Küresel Tedarik Zinciri Güvenliği: Uzman Eksikliği ve Önlem Önerileri

BT güvenliği alanında nitelikli eleman eksikliği, küresel kuruluşların tedarik zincirine bağlı güvenlik açıklarını artırıyor. Son araştırmalar, güvenlik operasyonlarını güçlendirmek için öncelik sıralamasında birden çok görevi aynı anda ele alma ihtiyacını vurguluyor. Türkiye’de katılımcıların %44’ü bu iki faktörü en önemli engeller olarak görüyor.

Kaspersky’nin çalışması, tedarik zinciri ve güven ilişkisi risklerini azaltmanın giderek daha kritik hale geldiğini gösteriyor. Son 12 ayda çoğu kurum, bu tür bir saldırıyla karşılaştığını ifade ederken, artan saldırı sıklığı ve etkisiyle karşılaşan şirketler için bu riskleri etkin biçimde yönetmenin neden zorlaştığı ortaya konuyor. En büyük engellerden biri, uzman iş gücü eksikliği olarak öne çıkıyor; bu durum, ekosistem içindeki potansiyel üçüncü taraf açıklarını düzenli olarak tespit ve izleme kapasitesini zorluyor. Ayrıca, birden fazla siber güvenlik önceliği arasında denge kurmanın da önemli bir zorluk olduğu belirtiliyor.

Türkiye özelinde bakıldığında yüklenicilerle yapılan sözleşmelerde net BT güvenliği yükümlülüklerinin bulunmaması ve BT dışı güvenlik personelinin riskleri tam olarak kavrayamaması, katılımcılar için kritik endişeler arasında yer alıyor. Araştırmaya göre Türkiye’de işletmelerin %93’ü tedarik zinciri ve güven ilişkisi risklerine karşı korumalarını güçlendirmeyi benimserken, mevcut önlemlerin yeterli olduğunu düşünenlerin oranı yalnızca %7’yi buluyor. Üstelik üçüncü taraf risklerini yöneten mevcut uygulamalar parçalı kalıyor; kullanıcılar arasında benimsenen koruma yöntemi ortalaması %42’den daha yüksek değil ve iki faktörlü kimlik doğrulama (2FA) bile yalnızca %26 oranında uygulamada.

İzleme ve denetim eksikliği nedeniyle birçok kuruluş, iş ortaklarının güvenliği konusunda sürekli görünürlük elde edemiyor; bu da ekosistem içindeki zafiyetlerin fark edilmesini zorlaştırıyor. Global açıdan inceleyen veriler, tedarik zinciri ve güven ilişkisi kaynaklı saldırılara maruz kalan şirketlerin güvenlik uygulamalarını güçlendirme eğiliminde olduğunu gösteriyor. Sızma testi taleplerinin artması, güven ilişkisi ihlali mağdurlarının ise endüstri standartlarına uyum ve tedarik zinciri politikalarına odaklandığını gösteriyor.

Kaspersky Güvenlik Operasyonları Merkezi (SOC) Başkanı Sergey Soldatov konuyla ilgili olarak şu yorumu yapıyor: “Güvenlik ekipleri kapasiteyi aşan görevlerle karşılaştığında, insan kaynağı eksikliği ve kısa vadeli baskılar nedeniyle tedarikçi ekosistemindeki tehditler sessizce ilerleyebiliyor. Bu durumu kırmak için endüstrinin; standartlaştırılmış yüklenici değerlendirmeleri, ekipler arası farkındalık ve bütünleşik hafifletme stratejilerini benimsemesi şart. Tedarik zinciri güvenliği, tüm iş ağına yayılan ve ortak hesap verebilirlik gerektiren bir sorumluluk haline gelmelidir.”

Bu hedeflere ulaşmak için Kaspersky, şu adımları öneriyor:

• Yönetilen güvenlik hizmetlerinden yararlanma: Sınırlı güvenlik kaynağı olan kurumlar için harici çözümler kritik önem taşıyor. MDR ve Olay Müdahalesi gibi hizmetler, tehdit tespitiyle müdahaleyi kapsar.
• Çalışan güvenliği için eğitim yatırımı: Uygulamalı ve kendi kendine ilerlemeli programlar, güvenlik ekibinin yetkinliğini artırır ve daha karmaşık saldırılara karşı koruma sağlar.
• Sözleşme öncesi güvenlik değerlendirmeleri: Tedarikçinin güvenlik politikaları, geçmiş olay kayıtları ve standart uyumu incelenmelidir. Yazılım ve bulut için zafiyet verileri ile penetrasyon test sonuçları da dikkate alınmalıdır.
• Sözleşmelere güvenlik yükümlülükleri eklenmesi: Denetimler, uyum ve olay bildirim süreçleri gibi açık bilgi güvenliği sorumlulukları net olarak belirtilmelidir.
• Güvenlik odaklı iş birliği: Koruma seviyesinin karşılıklı olarak güçlendirilmesi, güvenliğin ortak bir öncelik haline gelmesini sağlar.

Kaynak: Beyaz Haber Ajansı (BYZHA)