Uzaktan çalışma devrimi yalnızca çalıştığımız yeri değiştirmekle kalmadı, aynı zamanda iş yerlerimizin güvenliğini nasıl sağladığımızı da yeniden tanımladı. Pandeminin hızlandırdığı değişim, kuruluşları neredeyse bir gecede merkezi olmayan bir iş gücünü benimsemeye zorladı. Esneklik, iş sürekliliği ve çalışanların işe alınmasında yeni bir ufuk sağlarken aynı zamanda bir dizi yeni siber güvenlik tehdidine de kapı açtı.
Genişleyen Saldırı Yüzeyi: Uzaktan Çalışmada Yeni Siber Riskler
Ofis oturma odasına taşındığında kurumsal çevre ortadan kayboldu. Kurumsal çevre, kullanılan çok sayıda mobil cihaz nedeniyle zaten bulanıklaşmıştı, ancak uzaktan çalışma ortamlarına yapılan bu aşırı geçiş, her biri potansiyel olarak savunmasız olan ve artık kurumsal sistemlere giren ve kurumsal verileri işleyen birden fazla kişisel cihazı içeren daha geniş bir saldırı yüzeyini ortaya çıkardı. Bu cihazların çoğu, herhangi bir ciddi güvenliğin bulunmadığı ev Wi-Fi ağlarında çalışır ve genellikle hala varsayılan kimlik bilgilerini veya zayıf şifrelemeyi kullanır.
Kimlik avı ve sosyal mühendislik saldırıları da arttı. BT ekiplerinden izole edilen ve sıklıkla kişisel dikkat dağıtıcı şeylerle uğraşan çalışanların, iyi hazırlanmış tuzaklara düşme olasılıkları daha yüksektir, bu da kuruluş için riski artırır. Teknik desteğe hızlı erişim olmadığında, küçük sorunlar bile büyük güvenlik açıklarına dönüşebilir ve siber suçluların günlerce izin kullanmadığını da unutmayalım. Onlar bu yeni normale hızla adapte oldular, bizim de aynı yolu izlememiz gerekiyor.
Gerçek Dünyada Hasar: Uzak Çağda Siber Olaylar
Saldırganların kimlik avı e-postaları ve diğer sosyal mühendislik taktikleri yoluyla VPN kimlik bilgilerine erişim elde ettiği, bunun da operasyonları günlerce durduran ve kurban şirketlere kesinti ve kurtarma açısından milyonlarca dolara mal olan tam ölçekli fidye yazılımı saldırılarıyla sonuçlandığı bilindiğinden bunun sonuçlarını zaten gördük.
Yetersiz kimlik bilgileri hijyeni veya sosyal mühendislik yoluyla kimlik bilgileri hırsızlığı sonucu oluşan veri ihlalleri, kuruluşların çalışanlara büyük ölçekte uzaktan erişime izin vermesi gerektiğinden nispeten yaygın hale geldi.
Yaygın Tuzaklar: Uzak Ekiplerin Yaptığı Hatalar
Çoğunlukla hem çalışanlar hem de işverenler, uzaktan erişim VPN’lerini kullanmayarak boşlukları tamamen açık bırakıyorlar. Bazı kuruluşlarda, personelin bir VPN koruması olmadan doğrudan kurumsal kaynaklara bağlanması, dahili sistemlerin müdahaleye açık hale gelmesine ve sistemlerin internete ve sürekli bir saldırı yağmuruna maruz kalmasına neden olur.
Yalnızca parolayla oturum açma hâlâ çok yaygın ve bir tür çok faktörlü kimlik doğrulama (MFA) olmadan, saldırganların kimlik bilgilerini çalması veya tahmin etmesi çok daha kolay oluyor. MFA, benzersiz, karmaşık ve uzun parolaların yerini almasa da, yalnızca parolayla oturum açmaya kıyasla önemli düzeyde ekstra koruma sunar. Tek oturum açma hizmetleri, uzaktan erişim risklerinin bir kısmının ortadan kaldırılmasına da yardımcı olabilir.
Pek çok kuruluş siber güvenliğin “sağduyulu” olduğunu varsayıyor ancak öyle değil. Siber tehditler günlük olarak gelişiyor, farkındalığımız da öyle. Aylık veya üç ayda bir verilen kısa ve konuyla ilgili eğitim, yılda bir kez düzenlenen tek ve uzun bir eğitim oturumundan çok daha iyi performans gösterir. İnsanların tehditleri ve tehditlerle karşılaştıklarında ne yapmaları gerektiğini anlamalarına yardımcı olmaya odaklanılmalıdır. Çalışanları eğitmek sadece bilgi sağlamakla ilgili değil, davranışları değiştirmekle de ilgilidir.
Gerçekten İşe Yarayan En İyi Uygulamalar
Proaktif bir savunma sonsuz bütçe gerektirmez, yalnızca akıllı planlama gerektirir. MFA’yı kullanmak, kimlik bilgilerinin kötüye kullanılması yoluyla yetkisiz erişimi önlemenin en basit ve en etkili yollarından biridir. Bunları kullanmak için gereken çabaya göre tartılması gereken farklı koruma seviyeleri sunan farklı MFA türleri mevcuttur, dolayısıyla tek boyut herkese uymaz. Örneğin, dönen kodlar üreten bir kimlik doğrulama uygulaması yeterli koruma sağlayabilir ve insanlar genellikle akıllı telefonlarını her zaman yanlarında taşır ve taşırlar; ancak bir USB belirteci, daha güvenli olmasına rağmen, geride bırakılırsa veya fiziksel olarak hasar görürse sorun yaratabilir. Ancak hangi türü kullanacağınıza siz karar verirsiniz, eğer hiç kullanmıyorsanız, belaya davetiye çıkarmış olursunuz.
Daha önce de belirtildiği gibi sürekli çalışan eğitimi son derece önemlidir. Çalışanlar sosyal mühendislik girişimlerini hızla fark edebilmeli ve bundan sonra ne yapacaklarını bilmelidir. Eğitim, e-posta filtreleme, eğitim, simüle edilmiş sosyal mühendislik saldırıları, uç nokta koruması ve veri kaybı önleme (DLP) kontrollerini içeren bütünsel İnsan Risk Yönetimi (İKY) programının bir parçası olmalıdır. İnsan riskini ele almak için teknik ve teknik olmayan kontrollerin bir kombinasyonuna ihtiyaç vardır ve ciddiye alınmalıdır.
Çalışanların ev ağlarının güvenliğinin sağlanmasına yardımcı olun. Güçlü yönlendirici parolalarını, ürün yazılımı güncellemelerini ve WPA3 şifrelemesini teşvik edin ve çalışanlara rehberlik sağlayın. Ne yapacaklarını bildiklerini varsaymayın.
Olay müdahale planları düzenli olarak test edilmeli ve güncel tutulmalıdır. Kaçınılmaz olan gerçekleştiğinde hazırlıklı olmak fark yaratır. Dijital sürümleri etkileyen fidye yazılımı saldırısı gibi dijital kargaşanın ortaya çıkması ihtimaline karşı basılı bir kopyayı saklamayı unutmayın ve uzaktaki ekipler ve çalışanlar için bile net, test edilmiş bir plan ekleyin.
Araçlar birGeceleri Uyumanıza Yardımcı Olacak Yeni Teknoloji
Teknoloji düşman değil, aslında savunmanın kritik bir parçası. Güvenli VPN’ler şifreli veri aktarımı sağlayabilir ve genellikle uzak çalışanlar için daha güvenli kimlik doğrulama seçeneklerine olanak tanır. Eski ve savunmasız bir VPN bir koruma değil, bir risk olduğundan VPN yazılımını güncel tuttuğunuzdan emin olun.
Tehditleri kuruluşun geri kalanına yayılmadan önce yakalamak için uç nokta algılama ve yanıt (EDR) gereklidir. Bu, herhangi bir İKY programının kritik bir parçasıdır.
Sıfır güven mimarisi, özellikle erişimin sınırlı olması ve sürekli olarak doğrulanması gereken uzak kurulumlarda çok kullanışlıdır. Güvenmeyin, her zaman doğrulayın.
Son Şeyhts: Uzak, Pervasız Demek Değildir
Siber güvenlik her zaman yeni tehditlere uyum sağlamakla ilgili olmuştur ve uzaktan çalışma da bir istisna değildir. Kuruluşlar, merkezi olmayan yönetimin birçok açıdan kalıcı olduğunu ve bununla birlikte yeni bir güvenlik zihniyetinin gerekli olduğunu kabul etmelidir. İyi haber mi? Doğru araç, eğitim ve politika karışımıyla uzaktan çalışma herhangi bir ofis kadar güvenli olabilir.
Dikkatli olun, esnek kalın ve savunmanızı değerlendirmeyi asla bırakmayın. Çünkü siber güvenlikte asıl tehdit kayıtsızlıktır.
Yazar Hakkında
Erich Kron güvenlik farkındalığı savunucusudur. KnowBe4. Tıp, havacılık ve uzay üretimi ve savunma alanlarında 25 yılı aşkın deneyime sahip deneyimli bir bilgi güvenliği uzmanıdır, yazardır ve siber güvenlik sektörü yayınlarına düzenli olarak katkıda bulunmaktadır. ABD Ordusu’nun 2. Bölgesel Siber Merkezi-Batı Yarımküre’nin eski güvenlik yöneticisidir ve CISSP, CISSP-ISSAP, SACP ve diğer birçok sertifikaya sahiptir.
Erich’e çevrimiçi olarak LinkedIn’den ve şirketimizin web sitesi https://www.knowbe4.com/ adresinden ulaşılabilir.