Cloud Security Posture Management: 10 kişilik firma olarak gerçekten gerekiyor mu?

Kurumsal araçların yaptığı iş aslında sağlayıcının API uçlarına düzenli sorgu atmaktan ibaret. Kendi terminalinizden haftada bir çalıştıracağınız açık kaynaklı bir güvenlik tarama betiği, açıkta kalan depolama alanlarını ve dışa açılmış portları on saniyede listeler. Bunu yazılım geliştirme hattınıza bir adım olarak eklerseniz sıfır ek maliyetle aynı sonucu alırsınız.

Münih'te sekiz kişilik SaaS ekibiyiz. Geçen yıl benzer bir satıcıya 4.500 Euro kaptırdık. Bize sundukları gösterge panelinde her gün aynı üç uyarı çıkıyordu: iki test sunucusunun açık SSH portu ve kullanılmayan bir güvenlik anahtarı. Altı ay sonra sözleşmeyi yenilemedik; sağlayıcının kendi ücretsiz uyarı merkezine geçtik ve hiçbir eksiklik hissetmedik.

Güvenlik firmaları küçük ekiplerin korkularını çok iyi kullanıyor. 'Veri sızarsa büyük ceza alırsınız' söylemi doğrudan satış taktiği. 15 sunuculu yapıda dışa açılan kapı sayısı bellidir. Ağ haritanızı net çizip temel kuralları kilitledikten sonra harici bi duruş yönetim aracının size katacağı gerçek değer neredeyse sıfırdır.

Pahalı bir araç almadan önce şu adımları tamamlayın: 1) Tüm depolama alanlarının genel erişimini panel seviyesinde tamamen kapatın. 2) Sunucuların yönetim portlarını yalnızca şirket sanal özel ağına bağlayın. 3) Yönetim paneli girişlerinde çok faktörlü doğrulamayı zorunlu kılın. 4) Kullanıcı rollerinde en düşük yetki prensibini uygulayın. Bu dört adım riskinizi zaten büyük oranda düşürür.

Endişenizi çok iyi anlıyorum, regülasyonlar gerçekten göz korkutabiliyor. Ancak iki kıdemli yazılımcınız varsa bir çalışma dönemi boyunca sadece yapılandırma sertleştirmesine odaklanmaları fazlasıyla yeterli olacaktır. İnternetteki ücretsiz kontrol listelerini takip ederek altyapınızı iki günde tertemiz hale getirebilirler.

peki bu duurş yönetimi araçları sunuculardaki yazılımların içindeki kod açıklarını da buluyor mu, yoksa sadece sunucunun bulut panelindeki ayarlarını mı denetliyor? ya bizdeki yazılımcılar sadece kod tarafına bakıyor, ikisi arasındaki farkı tam anlayamadım.

Hemen yarın yapın: Bulut sağlayıcınızın kontrol panelinde güvenlik sekmesine gidin. Orada ücretsiz olarak sunulan temel güvenlik denetimini çalıştırın. Raporu indirin, kritik yazanları yazılımcılarınıza iletin. 6.000 Euro cebinizde kalsın, ürün geliştirmeye harcayın.

Emeğinize sağlık. İnsanlar süreci değil, alışkanlığı savunur. Direnç oradan gelir.

Başka türlü yapan varsa onu da merak ederim.

Sonuna kadar katılıyorum. Herkesin yaptığı şey, doğru olduğu anlamına gelmiyor.

Kolay gelsin.

Kendi tecrübemi yazayım. Bunu tek başına yapmaya çalışmak en pahalı yol.

Not olarak bırakayım, lazım olur.

bende tam tersi oldu o yüzden yazıyorrum ve kararı geri almak ne kadar zorsa o kdr yavaş verin

envanter cikarmadan ainan onlem gormedigniiz kapiyi acik birakiyor bir de kendi durmuunuz farkliysa tabii degisir

kaydettim

konuyu toparlayayım, çünnkü birkaç farklı cevap verildi. bir konuda üç farklı cevap alıyorsanız soru yanlış sorulmuştur.

Doğru söylüyorsunuz. Sormaktan çekinmeyin sormayan hep daha pahalıya ödüyor.

Bu kadar, uzattıysam kusura bakmayın.

Kafamdaki soru işareti kalktı, teşekkürler.

Aynısını yaşadım.

Tam zamanında bir konu.

Uygulamada nasıl yapıldığını yazayım. açıkçası ölçmeden karar verince hep aynı yere geliyoruz.

Sonucu buraya yazarsanız başkalarına da faydası olur.