmaya teşvik eden etik kısıtlamaları aşabildiklerini belirtti.
Pizzala, ZDNET ile yaptığı bir röportajda, tehdit aktörlerinin, bilinen istismarlara ve kötü amaçlı yazılımlara sahip veri kümeleri üzerinde eğitilmiş kendi büyük dil modellerini oluşturma ve savunması daha zor olan "süper bir kötü amaçlı yazılım türü" oluşturma potansiyelinin de bulunduğunu söyledi.
Bu, birçok büyük dil ve yapay zeka modelinin doğası gereği ve yerleşik önyargılara sahip olduğu yapay zeka ve ilgili iş riskleri hakkında daha geniş bir tartışmaya yol açıyor. Algoritma zehirlenmesi riskine atıfta bulunarak, bilgisayar korsanlarının da yapay zeka algoritmalarını hedef alabileceğini, etik kuralları çıkarabileceğini ve yapmaya programlanmadıkları şeyleri yapmaları için onları manipüle edebileceğini söyledi.
Pizzala, tüm bu risklerin, kuruluşların yapay zeka kullanımlarını yönlendirecek güvenlik önlemleri ve risk yönetimi politikaları içeren bir yönetim planına sahip olma ihtiyacını vurguladığını söyledi. Bunlar aynı zamanda halüsinasyonlar gibi konuları da ele almalıdır.
Doğru korkuluklar uygulandığında üretken yapay zekanın siber savunuculara fayda sağlayabileceğini belirtti. Örneğin bir güvenlik operasyon merkezinde (SOC) konuşlandırılan sohbet robotları, basit bir dille sorulan istemlere yanıt vererek güvenlik olayları hakkında daha hızlı bilgi sağlayabilir. Üretken yapay zeka olmasaydı bu, güvenlik ekiplerinin daha sonra şifreyi çözmek için zamana ihtiyaç duyacağı bir dizi karmaşık sorgu ve yanıt gerektirecekti.
Yapay zeka, siber güvenlik becerilerine giriş seviyesini düşürür. Üretken yapay zekanın yardımı olmadan kuruluşların, SOC'lerdeki geleneksel izleme ve tespit araçları tarafından oluşturulan verileri yorumlamak için özel deneyime ihtiyaç duyacağını söyledi. Bazı kuruluşların bu yönetim modeline dayalı olarak eğitim ve işe alımlara başladığını belirtti.
Burn'un üretken yapay zeka bilgisine olan ihtiyaç hakkındaki yorumlarını yineleyen Pizzala, şirketleri ilgili teknik beceri setlerini ve temel algoritmalara ilişkin bilgileri geliştirmeye de çağırdı. Makine öğrenimi ve yapay zeka modelleri için kodlama yeni olmasa da, bu tür temel becerilerin hâlâ yetersiz olduğunu söyledi.
Üretken yapay zekanın giderek daha fazla benimsenmesinin siber güvenlik açısından farklı bir bakış açısı gerektirdiğini de sözlerine ekledi ve güvenlik konusunda uzmanlaşmış veri bilimcilerinin bulunduğunu belirtti. Bu tür becerilerin gelişmesi ve becerilerin artmaya devam etmesi gerektiğini söyledi.
Pizzala, EY'nin 2023 Küresel Siber Güvenlik Liderliği anketine atıfta bulunarak, Asya-Pasifik'te küresel ortalamanın %36'sına kıyasla %44'ün en büyük zorluk olarak yetersiz siber güvenlik bütçesine işaret ettiğini belirtti.
Genişleyen saldırı yüzeyi, bulut bilişimin ve Nesnelerin İnternetinin (IoT) geniş ölçekte benimsenmesiyle desteklenen, en çok bahsedilen şirket içi zorluktur. EY danışmanı, yapay zekanın sistemlere sızmak için yeni yollar açması ve üçüncü taraf tedarik zinciri saldırılarının hâlâ endişe verici olması nedeniyle, bunların sürekli büyüyen bir saldırı yüzeyine katkıda bulunduğunu söyledi.
Burn ayrıca şunları kaydetti: "Çoğu kuruluş birkaç yıl önce bulut ortamlarına hızlı geçişe hazırlıklı değildi ve o zamandan beri bulut güvenliği becerileri kazanmak için çabalıyorlar ve genellikle MDR (yönetilen algılama ve yanıt) hizmet sağlayıcılarıyla çalışmayı tercih ediyorlar. bu boşlukları doldurun.
Forrester analisti, "API'lerin her yerde bulunması, kaç sisteme bağlandıkları ve bunlar üzerinden ne kadar veri aktığı göz önüne alındığında, API güvenliği konusunda daha fazla uzmanlığa da ihtiyaç var" dedi.
Bu gereksinimleri karşılamak için kuruluşların güvenlik operasyonları ve yazılım geliştirme veya ürün güvenliği ekiplerinin altyapı hakkında sahip olduğu bilgiden yararlandığını ve bunu yeni ortamlara göre ayarladığını söyledi. "Yani mesele, doğru eğitimi bulmak, becerileri artırmak ve ekiplere eğitim için zaman tanımakla ilgili" diye ekledi.
"Yetersiz vasıflara sahip bir ekibe sahip olmak, yetersiz personele sahip bir ekibe sahip olmak kadar riskli olabilir" dedi. Forrester'ın veri güvenliğiyle ilgili 2022 Business Technographics anketine atıfta bulunarak, geçen yıl altı veya daha fazla veri ihlali yaşayan şirketlerin, doğru becerilere sahip güvenlik çalışanlarının bulunamamasının son 12 yılda karşılaştıkları en büyük BT güvenliği sorunlarından biri olarak rapor etme olasılıklarının daha yüksek olduğunu söyledi. aylar.
Güvenlik yönetimini kolaylaştırmak için teknoloji yığınlarının basitleştirilmesi gerekiyor
Kuruluşların, boşlukları kapatmak için yönetilen güvenlik hizmetleri sağlayıcılarıyla iletişime geçmesi gerekiyorsa, Pizzala onların bunu sürece dahil olarak yapmalarını tavsiye ediyor. Bulut yönetimi stratejisine benzer şekilde, şirketlerin kendi kontrollerini ve taramalarını yapmasıyla ortak sorumluluk olması gerektiğini söyledi.
Ayrıca işletmelerin eski sistemlerini yeniden değerlendirmeleri ve teknoloji yığınlarını basitleştirmeleri için çalışma ihtiyacını da destekledi. Çok fazla siber güvenlik aracına sahip olmanın başlı başına bir risk teşkil ettiğini ekledi.
Fransa, özellikle operasyonel teknoloji (OT) sektörlerinin önemli eski sistemlere sahip olduğunu söyledi.
Büyüyen saldırı yüzeyi ve karmaşık dijital ve tehdit ortamıyla birlikte, yeni teknolojiyi benimserken bile eski varlıklarından vazgeçmek istemeyen şirketler için endişelerini dile getirdi. Bu, yeni alınan sistemlerin yanı sıra eski araç setlerini de izlemeye ve korumaya devam etmek zorunda olan siber güvenlik ekiplerinin üzerindeki yükü artırıyor.
Kaynak açığını kapatmak için güvenlik tedarikçisi Armis'in CISO'su Curtis Simpson, otomasyon ve orkestrasyon gibi teknolojilere bakma ihtiyacını savundu. Bunların çoğunun yapay zeka tarafından destekleneceğini söyledi.
Simpson bir video röportajında "İnsanlar bu açığı kapatmamıza yardımcı olmayacak. Teknoloji bunu yapacak" dedi.
Saldırıların yapay zeka destekli olacağını ve gelişmeye devam edeceğini, şirketlerin potansiyel tehditlere yanıt verecek kadar hızlı hareket edebilmeleri için orkestrasyon ve otomasyon ihtiyacını daha da vurguladığını belirtti.
Derinlemesine savunma kritik olmaya devam ediyor; bu da kuruluşların tüm ortamları ve maruz kaldıkları riskler hakkında tam bir görünürlüğe ve anlayışa sahip olmaları gerektiği anlamına geliyor. Simpson, bunun daha sonra gerekli arabuluculuk planına sahip olmalarını ve bir siber saldırı meydana geldiğinde etkisini en aza indirmelerini sağladığını söyledi.
Bu aynı zamanda eski savunma yeteneklerinin modern yapay zeka odaklı saldırılar karşısında felakete yol açacağı anlamına da geliyor, dedi.
Güvenlik ekiplerinin temel görünürlüğe ihtiyacı olduğunu vurgulayan kendisi şunları kaydetti: "Ortamınızın yalnızca yarısını görebiliyorsanız, doğru mu yanlış mı yaptığınızı bilemezsiniz."
Armis'in son araştırmasına atıfta bulunarak, örneğin Singapur işletmelerinin yarısının, çevrelerindeki sahip olunan ve yönetilen varlıkların tam görünürlüğünden yoksun olduklarını söylediğini söyledi. Bu şirketler, varlığın nerede bulunduğu, nasıl veya desteklenip desteklenmediği gibi varlık özelliklerinin %39'unu açıklayamıyor.
Aslına bakılırsa Singapurlu katılımcılar, IoT güvenliğini ve güncel olmayan eski altyapıya ilişkin endişeleri en büyük zorlukları olarak belirtiyor.
Simpson, bu tür sorunların genellikle bir şirketin dijital dönüşüm çabalarını kolaylaştırmak için zaman içinde finansman eksikliği nedeniyle daha da arttığını belirtti.
Mikro hizmetler ve iş akışları buluta aktarıldıkça, eski altyapıların zaman içinde azalacağı beklentileriyle birlikte fonların genellikle kademeli olarak yavaşlaması planlanıyor.
Ancak eski sistemlerin kapatılmasının beklenenden daha uzun süreceğini, çünkü şirketlerin bu varlıkların kuruluş genelinde nasıl kullanılmaya devam edileceğini anlamadığını söyledi.
"Genel tutum mirasın kullanımdan kaldırılması yönünde, ancak gerçek şu ki bu sistemler farklı bölgelerde ve farklı müşterilerde çalışıyor. Siparişler hala [eski] arka uç sistemlerde işleniyor" dedi ve görünürlük eksikliğinin bunu zorlaştırdığını ekledi. Hangi müşterilerin eski sistemleri kullandığını ve bu varlıklar üzerinde çalışan uygulamaları belirlemek için.
Çoğunun eski altyapıları kapatmak veya teknik borçlarından kurtulmak için mücadele ettiğini, bunun da yazılım ve bakım maliyetlerini karşılayamamalarına neden olduğunu belirtti.
Risk ortamları bulut hizmetlerinin yanı sıra verileri modern bir bulut mimarisine ve iş yüklerine aktaran eski sistemlerden oluşuyor. Simpson ayrıca, yeni limanlar ve entegrasyon açarak zincir boyunca güvenlik açıkları yaratma olasılıklarının da yüksek olduğunu ekledi.
BT ve güvenlik ekipleri ayrıca, farklı kaynaklardan toplanan ve genellikle manuel olarak çözülecek bilgileri yönetmek ve tehdit etmek için daha fazla çözüme sahiptir.
Gerekli yeteneklere sahip olmadıkları sürece çok az kuruluşun, modern ve eski sistemlerin bu karma ortamına ilişkin kolektif bir bakış açısına sahip olduğunu söyledi.
"Yeni teknolojilerin işletmelere fayda sağlaması amaçlanıyor, ancak izlenmediği ve yönetilmediği takdirde bir kuruluşun saldırı yüzeyine tehlikeli katkılar haline gelebilir" dedi. "Saldırganlar, bir kuruluşun ağına erişim sağlamak için mümkün olan her türlü zayıflıktan yararlanmaya çalışacaklardır. Sorumluluk, işleri için en önemli olan şeylere bağlı olarak tüm fiziksel ve dijital varlıkları görmek, korumak ve yönetmek için gerekli gözetime sahip olmalarını sağlamak kuruluşların sorumluluğundadır. "