İki hafta önce yaşanan ABD merkezli DDoS saldırısı, şirketlerin ‘siber güvenlik’ dosyalarını yeniden gündemlerinin üst sıralarına almalarına neden oldu. “Bu dönem her şirkette siber tehdit konuşuluyor” diyen KPMG Bilgi Teknolojileri Danışmanlığı Şirket Ortağı Tanıl Durkaya, siber güvenlikle ilgili çok yaygın yanılgıları ve doğruları anlattı. Stratejinin ilk kuralı, “Yüzde 100 güvenlik imkansız” gerçeğini kabul etmek…
Yeni dünyada çokuluslu şirketlerin de küçük/orta ölçekli kuruluşların da siber güvenliği önemli bir endişe kaynağı olarak değerlendirdiklerini belirten Durkaya, “Bireysel fırsatçı bilgisayar korsanlarından profesyonel organize siber suç örgütlerine kadar saldırganların farklı amaçlarla düzenlediği eylemler riskin boyutunu ortaya koyuyor. Ancak bu sorunu ele almak için sadece teknolojiye odaklanmak doğru bir hamle değil. Siber riskin doğru yönetilmesi gerek” dedi. Durkaya, en çok rastlanan 5 yanlışı şöyle sıraladı:
– “Yüzde 100 güvenliği sağlamak zorundayız.”
Hayır, yüzde 100 güvenlik doğru bir hedef değil, bunu başarmak imkansız.
Kabul etmek gerekir ki hemen her büyük ve tanınmış kuruluş bir gün bir şekilde siber saldırılarla karşılaşacak. Siber suça karşı yüzde 100 güvenlik sağlamanın mümkün olmadığı konusunda farkındalık yaratmak bile etkin bir güvenlik politikası için olumlu adımdır. Tehdidi anlamaya, tedbir mekanizmaları oluşturmaya ve bunlara yanıt verecek kabiliyeti yaratmaya odaklanmak gereklidir.
– “Yüksek teknolojiye yatırım yaparsak güvende oluruz.”
Hayır, teknoloji hiçbir zaman tek başına yeterli değildir.
Siber güvenlik dünyası, sisteme izinsiz giriş yapmaya çalışanları hızla tespit eden teknik ürünler satan tedarikçilerin hakimiyetinde. Bu araçlar güvenlik için elbette gerekli ama bütüncül ve sağlam bir siber güvenlik politikasının temeli değil. Teknolojiye yatırım yapmak, siber güvenlik stratejisinin itici gücü değil sonucu olmalı. İyi bir güvenlik yapılanması, sağlam bir savunma yeteneği geliştirmekle başlar.
– “Bilgisayar korsanlarının silahlarından daha güçlü silahlarımız olmalı.”
Hayır, silaha değil, akıl ve kalkana ihtiyacınız var.
Siber suçla savaş, kazanılması kolay olmayan yarışlara bir örnektir. Çünkü saldırganlar sürekli yeni yöntem ve teknolojiler geliştirir. Onlar saldırır, siz her zaman savunmada olursunuz. Ve savunma hep bir adım geriden gelir. Siber güvenlik yatırımlarında öncelik, tehditlerin ve eksikliklerin farkında olmak, sürekli tehdit istihbaratı yaparak, eksiklikleri gidermeye odaklanacak süreçleri sağlamaktır.
– “Mevzuata uyum için etkili bir izleme yeterlidir.”
Hayır, öğrenme kabiliyeti izleme kabiliyeti kadar önemlidir.
Siber güvenliğin, mevzuata uyumdan son derece etkilendiğini görülüyor. Şirketler bazı yönetmeliklere ve mevzuata elbette uyum sağlamak zorunda. Ancak mevzuata uyum, siber güvenlik politikasının hedefi olmamalı. Siber dünyadaki gelişmeleri ve vakaların trendlerini anlayabilen, bunlarla ilgili doğru politika ve strateji oluşturan şirketler siber suçla mücadelede başarılı olacak. Bu nedenle etkin bir siber güvenlik politikası, kesintisiz öğrenme ve gelişmeyi temel almalı.
– “Siber suçtan korunmanın yolu en iyi profesyonelleri işi almaktır.”
Hayır, siber güvenlik sadece bir kişi veya grubun işi değildir. Herkesin sorumluluğudur ve kurumsal bir anlayış gerektirir.
Siber güvenlik genellikle alanında uzman profesyonellerden oluşan bir departmanın sorumluluğu olarak görülüyor. Oysa bu sorumluluğu genele yaymak gerek.
Yöneticiler, bilinçli bir yaklaşım sergilemeli ve siber saldırılardan gelebilecek tehditlere karşı çalışanları eğitip farkındalık yaratmalıdır. Mevcut organizasyon kültürü çalışanların risklere karşı tetikte olacağı ve endişelerini üstlerine proaktif ileteceği şekilde değiştirilmelidir.
