பூஜ்ஜியத்தில் இருந்து பாதுகாப்பு திட்டத்தை உருவாக்குதல்

ஒரு நிறுவனத்தில் முதல் பாதுகாப்பு நபராக நியமிக்கப்படுவது ஒரு குறிப்பிட்ட வகையான குழப்பம். சிக்கல்கள் இல்லை, நிறுவப்பட்ட கருவிகள் இல்லை, பொதுவாக உங்களுக்காக காத்திருக்கும் பட்ஜெட் வரி இல்லை. பின்வருவது முதல் 90-180 நாட்களில் பொதுவாக நிகழ்வதற்கான ஒரு கச்சா வரைபடம் மற்றும் எது உண்மையில் ফলাফலை நகர்த்துகிறது மற்றும் எது உৎபাদனশীলமாகத் தோன்றுகிறது என்பது.

"எதுவும் இல்லை" பொதுவாக என்ன அর்థம்

ஒரு நிறுவனத்திற்கு பாதுகாப்பு செயல்பாடு இல்லை என்று மக்கள் கூறும்போது, அவர்கள் பூஜ்ஜிய கட்டுப்பாடுகளைக் குறிப்பிடுவதில்லை. அவர்கள் தனிப்பட்ட உரிமையாளர் இல்லை என்று அর்థம். ইঞ்சினியரிங் சில அடிப்படை AWS IAM கொள்கைகளை இயக்கியிருக்கலாம், IT ஒரு MDM கருவி மூலம் சில অ্যান্টிভைரஸ் வழங்கியிருக்கலாம், மற்றும் நிதியில் உள்ளவர் SOC 2 பற்றி கருத்துக்கள் உள்ளன ஏனெனில் ஒரு வாடிக்கையாளர் கேட்டார். உங்கள் முதல் வேலை இনভেண்டரி, বাস்தবாக்கல் அல்ல. ஒரு கொள்கை கூட எழுதுவதற்கு முன், ஏற்கனவே இயங்கும் பொருட்களைக் கண்டறியவும்: கிளவுட் অ্যাকাউண்டுகள் (மற்றும் எத்தனை உருவாக்கியது என்பது யாரும் நினைவில் வைத்திருக்கவில்லை), மூல குறியீடுக்கான நிர்வாகக் குறிப்பை கொண்ட SaaS கருவிகள், மற்றும் ஊழியர் অফ்பண்டிங்கிற்கு ஒரு உண்மைகளின் ஒற்றை மூல உள்ளதா. ஒரு ஸ்প்रेडশீட் சரியாக உள்ளது. ஒரு GRC தளம் இன்னும் முன்னுரிமை அல்ல.

முதல் 30 நாட்கள்: கட்டுப்பாட்டের மீது பார்வை

सप्ताह ஒன்றில் ஏற்றுக்கொள்ளக்கூடிய பயன்பாட்டு கொள்கை எழுத வேண்டும் என்ற எண்ணம் வேண்டாம். யாரும் அதை படிக்க மாட்டார்கள் மற்றும் இது உண்மையான ঝுக்கிமை நிறுத்தாது. பதிலாக, மூன்று விஷயங்களில் பார்வை பெறுங்கள்:

• அடையாளம்: உங்கள் அடையாளம் வழங்குநரிடமிருந்து ஒரு முழு பயனர் பட்டியல் பிரதান (Okta, Google Workspace, Azure AD) மற்றும் HR இன் செயல்பாட்டுள்ள ஊழியர் பட்டியலுக்கு எதிராக குறுக்கு-குறிப்பு. நீங்கள்幽령 खाते கண்டுபிடிப்பீர்கள்.
• கிளவுட் உপস்थिति: aws organizations list-accounts போன்ற ஒன்றை চালயுங்கள் AWS இல் இருந்தால், அல்லது GCP இன் সম்பத்তി பட்டியல் சரிபார்க்கவும், எத்தனை சூழ்நிலைகள் உள்ளன என்பதைப் பார்க்க மற்றும் எத்தனை மூடன் நினைவு இருந்து பெயர் கூற முடியும்.
• குறியீடு மற்றும் ரகசியங்கள் வெளிப்பாடு: gitleaks detect அல்லது trufflehog filesystem . உங்கள் முக்கிய repos க்கு எதிராக இயக்கவும். இரண்டு வருடங்களுக்கு முன்பு commit வரலாறு ஒரு குறியீட்ட API விசை கண்டுபிடிப்பது প্রায் உத்தரவாদि மற்றும் இது மதிப்பு प्रदर्शित করার জন்য ஒரு விரைவான வழி.

விளக்கங்களை নথিப்படுத்தவும், ஆனால் இதை யாரும் திறக்காத 40-பக்க அறிக்கையாக மாற்ற வேண்டாம். ஒரு ஒரு-পக்க ঝுக்கி சுருக்கம் ஐந்து புல்லட் புள்ளிகளுடன் ஒரு CTO மூலம் படிக்கப்படுகிறது. ஒரு நீண்ட PDF மாட்டார்கள்.

உங்கள் முதல் மூன்று கட்டுப்பாடுகளைத் தேர்ந்தெடுப்பது

No headcount மற்றும் கருவி பட்ஜெட் இல்லாமல், நீங்கள் ஒரே நேரத்தில் எல்லாவற்றையும் செய்ய முடியாது. செயல்பாடுகளின் வரிசை விவ்வகம் வேலை கட்டுங்கள்:

1. MFA எல்லா இடங்களிலும் அது ஏற்கனவே இல்லை, அடையாளம் வழங்குநரில் தொடங்கி, பின்னர் GitHub/GitLab, பின்னர் மேக కன்சோல்கள். இந்த ஒற்றை மதிப்புக்கு மிக பொதுவான கணக்கு-கடன்பற்றா பாதை மூடப்படுகிறது.
2. மேக மற்றும் प्रमाण ईवेंट்स के लिए केंद्रीकृत लॉगिंग. यहां तक ​​कि एक SIEM-समीप उपकरण का मुफ्त स्तर, या बस CloudTrail / GCP ऑडिट लॉग को एक बाल्टी में शिपिंग स्थानांतरण बनाए रखने के साथ, कुछ भी नहीं करने से बेहतर जब एक घटना होती है.
3. एक लिखित, संक्षिप्त घटना प्रतिक्रिया योजना, भले ही यह दो पृष्ठ हो: कौन पृष्ठ किया जाता है, कौन ग्राहकों से बात करता है, जिसके पास कुछ बंद करने का अधिकार है। कोई भी इसे बनाने के लिए याद नहीं करता जब तक उन्हें इसकी जरूरत न हो, और तब तक बहुत देर हो गई है।

ध्यान दें कि इनमें से कोई भी बड़े विक्रेता अनुबंध की आवश्यकता नहीं है। उन्हें निर्णय और अनुवर्ती की आवश्यकता है।

गुप्त कार्ड के बिना खरीद पक्ष प्राप्त करना

भ्रंश का एकल तेजी से तरीका पहली बार सुरक्षा नियुक्ति के रूप में credibility खोना करने के लिए ऐसी बात करने के लिए है किसी भी परिणाम दिखाने से पहले उपकरण wishlist साथ ऊपर दिखाना। बजाय, हर प्रश्न को कुछ ठोस करने के लिए संबंध: "हमने तीन IAM उपयोगकर्ता unrotated accesses कुंजी 2021 से" "हमें एक CSPM उपकरण की जरूरत है।" उपस्थित अनुरोध लिए infringe और वित्त पहले से ही की देखभाल: reduced विस्फोट त्रिज्या, तेजी से audits, कम 2 एक मीटर पृष्ठों। यदि कंपनी SOC 2 या ISO 27001 पीछे हट रही है, तो उस compliance समय सीमा को अक्सर संसाधनों को प्राप्त करने के लिए आपके सर्वोत्तम leverage बिंदु है, भले ही अनुपालन स्वयं लक्ष्य नहीं है।

पहले साल में सामान्य गलतियां

एक महंगे मंच खरीदना (SIEM, EDR, CSPM) इससे पहले कि आप वास्तव में इसे संचालित करने की प्रक्रिया या headcount है पहले बजेट का सबसे सामान्य अपव्यय है। एक $50k उपकरण कोई पढ़ाई उत्पन्न नहीं करता है शोर, पहचान नहीं। इसी तरह, एक टेम्पलेट से नकल कीई लिखना कि कंपनी वास्तव में कैसे काम करती है उन्हें पहली बार कोई अपवाद की जरूरत है को अनदेखा करने के लिए गारंटी देता है। और सोलो पहली छह महीने के बाद सब कुछ सोचना करने का प्रयास एक burnout पथ है; एक पल जहां है traction, अगले नियुक्ति आमतौर पर कोई होना चाहिए जो पहचान और प्रतिक्रिया मालिक हो सकता है ताकि आप program संरचना बनाए रखें।

शून्य से सुरक्षा ज्यादातर अनुक्रमिंग के बारे में है: देखें कि क्या मौजूद है, सबसे तेजतर अंतराल बंद करें, पर्याप्त प्रक्रिया बनाएं कि निर्णय आपकी मेमोरी पर निर्भर न हों, और वहां से विस्तार करें।

यदि इस प्रकार की जमीन-स्तर कार्यक्रम निर्माण आपको रुचि देता है, तो Korra Studio में घटना प्रतिक्रिया fundamentals और कक्ष सुरक्षा मुद्रा पर संबंधित खंड हैं जो इस के साथ अच्छी तरह से जोड़े।