Kibercinayətkarlığın qarşısını almaq üçün cinayətkar kimi düşünməyin

Görünür, onun kinematoqrafik ilhamından götürülmüş bir səhnədə, van der Qaast təxminən 16 yaşında ikən Hindistanın nüvə silahı obyektinə haker hücumu edərək yeraltı nüvə sınaqlarından məlumatları oğurlayıb. “Onlar poçt serverinin köhnə versiyasından istifadə edirdilər və mən də onu aldadaraq mənə inzibati hesab verdim”, - deyə o bildirir. Bu, onu bir sıra kəşfiyyat orqanlarının radarına çıxardı və nəticədə dünyanın ən məşhur 5 hakerindən biri seçildi.

Van der Qast 1998-ci ilin payızında Avropadan ABŞ-a yeni köçmüşdü ki, ABŞ Müdafiə Nazirliyi ilə əlaqəli bir agentliyin kostyumlu bir qrup kişisi onun qapısını döydü. "Mən onların əslində immiqrasiyadan gəldiyini düşünürdüm," deyə o bildirir, "çünki 90 günlük vizamın müddətini aşmışdım."

Xoşbəxtlikdən, yeniyetmə haker üçün agentlik virtual yeraltından yüksələn ulduzları cəlb etmək istəyirdi, onları məhkəməyə vermək yox. Elə həmin anda o, tez bir zamanda tərəfini dəyişdi və növbəti üç il ərzində Müdafiə Nazirliyi ilə FTB ilə birgə əməliyyatda işləməyə başladı. İş hakerlər və ətrafdakı cinayətkar fəaliyyətlər haqqında kəşfiyyat məlumatlarını toplamaqla yanaşı, milli maraqlara xələl gətirən məlumatların pozulması hallarını araşdırmağı da əhatə edirdi.

Bu qeyri-ənənəvi təlim kibertəhlükəsizlik üzrə mütəxəssis, əsas məruzəçi və korporativ məsləhətçi kimi 25 illik karyerası üçün başlanğıc nöqtəsi rolunu oynadı və bu da onun hazırkı Sequioa Consulting şirkətinin təsisçisi və idarəedici direktoru vəzifəsinə gətirib çıxardı. O, burada icraçı liderlərə və qlobal təşkilatlara "daha az kibertəhlükəsizlik və daha çox təhlükəsiz iş görmək"də kömək edir.

"Mən hakerlərin istifadə etdiyi metodlar, taktikalar və imkanlar haqqında dərslər öyrənməklə başladım", - deyə o bildirir. "Bəs geriyə baxanda? Düşünürəm ki, öyrəndiyim şey, təşkilatların sadəcə İT əsaslarını mənimsəsəydilər və proseslərini fəal şəkildə təkmilləşdirməyə çalışsaydılar, demək olar ki, bütün bu pozuntuların qarşısının necə alına biləcəyi idi.

Onun şirkəti məhz bu yanaşmanı dəstəkləyir. Əslində, şirkət İT proseslərini təkmilləşdirmək üçün idarəetmə konsaltinqi, arıq düşüncə və texnologiya kontekstindəki digər fənlərdən metodologiyalar tətbiq edir ki, təhdid subyektlərinin istismar edə biləcəyi daha az uğursuzluq nöqtəsi olsun.

Sadə bir bənzətmə, istehsal olunan hər bir avtomobilin qüsurları olan bir avtomobil zavodudur - sükan çarxı mərkəzdən kənarda, asma qollarında boltların olmaması, əyləc xətlərinin hava ilə dolu olması və digər qüsurlar. O deyir ki, hazır avtomobillərdəki bütün bu qüsurları düzəltmək üçün daha çox insan işə götürmək gülünc olardı. Bunun əvəzinə, problemi, çox güman ki, bu qüsurların baş verdiyi montaj xətti stansiyasında həll edəcəksiniz - qüsurların sayını və xərcləri də azaldacaqsınız.

Van der Qaastın sözlərinə görə, kibertəhlükəsizlikdə yanaşma əsasən birincidir və buna görə də sənaye əsasən proaktiv olmaq əvəzinə reaktiv olaraq qalıb, əsas səbəblər isə əsasən toxunulmayıb.

“Əsasən, biz bir az silahlanma yarışındayıq [hakerləri zəifliklərimizdən uzaq tuturuq], amma özümüzdən soruşmalıyıq ki, niyə bu qədər çətinliklə üzləşirik?”, - deyə o bildirir. "Yəni, ilk növbədə niyə bu zəifliklərə sahibik?"

Keçmiş haker son otuz ildir ki, bu qədər geniş suallar verir və bu, biznes və cəmiyyət üçün heç vaxt bu qədər aktual olmayan bir sual xəttidir.

Təhlükəsizliyə baxmağın ən sadə yolu, zəifliklərin istismar edilməsidir və o deyir ki, bu zəifliklər əslində keyfiyyət problemləridir — kod, konfiqurasiya qüsurları, nəzarət, dizayn, planlaşdırma və hətta mədəniyyətdəki boşluqlar.

O deyir ki, bu problemlərin həlli zəifliklərin sayını azaldır, ona görə də bu zəifliklərin qarşısında müdafiəni gücləndirmək əvəzinə, istismar ediləcək daha az şey var. O əlavə edir ki, bu, təkcə təhlükəsizlik xərclərinin azalmasına səbəb olmur — həm də biznes və İT proseslərini daha səmərəli edir ki, bu da onların xərclərini azaldır.

"Proses və keyfiyyətin funksiyası olaraq təhlükəsizliyə daha çox diqqət yetirməyə başladıqdan sonra, işləri düzgün görməyə başladıqdan sonra, yalnız əsas problemləri həll etməklə kifayətlənməyəcəksiniz, həm də biznesə müsbət dəyişiklik yaratmağa və pula qənaət etməyə kömək edə bilərsiniz."

Van der Gaast həmişə təşkilatların təhlükəsizliyini təmin etməyə onların problemlərinin kökünə çatmaqla, texnologiyaya yönəlmiş təhlükəsizlik məsləhətçilərindən daha dərindən araşdırmaqla başlayır. "Şirkətlərin əksəriyyəti kibertəhlükəsizliyə yanğınları söndürmək üçün daim çalışdıqları bir yanaşma tətbiq etməyə meyllidirlər", - deyə o bildirir. “Bunun əvəzinə, mən hər hansı bir İT narahatlığına səbəb olan şeyləri araşdırmağa çalışıram.”

"Tətbiqlərin dizaynından çətinliklər gəlirmi?" "Fərqli biznes şöbələri fərqli İT proseslərindən və təchizatçılardan istifadə edirmi?" deyə əlavə edir. "Narahatlıqların əsas səbəbini başa düşdükdən sonra onları sistematik şəkildə optimallaşdırmağa və aradan qaldırmağa başlaya bilərsiniz."

Van der Gaast hesab edir ki, kibercinayətkarlıq problemi ilə necə mübarizə apardığımıza diqqətimizi dəyişməliyik. Cinayətkarlara baxmaq əvəzinə, cinayətin niyə bu qədər asan olduğuna diqqət yetirməliyik.

O, qeyd edir ki, demək olar ki, bütün pozuntular mövcud həllər ilə birlikdə məlum zəifliklərlə bağlıdır və əksər hallarda bu həllər bir ildən çoxdur ki, mövcuddur.

“Əgər bağçanıza bir kisə taxıl qoysam, bir həftə sonra minlərlə siçan tapsanız, təəccüblənməzsiniz.” İdeal həll yolu minlərlə siçan tələsi qurmaq və idarə etmək deyil, taxılı daha yaxşı saxlamaq və ya nə üçün ehtiyacınız olduğunu müəyyən etmək üçün prosesi dəyişdirməkdir.

Nəticə: Dünyanın ən yaxşı kibertəhlükəsizlik sistemini quraşdıra bilərsiniz, amma əgər düzgün şəxsiyyət idarəetmə vasitələriniz yoxdursa, işçiləriniz kifayət qədər təlim keçməyibsə və sistemlərinizi, cihazlarınızı və ya tətbiqlərinizi yamamayıb və təkmilləşdirməmisinizsə, hakerlər rəqəmsal və ya digər müdafiə vasitələrinizi sadəcə olaraq kənara qoya bilərlər, deyə o bildirir. 

Nəticə etibarilə, avtomatlaşdırılmış hücumlar və dərin saxta videolar kimi süni intellektlə işləyən təhdidlərin artdığı bir dövrdə... van der Gaast deyir ki, müasir bir təşkilatı kibercinayətkarlardan uğurla müdafiə etmək üçün təlim, təhsil və reaktiv deyil, proaktiv yanaşma tələb olunur.

Bu təhdidlər, başa düşüldükdən sonra, çox vaxt möhkəm təməllərin tətbiqi ilə - hücuma qarşı həssas deyilsinizsə, hücumun nə qədər sürətli olmasının əhəmiyyəti yoxdur - və vəsait köçürmələri kimi proseslərin həmişə dərin saxtakarlığa məruz qalmayan müəyyən bir proses vasitəsilə həyata keçirilməsi ilə zərərsizləşdirilə bilər.

Onun fikrincə, təşkilatınıza kömək etmək üçün edə biləcəyiniz ən yaxşı şey, zəifliklərinizə səbəb olan problemləri müəyyən etmək və onları mümkün qədər yuxarıda, hətta təşkilati və mədəni məsələlərə baxaraq belə həll etməkdir. Daha sonra təhlükəsizlik qruplarının təşkilatın bütün hissələri ilə işləməsini təmin edin ki, bütün biznes və İT proseslərini başa düşsünlər və yarada biləcəkləri hər hansı riskləri azaltmaq üçün lazım olduqda onları yenidən müəyyənləşdirsinlər və qalan risklərdən xəbərdar olsunlar.

Təşkilatlar bunu yalnız öz əsas problemlərini başa düşdükdən sonra etdikdən sonra daha yaxşı bir yerə gedən bir strategiya və yol xəritəsi hazırlaya bilərlər.

Van der Qastın on illər əvvəl kompüter kitablarını cırıb-cındır etdiyi kimi, bu gün də onun maraq dairəsi çoxlu məlumat toplamaqla bağlıdır. Bu gün hobbilərinə avtomobil təmiri və ən yaxşı biznes təcrübələri haqqında əlinə düşən hər şeyi oxumaq daxil olan keçmiş kibercinayətkar, kibertəhlükəsizlikdə uğurun proqram təminatından daha çox şeylə əlaqəli olduğunu söyləyir: "Mənim gördüyüm bir çox çətinlik yüksək texnologiyalı həllərdən daha çox mədəniyyətlə bağlıdır."