Güvenlik açıkları, kuruluşlar için önemli mali kayıplara yol açabilir. Tehdit unsurları, fikri mülkiyeti çalmaktan, fidye yazılım saldırıları yoluyla sistemleri rehin almaya kadar kötü niyetli faaliyetlerde bulunabilir veya güvenilir varlıklar gibi davranarak ağlara izinsiz erişim elde etmeye çalışabilir. Bu tür ihlaller ayrıca bir kuruluşun itibarına zarar verebilir, rekabet gücünün azalmasına ve işletmeler için gelir kaybına neden olabilir. Güvenlik olaylarına yanıt verme süreci bile maliyetlerle beraber gelirken, değerli IT destek kaynaklarını diğer önemli IT işlevlerinden uzaklaştırabilir. Bu tehditleri etkili bir şekilde ele alabilmek için kuruluşların, en olası etkileyebilecekleri saldırı türlerine ve belirli endüstrilerine odaklanması gerekmektedir.

Maliyetli saldırı desenleri
Tüm siber güvenlik risklerini ortadan kaldırmak gerçekçi değil. Bunun yerine, kuruluşların tehdit unsurlarının en büyük tehdit oluşturan saldırı desenlerine, yani tehdit unsurlarına büyük meblağlar getirebilecek olanlara odaklanmaları daha iyi olacaktır. Fidye yazılımı ve kurma bahanesi gibi saldırı desenleri arasında bulunur. Bir fidye yazılımı saldırısı, Verizon’ın 2024 Veri İhlalleri Araştırma Raporu’na göre bir kuruluşa ortalama 45.000 USD’nin üzerinde maliyet çıkarabilir ve bazı durumlarda milyonlarca dolara ulaşabilir. Bu saldırı deseni, sistemleri geri yüklemeye çalışırken kesintiye dayanamayan kuruluşlara büyük baskı yapabilir. Bu tür kuruluşlar için iyi bir seçenek yoktur. Ya fidyeyi ödeyip para kaybedecekler ya da sistemleri geri yüklemeye çalışırken süre kaybedeceklerdir. Kurma bahanesi hem maliyetli hem de giderek yaygınlaşan bir sorundur; mali amaçlı siber saldırıların dörtte birini oluşturur durumda. Genellikle iş e-posta dolandırıcılığı (BEC) saldırılarını gerçekleştirmek için kullanılır ve kuruluşlara ortalama olarak 50.000 USD civarında maliyet çıkarır. BEC saldırıları özellikle tehlikeli olabilir çünkü genellikle yüksek düzey yöneticileri hedef alırlar ve bunlar tipik olarak oldukça hassas şirket bilgilerine erişime sahiptirler. Hesaplarının en güvenli olduğunu varsayabilirsiniz, ancak çoğu zaman durum böyle değildir, çünkü IT genellikle onlar için güvenlik protokolü istisnaları yapmaya daha yatkındır.
Yüksek riskli endüstriler
Kritik altyapılara veya hassas bilgilere sahip endüstriler genellikle tehdit unsurları için yüksek değerli hedeflerdir. Önceki bölümde de belirtildiği gibi, fidye yazılımı burada özellikle yıkıcı olabilir. Örneğin, bir üretici fabrikasındaki üretim hattının uzun süre kapalı olması bir üretici için uygun olmayabilir. Etki, maliyetlerin potansiyel olarak üst üste binmesi ile birlikte tedarik zincirine yayılabilir. Bir üreticinin tedarikçilerle ve perakendecilerle olan ilişkilerini etkileyebilir, bu durum da endüstrideki konumunu zayıflatabilir. Baskı arttıkça, bir üretici muhtemelen fidyeyi ödemek zorunda kalacaktır. Kritik şirketlerde daha iyi Ağ ve Bilgi Sistem güvenliği uygulamak için NIS2 direktifinin revize edilmesi. Uygulama kapsamı artık ek ulusal kritik (Esaslı & Önemli) kuruluşları (>+50 çalışanı olan kuruluşlar) içerir. Hastaneler ve diğer sağlık kuruluşları, yanlış ellere sızan gizli hasta bilgileriyle karşı karşıya kalma ve infüzyon pompaları gibi kritik hayat kurtarıcı tıbbi ekipmanların hacklenmesi gibi çift bir tehditle karşı karşıyadır. Sızan hasta kayıtları bir sağlık kuruluşunun itibarında kargaşa yaratabilir, hacklenmiş tıbbi ekipmanlar ise hastalarının sağlığının tehdit edilmesi durumunda hastanenin fidye ödemesine zorlayabilir.
İnsan hatalarının tehdidi
Genellikle, tehdit unsurlarının bilmeyen işbirlikçileri vardır: bir firmanın çalışanları. İhlallerin dörtte ikisinden fazlası (DBİR) gibi kötü niyetli olmayan insan hataları nedeniyle meydana gelir; bir çalışanın yanlışlıkla müteakip zarar yol açan kötü niyetli bir e-posta veya metin bağlantısına tıklaması gibi, bir güvenlik ihlaline yol açabilir. Çalışanlar, kurma bahanesi taktikleriyla kandırılabilir ve sonuç olarak BEC saldırısına maruz kalabilirler. Bazen, onlar siber saldırıya hedef olmasa bile, hassas bilgileri yanlış e-posta adresine gönderebilirler; örneğin, bir sağlık çalışanı gizli hasta bilgilerini istenmeyen bir alıcıya gönderebilir.
İhlallerin mali riskini azaltma
Güvenlik ihlallerinin mali riskini azaltmaya yardımcı olmak için bir kuruluşun en yaygın tehditleri ve en yıkıcı olanları (özellikle potansiyel en yüksek maliyet riskine sahip olanlar) belirlemesi gereklidir. Bir üretici olarak, en kötü senaryonuz bir tehdit unsuru tarafından bir üretim hattının rehin alınması olabilir. Bu senaryoya hazırlanmak, felaket kurtarma da dahil olmak üzere bir düzenleme planını gerektirir, ki bu da aynı zamanda felaket durumları için geçerlidir. Bir hastane ortamında, karışıklık bir sorun olabilir, sağlık çalışanların yukarıda belirtildiği gibi yanlış adrese bir e-posta göndermeleri gibi. Gelişmiş erişim denetimleri, bu ve diğer hataları önlemeye yardımcı olabilir. Dijital kimlikler hakkındaki tartışmalar içinde, insan dışı kimlikler (NHİ’ler) sıklıkla göz ardı edilir ve marjinalleştirilir. NHİ’ler, uygulamalara, hizmetlere ve makineler teknolojik kimliklere bağlı bir dizi dijital kimliği kapsar. Bunlar botlar, OAuth belgeleri, API anahtarları ve hizmet hesaplarını içerir – makinelerin elemanlarını doğrulayan, kaynaklara erişmesini ve kritik ve kritik olmayan ortamlarda birbirleriyle iletişim kurmasını sağlayan kimlik bilgileridir. Bu alandaki kuruluşların etkili korumalar sağlamak için kapsamlı kapsayan işletmeleri yönetmeye dikkat etmeleri gerekmektedir. Tehdit unsurlarının çoğu zaman hedefe ulaşmalarının yolunun insan hatalarını sermaye olarak kullandığını düşündüğümüzde, işgücünü siber güvenlik en iyi uygulamaları ve muhtemelen görecekleri saldırı desenleri konusunda eğitmek, kurumsal maruziyeti azaltmada önemli bir adım olabilir, ancak sadece çalışan eğitimi yeterli değildir. Güvenlik ihlallerinin mali maliyetini azaltmak için kuruluşların sağlam tehdit algılama ve çevre güvenliği çözümlerine yatırım yapmaları gerekmektedir. Para kazanmanın para gerektirdiği söylenir. Peki, para tasarruf etmek de para gerektirir.
En iyi kimlik hırsızlığı korumasını tanıttık.
Bu makale, Teknoloji Radarı Pro’nun Uzman Görüşler kanalının bir parçası olarak yayınlandı, burada teknoloji endüstrisindeki en iyi ve en parlak akılları öne çıkarıyoruz. Burada ifade edilen görüşler yazarın görüşleridir ve mutlaka Teknoloji Radarı Pro veya Future plc’nin görüşlerini yansıtmamaktadır. Katkıda bulunmaktan ilginç buluyorsanız buradan daha fazlasını öğrenebilirsiniz: https://www.techradar.com/news/submit-your-story-to-techradar-pro