Bankalar neden siber güvenliğe karşı modern bir yaklaşım benimsiyor?—Sıfır Güven modeli

Günümüzde birçok banka, verileri kötü amaçlı saldırılara karşı korumak için hala “çevre güvenliği” olarak da bilinen “kale ve hendek” yaklaşımına güveniyor. Taş duvarlar, hendekler ve büyük kapılarla korunan orta çağ kaleleri gibi çevre güvenliğini kullanan bankalar da güvenlik duvarları, proxy sunucuları, sanal sunucular ve yetkisiz erişimi önlemeye yönelik diğer araçlarla ağ çevrelerini güçlendirmek için yüklü miktarlarda yatırım yapıyor. Çevre güvenliği, kurumun ağına girip çıkan kullanıcıların veri paketlerini ve kimliğini doğrulayarak ağa giriş ve çıkış noktalarını korur. Böylece bu güçlendirilen çevre içindeki etkinliğin nispeten güvenli olduğunu varsayar.

Bilinçli finans kurumları, artık bu düşünce şeklinin ötesine geçiyor ve Sıfır Güven modeliyle siber güvenliğe karşı modern bir yaklaşım benimsiyor. Sıfır Güven modelinin temel prensibi, varsayılan olarak şirket içinden ve dışından kimseye güvenmemek ve erişim hakkı vermeden önce her kişinin ya da cihazın katı biçimde doğrulanmasını gerekli kılmaktır.

Kalenin çevresi önemini korusa da daha güçlü duvarlara ve daha geniş hendeklere giderek daha fazla yatırım yapmak yerine Sıfır Güven modeli, kimliklere, verilere ve meşhur kalenin içindeki cihazlara olan erişimin yönetimine karşı daha ayrıntılı bir yaklaşım benimser. Böylece ister içeriden biri kötü amaçlı bir şekilde veya dikkatsizce hareket etsin ister kimliğini gizleyen saldırganlar kale duvarlarını aşsın, verilere otomatik erişim verilmez.

Kale ve hendek yaklaşımının sınırlamaları

Siber tehditlerin gerçekleşme şekli savunmanın ve korumanın anlamını değiştirdiğinden, bugünün kurumsal dijital varlıklarını korumak söz konusu olduğunda kale ve hendek yaklaşımının kritik sınırlamaları vardır. Bankalar dahil olmak üzere büyük kurumlar, çalışanların, müşterilerin ve iş ortaklarının hem tesis içinde hem de çevrimiçi olarak eriştiği dağınık veri ve uygulama ağlarıyla uğraşır. Bu da kalenin çevresini korumayı daha zor hale getirir. Hendek düşmanları dışarıda tutmada etkili olsa da kimliği risk altında olan kullanıcılar ya da kalenin duvarlarının içinde gizlice dolaşan diğer iç tehditler konusunda aynı derecede etkili değildir.

Güvenlik açığı oluşturan şu uygulamalar, güvenliğe yönelik olarak kale ve hendek yaklaşımına güvenen bankalarda çokça görülür:

• Personelin uygulamalara erişiminin yılda bir kere gözden geçirilmesi.
• Yöneticinin takdir yetkisine bağlı olan belirsiz ve tutarsız erişim hakkı ilkeleri ve personel hareketliliği söz konusu olduğunda yetersiz yönetim.
• BT’nin ayrıcalıklı yönetici hesaplarını aşırı kullanması.
• Müşteri verilerinin birden çok dosya paylaşımında depolanması ve bu paylaşıma erişimi olan kişilere dair çok az bilgi olması.
• Kullanıcıların kimliğinin doğrulanması konusunda parolalara aşırı güvenme.
• Hangi verilerin nerede olduğunun anlaşılması için veri sınıflandırması ve raporlama yetersizliği.
• Oldukça hassas veriler içeren dosyaların aktarımı için USB flash sürücülerin sıkça kullanılması.

Sıfır Güven modeli bankaları ve müşterileri nasıl güçlendirir?

Sıfır Güven yaklaşımının avantajları ayrıntılı belgelere dayanır ve sayısı giderek artan gerçek örnekler de bu yaklaşımın karmaşık siber saldırıların önüne geçebileceğini gösteriyor. Fakat bugün birçok banka, hala Sıfır Güven ilkelerinden uzak uygulamalara bağlı kalıyor.

Bankaların bir Sıfır Güven modelini benimsemesi güvenlik duruşlarını güçlendirmelerine yardımcı olabilir ve böylece çalışanlar ile müşterilere daha fazla esneklik tanıyan girişimleri güvenle destekleyebilirler. Örneğin banka idarecileri, müşterilerle iletişim kuran çalışanların (ilişki yöneticileri ve finans danışmanları gibi) masalarına bağlı kalmamalarını ve müşterilerle banka tesisleri dışında görüşmelerini ister. Bugün birçok finans kurumu, kağıt çıktılar gibi analog araçlarla veya danışmanlıklarının statik görünümüyle bu coğrafi çevikliği destekler. Ancak hem banka çalışanları hem de müşteriler, artık gerçek zamanlı verilerin kullanıldığı daha dinamik bir deneyim bekliyor.

Güvenlik konusunda kale ve hendek yaklaşımına güvenen bankalar, fiziksel ağın dışına veri dağıtma konusunda tereddüt ediyor. Böylelikle müşteri görüşmeleri banka tesislerinde gerçekleşiyorsa bankacılar ve finans danışmanları, yalnızca kanıtlanmış ve disiplinli yatırım stratejilerinin dinamik modellerinden yararlanabiliyor.

Bugüne dek, hareket halindeki bankacılar ya da finans danışmanları için en azından VPN olmadan gerçek zamanlı model güncelleştirmeleri paylaşmak veya diğer bankacılar ya da tüccarlarla etkin biçimde işbirliği yapmak oldukça zahmetliydi. Evet, bu çeviklik sağlam yatırım kararları ve müşteri memnuniyeti konusunda önemli bir etkendir. Sıfır Güven modeli, ilişki yöneticilerinin ya da analistlerin pazar veri sağlayıcılarının içgörülerinden yararlanmasına, kendi modelleriyle birleştirmesine ve diledikleri zaman, diledikleri yerde farklı müşteri senaryolarını dinamik biçimde incelemesine imkan tanır.

İyi haber şu ki bulut ve Sıfır Güven mimarisiyle desteklenen bu yeni akıllı güvenlik, bankalar için güvenlik ve uyumluluğu kolaylaştırıp modernleştirebilir.

Microsoft 365 banka güvenliğini dönüştürmeye yardımcı olur

Microsoft 365 ile bankalar, üç temel stratejiyi dağıtarak Sıfır Güven teknolojisine hemen adım atabilir:

• Kimlik ve kimlik doğrulaması: Bankaların her şeyden önce kullanıcıların paylaştığı kimlik bilgilerinin doğru olduğundan emin olması ve rollerine göre erişim vermesi gerekir. Azure Active Directory (Azure AD) ile bankalar, kimliği doğrulanmış kullanıcıların uygulamalara her yerden bağlanabilmesi için çoklu oturum açma (SSO) yöntemini kullanarak çalışanların üretkenlikten ödün vermeden kaynaklara güvenli biçimde erişmesine imkan tanır.

Bankalar, ihlal riskini yüzde 99,9 azaltabilen iki faktörlü veya parolasız Çok Faktörlü Kimlik Doğrulaması (MFA) gibi güçlü kimlik doğrulaması yöntemlerini de dağıtabilir. Microsoft Authenticator tüm Azure AD bağlı uygulamaları için anında iletme bildirimlerini, bir kerelik geçiş kodlarını ve biyometrik sistemleri destekler.

Banka çalışanları, Windows cihazlarına yönelik olarak cihazlarda oturum açmak için güvenli ve kullanımı kolay yüz tanıma özelliği Windows Hello’yu kullanabilir. Son olarak bankalar, uygun erişim ilkelerini uygulayarak kaynakları şüpheli isteklere karşı korumak için Azure AD Koşullu Erişim’i kullanabilir. Microsoft Intune ve Azure AD, e-posta ve şirket içi uygulamalar dahil olmak üzere Office 365 hizmetlerine yalnızca yönetilen ve uyumlu cihazların erişebilmesini sağlamak için birlikte çalışır. Intune ile cihazların uyumluluk durumunu da değerlendirebilirsiniz. Koşullu erişim ilkesi, kullanıcı verilere erişmeye çalıştığında cihazın uyumluluk durumuna bağlı olarak uygulanır.

Koşullu erişim çizimi.

• Tehdit koruması: Microsoft 365 ile bankalar, Microsoft Tehdit Koruması’nın bütünleşik ve otomatik güvenliği ile tehditlere karşı koruma, tehditleri engelleyip yanıt verme becerilerini pekiştirebilir. Microsoft Intelligent Security Graph’ın sunduğu dünyanın en büyük tehdit sinyalinden ve yapay zekanın (AI) desteklediği gelişmiş otomasyondan yararlanarak olay tanımlama ve yanıtlama özelliğini geliştirir. Böylece güvenlik ekiplerinin tehditleri doğru ve verimli bir şekilde çok kısa sürede çözmesine imkan tanır. Microsoft 365 güvenlik merkezi, merkezi hub’ın yanı sıra özel çalışma alanı sunarak kimlik ve erişim yönetimi, tehdit koruması, bilgi koruması ve güvenlik yönetimi için Microsoft 365 akıllı güvenlik çözümlerinden tam anlamıyla yararlanır.

Microsoft 365 güvenlik merkezi.

• Bilgi koruması: Kimlik ve cihazlar siber saldırıların başlıca güvenlik açığı vektörleri olsa da siber suçluların asıl isteği şey verilerdir. Microsoft Information Protection ile bankalar, bulunduğu veya gittiği yer neresi olursa olsun hassas bilgilerini daha gelişmiş bir yöntemle koruyabilir. Microsoft 365 müşterilerin 1)hassas verilerini tanımlamasına ve sınıflandırmasına, 2) esnek koruma ilkeleri uygulamasına, 3) riskli verileri izleyip düzeltmesine imkan tanır.

Sınıflandırma ve koruma senaryosu örneği.

Sıfır Güven ile güvenlik yönetimini basitleştirin

Microsoft 365, siber suçlarla mücadele için gereken görünürlük, ölçek ve makine zekasından yararlanarak modern bir Sıfır Güven mimarisinde güvenlik yönetimini basitleştirmeye yardımcı olur.

Modern “kalenizi” nasıl koruyacağınızı düşünüyorsanız bir Sıfır Güven ortamı, modern siber güvenlik tehditleri için ideal çözümdür. Bir Sıfır Güven ortamı, kimin neye, nerede ve nasıl eriştiğinin ve hatta erişim izninin gerekli olup olmadığının bile her açıdan kontrol edilmesini gerektirir.

Microsoft 365 güvenlik ve uyumluluk özellikleri kurumların bir kullanıcıya ya da cihaza güvenmeden önce doğrulama yapmasına yardımcı olur. Microsoft 365 ayrıca eksiksiz ekip çalışması ve üretkenlik çözümü sunar. Bunların tümü göz önüne alındığında Microsoft 365, banka idarecilerinin müşterilere ve yeniliğe odaklanmasına yardımcı olmak için kapsamlı bir çözüm sunar.