Siber saldırılar her 11 saniyede bir işletmeleri hedef alırken yönetim kurulu toplantılarında bu  konuyu görmezden gelebilir misiniz ?

Yönetim Kurulunda Bir Hacker Bulundurmak

Bir şirketin üst yönetim kadrosunda bir hacker bulunması kulağa hiç sıcak gelmeyebilir. Çünkü hacker kelimesi çoğunlukla zarar veren, sorun çıkaran kişi/kişiler olarak kafamızda imgelenmiş durumda. Ancak yazı içinde geçen hacker’dan kasıt beyaz şapkalı, saldıran değil koruyan çizgide bulunanlardır. Bu profesyoneller teknik bilgi becerinin yanında yasal sınırları iyi bilen, etik değerlere sadık, zarar vermek yerine yapıcı değerler geliştiren kişilerdir.

Strategic Cybersecurity Advisor, Board Member, Cybersecurity Consultant yada adına ne derseniz. Şirketler dijital kimliğini korumak ve yönetebilmek için üst düzey işbirlikleri geliştirmek mecburiyetinde. Şirketlerin stratejik karar almasında siber güvenliğin rolünü görmezden gelmek artık mümkün değil. 

Belli periyotlarda yapılan yüzeysel denetimler, derinlikten uzak pentest yada zafiyet taramaları ile şirketlerin kendilerini güvende tutmaları çok mümkün değil. Bunun yerine şirket hedefleri ve misyonları ile uyumlu bir stratejik planlamanın üst yönetim komisyonu tarafından ele alınmalıdır. Çünkü şirketlerin maruz kaldığı siber saldırganlar artık çok daha profesyonel ve iyi derece örgütlü durumda. Gartner, Sentinelone, IBM ve diğer kaynaklarını analiz ettiğimizde başarılı siber saldırıların arka planları oldukça karmaşık ve derinlikli. İşbu sebep yüzeysel yaklaşımlarla savunma geliştirmek artık mümkün değil. 

Peki siber güvenlik alanında çalışanların aldığı aksiyonlar yeterli olmaz mı ? Stratejik şirket kararlarını alırken rutin işlerin ötesine geçmemiz gerekiyor. Neler yaşanıyor, kök nedenlerinde neler yatıyor, başarılı bir siber saldırı sonrası şirketler ne gibi bedeller ödemek zorunda kalıyor bu sorulara kapsamlı cevaplar verilmesi ve alanında uzman kaynakların üst yönetim kurulunda bulunması gerekiyor.

En çok KOBİ’lerin başarılı siber saldırılara maruz kalmakta…

Bize Bir Şey Olmaz Yaklaşımı

Henüz ciddi bir siber saldırıya kalmadığını düşünen şirketlerdeki durumu iki şey açıklayabilir; ya zaten hacklendiler ancak farkında değil yada sıra henüz kendilerine gelmedi. Ciddi bir saldırıya maruz kalmadan önce kapsamlı hazırlıklar yapılmalı. Çünkü gerçek bir siber saldırı sonrası yaşanan kaos, kayıplar ve stres tahmin edilenden çok daha büyüktür. 

Biz Bize Yeteriz Yaklaşımı

Şirketin kendi kaynakları (personel, yazılım vb) ile siber savunma sağlamalarının olanaksız olduğunu gösteren binlerce vaka örneği mevcut. Şirketler kendi kaynaklarının dışında farklı yetkinlikleri olan ilgili kişilerle koordinasyon ve işbirliği içinde olmaları kaçınılmazdır. Bugün devasa şirketlerin hemen hemen hepsinde bu yaklaşımın olduğunu görmekteyiz. Çünkü farklı bilgi birikimi, tecrübesi olan insanların katacağı değer hayati öneme sahip.

KOBİ’lerde Siber Güvenlik Yaklaşımı Nasıl Olmalı ?

Küçük ve Orta Ölçekli İşletmeler (KOBİ’ler) ekonominin can damarıdır, inovasyonu teşvik eder, istihdam yaratır ve ekonomik büyümeye katkıda bulunur. Bununla birlikte, dijital ortama giderek daha fazla bağımlı hale gelmeleri, onları finansal kazançlar, fikri mülkiyet hırsızlığı veya sadece kaos yaratma amacıyla hareket eden siber suçlular için cazip bir hedef haline getirerek, çok sayıda siber tehdide maruz bırakıyor. Büyük şirketlerin aksine, KOBİ’ler genellikle siber güvenlik önlemlerine yatırım yapmak için kaynaklardan ve uzmanlıktan yoksundur, bu da onları siber saldırılara karşı savunmasız bırakır. Bu dijital çağda, bir KOBİ’nin güvenlik duruşunu güçlendirmenin en etkili yollarından biri, yönetim kuruluna bir siber güvenlik uzmanı dahil etmektir.

Neden Siber Güvenlik KOBİ’ler İçin Hayati Önem Taşır?

Ünlü Çinli general, stratejist ve filozof Sun Tzu, “Savaş Sanatı” adlı kitabında “Düşmanını ve kendini tanırsan, savaştan korkmana gerek yok” demiştir. KOBİ’ler benim zaten siber güvenlikle işim yok yaklaşımı ile hayatta kalması çok zor. Kendilerini ister istemez bir saldırının içinde bulmaları kaçınılmaz. Günümüzün birbirine bağlı dünyasında, siber tehditler her yerde mevcuttur ve KOBİ’ler kendilerini bekleyen tehlikeleri anlamalıdır. Siber suçlular, genellikle yetersiz siber güvenlik savunmaları olan KOBİ’leri hedef almak için giderek daha sofistike teknikler kullanıyorlar. Bir siber saldırının sonuçları bir KOBİ için yıkıcı olabilir ve mali kayıplara, itibar hasarına, yasal komplikasyonlara ve hatta işin sona ermesine yol açabilir.

Yönetim Kurulunda Siber Güvenlik Uzmanlığına Sahip Olmanın Faydaları

Tecrübeli bir siber güvenlik uzmanının bir KOBİ’nin yönetim kurulunda yer alması, tehdit ortamını anlamak ve sağlam siber güvenlik önlemleri uygulamak için paha biçilmez bir uzmanlık sağlar. Bir siber güvenlik uzmanının bir KOBİ’nin yönetim kurulunda yer almasının bazı önemli faydaları şunlardır:

• Gelişmiş Risk Yönetimi:

Bir siber güvenlik uzmanı, bir KOBİ’nin siber güvenlik risklerini belirlemesine, değerlendirmesine ve önceliklendirmesine yardımcı olabilir. Kapsamlı risk değerlendirmeleri yaparak, güvenlik açıkları ve potansiyel tehditler hakkında bilgi sağlayabilir, yönetim kurulunun kaynak tahsisi ve risk azaltma stratejileri hakkında bilinçli kararlar vermesini sağlayabilirler.

• Stratejik Siber Güvenlik Planlaması:

Bir siber güvenlik uzmanı, KOBİ’nin iş hedefleriyle uyumlu, kapsamlı bir siber güvenlik stratejisi geliştirmede kilit rol oynayabilir. Politikalar, prosedürler ve kontroller oluşturmanın yanı sıra olay müdahale planları ve iş sürekliliği stratejileri geliştirmeye yardımcı olabilirler.

• Gelişmiş Siber Güvenlik Duruşu:

Bir siber güvenlik uzmanı, bir KOBİ’nin siber güvenlik duruşunu iyileştirmek için değerli bilgiler ve öneriler sağlayabilir. En son tehditler, güvenlik açıkları ve en iyi uygulamalar hakkında güncel kalabilir, kuruluşun siber saldırılara karşı kendini savunmak için proaktif önlemler almasını sağlayabilirler.

• Artırılmış Düzenleyici Uyum:

Birçok sektör, KOBİ’lerin uyması gereken belirli siber güvenlik düzenlemelerine ve standartlarına sahiptir. Bir siber güvenlik uzmanı, bir KOBİ’nin bu düzenleyici gereklilikleri anlamasına ve yerine getirmesine yardımcı olarak, maliyetli cezalardan ve itibar hasarından kaçınmasını sağlayabilir.

• Gelişmiş Olay Müdahalesi:

Bir siber saldırı durumunda, bir siber güvenlik uzmanı, olayı kontrol altına almak, zararı en aza indirmek ve operasyonları hızlı bir şekilde geri yüklemek için paha biçilmezdir. Olay müdahale planları geliştirmeye ve uygulamaya, adli soruşturmalar yürütmeye ve kanun uygulayıcı kurumlar ve diğer ilgili paydaşlarla koordinasyon sağlamaya yardımcı olabilirler.

• Artan Paydaş Güveni:

Yönetim kurulunda bir siber güvenlik uzmanının bulunması, KOBİ’nin siber güvenliği ciddiye aldığına dair müşterilere, ortaklara ve yatırımcılara güçlü bir sinyal gönderir. Bu, güveni artırabilir, itibarı iyileştirebilir ve rekabet avantajı sağlayabilir.

Neden KOBİ’ler Siber Güvenliği Kendi Kaynaklarıyla Yönetmekte Zorlanıyor?

Bir siber güvenlik uzmanının uzmanlığının bir KOBİ için neden bu kadar önemli olduğunu ele alırken, KOBİ’lerin siber güvenliği kendi kaynakları ve çalışanlarıyla yönetmekte neden zorlandıklarına da ışık tutmak önemlidir. KOBİ’lerin karşılaştığı zorlukların bazıları şunlardır:

• Sınırlı Kaynaklar:

KOBİ’ler genellikle büyük şirketlere kıyasla sınırlı mali ve insan kaynaklarına sahiptir. Bu, siber güvenlik önlemlerine, teknolojilere ve personele yatırım yapmalarını zorlaştırabilir.

• Uzmanlık Eksikliği:

Birçok KOBİ’nin kendi bünyesinde özel siber güvenlik uzmanlığı yoktur. Mevcut BT personeli, en son tehditler ve en iyi uygulamalar konusunda güncel kalmak için gerekli bilgi ve becerilere sahip olmayabilir.

• Farkındalık Eksikliği:

Bazı KOBİ’ler, karşılaştıkları siber güvenlik risklerinin ciddiyetinin tam olarak farkında olmayabilir. Bu, siber güvenlik önlemlerine yetersiz yatırıma ve siber saldırılara karşı daha yüksek bir duyarlılığa yol açabilir.

• Artan Tehditler:

Siber tehdit ortamı sürekli olarak gelişiyor ve siber suçlular KOBİ’leri hedeflemek için giderek daha sofistike teknikler kullanıyorlar. KOBİ’lerin en son tehditlerden haberdar olmaları ve bunlara karşı kendilerini korumaları zor olabilir.

Gerçek Dünyada Neler Yaşanıyor ?

KOBİ’lere yönelik siber saldırıların yıkıcı etkisi, çok sayıda gerçek dünya örneğiyle kanıtlanmıştır. İşte birkaç dikkate değer vaka:

1. NotPetya Saldırısı (2017):

NotPetya fidye yazılımı saldırısı, dünya çapında çok sayıda kuruluşu etkiledi, KOBİ’ler de dahil olmak üzere. Saldırı, büyük operasyonel kesintilere ve mali kayıplara neden oldu. Ukraynalı bir yazılım şirketi olan M.E.Doc, saldırı için ilk enfeksiyon vektörüydü ve siber suçluların yazılım güncelleme mekanizmasını tehlikeye atması, fidye yazılımını müşterilerine dağıtmalarına olanak sağladı.

1. Target Veri İhlali (2013):

Target veri ihlali, perakende devi Target’ın siber saldırıya maruz kalmasıyla, yaklaşık 40 milyon kredi ve banka kartı bilgisayarının ve 70 milyon Target müşterisinin kişisel bilgilerinin tehlikeye atılmasıyla sonuçlandı. Saldırı, Target’ın kullandığı bir üçüncü taraf satıcının, bir KOBİ HVAC şirketinin tehlikeye atılmasıyla meydana geldi. Saldırganlar, HVAC şirketinin ağından kimlik bilgileri çaldılar ve bunları Target’ın ağına erişmek için kullandılar ve hassas verileri sızdırdılar.

• WannaCry Fidye Yazılımı Saldırısı (2017):

WannaCry fidye yazılımı saldırısı, 150’den fazla ülkede 300.000’den fazla bilgisayarı etkiledi. Saldırı, Microsoft Windows’ta bir güvenlik açığından yararlandı ve kuruluşların bilgisayarlarını ve verilerini fidye için rehin alarak dosyalarını şifrelemesine olanak sağladı. Birçok KOBİ, yeterli yedeklemeye veya siber güvenlik önlemlerine sahip olmadıkları için saldırının kurbanı oldu. Saldırı, Birleşik Krallık’taki Ulusal Sağlık Hizmeti (NHS) de dahil olmak üzere dünya çapındaki kuruluşlar için önemli kesintilere neden oldu ve hastane randevularının iptal edilmesine ve tıbbi prosedürlerin ertelenmesine yol açtı.

• Atlanta Şehri Fidye Yazılımı Saldırısı (2018):

Atlanta şehri, fidye yazılımı saldırısının kurbanı oldu ve bilgisayar sistemlerini şifreledi ve çeşitli şehir hizmetlerini aksattı. Saldırganlar, operasyonları geri yüklemek için fidye talep ettiler ve şehir sonunda sistemlerini kurtarmak için 2,6 milyon dolardan fazla harcadı. Saldırı, özellikle kamu hizmetleri ve altyapı söz konusu olduğunda, yerel yönetimlerin karşı karşıya olduğu siber güvenlik risklerini vurguladı.

• Vastaamo Veri İhlali (2020):

Özel bir psikoterapi merkezi olan Fin şirketi Vastaamo, hastaların gizli terapi notları da dahil olmak üzere hassas hasta verilerini tehlikeye atan bir veri ihlaline maruz kaldı. Saldırganlar, hassas bilgileri yayınlamamak için hem şirketten hem de bireysel hastalardan fidye talep ettiler. Olay, sağlık kuruluşlarının karşı karşıya olduğu önemli siber güvenlik risklerinin ve hassas hasta verilerinin korunmasının öneminin altını çizdi.

Bu vaka çalışmaları, KOBİ’lerin karşı karşıya olduğu gerçek dünya siber güvenlik risklerini ve yeterli siber güvenlik önlemlerinin yokluğunun olası sonuçlarını göstermektedir.

Siber tehditler sürekli olarak geliştiği ve giderek daha karmaşık hale geldiği için, KOBİ’lerin siber güvenliklerine öncelik vermeleri ve kendilerini siber saldırılardan korumak için proaktif önlemler almaları gerekir. Bir KOBİ’nin yönetim kuruluna bir siber güvenlik uzmanı dahil etmek, değerli bir yatırımdır ve güvenlik duruşlarını önemli ölçüde iyileştirebilir ve siber saldırı riskini azaltabilir.

İngiliz matematikçi, bilgisayar bilimcisi ve kriptograf Alan Turing’in dediği gibi, “Sadece görebildiğimiz şeyin ötesinde neler olduğunu hayal etmeye devam etmeliyiz.” KOBİ’ler, ufukta beliren tehlikeleri öngörmeli ve siber güvenliklerini sağlamak için proaktif adımlar atmalıdır. Bir siber güvenlik uzmanının uzmanlığıyla KOBİ’ler, dijital ortamın zorluklarını aşabilir, varlıklarını koruyabilir ve sürdürülebilir büyüme sağlayabilir.

Özetle, KOBİ’ler için, riskler daha da yüksek; zira dijital kalelerini güçlendirmek için genellikle kurumsal muadillerinin sahip olduğu kaynaklardan yoksundurlar. Bu nedenle, yönetim kuruluna etik ilkelere bağlı, güvenilir ve teknik açıdan yetkin bir siber güvenlik uzmanını – beyaz şapkalı bir hackeri – dahil etmek artık sadece bir seçenek değil, bir zorunluluk haline geliyor. Bu kişi, dijital kimliğin korunması için doğru stratejik kararların alınmasında kilit bir rol oynar. Onun uzmanlığı, siber tehditlerin doğru bir şekilde tanımlanmasını, sağlam savunma stratejilerinin uygulanmasını ve siber güvenlik kültürünün teşvik edilmesini sağlar. Bu uzmanlığın yokluğunda, şirketler yanlış adımlar atmaya, güvenlik açıklarını göz ardı etmeye ve bilgi eksikliğine yenik düşmeye mahkumdur; bu da onları sadece önemli mali kayıplara değil, aynı zamanda onarılması zor itibar hasarına da karşı savunmasız bırakır. Siber güvenlikte proaktif bir duruş benimsemek, bir KOBİ’nin dijital geleceğinin teminatıdır ve bu geleceğin, siber güvenliğin sadece bir BT sorunu değil, bir yönetim kurulu önceliği olarak kabul edildiği bir ortamda inşa edilmesi gerekir.