2023 Verizon Veri İhlali Soruşturma Raporu’na (DBIR), küçük ve orta ölçekli işletmelerin (KOBİ’ler) büyük şirketler kadar siber saldırganlar tarafından hedef alındığını ortaya koydu; İşte öncelik vermeleri gereken bazı siber güvenlik kontrolleri.
Siber saldırganlar için şirket büyüklüğü önemli değil
KOBİ’ler genellikle çekiciliklerini potansiyel bir hedef olarak hafife alırlar. Saldırganların çabalarına değmeyecek “küçük balıklar” olduklarını ve verilerinin çok az değer taşıdığını varsayarlar. Ancak bu doğru değil: Sistemleri, çalışan ve müşteri verileri ile finansal bilgiler dahil olmak üzere hassas bilgileri saklıyor.
Dahası, genellikle daha büyük kuruluşların (ortakların, müşterilerin veya tedarikçilerin) sistemlerine erişmek için kullanılırlar ve yakın tarihli bir Proofpoint araştırmasının da gösterdiği gibi, siber suçlular genellikle KOBİ’leri (özellikle bölgesel MSP’ler aracılığıyla) hedef alarak daha büyük kurum ve kuruluşları ihlal eder. kamu ve özel sektör.
Ne yazık ki, KOBİ’ler genellikle bütçelerinin yalnızca küçük bir kısmını siber güvenlik savunmalarını güçlendirmeye ayırırlar ve genellikle siber tehditlerle etkili bir şekilde mücadele etmek için yetersiz donanıma sahiptirler.
KOBİ’lerin savunmasızlığını artıran kritik faktörlerden biri, özel güvenlik personeli eksikliğidir; daha büyük kuruluşlar siber güvenlik uzmanlarına daha yüksek maaşlar sunabilir ve daha küçük şirketler bu cephede rekabet edemez.
Sınırlı personel ve uzmanlığa sahip KOBİ’ler, kendilerini karmaşık siber saldırılara karşı savunmada çetin bir savaşla karşı karşıyadır.
KOBİ’ler siber güvenlik oyunlarını nasıl geliştirebilir?
Ancak tüm umutlar kaybolmaz.
Her şeyden önce, siber güvenliğin yalnızca BT departmanının sorumluluğunda olduğu fikri ortadan kaldırılmalı; Bir kuruluştaki her birey, siber olay riskini en aza indirmede hayati bir rol oynar.
Verizon 2023 DBIR raporu, sınırlı BT ve siber güvenlik uzmanlığına sahip KOBİ’lerin genel, hedefsiz saldırıları engellemesine yardımcı olacak üç temel siber güvenlik denetimini özetliyor:
- Güvenlik farkındalığı ve beceri eğitimi – Çalışanların genel siber güvenlik risklerini en aza indirecek beceri ve bilgiye sahip olduğundan emin olun
- Veri kurtarma – Saldırı durumunda iş varlıklarını orijinal, güvenilir durumlarına geri yükleyebilen veri kurtarma uygulamaları oluşturun
- Erişim kontrolü yönetimi – Kurumsal varlıklar ve yazılımlar için kullanıcı, yönetici ve hizmet hesapları için erişim kimlik bilgileri ve ayrıcalıkları oluşturmak, atamak, yönetmek ve iptal etmek için süreçler oluşturun.
Bunlarla gerekli siber hijyen sağlandıktan ve bir şirket KOBİ ölçeğinin daha geniş olan ucuna yaklaşmaya başladıktan ve daha fazla kaynağa sahip olduktan sonra, başka güvenlik denetimleri eklemenin zamanı gelir:
- Olay müdahale yönetimi – Hızlı saldırı yanıtı için bir olay yanıt programı oluşturun ve sürdürün
- Uygulama yazılımı güvenliği – Şirkete olası zararı önlemek için dahili olarak geliştirilen, barındırılan veya edinilen yazılımlardaki güvenlik açıklarını belirleyin ve ele alın
- Penetrasyon testi – Saldırganların eylemlerini simüle ederek kurumsal varlıkların ve uygulanan kontrollerin etkinliğini ve dayanıklılığını test edin
“Artık Kontrollere baktığınıza ve onlara öncelik verdiğinize göre, en çok neye çarpacağınızı biliyorsunuz ve sonuna kadar ilerliyorsunuz; ördeklerinizin neredeyse hepsi arka arkaya. Dengeli önleyici ve dedektif yetenekleriniz var ve yalnızca kötü bir şey olduğunda bunu tespit etmekle kalmayıp, aynı zamanda hızlı ve uygun bir şekilde yanıt verme yolunda ilerliyorsunuz. Verizon analistleri, planınızı bir araya getirmenin temellerinden bir yol haritası uygulamaya geçtiniz” dedi.
“Bu noktada dikkate alınması gereken son birkaç şey: Belirli bir uyumluluk çerçevesine uyum sağlamayı mı düşünüyorsunuz? Ortamınızdaki güvenlikle ilgili ölçümleri takip ediyor musunuz? Çabalarınız, güvenlik duruşunuzda devam eden iyileştirmelerle sonuçlanıyor mu, yoksa yalnızca ‘Şu anda iyiydim ama sonra işler değişti’ diyen bir anlık anlık görüntü mü sağlıyorlar? Güvenlik stratejinizi yönlendirmek için kuruluşunuzda neler olup bittiğine dair iyi bilgileri kullandığınızda yapabileceğiniz epeyce şey var.”