Xefi için yeni bir Ifop anketi VSE’lerin (çok küçük işletmeler) ve KOBİ’lerin (küçük ve orta ölçekli işletmeler) siber güvenlik açısından düşük olgunluğunu vurgulamaktadır. Konu kesinlikle liderler tarafından dikkate alınıyor, ancak siber saldırıların riskleri genellikle hafife alınıyor.
Ifop, “İş liderleri, işlerine ağırlık veren siber saldırıların risklerinin farkındaysa (…) koruma düzeylerini abartma eğilimi gösterirler”, diyor. Yöneticilerin %75’i için risk düşüktür. Ayrıca, %80’i şirketlerinin bu risklere karşı iyi korunduğunu düşünüyor.
VSE’lerde/KOBİ’lerde siber güvenliği kim yönetir?
Ancak, tehdit çok gerçektir. Forrester tarafından yapılan bir araştırmaya göre, 250’den az çalışanı olan VSE’lerin/KOBİ’lerin %33’ü son 12 ayda siber saldırılardan etkilendi. Bu saldırılar bu şirketlerde nasıl şekilleniyor?
VSE’lere/KOBİ’lere yönelik saldırılar spesifik değildir. Bu nedenle, fidye yazılımı bugün en yaygın tehdittir. Bu saldırılar, önceden tanımlanmış bir hedef olmadan büyük kimlik avı kampanyaları yoluyla yayılır.
Saldırganlar ayrıca bilinen ve yaygın güvenlik açıklarını da hedef alıyor. “Bugün yüksek düzeyde araştırılmış 20 güvenlik açığı var. Nispeten az, ancak etkinlikleri göz önüne alındığında yine de yeterli ”diyor Orange Cyberdefense’den Benjamin Serre.
Profesyoneller ve küçük işletmeler için RDP protokolü (Uzak Masaüstü Protokolü) bu nedenle tercih edilen bir hedeftir. Windows altında uzak bağlantıya izin verir. Ancak RDP, orijinal olarak mevcut dijital çağ için tasarlanmamıştı ve şirket ağının dışında kullanım için tasarlanmamıştı.
Siber güvenlik uzmanı, “Olay müdahalesinde, doğrudan internete açık olan RDP hizmeti, özellikle küçük yapılarda sürekli karşılaştığımız bir konu” diye devam ediyor. Ve bunun için, bu zayıflıklar özellikle güvenlik açısından düşük vade ile açıklanmaktadır.
Tak ve unut güvenliği
Bu şirketler genellikle, yerel olarak dağıtılan antivirüs yazılımından gelen uyarıların işlenmesi gibi güvenlik araçlarının denetimini sağlayacak becerilere veya finansal araçlara sahip değildir.
Pandemi ile birlikte dijitalleşmenin hızlanması, özellikle iş sürekliliği nedenleriyle bir zorunluluk haline geldi. Bu ihtiyaç çoğu zaman güvenlikten üstün olmuştur.
Sorun: dijitalleşme, çevre güvenliğinin artık korumak için yeterli olmadığı yeni kullanımlar ortaya çıkardı. “Profesyoneller, KOBİ’ler ve hatta ETİ [entreprises de taille intermédiaire] Siber suçun şimdiki gibi olmadığı daha önceki dünyada hala kök salmış durumdalar”, diye endişeleniyor Benjamin Serre.
Bu nedenle, medyada özellikle fidye yazılımlarına yönelik saldırılara yer verilmesine rağmen, bir müjdeleme çalışmasının devam ettiğine inanıyor. Araçlar açısından Orange Cyberdefense, bize insan ekleme ihtiyacını da hatırlatıyor.
VSE’lerde/KOBİ’lerde güvenlik, “tak ve unut” yaklaşımıyla virüsten koruma yazılımının yüklenmesine hala çok fazla güveniyor. Bu çözümlerin sınırlamaları vardır. Daha verimli olmak için izleme, insan gerektirirler. Bir VSE/KOBİ’de veya serbest meslek sahipleri için dikkate alınması zor.
MYO’lara/KOBİ’lere genişletilen Yönetilen EDR
Büyük hesaplarda SOC (Güvenlik İşlemleri Merkezi) bulunur. ETI’ler artık MicroSOC’a erişebilse bile, bu masraflar küçük şirketler için hayal bile edilemez. Orange’ın şu anda EDR (Endpoint Detection & Response) aracılığıyla KOBİ’lerle çoğaltmayı önerdiği karşılaştırılabilir bir modeldir.
Dağıtılan uygulama, eylemleri tetiklemek için yapay zeka ve insanlar kullanılarak analiz edilen günlükler oluşturur. Peki ya siber güvenlik olgunluğunu ilerletmek için daha fazla küresel analiz ve denetim? Onlar ortadan kaybolmazlar.
“İyi ama büyük müşteriler için tasarlandı. Hiç de pragmatik değil,” diye açıklıyor Benjamin Serre. Bu nedenle, fidye yazılımı gibi en olası ve en kritik siber tehditlere karşı derhal harekete geçilmesine öncelik verilir.
“Önce iş istasyonlarınızı ve sunucularınızı, ardından bulutunuzu izlemeli ve ardından teşhise geçmelisiniz. Ama öncelik izlemedir” diye tavsiyede bulunuyor. Ardından analiz, çevrimdışı yedeklemeyi ihmal etmeden diğer derinlemesine eylemleri gerçekleştirmeyi mümkün kılacaktır.
