Veri Sorumlusu Ben Olmam!
Verilerin korunmasını sağlamak, birçok kişi için belirsiz bir sorumluluk alanıdır. Peki kimdir veri sorumlusu? “Güvenlik herkesin işi” gibi iyi niyetli yaklaşımlar aslında kimsenin işine yaramaz. Söz konusu işletmeler müşteriler için mi yoksa yalnızca dahili kullanım için veri koruma amaçlı yazılım geliştirir, farklı endüstrilerde edinilen deneyim bu durumu doğrular.
Nihayetinde veri güvenliğinden kimin sorumlu olduğu konusunda ciddi kafa karışıklığı mevcuttur.
Sonuç olarak veri güvenliği ve yönetimi tereddütler arasında çok sıkça Teknoloji Başkanı(CTO), Bilişim Kurulu Başkanı(CIO), hatta Bilgi Güvenliği Başkanı(CISO)’nca yürütülür. Bu ikilemin bir cevabı var: veri koruma sorumluluğunu birlikte değerlendirmek, verileri barındıran uygulamaların geliştirme ekiplerini ve uygulama sahiplerini güçlendirmek.
Bu güçlendirme, örgütsel barikatları kaldırmayı ve uygun teknolojiyi kullanmayı içerir. Bu konuda güçlendirme sadece sağlam temelli verilere yol açmayacak, güvenlik ve uyumun yanı sıra, yenilik ve rekabetçilik fırsatları yaratacaktır.
Veri Sorumlusu Kim Olmalı?
1.Çoğu kuruluş, verilerin korunması çabalarını engelleyen teknik ve operasyonel eksikliklerden muzdariptir. Bu durumu ele almak için veri güvenliği ve uygulama sorumluluğu, verileri kullanan uygulamalara sahip olanlara ait olmalıdır. (KVKK-Bir tüzel kişinin (örneğin şirket) bir “veri sorumlusu” belirlemesi gibi bir durum söz konusu değildir. Zira tüzel kişilikte veri sorumlusu, tüzel kişiliğin bizzat kendisidir.)
2.Kuruluşlar, uygulama sahiplerini ve bunları destekleyen güvenlik ekiplerini, güvenliği ve uyumluluğu aynı anda hızla dahil edebilmelerini sağlayacak çözümlerle güçlendirmelidir. En önemlisi, günümüzün giderek sanallaştırılan bilgi işlem ortamlarının doğası göz önüne alındığında, bu, kaynak kod güvenliği yoluyla gerçekleştirilmelidir.
3.Bu yaklaşım kurumsal değeri oluşturur, çünkü kuruluşu yalnızca veri ihlallerinden ve uyum hatalarından korumakla kalmaz, aynı zamanda birçok fonksiyondaki personelin yenilikçiliğini ve rekabet gücünü artırmasını sağlar.
Bir şirkete hangi rolün veya ekibin veri koruma veya veri güvenliğini sağlamaktan sorumlu olduğunu sorun ve genellikle net bir cevap veremezler.
- Ancak Birçok Kuruluşun Bundan Haberi Yok
Veri Sorumlusu veya resmi olarak atanmış veri koruma görevlileri olsa bile, sorumluluk genellikle iş birimleri, veri bilimcileri, iş analistlerinden gelen girdilerle CTO, CIO, risk veya uyumluluk ekibi ve CISO kapsamındaki çeşitli işlevlere dağıtılır. Bu senaryo, verimli ve işbirlikçi bir süreci teşvik etmek yerine, genellikle belirsiz ve verimsiz bir karmaşaya neden olur.
Yazılım satan bir şirket için bu durum şu şekilde özetlenebilir: CTO şirketi ve fikri mülkiyet fikrini daha değerli kılan yazılımlar ister, ürün ve pazarlama ekipleri daha iyi ve daha ucuz uygulamalar ister, CISO ürün istiyorsa daha güvenli olmak durumundadır vb.
Yazılım Geliştirme Bu İşin Neresinde?
Uygulama(applikasyon) sahipleri ve onlarla çalışan geliştiriciler genellikle ortada buluşur, şirketin gelişmesi için son derece işlevsel uygulamalar oluşturmaya ve yönetmeye çalışırken farklı yönlere kayarlar. Bu ortamda, veri güvenliği – hem güvenlik hem de yönetişim unsurları dahil – kolayca kenara itilebilir.
Aynı durum diğer büyük şirketlerde de geçerli. Öncelikli işi yazılım geliştirme olmasa bile, hemen hemen her işletme, mantık ve inovasyon yoluyla süreçleri iyileştirmek için uygulamalar kullanır, yani bir nevi yazılım işi yapar.
Örnekler artırılabilir: Sigorta şirketleri, poliçe sahiplerinin hareket halindeyken hak talebinde bulunabilmeleri ve expertlerin alandaki hasar raporlarını doldurabilmeleri için mobil uygulamalar geliştirmektedir. Büyük perakendeciler ve nakliye şirketleri tedarik zincirini yönetmek için muazzam lojistik programlar yazıyor.
Firmalar Neden Kendi Yazılımlarını Geliştiriyor?
Birçok şirket, finansal işlem yapmak ve tahmin yapmak için kendi yazılımlarını oluşturuyor. Ve hemen hemen her kurumsal görev, çeşitli kurumsal işlevler için büyük üçüncü taraf paketleri uygulayan diğer uygulama sahiplerini barındırır.
Bu kuruluşların tümü, kurumsal uygulamalarına giren ve çıkan verilere büyük ölçüde güvenmektedir. İyi haber, bu uygulamaların veri akışı için köprü olarak işlev görmesi, verimlilik açısından gerçek faydalar sağlaması ve gerçekten de günümüzün yüksek hızlı iş ortamında değer yaratma için bir temel oluşturmasıdır.
Kuruluşların% 53’ü, gerçekten ihtiyaç duyup duymadıklarına bakılmaksızın, özel nitelikli veriler olan 1.000 veya daha fazla dosyayı tüm erişilebilir kılıyor.
Bununla birlikte, bu faydalar da önemli risklerle birlikte gelir. Bu tür uygulamalar veri almak, çeşitli şekillerde işlemek veya saklamak ve sonra geri vermek için vardır.
Şimdi bunu her zamankinden daha fazla, doğru kimlik bilgilerine sahip herhangi bir kullanıcı için, her yerden, her zaman, her türlü veri ile yapabilirler. Şaşırtıcı bir şekilde, kuruluşların % 53’ü, hassas verilere sahip 1.000 veya daha fazla dosyayı, tüm çalışanlara erişilebilir kılıyor.
Çok fazla insana bu kadar fazla veriye erişim vermek, potansiyel veri tehlikeleri yaratır, çünkü son on yıllık kurumsal veri ihlallerine ilişkin global başlıklara göz atmak bile yeterlidir.
Özel Nitelikli Kişisel Veriler ve Veri Sorumlusu
Elbette özel nitelikli verileri korumak için birçok adım atılmıştır. Şirketler, güvenlik duvarlarından veri kaybı önleme (DLP) sistemlerine, uç nokta güvenlik yazılımlarına ve aralarındaki her şeye kadar çeşitli teknolojilere yönelmiştir.
Güvenlik ekipleri son kullanıcılara güçlü parolalar seçmelerini ve bunları sık sık değiştirmelerini hatırlatır. Birçok şirket çalışanlarına verileri güvende tutmanın herkesin işi olduğunu anlatıyor. Kimlik ve Erişim Yönetimi (IAM) disiplini tüm uygulamalar için standart hale geldi.
Ancak, kimlik bilgileri doğrulanmış bir kullanıcının veri erişimini nasıl kontrol ediyorsunuz?
Ve yine veri sorumlusu ve veri işleyenlerin kim olduğu sorulduğunda birçok şirketin açık bir cevabı yoktur.
Görevler küçük parçalara ayrıldı, yani tek bir ekip sorumlu tutulmadı. Görevi yerine getirmek için gerçek sorumluluk verilmedi, ve bu ekip yada kişiler güçlendirilmedi.
Sonuç?
Öksüz ve yetim “veri güvenliği”
Verilerin korunması genellikle bu şekilde başarısız olur, çünkü doğal olarak işlevler arası bir sorundur. Daha önce de belirtildiği gibi, organizasyon farklı önceliklere odaklanmıştır ve haklı olarak öylede devam eder.
Sonuçta Verilerin Korunması Kimin Sorunu?
Yazılım satmakla meşgul olan iş birimleri ve pazarlamacılar ya da yazılımı kullanmakla meşgul olan son kullanıcılar, yazılımın tasarımındaki temel veri güvenliği sorunlarını çözemez. Ürün tasarımcıları yazılımın işlevselliğini ortaya koyabilirler, ancak çoğunlukla yazılımın nasıl etkileşime girdiğine ilişkin kod düzeyi özellikleri hakkında sınırlı bilgi sahibi olurlar.
Veri analistleri, veri mühendisleri, veri bilimcileri, yazılım yöneticileri bile uygulamanın nasıl çalışması gerektiği konusunda kendi fikirleri vardır, ancak bunlar genellikle veri güvenliğini uygulayanlar değildir. Uyum uzmanları, verilerin nasıl işlenmesi gerektiğini belirleyebilirler, ancak yine de yazılımın içinde neler olduğuna dair çok az girdi vardır.
CISO’lar bile, belirli bir yazılımda kaputun altında neler olduğunu gerçekten bilmediklerini – ne kadar veri kullandığını veya verilerin tam olarak nasıl gelip gittiğini bilmediklerini itiraf edecektir.
Veri Güvenliği : Teknik mi Yoksa Ticari Kaygı mı?
Ancak bir rol, bu sorunu çözmek için iyi bir konumdadır: uygulama sahipleri. Çoğu zaman kurumsal mimar veya çözüm mimarı gibi unvanları taşıyan bu profesyonellerin, ister bir satıcıdan satın alın isterse yerleşik bir uygulama olsun, bir uygulamanın uygulanmasının doğal bir parçası olarak veri işlemenin çapraz fonksiyonel doğasıyla uğraşmaktan başka seçeneği yoktur.
Teknik ve ticari kaygıların kesiştiği noktada konumlandıkları için, kuruluştaki farklı grupların rekabet eden çıkarları arasındaki dengeyi yönetenlerdir. Hem dahili hem de harici müşteriler için yazılım sağlarlar.
Kaçınılmaz olarak, risk azaltma ile değer sunumunu dengelemeleri de gerekir iş için. Bir uygulamadaki verilerin korunmasını nasıl ele aldıkları ve onlarla birlikte çalışan geliştiriciler, uygulamanın ve verilerinin ne kadar güvenli olduğunu, uygulamanın veri düzenlemelerine uyumu ne kadar iyi teşvik ettiğini ve uygulamanın kuruluş için ne kadar değer yarattığını belirler.
Uygulama sahipleri, verilerin kurumsal uygulamalarda gerçekte nasıl işlendiğinden sorumlu olduğu için, şirketler bunları güçlendirmelidir, özellikle veri koruma söz konusu olduğunda.
Elbette, uygulama sahipleri verilerin korunması konusunda menfaati olan diğer iş işlevlerinden rehberlik almalıdır. Ancak güçlü veri güvenliği uygulamak nihayetinde uygulama sahiplerine düşer.
Kaynak Kod ve Veri Güvenliği Sorumlusu
Az önce verilen nedenlerden dolayı, güvenlik boşluğunun uygulamanın kendisinde bulunan verilerin korunması ile köprülenmesi gerekir.
Soruna uygulama düzeyinde herhangi bir çözüm, aşağıdakiler dahil en az üç öğe gerektirir:
Az önce verilen nedenlerden dolayı, güvenlik boşluğunun uygulamanın kendisinde bulunan verilerin korunması ile köprülenmesi gerekir.
Soruna uygulama düzeyinde herhangi bir çözüm, aşağıdakiler dahil en az üç öğe gerektirir:
- Son kullanıcıdan veritabanına kadar belirli bir eylem için verilere neler olduğunu anlayabilen uygulama düzeyinde mantığın yerleştirilmiş olması.
- Öngörülen sınırların dışında kalan kullanımı kısıtlayabilmelidir; bu, yalnızca geniş politikalar kullanarak değil, her rol ve kullanıcı başına yapılmalıdır.
- Bir sorun oluştuğunda düzeltmeyi gerçekleştirmek için gerekli mantığı içermelidir.
Sanal Ortamlar ve Bulut Teknolojisi
İşletmelerin bugün kullandıkları sanallaştırılmış ortamlarda kod düzeyinde güvenlik, gittikçe artan önemde daha önemlidir işletmelerin bugün kullandıkları sanallaştırılmış ortamlar.
Geleneksel güvenlik önlemleri şirket içi ortamları savunmak için oldukça rafine edilmiş olsa da, belirli bir BT öğesi buluta taşındıktan sonra birçoğu neredeyse alakalı veya etkili değildir.
Bir şirket bilgi işlem görevlerini kendi güvenlik çevresinin(perimeter) dışına kaydırdıkça, güvenlik duvarları ve proxy’ler gibi geleneksel ağ güvenliği araçlarına daha az güvenebilir.
Bulut tabanlı teknolojilerin yarattığı maliyet ve performansın aşırı avantajları göz önüne alındığında, sanallaştırmaya doğru hareket sadece ileride daha belirgin hale gelecek. Giderek, güvenliği yerleştirmek için kod düzeyinin dışında başka bir yer olmayacaktır.
Veri Sorumlusu Bulutta Güvende Olmayı Nasıl Sağlayacak?
Bu eğilim, örneğin, sunucusuz bilgi işlemin artan popülaritesinde zaten görülebilir. Özetle, bulutta güvende olmak için bir kuruluşun kodunu güvence altına alması gerekir.
Ne yazık ki, bu evrim çoğu zaman sadece zor işlerinin temel görevlerini yerine getirmek için kendilerini belirli teknolojilere ve satıcılara kilitli bulan güvenlik ekiplerinin mevcut uygulamalarından söz eder.
Kuruluşu korumaya çalışırken, bu durumda güvenlik uzmanları bazen farkında olmadan “iş önleme ekipleri” ne dönüşebilirler. Yeni teknolojileri benimsemeye çalışan geliştiriciler üzerindeki geleneksel kısıtlamaları zorladıkları için hem belirli uygulamaları hem de daha geniş iş süreçlerini yavaşlatır.
Çoğu durumda, kuruluşlar belirli iş işlevlerini yeni ekipmanlara, yazılımın yeni sürümlerine veya bulutun kendilerine taşımaktan yararlanamazlar çünkü şirketin siber güvenlik duruşu, eski BT ortamının özel yapılandırmasına bu kadar sıkı bir şekilde bağlıdır.
BT ve Güvenlik Yöneticilerinin % 44’ü bulutun getirdiği karmaşıklıkların veri güvenliğini artırmanın önündeki en büyük engel olduğuna inanıyor.
İhlaller ve Para Cezaları
Güvenlik ekiplerinin ve bazen de uyum ekiplerinin, verileri rekabet edebilirliği ve büyümeyi destekleyen kilit bir varlıktan ziyade bir yükümlülük – ihlaller ve düzenleyici para cezaları için olgun bir alan – olarak görmeleri şaşırtıcı değildir.
Bu bağlamda, kod güvenliği, uygulama sahiplerinin ve geliştiricilerinin güvenlik gereksinimlerini karşıladığı aynı zamanda daha iyi çalışmasını sağlayacak şekilde benimsenmelidir.
Veri sorumlusu geliştiriciler mi?
Her türden işletme için dahili olarak geliştirilen yazılımın merkeziliği göz önüne alındığında, uygulama sahiplerine ve geliştiricilerine veri korumasını geliştirirken iş değeri sağlayan güçlü, verimli uygulamalar oluşturmak için ihtiyaç duydukları şeyleri vermek önemlidir.
Kaynak kod güvenliği söz konusu olduğunda, uygulama sahipleriyle çalışan geliştiricilere, güvenlik işlevselliği oluşturmaları gerektiğini söylemek verimsiz olur.
İyi yazılım mühendisleri güvenliğin önemine saygı gösterir, ancak genellikle güvenlik önlemlerini gerekli bir kötülük olarak görürler; çoğunlukla, onlar üzerinde çalışmaktan hoşlanmazlar.
Kural olarak, yeni özellikler eklemek ve performansı iyileştirmekle çok daha fazla ilgilenirler. Bir uygulamanın işlevselliği ve performansının işletme değerine ne kadar merkezi olduğu düşünüldüğünde, işletme bu odaktan yararlanır. Bu nedenle geliştirme ekipleri, güvenlikteki önemli boşluğu gidermelerini sağlayan teknolojiyi kullanmalıdır.
Aksi takdirde, bu işlevleri sıfırdan kodlamak için önemli çaba sarf etmeleri ve bunları iyice test etmek için daha fazla çaba göstermeleri gerekecektir.
Bu, uygulama sahibi ve ekibi için kötü bir zaman ve enerji yatırımı anlamına gelir.
Sorunun Çözümü?
Bu sorunun çözümü, uygulamanın mevcut koduyla hemen entegre olan dış kaynaklı veri koruma teknolojisini kullanmaktır. Bu kavram, uygulamalarındaki temel işlevleri ele almak için düzenli olarak iyi denetlenmiş üçüncü taraf kod kitaplıklarına dönüşen geliştiriciler için zaten oldukça tanıdıktır. Veri güvenliği ayarında şirketler, kullanıcı kimlik doğrulamasını işlemek için Okta veya Active Directory gibi bir üçüncü taraf aracı uyguladıklarında benzer bir şey yaparlar.
Başka bir mühendislik bağlamından uygun bir benzetme almak için, otomobil üreticilerinin emniyet kemerleri, kilitlenmeyen frenler ve hava yastıkları gibi güvenlik odaklı parçalar için üçüncü taraflardan nasıl yararlandığını düşünün.
Otomobil üreticileri, bu teknolojileri sıfırdan yeniden tasarlama çabasını boşa harcamak yerine, dikkatini araba gövdeleri ve motorlar için yüksek değerli yeni tasarımlara odaklayarak, çoğu güvenlik ekipmanını özel satıcıların uzmanlığına makul bir şekilde bırakıyor.
Kimlik ve erişim Yönetimi(IAM)
Bu yaklaşım, paradan tasarruf etmenin yanı sıra, yolcuların güvenliğini de artırıyor ve aynı zamanda otomobil üreticilerinin güvenlik düzenlemeleriyle uyumlu kalmasını sağlıyor.
Benzer şekilde, uygulama sahipleri ve geliştiriciler, veri koruma boşluğunu kapatma işlemini tamamlamak için standart bir dış kaynaklı hizmete başvurmalıdır.
Bunun kimlik ve erişim yönetimi( IAM)’nin ötesine geçtiğine dikkat etmek önemlidir. Bir kullanıcının ağa girdiğinde veya bir uygulamada oturum açtığında kimliğini doğrulamak yeterli değildir; ayrıca, ayrı sütunlar ve veri hücreleri düzeyine kadar nelere erişebileceklerini kontrol etmenin bir yolu olmalıdır.
Bu nedenle, bu hizmetin kullanıcı düzeyinde iki temel veri erişimi yönünü ele alması gerekir:
Yetki
Kimlik bilgileri verilen bir kullanıcının kimliği doğrulandıktan sonra (örneğin Okta aracılığıyla), ne yapmasına izin verilir?
Hangi veri alanlarına erişebilirler? Belirli bir zaman aralığında kaç kayda erişebilmeli veya indirebilmelidir?
Takip
Her son kullanıcı için, uygulama içinde yaptıklarına dair ayrıntılı bir günlük var mı?
İlk nokta, ağ seviyesi ile veritabanı sunucusu arasındaki boşlukta veri güvenliğini sağlamak için kritik öneme sahiptir.
İkinci nokta, hem güvenlik adli tıp hem de GDPR ve KVKK gibi günümüzün daha katı veri standartlarına uyum için hayati önem taşımaktadır.
Kısacası, bu yaklaşım, uygulama sahiplerine ve geliştiricilerine, standart bir şekilde ve minimum ek çaba ile aynı anda daha iyi veri güvenliği ve uyumluluğu uygulamalarını sağlayarak hayatı kolaylaştırır.
Hizmet Alımı Şeklinde Kaynak Kod Veri Güvenliğinin Faydaları
Burada açıklanan yaklaşım, onu benimseyen herhangi bir işletme için açık avantajlar yaratır.
İlk olarak, bu makalenin başlığında yakalanan sorunu çözer. Bu yöntem, herkesin işi diyerek veri korumasının uygulanmasının şansa bırakılmasına izin vermek yerine, geliştirme ekipleri tarafından desteklenen uygulama sahipleriyle merkezileştirir, böylece tüm kuruluş verilerin korunması faaliyetinin sürdüğünden emin olabilir. Süreç etkin bir şekilde ele alınır.
Hem güvenlik hem de uyumluluk fonksiyonları. Güvenlik özellikle yakalanarak geliştirilir taciz veya ihlaller gerçek zamanlı olarak tespit edilir ve teşhis ve uygulama amacıyla izlenir. Veri akışını düzenleyen kural setleri kolayca uygulanır ve kötü trafik ayrıntılı bir şekilde izole edilebilir.
Bu arada, güvenlik ekibi, görevlerini hızlı ve verimli bir şekilde yerine getirmelerine yardımcı olan yeni bir araca sahip olmalarını ister.
Aynı zamanda, bu yaklaşım güvenliğin uygulama sahiplerinin ve geliştirme ekiplerinin verimliliğini engelleyen bir darboğaz gibi davranmasını engeller.
Bunun ötesinde, güvenli, uyumlu ve verimli uygulamalar işletmenin tüm yönlerine yarar sağlar; bu yaklaşım, CTO’nun, ürün ve pazarlama ekiplerinin ve veri analistleri ve veri bilimcileri gibi sık sık bir uygulama başlatıldıktan sonra verileri izlemek ve yönetmekle görevli olan yoğun veri kullanıcılarının endişelerini giderir.
Ayrıca, uygulama sahibinin tüm kuruluş için daha iyi değer sunabilmesi için diğer kritik teknik ve operasyonel sürtünme noktalarını da ortadan kaldırır.
Bu tür veri koruması üçüncü taraf bir hizmet olarak sağlandığından, geliştiricilerin dışarıdan uzmanlar tarafından oluşturulan bilgilerden yararlanılarak daha akıllı ve daha hızlı çalışmalarına olanak tanır – tıpkı uygulamalar oluşturmak için kod kütüphanelerinde veya üçüncü taraflarda olduğu gibi güvenlik ekipmanları arabalarda yüklü.
Uygulama Sahipleri ve Geliştiriciler Ne Düşünüyor?
Uygulama sahipleri ve geliştiriciler böylece her uygulamanın ne yaptığını daha iyi kontrol edebilirler, ancak sıfırdan yeni kod alanları oluşturmaya gerek kalmadan.
Bu yaklaşım aynı zamanda geliştiricileri en çok sevdikleri şeyleri yaptıkları için mutlu ve motive eder: özellik ekleme ve performansı artırma.
Bu onların yeteneklerini daha iyi kullanmalarını sağlayacak, daha uzun süre çalışacaklar ve organizasyona yetenekli arkadaşları için çalışacakları bir yer olarak önereceklerdir.
Son olarak, bu yaklaşım bir işletmenin geleceği için de faydalıdır.
Bahsedilen avantajların yanı sıra, organizasyona izin verir.
Verileri bir borçtan ziyade bir varlık olarak ele almak – iş büyümesini teşvik etmek için yeni bir değer kaynağı.
Uygulamadan başlayarak birçok fonksiyonda personeli serbest bırakır. Sahiplerine ve geliştiricilere yeniliklere daha fazla önem vermek, böylece pazara daha hızlı bir şekilde yeni fikirler ve yeni teklifler getirebilmelerini sağlar
Bütün bunlar sadece işletmenin rekabet gücünü artırır – gerçekten herkesin işi olan bir şey.
KVKK kapsamında şirket içerisinde tuttuğunuz verileri denetim altına almak ve yasal sürece uyum sağlamak için Lundo Data hizmetlerinden faydalanabilirsiniz.
