Siber güvenlik için sürekli kararlı olmak gerekir

#KingstonCognate, Bill Mew’i sunar

Bill Mew, önemli bir kanaat önderi, dijital etik eylemcisi ve girişimcidir. Bill önemli bir kanaat lideri olarak, veri gizliliği açısından dünyanın en etkili otoritesi olarak kabul edildiği ‘anlamlı koruma’ ile siber güvenlik ve dijital dönüşümden devlet teknolojilerine ve akıllı şehirlere kadar her alanda en büyük otoritelerden biri olarak kabul edildiği ‘ekonomik ve sosyal değerin maksimizasyonu’ arasında dengenin sağlanmasına odaklanmaktadır. Aynı zamanda bu konular üzerinde bir uzman olarak, Birleşik Krallık’taki tüm diğer teknoloji uzmanlarından daha fazla yayın süresiyle her hafta TV/Radyo’da (BBC, RT, vb.) yayına çıkmaktadır.

Bill, CrisisTeam.co.uk’in kurucusu ve CEO’sudur. Burada müşterilerinin karşı karşıya kaldığı siber saldırıların etkilerinin en aza indirilmesine yardımcı olmak için olaylara müdahale, siber yasalar, itibar yönetimi ve sosyal etkiler konusunda uzmanlardan oluşan elit bir ekiple çalışmaktadır.

Siber güvenlik sadece bir onay kutusundan ibaret değildir.

Şu andaki en acil sorun olan COVID’le mücadele etmek, pek çok açıdan diğerlerinin bazılarıyla mücadele etmekten daha kolaydır. İklim mücadelesini kolaylaştıracak maskelerimiz veya aşılarımız yoktur. Ve COVID’in birkaç varyantı varken, siber güvenlik cephesinde neredeyse her gün yeni açıklar ve zararlı yazılım varyantları karşımıza çıkmaktadır. Böylesine sonu gelmez zorluklara karşı kararlılığımızı ve dikkatimizi korumak asla kolay olmayacaksa da bunu yapmamız gerekmektedir.

Veri koruma, uyum ve siber güvenlik konularına bir “onay kutusu” yaklaşımı sergilemek ya da bu konulardaki sorumluluğu kişilere veya kurumlara havale edip onlardan tüm sorumluluğu üstlenmelerini beklemek kolaya kaçmaktır. Benzer şekilde, bir siber sigorta satın alıp bunun yeterli siber güvenliğin yerine geçebileceğini düşünmek de kolaya kaçmaktır. Siber güvenlik herkesin sorumluluğudur ve hepimizin bunu sağlamak için sürekli kararlılık göstermemiz gerekir.

O halde, “siber güvenlik için sürekli kararlılık” nedir… ve ne değildir?

Siber güvenlik için sürekli kararlılık bir onay kutusu uygulaması değildir… verilere değer verme ve onları koruma için tüm kuruluş genelinde uygulanacak kültürel bir yaklaşımdır.

Siber güvenlik için sürekli kararlılık, teknoloji bölümüne havale edebileceğiniz alelade bir şey değildir… kuruluş içinde eksiksiz herkes tarafından paylaşılan bir sorumluluktur. Kapsamında, oltalama saldırılarına karşı eğitim alıp çok bileşenli yetkilendirme (MFA) kullanan kullanıcılardan siber güvenlik için yeterli fon ayırıp olaylara hazır bulunurluğu ölçen simülasyon testlerine aktif olarak katılan yöneticilere, BT personeline ve uyum ekiplerine kadar herkes vardır.

Siber güvenlik için sürekli kararlılık çözüm sağlayan tek bir uygulama değildir… tüm kuruluşunuz genelinde uçtan uca uygulanan bir şeydir. Antivirüs araçları ve Sıfır Güven (Zero Trust) benzeri metodolojiler iyi birer başlangıç olsalar da tespit, yedekleme, şifreleme ve daha pek çok başka şeyle desteklenmeleri gerekir. Şifreli iletişim önemli olduğu kadar, kullanılmayan verilerin sunucularda, depolama cihazlarında ve hatta SSD’lerde ve şifreli USB belleklerde şifrelenmesi de önemlidir.

Siber güvenlik için sürekli kararlılık aynı zamanda becerilere yapılan bir yatırımdır. Siber güvenlik becerileri çok kolay bulunmaz ve doğru becerilere sahip personeli elde tutmak küçük kuruluşlar için gerçek bir sorun olabilir. Neyse ki bazı tedarikçiler gerekli olan bu uzman becerilerine sahip olmayan küçük kuruluşlara destek sağlamaktadır. Kingston’ın Bir Uzmana Sorun hizmeti bunlara bir örnektir.

Siber güvenlik için sürekli kararlılık sadece kısa dönemli bir uygulama değildir… sonsuza kadar sürmesi gerekir. Çünkü ortam sürekli değişmektedir. Neredeyse her gün yeni açıklar ve tehditler keşfedilmektedir. Siber suçlular insafsız fırsatçılardır. Ve siber güvenliği yanlış anlamanın sonuçları çok önemlidir.

Siber güvenlik için sürekli kararlılıkla bir siber sigorta sahibi olmakla aynı şey değildir… asla yeri başka bir şeyle doldurulamayacak mutlak bir gerekliliktir. Gerçekten de düzenleyici makamlar siber güvenlikle siber sigortanın birbirleriyle karıştırılmaması konusunda uyarılarda bulunmuşlardır. Siber sigorta ancak siber güvenlik ve olaylara verilecek tepkiler için bir tamamlayıcı olabilir, asla bunlardan birinin yerine geçmez.

Siber güvenliğin başarısı için kararlılık anahtardır

Bu tür kapsayıcı ve sürekli bir yaklaşım insanın gözünü korkutsa da siber güvenlik asimetrik bir tehdit olduğu için gereklidir. Geçmişte hiçbir zaman teknolojiye bugün olduğu kadar bel bağlamadık, birbirimizle sürekli bağlı halde olmadık ve tehditlere de bu kadar açık olmadık. Sizin savunmanın her zaman yeterli olduğundan emin olmak için savunma tedbirlerinizi sürdürmeniz gerekirken, saldırganların sadece bir defa şanslı olmaları yeterlidir. Onların içeri girişini tek bir oltalama e-postası da sağlayabilir zararlı bir USB sürücü de.

Allianz Risk Barometresine göre, küresel siber suçlar halen ekonomiye 1 trilyon ABD Doları zarar vermektedir ve bu rakam sadece iki yılda %50 artmıştır. Ve işler daha da kötüye gitmektedir. Microsoft Exchange sunucularına yapılan Hafnium saldırısı veya Solarwinds korsanlığı gibi son zamanlarda gerçekleşen tedarik zinciri saldırıları binlerce kuruluşu etkilemiştir ve fidye yazılımı saldırılarının sayısında ve ciddiyetinde de bir artış görülmektedir.

Eğer kuruluşunuzun yönetim kurulunda siber güvenlik henüz tartışılan bir konu değilse derhal gündeme alınmalıdır. Ve eğer bu zorluğa karşı sürekli bir yaklaşıma odaklanmamışsanız, bunun da öncelik haline gelmesi gereklidir. Sayısı giderek artan ve tehdidi tanımayı başaramayan kuruluşlar, bunun yerine sonuçlarla yüzleşmek zorunda kalmaktadır – kuruluşunuzun kurbanlardan biri olmasına izin vermeyin.

#KingstonIsWithYou