Şirketler, siber güvenliğini sağlamak için ne yapmalı?

Ali Kamil Uzun

– 17 Eylül’de taşınabilir iletişim cihazları üzerinden gerçekleştirilen siber saldırı, siber güvenlik alanında tehdit ve risklerin sınır tanımaz, herkesin hedef teşkil edeceği yeni bir dönemin kapısını araladı. 17 Eylül saldırısı, siber savaşta yeni ve çok tehlikeli bir dönemin başlangıcıdır. İnternete bağlı herhangi bir cihaz potansiyel olarak bir silaha dönüştürülebilir. Akılı bir cihazın devreleri tehlikeli bir şekilde arızalanacak şekilde manipüle edilebilir.

-2001 yılında yaşanan 11 Eylül saldırısı sonrası bugün yaşadığımız, 17 Eylül saldırısının da bireysel, kurumsal ve toplumsal güvenliğimiz için yeni bir milat teşkil edeceğini ifade edebiliriz. Yaşanan 17 Eylül saldırısı sonrası devletlerin yanı sıra kurumsal hayatta, iş dünyamızda da siber güvenlik konusu hayati bir önem kazandı. Kurumsal hayatta şirketler için rekabetin sürdürülebilirliğinde siber güvenlik, hayati bir öneme sahiptir. Yaşananlar konunun ciddiyetine farklı bir boyut getirdi.

– Şirketler, riskleri bertaraf etmek ve siber güvenliği sağlamak için; öncelikle yönetim kurulu seviyesinde bilgi güvenliğini güvence altına almayı, riskleri ve kilit kontrolleri anlamak için çalışmalar yapmalı. Ayrıca hassas bilgilerin bulunduğu dosyaların ve raporların envanterini oluşturmalı, uzmanlar yardımıyla sızma testleri ve güvenlik denetimleri yaptırmalıdır. Bunların  yanı sıra şirket yöneticileri ve çalışanları, bilgi güvenliği konusunda sürekli bilgilendirilmeli ve eğitimi sağlanmalıdır.

17 Eylül’de taşınabilir iletişim cihazları üzerinden gerçekleştirilen siber saldırı, siber güvenlik alanında tehdit ve risklerin sınır tanımaz, topyekûn herkesin hedef teşkil edeceği yeni bir dönemin kapısını araladı. Taşınabilir iletişim cihazı olan herkesin birer siber saldırı hedefi haline gelebileceğini gördük.

17 Eylül saldırısı, siber savaşta yeni ve çok tehlikeli bir dönemin başlangıcına işaret ediyor. İnternete bağlı herhangi bir cihaz potansiyel olarak bir silaha dönüştürülebilir. Akılı bir cihazın devreleri tehlikeli bir şekilde arızalanacak şekilde manipüle edilebilir. Nesnelerin interneti olarak adlandırılan ortamda arızalı cihaz telefonunuz, buzdolabınız ya da televizyonunuz olabilir. Hepimiz bu cihazlara bağlı ve bağımlıyız. Akıllı telefonların ve diğer el tipi iletişim cihazlarının her yerde bulunması nedeniyle risk altındayız. Bir tedarik zincirine müdahale etmek ve kötü amaçlı yazılım yerleştirmek ya da bu çağrı cihazlarının patlamasına sebep olan neyse, bunu yapmanın mümkün olabileceğini gördük.

17 EYLÜL SİBER SALDIRISI, GÜVENLİĞİMİZ İÇİN YENİ BİR MİLAT TEŞKİL EDECEK

2001 yılında yaşanan 11 Eylül saldırısı sonrası bugün yaşadığımız 17 Eylül saldırısının da bireysel, kurumsal ve toplumsal güvenliğimiz için yeni bir milat teşkil edeceğini ifade edebiliriz. Yaşanan 17 Eylül saldırısı sonrası devletlerin yanı sıra kurumsal hayatta, iş dünyamızda da siber güvenlik konusu hayati bir önem kazandı. Kurumsal hayatta şirketler için rekabetin sürdürülebilirliğinde siber güvenliğin hayati bir öneme sahip olduğunu biliyorduk. Yaşananlar konunun ciddiyetine farklı bir boyut getirdi.

DİJİTAL DEVRİM, 7/24 YAŞAYAN BİR İŞ DÜNYASI YARATTI

Konuya ilişkin çeşitli vesilelerle gündeme getirdiğimiz, kaleme aldığımız hususları tekrar gözden geçirdiğimizde;

İş dünyamızın kurumsal varlıkları olan şirketlerimizin akıllı teknoloji ile donatılmış çalışma ortamı sayesinde şirket yönetici ve çalışanlarının bilgiye erişimi ve iletişim konforu her geçen gün hızla gelişiyor. Bu gelişimin hızı gün geçtikçe artıyor; ölçeğimiz ve sektörümüz ne olursa olsun bizi etkiliyor.

Bulut bilişimin olanakları ile verilerin dijital ortamda depolanabilmesi, uzaktan erişim, hızlı ve kolay transfer ile dünyamız üzerinde güneşin batmadığı bilgi toplumuna dönüşmüştür. Dijital devrim 7/24 yaşayan bir iş dünyası yarattı.

Teknolojinin nimeti olan bilgi toplumunda mobil iletişim araçlarının akıllı teknolojilerle sağladığı akıl almaz iletişim imkânları sayesinde zaman ve mekân sınırlamaları olmaksızın iş ve sosyal yaşamımızı sürdürüyoruz.

DEĞİŞİM VE DÖNÜŞÜM, İŞ DÜNYASI İÇİN ÖNEMLİ FIRSATLARI VE RİSKLERİ GETİRİYOR

Sosyal yaşamı hareketlendiren, iletişimin dilini değiştiren gelişmeler, iş yaşamında da değişim ve dönüşüm yarattı. İş yapış biçimi ile birlikte iş süreçleri değişti. Çalışma ortamının şirket duvarları ile sınırlı mekân anlayışı, yerini her yerden erişimin olduğu mobil çalışma ortamına bıraktı.

Söz konusu değişim ve dönüşüm, iş dünyası ve şirketler için yeni iş fırsatları, yeni ürün ve hizmet tasarımı, hızlı büyüme ve rekabet avantajı imkânları sağlarken tehdit oluşturabilecek önemli riskleri de beraberinde getiriyor.

DEĞİŞİM VE DÖNÜŞÜMÜ GÜVENLİ YAŞIYOR MUYUZ?

Stratejik kararlarımız için kullandığımız rapor bilgilerimiz; müşteri, fiyat, maliyet bilgilerimiz; satış bilgilerimiz, ticari sırlarımız, şirketimize özel bilgi ve raporlarımız bir zamanlar kilit altında kasa ve evrak dolaplarında saklanarak fiziksel güvenliği sağlanırdı. Günümüzde bu bilgiler fiziksel ortam yerine elektronik ortamda saklanmakta, şirketlerin iletişim ağında bulunan kullanıcılara tanınan erişim yetkileri çerçevesinde güvenliği sağlanmaya çalışılıyor. Şirketimizin iletişim ağındaki güvenlik uygulamalarının güçlü olması tehdit altında olmadığımızı göstermez. Siz bu satırları okurken birileri iletişim ağınızdaki zayıflıkları araştırıyor, şirket verilerine sızmak için çalışıyor olabilir.

TEKNOLOJİNİN HIZLA GELİŞİMİ, BÜYÜME VE REKABET AVANTAJLARI GETİRİYOR, AMA…

Teknolojinin hızla gelişimi, sunduğu iletişim fırsatları ile büyüme ve rekabet avantajları sağlanırken, bu gelişim aynı zamanda şirket verilerine kötü niyetli erişim için riskler de taşıyor. Güvenlik zincirimizi kırmaya, iletişim ağımıza sızarak bilgilerimize erişmeye imkân sağlayan virüs ya da casus yazılımlar, şifre dolandırıcılığı, internet sitelerinin çökertilmesi gibi sonuçları yıkıcı, maddi zarar ve itibar kaybı doğuran tehdit konuları, nimetlerinden yararlandığımız teknolojinin külfetini oluşturan riskleri olarak karşımıza çıkıyor.

Siber güvenlik uzmanları, kötü niyetli kişilerin cep telefonumuzdaki ve tablet bilgisayarımızdaki e-postalarımızı görüntüleyebilecekleri, şifrelerimize ve şirketimizin değerli bilgilerine erişebilecekleri, telefon kameramızın uzaktan yönetilmesini sağlayabilecekleri yazılımlara dikkat çekiyorlar. Siber güvenlik zincirindeki en zayıf halkanın ise şirket çalışanları olduğunu tecrübelerimiz gösteriyor.

Şirketlerimizin stratejik yönetim kararlarının alındığı yönetim kurulu seviyesinde de kritik bilgilerin bulunduğu dosya ve raporların güvenliğinin tam olarak sağlandığından emin miyiz?

Şirket yönetim kurulu üyeleri konumları gereği şirketin en hassas bilgilerine sahip olmalarının yanı sıra işleri gereği şirket dışı mekân hareketlilikleri, akıllı mobil iletişim araçlarını kullanma sıklıkları nedeniyle güvenlik zincirinin riski yüksek halkasını oluşturuyor.

ŞİRKETLER, SİBER GÜVENLİĞİ NASIL SAĞLAYABİLİR?

Söz konusu riskin yönetilmesi, siber güvenliğin sağlanarak şirket bilgilerinin korunması için gerekli görülen kritik önlemleri şöyle sıralayabiliriz.

1. Şirketlerin siber güvenliği için öncelikle yönetim kurulu seviyesinde bilgi güvenliğini sağlamak üzere riskleri ve kilit kontrolleri anlamak için çalışmalar yapılması gerekiyor.
2. Siber güvenlik için kurumsal yönetim politikaları oluşturulmalıdır.
3. Şirket için hassas bilgilerin bulunduğu dosya ve raporlar envanterinin oluşturulması, kimlerin erişimine açık olduğunun değerlendirilmesi, kontrol ve güvenlik prosedürlerinin gözden geçirilmesi sağlanmalıdır.
4. Hassas bilgilerin yer aldığı dosya ve raporlara erişimin kontrol ve yönetimine ilişkin politika ve prosedürler geliştirilmelidir.
5. Konuya ilişkin uzmanlar yardımıyla sızma testleri ve güvenlik denetimleri yaptırılmalıdır.

Yukarıda önerilen hususların yanı sıra şirket yönetici ve çalışanlarının bilgi güvenliği konusunda sürekli bilgilendirilmesi ve eğitimi sağlanmalıdır.

Bunu sağlamanın ilk koşulu ise, şirket yönetim kurullarının bilgi güvenliklerini tehdit eden siber risklere odaklanarak şirket yönetici ve çalışanlarını bu konuda yönlendirmeleridir.

Siber güvenliğin, sadece devletler ve şirketler için değil, birey olarak hepimizin güvenliği için önemli ve gerekli olduğunu unutmamalıyız.

Ali Kamil UZUN

Türkiye İç Denetim Enstitüsü Kurucu ve Onursal Başkanı

uzun@turcomoney.com