Hükümetlerin En Büyük Kâbusu Kazara Gerçekleşen Veri Sızıntıları

Bilim-Teknoloji 31.08.2023 - 11:16, Güncelleme: 31.08.2023 - 11:16
 

Hükümetlerin En Büyük Kâbusu Kazara Gerçekleşen Veri Sızıntıları

Kısa süre önce genç bir havacının gizli belgeleri internete sızdırdığının ortaya çıkmasının ardından, ABD hükümeti bir kez daha, hem içeriden hem de dışarıdan, kötü niyetli kişilerin ülke sırlarını paylaşmaya niyetli olduğu gerçeğiyle yüzleşti. Sadece bu bile güvenlik liderlerinin uykularını kaçırmaya yetti. Buna bir de düşük seviyede saldırganlık içermesine rağmen, aynı derecede yıkıcı bir tehdit olan veri sızıntıları eklendiğinde ortaya tam anlamıyla bir kabus senaryosu çıkıyor. Burada bahsi geçen tehdit; iç personel tarafından kazara, istemeden yapılan sızıntılar. Bu sızdırıcıların gerçekte kötü bir niyeti yok. Sadece işlerini yapıp hayatlarını yaşarlarken, erişmemeleri gereken bilgilere erişiyor ve/veya paylaşıyor, dikkatsizce ve özensizce departmanlarını ve ABD çıkarlarını riske atıyorlar.  Veeam Kurumsal Stratejilerden Sorumlu Başkan Yardımcısı Dave Russell ve Veeam Ürün Stratejilerinden Sorumlu Kıdemli Direktör Rick Vanover konuyla ilgili şunları aktarıyor: İnsan hatası, kamu ve özel sektördeki veri ihlallerinin açık ara en büyük nedenlerinden biri. Öyle ki, Dünya Ekonomik Forumu'nun 2022 Küresel Riskler Raporu, siber güvenlik tehditlerinin %95'inin bir tür insan hatasından kaynaklandığını ortaya koyuyor. 2022 Veri İhlali Araştırmaları Raporu (DBIR) ise ihlallerin %82'sinin insan hatalarından kaynaklandığını ortaya çıkarıyor. Dolayısıyla, kazara gerçekleşen veri sızıntıları yıllardır hükümetlerin baş belası olmaya devam ediyor. Dünya genelinde, bir İngiliz memurun El-Kaide dosyalarını trende bırakması, Avustralya hükümet dosyalarının satılan dolaplarda bulunması ve İngiltere hükümetinin terörle mücadele araçlarının yanlışlıkla Trello'da sızdırılması gibi vakalar yaşandı. ABD'de ise 2015 yılında 191 milyon seçmenin kişisel bilgileri internette yayınlanmış ve ABD askerleri nükleer sırları yanlışlıkla bir çalışma uygulamasına sızdırmıştı. Aslında bu sorunun ortadan kalmayacağını, hatta daha da kötüye gidebileceğini söyleyebiliriz. Veri taşınabilirliği katlanarak artıyor ve bu durum hükümetlere verileri farklı lokasyonlarda barındırma ve hibrit çalışma ortamlarında çok departmanlı erişime izin verme gibi avantajlar sunuyor. Online çalışma arttıkça, kurumların çalışanlarının teknoloji uygulamaları üzerindeki denetim düzeyi azalıyor. Buluttaki daha fazla veri, bilgisayar korsanlarının özensiz veri kullanımından yararlanmaları için daha fazla portal yaratıyor. Bu eğilimler, personelin siber hijyen veya OPSEC (operasyon güvenliği) konusundaki bilgi eksikliğiyle birleştiğinde, kamu veri kaynakları bir bilgisayar korsanının iştahını kabartan kolay bir hedef haline geliyor. Peki, kamu ve özel sektör, bilgilerin sızıntı yapabilecek noktalardan geçirilmemesi noktasında çalışanlarına nasıl yardımcı olabilir? İlk olarak, kuruluşlar bulut ve konteyner ortamlarındaki verilerinin güvenliğini sağlayabilirler. Kuruluşlar buluta yatırım yaptıkça, birçoğu tesislerinde bekledikleri titiz standartları karşılayan ağ ve güvenlik çerçeveleri oluşturmakta başarısız oluyor. Kuruluşlar uygulamadan önce bulut güvenlik modelleri oluşturmazlarsa, geri dönüp uygun kontrolleri yapmak için genellikle çok geç olur ve bu kuruluşların IP'sini riske atar. Bu, kötü niyetli bir aktörün ağ içinde yaşamasına izin vermek gibi bir şeydir.  Ayrıca, kuruluşlar kimin hangi verilere erişebileceğine ilişkin politikalarını iyileştirebilirler. Bilginin kritik değeri göz önünde bulundurulduğunda, özellikle de bu bilgi gizli bilgi kategorisindeyse, kuruluşların "en az ayrıcalık" ilkesine dayalı sıfır güven güvenlik modelleri ve rol tabanlı erişim kontrolü (RBAC) prosedürleri oluşturması gerekir. Sıfır güven güvenlik modelleri, kullanıcıları aradıkları bilgilere erişmek için kendilerine güvenilebileceğini aktif olarak göstermeye zorlar. Bu da bilinen kullanıcıları parolalar, oturum açma bilgileri veya biyometrik veriler temelinde tanımlayabilen araçların kullanılması anlamına gelir. En az ayrıcalık ilkesi, kullanıcıların yalnızca kullanmaya yetkili oldukları araçlara, teknolojilere ve belgelere erişmelerine izin vererek açıyı daraltır. Kuruluşlar, çalışanların rolleri değiştiğinde ise bu erişim ayrıcalıklarını değiştirebilir. Son olarak, kuruluşlar kasıtsız veri sızıntıları konusunu, personelin "dijital hijyen" uygulamasını iyileştirmek için bir tetikleyici olarak ele almalıdır. Bu, siber güvenlik uygulamaları ve uygun veri işleme ihtiyacı hakkında düzenli eğitim turlarını içerir. Kuruluşlar güvenlik uzmanlarıyla dolu olmadığından, çalışanlarına güvenlikle ilgili temel bilgileri vermeleri ve bir sızıntıyla karşılaştıklarında yapılması gereken uygun eylemlerin neler olduğunu aktarmaları gerekir. Ayrıca siber güvenlik eğitim programlarının etkinliğini tekrar tekrar test etmeleri de önemlidir. Birçok kuruluş yılda bir ya da iki kez güvenlik farkındalığı eğitimleri düzenliyor, ancak bu yeterli değil. “İnsan güvenlik duvarı” eğitimi sürekli olmalı ve çalışanlara tehditler ortaya çıktıkça güncellemeler ve yeni talimatlar sunulmalıdır. Bu aynı zamanda önemli dijital varlıkların belirlenmesini de içerir. Bir kuruluş için hangi varlıkların kritik öneme sahip olduğu ve bunların nasıl etkili bir şekilde korunacağı konusunda bilgi sahibi olmak, başarılı bir siber güvenlik müdahale planı oluşturmak için hayati önem taşır.  Diğer en iyi uygulamaları ise şöyle sıralayabiliriz: Çok faktörlü kimlik doğrulama (MFA) kullanın. Ek hesap güvenliği sağlamak için MFA'yı yapılandırın  Güçlü bir parola politikası ve hesap kilitleme politikası kullanın  Kullanılmayan cihazları, uygulamaları, işten ayrılan çalışanları ve gerekli olmayan programları ve yardımcı programları kaldırın  İhtiyaç duyulmadığında internet erişimini, bağlantı noktalarını ve diğer bağlantıları kapatın Yama yönetimi: Kullanımdaki tüm yazılım, donanım ve aygıt yazılımlarının güncel yazılım seviyelerini çalıştırdığından emin olun Hükümetler ve özel kuruluşlar saldırı altında. Sahte aktörler her geçen yıl daha yaratıcı ve daha bilgili hale geliyor, bu da hayati önem taşıyan varlıkların yanlış ellere geçmesini önlemek için kurumları daha fazlasını yapmaya zorluyor. Koruma taktikleri düşmanca tehditlere odaklanmalı, ancak düşmanca olmayan tehditleri de kapsamalıdır, çünkü kasıtsız bilgi paylaşımları da kuruluşları büyük risklerle karşı karşıya getirebilir.    Kaynak: (BYZHA) Beyaz Haber Ajansı

Kısa süre önce genç bir havacının gizli belgeleri internete sızdırdığının ortaya çıkmasının ardından, ABD hükümeti bir kez daha, hem içeriden hem de dışarıdan, kötü niyetli kişilerin ülke sırlarını paylaşmaya niyetli olduğu gerçeğiyle yüzleşti. Sadece bu bile güvenlik liderlerinin uykularını kaçırmaya yetti. Buna bir de düşük seviyede saldırganlık içermesine rağmen, aynı derecede yıkıcı bir tehdit olan veri sızıntıları eklendiğinde ortaya tam anlamıyla bir kabus senaryosu çıkıyor. Burada bahsi geçen tehdit; iç personel tarafından kazara, istemeden yapılan sızıntılar. Bu sızdırıcıların gerçekte kötü bir niyeti yok. Sadece işlerini yapıp hayatlarını yaşarlarken, erişmemeleri gereken bilgilere erişiyor ve/veya paylaşıyor, dikkatsizce ve özensizce departmanlarını ve ABD çıkarlarını riske atıyorlar. 

Veeam Kurumsal Stratejilerden Sorumlu Başkan Yardımcısı Dave Russell ve Veeam Ürün Stratejilerinden Sorumlu Kıdemli Direktör Rick Vanover konuyla ilgili şunları aktarıyor:

İnsan hatası, kamu ve özel sektördeki veri ihlallerinin açık ara en büyük nedenlerinden biri. Öyle ki, Dünya Ekonomik Forumu'nun 2022 Küresel Riskler Raporu, siber güvenlik tehditlerinin %95'inin bir tür insan hatasından kaynaklandığını ortaya koyuyor. 2022 Veri İhlali Araştırmaları Raporu (DBIR) ise ihlallerin %82'sinin insan hatalarından kaynaklandığını ortaya çıkarıyor.

Dolayısıyla, kazara gerçekleşen veri sızıntıları yıllardır hükümetlerin baş belası olmaya devam ediyor. Dünya genelinde, bir İngiliz memurun El-Kaide dosyalarını trende bırakması, Avustralya hükümet dosyalarının satılan dolaplarda bulunması ve İngiltere hükümetinin terörle mücadele araçlarının yanlışlıkla Trello'da sızdırılması gibi vakalar yaşandı. ABD'de ise 2015 yılında 191 milyon seçmenin kişisel bilgileri internette yayınlanmış ve ABD askerleri nükleer sırları yanlışlıkla bir çalışma uygulamasına sızdırmıştı.

Aslında bu sorunun ortadan kalmayacağını, hatta daha da kötüye gidebileceğini söyleyebiliriz. Veri taşınabilirliği katlanarak artıyor ve bu durum hükümetlere verileri farklı lokasyonlarda barındırma ve hibrit çalışma ortamlarında çok departmanlı erişime izin verme gibi avantajlar sunuyor. Online çalışma arttıkça, kurumların çalışanlarının teknoloji uygulamaları üzerindeki denetim düzeyi azalıyor. Buluttaki daha fazla veri, bilgisayar korsanlarının özensiz veri kullanımından yararlanmaları için daha fazla portal yaratıyor. Bu eğilimler, personelin siber hijyen veya OPSEC (operasyon güvenliği) konusundaki bilgi eksikliğiyle birleştiğinde, kamu veri kaynakları bir bilgisayar korsanının iştahını kabartan kolay bir hedef haline geliyor.

Peki, kamu ve özel sektör, bilgilerin sızıntı yapabilecek noktalardan geçirilmemesi noktasında çalışanlarına nasıl yardımcı olabilir?

İlk olarak, kuruluşlar bulut ve konteyner ortamlarındaki verilerinin güvenliğini sağlayabilirler. Kuruluşlar buluta yatırım yaptıkça, birçoğu tesislerinde bekledikleri titiz standartları karşılayan ağ ve güvenlik çerçeveleri oluşturmakta başarısız oluyor. Kuruluşlar uygulamadan önce bulut güvenlik modelleri oluşturmazlarsa, geri dönüp uygun kontrolleri yapmak için genellikle çok geç olur ve bu kuruluşların IP'sini riske atar. Bu, kötü niyetli bir aktörün ağ içinde yaşamasına izin vermek gibi bir şeydir. 

Ayrıca, kuruluşlar kimin hangi verilere erişebileceğine ilişkin politikalarını iyileştirebilirler. Bilginin kritik değeri göz önünde bulundurulduğunda, özellikle de bu bilgi gizli bilgi kategorisindeyse, kuruluşların "en az ayrıcalık" ilkesine dayalı sıfır güven güvenlik modelleri ve rol tabanlı erişim kontrolü (RBAC) prosedürleri oluşturması gerekir.

Sıfır güven güvenlik modelleri, kullanıcıları aradıkları bilgilere erişmek için kendilerine güvenilebileceğini aktif olarak göstermeye zorlar. Bu da bilinen kullanıcıları parolalar, oturum açma bilgileri veya biyometrik veriler temelinde tanımlayabilen araçların kullanılması anlamına gelir. En az ayrıcalık ilkesi, kullanıcıların yalnızca kullanmaya yetkili oldukları araçlara, teknolojilere ve belgelere erişmelerine izin vererek açıyı daraltır. Kuruluşlar, çalışanların rolleri değiştiğinde ise bu erişim ayrıcalıklarını değiştirebilir.

Son olarak, kuruluşlar kasıtsız veri sızıntıları konusunu, personelin "dijital hijyen" uygulamasını iyileştirmek için bir tetikleyici olarak ele almalıdır. Bu, siber güvenlik uygulamaları ve uygun veri işleme ihtiyacı hakkında düzenli eğitim turlarını içerir. Kuruluşlar güvenlik uzmanlarıyla dolu olmadığından, çalışanlarına güvenlikle ilgili temel bilgileri vermeleri ve bir sızıntıyla karşılaştıklarında yapılması gereken uygun eylemlerin neler olduğunu aktarmaları gerekir. Ayrıca siber güvenlik eğitim programlarının etkinliğini tekrar tekrar test etmeleri de önemlidir. Birçok kuruluş yılda bir ya da iki kez güvenlik farkındalığı eğitimleri düzenliyor, ancak bu yeterli değil. “İnsan güvenlik duvarı” eğitimi sürekli olmalı ve çalışanlara tehditler ortaya çıktıkça güncellemeler ve yeni talimatlar sunulmalıdır.

Bu aynı zamanda önemli dijital varlıkların belirlenmesini de içerir. Bir kuruluş için hangi varlıkların kritik öneme sahip olduğu ve bunların nasıl etkili bir şekilde korunacağı konusunda bilgi sahibi olmak, başarılı bir siber güvenlik müdahale planı oluşturmak için hayati önem taşır. 

Diğer en iyi uygulamaları ise şöyle sıralayabiliriz:

Çok faktörlü kimlik doğrulama (MFA) kullanın. Ek hesap güvenliği sağlamak için MFA'yı yapılandırın  Güçlü bir parola politikası ve hesap kilitleme politikası kullanın  Kullanılmayan cihazları, uygulamaları, işten ayrılan çalışanları ve gerekli olmayan programları ve yardımcı programları kaldırın  İhtiyaç duyulmadığında internet erişimini, bağlantı noktalarını ve diğer bağlantıları kapatın Yama yönetimi: Kullanımdaki tüm yazılım, donanım ve aygıt yazılımlarının güncel yazılım seviyelerini çalıştırdığından emin olun

Hükümetler ve özel kuruluşlar saldırı altında. Sahte aktörler her geçen yıl daha yaratıcı ve daha bilgili hale geliyor, bu da hayati önem taşıyan varlıkların yanlış ellere geçmesini önlemek için kurumları daha fazlasını yapmaya zorluyor. Koruma taktikleri düşmanca tehditlere odaklanmalı, ancak düşmanca olmayan tehditleri de kapsamalıdır, çünkü kasıtsız bilgi paylaşımları da kuruluşları büyük risklerle karşı karşıya getirebilir. 

 

Kaynak: (BYZHA) Beyaz Haber Ajansı

Habere ifade bırak !
Habere ait etiket tanımlanmamış.
Okuyucu Yorumları (0)

Yorumunuz başarıyla alındı, inceleme ardından en kısa sürede yayına alınacaktır.

Yorum yazarak Topluluk Kuralları’nı kabul etmiş bulunuyor ve trabzonhabermerkezi.com sitesine yaptığınız yorumunuzla ilgili doğrudan veya dolaylı tüm sorumluluğu tek başınıza üstleniyorsunuz. Yazılan tüm yorumlardan site yönetimi hiçbir şekilde sorumlu tutulamaz.
Adana escort bayan Çukurova escort bayan Seyhan escort bayan Ankara escort bayan Mamak escort bayan Etimesgut escort bayan Polatlı escort bayan Pursaklar escort bayan Haymana escort bayan Çankaya escort bayan Keçiören escort bayan Sincan escort bayan Antalya escort bayan Kumluca escort bayan Konyaaltı escort bayan Manavgat escort bayan Muratpaşa escort bayan Kaş escort bayan Alanya escort bayan Kemer escort bayan Bursa escort bayan Eskişehir escort bayan Gaziantep escort bayan Şahinbey escort bayan Nizip escort bayan Şehitkamil escort bayan İstanbul escort bayan Merter escort bayan Nişantaşı escort bayan Şerifali escort bayan Maltepe escort bayan Sancaktepe escort bayan Eyüpsultan escort bayan Şişli escort bayan Kayaşehir escort bayan Büyükçekmece escort bayan Beşiktaş escort bayan Mecidiyeköy escort bayan Zeytinburnu escort bayan Sarıyer escort bayan Bayrampaşa escort bayan Fulya escort bayan Beyoğlu escort bayan Başakşehir escort bayan Tuzla escort bayan Beylikdüzü escort bayan Pendik escort bayan Bağcılar escort bayan Ümraniye escort bayan Üsküdar escort bayan Esenyurt escort bayan Küçükçekmece escort bayan Esenler escort bayan Güngören escort bayan Kurtköy escort bayan Bahçelievler escort bayan Sultanbeyli escort bayan Ataşehir escort bayan Kağıthane escort bayan Fatih escort bayan Çekmeköy escort bayan Çatalca escort bayan Bakırköy escort bayan Kadıköy escort bayan Avcılar escort bayan Beykoz escort bayan Kartal escort bayan İzmir escort bayan Balçova escort bayan Konak escort bayan Bayraklı escort bayan Buca escort bayan Çiğli escort bayan Gaziemir escort bayan Bergama escort bayan Karşıyaka escort bayan Urla escort bayan Bornova escort bayan Çeşme escort bayan Kayseri escort bayan Kocaeli escort bayan Gebze escort bayan İzmit escort bayan Malatya escort bayan Manisa escort bayan Mersin escort bayan Yenişehir escort bayan Mezitli escort bayan Erdemli escort bayan Silifke escort bayan Akdeniz escort bayan Anamur escort bayan Muğla escort bayan Bodrum escort bayan Milas escort bayan Dalaman escort bayan Marmaris escort bayan Fethiye escort bayan Datça escort bayan Samsun escort bayan Atakum escort bayan İlkadım escort bayan Adıyaman escort bayan Afyonkarahisar escort bayan Ağrı escort bayan Aksaray escort bayan Amasya escort bayan Ardahan escort bayan Artvin escort bayan Aydın escort bayan Balıkesir escort bayan Bartın escort bayan Batman escort bayan Bayburt escort bayan Bilecik escort bayan Bingöl escort bayan Bitlis escort bayan Bolu escort bayan Burdur escort bayan Çanakkale escort bayan Çankırı escort bayan Çorum escort bayan Denizli escort bayan Diyarbakır escort bayan Düzce escort bayan Edirne escort bayan Elazığ escort bayan Erzincan escort bayan Erzurum escort bayan Giresun escort bayan Gümüşhane escort bayan Hakkari escort bayan Hatay escort bayan Iğdır escort bayan Isparta escort bayan Kahramanmaraş escort bayan Karabük escort bayan Karaman escort bayan Kars escort bayan Kastamonu escort bayan Kırıkkale escort bayan Kırklareli escort bayan Kırşehir escort bayan Kilis escort bayan Konya escort bayan Kütahya escort bayan Mardin escort bayan Muş escort bayan Nevşehir escort bayan Niğde escort bayan Ordu escort bayan Osmaniye escort bayan Rize escort bayan Sakarya escort bayan Siirt escort bayan Sinop escort bayan Sivas escort bayan Şanlıurfa escort bayan Şırnak escort bayan Tekirdağ escort bayan Tokat escort bayan Trabzon escort bayan Tunceli escort bayan Uşak escort bayan Van escort bayan Yalova escort bayan Yozgat escort bayan Zonguldak escort bayan
Sitemizden en iyi şekilde faydalanabilmeniz için çerezler kullanılmaktadır, sitemizi kullanarak çerezleri kabul etmiş saylırsınız.