BT yöneticisi analiz etmeli ve soruna nokta atışı yapmalı
Gün geçtikçe şirketlerin bel kemiği haline gelen BT bölümleri, siber suçlarla mücadele için kilit nokta oluyor. Çünkü bir kurumun en önemli varlığı olan ‘veri’si artık bu departmanın ellerinde. Yapılacak hatalar siber saldırganların değeri ölçülemez bu veriyi ele geçirmesine ve iş akışını sekteye uğratmasına sebep olabilir.
Labris İş Geliştirme Uzmanı Ertugrul Kara, BT yöneticilerinin aynı zamanda iyi bir analist olması gerektiğini belirtiyor. Personeli, sadece ‘kullanıcı’ olarak gören bir BT yöneticisinin, bilgi güvenliği çerçevesinde kurumunun ana ihtiyaçlarını göremeyebileceğinin altını çizen Kara, her kullanıcının IP adresinden öte bir insan, o kurumun da bir ağdan öte, zaafları, ihtiyaçları, kuralları, ürünleri, altyapısı olan bir ekosistem olduğunu bilerek analiz etmek, saldırılara karşı dinamik bir BT yönetimi ortaya konulabileceğini belirtiyor.
Kara’ya göre, saldırıları izledikleri metotları göz önüne alarak analiz etmek en doğrusu. ‘Sosyal Mühendislik’ metoduyla elde edilen bilgilerin, kötü niyetli grupların, saldırılarını daha efektif ve hızlı bir şekilde gerçekleştirmelerine yol açtığını belirten Kara, sosyal mühendislik yöntemlerine karşı, BT yöneticilerinin, personelini düzenli olarak bilgilendirmesi ve tatbikat yapması gerektiğini söyledi.
Önlemler kuruma
göre değişir
Avtürk Ürün Müdürü Okan Horasan BT yöneticilerinin alabileceği önlemlerin, bulundukları kurumun büyüklüğü ve yapısına göre değişkenlik gösterebileceğini söyledi ve KOBİ örneğini verdi. Yüksek güvenlik maliyetlerini karşılayamayan bir KOBİ’ye bir UTM cihazının bile yeterli olacağını vurgulayan Horasan, daha üst düzey koruma istendiğinde devreye bulut bilişim çözümlerinin girdiğini vurguladı. Düşük maliyetli bulut çözümleriyle, üçüncü nesil içerik/URL filtrelemesine, güçlü bir e-posta filtrelemesine, güvenlik duvarına ve veri sızıntı önleme çözümlerine sahip olunabileceğini dile getirdi.
Avea Güvenlik ve Güvenceleme Risk Müdürü Kıvılcım Hindistan, güvenlik konusunda sık dile getirilen üç bileşeni; teknoloji, süreç ve insan olarak sıralıyor ve devam ediyor: “Bunlardan en pahalısı ve en göz önünde olanı teknoloji. Fakat teknoloji tek başına hiçbir şeyi çözmüyor. O kadar para verip aldığınız sistemin başına koyduğunuz adam çok önemli. Bugün şirketimin güvenliğini sağlamak için 1.000 TL param olsa, bunun 900 TL’sini insana yatırırım. Belki piyasanın en iyi güvenlik duvarını almam, ama başına ne yaptığını çok iyi bilen bir adam oturturum” dedi.
Trend Micro Akdeniz Ülkeleri Pazarlama Müdürü Sibel Yılmaz’a göre ise BT yöneticilerinin saldırılara karşı almaları gereken en önemli önlemlerden birisi Defense in Depth (Çok katmanlı koruma) kavramını ağlarına uygulamak. Yılmaz, bu şekilde gelebilecek saldırıların etkisi ve zararının en aza indirilmiş olacağını belirtiyor. İnternet üzerindeki tehditlerin hacmi ve karmaşıklığının, çevrimiçi güvenlikten emin olmak için çok katmanlı, gerçek zamanlı korumaya mecbur kıldığını hatırlatan Yılmaz, “Trend Micro ürün ve çözümlerinin hemen hepsinde bulunan Smart Protection Network adlı güvenlik altyapısının, web ilişki ve e-posta tehditlerini bilinirlik teknolojileri kullanarak bulutta bulunan tehdit veritabanıyla karşılaştırıyor. Kendine has, bulut tabanlı içerik güvenlik altyapısı, Trend Micro müşterilerine tüm çevrimiçi etkinliklerin keyfini çıkarırken en son internet tehditleri karşısında gerçek zamanlı koruma sağlıyor” dedi.
“Bilgi güvenliği yönetim sistemi kullanılmalı”
İnnova Bilişim Çözümleri Teknoloji Çözümleri Direktörü Mehmethan Şişik de BT yöneticilerinin saldırıları engelleyebilmek için çeşitli teknolojik çözümler kullanmaya eğilim gösterdiklerini ama istatiksel olarak güvenlik tehditlerinin büyük kısmının kurumların içinden kaynaklandığını ve insan hatalarını kullandığını hatırlattı. Şişik: “Alınabilecek en iyi önlem bilgi güvenliğini sistematik olarak yönetmek, başka bir deyişle ‘Bilgi Güvenliği Yönetim Sistemi’ kullanmak. Burada teknolojik sistemlerden bahsetmiyoruz. Sorumluların hiyerarşik organizasyonunu, uyulacak kuralları, alınacak kararları, risk analizlerini ve kullanıcı eğitimlerini kapsayan bir metodolojiden bahsediyoruz. Bu sayede kurumların ihtiyaçları ve bulundukları duruma uygun önlemlerin en mantıklı maliyetlerle alınması sağlanabilir” dedi.
“Öncelikle güvenlik kültürünü oluşturmak gerekiyor”
Karşı tedbir olarak ilk başta güvenlik kültürünü oluşturmak gerektiğini söyleyen Bordotek Genel Müdürü Öner Gültekin, sistemlerin genelde uzmanların almadığı tedbirlerden değil daha alt seviye kullanıcıların ihmallerinden dolayı saldırıya uğradığını söyledi ve ekledi: “O zaman uzman buna izin vermesin diyebilirsiniz ama, kaçınızın evinin her odasında güvenlik kamerası var? Evet, maalesef fazla güvenlik hepimizi sıkıyor.” Gültekin, bunun haricinde yalın ve işe özgü, kontrol edilebilir bir altyapıya sahip olmanın da önemli bir unsur olduğunu söyledi: “Bugün birçok yerde BT yöneticilerinin elinin altında başka uzman tarafından yapılandırılmış güvenlik tedbirleri duruyor ve bu sistem güven üzerine işliyor. BT yöneticisi burada daha hakim olabileceği ve daha az dış desteğe ihtiyaç duyacağı sistemleri seçmeli” dedi.
