Kroll’un “2023 Siber Savunmanın Durumu” Rapor, günümüzün siber güvenlik ortamına ilişkin bazı dikkate değer bulgular içeriyor. Birincisi, geçen yıl ortalama beş önemli güvenlik olayı yaşanmasına rağmen, üst düzey güvenlik yöneticilerinin yalnızca %37’si, kuruluşlarının her türlü siber tehdide karşı koruma becerisine “tam” inanıyor. İkincisi, güvenlik ekipleri ihlallerin ve saldırıların sıklığını azaltmak için birden fazla siber güvenlik aracına güveniyor. Ancak Kroll’un araştırması, daha fazla güvenlik kurulumunun daha fazla sayıda siber güvenlik olayına yol açtığını gösterdi. Üçüncüsü ve en çarpıcı olanı, siber saldırıların tespit edilmesi, karşı konulması ve püskürtülmesi söz konusu olduğunda kuruluşların güvenlik ekiplerinden çok çalışanlarına güvenme eğiliminde olmalarıdır.
Yanlış Yönlendirilmiş Güven Neden Tehlikeli Olabilir?
Siber güvenlikte şüphesiz güven çok önemlidir. Kuruluşların güvenlik stratejilerine, araçlarına ve ekiplerine güvenmemesi veya güvenmemesi durumunda sağlam bir siber güvenlik duruşuna ulaşmak imkansızdır. Ancak aşırı veya yanlış yönlendirilmiş güven, ciddi güvenlik riskleri oluşturabilir. Örneğin Kroll’un araştırmasına göre birden fazla güvenlik çözümünün siber saldırıları ve ihlalleri önleyeceğini varsaymak büyük bir hatadır.
Farklı bir Kroll raporu, “2023 1. Çeyrek Tehdit Ortamı,“, kimlik avının 1 numaralı ilk erişim yöntemi olduğunu ve saldırganların kuruluşlara sızmak ve onları etkilemek için düzenli olarak kimlik avından yararlandığını ortaya koyuyor. Savunmanız ne kadar iyi olursa olsun, siber suçlular çalışanları başarılı bir şekilde kimlik avına çıkarırsa (kötü amaçlı yazılım indirmeleri, kimlik bilgilerini paylaşmaları, bir eki açmaları için onları kandırmak) veya kötü amaçlı bir web sitesini ziyaret edin), sınıfının en iyisi güvenlik kontrollerini ve mekanizmalarını atlatarak ön kapıdan içeri girerler.
Ayrıca tüm çalışanların aynı düzeyde güvenlik olgunluğuna sahip olduğuna körü körüne güvenmek de büyük bir hatadır. Çalışanların bir güvenlik tehdidine karşı sorumlu bir şekilde davranıp davranmayacağı çeşitli faktörlere bağlıdır. Bunlar, tehdit hakkında bilgi ve farkındalığı, tehdit yaklaştığında uyanık olmayı ve kuruluşu koruma kararlılığını içerir. Dur işaretinin farkında olmanız duracağınızı garanti etmez.
Kuruluşlar Yanlış Yönlendirilmiş Güven Riskini Nasıl Azaltabilir?
Aşağıda güvenle ilişkili riskleri azaltmaya yardımcı olacak bazı öneriler bulunmaktadır.
1. Çalışanların Güvenliği Anladıklarını varsaymayın; Onları eğit
Siber tehditlerle etkili bir şekilde mücadele etmek için çalışanların güvenliği anladığını varsaymamak çok önemlidir. Çalışanları eğitmek ve şüpheli mesajları tanımlamalarına olanak tanıyan güvenlik “altıncı hissini” geliştirmek için düzenli eğitim programları ve kimlik avı alıştırmaları uygulayın. Sosyal mühendislik taktiklerinin kullanıcıları kimlik bilgilerini veya hassas verileri ifşa etmeye nasıl yönlendirdiğini açıklayın. Personeli, yapılması ve yapılmaması gerekenler, güçlü şifrelerin önemi ve herhangi bir bağlantıya tıklamadan önce duraklatma uygulaması da dahil olmak üzere en iyi güvenlik uygulamaları konusunda eğitin. Ayrıca, şifre yöneticileri gibi araçlar sağlayın ve Kimlik avına karşı dayanıklı Çalışanların daha güvenli çalışmasına yardımcı olmak için çok faktörlü kimlik doğrulama. Çalışan eğitimine yatırım yaparak ve gerekli araçları sunarak kuruluşunuzun güvenlik duruşunu güçlendirebilirsiniz.
2. Metrikler ve Hedefler Çevresinde Bir Güvenlik Stratejisi Oluşturun
Etkili bir siber güvenlik stratejisi oluşturmak için kuruluşunuzun güvenlik hedefleriyle uyumlu net ölçümler ve hedefler belirleyin. Değerli varlıklarınızın nerede bulunduğunu, mevcut güvenlik önlemlerini ve mevcut güvenlik kültürünü ve davranışlarını değerlendirerek başlayın. Mevcut durumunuz ile arzu ettiğiniz durum arasındaki boşlukları belirleyin ve bu boşlukları kapatmak için politikalar, kontroller ve eğitim programları geliştirin. İlerlemeyi ölçmek ve güvenlik hedefleriyle uyumu sağlamak için kilometre taşları belirleyin ve zaman çizelgeleri tanımlayın.
3. Siber Güvenliği hafife almaktan kaçının
Gelişen tehdit ortamını etkili bir şekilde yönetmek için kuruluşların siber güvenliğe öncelik vermesi ve açık, şeffaf, tekrarlanabilir ve ölçülebilir süreçler, prosedürler ve politikalar oluşturması gerekir. Bu, çevrimiçi davranışlarda kayıtsızlığın ve aşırı güvenin önlenmesine yardımcı olur. Olaylara zamanında ve etkili müdahale sağlamak için paydaşlar, tedarikçiler ve hizmet sağlayıcılar arasında işbirliğini ve şeffaflığı teşvik edin. Dikkatli, proaktif kalarak ve devam eden güvenlik ortamına dahil olarak siber güvenliği hafife almaktan kaçının.
4. Bütünsel bir Stratejiye Yatırım Yapın
Güvenlik çözümlerine yatırım yaparken insan, süreç ve teknoloji üçlüsünü dikkate alan bütünsel bir güvenlik stratejisine sahip olmak önemlidir. Tehditler sürekli olarak geliştiğinden ve savunmasız sistemleri, cihazları ve kodları hedefleyebildiğinden ve hatta güvenlik savunmasındaki boşluklardan yararlanabildiğinden, yalnızca güvenlik araçlarına güvenmek yeterli değildir. Güvenlik risklerini düzenli olarak değerlendirin, güvenlik kontrollerini bu risklere göre ayarlayın, çalışanların güvenlik konusundaki sorumluluğunu ve hesap verebilirliğini teşvik edin ve siber olayları ele almak için iyi prova edilmiş süreçler oluşturun. Kapsamlı bir yaklaşım benimseyerek kuruluşunuzu çeşitli ve gelişen tehditlere karşı daha iyi koruyabilirsiniz.
Bir Güven Köprüsü Oluşturun
Güven, güvenlik ile insanlar arasında önemli bir köprü görevi görür. Güvenin her zaman güvenliğin merkezinde yer aldığını kabul etmek önemlidir. Sistemlerinizin, çalışanlarınızın ve süreçlerinizin güvende olacağına güvenebilir misiniz? Değilse, harekete geçmek ve güvenlik açıklarını gidermek önemlidir.
Güven oluşturmak, sistemlerinizin güvenliğinin sağlanmasını, çalışanlarınızın becerilerinin ve farkındalığının güçlendirilmesini ve sağlam süreçlerin uygulanmasını içerir. Güven eksikse, güvenlik önlemlerinizi geliştirmek için gerekli adımları atmanın zamanı gelmiştir.