Bir Kaspersky küresel çalışma, tedarik zinciri kaynaklı güvenlik tehditlerinin son 12 ayda işletmeler için en yaygın siber risk olarak öne çıktığını gösteriyor. Türkiye’deki şirketler için de durum benzer; ankete katılanların %28’i son bir yılda bu tür bir tehditle karşı karşıya kaldı.
Dünya Ekonomik Forumu’nun güncel verileri, büyük ölçekli kuruluşların yaklaşık üçte ikisinin (%65) üçüncü taraflar ve tedarik zinciri üzerinden gelen güvenlik açıklarını siber dayanıklılığın önündeki en büyük engeller arasında gördüğünü ortaya koyuyor. Bu kapsamda, Orta Doğu ve Türkiye’yi kapsayan Kaspersky çalışması, risklerin nasıl değiştiğini ve küresel işletmelerin bu tehditlere ne derece maruz kaldığını ortaya koyuyor.
Son 12 ay içinde kurumsal şirketlerin %31’i bir tedarik zinciri saldırısının etkisi altında kaldıklarını belirtirken Türkiye’de bu oran %28 olarak kaydedildi. Bu seviyeler, diğer tehdit türleriyle karşılaştırıldığında en yüksek oranlar arasında yer alıyor. Büyük ölçekli işletmelerin (2.500 ve üzeri çalışan) %36’lık saldırı oranı, daha küçük ölçekli şirketlere göre belirgin biçimde daha yüksek çıkıyor ve bu durum, çalışan sayısının artmasıyla birlikte artan bağımlılıklar ve potansiyel saldırı yüzeyinin genişlemesiyle ilişkilendiriliyor.
Çalışma, en büyük işletmelerin çoğunlukla yaklaşık 100 yazılım ve donanım tedarikçisiyle çalıştığını, dolayısıyla güven ilişkileri üzerinden erişim imkânlarının da yükseldiğini gösteriyor. Buna karşılık, küçük ölçekli işletmeler yaklaşık 50 yükleniciyle çalışırken, büyük işletmelerde bu sayı 130’un üstüne çıkıyor. Bu durum, “güven ilişkisi saldırıları” adıyla tanımlanan riskleri artırıyor; saldırganlar, organizasyonlar arasındaki meşru bağlantıları istismar ederek zarar verebiliyor.
Geçtiğimiz yıl dünyada dörtte birine kadar yayılan güven ilişkisi saldırıları özellikle Türkiye (%35), Singapur (%33) ve Meksika (%31) merkezli firmalarda öne çıkıyor. Orta Doğu’da ise kuruluşların %22’sinin bu tür tehditlere maruz kaldığı dikkat çekiyor.
SOC Başkanı Sergey Soldatov bu konuyla ilgili olarak şunları söyledi: “Dijital ekosistemde her bağlantının güvenlik profilinin kritik olduğunun farkındayız. Kuruluşlar arasındaki bağlılık arttıkça savunma alanı da genişliyor; bu nedenle güvenliği yalnızca tekil sistemler için değil, tüm etkileşim ağını kapsayacak şekilde güçlendirmek gerekiyor.”
Riskleri azaltmak ve iş sürekliliğini güvence altına almak adına, şirketlerin kurumsal düzeyde önleyici tedbirler alması ve tedarikçi-yüklenici ilişkilerini stratejik bir çerçevede ele alması şart. Kaspersky şu önerileri paylaşıyor:
- Tedarikçileri sözleşme öncesi titiz şekilde değerlendirin. Güvenlik politikaları, geçmiş güvenlik olayları ve sektör standartlarına uyumlarına bakın; yazılım ve bulut hizmetleri için zafiyet verileri ile sızma test sonuçlarını da inceleyin.
- Sözleşmelere güvenlik yükümlülükleri ekleyin. Düzenli güvenlik denetimleri yapın ve güvenlik politikalarına uyum ile olay bildirim protokollerinin uygulanabilirliğini güvence altına alın.
- Önleyici teknolojileri hayata geçirin. Ayrıcalıkların minimize edildiği ilkeler, sıfır güven yaklaşımı ve sağlam kimlik-erişim yönetimi uygulamaları ile tedarikçi bir etkisiz hâle geldiğinde oluşabilecek zararı en aza indirin.
- Sürekli izleme sistemleri kurun. Kapsam dahilindeki izlemeyi, Kaspersky Next XDR veya MXDR gibi çözümlerle gerçek zamanlı olarak yürütün ve anormallikleri tespit edin.
- Olay müdahale planı geliştirin. Saldırıları kapsadığından ve ihlal anında hızlı tepkileri mümkün kılacak adımlar içerdiğinden emin olun; gerekirse ilgili tedarikçinin bağlantısını kesmeye yönelik süreçler belirleyin.
- Tedarikçilerle güvenlik konusunda iş birliğini güçlendirin. Koruma seviyesini iki taraf için de yükselterek siber güvenliği ortak öncelik haline getirin.
Bu konudaki bulgular ve daha ayrıntılı öneriler için ilgili kaynaklara bağlantılar üzerinden erişilebilir. Çalışma, 16 ülkeyi kapsayan ve 1.714 teknik uzmanın katılımıyla gerçekleştirildi; Türkiye, Almanya, İspanya, İtalya, Brezilya ve diğer ülkeler dahil.
Leave a Reply