මේ වෙනකොට, ගොඩක් company internet එක්ක තමයි වැඩ කරන් යන්නේ. ඒ කියන්නේ එයාලගේ data සේරම store වෙලා තියෙන්නේ cloud එකක. නැත්නම් server computer එකක. ඉතිං මේ data hack උනොත් මොකක්ද වෙන්නේ? Hack වෙන්න කලින් නවත්වන්න බැරිද?

මේ article එකෙන් අපි ඒ ගැන කතා කරමු.

හරි මෙහෙම හිතන්නකෝ, මේ වෙනකොට ඔයා අනිවාර්යයෙන්ම Facebook, Instagram, LinkedIn වගේ social media use කරනවනේ. ඒ විතරක් නෙවෙයි ඔයා e banking, e medicine   වගේ දේවලුත් use කරනවා ඇති. ඉතිං ලෝකේ පුරාම ඉන්න අය මේවා use කරනවා කියන්නේ එයාලගේ sensitive data අනිවාර්යයෙන්ම කොහේ හරි store වෙනවා කියන එකනේ.

Facebook කියන්නේ මේ වෙද්දී ගොඩක් අය අතරේ famous application එකක්. Facebook use කරන් නැති කෙනෙක් හොයා ගන්නත් අමාරුයි. Facebook use කරන ඔයා, ඔයාගේ හැම sensitive data එකක්ම, ඒකේ update කරනවා නේද? ඒ විතරක් නෙවෙයි ඔයා හිතන්නකෝ ඔයාට අසනීපයක් වෙලා doctor කෙනෙක් channel කරනවා කියලා.  එහෙමෙ නැත්නම් ඔයා ඔයාගේ card details use කරලා මොනවා හරි payment එකක් කරනවා කියමුකො. මේ දේවල් වලදිත් අපි අපේ sensitive data තමයි use කරන්නේ. 

අපි මේ දේවල් use කරාට අපේ data store වෙන company එක, ඒ කියන්නේ Facebook, LinkedIn, e – channeling සහ banks වලින් අපේ data, hacker කෙනෙක් ගන්න බැරි වෙන විදියේ high security එකක් දුන්නොත් අපේ sensitive data වලට කිසිම අව්ලක් වෙන්නෑ. 

බැරි වෙලාවත් මොනවා හරි වෙලා Facebook, LinkedIn, e channeling වගේ company එකකින් එයාලගේ users ලගේ privacy data hack උනොත්, ඒ company එකට වෙන impact එක mainly parts දෙකකට බෙදෙනවා. එකක් තමයි, financial losses කියන්නේ. අනිත් දේ තමයි, reputational damage කියන්නේ. 

ඒ කියන්නේ එයාලා වෙච්චි damage එක recover කර ගන්න ඕනි. තියෙනෙ security එක වැඩි කර ගන්න ඕනි. මේ දේවල් කරන්න IT teams, technical teams වල අයට pay කරන්න ඕනී. ඒ විතරක් නෙවෙයි. Company එක ගැන customer ලට තියෙන විශ්වාස නැති වෙන එක තමයි ලොකුම case එක. 

ඉතිං එතකොට company එකේ profits උනත් නැති වෙන්න පුලුවන්. හැබැයි, බැරි වෙලාවත් මෙහෙම දෙයක් උනොත්, අපි මොකක්ද කරන්න ඕනි? දැන් අපි ඒක ගැන කතා කරමු.

1. know your cyber insurance carrier’s breach process.

මේ process එකට අනුව හදිසියෙන්වත් company එකක security case එකක් වෙලා customers ලගේ sensitive data leak උනොත්, මුලින්ම අදාල breach process එක එහෙම නැත්නම්, data leak වෙච්චි විදිය ගැන හොදට investigate කරලා බලන්නත ඕනි. කොහොමද මෙහෙම දෙයක් උනේ? මේකට හේතුව මොකක්ද? මේ වගේ දේවල්. ඒ details සේරම හොයා ගන්න අතරේ company එකට join වෙලා ඉන්න අනිත් employees ල, customers ලවත් අපි දැනුවත් කරන්න ඕනි. 

Example එකක් විදියට facebook company එක hack උනා කියමුකො.  ඉතිං බැරි වෙලාවත් එහෙම දෙයක් උනොත් facebook company එකෙන් දෙන service එක නවත්වලා, එයාලගේ users ලට මේ ගැන inform කරන්න ඕනි. මොකක්ද නැත්නම් attck එකේ තත්වේ තවත් දරුනු වෙන්න පුලුවන්.

2. Have a communication plan in place.

දෙවැනි process එක තමයි, හොද communication plan එකක් හදන එක. ඒ කියන්නේ sensitive data hack වෙලා තියෙනව වෙලාවක customer ලව දැනුවත් කරන්න හොද communication plan එකක් company එක පැත්තෙන් තියෙන්න ඕනි. මුලින්ම attack එකට face කරපු අය එක්ක කතා කරලා details දැන ගන්නත් ඕනි.

ඒ විතරක් නෙවෙයි අපේ side එකෙන් වෙච්චි  අව්ල ආයෙත්  recover  කරනවා කියන idea එක customers ලට දෙන්න ඕනි . ඒ විදියට හොඳ විශ්වාසයක් ඇති කර ගන්න නම්, අදලා company එක, එයාලගේ පැත්තෙන් ඉස්සරහට කරන්න ඉන්න දේවල් ගැන customer ලට සැරින් සැරේ update එකක් දෙන්න  ඕනි.

3. Understand the relevant breach notifications guidelines and regulations.

ඊලගට කරන්න ඕනි වැදගත්ම දේ තමයි, නීතිය පැත්තෙන් කරන්න ඕනි දේවල් ගැන බලලා ඒවා ගැන අදාලා පාර්ශවය දැනුවත් කරන එක. මේ process එක ගත්තම, එකේ ISO (International Organization for Standardization), NIST (National Institute of Standard & Technology), ISOC කියලා ගොඩක් security standers තියෙනවා. 

ඉතිං මොනවා හරි දෙයක් වෙලා අපේ security එකට problem එකක් ආවොත් මේ security standard වලට අනුව වැඩ කරන්න අපි බලන්න ඕනි වගේම, Cyber side එකේ වැඩ කරන් යද්දී මේ standers වල තියෙන regulations ගැනත් company එකක් විදියට බලන්න ඕනි. 

ISO එහෙමෙ නැත්නම් International Organization for Standardization එකට අනුව informtion security එකට එක එක standard හදුන්වලා දීලා තියෙනවා. ඒ අතරේ මේ වගේ දේවල් ගොඩක් special වෙනවා.

ISO/IEC 27001 – Information security management systems 

ISO/IEC 27005 – Information security risk management 

ISO/IEC 27018 – Code of practice for controls to protect personally identifiable information processed in public cloud computing services

ඒ විතරක් නෙවෙයි NIST Cybersecurity Framework කියන්නෙත් මේ වගේ දේවල් වලට cybersecurity side එකේ ගොඩක් අය අනුගමනය කරන standard එකක් කිව්වොත් හරියටම හරි. ඒකෙත් identify, protect, detect, response, recover කියලා process එකක් තියෙනවා. දැන් අපි බලමු මොනවද ඒවගෙන් වෙන්නේ කියලා.

Identify – මේ process එකේදී company එකේ cybersecurity risk එක ගැන හොයලා බලන්න ඕනි. ඒ කියන්නේ company එකට join වෙලා ඉන්න අය, එයාලා කරන activities, company එකට පිටින් එන්න පුලුවන් risk එහෙම හොයලා බලන්න ඕනි.  

දැන් ඔයාලා හිතන්වා ඇති නේද ඇයි company එකට join වෙලා ඉන්න අයගේ activities ගැන හොයලා බලන්නේ කියලා? ඒකට හේතුව මේකයි. Cybersecurity side එක ගත්තම attacks එන්න පුලුවන් ප්‍රදාන විදි දෙකක් තමයි inside attack සහ outside attack කියන්නේ. Outside attack කියන්නේ අපි normal කතා කරන්වා වගේ පිටින් එන attack එකක්. Inside attack එකක් කියන්නේ company එකේම වැඩ කරන කෙනෙක්ගෙන් company එකට වෙන්න පුලුවන් attaks.

Protect – Identify කියන step එකෙන් අපි company එකට තියෙන risk එක අදුර ගත්තා. දැන් අපි ඒවට කරන්න පුලුවන් විසදුම් හොයන්න ඕනි. ඒ කිව්වේ company එක protect කර ගන්න අපි කරන්න ඕනි දේවල් ගැන හිතලා බලන්න ඕනි.

Detect – Second step එකේදී අපි කරන්න ඕනි security methods ගැන බැලුවා. ඊලගට අපි ඒවා implement කරන විදිය ගැන බලන්න ඕනි.

Respond – Fourth step එකේදී අපි implement කරන process එක කරා. දැන් අපි ඒ implement කරපු security method එක වැඩ කරන්වද කියලා බලන්න ඕනි.

Recover – Recover කියන්නේ අපි කතා කරන last step එක. මේකදී අපි කරන්නේ අපි implement කරපු security method එක හරියටම වැඩ කරනවද කියලා check කරලා බලන එක සහ ඒකේ maintenance වැඩ ගැන බලන එක.

4. Have a vulnerability disclosure program in place.

මේ article එකේ අපි කතා කරන fourth topic එක තමයි දැන් අපි බලන්න යන්නේ. VDP (Vulnerbility disclousure program) මේකට අනුව, අපි අපේ company එකට වෙන්න පුලුවන් risk එක ගැන කලින් analysis කරන්න ඕනි. ඒ කිව්වේ කලින් ඉදන් මෙහෙම දේවල් උනොත්, ඒවට ගන්න පුලුවන් security options ගැන review කරලා ඉන්න ඕනි.

මොකද අපි internet use කරන නිසා අපි දන්නෙම නැතිවම අපේ data වෙන අය අතට පත් වෙන්න පුලුවන්. ඉතිං ඒ නිසා ඒ risk එකට කලින්ම ලෑස්ති වෙන එක ගොඩක් වැදගත් වෙනවා. VDP කියන්නේ තරමක් cost එක යන method එකක්. ඒත් හදිසියෙන්වත් අපේ company එකට ලොකු attack එකක් වෙලා වෙන damage එකට වඩා VDP එකක් යටතේ අපේ company එක manage කර ගෙන යන්න පුලුවන් නම් ඒක company එක පැත්තෙන් ගොඩක් valuable දෙයක්.

5. Consider penetration testing service.

අද අපි කතා කරන last topic එක තමයි Penetration testing service එක කියන්නේ. මොකක්ද මේ Penetration testing  කියන්නේ? Penetration testing එහෙම නැතිනම් white hat hacking කියන්නේ 
මේ වෙද්දී ගොඩක් famous දෙයක් කිව්වොත් හරියටම හරි. මෙයාලා තමයි system වල තියෙන අවුල් මොනව කියලා අදුරගෙන පිටින් system එකට වෙන්න පුලුවන් attack වලින් system එක protect කර ගන්නේ. 

මෙයාලගෙන් company  වල system security  එක පවත්වා ගන්න ලොකු  support  එකක් හම්බුවෙනවා.
ඒ නිසාම company වල penetration testing වලට වෙනම teams පවා ඉන්නවා.ඒ අතරේ blue team කියන්නේ ඒ වගේ company  එකේ cyber security errors අදුර ගන්න help කරන ගොඩක් special  කට්ටියක්.