Siber güvenlik bir “ayarlayın ve unut” olayı değildir. Bir şirketi birçok yönden sakatlayabilecek saldırılar yapabilen giderek daha anlayışlı siber suçluların önünde kalmak için sürekli uyanıklık, uyarlanabilirlik ve proaktif bir yaklaşım gerektirir. Son saldırıların yokluğunda bile, hiçbir şirket yanlış bir güvenlik duygusuna girmemelidir. Bunun yerine, savunmalarını sürdürmenin ve güçlendirmenin önemini güçlendirmelidir, çünkü siber saldırılar söz konusu olduğunda, bu bir “if” meselesi değil, “ne zaman” meselesidir.
Her şirket, müşteri geri bildirimleri, geçmiş saldırılar, performans verileri ve endüstrinin en iyi uygulamaları dahil olmak üzere hangi bilgilerin siber güvenlik programlarını oluşturmak, rafine etmek, geliştirmek ve güçlendirmek için en değerli olduğunu belirlemelidir. Başlamak için iyi bir yer, bir SWOT (Güçlü Yönler, Zayıf Yönler, Fırsatlar, Tehditler) Analizi ile yapılabilecek mevcut siber güvenlik manzarasını anlamaktır. Bu amaca hizmet etmek için, her biri Corpay’a düşüyor, yıllık baş bilgi memurları, baş bilgi güvenliği görevlileri ve diğer siber güvenlik liderleri ve her büyüklükteki şirketlerden karar vericiler hakkında bir anket yapıyoruz. 2024 anket bulgularını incelemeden önce, son zamanlarda yapılan yüksek profilli ihlalleri, tüm şirketlerin bugün karşılaştığı kalıcı tehdide açık bir hatırlatma olarak düşünün.
Şikayet için zaman yok
Otomobil bayileri için önde gelen bir ERP sağlayıcısı olan CDK Global, 15.000 bayinin satma, finansman veya servis otomobillerini aciz olarak önemli bir siber saldırıya maruz bıraktı. Bu olay, kritik hizmet sağlayıcıların kırılganlığının ve hedeflenen siber saldırıların potansiyel yaygın etkisinin altını çizmektedir.
Benzer şekilde, Neiman Marcus’ta bir veri ihlaline yol açan kar tanesi olayı, büyük işletmeleri hedefleyen gelişen tehdit vektörlerini daha da vurgulamaktadır. Lockbit Fidye Yazılımı Grubu, Evolve Bank’a yapılan saldırılarla birlikte manşetlerde bulundu, bu da sızan veriler ve finansal piyasalar aracılığıyla şok dalgaları gönderecek bir federal rezerv veri ihlali iddiaları da dahil olmak üzere finansal kurumların güvenliği ile ilgili endişelerle sonuçlandı. AT&T, bilgisayar korsanlarının müşterilerinin çağrıları ve metinleri hakkında aylarca veri aldığını duyurdu. Kişisel bilgiler alamadılar, ama yine de sinir bozucu bir ihlaldi.
Peyzaj süveti
Ankete göre, bu yüksek profilli saldırılarda bile örnek olarak, şirketlerin sadece üçte biri son 12 ay içinde bir siber saldırı yaşadı. Kuruluşların bu kadar yüksek bir yüzdesinin bir siber saldırıdan kaçınması, hatta daha da iyisi, bir siber saldırının gerçekleşmesini engellediği, şirketlerin yaklaşık% 70’inin mevcut siber güvenlik duruşları ve yetenekleri ile rahat olduklarını söylediğini düşündüğünüzde mantıklıdır.
Bununla birlikte, ankete göre, şirketlerin yaklaşık% 80’i önümüzdeki 12 ay içinde bir siber saldırı riski konusunda hala çok veya biraz endişe duyuyor. Sonuç olarak, şirketler paralarını ağızların olduğu yere koyuyor,% 75’i BT bütçelerinin% 6 ila% 15’ini önümüzdeki yıl siber güvenlik koruması için harcamayı planlıyor. Sorun şu ki, katılımcıların% 67’si neden istedikleri siber koruma seviyesine ulaşmadıkları için sermaye kaynaklarının eksikliğini suçlamaktadır.
Muhtemelen siber güvenlik harcamalarının adil bir kısmının yapay zeka (AI) üzerinde kullanılacağını okuyan kimseye sürpriz değildir. Aslında, şirketlerin% 60’ından fazlası önümüzdeki 12 ay içinde siber güvenlik amaçlı AI araçlarını değerlendirmeyi ve/veya uygulamayı planlıyor. Her geçen gün, iş vakaları, AI’nın stratejik kullanımının, siber savunmalardaki boşlukları tehdit istihbarat açısından dengeleyebileceğini kanıtlamaktadır. AI ayrıca nitelikli siber güvenlik yeteneklerinin eksikliğinden kaynaklanan büyük personel boşluklarını da doldurabilir (bildirildiğine göre dört milyondan fazla açık güvenlik işi ve bunları dolduracak yeterli insan olmadığı bildiriliyor). AI Tools’un kötü amaçlı yazılımları veya şüpheli bir yürütmeyi tespit etme ve anında karantinaya sahip olma yeteneği, şirketlerin sonraki adımları belirlemek için zamana sahip olması, personel eksikliği için paha biçilmez bir kaynaktır.
Yapay zeka bütçesinin harika bir kullanımı olsa da, şirketler siber güvenlik doları harcamayı planlamıyor, siber suçluları ödüyor. Ankete göre, kötü amaçlı yazılım ve kimlik avı açık ara en yaygın siber saldırılar olsa da, kötü aktörler fidye yazılımı saldırıları için herhangi bir planı yeniden gözden geçirebilir.
2025 için siber güvenlik önerileri
Mevcut manzara göz önüne alındığında, siber güvenlik liderlerinin proaktif bir duruş benimsemeleri zorunludur. 2025’te gezinmek için beş temel öneri:
- Başarının net bir tanımı oluşturun: Siber güvenlikte başarı hem önleyici hem de duyarlı önlemleri kapsamalıdır. Bu, potansiyel saldırıları engellemek için sağlam savunmaların uygulanması ve bir saldırı meydana gelirse hasarı en aza indirmek için kapsamlı bir kurtarma planına sahip olmak anlamına gelir.
- Proaktif Önlemler Alın: Kuruluşunuzun özel tehditlerine göre uyarlanmış proaktif adımlar geliştirmek ve dağıtmak için siber saldırılardaki gerilemeden yararlanın. Bu, düzenli güncellemeler ve yamalar, kimlik avı girişimlerini tanımak ve yanıtlamak için çalışan eğitimini ve olağandışı faaliyetler için sürekli izlemeyi içerir. İnternete maruz kalan ve sömürülebilen yeni ağları veya ürünleri kontrol edin.
- Yetenek edinimi: Siber güvenlik stratejinizi etkili bir şekilde yürütmek için gerekli yetenekleri işe alın ve saklayın. Bu, hem savunma mekanizmalarında hem de olay tepkisinde usta olan yetenekli siber güvenlik profesyonellerine yatırım yapmayı içerir.
- Gelişmiş teknolojilerden yararlanın: Tehdit algılama ve yanıt yeteneklerini geliştirmek için AI ve makine öğrenimi gibi gelişmiş teknolojiler kullanın. Bu teknolojiler, potansiyel bir saldırıyı gösterebilecek kalıpları ve anomalileri tanımlamaya yardımcı olabilir.
- Dayanıklılığa odaklanın: Kuruluşunuzun siber güvenlik stratejisinin esnekliğe güçlü bir vurgu içerdiğinden emin olun. Bu, bir siber saldırının etkisini yönetmek ve azaltmak için sağlam yedekleme sistemleri, felaket kurtarma planları ve net iletişim protokollerine sahip olmak anlamına gelir.
Açıkçası, herkese uyan tek bir yaklaşım yoktur ve her siber güvenlik lideri, şimdi ve gelecekte özel ihtiyaçlarını en iyi şekilde karşılamak için diğer iç paydaşlarla işbirliği içinde bir güvenlik programı kurmalı ve sürdürmelidir.
Günün sonunda, % 100 hava geçirmez bir savunma yaratmak gerçekçi değil. Amaç, bu gelişen tehditlerin önünde kalmaktır, bu nedenle potansiyel bir müşteri veri ihlali veya Şirket IP’ye erişim, bir siber güvenlik puan kartına kaydedilen bir olaydan başka bir şey haline gelmez.
Çözüm
Bir şirketin son aylarda azalan siber saldırıları azaltma şansı olsun ya da kötü niyetli siber suçlular tarafından defalarca tehlikeye atılmış olsun, siber güvenliği iyileştirme taahhüdü gelecekteki başarı için kritik öneme sahiptir. Yüksek profilli ihlaller, 2025’e giden birçok siber güvenlik lideri tarafından benimsenmiş gibi görünen sürekli uyanıklık ve hazırlık ihtiyacının altını çizmektedir. Başarı tanımlayarak, proaktif adımlar atarak ve doğru yetenekleri işe alarak, siber güvenlik liderleri, ilerleyen tehditlere yönelik zorlukları artırabilir ve sürekli tehditlere karşı savunmalarını destekleyebilir.
Yazar hakkında
James Edgar, Kuzey Amerika, Latin Amerika, Avrupa ve Asya Pasifik’teki 100’den fazla ülkede ödeme işlemlerini otomatikleştirmeye, güvence altına almaya, dijitalleştirmeye ve yönetmeye yardımcı olan küresel bir dijital ödeme lideri olan Corpay (NYSE: CPAY) için Baş Bilgi Güvenliği Sorumlusudur. Dört kıtayı ve birden fazla iş çizgisini kapsayan Global Bilgi Güvenliği ve BT uyum ekiplerini denetliyorum. Corpay’e katılmadan önce, ABD Bankası’nın ödeme işleme bölümü Elavon için güvenlik mimarisi, risk ve güvencesi başkan yardımcısıyım. ABD Bankası’na katılmadan önce, ülkenin en büyük üçüncü kablo operatörü Cox Communications için Güvenlik Mimarisi ve Risk Ekibine liderlik ettim. Ödeme İşlemcileri Bilgi Paylaşımı Konseyi (PP-ISC) için Yönlendirme Komitesi’nde görev yaptım, NIST Siber Güvenlik Çerçevesi (CSF) kalkınma atölyelerine katıldım ve Atlanta’daki Yönetişim, Risk ve Uyum (GRC) topluluğuna aktif olarak yer aldım.
James’e çevrimiçi olarak https://www.linkedin.com/in/jamesedgar1/ adresinden ulaşılabilir ve şirket web sitemize https://www.corpay.com/