CISO Insider: Sayı 1

COVID-19, kurumların işyeri esnekliğine olan ihtiyacının artmasına ve dijital dönüşümü hızlandırmalarına yol açınca bunlar da doğal olarak güvenlik taktiklerinde bazı değişikliklere neden oldu. Çevre genişledi ve giderek daha hibrit bir hal alarak birden fazla bulutu ve platformu kapsar hale geldi. Yeni teknolojiler birçok kurum için bir nimet olmuş, zorlu zamanlarda bile üretkenliği ve büyümeyi mümkün kılmış olsa da bu değişimler aynı zamanda, giderek daha karmaşık hale gelen dijital ortamlarda bulunan güvenlik açıklarından faydalanmaya çalışan siber suçlular için de bir fırsat sunmuş oldu.

Uzaktan çalışmayla ilgili kimlik avı saldırılarındaki artış, konuştuğum güvenlik uzmanlarının en çok dikkatini çeken konuların başında geliyor. Araştırmamızda da bunun yansımalarını görüyoruz. Microsoft'un 2020 yılında güvenlik liderleriyle yaptığı bir ankette, katılımcıların yüzde 55'i kurumlarının salgının başlangıcından bu yana kimlik avı saldırılarında bir artış tespit ettiğini, yüzde 88'i ise kimlik avı saldırılarının kurumlarını etkilediğini söyledi. Ayrıca düzenli olarak, fidye yazılımı saldırılarının arttığını, kötü amaçlı yazılımların sürekli bir tehdit olmaya devam ettiğini ve kimlik hırsızlığının güvenlik ekiplerini rahatsız eden önemli bir sorun olmaya devam ettiğini duyuyorum.

Bunlara ek olarak, devlet destekli saldırıların giderek daha agresif ve ısrarcı olduğunu da biliyoruz. SolarWinds platformunu kullanan NOBELIUM tedarik zinciri saldırısı, geçtiğimiz yıl manşetlere çıkan çok sayıdaki yeni saldırıdan biriydi. Haberlerde genellikle gösterişli yeni tekniklerden bahsedilse de CISO'lar bana sürekli olarak, bu gelişmiş tehdit aktörlerinin de çoğu siber suçlu gibi düşük maliyetli, yüksek değerli fırsat saldırılarına odaklanma eğiliminde olduğunu söylüyor.

Devlet destekli saldırganların parola spreyi saldırılarında bir artış olduğunu gördük, bu da bu durumu daha iyi özetliyor. Güvenlik lideri olmak riski yönetmeyi ve öncelikleri belirleyebilmeyi gerektirir. Birçok lider de siber hijyenlerini, en yaygın saldırıları önleyecek şekilde güçlendirmenin en önemli öncelikleri olduğunu söylüyor, özellikle de dijital ayak izleri büyürken. Verilerimiz ve araştırmalarımız da bu düşünceyi destekliyor. Temel güvenlik hijyeninin hala saldırıların yüzde 98'ine karşı koruma sağladığını tahmin ediyoruz (bkz. sayfa 124, Microsoft Dijital Savunma Raporu, Ekim 2021).

Temel güvenlik adımları hakkında konuşmanın kolay olduğunu ancak bunları gerçek hayatta uygulamanın çok daha zor olduğunu düşünüyor olabilirsiniz, özellikle de bir ekip aşırı çalıştığında ve personel sayısı az olduğunda. Ancak bir güvenlik lideri olmanın, hem riski hem de önceliklendirmeyi yönetmekle ilgili olduğunu hatırlatırım. Bu durumda da temellere odaklanmak, sağlam bir pragmatik yaklaşım olmalıdır. Çoğu zaman güvenlik olayları bir "EĞER" değil, "NE ZAMAN" meselesidir. Sadece ABD'de her gün yaklaşık 4.000 siber suç saldırısının gerçekleştiği ve dünya çapında her gün 30.000'den fazla web sitesinin saldırıya uğradığı gibi yüzlerce endişe verici siber güvenlik istatistiği var.

Ben en iyi savunma hattının dengeli bir yaklaşım benimsemek ve önlemenin yanı sıra olayları algılama ve yanıt vermeye de yatırım yapmak olduğuna inanıyorum.

Artan algılama ve yanıt taleplerine ayak uydurmaya çalışırken bir yandan da yeni önleme seviyelerine yatırım yapmak zor görünse de bu ikisi arasında dengeyi bulmak hem gerekli hem de faydalıdır. 2021 yılında Ponemon Institute ve IBM Security tarafından yapılan bir araştırma, olay yanıt ekibi ya da planı olmayan kurumların yaşadığı veri ihlallerinin ortalama maliyetinin, yüzde 55 oranında arttığını ortaya koydu. Sağlam bir önleme ile olay yanıtı ve algılama ve düzeltme araçlarına yapılan yatırımları içeren bir strateji arasında denge kurabilen güvenlik ekipleri, kaçınılmaz olanı atlatma konusunda iyi bir şansa sahip olacaktır.

Hepimiz büyük istifa olayını duymuşuzdur. Küresel işgücünün yüzde 40'ından fazlası bu yıl işyerlerinden ayrılmayı düşünüyor, hem de güvenlik liderleri ve ekipleri zaten personel yetersizliği çekerken. CISO'larla genel olarak işlerin nasıl gittiği hakkında sık sık konuşuyorum ve en iyi çalışanları bulmak, alabilmek ve elde tutmak en önemli endişelerinden biri. Ve üst düzey çalışanlar işten ayrılırsa ya yeni üst düzey çalışanlar bulmak ya da kalanların becerilerini artırmak gibi bir zorlukla karşı karşıya kalıyorlar. Daha verimli, bütünleşik ve otomatikleştirilmiş teknoloji işlerini kolaylaştırsa da kesinlikle yeterli değil.

Siber saldırılar haberlerde düzenli olarak yer aldığı için güvenlik terimleri günlük konuşma dilinin bir parçası haline geldi ve bu saldırılar (ve bunlarla ilgili haberler) şirketleri derinden etkileyebiliyor. Ama ne var biliyor musunuz? Bu aslında o kadar da kötü bir haber değil. Siber güvenliğin kurumların her alanında bilinen bir konu haline geldiği göz önüne alındığında, "güvenlik herkesin işidir" kavramının kurumlar arasında yankı bulmaya başladığını duyuyoruz. Özellikle yeni hibrit çalışma modelleri ve güvenlik sınırlarının çok sayıda yeni yolla zorlanmasıyla birlikte güvenlik liderleri, çalışan ve beceri eksiklikleriyle karşı karşıya kalsalar dahi herkesi güvende tutabilmek için giderek yenilikçi yollara güvenmeye başladı. Yenilikçi güvenlik liderleri bugünlerde "daha azıyla daha fazlasını yapmak" değil, "farklı olanla daha fazlasını yapmak" istiyor.

Çalışan ve beceri eksikliğinin olumlu bir durum olmadığı aşikar olsa da burada küçük bir ışık da var: Güvenlik kültürü yaratmak bir gerçeklik haline geliyor. Pek çok CISO bize, çalışan eksikliği söz konusuyken güvenlik sorunlarını ele almanın en etkili yollarından birinin, güvenliğin herkesin işi olduğu bir güvenlik kültürü oluşturmak olduğunu söylüyor. CISO'lar, özellikle çalışan eksikliği ya da finansman zorluklarıyla karşı karşıya kaldıklarında, tüm kurumun güvenlik sorumluluğunu üstlenebileceği fikrini giderek daha fazla savunuyorlar.

Geliştirme ekipleri, sistem yöneticileri ve evet, son kullanıcıların da kendileriyle ilgili güvenlik politikalarını anlamaları gerekiyor. Bilgi paylaşımı oldukça önemli. Güvenlik ekipleri, riskleri anlamak ve tüm kuruma fayda sağlayacak ilke ve prosedürler geliştirmek için geliştiriciler, yöneticiler ve iş süreci sahipleriyle birlikte çalışmanın giderek daha fazla yolunu buluyor.

Çalışan yetersizliği ve beceri eksiklikleri (özellikle de sürekli değişen siber güvenlik alanında) CISO'ların bir adım önde olmak için yeni ve yenilikçi yollar aramasına neden oluyor. Burada duymaya devam ettiğimiz stratejilerden biri, güvenlik ekibi dışındaki çalışanların "görevlendirilmesi". CISO'lar, özellikle son kullanıcıları çözümün bir parçası olmaları için eğitmeye ve komşu ekiplerden destek oluşturmaya odaklanarak tüm organizasyondan yararlanmak istiyorlar.

Son kullanıcıların güvenlik tehditleri hakkındaki bilgilerini artırmak ve geliştirmek, örneğin kimlik avı ve ince saldırıların işaretlerini anlamalarını sağlamak, özellikle de saldırıların giriş noktası genellikle son kullanıcılar olduğu için, güvenlik ekibine destek olacak bir “ön saf” stratejisi olarak çok etkili olabilir. Son kullanıcıların sihirli bir şekilde her şeyi yakalayacak şekilde eğitilebileceğini söylemiyorum ancak hazırlıklı ve uyanık kullanıcılara sahip olmak güvenlik ekiplerinin üzerindeki yükü önemli ölçüde azaltabilir.

Bir başka strateji de BT'yi güvenliğin bir parçası olarak görevlendirmek. BT ekibinin güvenlik ekibiyle yakın bağlantıda olmasını ve BT'nin güvenlik stratejileri hakkında bilgilendirilmesini sağlamak, birçok güvenlik liderinin, görevlerini kurumun tüm alanlarına yaymasına yardımcı oluyor.

Otomasyon ve diğer proaktif iş akışı ve görev yönetimi stratejileri konusunda rehberlik ve yardım sağlamak, CISO'ların ekiplerini genişletmesinin ve sağlam bir güvenlik duruşu için BT'den yararlanmasının temel gerekliliklerinden biridir.

Atıfta bulunulan tüm Microsoft araştırmalarında, gizliliğin korunması ve analitik titizliğin sağlanması için hem nicel hem de nitel çalışmalar için güvenlik uzmanlarıyla bağımsız araştırma firmaları aracılığıyla iletişim kurulur. Bu belgede yer alan alıntılar ve bulgular, aksi belirtilmedikçe, Microsoft araştırma çalışmalarının bir sonucudur.