ServiceNow, kimliği doğrulanmamış kullanıcıların müşteri sistemlerine erişmesine izin verebilecek bir güvenlik sorununu açıkladı.
Kurumsal yazılım şirketi, 5 Haziran'da barındırılan müşteri ortamlarına bir güvenlik güncellemesi uyguladığını ve etkilenenlerle iletişime geçtiğini söyledi.
Bunu bir sözcü söyledi Bugün CX:
“ServiceNow yakın zamanda barındırılan müşterilere bir güvenlik güncellemesi uyguladı. Güncelleme, kimliği doğrulanmamış bir kullanıcının belirli koşullar altında ServiceNow örneklerine amaçlanandan daha fazla erişim elde etmesine olanak verebilecek bir güvenlik sorununu giderdi. Etkilenen müşterileri sonraki adımlar ve rehberlik konusunda doğrudan bilgilendirdik.”
Kullanıcıların Reddit'te yayınladığı müşterilere yönelik bildirim, satıcının kusurla ilgili şüpheli etkinlik tespit ettiğini doğruladı:
“Müşterilerin bir alt kümesi için, örnek tablolarında başarılı aramaların kanıtlarını gözlemledik. Bir vaka boyunca başarılı aramaların gözlemlenmesi durumunda müşterilerimize bilgi verdik. Bizden bir vaka almadıysanız, örneğinizle ilişkili bu tür bir etkinlik gözlemlemedik ve şu anda herhangi bir işlem yapmanıza gerek yok.”
ServiceNow, daha sonraki bir güvenlik tavsiyesinde, tespit ettiği şüpheli etkinliğin “güvenlik araştırmacıları veya kendi araştırmalarını yürüten müşterilerle ilişkilendirilebileceğine inandığını belirtti. Ancak araştırmamız devam ediyor ve ek doğrulamaya tabi.”
Bildirimde, güvenlik sorununun Avustralya platform sürümündeki müşterileri veya “Avustralya'dan önceki sürümlerdeki örneklerde belirli yapılandırma değişiklikleri yapan” müşterileri etkilediği açıklandı.
ServiceNow, ek müşteri eylemi gerekiyorsa Bilgi Tabanını (KB) güncelleyeceğini ve Ortak Güvenlik Açıkları ve Etkilenmeler (CVE) güncellemesi yayınlamayı değerlendirdiğini ekledi.
ServiceNow müşterileri olayı tartışmak için hemen Reddit'e gitti ve bir kullanıcı şöyle yazdı: “Sayılandırma güvenlik açığı kullanılarak verilerin açığa çıkabileceğini doğrulayabilirim.”
Diğer yorumcular, iç güvenlik sistemleri için ihtiyaç duyduklarının açıklanmasının ardından müşterilerin kullanımına sunulan veri eksikliğinden duydukları hayal kırıklığını dile getirdi. Bu yorumlar, kurumsal güvenlik olayları durumunda operasyonel şeffaflığın önemini yansıtmaktadır.
Yapay zeka, güvenlik açığı yönetimini daha da zorlaştırıyor
Açıklama, özellikle kuruluşların yapay zeka sistemlerini, otomasyon katmanlarını ve hassas müşteri verilerini giderek daha karmaşık hale gelen bulut ortamlarına bağlaması nedeniyle, kurumsal iş akışı platformlarıyla ilişkili artan operasyonel ve müşteri deneyimi risklerine dikkat çekiyor. Çoğu müşteri arka planda bir iş akışı motorunun ne zaman kapandığını asla bilemez. Ancak destek bildirimlerinin hassas verileri açığa çıkardığını veya dahili sistemlerin aniden güvenilmez hale geldiğini fark ediyorlar.
ServiceNow gibi platformlar, müşteri deneyimi ekiplerinin müşteri isteklerini, çalışan etkileşimlerini, olaylara müdahaleyi, işe alımları ve otomatikleştirilmiş iş akışlarını yönetmeleri için giderek artan bir operasyonel omurga görevi görüyor. Bu katmandaki sistemlerde güvenlik kusurları oluştuğunda bu durum müşterinin güven sorunu haline gelir.
Olayın zamanlaması, bu hafta piyasaya sürülen Anthropic's Fable gibi Mythos sınıfı yapay zeka modellerinin gelişiyle hızlanan yapay zeka kaynaklı güvenlik riskleriyle ilgili endişelerin arttığı bir dönemde gerçekleşti.
Eğer Vincent Danen, Red Hat'in ürün güvenliğinden sorumlu başkan yardımcısısöylenmiş Bugün CX yakın zamanda yapılan bir röportajda, saldırıların resmi güvenlik açığı açıklamaları kamuya açıklanmadan önce başladığı durumlar da dahil olmak üzere, kullanım süreleri önemli ölçüde kısaldıkça güvenlik açıklarının yamalanması daha acil ve zor hale geliyor. Danen şunları söyledi:
“Çok acı verici bir veya iki yıl geçireceğiz. Kendimi bağladım çünkü çok sayıda güvenlik açığı ortaya çıkacak ve yapılacak çok sayıda yama olacak.”
Geleneksel yama döngüleri, yapay zeka altyapısının karmaşıklığına ve giderek otomatikleşen saldırı tekniklerine ayak uydurmakta zorlanıyor.
Yapay zeka asistanları, iş akışı yardımcı pilotları ve müşteri deneyimi operasyonlarına derinlemesine yerleştirilmiş otomasyon katmanları sayesinde ekiplerin, güvenlik uyarılarının ve istismar edilebilecek tehditlerin aciliyetine, bunları ele almadan önce uyum sağlaması gerekiyor.
ServiceNow'un tanıtılması da daha geniş bir trende uyuyor. Geçtiğimiz yıl boyunca birçok kurumsal yazılım satıcısı, açığa çıkan veriler, kimlik doğrulama zayıflıkları veya bulut yanlış yapılandırmaları gibi güvenlik kusurlarını açığa çıkardı.
Kurumsal platformlar API'ler, entegrasyonlar, otomasyon katmanları ve müşteriye özel konfigürasyonların aynı anda çalıştığı son derece karmaşık sistemler olduğundan, bu kısmen modern bulut yazılımının gerçeğidir. Ancak karmaşıklık, operasyonel kırılganlık yaratır ve iş tedarikçileri için zor bir dengeleme eylemi yaratır. Müşteriler daha hızlı dağıtımlar, daha geniş entegrasyonlar ve daha fazla otomasyon isterken, güvenlik ekipleri daha sıkı kontroller ve daha az riske maruz kalmak istiyor. Her iki öncelik de artık aynı ürün yol haritasında yer alıyor.
Bir yanıt yazın