COVID-19 salgını, hem fiziksel dünyayı hem de şirketlerin ve kuruluşların çok azının yüzleşmeye hazır veya donanımlı olduğu göz korkutucu siber güvenlik zorluklarıyla karşı karşıya kaldığı dijital dünyayı da değiştirdi. Artan siber saldırılara karşı şirketlerin hem veri kaybı hem de maddi sorunlar yaşamamalarının yolu ise son zamanlarda adı daha sık duyulan “siber hijyen” kurallarına uymalarından geçiyor. Bu tür tedbirlerin artan siber saldırılara karşı bir koruma kalkanı görevi üstlendiğini vurgulayan İnfrasis Siber Mühendislik Genel Müdürü Can Sobutay, siber hijyen kuralları kapsamında şirketlere önerilerde bulundu. Sobutay, şirketlerin siber saldırılardan korunmaları için öncelikli olarak bir olay müdahale planı oluşturmaları gerektiğini, olası risk ve güvenlik açıkları için ağlarını düzenli olarak test etmeleri gerektiğini vurguladı.

Pandeminin ardından artan siber saldırılar, hijyen tedbirlerinin dijital dünyada da ne kadar önemli olduğunu yeniden hatırlattı.  İnfrasis Siber Mühendislik de en küçük bir ihmalde dahi büyük maddi kayıplara uğrayabilecek olan şirketlerin adım adım izlemesi gereken stratejileri açıkladı. Dikkat edilmesi gereken noktalara ayrıntılı olarak değinen ve önlemler konusunda bilgiler veren İnfrasis Siber Mühendislik Genel Müdürü Can Sobutay,şirketlerde kullanılan bilgisayar ve cihazların sağlığının korunması, verilerinin çalınması veya bozulmasını önlemek adına çevrimiçi siber güvenliği iyileştirmek için atılan adımları kapsayan “siber hijyen” tanımının siber saldırılara karşı bir koruma kalkanı görevi üstlendiğini vurguladı.

Siber saldırıların başarıya ulaşıp ulaşmamasının genellikle siber hijyen konusundaki farkındalığa bağlı olduğunu aktaran Sobutay, “İyi siber hijyen uygulamaları, bir kuruluşun ürün veya hizmetlerine yönelik riskleri belirlemesi ve bu risklere yanıt vermesi etrafında döner. Bu riskler, yeni bir ürün, uygulama veya hizmetin piyasaya sürülmesine, yeni bir müşteri edinilmesine, yeni paydaşlarla çalışılmaya başlanmasına veya mevcut yazılımların güncellemelerine ilişkin risk analizini içerebilir” dedi.

Eski güvenlik yazılımlarına dikkat

“Bir kurumsal yapının nasıl bir dijital envantere sahip olduğu, bir hizmet veya uygulamanın üretiminde hangi bileşenlerin yer aldığı veya bunların sunulmasında hangi çalışanlarının nasıl bir önem taşıdığı konusunda net olmalı” ifadelerini kullanan Sobutay, bilgisayarlar, telefonlar ile bağlı cihazlar gibi kullanılan tüm donanımların, yazılımların ve çevrimiçi bileşenlerin düzenli bir bakım programına dahil edilmesi gerektiğini vurguladı. Söz konusu sistemlerin bileşenlerinin farklı sorunlara yol açabilecek siber güvenlik açıklarına sahip olduğunu aktaran Sobutay, bu sorunları ise “Veri Kaybı”, “Yanlış Yerleştirilen Veriler”, “Güvenlik İhlali”, “Güncel Olmayan Yazılımlar” ve “Eski Güvenlik Yazılımları” olarak sıraladı.

Plan üç ana bileşenden oluşuyor

Öncelikli olarak karşılaşılan temel siber riskler ile potansiyel etkilerin belirlenmesi, müdahale stratejilerinin ise iyi bir şekilde oluşturulması gerektiğinin altını çizen Sobutay, “Şirketinizin operasyonları, varlıkları ve bireyleri için riskleri belirlemeniz, bunları değerlendirmeniz çok önemli. Bu kapsamda öncelikle bir olay müdahale planı oluşturun. Teknik, yasal ve yönetimsel olmak üzere üç ana bileşenden oluşan plan, sorun giderme prosedürlerini, personel rollerini ve sorumluluklarını ve dış paydaşlarla ortak koordinasyonunu içermeli” dedi.

Erişim kontrolü ile riskleri en aza indirin

Ağınızda şirketin donanım ile yazılımlarının bir envanterini tuttuğunuzdan, ayrıca kullanılmayan, savunmasız uygulamaları devre dışı bıraktığınızdan emin olun” ifadelerini kullanan Sobutay, şirket çalışanlarına da bu konuda eğitimler verilmesi gerektiğini söyledi. Sobutay, şu açıklamaları yaptı: “İç ve dış ağ segmentlerin bileşenlerini yapılandırırken, bilgi güvenliğini gözeten ağ tasarımı ilkelerinden yararlanın, tüm ağ cihazlarının da tutarlı, uygun yapılandırıldığından emin olun. Ağda hareket eden tüm trafiği filtreleme, denetleme ve engelleme konusunda dikkatli olun.

Böylece kurumsal faaliyetleri desteklemek için gerekli olan trafiği sınırlayabilir, tanımlayabilir, ayrıca saldırı girişimini tespit edebilecek olağandışı veya olası kötü niyetli faaliyetlere karşı trafiği detaylı izleyebilirsiniz. Olası riskler ve güvenlik açıkları için ağı düzenli test edin. Erişim kontrolü ile riskleri azaltın. Kullanıcıların erişimlerini, sadece kurumsal işlevlerini yerine getirmek için ihtiyaç duydukları haklarla sınırlayın. Personelin erişim hesaplarını kuruluşunuza katılırken, kuruluşunuzdan ayrılırken ve rolleri değiştikçe güncelleyin.” Ağ bileşenleri, yazılımlar ve donanım için standart güvenli yapılandırmalar oluşturulması gerektiğine dikkat çeken Sobutay, verilerin korunması ve kontrol edilmesi için de gerekli kontrollerin yapılması gerektiğini belirtti.

Siber güvenlik açıklarını izleme, tespit etme noktasında da kurum ve kuruluşlara önerilerde bulunan Sobutay, güvenlik açıkları noktasında güncel bilgilere sahip olunması için bilgi paylaşım standartları ve kaynaklarının kullanılması gerektiğini söyledi. Sobutay, “Önde gelen uygulama kontrollerini kullanarak en yüksek riskli tehditleri ve güvenlik açıklarını azaltın. Bu risk derecelendirmelerine dayanarak, kontrollerin uygulanması ve yama zamanlamaları için çizelgeler oluşturun. Yetersiz siber hijyenin, saldırıya uğrayan kuruluşların başlıca nedeni olduğu ve küresel şirketlerin ve benzer şekilde küçük işletmelerin risk altında olduğu bir gerçektir. Tıpkı kişisel hijyen gibi, siber hijyende de bir ihlalin sonuçlarıyla uğraşmak yerine, önceden tedbirli olarak veri ve maddi kayıpları önleyebilirsiniz” diye konuştu.