2022, siber güvenlik ekipleri için çalkantılı bir yıl oldu. Pandemi boyunca, işletmeler uzak çalışma ortamlarına taşınırken siber suçlular yanlış hizalanmış ağlardan yararlandı. Saldırılar, 2021’e kadar küresel olarak %125 arttı ve 2022’de yükselmeye devam etti.
Eski uygulamaların artık işe yaramadığı açık. Defansif, reaktif ve kurtarma duruşları, sürekli gelişen karmaşık saldırı dalgası karşısında amaca uygun değildir. İnsansız, vasıfsız ve bunalmış güvenlik ekipleri, bu siber “yeni normal” ile başa çıkmak için mücadele ederken kırılma noktasındalar.
Saldırıya uğramayı beklemek yerine siber suçlularla mücadele etmek için yeni bir proaktif saldırı yaklaşımı gerekiyor. Güvenlik uzmanları için bu, bir bilgisayar korsanı gibi düşünmeyi ve hareket etmeyi öğrenmek anlamına gelir.
Yalnızca kötü aktörler tarafından kullanılan en son teknikleri ve yöntemleri anlayarak ve becerilerinizi buna göre sürekli güncelleyerek, siber suçluların bir adım önünde olmayı ve sistem açıklarını onlardan önce bulmayı umabilirsiniz.
Hacker zihniyeti değil sadece cephe güvenlik ekipleri için olsa da. Tamamen ileriye bakmak, ezber bozan düşünceyi kullanmak ve tehditlere yaratıcı bir şekilde yanıt vermekle ilgili, kuruluş çapında bir yaklaşım değişikliği olmalıdır.
Dolayısıyla bu, yeni bir siber yetenek havuzunun kilidini açmak için kısıtlayıcı işe alma kriterlerini kaldırarak işe alım sürecini “hackleyen” İK ekibi olabilir, tıpkı koddaki kusurları bulmak için kendi ağını hackleyen siber güvenlik ekibi kadar.
Bu yıl işletmelere zorluk çıkaracağına inandığım birkaç potansiyel tehlike alanı belirledim.
Yapay Zeka Algoritmaları
AI, ChatGPT’nin ve yeni Lensa avatarlarını platformlar arasında paylaşan sosyal medya kullanıcılarının başarısıyla son zamanlarda ön sayfalarda yer aldı. AI’nın tüketicilere tüm cephelerde ulaştığını ve kitlesel benimsemenin gerçekçi olmadığını söylemek güvenlidir. Aynı zamanda, işletmelerde yapay zekanın benimsenmesi hızla arttı ve artmaya devam edecek. AI ile ilgili siber risk, bunun bir algoritma olması ve herhangi bir algoritma gibi manipüle edilebilmesi ve hacklenebilmesidir.
AI’daki küçük bir değişiklik bile çıktıyı etkileyebilir ve genel olarak AI algoritmaları, sonuçlarının arkasındaki mantığı sağlayamaz. Bu nedenle, yapay zekaya yönelik herhangi bir manipülasyonun tespit edilmesi çok zor olabilir. Küçük ölçekte bu, kurcalanmış algoritmaların yapay zeka tarafından üretilen içgörülere güvenen şirketleri alt edebileceği anlamına gelir. Daha büyük, daha dramatik bir ölçekte, siber suçlular Facebook, Instagram veya Alexa algoritmalarına nasıl gireceklerini öğrenirlerse, bireyleri manipüle edebilirler.
Şirket İçi Veri Merkezlerini Hedefleme
2022, hayat pahalılığı krizinin dünya çapında şirketleri felce uğrattığı işletmeler için zor bir yıl oldu. İşletmelerin maliyetleri düşürmeye çalışmasının yollarından biri, buluttan şirket içi depolamaya geri dönmektir. Bulut altyapısı kendi başına işletmeler için nispeten uygun olabilir, ancak altyapıyı çalıştırmak için gereken bulut, yapılandırma, mimari ve güvenlik becerileri pahalı olabilir.
Ancak çoğu küçük şirket için bulut, şirket içi veri merkezlerinden daha güvenli olabilir. Ancak aynı şirketler için şirket içi veri merkezlerinin düzgün bir şekilde güvenli hale getirilmesi göz ardı edilebilir ve işletmeler savunmasızsa bilgisayar korsanları saldıracaktır. Tersine bulut geçişi, işletmelerin eski güvenlik becerilerini de temizlemesi gerekeceği anlamına gelir.
Bu yıl, siber suçlular eski teknolojiyi hacklemek için modern becerileri kullanırken işletmeler eski, daha ucuz çalışma yöntemlerine döndükçe, retro siber güvenlik becerilerine yönelik artan bir talep görmeyi bekliyorum.
Nesnelerin İnterneti Cihazları: Bir Siber Suç Oyun Alanı
Bu yıl IoT bağlantılı cihaz sayısının 2022’ye göre %13’ün üzerinde artarak dünya çapında 43 milyara çıkması bekleniyor. Bu büyüme oranı, dünya genelinde yeni sensörler, daha fazla bilgi işlem gücü ve güvenilir mobil bağlantı sayesinde daha fazla ulaşılabilirlik. Yalnızca Birleşik Krallık’ta, ortalama bir evde 10 adet birbirine bağlı IoT cihazı vardır ve benimseme arttıkça güvenlik riskleri de artar. Bu büyüme sadece akıllı TV’ler, hoparlörler ve kameralarla evde değil. İşletme liderleri, IoT’nin gücünü giderek daha fazla fark ediyor ve bir dizi yeni bağlantılı cihazı benimsiyor.
Yine de IoT cihazları, ağ saldırılarına karşı savunmasız oldukları için siber suçlular için kolay bir hedeftir. Bir tehdit aktörü, bir IoT cihazını daha karmaşık bir fidye yazılımı saldırısı başlatmak için bir atlama taşı olarak kullanarak bir giriş noktası olarak kullanabilir. Daha endişe verici bir şekilde, siber suçlular IoT cihazlarını fiziksel zarar vermek için kullanabilir. Örneğin, akıllı kilitler veya elektronik kapılar gibi çözümler kurcalanırsa, bu insan hayatı için gerçek bir risk oluşturabilir.
Kısacası IoT cihazları, korumasız bırakılırsa 2023’te siber suçluların oyun alanı haline gelebilir. Bu nedenle IoT penetrasyon testinin ortaya çıktığını ve tüketicileri kendi cihazlarının güvenlik açığı konusunda eğitmek için daha fazla çaba harcandığını göreceğiz.
Siber Saldırılar Daha Küçük İşletmelere Odaklanacak
Yüksek profilli fidye yazılımı saldırıları her zaman manşetlerde yer alsa da, bu yıl siber suçluların kötülüklerinin yükünü küçük ve orta ölçekli işletmelerin (KOBİ’ler) çekeceğine inanıyorum. Gerçek şu ki, birçok KOBİ standart kurumsal güvenlik uygulamaları için bütçeden yoksundur. Durgunluk yaklaşırken, bu yıl sorunu çözmek için daha fazla yatırım yapılması pek olası değil, bu da işletmeleri her zamankinden daha savunmasız bırakıyor.
KOBİ’ler zaten sosyal olarak tasarlanmış kimlik avı saldırıları için kolay bir hedeftir, ancak bu yıl siber suçlular zayıf halkaları tespit edecek. Bu, KOBİ’leri sakatlayabilir ve daha küçük işletmeler arasında bir domino etkisine yol açabilir.
Personel Eğitimi Önemlidir
2023, siber güvenlik için karanlık bir yıl olma potansiyeline sahip. Bu nedenle, her büyüklükteki şirketin ekiplerinin siber suçlularla savaşmak için en son becerilerle (eski ve yeni) eğitildiğinden emin olması önemlidir. Siber-profesyonel açığı 3,4 milyon olduğu için, işletmeler hem mevcut hem de yeni personele yeniden beceri kazandırmaya ve becerilerini artırmaya odaklanmalı ve bu eğitimin pratik olması gerekiyor. Siber güvenlik uzmanları, işlerinde hızlı ve etkili olmak için gerçek yaşam deneyimiyle saldırıları önlemeli ve bunlara yanıt vermelidir. Teorinin ötesine geçen uygulamalı eğitim ile saldırıları gerçek zamanlı olarak değerlendirebilir ve önlemek için yapılması gerekenleri bilirler.
Bütçeler kısıtlı olsa da, güvenliği kısmanın zamanı değil. Bunun yerine, geleceğin siber işgücünü hazırlamak ve işletmeleri şimdi korumak için daha fazla yatırıma şiddetle ihtiyaç var.