BT ekibiniz kapsamlı bir güvenlik testini tamamladı. Ağ kilitlendi. Kuruluşunuzun teknoloji yığınının tamamında MFA zorunlu kılınmıştır. Çalışanlar kimlik avına karşı eğitimini yeni tamamladılar.
Ve dün, Finans'tan Bob, Google E-Tablolar bağlantısının "bağlantıya sahip olan herkes düzenleyebilir" olarak ayarlandığı 3. çeyrek gelir tahminlerini paylaştı. Bob işini işine yarayacak şekilde yapıyordu. Yine de bu, Bob'un Google E-Tablolar bağlantısının tüm sisteminizin zayıf halkası olmasını engellemez.
İçeriden gelen tehditler genellikle hoşnutsuz çalışanların veri çalması anlamına gelir. Ancak Bob gibi iyi niyetli insanların, onaylı araçları ihtiyaç duydukları her şeyi yapamadıkları için elektronik tablolara başvurmaları çok daha yaygındır.
Belki bu güçlü ERP yazılımı insanların yapması gereken işlerin %90'ını yapıyor olabilir, ancak bu son %10 (ister grafiklerde değişiklik yapmak ister PDF raporlarını dışa aktarmak olsun) projeleri bitiş çizgisine tam olarak ulaştıramaz.
Yani insanlar ihracat yapıyor. Verileri e-tablolara çekiyorlar, bunun son %10'unu yapıyorlar ve daha sonra belki - belki de - resmi sistemi güncelleyebilir veya uzlaştırabilirler. Bu e-tablo hâlâ orada, bağlantıya sahip olan herkes için ortalıkta dolaşıyor. Buna 'gölge e-tablo' diyelim.
Grist Labs'ta BT ekiplerinin günlük olarak gölge e-tablolarla uğraştığını görüyoruz. Bu gölgeleri ortadan kaldırmak için açık kaynaklı bir elektronik tablo veritabanı oluşturduk, ancak buna daha sonra değineceğiz. Öncelikle gölge e-tabloların neden gerçek bir sorun olduğuna bakalım.
Ekipler kritik verileri elektronik tablolara taşıdığında genellikle her ikisi de ideal olmayan iki senaryodan birini görürüz:
Birisi işbirliği için bir ana e-tablo oluşturuyor. Paylaşımı “kurumdaki bu bağlantıya sahip herkese” ayarlayıp, bir Slack kanalındaki herkese toplu olarak gönderiyorlar.
Artık tüm şirketiniz maaş verilerine, müşteri ödeme koşullarına, stratejik genişleme planlarına veya bu e-tablonun içerdiği diğer her şeye erişebilir. Çoğu bunu yapmayacak, ancak muhtemelen bilgilendirilme olasılığı bile olmadan, kimin yapabileceğine dair kontrolü zaten kaybettiniz.
Güvenliği bir kenara bırakırsak, belki bu e-tablo E-Tablolar'ın veya Excel'in sınırlarını zorlamaya başlayabilir? Çalışanlar her zaman e-tablolarda uygulamalar geliştiriyor ancak bunları her zaman uygulama olarak adlandırmıyorlar. Uygulamalara dönüştürülen bu e-tablolardaki hassas formüller, bir yazım hatasını 3 saatlik çalışma gerektiren bir sorun giderme işlemine dönüştürebilir.
Ardından, bunun tekrar olmasını önlemek amacıyla BT, her kritik bölümün üzerine "UYARI: BU FORMÜLE ASLA DOKUNMAYIN" yazan parlak kırmızı bir satır ekler. Finans'tan Bob hemen formüle dokunuyor.
Aşırı paylaşımı önlemek için insanlar tedirgin oluyor ve bunun yerine "güvenli" kopyalar oluşturuyor. Finans için bu versiyon, yönetim ekibi için bu versiyon, işe aldıkları danışman için başka bir versiyon. Aynı e-tablonun altı sürümü e-posta, Slack DM'ler ve SharePoint klasörleri aracılığıyla dolaşıyor. Görünüşe göre birisinin kişisel Google Drive'ında da bir kopyası var.
Hangisi kanonik, hatta güncel? Kimin neye erişimi var? Birisi bir hata bulduğunda hangi sürümler düzeltilir? Ve en önemlisi, bu ne tür bir maruz kalma tehdidi oluşturuyor?
Görünürlüğe öncelik veren çalışanlar aynı zamanda dürüstlükten de taviz vermiş oldular ve artık denetim takibiniz ortadan kalktı.
Bob, müşteri analizi elektronik tablosunu kendisi için bir proje üzerinde çalışan bir danışmana iletir. Elektronik tabloda birden fazla sekme bulunur. Danışmanın yalnızca üçüncü sekmeye ihtiyacı var. Bob'un unuttuğu yedinci sekme, müşteri sözleşmesi koşullarını, yenileme tarihlerini ve en iyi hesaplar için fiyatları içerir.
Danışman kimlik hırsızlığı yapmaya çalışmıyor. Ancak muhtemelen kuruluşunuzun DLP politikalarına da bağlı değillerdir. Bu hassas bilgi artık sınırınızın dışındadır ve bundan sonra nereye gidebileceği hakkında hiçbir fikriniz yoktur.
Gölge e-tablolar haritalanması imkansız bir saldırı yüzeyi oluşturur. Kaç farklı kopyanın bulunduğunu, nerede yaşadıklarını veya bunlara kimin erişip indirdiğini bilmiyorsanız, tek bildiğiniz başınızın belada olduğudur.
Gerçekten kötü bir aktör söz konusu olduğunda, parçalanmış veriler makul bir inkar edilebilirlik yaratır. Denetim günlüklerine sahip yetkili bir kaynak olmadan, bir e-tabloda neye eriştiklerini, neyi değiştirdiklerini veya dışa aktardıklarını kanıtlamanın hiçbir yolu yoktur.
Resmi sistem fiili çalışmayı destekleyemeyecek kadar katıysa, insanlar her zaman bunun üzerinde çalışacaktır. Bu konuyu nasıl ele alıyorsunuz?
Grist, BT'nin gerektirdiği erişim kontrolleriyle ekiplere ihtiyaç duydukları elektronik tablo esnekliğini sağlar.
Ayrıntılı izinler, eksiksiz denetim günlükleri, açık kaynak ve şirket içinde barındırılan dağıtım seçenekleri. Satıcıya kilitlenme yok.
Eğitim, insanların ihtiyaç duyduğu şeyleri yapmayan bir aracı düzeltmez. Ayrıca güvenlik kontrolleri ile "sadece işi bitirmek" arasındaki kaçınılmaz çatışmayı da aşarak politika yapamazsınız.
Peki ya çökersen? Dosya paylaşımını kilitleyip hassas veriler içeren e-tablo eklerini işaretleyen veya engelleyen DLP'yi mi uygulayacaksınız? İnsanlar genellikle yapacak işleri olduğundan daha az güvenli geçici çözümler (USB sürücüler, kişisel Dropbox hesapları) bulacaktır. Bu da sorunun takip edilmesini daha da zorlaştırıyor.
Ekibinizin çalışma şekline göre özel olarak tasarlanmış dahili bir uygulama oluşturmaya ne dersiniz? Şimdi altı aylık geliştirme süresine ve 200 bin doların üzerinde maliyete bakıyorsunuz.
Siz gereksinimlerin kapsamını belirlediğinizde, yüklenicileri işe aldığınızda ve satın alma sürecini yönlendirdiğinizde, dokuz ay önce bir çözüme ihtiyaç duyan ekip zaten bir düzine gölge e-tablo daha dağıtmış oldu. Ve işin kaçınılmaz olarak değişmesi gerektiğinde, bu sürekli bir yetişme oyunudur. Özel yapılar, hiç bitmeyen bir bakım yükü yaratarak esneklik ve güvenlik sorununu çözer.
İnsanların e-tabloları, bir e-tablonun çoğu şey için gerçekten iyi olması nedeniyle kullandığını gördük. Çoğu insanın anladığı evrensel bir arayüzdür. Birçok SaaS platformu aslında şık bir kullanıcı arayüzüne sahip bir elektronik tablodur. E-tablolarla mücadele etmek çoğu zaman kuruluşunuzun çoğunluğuyla mücadele etmek anlamına gelir.
Peki, e-tabloyla mücadele edemiyorsanız neden onu güvence altına alamıyorsunuz?
Grist Labs olarak, e-tabloların en iyilerini saklayan ve en kötülerini önleyen bir yazılım oluşturmak için yola çıktık. Klasik tablolu ızgaranın güçlü ve zayıf yanlarını çok iyi bilen eski bir Google E-Tablolar mühendisi tarafından kurulduk. Grist, bir elektronik tablo gibi görünecek ve hissettirecek şekilde tasarlandı, ancak ayrıntılı rol tabanlı erişim kontrolü sağlayan ilişkisel bir veritabanının üzerine inşa edildi.
Grist'i kendi altyapınızda kendiniz barındırabilirsiniz; bu, hassas verilerin ortamınızdan asla ayrılmadığı anlamına gelir. RBAC'miz sütun ve satır düzeyinde ayarlanabilir; bu, kullanıcıların gerçek zamanlı olarak işbirliği yapabileceği ve harici yüklenicilerden yöneticilere kadar herkesin kopyalamaya gerek kalmadan yalnızca yapması gerekenleri görebileceği anlamına gelir. Bu gerçek tek bir hakikat kaynağıdır.
Ayrıca Bob'un önemli formülleri bir daha karıştırma yeteneğini de kısıtlayabilirsiniz.
Grist'i SSO'nuza bağlayabilir ve bir VPN arkasında, hatta hava boşluklu olarak çalıştırabilirsiniz. Enterprise sürümümüz ek yönetici kontrolleri içerir. Diğer şeylerin yanı sıra bu, kurulumunuzda bağlantıyla paylaşılan tüm belgelerin bir listesini görmenize veya Bob'un tam olarak neye erişebileceğini doğrulamanıza olanak tanır. Ayrıca harici SIEM sisteminize bağlanan denetim günlüğünü de etkinleştirebilirsiniz.
Kullanıcılarınıza anlamlı gelen tanıdık araçlara sahip olduğunuzda benimsemek mümkündür. E-tablo deneyimine karşı mücadele etmek yerine, bunu potansiyel kötü aktörler dışında herkesin işine yarayacak ortak bir temel arayüz olarak kullanın.
Gelin bugün e-tabloların evrimini kendiniz görün.
Grist tarafından desteklenmiş ve yazılmıştır.
Kaynak: Bleeping Computer