Yaşamımız dijitalleşirken güvenlik boyutunun giderek ön plana çıktığını gözlemliyoruz. Dijital sistemlerin gelişimi ve sürdürülebilir olmaları ne kadar güvenli olduklarıyla doğru orantılı. Önceleri kapalı devre güvenlik sistemleri korumayı sağlayabiliyorken, verinin ve bilginin güvenliğini konuşuyorken bugün açık platformlarda siber güvenlik kavramını konuşmaya başladık. Nesnelerin interneti ile birlikte herşeyin dijital olarak birbirine bağlandığı bir dünyaya adım atacağız ve bu açık platform pek çok tehlikeleri de barındırıyor. Sistemler ve bilgiler ne kadar açık platformlarda ise o kadar da fazla tehlikeye, saldırıya ve dolandırıcılığa maruz kalması söz konusu. Hiçbir güvenlik açığının oluşmaması için bütünleşik, önleyici bir siber güvenlik politikası ve yatırımına gereksinim duyuluyor.
Siber güvenlik ya da dijital güvenlik her zaman sıcak gündemini koruyacak bir alan gibi görünüyor. Gün geçmiyor ki bu alanda çeşitli araştırmalar yapılmasın. Her bir araştırma siber güvenliğin farklı bir boyutunu, artan tehlikeleri, değişen saldırı tipleri ve profillerini , yeni nesil hackerları vb. ortaya koyuyor. Araştırmalardan çıkan ortak nokta; siber saldırıların daha çok yeni teknolojilere yöneldiğini ortaya koyuyor. Özellikle son kullanıcıların bulunduğu noktalar örneğin mobil uç cihazlar, akıllı telefonlar, sosyal medya ortamları hackerlerin gözdesi konumunda. Yanı sıra siber saldırganların nesnelerin interneti, giyilebilir teknolojiler, bulut, endüstri 4.0, yapay zeka, blockchain gibi yeni teknoloji alanlarında oluşabilecek güvenlik zafiyetini göz hapsinde tuttukları bir gerçek. Araştırma kuruluşlarının, güvenlik şirketlerinin yaptığı araştırmalara göz atıp bu tehlike dolu açık dünyada bireyler ve şirketler olarak neler yapmamız gerektiğine göz atacağız. Çünkü basit ve sıradan bir güvenlik önlemi, çok büyük kayıpların önüne geçebilecek.
SİBER TEHDİTTE TÜRKİYE RİSK ALTINDA
2017 yılı, tüm dünyada kurumlara yönelik yüksek profilli saldırıların meydana geldiği bir yıl oldu. 150’yi aşkın ülkeyi etkileyen WannaCry saldırısı, Yahoo’nun 3 milyar kişiye ait kullanıcı bilgilerinin ele geçirilmesi ya da “Game of Thrones“ dizisinin henüz yayınlanmamış bölümlerinin sızdırılması…
Siber güvenlik önlemlerini günümüze uyarlayamamış şirketler çok büyük bir riski göze almış durumdalar. Artık yazılım güvenliğinin temel bileşenleri içerisinde saldırı öncesi önlemler, izleme ve takip, arşivleme, yedekleme, felaket önleme, saldırı anı aksiyonlar, olay yeri araştırma, saldırı sonrası aksiyonlar gibi farklı konseptler mevcut.
Trend Micro Akdeniz Ülkeleri Genel Müdürü Yakup Börekcioğlu, kullanıcıların yamalama ve güncelleme problemlerinin, bu saldırılar karşısında hackerlara açılan bir kapı olduğunu söylüyor ve yaptıkları araştırmadan alıntılar yapıyor: “Trend Micro olarak yaptığımız araştırmalarda, yılın ilk yarısında 82 milyondan fazla fidye yazılım tehdidinin yanı sıra güvenlik önceliklendirme ihtiyacını destekleyen 3 bin BEC (iş e-postası sızmaları) girişimini tespit ettik. Bu rakam her dakika artmaya devam ediyor. İlk yarıyıl raporlarına göre bölgesindeki fidye yazılımların yüzde 18’ini Türkiye oluşturuyor. Bu oranla Avrupa bölgesinde birinci ve dünyada da ABD, Brezilya, Hindistan ve Vietnam’dan sonra 5. sırada yer alıyor. Online bankacılık işlemlerindeki zararlı yazılımlarda da Türkiye Avrupa’da birinciyken dünyada da ABD, Çin, Japonya ve Vietnam’ın arkasından 5. sırada. Kısacası Türkiye risk altındaki ülkeler arasında.’’
Siber tehditleri bugün dünya coğrafyasından, siyaset ve ekonomik gelişmelerden ayrı tutamıyorsunuz. Nitekim Trend Micro, Orta Doğu ve Kuzey Afrika Yeraltı Dünyasının kapsamlı siber suç raporunu hazırladı.
Rapor; bölgede politik amaçlı hack olayları, DDoS saldırıları ve web site içeriklerinin bozulması yönünde ataklar yaşandığını gösterirken, siber dolandırıcılık ve kimlik hırsızlığına karşı kullanıcıların ve kurumların daha dikkatli olması gerektiğini ortaya koyuyor. Rapora göre; kredi kartı bilgileri ya CVV2 numaraları ya da tüm bilgileriyle birlikte satılıp, değiş tokuş ediliyor. Kredi kartının sahtesini yapmak için gereken kart sahibinin ismi, doğum tarihi, adresi, PIN numaraları gibi tüm bilgilere ücreti biraz daha artırarak sahip olunabiliyor. Türkiye’de bir kredi kartının tüm bilgilere 18 dolara ulaşıldığını gösteren rapor, bu konuda kullanıcıların en yüksek seviyede güvenlik önlemi almasının ne kadar önemli olduğunu gözler önüne seriyor. Diğer yandan politik amaçlı hack girişimleri, DDoS saldırıları ve web sitelerinin içeriklerini bozma, bu bölgedeki siber suçluların asıl yoğunlaştığı alanlar. Bu tür saldırılar ağırlıklı olarak Batı ülkeleri ve yerel hükümetlere karşı ideolojik güvensizliği olan kişiler tarafından gerçekleştiriliyor. Bu suç alanlarını yüzde 27 zararlı yazılımlar, yüzde 27 sahte belge hazırlama, yüzde 20 veri çalma, yüzde 13 suç yazılımları, yüzde 10 silah, yüzde 3 ise uyuşturucu olarak kategorize ediliyor.
NE YAPILMASI GEREKİYOR?
Topyekun siber güvenlik deyince yasal düzenlemeler önemli bir boyut kazanıyor. Kamuda ve devlet birimlerinde, ayrıca iş dünyasını da ilgilendiren bir dizi siber güvenlik düzenlemesi ve yasası hayata geçirilmiş durumda. Bu alanda beklenen son gelime ise, bir Siber Güvenlik Yasası oluşturulması. Platin Bilişim Genel Müdürü Ayhan Bamyacı, Türkiye’nin yeni kanuni düzenlemeler ile siber güvenlik alanında hukuki mevzuatı da geliştirme çalışmalarının devam ettiğini belirterek, önümüzdeki günlerde çıkması beklenen Siber Güvenlik Yasası’nın her şirkete en az bir siber güvenlik uzmanı istihdam etme zorunluluğu getireceğini söylüyor. Bamyacı, uzman açığının kritik önemini şu sözlerle değerlendiriyor: “İlk etapta 10 bin şirketin yasa kapsamına alınacağını öngörüyoruz. Bazı şirketlerin birden fazla siber güvenlik uzmanına ihtiyaç duyacaklarını göz önüne aldığımızda Türkiye’nin acilen 21 bin siber güvenlik uzmanı ihtiyacı olduğunu görüyoruz. Kamu kurumlarına atanması beklenen 1000 yeni siber güvenlik uzmanı da bu sayıya dahil. Tabii bu ilk etapta kanun kapsamına girecek şirketlerin ihtiyacı. Kanunun dalga dalga tüm şirketleri kapsayacağı düşünüldüğünde bu ihtiyaç katlanarak artacak demektir. Siber güvenlik uzmanı açığı sadece Türkiye’nin konusu değil. 2019 yılında dünya genelinde 6 milyon siber güvenlik uzmanına ihtiyaç olacağı öngörülüyor.’’
KOBİ’LER SİBER SALDIRILARDAN NASIL KORUNACAK?
Ponemon Institute tarafından gerçekleştirilen, ABD ve İngiltere’deki 1000 BT uzmanının katıldığı ankete göre 2017’de küçük ve orta ölçekli işletmeler, siber tehditler listesinin başında geliyor. Katılımcıların yüzde 51’inin geçtiğimiz yıl başarılı veya başarısız en az bir fidye yazılımı saldırısıyla karşılaştığını bildirdiği araştırma sonuçlarına göre, birden fazla saldırıya maruz kalanların oranı ise yüzde 28. Siber saldırıya uğrayanların yüzde 79’u saldırganların fidye yazılımını yaymak için kimlik avı ve sosyal mühendislik yöntemlerini kullandıklarını söylüyor. KOBİ’ler için siber saldırı riski 2016 yılında yüzde 55 iken, 2017’de yüzde 61’e yükseldi. Çalınan veri miktarı ise 2016’da ortalama 5079 iken bu sayı 2017’de neredeyse ikiye katlanarak 9350 oldu. 2016’daki siber saldırılar BT varlıklarının ve altyapısının hasar görmesi ya da çalınması nedeniyle ortalama 1 milyon dolar maliyete neden olurken, normal operasyonların aksamasından kaynaklanan ortalama maliyet ise 2016 raporuna kıyasla 1 milyon doları aştı. Ponemon’un raporuna göre, katılımcıların yğzde 67’si internete bağlı (IoT) cihazların ofislerindeki etkileri konusunda endişe duyuyor. Bunun yanında, katılımcıların yüzde 56’sı IoT ve mobil aygıtların şirket ağlarındaki en savunmasız uç noktalar olduğuna inanıyor.
Antivirüs yazılım şirketi Bitdefender, KOBİ’lere fidye yazılımlarından nasıl korunabilecekleri konusunda 10 önemli tavsiyede bulundu. Bunlar:
• Dijital varlıklarınızın envanterini ve bulunduğu yeri temiz tutun, böylece siber suçlular sizin haberiniz olmadan sisteminize saldıramaz.
• İşletim sisteminiz ve uygulamalarınız dahil bütün yazılımları güncelleyin.
• Personellerin cihazlarındaki bilgiler dahil, bütün verileri her gün yedekleyin. Böylece eğer saldırıya uğrarsanız, şifrelenen verileri geri yükleyebilirsiniz. Önemli verileri mutlaka bilgisayarınıza ve ağınıza bağlantısı olmayan güvenli bir ortamda da yedekleyin.
• Bütün verileri şirketinizin ortak dosya paylaşım ağına koymayın. Paylaşım ağınızı bölümleyin.
• Şirket çalışanlarını siber güvenlik hakkında bilgilendirin. Bilinmeyen kaynaklardan gelen e-posta eklerini ve linkleri açmamaları konusunda onları uyarın. Unutmayın ki, bir şirket ancak en zayıf halkası kadar güvendedir. • Eğer bir virüs şirket ağına erişirse, çalışanları bilgilendirecek bir iletişim stratejisi geliştirin.
• Herhangi bir saldırı olmadan önce, olması durumunda ne yapacağınızı yönetim kurulu ile kararlaştırın.
• Belirli cihaz ya da uygulamaların, satıcılarıyla iletişime geçip, yaşam döngülerinde siber güvenliklerini tekrar gözden geçirerek tehdit analizi uygulaması yapın.
• Bilgi güvenliği ekibine penetrasyon testi uygulamaları ve bir güvenlik açığı varsa bulmaları için talimat verin.
• Tüm cihazlarınız için zararlı yazılımları, kimlik avı ve saldırı girişimlerini tespit edip engelleyecek akıllı bir güvenlik çözümü edinin.
BİREYSEL KULLANICILAR SİBER GÜVENLİĞİN NERESİNDE?
Bitdefender, iSense Solutions şirketine yaptırdığı bir araştırmada son kullanıcıların maruz kalabileceği siber güvenlik açıklarını şöyle açıklamış:
• İnternete bağlı güvenlik kameraları saldırganlar tarafından savunmasız ve uzaktan kontrol edilebilir olarak görülüyor. Genellikle ev içerisindeki internete bağlı diğer cihazlarla aynı ağı paylaşan kameralar saldırganlar tarafından bu cihazlara erişmek için bir geçit olarak kullanılabiliyor ve tüm ev ağını riske atabiliyor.
• Akıllı telefonlar, dizüstü bilgisayarlar ve tabletler en çok kullanılanlar arasında yer alıyor. Buna karşılık akıllı cihazların 10 kullanıcısından yalnızca 3’ü birileri tarafından cihazlarının kamerasına erişilebileceğinden ve kendileri fark etmeden görüntü kaydedilebileceğinden endişe duyuyor.
• Akıllı TV’ler aynı zamanda bir web kamerası da barındırıyor ve her 10 akıllı TV kullanıcısının 6’sı bu cihazlar için bir güvenlik çözümüne sahip değil. Dahası, akıllı TV kullanıcılarının yüzde 35’i televizyonlarına farklı uygulamalar yüklüyor ve bu uygulamaların yüzde 30’u resmi uygulama dükkanı dışındaki web sitelerinde bulunan uygulamalardan oluşuyor. Aynı araştırmanın sonuçlarında, akıllı TV sahiplerinin yarısının cihazlarındaki şifreleri asla değiştirmedikleri ve katılımcıların yüzde 55’inin cihazlarında bir yazılım güncellemesi yapmadıkları görülüyor.
• İnternete bağlı cihazların da bu tür özelliklere sahip olmaları kullanıcıların güvenlik ve gizliliklerine karşı daha dikkatli olmaları gerektiğini gösteriyor. Varsayılan parolalarla korunan ve hiçbir zaman güncellenmeyen akıllı TV’ler ve IP kameralar genellikle güvensiz oluyor ve bu da onları siber suçlular için uygun hedefler haline getiriyor.
• Dizüstü bilgisayarlar ve akıllı telefonlar açısından bakıldığında ise, casus yazılımların sizi gözetlemeye çalışabileceği ihtimalini düşünerek yalnızca izin verdiğiniz uygulamalar tarafından cihazınızın web kamerasına erişildiğinden emin olmanız gerekiyor.
Araştırmanın sonunda bireysel kullanıcılar için güvenlik ipuçları da var:
• İnternete bağlı bir cihazı satın almadan önce cihazın güvenilirliğinden ve bu cihazın nasıl çalıştığını tam olarak anladığınızdan emin olun. İnternete nasıl bağlanır, hangi verilere erişebilir, bu verileri nerede saklar ve hangi koşullar altında bu verileri kullanır öğrenin.
• Güvenlik ve gizliliği artırın. Cihazla birlikte gelen varsayılan şifreleri, eşsiz ve karmaşık bir şifre ile değiştirin. Kablosuz yönlendiriciler de dahil olmak üzere tüm cihazlar için güçlü şifreler kullanın.
• Eğer mümkünse akıllı televizyonunuzu ayrı bir ağda izole edin. Eğer kamerası varsa kullanmadığınız zaman kapalı olduğundan emin olun ve sadece üretici tarafından yetkilendirilmiş uygulamaları yükleyin.
• Evin içerisindeki cihazların güvenlik durumu, kimler tarafından kullanıldığı, yazılımın üretici tarafından düzenli bir şekilde güncellenip güncellenmediği ve en önemlisi de ne sıklıkla saldırıya uğradığı konularında güncel kalın. • Tüm cihazlarınız için zararlı yazılımları, kimlik avı ve saldırı girişimlerini tespit edip engelleyecek akıllı bir güvenlik çözümü kullanın.
Güvenlikte Biyometrik Unsurlar
Siber güvenlik dünyasında en kritik alanlardan biri olan kimlik doğrulama biyometrik teknolojiler sayesinde kolaylaşıyor.
Özellikle fiziksel güvenlik alanında kullanılan biyometrik teknolojiler son zamanlarda yeni açılımlar gösteriyor. Göz rengi, kan grubu, DNA, parmak damar izi, parmak izi, iris, ses gibi özellikler referans alınarak kimlik doğrulamada kullanılan bu teknolojiler hayatın her alanına dokunmaya başladı. Örneğin parmak izi güvenliğinden sonra cep telefonlarına kadar giren iris tanıma teknolojisi; yüksek güvenlik sunması, hızlı tarama becerisi ve daha düşük maliyetli oluşuyla diğer biyometrik geçiş sistemlerinin önüne geçiyor. İris tanıma, diğer biyometrik sistemlere göre dış etkenlerden daha az etkileniyor ve hijyenik bir kullanım sunuyor. Biyometrik tanıma ve doğrulama teknolojilerinde bir başka unsur da yüz tanıma sistemi. Örneğin PayPal artık mobil ödeme işlemleri için yüz tanıma sistemini kullanacak. Sistem şimdilik deneme sürecinde. Londra’daki pilot işletmeler bu ayın başında PayPal’ın yüz tanıma özelliğini ve uygulamasını test etmeye başladı. Bir başka biyometrik uygulama da ses tanıma teknolojisi olarak karşımıza çıkıyor. Artan kimlik hırsızlığı ve dolandırıcılık olayları kurumların güvenlik arayışlarını artırıyor. Fiziksel güvenliğin yanında ses tanıma teknolojisi, müşteri deneyimini zenginleştirmede farklı bir alternatif çözüm niteliğinde. Birden fazla adımdan oluşan güvenlik uygulamalarının kullanıcıları bunaltabileceği gözönünde bulundurulduğunda ses tanıma uygulaması arayan kişiyi biyometrik ses analiziyle sesinden tanıyarak kimlik doğrulama oluşturabiliyor.
Basit Ancak Etkili Güvenlik Adımları
ESET Kıdemli Güvenlik Araştırmacısı Stephen Cobb, hızla sayısı ve etkisi artan dijital tehditlere karşı şirketleri şöyle uyarıyor:
• Düşmanınızı tanıyın!
İşgücünün, kendisini geniş bir tehdit yelpazesine karşı koruyabilmesi için öncelikle düşmanlarını bilmesine ihtiyacı var. Kötü amaçlı yazılım, kimlik avı, fidye yazılımı ve sosyal mühendislik gibi en yaygın tehditler ve bunların nasıl çalıştığıyla ilgili bilgiler, çalışanların sorunu anlamasına ve daha hassas olmalarına yardımcı olur.
• Parola güvenliğini ihmal etmeyin!
Parolaları oluşturma ve hatırlama konusundaki zorluklar, kişilerin büyük çoğunluğunun her şey için aynı parolayı kullanmasına neden oluyor. Sadece her hesap için aynı şifreyi kullanmaları değil herkesin aynı şifreyi kullanıyor olması da sorun. Kolay ve güvensiz parolalar, önemli güvenlik açığına neden olur. Çalışanlar daha güçlü parolalar konusunda bilgilendirilmeli.
• Tıklamadan önce düşünün!
Sosyal mühendislik; sanal suçluların insanları, kişisel ve hassas bilgileri genelde aldatıcı ve hileli yöntemlerle vermeye yönlendiren bir psikolojik manipülasyon şekli. Örneğin en sık kullanılan kimlik avı senaryolarından biri şöyle: Bankanızdan veya finansal hizmet aldığınız kurumdan olduğunu düşündüğünüz bir e-posta alıyorsunuz. Hesabınızın ayarlarını kontrol etmenizi ve verilen link üzerinden kimlik bilgilerinizi vererek onaylamanızı talep ediyorlar. Ancak kişisel bilgilerinize erişmeye çalışan bankanız değil, siber suçlulardır. Oysa en iyi arkadaşınızdan, patrondan veya bankadan gelen “tuhaf” e-postalar, bir telefon veya mesaj yolu ile kolayca doğrulanabilir.
• Güvenlik herkesin sorumluluğudur
Şirket içindeki departman veya seviyeye bakılmaksızın, tüm çalışanların farkındalık edinmesi sağlanmalı. Özellikle ünvanları C ile başlayanların (CEO, CFO, COO vs.) kurallara uyması gerekir; çünkü genellikle sanal suçluların en yoğun hedefidirler. Bununla birlikte “güvenliğin herkesin sorumluluğunda” olması, personelin en basit kurallar konusundaki eğitiminin bile öncelik haline getirilmesini işaret eder. Çalışanların, eylemlerinin tüm şirket için nasıl zararlı olabileceğini, aynı zamanda basit adımların herkesin korunmasını nasıl kolaylaştıracağını anlamalarını sağlamak, toplu bir sorumluluk hissi yaratacak ve ortak güvenlik oluşturmaya yardımcı olacaktır.
SİBER GÜVENLİK İÇİN SİHİRLİ SÖZCÜK, “FARKINDALIK’’
Güvenlik konusu bugün çoğunlukla pahalı ve karmaşık bir yatırım olarak görüldüğü ve yeteri kadar farkında olunmadığı için göz ardı ediliyor. En önemli sebeplerden birisi toplam sahip olma maliyeti dediğimiz ürün, eğitim, destek ve güncelleme gibi bileşenlerin toplamda yüksek olması. İşletmelerde hala “nasıl olsa bize birşey olmaz” anlayışı hakimken ve ayrıca bunun pahalı ve karmaşık bir yatırım olduğu düşünüldüğünden güvenlik konusuna gerekli önem verilmiyor.
Logo Siber Güvenlik Genel Müdür Yardımcısı Evrim Önk, her ölçekteki şirketin siber güvenlik konusunda tehlike altında olduğuna dikkat çekerek özellikle KOBİ’leri uyarıyor. KOBİ’lerin güvenlik farkındalığının oldukça az olduğunun altını çizerek bu noktada kurulumu kolay, uygun maliyetli platform ve çözümlere yönelinmesini öneriyor. ‘’Konfigüre edilmesi zor bir güvenlik duvarı ürünü düzgün kurulamadığı için bir hacker kadar tehlikeli olabilir. Bu yüzden eğitimli/bilinçli bir bayi ağı yaratarak ve işletmeler için yetkin bir hizmet ağı yaratmak Türkiye’de KOBİ’de siber güvenlik sağlayabilmenin en temel iki gerekliliğidir’’ diyen Önk, berq.NET çözüm setinin bu özellikleri taşıdığını ifade ediyor. Önk bu konudaki sorularımızı yanıtladı:
Dijital dünyanın yeni hacker profili nasıl?
Hacker ve hacking dünyası son 30 yılda oldukça değişti. 80’lerin “romantik” hacker profili ile bugünkü resim arasında gerçekten ciddi farklar söz konusu. 80’lerde hacker olmak, biraz da resmin dışında durup düşünebilmek, değişik problem çözme bakış açıları ve araştarmacılık da temsil eden bir durumdu desek abartmış olmayız sanıyorum. Bugünkü siber saldırı eyleminde ise çerçeveyi daha geniş tutmak, hacker tanımını belki de farklı dallara ayırmak gerekiyor. 2004 yılında başlatılan bir “hacker profilleme projesi” (HPP) işe en temelde bir “siber saldırı yapanlar” (attackers) ve “hackerlar” (hackers) ayrımı yapmayı uygun görerek şimdiye dek 9 ana “saldırgan” profili tanımlamış. Burada ismini siber suç aleminde duyurmak isteyen, öğrenmeye hevesli gençlerden (wannabes) tüm motivasyonu başkalarının zarar görmesi pahasına ciddi paralar kazanmak olan ve sık sık internet ortamında yer alan kredi kartı bilgilerinin ya da kişisel bilgilerin çalınması gibi ciddi suçlarla gündeme gelen siber suçlular (cyber criminals), tamamen politik motivasyonlarla hareket eden ve politik mesajlarını yaymak için dev DDoS saldırılarının yarattığı sansasyondan faydalanmayı amaçlayan hack aktivistleri (hacktivist) ve dünyanın çeşitli devletlerinin uluslararası espiyonaj ve siber savaşlar için spronsor olarak gizlice veya açıktan desteklediği varsayılan ve sofistike kodlarla kernel seviyesinde sistemlere müdahale eden “devlet destekli saldırganlar” (state sponsored attackers) var. Elbette siber saldırıya maruz kalan kişi ve kurumlar açısından bakıldığında, ilk tahlilde önemli olan saldırıyı yapanın profili değil genelde uğranan maddi kaybın ya da prestij zararının bir an evvel giderilmesine dair bugün ve yakın gelecekte atılması gereken adımlar oluyor. Fakat siber güvenlik teknolojisi üreticileri açısından saldırı ve saldırganların profillenmesi, hedeflenen kurum ve kişileri koruyacak uygun araçları üretmek konusunda bir yol gösterici olduğundan bu resme bakabilmek ulusal ve uluslararası anlamda önem kazanıyor.
Şirketler ve kurumlar yeni nesil güvenlik tehditlerine karşı yeterince hazırlıklılar mı?
Siber güvenliğe yönelik tehditlere karşı hazırlıklı olmak, başlanıp bitirilecek ve “tamam artık siber tehditlere karşı tamamen korunmuş olduk” denerek tamamlanabilecek bir sihirli aksiyon listesi barındırmıyor malesef. Bu, şirketlerin ağ ve internet altyapılarının zeminine yayıldığı kadar çoğu zaman çalışanların sosyal psikolojisinden tutun da siber güvenlik konusundaki bilinçlilik seviyelerine kadar çok katmanda ve durmaksızın sürdürülmesi gereken bir süreç. Bugün Türkiye’ye baktığımızda büyük işletmeler ekseninde bu konudaki bilinç ve süreç işletimi fena denmeyecek seviyelerdeyken orta ve küçük işletmelerde farkındalığın ancak yeni yeni oluşmaya başladığını söyleyebiliriz. Yukarıda bahsettiğim “siber saldırgan” profilinin çeşitliliğine baktığımızda, farklı profillerin farklı tür ve boyutta kurumları kendine hedef seçtiğini de anlıyoruz. Artık günümüzde her türden, her iş kolundan ve her boyutta işletme siber saldırı riski altındadır. Bunu bir defa idrak ettikten sonra işletmelerde bu konuda alternatif çözüm arayışları ve danışmanlık hizmetlerinden faydalanarak siber güvenlik için bir yol haritası belirleme çalışmaları başlamış oluyor.
Şirketler yeni nesil güvenlik saldırılarına karşı nasıl önlem alabilir, korsanların bir adım önüne geçebilir?
Eğer evinize hırsız girmesin istiyorsanız, öncelikle dairenin kapısını kapalı tutmalısınız. Kapısı açık bırakılmış bir daire, en basit anlamda oradan geçen her potansiyel hırsızı içeriye davet edecektir. Ağ ve sistem güvenliği için de bu daire kapısı, networkün tepesinde konumlanacak bir güvenlik duvarı (firewall) cihazı olmalıdır. Küçük ya da büyük her işletme, ihtiyacına yönelik yetkinlikte bir firewall cihazı edinmeli – bu cihazları özel ihtiyacları doğrultusunda konfigüre etmeli veya danışman bilişim partnerlerine konfigüre ettirmek üzere başvurmalıdır. Bir firewall cihazı, eğer dogru konfigüre edilmediyse DSL modemden pek farklı bir fonksiyona sahip olmadan çalışır. Ekibimle sahada hem işletmeleri hem bu işletmelere ürün & hizmet satan bayileri, belki de binlerce noktada ziyaret ettik ve azımsanmayacak sayıda işletmenin binlerce dolar harcayarak satın aldığı firewall cihazını olabilecek en verimsiz biçimde kullandığına şahit olduk. Bu tür durumların varlığı bize iki şeyi gösterdi: konfigüre edilmesi zor bir firewall ürünü düzgün kurulamadığı için bir hacker kadar tehlikeli olabilir. Bu yüzden eğitimli/bilinçli bir bayi ağı yaratarak ve işletmeler için yetkin bir hizmet ağı yaratmak Türkiye’de KOBİ’de siber güvenlik sağlayabilmenin en temel iki gerekliliğidir. Bunun dışında elbette içeride kesinlikle sertifikasız yazılımlar ya da uygulamalara yer vermemek, kullanılan cihazların ve uygulamaların tamamında üreticiler tarafından yayınlanan güncel sürümlerden faydalanmak, çalışanları bu siber tehlikeler ve korunma yontemleri hakkında düzenli bilgilendirmek, uç birimleri koruyacak yazılımları mutlaka temin etmek, işletmenin ihtiyacına ve korumak istedigi sistemin kritikliğine bağlı olarak olası atakları öngören veya atak esnasında hızlı koruma kalkanı oluşturan çözümleri edinmek ve aktif kullanmak gibi diğer tüm önlem parametrelerine düzenli olarak bakmak gerekmekte. İşletme çalışanlarının bu konularda bilinçlendirilmesi gerçekten büyük önem arzediyor. Belirtmekte fayda görüyorum ki özellikle veri hırsızlığı ve endüstriyel espiyonaj davalarına bir bakarsanız genelde şirket çalışanlarının bilgisizliği veya bir şekilde kötü niyetiyle sistemleri istismar etmelerinden kaynaklandığı istitatistik bilgisiyle karşılaşırsınız. Bu nedenle dijital sistemleri ve ağları mümkün mertebe istismara kapalı denetim/kontrol mekanizmalarıyla donatmalı ve çalışan ile iletişimi bilinçlendirme / teknoloji anlamında bilgilendirme ekseninde tutmakta fayda var. Sistemin aşırı güvenliği gözetilerek çalışma ortamını ve çalışanı boğan bakış açılarının da uzağında kalmak, herkes tarafından beslenen/ benimsenen bir güvenlik ekosistemi oluşturmak çok önemli.
IoT, giyilebilir teknolojiler gibi gelişmeler siber güvenlik risklerini ne ölçüde artırıyor; buna karşı ne tür önlemler alınabilir?
Gartner, 2020’de dünyada tam 26 milyar cihazın internete bağlı olacağını ve IoT pazarının o dönemde 300 milyar dolarlık bir büyüklüğe ulaşmış olacağını öngördüğünü duyurdu. Burada elbette internete bağlanan her sistemin maruz kalma riskini taşıdığı siber tehditler artan sayıyla doğru orantılı büyüyecektir. Öncelikle, bu tür sistemleri üreten ve üretmeye niyetli her tür şirketin ciddi regulasyon ve denetimlere tabi olması gerektiğini düşünüyorum. Teknoloji dünyasının liderleri olan markaların, bu yeni ve “her şeyin internete
bağlanacağıı” dünyada bir kısım standartları oluşturmak için öncülük etmelidir. Intel’in bu anlamda aldığı pek çok aksiyon ve üreticiyle hem dünyada hem de Türkiye’de dirsek teması çalışma yaptığını söyleyebilirim. Bu tür örnekler artmalı ve güçlenmeli. Sonuçta sağlıklı bir kullanım sahası ve sağlıklı bir pazar yaratmak hem IoT kullanıcılarını hem IoT teknolojisi üreticilerini hem de bu iki alanla da temasta olan bizim gibi siber güvenlik üreticilerini kaygan olmayan bir ticari zeminde tutmak anlamında önemlidir. Elbette her yeni teknoloji gibi IoT de kendi açıkları, zaaflarıyla girdiği kullanım senaryolarından zaman içinde olgunlaşıp gerçekten de güçlenerek çıkacaktır. Mobil teknolojilerde, telekom teknolojilerinde, güvenlik teknolojilerinde gördüğümüz sürecin bir benzerini IoT için de yaşayacağımızdan kuşku yok. Burada kişisel bakış açım IoT ile bizi bekleyen geleceğe tutucu ve karamsar bakmamak yönünde. Bunu hayatlarımızı kolaylaştıran ve bizi özgürleştiren şahane bir teknoloji devrimi olarak görüyor ve benzeri tüm büyük teknoloji gelişmelerinde olduğu üzere, doğru yönetilirse zaman/para/verimlilik anlamında işletmeleri de bireyleri de artıya geçirecek keyifli bir serüven olarak tanımlıyorum.