Şirketi tamamen buluta taşıdık ancak bulut güvenlik değerlendirmesi için nereden başlamalıyız?

İlk yapacağınız iş depolama izinlerini kontrol etmek olsun. Birçok bulut sağlayıcısında dosya havuzları varsayılan olarak kapalı gelse de, geçiş sırasında pratik olsun diye genel okuma izni verilmiş olabiliyor. Ayrıca kullanılan sanal sunucuların yönetim portları (özellikle SSH veya RDP portları) genel internete açık kalmış mı bakın. Bunları sadece ofis sabit IP adresinize sınırlayın.

Benzer büyüklükte bir finans aracılık ofisimiz var. Geçen yıl benzer bir tedarikçi formu aldığımızda dışarıdan bağımsız bir güvenlik uzmanıyla anlaştık. Dört günlük bir konfigürasyon incelemesi için 2.200 GBP fatura kestiler. Çıkan raporda sekiz kritik açık bulundu, altısı sadece yanlış yapılandırılmış kullanıcı yetkileriydi. Dış denetim öncesi temel temizliği kendiniz yaparsanız maliyet ciddi oranda düşüyor.

teknik arkadasa hemen soyleyin tum yonetcii hesaplarina u2f anahtari veya authenticator uygulamasi zorunlu tutsun.. ama sms ile dogrulama artik yetersiz goruluyor... musteri denetim formlarinda da ilk baktiklari sey mfa politikasidir genelde.

İnternetten indireceğiniz hazır kontrol listeleriyle hazırlanan iç raporlar çoğu kurumsal müşteriyi tatmin etmez. Bircok liste kağıt üzerinde var olan politikaları sorar ama sistemdeki gerçek açığı göstermez. Müşteriniz denetim formunu risk birimine onaylatacaksa, imzalı bi harici değerlendirme raporu olmadan o sözleşmeyi imzalamanız çok zor olabilir.

İç denetimde ilk gün tamamlamanız gerekenler şunlar: 1) Tüm çalışanların oturumlarında iki aşamalı doğrulamayı zorunlu yapın. 2) Kullanılmayan eski API anahtarlarını ve geçiş sırasında açılmış servis hesaplarını iptal edin. 3) Bulut sağlayıcınızın sunduğu yerleşik güvenlik uyarı panelini açıp yüksek öncelikli riskleri sırayla giderin. 4) Veri yedeklerinin başka bir bölgede izole tutulduğunu doğrulayın.

Geçişi yapan yüklenici size bir devir teslim dokümanı bırakmadı mı? Hangi sanal kaynakların kurulduğu şifreleme anahtarlarının nerede saklandığı ve veri tabanının nsl korunduğu o belgede yazıyor olmalıydı. yani eğer böyle bir doküman yoksa önce yükleniciye dönüp sistem envanterini istemeniz gerekmez mi?

Kurumsal müşterilerin gönderdiği güvenlik formları genellikle uluslararası bilgi güvenliği standartlarına dayanır. Bu formlarda sizden sisteminizin sızma testi görmüş olup olmadığı ve olay müdahale planınız sorulur. Şirket içi teknik arkadaşınız temel yapılandırma açıklarını kapatabilir, ancak müşteriye verilecek yasal taahhütler için bağımsız bir rapor almanız sizi ilerideki sorumluluklardan korur.

Yarın sabah yapabileceğiniz en hızlı şey bulut panelinizdeki yerleşik güvenlik ve uyumluluk merkezini açmaktır... Sağlayıcılar genellikle ücretsiz bi güvenlik puanı ve eksikleri gösteren bi liste sunar... ya oradaki kırmızı uyarıları kapatıp ekran görüntüsü almanız bile müşteriye sürecin başladığını göstermek için iyi bi ilk adımdır.

Sonucu yazarsanız sevinirim. Karar verirken en kötü senaryoyu da yazın, sadece iyisini değil.

Bu kadar uzattıysam kusura bakmayın.

Buraya kadar söylenenleri özetleyeyim. Kararı geri almak ne kadar zorsa, o kdr yavaş verin.

Unutulmuş test ortamları, canlı sistemden daha sık kapı oluyor. Sorunuz olursa yazın elimden geldiğince cevaplarım.

bunu duyalı çok oldu ama bizde hiç böyle olmadı sonra neyse herkesin yaptığı şey doğru olduğu anlamına gelmiyor.

bunu baştan yazılı hâle getirmezseniz sonra tartışma çıkıyor. kendi durumunuz farklıysa tabii değişir.

Bu cevabı okuyunca rahatladım, demek sadece bende değilmiş. Kararı verirken elinizde hangi veri var, önce ona bakın.

Ben de merak ediyorum. İlk üç ay herşey iyi gider, sorun dördüncü ayda çıkar.

Benim görüşüm bu, kesin doğru diye yazmıyorum.

Bir sorum olcak, konudan sapmak istemem ama. Olayların çoğu zafiyetten değl, sızmış bi paroladan başlıyor.

Tecrübeyle sabit.

Dikkat edilmesi gereken bi şey var. İlk kez yapıyorsanız küçük başlayın, ölçek sonra gelir.

Sorunuz olursa yazın, elimden geldiğince cevaplarım.

Burada bir tuzak var, söylemeden geçmeyeyim. Asıl mesele rakam değil, o rakamın neye göre çıktığı.

Kolay gelsin.

Detaya inersek şöyle: Bizde en çok zaman kaybettiren şey, kimin karar vereceğinin belli olmamasıydı.

Kayıt tutmayan hiçbir süreç düzelmiyor, çünkü neyi düzelteceğinizi bilmiyorsunuz.

peki şunu nsl çözdünüz? kararı verirken elinizde hangi veri var önce ona bakın.

ben osam bu yoldan giderdim.