Daha fazla firmanın bu daha ince ayrıntılı bu yaklaşımını adapte etmeye ihtiyacı olduğunu kabul ediyor Cyber Defense Agency başkanı O. Sami Saydjari. “Onlar beyaz-şapkalı hacker'ları kiralayacak; bunlar tüm kapılarınızı zorlayarak nereden içeri girdiklerini söyleyen kişiler,” diyor Saydjari. “Ve firma da bu zayıf noktaları nasıl kapatacaklarını bulmaya çalışacak. Bu ilkel bir analiz.” Hükumet yüklenicisi Bailey iç sistemlerini bu türden bir penetrasyon testini gerçekleştirdiğinde, beyaz şapkalılar 12-13 cm kalınlığında bir raporla döndüler. Bailey tüm gedikleri kapadığını söylüyor ama extranet'i ihmal etmiş. Aynı zamanda sistem güncellemeleri ve yamaların kurulması için de gelişmiş bir program uygulamamış. “Açıklardan öğrenilen dersler tüm iş çapında bütün olarak uygulanmadı,” diyor Bailey. “Bu benim hatamdı.”

Her ne kadar tüm güvenlik stratejilerinde sistemlerin görüntülenmesi ve yamalanması başlıca esaslardan olsa da birçok CIO ve IT güvenlik profesyonelleri göreve tam tersinden yaklaşıyor, diyor Shmidt. “Tartışma genelde, bana tehlikenin nerede olduğunu söyle ve ben o sistemi güvenli hale getireceğim, şeklinde oluyor,” diye konuşuyor Schmidt. “Konuşlandırmadan önce savunmasız noktalara karşı sistemleri test etmeye ihtiyacınız var. Onları yamalamak için yerli yerinde bir sisteminiz olmalı ve verilerin nerede, ne yaptığını takip eden denetçiler bulunmalı.”

Güvenlikteki geleneksel yaklaşımı en başında değiştirmek IT organizasyonlarına kritik IP'lerin korunmasında yatırım önceliği sağlamalarında yardımcı olabilir. “En tepeden en aşağıya kadar organizasyonun görevine bakmanız gerekiyor,” diye açıklıyor Saydjari.

Derinlemesine savunma
Hangi IP varlıklarının daha fazla korunmaya ihtiyacı olduğu hakkında fikir sahibi olmaksızın, CIO'lar güvenlik için harcadıklarını yanlış yerlere koyabilirler. “Çoğu büyük organizasyon her şeyi temel engelleme ve yakalamayla yapıyor (firewall, antivirüs ürünleri vs. ile)”, diyor bilgisayar ağlarına yönelik adli bilişim firması NetWitness'ın CEO'su ve İç Güvenlik Bakanlığı'nın Ulusal Siber Güvenli Birimin'in eski direktörü Amit Yoran. Fakat genel olarak siber suçta karşı karşıya olduğumuz gibi, çevresel defans sadece bir yere kadar ulaşıyor. Firmaların her katmanda farklı türden korumanın yer aldığı çok katmanlı bir siber savunma stratejisine ihtiyacı var.

“Derinlemesine savunma” olarak anılan bir strateji, düşmanları durdurmaya çalışmaktan ziyade onları yavaşlatmak için kullanılan askeri bir teknikten geliyor. Model, hacker'lar içeri ne zaman girerler sorusunu değil, ne zaman girecekler sorusunu uyguluyor. “Eğer bir alanı güçlendirirseniz hacker'lar bir başka yere bakacaktır,” diyor James Lewis, Center for Strategic and International Studies'in direktörü. “İş onların içeri girme şanslarını düşürmekte.”