Şirketler Neden “Zorunlu Fidye Yazılımı Raporlama Planı” Yapmalı?
Şirketler Neden “Zorunlu Fidye Yazılımı Raporlama Planı” Yapmalı?
Kürşad Sezgin, Veeam Ülke Müdürü
2021 yılının ilk yarısı fidye yazılım saldırıları yönünden oldukça yoğun geçti. Yapılan araştırmaya göre dünya genelinde 2021 yılında da siber suçlular pandemiden yararlanmaya devam etti ve küresel olarak fidye yazılımı saldırılarının sayısında artış tespit edildi. Türkiye’nin de içinde yer aldığı EMEA Bölgesi’ndeki fidye yazılım saldırıları ise geçtiğimiz yılın aynı dönemine göre yüzde 36 arttı. Bu da, kuruluşların her hafta uğradığı ortalama 777 siber saldırıya uğradığı anlamına geliyor.
Hem ülkeleri hem de şirketleri tehdit eden en ciddi siber saldırı yöntemlerinden biri fidye yazılım saldırıları. Dijital dönüşümdeki hızlanmayla birlikte önümüzdeki dönemde; üretim tesisleri, finans kuruluşları, sağlık kurumları, e-ticaret şirketleri, eğitim ve kamu kurumları fidye yazılım saldırılarından büyük oranda etkilenmeye devam edecek. Bu da ekonomik açıdan büyük bir tehlike anlamına geliyor.
Kuruluşların bu yıl siber güvenlik personelini artırma planı, yükselen küresel tehlikeye karşı mücadeleyi iyileştirmeye yönelik atılmış adımlardan biri. Cybersecurity Ventures’e göre bilgi güvenliği mesleği 2028 yılına kadar yüzde 32 oranında büyüme gösterecek. Önümüzdeki yıla kadar dünya çapında tam 3,5 milyon siber güvenlik pozisyon açığı olacağı tahmin ediliyor. Açık pozisyonların 400 bininin Avrupa Bölgesi’nde olacağı öngörülüyor.
Ancak Siber Saldırılara Karşı Daha Güçlü Hale Gelmek İçin Başka Ne Yapılabilir?
Siber suçların son yıllarda küresel olarak detaylı incelenmesi ve bu konuda raporların hazırlanması hükümetlerin fidye yazılım saldırılarını siyasi bir öncelik olarak görmeye başlamasını da sağladı. Raporlamalar, yükselen fidye yazılımı dalgasını analiz etme ve bunlarla mücadele etme çabalarına yardımcı olabilir. Ancak kuruluşlar, bu raporların çözdüğünden daha fazla soruna neden olabileceğini düşünüyor.
Bilgi Paylaşımı Daha İyi Düşünmeye Yönlendirir
TÜSİAD tarafından yayınlanan "2020 Türkiye Siber Risk Algı Araştırması"na göre; Türkiye'deki şirketlerin genel eğilimi “bekle-gör” davranışıyla şekilleniyor. Şirketler, kendileri veya birlikte çalıştıkları veya tanıdıkları başka bir şirket bir tehditle karşılaşmadan harekete geçmiyorlar. Diğer yandan, kuruluşların genellikle fidye yazılımı saldırılarını bildirmekte tereddüt ettikleri bilinen bir gerçek. Saldırıları raporlama eksikliği, marka itibarını korumaktan, yasa uygulama düzenlemelerinden kaçınmaya kadar, yalnızca fidye yazılımıyla mücadele çabalarını engellemekle kalmaz, aynı zamanda bu tür siber saldırıların sıklığı, yoğunluğu ve karmaşıklığı konusunda olarak çarpık bir anlayışa neden olabiliyor.
Zorunlu raporlama yapılırsa, fidye yazılımları daha fazla akılda kalır ve kuruluşların herhangi bir anda bunun herkesi her zaman etkileyen geniş kapsamlı bir sorun olduğunu algısı sağlanır. Fidye yazılımı raporlamasının finansal raporlama ile aynı önemde ele alınacağı hepimizin bildiği tartışma götürmez bir gerçek.
Raporlama eksikliği, fidye yazılımlarına karşı daha iyi koruma sağlamanın yollarını bulma yeteneğimizi ve kendimizi bir sonraki adımda neler olabileceğini tahmin edecek bir konuma getirme fırsatını engelliyor. Sonuçta, elinizde doğru bilgi olmadan bir şeyi engelleyemezsiniz. Fidye yazılımlarına yönelik kesin çözüm, koruma önlemlerini mümkün olan en kısa sürede uygulamak için toplu bir bilgi paylaşımı çabası yoluyla sağlandığından, kuruluşların itibardan çok şeffaflığa öncelik vermesidir.
Fidye yazılımı felce uğratan bir tehdit olarak değil, üstesinden gelinebilecek bir şey olarak görülmelidir. Farkındalık eylem almakla eş değerdir.
Fidye Yazılımlarına Karşı Daha Güçlü Bir Cephe Hattı
Zorunlu fidye yazılımı raporlama şemaları, fidye yazılımı saldırıları (ne oldu ne bozuldu, tehdidin nasıl azaltıldığı ve sonrasında nelerin değiştiği) hakkında bilgi paylaşımının faydalarını artırmakla kalmaz, aynı zamanda devlet kurumlarının ve danışma komitelerinin tam potansiyelini karşılamaya da yardımcı olur.
Örneğin Avustralya'da, ülkenin siber güvenlik stratejisinin uygulanmasına rehberlik etmek için geçen yıl Siber Güvenlik Stratejisi Endüstrisi Danışma Komitesi kuruldu. Güneydoğu Asya'da ise, Singapur'un Parasal Otoritesi (MAS) Siber Güvenlik Danışma Paneli, ülkenin finansal sisteminin siber dayanıklılığı ve güveni sürdürmek için strateji tavsiyelerinde bulunuyor. Ve Güney Kore'de, 1961'de ülkenin baş istihbarat teşkilatı olarak kurulan Ulusal İstihbarat Teşkilatı’nın en son keşfi, şirketlerin ve kamu kurumlarının komşusu tarafından zarar gördüğüdür.
Bir fidye yazılımı saldırısını bildirerek, bu tür tavsiyelere veri ve öngörü katkısı yapılır ve bu güvenlik sorunları, güvenlik açıkları ve aktif siber suçlar hakkında kritik bilgiler de koruyucu zırh olarak eklenir. Örneğin, bu herkese açık bilgiler saldırılara karşı uyarmak için yayılır. Ayrıca, yetkililerin dijital cüzdanın fidyeleri hakkında bilgi toplamasına, suç gruplarının şirketleri hedeflemek için kullandığı altyapıya ve ağlara girme yollarına ilişkin bilgileri toplamasına olanak tanır.
Fidye yazılımı aktörleri hakkında değerli tehdit istihbaratı ve eyleme dönüştürülebilir iç görüler sağlamak, onlara karşı daha güçlü bir cephe oluşturur. Diğer yandan fidye yazılımlarının gerçek etkisini gizleyen kuruluşlar, siber tehditlere karşı güvenliği sağlamak için ulusal ve bölgesel düzeylerde ortak çabayı ve ülkenin fidye yazılımı saldırılarıyla mücadeledeki genel başarısını engeller.
