Bilgisayar korsanlarının genel algısı, onların çok uluslu şirketler veya tüm hükümetler gibi yekpare düşmanları tek başına alt etmek için fütüristik teknolojilerden yararlanan Bay Robot benzeri hainler olduğu yönündedir. Gerçek daha sıradan. Çoğu kötü niyetli aktör, kendilerine ağ erişimi sağlayan kimlik bilgilerini elde etmek için basit kimlik avı girişimleri gibi en az dirençli yolu seçer. Basit taktikler işe yarar, o yüzden bozuk değilse düzeltmeyin. Ancak karmaşık saldırıların daha yaygın olduğu bir alan var: kamu sektörü.
Kamu sektörü verilerinin değeri
Vatandaş kayıtlarından ulusal güvenlik istihbaratına kadar kamu sektörü verileri yalnızca hassas değil, aynı zamanda kritik öneme sahiptir. Bu tür veriler, tehdit aktörlerine büyük meblağlarda parayı sızdırma konusunda büyük bir avantaj sağlayabilir. Kamu sektörü verilerinin potansiyel değeri nedeniyle hırslı bilgisayar korsanları, daha sıkı korunan ağlara saldırı tehlikesi oluşturma konusunda isteklidir. Verizon Business’ın 30.000’den fazla güvenlik olayını ve 10.000 doğrulanmış veriyi analiz eden 2024 Veri İhlali Araştırma Raporu’na (DBIR) göre, nispeten karmaşık bir saldırı modeli olan sisteme izinsiz giriş, kamu sektöründeki tehdit aktörleri için en iyi seçim olmaya devam ediyor. 6 kıtada ve 20 sektörde ihlaller var.
Kamu sektörü hackerlarının motivasyonları
Kamu sektörü yalnızca daha girişimci fikirli bilgisayar korsanlarını çekmiyor. Aynı zamanda daha fazla fon ve kaynağa erişime sahip olan daha fazla ulus-devlet bilgisayar korsanının da ilgisini çekiyor. Bu tür kötü niyetli aktörler, finansal motivasyonlara ek olarak veya bazen bunun yerine casusluk yapmak zorunda kalıyor. DBIR’e göre, kamu sektöründeki kötü niyetli aktörlerin neredeyse üçte biri (%29) casusluktan etkileniyor; bu oran, diğer tüm sektörlerden veya sektörlerden açık ara daha yüksektir.
Kamu sektörünün zayıf halkaları
Kamu sektörü verileri, diğer sektörlerdeki verilere göre daha fazla koruma katmanına sahip olabilir (örneğin, Savunma Bakanlığı’ndan devlet sırlarını çalmak basit bir iş değildir), ancak tüm kamu sektörü verileri bu kadar sıkı bir şekilde korunmuyor. Endüstriler arasında artan dijitalleşme, benzeri görülmemiş yeteneklerin önünü açtı, ancak veriler aynı zamanda her zamankinden daha fazla dağıtılıyor. Örneğin medya ve eğlence gibi daha merkezi olmayan sektörlerde, büyük stüdyoların siber güvenliği ancak birlikte çalıştıkları üçüncü taraf sağlayıcılar kadar güçlüdür. Değerli IP’ler, genellikle daha gelişmiş siber güvenlik sistemlerine yatırım yapacak kaynaklara sahip olmayan küçük post prodüksiyon şirketleri tarafından çalındığında bazı yüksek profilli saldırılar gerçekleşti. Bu satıcılar, normalde bu kadar değerli verilere erişemeyecek olan bilgisayar korsanları için fiili bir arka kapı görevi görüyor. Kamu sektörünün de benzer arka kapıları var.
Bilimsel araştırma ve yüksek öğrenim kurumları sıklıkla kamu sektörüyle örtüşmekte, bazen nükleer araştırma veya uydu teknolojisi yenilikleri gibi ulusal güvenlikle ilgili araştırmalar yürütmektedir. Bu kurumlar sıklıkla değerli verilerle uğraşsalar da siber güvenlikleri genellikle federal kurumlar ve bakanlıklar gibi kamu sektöründeki kuruluşların gerisinde kalıyor. Sonuç olarak, tehdit aktörleri bazen bu tür kurumları yüksek değerli veriler açısından nispeten zayıf hedefler olarak algılayacaktır.
Siber güvenlikle ilgili kültürü değiştirme
Akademik kurumların siber güvenlik konusunda geride kalmasının bir nedeni de kültürdür. Yüksek öğrenim kurumları işbirliği ve özgür fikir alışverişi gibi değerleri teşvik eder. Bu değerler akademik titizliğe yardımcı olabilir ancak araştırmacıları, akademisyenleri ve öğrencileri dijital iletişimlerinde daha gevşek hale getirebilir.
Araştırmacıları ve akademisyenleri (ve çoğu sektördeki çalışanları ve kullanıcıları) en yaygın sosyal mühendislik taktiklerini tespit etme konusunda eğitmek, bu tür kurumları koruma konusunda uzun bir yol kat edebilir. DBIR’e göre, güvenlik olaylarının büyük çoğunluğu ve tam ihlallerin %68’i, sosyal mühendisliğin beslendiği faktör olan “insan unsuru” olarak adlandırılan esasen insan hatasını içeriyor. Kullanıcılar tipik bahane uydurma, kimlik avı, vishing ve diğer sosyal mühendislik yöntemleri hakkında bilgilendirilirse, bu saldırılardan birinin kurbanı olma olasılıkları çok daha düşük olur.
Onları kendilerinden kurtar
Siber güvenlik eğitimi yardımcı olabilir ancak kusursuz değildir. Bu kurumlar entelektüel işbirliği kavramları üzerine inşa edilmiştir. Bu kültürü tamamen ortadan kaldırmak gerçekçi değildir, ancak daha sıkı erişim kontrolüyle bazı tahminleri ortadan kaldırabilirsiniz. Ek olarak, cihazlar ve ağlar için daha katı, çok faktörlü kimlik doğrulamanın dahil edilmesi, özellikle dağıtılmış iş gücü ve uzaktan öğrenme çağında siber gafları önleyebilir.
Kimseye güvenme
Verilerin hassasiyeti göz önüne alındığında, siber güvenliğe sıfır güven yaklaşımı özellikle kamu sektöründe güçlüdür. Sıfır güven, siber güvenlik konusunda “asla güvenme, her zaman doğrula” yaklaşımını benimser; güvenlik tehditlerinin bir kuruluşun içinden de dahil olmak üzere her yerden gelebileceği gerçeğini kabul eden bir model. Sıfır güven yaklaşımı yalnızca kullanıcıların sıkı kimlik doğrulamasını gerektirmekle kalmaz, aynı titizliği tedarik zinciri, bulut, anahtarlar ve yönlendiriciler de dahil olmak üzere uygulamalara ve altyapıya da uygular.
Kamu sektörü zayıf noktalarını güçlendirerek siber güvenliğini bir bütün olarak güçlendirebilir. Bunun bir kısmı yapısaldır. Bunun bir kısmı kültürel. Bilimsel ve akademik araştırmaların çoğu, sağlıklı dozda şüphecilik uygulamaya dayanıyor. Eğer aynı şüpheciliğin bir kısmını dijital iletişime de uygulayabilirlerse, daha geniş kamu sektörü bunun için daha iyi olacaktır.
Reklam