צוותי IT וצוותי אבטחה זקוקים לאוטומציה, לא לטיפול זוגי

יש מערך הולך וגדל של תהליכים עסקיים חיוניים שצוותי אבטחה ותפעול IT חולקים עליהם אחריות. למרבה הצער, היכולת שלהם להיות שותפות לעתים קרובות נופלת מהדרוש. סדרי עדיפויות סותרים, הבדלי תרבות ונקודות עיוורות בתהליך הובילו לחוסר יעילות מערכתית, לסיכון IT ולעיתים לחיכוכים בין שני הצוותים. בהתחשב בקבוצת האחריות המשותפת ההולכת וגדלה שלהם, הם לא יכולים להרשות לעצמם להצביע אצבעות, ובמקום זאת, צריכים לטפח שיתוף פעולה תוך שימוש בתהליך אוטומציה ליצור בסיס משותף.

חיכוך בין שני הצוותים נוצר מכיוון שהאבטחה אחראית על קביעת מדיניות לניהול סיכונים ועמידה במנדטים פנימיים וחיצוניים שונים. עם זאת, מכיוון שצוותי הפעלה של IT מנהלים באופן פעיל את אחוזת ה-IT, הם אלה שמיישמים את המדיניות הזו ולכן, בעקיפין, הם הבעלים של אכיפת המדיניות. זו הסיבה ששיתוף הפעולה הוא כל כך חיוני, במיוחד עבור מקרי שימוש מסובכים שמתפרשים על מספר ממגורות ארגוניות וערימות טכנולוגיות - מקרי שימוש כגון יציאה מאובטחת של עובדים, מוכנות לביקורת IT והתאימות, וניהול משתמש ומחזור חיים של SaaS.

יציאה מאובטחת היא תהליך עסקי קריטי שחוצה את ה-IT, האבטחה ומשאבי אנוש. זה גם אחד שנמצא במתח מתמיד ואינטנסיבי מאז החלה המגיפה. בהתחשב בפיטורים מתמשכים, תחלופת עובדים מוגברת ומדיניות דינמית לעבודה מרחוק, לא נראה שזה יירגע בקרוב. כל הגורמים הללו הפכו תהליכי יציאה מאובטחים לבשילים לאוטומציה, כדי לצמצם תקורה ידנית, שגיאות ופערי אבטחה - אפילו בחברות עם תהליכים מתוחכמים ו/או בוגרים.

בלוק, בעל מערכת התשלומים Square, למד זאת בדרך הקשה כשחווה הפרה שבה עובד לשעבר השתמש באישורי גישה פתוחים עדיין כדי לגנוב נתונים על מיליוני משתמשים. כשהיה מורגן סטנלי, שהסכים לשלם 60 מיליון דולר (PDF) ליישב תביעה משפטית הכרוכה בביטול לא תקין של ציוד מרכזי נתונים שהוביל לפריצת מידע גדולה. ואלה הן שתי דוגמאות מני רבות לאופן שבו תהליכי יציאה מהמטוס משפיעים על השורה התחתונה של חברה.

לדוגמה, אם IT ops מנהל תהליכי יציאה מהמטוס, הוא צריך לשתף פעולה עם האבטחה כדי לזהות את כל הבקרות שיש לאכוף כאשר עובד עוזב, אחרת נוצרות חשיפות אבטחה. אילו חשבונות, יישומים וגישה צריך לבטל את התצורה? מה צריך להשהות משפטית? אילו נתונים צריכים להישמר כדי לעמוד בצוות שמירת הנתונים? יתר על כן, ישנו אתגר הולך וגובר עם ניהול המשימות התפעוליות והיבטי האבטחה הקשורים להחזרה והקצאה מחדש של נכסים.

כיצד משתלבים ביקורת IT ותאימות

ביקורת IT ותאימות הוא תחום נוסף שמכיל מערך רחב של תהליכים משותפים שיכולים לכלול עשרות נקודות כשל. ביקורות IT מדויקות ויעילות דורשות היגיינה טובה סביב ניהול נכסים, המבוססת על מלאי עדכני של כל החומרה והתוכנה. גם אם לחברה כבר יש כלים לניהול נכסים, מדובר במשימה שבהינתן טביעת הרגל ה-IT המפוזרת ביותר של רוב החברות, היא מאתגרת יותר מתמיד לביצוע.

לדוגמה, נניח שצוות האבטחה אחראי על אכיפת מדיניות אבטחה חיונית לפיה CrowdStrike ו-Tanium חייבים להיות מותקנים, פעילים ומעודכנים בכל המחשבים הניידים המרוחקים. עם זאת, הם תלויים במערכות IT כדי לאכוף את המדיניות הזו מכיוון שהם הבעלים של פריסת יישומים וניהול תיקונים.

מפעילי IT עשויים להיות מודעים למדיניות אך ידיהם מלאות באחריות אחרת. כתוצאה מכך, הם לא מעניקים לו את אותה עדיפות. ומכיוון שבסופו של דבר צוותי אבטחה הם אלה שנועדו לתת מענה לאירועי אבטחה המתרחשים עקב אי ציות, ייתכן שהם לא מבינים מדוע האבטחה מתלוננת כאשר הם מתרוצצים לעזור להם.

ניהול תיקי SaaS

דוגמה אחרונה היא ניהול תיקי SaaS צומחים. יחידות עסקיות המשקיעות ב-SaaS נעות במהירות. לאחר הערכת אפשרויות, מתבצעת בחירה ומיושמת במהירות. ייתכן שמבצעי IT אפילו לא ידעו על זה. התוצאה של רכישה מבוזרת זו היא זאת בערך מחצית מיישומי SaaS נרכשים מחוץ לתחום ה-IT.

זה אמנם מקדם את העסק מהר יותר, אבל זה גם יוצר בעיות. כיצד הארגון חוזה חידושים במדויק, מוצא חוסר יעילות מבוזבז עם רישיונות שאינם בשימוש, ומזהה הזדמנויות איחוד לשילוב הסכמי ספקים שונים למינוף משא ומתן וחיסכון בעלויות?

יש גם הרבה שיקולי אבטחה. IT ואבטחה צריכים לשתף פעולה כדי לזהות אילו יישומים דורשים תאימות ל-SOC 2, לאחסן נתונים רגישים או PHI, או שיש להם מחזורי רענון מונעי תאימות. אבטחה ו-IT צריכים להבין זאת יחד ולאכוף את המדיניות המתאימה עבור תיק ה-SaaS כדי לוודא שהעסק מנהל את הסיכון שלו.

ברור שכאשר מדובר בפעולות אפקטיביות, פעולות IT ואבטחה כבר לא יכולות לפעול רק בנתיבים שלהם - תרצו או לא, העגלות שלהם רתומות. הצעד הראשון לשיפור הדינמיקה שלהם הוא התאמה אסטרטגית למה תהליך נתון צריך להיות ולמה. לאחר ביסוס זה, הם יכולים לעבוד יחד כדי ליצור ביחד ולהטמיע זרימות עבודה אוטומטיות המשרתות את המטרה ארוכת הטווח של שני הצוותים - בנפרד וביחד.

זהו נתיב ברור שאופציונליות IT ואבטחה יכולים ללכת כדי להתפתח מ"דייטים לא מאושרים" להתאמה משמיים - ו המיזם יהיה טוב יותר עבורו.

• הפצת תוכן ויחסי ציבור מופעל על ידי SEO. קבל הגברה היום.
• PlatoData.Network Vertical Generative Ai. העצים את עצמך. גישה כאן.
• PlatoAiStream. Web3 Intelligence. הידע מוגבר. גישה כאן.
• PlatoESG. רכב / רכבים חשמליים, פחמן, קלינטק, אנרגיה, סביבה, שמש, ניהול פסולת. גישה כאן.
• BlockOffsets. מודרניזציה של בעלות על קיזוז סביבתי. גישה כאן.
• מקור: https://www.darkreading.com/operations/it-ops-and-security-teams-need-automation