Çoğu güvenlik programı, denetimler zayıf olduğu için değil, çevresindeki insanlar sürtünmeyi aşmanın yollarını öğrendiği için başarısız olur. Bir geliştirici, kasa (vault) üç onay gerektirdiği için bir üretim belirtecini bir Slack özel mesajında saklar. Bir satış yetkilisi, onaylı dosya paylaşımı mobilde yavaş olduğu için bir sözleşmeyi kişisel bir Gmail hesabına iletir. Bu hikâyede kimse pervasız değildir. Yalnızca işi teslim etmeye çalışıyorlar.
Asıl gerilim budur. İş gününe karşı savaşan güvenlik, ihlal sonrası incelemesine kadar hiç görmediğiniz binlerce küçük geçici çözümde, sessizce kaybeder. Amaç, insanların riski daha çok önemsemesini sağlamak değildir. Amaç, güvenli yolu hızlı yol haline getirmektir.
Sürtünme bir erdem değil, bir sinyaldir
Bu alanda inatçı bir inanç vardır: bir denetim can sıkıcıysa, işe yarıyor olmalıdır. Ekiplerin her dağıtıma zorunlu bir manuel inceleme adımı ekleyip buna "güvenlik olgunluğu" dediğini gördüm. Altı hafta sonra, kuruluşun yarısının bundan kaçınmak için gölge iş hatları vardı.
Bir denetim sürtünme yarattığında, onu bir ciddiyet rozeti olarak değil, araştırılması gereken bir tasarım hatası olarak ele alın. Açık bir soru sorun: bu gerçekte neyi ve ne sıklıkla önlüyor? Bir adım yılda bir gerçek olayı engelliyor ama 200 mühendise günde on dakikaya mal oluyorsa, riski yönetmiyorsunuz - onu herkesin zamanıyla sübvanse ediyorsunuz.
En iyi güvenlik denetimi, zaten varsayılan olduğu için ekibinizin üzerinde düşünmek zorunda kalmadığı denetimdir.
Döşenmiş yolu güvenli yol yapın
Önerdiğim en yüksek kaldıraçlı tek hamle, bir "döşenmiş yola" yatırım yapmaktır; yani sık yapılan işleri yapmanın iyi desteklenen, varsayılan olarak güvenli yolu. Kolay yol ile güvenli yol aynı yol olduğunda, uyum bir pazarlık olmaktan çıkar.
- Gizli bilgiler: tek satırlık bir SDK çağrısı ve kısa ömürlü kimlik bilgileri olan bir kasa, insanlara anahtarları koda gömmemelerini söyleyen bir politika belgesinden iyidir.
- Erişim: talep üzerine dört saatliğine erişim veren SSO artı tam-zamanında yetki yükseltmesi, kimsenin asla geri almadığı kalıcı yönetici haklarından iyidir.
- Kod: güvenlik açığını 20 saniyede yakalayan bir commit öncesi kancası ve bir CI kapısı, onu yayınlandıktan sonra bulan üç aylık bir sızma testinden iyidir.
Örüntüyü fark edin: güvenli seçenek aynı zamanda daha az çaba gerektiren seçenektir. Bütün mesele budur. Disiplin istemiyorsunuz; işleri baştan savma yapmanın nedenini ortadan kaldırıyorsunuz.
Geliştiricilerle zaten çalıştıkları yerde buluşun
Kendi oturum açması ve kendi kayıt kuyruğu olan ayrı bir portalda yaşayan güvenlik araçları görmezden gelinir. Bulguları çekme isteğine (pull request), IDE'ye, ekibin zaten içinde yaşadığı sohbet kanalına gönderin. Tam ilgili satırda, önerilen bir düzeltmeyle satır içi yapılan bir güvenlik açığı yorumu çözüme kavuşur. Aynı bulgu, bir yöneticiye e-postayla gönderilen bir PDF raporunda unutulur.
Aynı mantık uyarılar için de geçerlidir. Her düşük önem dereceli bulguyu kritik olanlarla aynı kanala yönlendirirseniz, insanlar kanalı susturur - ve sonra önemli olanı kaçırırlar. Acımasızca ayarlayın. Sessiz, güvenilen bir uyarı akışı, kapsamlı ama görmezden gelinen birinden daha değerlidir.
Yalnızca kural değil, muhakeme inşa edin
Kurallar kötü ölçeklenir çünkü saldırganlar tehdit modelinizi izlemez, gerçeklik de izlemez. Ölçeklenen şey muhakemedir. Verdiğim danışmanlıklarda, en güçlü güvenlik duruşuna sahip ekipler, en kalın politika klasörüne sahip olanlar değildir; onlar, bir mühendisin suçlanma korkusu olmadan "bu tuhaf görünüyor, birisi bakabilir mi?" diyebildiği güvende hissettiği ekiplerdir.
O kültür küçük anlarda inşa edilir. İstikrarlı biçimde işe yarayan birkaç şey:
- Suçlamasız geriye dönük değerlendirmeler. Birisi kendi hatasını bildirdiğinde, yanıt ceza değil teşekkürdür. İfşayı bir kez cezalandırın, bir sonrakini asla duymazsınız.
- Güvenlik savunucuları. Her ekibe yerel irtibat noktası olarak ilgili bir mühendisi yerleştirin. Onlar bağlamı her iki yöne de çevirir ve sorunları merkezi bir ekipten çok daha önce yakalar.
- Kısa, özgül, zamanında eğitim. Az önce yaşanan gerçek bir olaya bağlanmış beş dakikalık bir açıklama, herkesin tıklayarak geçtiği yıllık bir saatlik uyum modülünden iyidir.
Pazartesi nereden başlamalı
Okyanusu kaynatmaya çalışmayın. Mühendislerinizin en çok şikâyet ettiği tek denetimi seçin ve onu aşmaya çalışırlarken yanlarında oturun. O geçici çözüm sizin yol haritanızdır; güvenli yolun tam olarak nerede fazla yavaş olduğunu size söyler.
Sonra o tek şeyi düzgünce düzeltin: güvenli yolu varsayılan yapın, onu zaten çalıştıkları yere koyun ve kestirmenin ortadan kalkıp kalkmadığını ölçün. Bunu üç dört kez yapın; o zaman bir politika belgesinin asla satın alamayacağı bir şeye sahip olursunuz - güvenli seçeneğe, gerçekten önündeki en kolay seçenek olduğu için yönelen bir ekip.
Bu hafta kendinize şunu sorun: kendi iş akışınızda güvenli yol nerede yavaş yol - ve kim onu şimdiden aşmanın yolunu buluyor?