Teknoloji bir yandan dijitalleşmeyi hızlandırıp kolaylaştırırken öte yandan da siber saldırı ve tehditlere açık hale getiriyor. Bu noktada en popüler teknolojiler mobilite, internet, nesnelerin interneti, sanallaştırma ve bulut bilişim
olarak karşımıza çıkıyor. Bu alanlarda siber casusların iştahını kabartacak rakamlar söz konusu.
Herşeyin birbiriyle bağlantılı olduğu bir dijital ekosistemin en büyük düşmanları da siber casuslar olacaktır.
Bilgi ve güvenlik, beraber ve yan yana olmayı gerektiren, neredeyse evrensel iki konu. Ancak niteliği, içeriği, araçları, sonuçları insanlığın ve teknolojinin gelişmesiyle birlikte farklılık gösteriyor. Bilginin korunması, günümüzde bireylerden ülkelereuzanan geniş bir yelpazede ekonomik, siyasi, toplumsal yönüyle ele alınması gereken, stratejiler, kurallar ve yasal düzenlemeler bütünüdür diyebiliriz. Bilginin güvenliğini tehdit eden unsurların başında eğitimsizlik, bilgisizlik, bilinçsizlik, farkında olmama, kötü amaçlı çıkar elde etme, casusluk geliyor. 2016 yılında internete bağlanacak mobil cihazlarınsayısının 10 milyarı geçeceği, sadece bağlanabilir cihaz pazarının bir yıl içinde yüzde 35 oranında büyüyeceği tahmin ediliyor. Bununla birlikte birçok bağlantılı cihaz ve alıp verdikleri veriler endişe verici boyutlarda korumasız ve bu durum her geçen gün daha fazlası ödemelerde kullanıldıkça ciddiyetini artırıyor.
MEVCUT DURUM VAHİM
Yapılan araştırmalar gösteriyor ki, siber saldırılara ve tehditlere karşı şirketler henüz yeteri kadar hazır değil. Tehditlerle ilgili ön bilgi toplama, tespit ve analiz etme, tehdite müdahale etme aşamalarında şirketler yetersiz kalıyor. Yine araştırmalara göre şirketlerin yüzde 30’unun olası tehlike anında uygulayacağı bir güvenlik politikasının olmadığını, yüzde 60’a yakınının ise mevcut güvenlik planlarını güncellemediklerini görüyoruz. Ayrıca şirketlerin yüzde 55’inin de kendi kritik bilgilerini henüz tam tanımadıklarını ve olası bir tehdit sırasında öncelikle hangi bilgilerini kurtaracaklarını bilmedikleri ortaya çıkmış durumda. Günümüzde
en büyük bilgi güvenliği tehditlerine baktığımızda mobil cihazlar başta olmak üzere içeride çalışanların hatası, ihmali ve kötüye kullanımı, henüz güvenliği kesin olmayan teknolojilere hızlı geçiş ve sosyal medyadaki bilinçsiz kullanımı sayabiliriz.
Geleneksel yöntemlerin yetersiz kaldığı bu siber tehdit ortamında sürdürülebilir bir siber güvenlik ancak yeni nesil bilgi güvenliği teknolojilerine yatırım yapmakla mümkün olabilir.
2015 yılında kurumsal bilgisayarların yarısından fazlasının en az bir adet hedefli zararlı yazılımdan etkilendiği tespit edildi. Kurumsal bilgisayarların üçte biri en az bir kere internet tabanlı bir saldırıya maruz kaldı; standart ofis uygulamalarının tüketici saldırılarında olduğundan üç kat daha sık kullanıldığı görüldü. Dahası, kurumsal bilgisayarların yüzde 41’i taşınabilir medya cihazlarından gelen tehditlerle karşı karşıya kaldı.
Geçtiğimiz yıl fidye yazılımların oranı artış gösterdi. Bir cihaza bu tip bir zararlı yazılım bulaştığında kötü niyetli uygulama, kullanıcının yasadışı işlemler gerçekleştirdiğini bildiren bir mesaj taşıyan, açılır bir pencere görüntüleyerek cihazı engelliyor. Cihazın kilidini açmak için kullanıcıdan, 12-100 dolar arasında bir fidye ödemesi isteniyor.
Mobil cihaz sahiplerini hedefleyen zararlı yazılımların hacmi, 2015 yılında bir önceki yıla göre üç kattan fazla artış göstermiş durumda. 2015 yılında en tehlikeli tehditler fidye yazılımları, virüs bulaşan cihaz üzerinde sınırsız hak elde eden zararlı yazılımlar ve finansal zararlı yazılımları içeren veri hırsızları oldu.
HACKERLARIN MANTIĞI NASIL ÇALIŞIYOR?
Önceleri hackerler tarafından popüler olma, tanınma ve dikkat çekme amaçlı yapılan atak ve saldırılar artık kötü amaçlı ve genelde ekomomik zararlar veren, hedefli, bilinçli, profesyonelce planlanmış saldırılar olarak karşımıza çıkıyor. Bu saldırılar dikkatlice planlanıyor, hatta aylarca sistemlerin üzerinde yerleşerek veri trafiğini gözlemledikleri ve açıkları tespit edip en büyük vurgunu yapmak üzere strateji geliştirdikleri dikkat çekiyor.
Sadece sistemlere yerleşmekle kalmıyor; hedefledikleri şirketin bağlantılarını ve tedarikçilerini, hatta çalışanların kişisel ilgi alanlarını ve internette gezinme alışkanlıklarını araştırmak için zaman ayırıyor. Bu bilgiler daha sonra, zamanla sık sık tekrarlanan saldırılar ile gizliliğin bozulması ve kötü amaçlı yazılımların dağıtılması için yasal web sitelerini belirlemek için kullanılıyor.
Ekonomik zararların yanında ülkenin kritik tesislerine saldırarak siber casusluk ya da siber terör kaynaklı
faaliyet gösteren kötü amaçlı saldırılar da dünya dijital ekosistemini tehdit ediyor.
GÜVENLİK NASIL ELE ALINMALI?
Veri güvenliği ve siber güvenlik deyince şirketlerin ağ güvenliği , veri güvenliği, uygulama güvenliği,kimlik doğrulama ve erişim yetkisigüvenliği, güvenlik yönetimi, son kullanıcı güvenliği, sanallaştırma ve bulut bilişim sistemleri başlıklarını kapsayan bütünleşik bir güvenlik bakışı olması gerekiyor. Şirketlerin gündeminde bugünlerde en popüler konular bulut bilişim güvenliği, veri kaybı önleme,web güvenliği, büyük veride güvenlik olarak karşımıza çıkıyor. Büyük veri; veri çeşitliliği, veri karmaşıklığı,güvenlik zaafiyeti, hız ve gerçek zamanlı çalışma zorluğu anlamındabüyük sorunlar yaratabilen bir konuolmaya aday.
HANGİ VERİYİ NEDEN, NASIL KORUMALISINIZ?
Şirketler öncelikle verilerinin farkında olmalı, verilerinin bir değer taşıdığını ve bu değerin korunması gerektiğinin bilincinde olmalı. Yani ellerindeki değer nedir, bu değer nasıl korunur ve bu değer bir anda yok olursa ne yapılır?
Hemen hemen bütün iş süreçleri, bilgisayarlarla,yazılımlarla, internetle ve insan kaynağıyla yürütülüyor ama bu sürecin içindeki her halkanın kendine has zayıf noktaları var. Her zayıf nokta iyice analiz edilip, en önemli değer olan veri tabanlarından başlayarak tüm halkalar birlikte eş zamanlı olarak güçlendirilmelidir.
Her şeyden önce, şirketler kendiiçlerinde bilgi güvenliği politikası içeren bir belge oluşturmak zorunda.Veriler sınıflandırılmalı ve gizlilik dereceleri belirlenmelidir.
Hangi veriye kimin nasıl ulaşacağı saptanıp buna göre erişim yetkileri düzenlenmelidir. Şifre ve parolaların sık sık değiştirilmesi zorlanmalıdır.
Tüm veri sistemlerinin hem en güçlü unsuru hem de en zayıf halkası olan insan faktörü unutulmamalıdır. Tabii ne olursa olsun tüm aşamalarda güçlü ve yenilikçi çözüm ortaklarıyla çalışmalıdır. Veri güvenliğinin olmazsa olmaz maddelerini şöyle sıralayabiliriz:
• Verilerinizi ortaya çıkarın, sınıflandırın, yedekleyin ve güvenli bir şekilde saklayın.
• Tüm şirket çalışanlarının uyum sağlayacağı bir güvenlik politikası belgesi oluşturun.
• Müşterileriniz, iş ortaklarınız, tedarikçileriniz vs. Tüm dış etkenlerin güvenliği konusunu atlamayın.
• Bu belgeyi oluştururken uluslararası ve sektörel güvenlik standartları maddelerinden yararlanın.
• Periyodik olarak risk değerlendirmesi yapın.
• Hangi veriye kimlerin ulaşacağını ve yetki alanlarını tespit edin.
• Çalışanlarınıza güvenlik eğitimi verin.
• Bilişim sisteminizin her noktasında çok katmanlı bütünleşik veri güvenliği uygulamalarına yatırım yapın.
• Mobil kullanıcıların veri güvenliği için özel bir sistem geliştirin.
• Haberleşme ve kritik bilgiler için şifreleme uygulayın.
• Ağ geçitleri, e-posta ve birlikte çalışma gibi tüm altyapı unsurlarını koruyun.
• Güvenlikten sorumlu yetkili bir yönetici atayın veya bir bölüm oluşturun.
• Her türlü riske karşı güvenlik sigortası oluşturun.
Fortinet Bölge Satış Direktörü Derya Aksoy: “Yamala ve dua et” yaklaşımı zarar getiriyor
15 yıl önce Fortinet, sadece güvenlik duvarı çözümlerinin bilgi güvenliği için yeterli olmadığını görerek bütünleşik ağ güvenlik sistemleri geliştiren ve üreten bir şirket olarak kendini pazarda konumlandırdı. Gittikçe daha dijital olan dünyada her noktada bir güvenlik gereksiniminden söz etmek mümkün. Teknolojideki yaygınlık ve bilgi paylaşımının artmasıyla birlikte ataklar bilgiyi hedefler duruma geldi. Dış tehditlerin yanı sıra iç tehditler de önemli bir boyuta gelmiş durumda. Tehditler artık daha çok uygulama ve içerik seviyesinde gizleniyor. Fortinet Bölge Satış Direktörü Derya Aksoy ile günümüzün güvenlik anlayışını ve güvenlik stratejisinin ne olması gerektiğini konuştuk.
Şirketler ve kurumlar yeni nesil güvenlik tehditlerine karşı yeterince hazırlıklı mı?
Her yıl yaklaşık 17 bin şirket korsanlar tarafından saldırıya uğruyor. Üstelik saldırılar yalnızca kurumsal düzeyde kalmıyor, bireylere yönelik de gerçekleşiyor. Güvenlik uzmanları ise dijital tehditlerin son 12 yılda 10 bin kat arttığını gözler önüne seriyor. Buna rağmen internet ağları ve kurumsal ağlar, hâlâ yüzeysel önlemlerle tehditlere karşı koruma altına alınıyor. Fakat bu “yamala ve dua et” yaklaşımı verileri korumuyor. Kamudan bankacılığa, perakendeden telekom sektörüne kadar her ölçekteki şirket, artık tüketicileri ve kendilerini bekleyen tehlikeleri bilerek hareket etmek ve riskleri azaltmak için uyarlanabilir ve bütünleşik
yeni nesil güvenlik mimarilerine geçiş yapmak durumunda.
Şirketler yeni nesil güvenlik saldırılarına karşı nasıl önlem alabilir, korsanların bir adım önüne geçebilir?
Gerek kişisel, gerek kurumsal düzeyde geleceğin tehdit ve saldırılarına karşı akıllı güvenlik ve entegre koruma çözümleri gerekiyor. Tehditlere karşı artık daha fazla işlevsellik, esneklik, şeffaflık ve komple güvenlik sunan, kullanıcıya işlenebilir veriler ile dönebilen, PCI DSS uyumluluk şartları doğrultusunda geliştirilen, gerçek zamanlı ve yenilikçi sistemlerin kullanılması lüks değil, zorunluluk haline gelmiş durumda. Artık birbiriyle iletişim kuramayan, birbirinden bağımsız sistemlere son verip çok hızlı evrim geçiren tehditlere karşı aynı hızda yanıt veren, sağlamlaştırılmış endüstriyel form faktörleri ve yüksek performanslı bütünleşik esnek çözümler ile güvenlik teknolojileri ve düzenlemeleri gerekiyor. IPv4/ v6 güvenlik duvarı uygulamaları, şifreleme ve genel tehdit koruması (IPS, AntiX) gibi donanımı destekleyen teknolojilerin devreye sokulması da çok önemli.
IoT, giyilebilir teknolojiler gibi gelişmeler siber güvenlik risklerinine ölçüde artırıyor; buna karşı ne tür önlemler alınabilir?
IDC, IoT çözümlerinin oluşturacağı pazarın, 2013’teki 1,9 trilyon seviyesinden 2020’de 7,1 trilyon dolar seviyesine çıkacağını öngörüyor. Hackerlar da bu potansiyel büyümeyi fırsata dönüştürebileceklerinin farkında. Özellikle her geçen gün evrim geçiren siber tehditlere karşı itibarını, müşteri gizliliğini ve altyapılarını korumak isteyen ve farklı sektörlerde faaliyet gösteren büyük şirketler, artık güvenliği bir lüks değil, zorunluluk olarak görüyor.
Ancak dijital ekosistemde güçlü bir koruma kalkanı oluşturan Türk şirketlerin sayısı henüz az. Şu an için Türkiye’deki özel şirketler ve kamu kurumları bu tür güvenlik risklerine karşı en değerli verilerini korumak için araştırmalarını sürdürmesine ve harekete geçmesine rağmen, bu alanda daha fazla yatırıma ve kapsamlı güvenlik stratejilerine ihtiyaç duyuluyor. Bu nedenle verimliliği, bağlantı hızını ve performansı artıran özelliklere sahip veri merkezi güvenlik duvarları, özel ve genel bulut altyapıları, Internet2, yazılım tanımlı ağlar (SDN), sanallaştırma ve mobil platformlar üzerinden çalışmalarını yürüten güvenlik platformlarına ve bunların sanal sürümlerine odaklanmak gerekiyor.
Şirketler ve KOBİ’ler güvenlik çözümlerine yatırım yaparken hangi unsurları göz önünde bulundurmalı?
Bugün şirketlerde gördüğümüz en büyük eksiklik, tehditlerin gelişmesi ile birlikte savunma mimarilerinin değişmesi sonucunda ortaya çıkıyor. Maalesef birçok kurum bütüncül olmayan farklı katmanları tercih ediyor ve bunun sonucunda da teknolojilerarası istihbarat sağlanamıyor, yönetim zorlukları ortaya çıkıyor. Şirketler, etkili güvenlik politikaları için bütüncül mimariler ve birbiriyle tam entegrasyon içinde çalışan uyumlu bileşenler kullanmalı. Bu şekilde istihbarat bilgilerini tüm altyapılarında paylaşarak farklı giriş noktalarında aynı seviyede koruma sağlayabilirler.