Tehditler artık daha karmaşık, öngörülemez ve tespit edilmesi daha zor hale geldi. Saldırganlar yalnızca teknik zayıflıklardan faydalanmaz; insan davranışını, organizasyonel kör noktaları ve hatta mevzuattaki boşlukları da hedef alırlar. Siber suçlular, hedef odaklı kimlik avı ve deepfake dolandırıcılığından yapay zeka (AI) tarafından oluşturulan yanlış bilgilere kadar, saldırıları hassas ve kolay bir şekilde başlatmak için yeni gelişen teknolojileri kullanıyor. Bu, yalnızca teknik savunmalara güvenme şeklindeki eski stratejinin artık yeterli olmadığı anlamına geliyor.
Kuruluşların zihniyet değişikliğine ihtiyacı var: güvenli insan davranışlarına öncelik vermek, GenAI gibi teknolojilerden yararlanmak ve dış tehditler kadar iş risklerini de ele almak. Siber güvenliğin kapsamı sadece teknoloji odaklı değil aynı zamanda insan odaklıdır.
CISO’ların yakın geleceğe yönelik güvenlik stratejileri için aşağıdaki eğilimleri de dikkate alması gerekiyor.
Kötü Bilginin Artan Maliyeti
2024’te ortaya çıkan daha ince ama kritik zorluklardan biri, kötü niyetli bilgilerin (manipüle etmeyi ve istikrarı bozmayı amaçlayan kasıtlı yanlış bilgilendirme) yükselişiydi. Yanlış bilgi ve itibar tehditleriyle mücadele herkes için en önemli sorun haline geliyor. 2028 yılına gelindiğinde kuruluşlar, kötü niyetli bilgileri ele almak için yılda 500 milyar dolardan fazla harcama yapacak ve bunun etkileri pazarlama ve siber güvenlik bütçelerinde de hissedilecek.
Deepfake sahtekarlığı, sosyal mühendislik ve yapay zeka odaklı dolandırıcılıklar, CISO’lar tarafından yönetilen kurumsal çapta programlara olan ihtiyacı artırıyor. Şirketlerin bu zorluklara hazırlanmak için kaos mühendisliği gibi dayanıklılık önlemlerine yatırım yapmaya öncelik vermesi gerekiyor.
Sıfır güven ilkeleri baskı altında
Sıfır güven, siber güvenliğin temel taşı haline geldi ancak uygulamasının sınırları var. 2026 yılına kadar kuruluşların %75’i, kendilerine özgü kısıtlamalar nedeniyle eski sistemleri ve operasyonel ortamları sıfır güven stratejilerinin dışında bırakacak.
Sıfır güven ilkelerinin üretim hatları veya eski platformlar gibi BT dışı sistemlere uyarlanması, operasyonel verimliliği korurken savunmalarını genişletmek isteyen kuruluşlar için kritik öneme sahip olacaktır.
CISO’ların sorumlulukları değişiyor
Siber güvenlik liderleri artan sorumlulukla karşı karşıyadır. 2027 yılına gelindiğinde Global 100 şirketlerinin üçte ikisi, yönetici ve memur sigortasını siber güvenlik liderlerine de sunacak ve bu da onların rollerine yönelik artan incelemeyi yansıtıyor. CISO rolünün açıklığa kavuşturulması ve düzenleyici beklentilerle uyumlu hale getirilmesi, bu risklerin etkili bir şekilde yönetilmesi açısından hayati öneme sahiptir.
İçeriden alınan risk ile veri güvenliğinin birleştirilmesi
İçeriden gelen tehditler, özellikle uzaktan ve hibrit çalışma çağında önemli bir zorluk olmaya devam ediyor. 2027 yılına kadar kuruluşların %70’i veri kaybı önleme ve içeriden risk yönetimini kimlik ve erişim sistemleriyle birleştirecek. Bu entegre yaklaşım, işletmelerin güvenlik çerçevelerini basitleştirirken potansiyel tehditleri daha iyi tanımlamalarına ve azaltmalarına yardımcı olacaktır.
GenAI: Sessiz bir devrim
GenAI, siber güvenlik operasyonları üzerinde pratik ancak ölçülü bir etki yaratmaya hazırlanıyor. Yapay zeka odaklı çözümler, 2028 yılına kadar giriş seviyesi siber güvenlik rollerinin %50’sinin uzmanlık eğitimi gerektirmeden doldurulmasına olanak tanıyacak ve kuruluşların yetenek eksikliklerini kapatmasına yardımcı olacak. Ayrıca, GenAI’yi çalışan eğitim programlarına ve güvenlik iş akışlarına entegre eden kuruluşlar, 2026 yılına kadar çalışan kaynaklı olaylarda %40’a kadar bir azalma görebilir. GenAI, verimliliği ve eğitimi iyileştirmek için umut verici araçlar sunarken, bunun tamamlayıcısı olarak görülmelidir. daha geniş güvenlik stratejilerinin yerine geçer.
Merkezi olmayan uygulama güvenliği
Az kodlu ve kodsuz araçların popülaritesi arttıkça uygulama güvenliği, yazılımı oluşturan ekiplere yaklaşıyor. 2027 yılına kadar kuruluşların %30’u, “uygulama güvenliği ürün yöneticileri” gibi yeni rollerle desteklenen, teknik olmayan profesyonellere uygulama güvenliğinin çeşitli yönlerini yönetme yetkisi verecek. Bu ekiplere doğru kaynakların ve eğitimin sağlanması, daha merkezi olmayan bir ortamda sağlam güvenlik uygulamalarının sürdürülmesi açısından önemli olacaktır.
Engelleri aşmak
2024, siber güvenlik liderleri için artan kişisel ve hukuki risklerin altını çizdi. Tehdit ortamı geliştikçe, 2024’ten alınacak dersler kuruluşların stratejilerinde çevik, yenilikçi ve insan odaklı olmalarının kritik ihtiyacının altını çiziyor. GenAI’nin potansiyeli inkar edilemez olsa da başarısı dikkatli yönetime ve hedeflenen kullanıma bağlı olacaktır. Aynı zamanda, kötü amaçlı bilgi ve kişisel sorumluluk gibi tehditlerin artan etkisi, yeni araçlara, stratejilere ve sigorta korumalarına olan ihtiyacın altını çiziyor.
Sonuçta 2025’te siber güvenlik, güvenlik ve risk yönetimi liderlerinin kararlı ve işbirliği içinde hareket etmesini gerektirecek. Bu karmaşıklığı benimseyen ve ekipleri içinde güvenli davranışlar oluşturmaya öncelik verenler, 2025’te önde olacak ve başarılı olacaklar.
Deepti Gopal Gartner’da direktör analistidir.