Clarke Rodgers:
Bu çok, çok ilginç. Güvenlik programını AWS'de siz başlattınız. Yani AWS'yi baştan sona biliyorsunuz. Onun nasıl güvence altına alınacağını, ona karşı olan tehditleri, risk iştahını vb. her şeyi. CSO rolüne geçmenizden sonra, amazon.com veya kurum içi mağazalar dediğimiz Whole Foods, Prime Video, MGM, Twitch ve tüm bu farklı kuruluşlar hakkında bilgi edinmeniz gerekiyor.
İlk olarak, bu işletmelerin her biri için güvenlik profilini ve risk iştahını nasıl öğrendiniz ve sonra hepsini nasıl bir araya getirdiniz? Ortak çatı altında, tek pencereden, Whole Foods için belirlenen risk profilinin AWS için de uygun olduğuna kanaat getirdiniz mi? Tüm bunları nasıl çözdünüz?
Steve Schmidt:
Her şeyden önce, işimde en sevdiğim şeylerden biri işletmelerin çeşitliliği. İnsanlar diyor ki 16 yıldır aynı pozisyondasın. Bu, güvenlik sektöründeki biri için gerçekten alışılmadık bir durum. Peki, neden? Bunun nedeni, bu şirketteki iş çeşitliliği. Öğrenmeye devam etmek için bir fırsat bu ve ben buna bayılıyorum.
O kadar genç değilim. Diyorlar ki, ne kadar daha çalışmaya devam edeceksin? Emekli olacak mısın, falan? Ben de diyorum ki benim keyfim yerinde. Emekli olmak istemiyorum. İşim gerçekten çok eğlenceli. Çünkü dünyanın en büyük bulut sağlayıcısını oluşturmaktan uzaya uydu göndermeye ve marketleri işletmeye geçiyorsunuz. Oradaki çeşitlilik, iş açısından inanılmaz zorluk yaratıyor ancak aynı zamanda işleyişi daha ucuz hale getirmek için şirketin ölçeğinden yararlanmak açısından ilginç bir fırsat.
İşleyen güvenlik kuruluşlarına baktığınızda ucuz olmadıklarını görürsünüz. Ancak bunu Amazon'unki kadar büyük bir işletmeye ölçeklendirebildiğinizde bu, birim maliyetin düşebileceği anlamına gelir.
Clarke Rodgers:
Kesinlikle.
Steve Schmidt:
Böylece her işletme diğer işletmelerin ölçeğinden yararlanır. Bir market için, uydu işletmesinin kullandığı güvenlikten yararlanabileceğiniz yollar bulmak mesele, ki birçok alanda bunu yapabiliyorlar, örneğin güvenlik açığı yönetiminde. İster uydu yapıyor olun isterse market işletiyor olun, bir bilgisayar sistemine bağlı olup olmamak temelde hemen hemen aynı şeydir.
Bu da bağımsız bir işletmenin gerçekten göze alamayacağı bir düzeyde işler yapmamıza ve herkes için çıtayı yükseltmemize izin veriyor. Buradaki işimin bir parçası da bu. İster güvenlik açığı yönetimi, ister olay müdahalesi veya tipik bir güvenlik organizasyonuna giren diğer bileşenlerden herhangi biri için olsun, şirket genelinde standartlaştırılmış bir çıtamız olduğundan emin olmak.
Ardından, benzersiz durumları nedeniyle belirli işletmeler için uygulanması gereken ısmarlama bileşenlerin neler olduğunu bulmak. Bu şekilde herkese uyacak tek bir kalıp uygulamaya çalışmayız çünkü bu maliyetleri artırmaktan başka bir şey yapmaz. Örneğin bir markete bakarsanız oradaki bir birimin kaybı nispeten önemsiz bir değerdeyken bir uydunun kaybı tam tersidir.
Clarke Rodgers:
Kesinlikle.
Steve Schmidt:
Yani, güvenlik durumunu bileşenler için tek tek uyarlamamız gerekiyor.
Clarke Rodgers:
Peki... Baştan alayım. Bu diğer işletmelerin her biri için güvenlik programlarını yürüten, bilgi güvenliğinden sorumlu direktörleriniz var. Güvenlik işlerini yürütmeleri konusunda onları nasıl sorumlu tutuyorsunuz?
Steve Schmidt:
Amazon'un şirket genelinde çok odaklandığı şeylerden biri, tek iş parçacığından sorumlu olma fikridir. Yani işi, bir şeyin sadece bir bileşenine odaklanmak olan biri. Güvenlik konusunda da bu yüzden her bir işletme için bir CISO'muz var. Bunun iki nedeni var.
Birincisi, bana her gün sadece buna odaklanan biri lazım. Örneğin cihazlar ve Kuiper alanındaki Amy Herzog ya da AWS'ye bakan Chris Betz. Ama aynı zamanda tüm bunlar için ortak ölçümler kullanıyorum. Örneğin tüm şirketi kapsayan ve aynı sayıları, aynı metodolojileri, aynı sunum yöntemlerini vb. kullanan bir güvenlik açığı yönetimi aylık iş incelemesine bakıyorum.
Böylece bu işletmelerin her birinde tutarlı olan ortak bir görüşümüz oluyor. Bu da iki şeye olanak sağlıyor. Birincisi, istediğimiz çıtaya ulaştığımızdan emin olmak. İkincisi ise işletmenin her köşesinde istediğimiz görünürlüğü uyguladığımızdan emin olmak. Çünkü çoğu zaman insanlar, "bu önemli bir şey değil", "bu küçük bir şey" vb. düşüncelerde oldukları yerde sorun yaşarlar.
İşte tam orada kötü adam içeri girer ve hepimizin canı yanar. Bu yüzden her şeye 10 bin fit yukarıdan bakma olanağı ile şirketin her yerinde yapmamız gereken şeyleri yaptığımızdan emin oluyoruz.
Clarke Rodgers:
Amazon güvenliği veya AMSEC şemsiyesi altında herkesin yararlanabileceği merkezi sistemleriniz var.
Steve Schmidt:
Tüm işletmelerimizde temelde aynı olan birçok şey var. Belirli veri türlerini toplama şekliniz, bu verileri analiz etme veya rapor verme şekliniz. Her bir işletmenin aynı şeyi tekrar tekrar yapmasını istemek yerine, bunları tek bir noktaya taşımaya karar verdik. Bunlar, geliştirici zamanı gibi şeylerden tasarruf etmemizi sağlıyor.
Büyük bir ölçekte çalıştırmayı düşünüyorsanız, güvenlik açığı yönetimine geri dönelim, toplama motoruna, bunun için nöbetçi mühendislerinizin olması gerekir. Daha önce nöbetçili bir organizasyon işlettiyseniz, ki işlettiniz, nöbetçi bir kişinin kalabilmesi için aynı işi etkili bir şekilde yapabilen yaklaşık yedi kişinin olması gerekir; izinleri, tatilleri ve diğer her şeyi planlayarak.
Clarke Rodgers:
İnsanların tatil yapmasını istiyoruz.
Steve Schmidt:
Bu doğru. Bunu tek bir yerden bir grup farklı işletmeye yaymak, bunu daha etkili bir şekilde yaptığımız anlamına gelir çünkü merkezi olarak ve daha düşük maliyetle daha iyi araçlarımız olur.
Clarke Rodgers:
Tüm bu farklı işletmelerdeki güvenlik durumunu Amazon yönetim kuruluna raporlama süreçlerinde şimdiye kadar hangi uygulamaları geliştirdiniz veya izlediniz?
Steve Schmidt:
Öncelikle Amazon yönetim kurulu çok ilginç bir kurul. Nüfus genelinde Amazon'un yönetim kurulunun sahip olduğu teknik zekaya sahip çok az kurul vardır. Öte yandan Amazon birkaç yıl önce bir güvenlik alt komitesi oluşturmayı seçti. Örneğin güvenliğin denetim komitesine rapor verebileceği birçok yerden farklı olarak, Amazon yönetim kurulunda işi sadece güvenliğe bakmak olan özel bir grup insan var.
Bu harika bir şey ve aynı zamanda süreçte bizim çok fazla incelendiğimiz anlamına geliyor. Bu yüzden bir raporlama mekanizması oluşturmak ve bunu iki nedenden dolayı zaman içinde geliştirmek zorunda kaldık. Birincisi, raporlama konusundaki işimizi yapmakta giderek daha iyi olmamız. İkincisi, yönetim kurulunun zamanla daha bilgili hale gelmesi. Daha isabetli sorular soruyor, işin niş alanları hakkında daha spesifik ayrıntılar bilmek istiyorlar. Genellikle her konuştuğumuzda işletmenin belirli bileşenleri hakkında onlara rapor vermenin önemli olduğunu görüyoruz. "Belirli yerlerde güvenlik çıtamıza ulaşıyor muyuz?" gibi.
Ek olarak, gerçekten ilgilendikleri şeyler oluyor. "Bize işin bu özel bölümünden bahsedin" ya da "Şu girdiğimiz alanda birçok risk olduğunu düşünüyoruz, bize onun hakkında bir özet sunun" gibi. Bu da tutarlı bir bileşenimiz ve onların ilgi alanlarına göre değişken bir bileşenimiz olmasını sağlıyor.
Böylece sona güncel gelişmeler adlı bir bölüm koymaya karar verdik. Buraya haberlerde gördüğünüz olayları alıp bizim için belirli derslerin veya dikkate alınması gereken hususların olduğu kısımları ayrıştırıyoruz ve sonunda bunu bilgilendirici bir bileşen olarak kurula sunuyoruz. "İşte sektörde böyle bir şey oldu, işte biz bu yüzden etkilenmedik.
Etkilenmememizi sağlayan yatırım işte bu." gibi. Ve bunun yönetim kurulu için çok büyük bir değeri olduğunu düşünüyorum. Birincisi, iyi bir noktada olduğumuzu anlıyorlar. İkinci olarak ise alınacak yatırım kararlarına yönelik bilgilendirmeye yardımcı oluyor. Örneğin sekiz yıl önce, 10 yıl önce çok faktörlü kimlik doğrulamasına yatırım yaptığımızı ve bunun şu diğer büyük şirketi etkileyen o özel tehdit aktörünün bizi etkilemesini engellediğini söyleyebildiğimizde, tamam, harika, diyorlar. "Gelecek 10 yıl içinde sorunlardan kaçınmaya devam etmemize yardımcı olması için şimdi planlamamız gereken diğer yatırımlar neler?" diye soruyorlar.
Clarke Rodgers:
CISO müşterilerimizin çoğu, yönetim kuruluna çok odaklanıyor. Bazıları ise diğerleri kadar FaceTime yapmıyor. Bizim yönetim kurulumuzun güvenlik anlayışları nedeniyle benzersiz olduğunu zaten söylediniz. Kendi kurullarına rapor veren CISO meslektaşlarınıza veya CSO meslektaşlarınıza, puanlarını öne çıkarma, yönetim kurulunun dilini konuşma vb. alanlarda gerçekten yardımcı olabilecek ne gibi önerilerde bulunursunuz?
Steve Schmidt:
Yönetim kurulu üyelerinden işleri yapma şeklimizi neden sevdiklerine dair duyduğum en önemli şey, jargondan kaçınmaya çok dikkat etmemiz. CISO rollerindeki pek çok insan teknik dil konuşur ve olayları şöyle rapor etmek isterler...
Clarke Rodgers:
Bitler ve baytlar şeklinde.
Steve Schmidt:
Kesinlikle, konu hakkında nasıl düşünüyorlarsa onu yansıtırlar. Ama şunu unutmamalıyız, bu noktada yönetim kurulu, müşteridir. Bu yüzden onlara sunum yaparken, onların dillerini konuşmalıyız ve konuları, o kurulun anladığı bir bağlamda açıklamanın yollarını bulmalıyız.
Yani ilk önerim, özünün anlaşılmasını zorlaştıracak şekilde her seferinde değişik bir raporlama mekanizması yerine tutarlı bir raporlama mekanizması bulmaktır. İkincisi, her seferinde açıklamak istediğiniz gerçekten iki veya üç çok önemli ölçümün ne olduğunu bulmaktır.
İnsanları ölçümlere boğmayın. Örneğin biz her zaman güvenlik açığı yönetimi hakkında rapor veririz. Bu, işlettiğimiz ve bence herkesin işlettiği en önemli temel güvenlik kontrolüdür. Ardından ilginç eklentiler olan şeylerin neler olduğunu anlarız. Bu da sonunda "yatırım yapmamız gerekiyor mu?" sorusunu geliştirmenize yardımcı olur. Yani raporlama sürecinin bileşenleri arasında kasıtlı bir ayrımı yapılmalı.
Clarke Rodgers:
Buraya yatırım yaparsak oradaki riski azaltırız, gibi mi?
Steve Schmidt:
Evet, hem mevcut risk azaltmanın hem de ileriye dönük azaltmanın birleşimi ve ileriye dönük olan, güvenlik uzmanları olarak işimizin muhtemelen en zor kısmı çünkü kullanabileceğimiz bir kanıtımız yok. Birçok insan da bakıp, bu gerçekten gerekli mi, diye sorar.
"Hemen şimdi yapmak zorunda mıyız?" "Bu kadar büyük mü yapmak zorunda mıyız?" "Daha küçük olabilir mi?" Bunlar hepimizde olması gereken argümanlar ve zaman içinde kurulda da bu tür bir bilgi birikimi oluşturabilmemiz gerekiyor. Örneğin "bunlar, gerçek dünyada kötüye kullanım örnekleri ve böyle görünüyorlar ve bunların şu kadar sürede bizim için de geçerli olacağını düşünüyoruz; bu nedenle şimdi veya iki yıl veya üç yıl içinde harekete geçmeliyiz." şeklinde.
Clarke Rodgers:
Anladım. Amazon olarak inovasyon, geriye doğru çalışma, müşterilerimizi dinlememiz vb. ile tanınıyoruz. Bir güvenlik lideri olarak, birçok seçeneğiniz var ve bu, CISO'larınızın size verdikleri raporlara bağlı olabilir. Satın aldığınız araçlar ve sıfırdan oluşturmanız gereken araçlar konusunda birçok seçeneğiniz var. Çoğu zaman ölçeğe de bağlı.
Ticari kullanıma hazır yazılımlar, Amazon'un ölçeğine uygun hale getirilebilir veya getirilemeyebilir ve sizin bir şeyleri sıfırdan oluşturmanız gerekir. Geçen yıl, Madpot, Mithra ve Sonaris gibi araçları herkese açık bir şekilde konuştuk. CSO olarak, mühendislik kaynaklarıyla bu tür araçları desteklemek üzere gerekli yatırımın yapılması için fikri nasıl sunarsınız? Bahsetmediğimiz daha diğer birçok araç olduğunu sanıyorum. Bunların yatırıma layık olduğunu ve bunlardan elde edeceğimiz değerin şu kadar olduğunu söylemek için nasıl bir sunum yaparsınız?
Steve Schmidt:
Elbette. Önce satın alınan araçları ile bizim inşa ettiğimiz şeyleri birbirinden ayıralım. Bunun önemli bir başlangıç noktası olduğunu düşünüyorum. Araçları alınıp satılabilen mallar olduklarında satın alırız. Örneğin, uç nokta algılama yanıtı, bunu kendimiz oluşturmak yerine satın alıyoruz. Neden? Çünkü kullandığımız Mac dizüstü bilgisayarlar, Windows dizüstü bilgisayarlar, Linux dizüstü bilgisayarlar, diğer birçok insanın kullandığının aynısı.
Farklı yazılımlarımız yüklü olabilir ancak işimizi gerçek anlamda farklılaştırmıyor. Oysa örnek olarak Madpot gibi çok büyük ölçekli bir sistem inşa edebilecek tek kuruluş biziz. Başka kimsenin yapamayacağı bir şey inşa edebileceğimiz noktada, yatırım yapma eğiliminde oluruz.
Bu yatırım sürecini, diğer birçok şeyi yaptığımız gibi yürütüyoruz. Prototiplerini yaparsınız, denersiniz, neyin işe yaradığını neyin yaramadığını görürsünüz. İlk seferinde doğru yapamayacağınız garantidir. Dolayısıyla gidip yeniden tasarlamanız gerekir, biraz değiştirmeniz vb. Madpot inanılmaz derecede başarılı oldu ama bir gecede ortaya çıkmadı. Uzun yıllara yayılan bir yatırımdı. "Bu fikri gerçekten beğendim. Bakalım ilginç bir şeye dönüşebilecek mi?" diyen tek bir mühendisle başladı.
Tehdit zekası verilerini gerçekten zamanında elde etmemizi sağlayan ve buradan aldıklarımızı işleyip tüm müşterilerimizin erişebileceği güvenlik araçlarına gönderebildiğimiz bu günkü motora sonradan dönüştü. Bence en önemli kısım burası. Örneğin pek çok müşterimiz diyor ki "ben tehdit zekası akışlarının ham halini istiyorum."
Aslında hayır, istemiyorlar. Gerçekten istedikleri şey, o anda faaliyet gösterdikleri bağlamda kendileriyle ilgili olan şeyler. Geri kalanı sadece gürültü ve o gürültünün hacmi şimdi o kadar büyük ki. Bizimki gibi bir işiniz yoksa her şeyi sindirmeye çalışmak anlamsız.
Böylece birçok müşterimiz, aslında tehdit zekası gibi şeyleri alıp yönetilen bir hizmetin parçası olarak kullanmaktan hoşlandıklarını fark etti. Böylece, çok büyük veri yığınlarını ayrıştırmaya veya birden fazla müşteriye uygulanmadığı için de eksik bağlama zaman harcamak zorunda kalmıyorlar.
Bu bağlam meselesi önemli bir mesele. Metalaştırma ile özel yapılar karşılaştırmamıza geri dönersek, yalnızca bizde olan merkezi görünürlüğün gerçekten avantaj sağladığı yer de burasıdır.
Clarke Rodgers:
Sanırım, daha iyi bir kelime olmadığı için "dahili sunum" diyeceğim, şöyle oluyor: "Bu, AWS/Amazon'u güvence altına almamıza yardımcı oluyor ve müşterilerimize fayda sağlıyor. Demek istediğim bu bir kazanım." şeklinde.
Steve Schmidt:
Tipik Amazon dilinde, önce müşterilerle başlarız ve bu, tüm müşterilerimizin kendilerini daha iyi bir şekilde güvende tutmasına yardımcı oluyor, deriz. Aynı zamanda, işimizde bize de yardımcı oluyor çünkü işletmelerimizin çoğu zaten Amazon AWS müşterileri. Bu yüzden her yönden faydalı.