🤸🏾 🎁 🌕 फिनटेक कंपनियों में सूचना सुरक्षा की संस्कृति को बढ़ाना 📑 👩🏽‍🤝‍👩🏻 👩🏾‍🏭

आधुनिक कंपनियों को सूचना सुरक्षा के लिए एक विशेष दृष्टिकोण की आवश्यकता होती है। सूचना सुरक्षा विभाग केवल एक पर्यवेक्षक और नियंत्रक होना बंद कर देता है, लोगों के साथ सक्रिय रूप से बात करना शुरू कर देता है, और व्यावसायिक प्रक्रियाओं में एक पूर्ण भागीदार बन जाता है।

Exness फिनटेक कंपनी के दुनिया भर में 70,000 से अधिक मासिक सक्रिय ग्राहक हैं, और पूरा कारोबार ऑनलाइन है। डेटा हमारी मुख्य संपत्ति और ड्राइवर है, इसलिए सूचना सुरक्षा प्राथमिकता नंबर 1 है।

Exness 500 से अधिक लोगों को रोजगार देती है। लगभग 150 आरएंडडी और आईटी में कार्यरत हैं, कई तकनीकी सहायता कर्मचारी, बिक्री प्रबंधक, एंटीफ्रॉड और अनुपालन सेवाएं। एक तरह से या किसी अन्य, वे संवेदनशील डेटा के साथ काम करते हैं या महत्वपूर्ण कार्यक्षमता, आंतरिक जानकारी, कोड, व्यवस्थापक कंसोल तक पहुंच रखते हैं। एक अनजाने में हुई गलती या कर्मचारियों की जागरूकता की कमी के कारण व्यवसाय लाखों का खर्च हो सकता है। आपको उदाहरणों के लिए दूर नहीं जाना होगा: समाचार एक असुरक्षित इलास्टिक, MongoDB भंडारण सर्वर या S3 बाल्टी से लीक के बारे में संदेशों से भरा होता है, जो अक्सर एक मानव कारक के कारण होता है।

मनुष्य सूचना सुरक्षा की सबसे कमजोर कड़ी है, इसलिए हमने कर्मचारियों के बीच सूचना सुरक्षा की संस्कृति को बेहतर बनाने का काम स्वयं निर्धारित किया है। हमने अपने अनुभव को साझा किया कि हमने इसके लिए क्या किया है और हमने परिणामों का मूल्यांकन कैसे किया।

हमने कार्य को दो दिशाओं में विभाजित किया है:

तकनीकी टीमों के बीच सुरक्षा के मुद्दों की समझ में सुधार।
गैर-आईटी पेशेवरों सहित सभी कर्मचारियों के बीच सुरक्षा मुद्दों की समझ में सुधार।

हम सशर्त रूप से इन क्षेत्रों को "संगठनात्मक" और "तकनीकी" कहेंगे। पहली दिशा में काम करना डिजिटल स्वच्छता, आधुनिक खतरों, प्रतिकार और व्यापार के लिए संभावित परिणामों के सामान्य मुद्दों को व्यक्त करना है।

दूसरी दिशा प्रकृति में अधिक विशिष्ट है। तकनीकी विशेषज्ञों को अपने काम के दौरान सूचना सुरक्षा नियमों का पालन करना चाहिए, जबकि उन्हें न केवल यह जानना चाहिए कि ऐसा क्यों किया जाना चाहिए, बल्कि वास्तव में और कैसे।

उद्देश्य - सुरक्षा जागरूकता

सुरक्षा जागरूकता एक कंपनी में सूचना सुरक्षा की एक प्रमुख अवधारणा है। कर्मचारी सूचना सुरक्षा नियमों का अनुपालन करते हैं यदि वे जानते हैं, समझते हैं और उन्हें साझा करते हैं।

कर्मचारियों को नियमों से अवगत कराना एक स्पष्ट कार्य है। नियमों का पालन करने के लिए प्रेरित करना पहले से ही अधिक कठिन है। हम जानते हैं कि कार में सीट बेल्ट का उपयोग करना या साबुन और पानी से हाथ धोना बुरे परिणामों की संभावना को काफी कम कर देता है और यह बिना नैतिक कष्ट के अपने आप हो जाता है। डेटा के साथ काम करने से पहले "हाथ धोने" की आदत कैसे डालें?

सिक्योरिटी अवेयरनेस की शुरुआत इस अहसास से होती है कि जोखिमों को महसूस किया जा सकता है। आप, आपका सिस्टम वास्तव में हमले का लक्ष्य हो सकता है। समझ की आदतों के माध्यम से, डिजिटल स्वच्छता काम के माहौल और आंतरिक संस्कृति का हिस्सा बन जाती है। दूसरे शब्दों में, कर्मचारी सूचना सुरक्षा के नियमों का पालन करते हैं यदि वे समझते हैं कि यह क्यों आवश्यक है और जोखिम कितने अधिक हैं। इस मामले में कोई आंतरिक प्रतिरोध नहीं है।

शेरिफ या उपदेशक?

आधुनिक कंपनियां कर्मचारियों के आराम और उनकी मनोवैज्ञानिक स्थिति पर बहुत ध्यान देती हैं। इसका मतलब यह है कि सूचना सुरक्षा के क्षेत्र में भी दमनकारी उपायों को लागू करना मुश्किल है: कार्रवाई और नियमों की स्वतंत्रता के बीच एक संतुलन रखा जाना चाहिए। हम मानते हैं कि खतरों को समझना और एक व्यवसाय के लिए जिम्मेदारी की भावना सजा के डर से बेहतर काम करती है। और सूचना सुरक्षा के प्रभावी कार्यान्वयन की कुंजी कर्मचारियों और प्रत्येक उत्पाद और प्रत्येक टीम की समस्याओं की समझ के साथ संचार है।

सिद्धांत से कार्रवाई तक!

तो, हमारी टीम संगठनात्मक और तकनीकी स्तरों पर सूचना सुरक्षा की संस्कृति को कैसे पेश करती है?

कर्मचारी प्रशिक्षण और भागीदारी

नए कर्मचारियों के लिए, हम इस बारे में एक प्रस्तुति देंगे कि हमारी कंपनी में सुरक्षा प्रक्रियाओं का आयोजन कैसे किया जाता है, खुद को सरलतम घरेलू जोखिमों से कैसे बचाएं, जैसे कि फ़िशिंग, पासवर्ड रिसाव और मैलवेयर संक्रमण।

सभी कर्मचारियों के लिए, हम कार्यशालाएं (OSINT, ब्रांड संरक्षण, अंधा sql इंजेक्शन, लैब मशीन pentest, क्लाउड-विशिष्ट हैकिंग तकनीक) का संचालन करते हैं और आंतरिक घटनाओं में प्रस्तुतियां देते हैं। नियमित आंतरिक प्रशिक्षण और लाइव प्रदर्शन बहुत महत्वपूर्ण हैं। ठेठ भेद्यताओं के शोषण के उदाहरण लंबे व्याख्यान से बेहतर काम करते हैं। असममित क्रिप्टोग्राफी क्या है, क्यों एक टोकन की आवश्यकता है और तिजोरी का उपयोग करने का सबसे आसान तरीका तकनीकी टीमों के लिए बहुत समय बचाने के लिए उंगलियों पर एक स्पष्टीकरण है।

कॉर्पोरेट सामाजिक नेटवर्क सुरक्षा मिनी ब्लॉग

हम आईबी टीम से पदों की एक निरंतर धारा बनाए रखने की कोशिश करते हैं। हमारे सहकर्मियों को यह देखना चाहिए कि हम लगातार संयम रखते हैं, सलाह देते हैं, नवाचारों की घोषणा करते हैं, ब्याज की कोशिश करते हैं और प्रत्येक कर्मचारी को आकर्षित करते हैं।

नियमित रूप से शमन, अनुभव का आदान-प्रदान

लिमासोल में हमारे कार्यालय की छत पर, सुंदर दृश्यों के अलावा, 100+ लोगों के लिए बैठकों की सभी संभावनाएं हैं, जो नियमित रूप से उपयोग करते हैं। वर्ष में दो या तीन बार, हम विशेषज्ञों को इकट्ठा करते हैं और आवेदन सुरक्षा, जोखिम प्रबंधन, डेसकोप्स प्रथाओं और अन्य मुद्दों पर चर्चा करते हैं। घटनाओं में कंपनी के कर्मचारियों और स्थानीय आईटी समुदाय के प्रतिनिधियों द्वारा भाग लिया जाता है, और यहां आंतरिक संस्कृति के गठन के संदर्भ में हमारा मुख्य कार्य यह दिखाना है कि सूचना सुरक्षा मुद्दे दिलचस्प और महत्वपूर्ण हैं।

आंतरिक फ़िशिंग

कई कर्मचारी यह नहीं मानते हैं कि लिंक या दस्तावेज़ खोलना हानिकारक हो सकता है या पर्याप्त रूप से सतर्क नहीं है। आंतरिक फ़िशिंग अभियानों को अंजाम देते हुए, हम संगठन पर आंकड़े प्राप्त करते हैं, जो लोग सबसे अधिक बार गलती करते हैं, और सामाजिक इंजीनियरिंग और फ़िशिंग के खिलाफ सुरक्षा के संदर्भ में आंतरिक प्रशिक्षण कार्यक्रम में लगातार सुधार करते हैं। हमें यह भी पुष्टि मिलती है कि फ़िशिंग काम करता है।

खाद्य सुरक्षा

सुरक्षित विकास की संस्कृति और डेवलपर्स द्वारा सुरक्षा के मुद्दों की बेहतर समझ को बढ़ावा देने के लिए, हमने निम्नलिखित प्रथाओं को लागू किया है।

हम लगातार उत्पाद टीमों के साथ संवाद करते हैं

हम स्प्रिंट समीक्षा, वास्तु समितियों में जाते हैं, समय-समय पर वर्तमान समस्याओं और तकनीकी टीमों के साथ समस्याओं पर चर्चा करते हैं। इसलिए हम प्रत्येक परियोजना में शामिल होते हैं, हम टीमों में माहौल और संबंधों को बेहतर ढंग से समझते हैं। हम मक्खी (क्या, क्यों और कैसे की रक्षा करें) पर सिफारिशों को बैकलॉग में ठीक कर सकते हैं।

हम HackerOne प्लेटफॉर्म पर एक बाहरी बग बाउंटी प्रोग्राम विकसित करते हैं

तीन से अधिक वर्षों के लिए, हमने हैकरऑन प्लेटफॉर्म का उपयोग करके अपने बुनियादी ढांचे में कमजोरियों की खोज करने के लिए बाहरी विशेषज्ञता को संलग्न किया है। एक वर्ष में हम पारिश्रमिक भुगतान पर $ 50k से अधिक खर्च करते हैं, जो संभावित नुकसान की तुलना में काफी कम है। यदि आपके पास बग बाउंटी प्रोग्राम नहीं है, तो हम अनुशंसा करते हैं कि आप इसे शुरू करें। अपेक्षाकृत कम पैसे के लिए, आपको एक वस्तुतः अनंत पंचफल प्राप्त होता है।

हम कमजोरियों और संभावित परिणामों पर रिपोर्ट का भी उपयोग करते हैं जो "इंटरनेट से किसी ने" पाया। यह जानकारी व्यवसाय को प्राथमिकता बढ़ाने और नए उत्पादों में सूचना सुरक्षा के लिए आवश्यकताओं को मजबूत करने, क्यूए स्तर और अतिरिक्त नियंत्रणों पर अतिरिक्त जांच शुरू करने में मदद करती है।

हम स्थानीय उत्पाद सुरक्षा नियंत्रण के लिए आदेशों में सुरक्षा अभियान खोज रहे हैं (और पाते हैं!)

आधुनिक वास्तविकताओं में, स्क्रैम / एजाइल मॉडल का उपयोग करते समय, प्रत्येक टीम में कम से कम एक व्यक्ति होना जरूरी है जो आपकी सिफारिशों के लिए एक मार्गदर्शक के रूप में कार्य कर सकता है और उत्पाद सुरक्षा पर "जयकार" कर सकता है। आदर्श रूप से, आपको प्रत्येक टीम में एक पूर्ण सुरक्षा विशेषज्ञता की आवश्यकता होती है, लेकिन हमेशा पर्याप्त संसाधन नहीं होते हैं। कुछ समय बाद, Devsecops या अनुप्रयोग सुरक्षा विशेषज्ञ Security Champion से बढ़ सकता है, इसलिए यह उत्पाद इंजीनियर या डेवलपर के लिए फ़ोकस बदलने का एक अच्छा अवसर है। हमारे मामले में, हम दोनों डेवपर्स और डेवलपर्स को खोजने में कामयाब रहे, जिन्होंने टीमों के भीतर सुरक्षा मुद्दों की अपनी समझ में काफी सुधार किया।

हम उत्पाद टीमों के लिए सूचना सुरक्षा कार्य कैसे सेट करते हैं

कार्य को व्यवस्थित करने के लिए, हम वर्णित व्यावसायिक जोखिमों के संयोजन में OWASP ASVS पद्धति का उपयोग करते हैं। प्रत्येक टीम के लिए, हम नियंत्रणों की एक सूची पेश करते हैं - उत्पाद सुरक्षा आवश्यकताओं। यह सिफारिशों के एक सेट की तरह दिखता है, जिसमें सुरक्षा का प्रत्येक उपाय अपने स्वयं के जोखिम से मेल खाता है। दस्तावेज़ स्पष्ट रूप से दिखाता है कि क्या पहले ही पूरा हो चुका है, क्या योजना बनाई गई है, और उत्पाद जीवन चक्र के इस चरण में क्या जोखिम व्यवसाय द्वारा स्वीकार किए जाते हैं।

इस प्रकार, तकनीकी टीम यह देखती है कि क्या किया जाना चाहिए, और संबंधित जोखिम व्यवसाय को दिखाते हैं कि इसे क्यों करना है, यदि यह पूरा नहीं होता है तो क्या संभावित परिणाम हो सकते हैं।

अगर कुछ नहीं किया गया है, तो हम मानते हैं कि संबंधित जोखिम स्वीकार किए जाते हैं, और प्रत्येक उत्पाद के लिए हम तकनीकी सुरक्षा ऋण लेते हैं।

नियंत्रण और प्रासंगिक जोखिमों का एक उदाहरण:

इसका परिणाम क्या है?

सभी गतिविधियों के प्रभाव को मापने के लिए, हम उन संकेतकों का उपयोग करते हैं, जो हमारी राय में, उत्पाद के जीवन के सभी चरणों में एक सुरक्षा संस्कृति के प्रवेश की गतिशीलता को दर्शाते हैं।

हमारे प्रयासों की तकनीकी दिशा में, हम दो मुख्य संकेतकों का उपयोग करते हैं।

1. उत्पाद सुरक्षा सूचकांक

यह दो-भाग का अभिन्न संकेतक है। पहला भाग एक लैगिंग मीट्रिक है, यह उत्पाद की भेद्यता के वर्तमान स्तर के बारे में बात करता है। दूसरा भविष्य कहनेवाला है, भविष्य में संभावित कमजोरियों के बारे में बात कर रहा है। नियमित माप का संचालन करके, हम एक विशिष्ट उत्पाद के साथ समस्याओं पर टीमों का ध्यान आकर्षित कर सकते हैं और उन्हें हल करने में मदद कर सकते हैं।

OWASP WRT — . , .
-, .
OWASP ASVS 3.0. , .
- , . , , .

2. योग्य बाहरी कंपनियों द्वारा नियमित रूप से प्रदर्शन किए गए

बाहरी प्रवेश परीक्षणों के परिणामों के आधार पर, हम समान परिस्थितियों की पुनरावृत्ति से बचने के लिए प्राप्त कमजोरियों को ठीक करते हैं और निष्कर्ष निकालते हैं।
यहां तक कि अच्छे परिणाम हमें आराम करने की अनुमति नहीं देते हैं, हर दिन नए खतरे और हमले वाले वैक्टर दिखाई देते हैं, हमलावर अधिक आविष्कारशील हो जाते हैं।

संगठनात्मक दिशा में, परिणाम अधिक व्यक्तिपरक हैं:

हम संभावित कमजोरियों और घटनाओं पर कर्मचारियों से पहले की तुलना में अधिक संदेश प्राप्त करते हैं। कर्मचारी समय पर संचार के महत्व को समझते हैं।
उत्पाद टीम परियोजना के बहुत शुरुआती चरण में आती हैं, और एक समझ है कि किसी समस्या को रोकना उसे ठीक करने की तुलना में बहुत आसान है।
, . , API, , .
GDPR — , , , .

?

( , , , );
;
KPI ;
, ;
प्रतिस्पर्धी लाभ हासिल करने के लिए उत्पाद सुरक्षा के उच्च और सिद्ध स्तर का उपयोग करें।

हमने यह सुनिश्चित किया कि न केवल राजनीतिज्ञों और राजग के माध्यम से टीम को दंडित करने, मजबूर करने और डराने के द्वारा एक अच्छा स्तर प्राप्त किया जा सकता है, बल्कि एक अलग दृष्टिकोण का उपयोग करके - जोखिमों को समझाते हुए, नियमों को बनाने और देखने की प्रक्रिया में लोगों को शामिल करना, अध्ययन करना और पिछली गलतियों को ध्यान में रखना शामिल है।

फिनटेक कंपनियों में सूचना सुरक्षा की संस्कृति को बढ़ाना