Quorum Cyber yakın zamanda piyasaya sürüldü Global Siber Risk Görünümü Raporu 2025 Özellikle Çin’den ulus devlet siber faaliyetlerinin nasıl geliştiğini özetliyor. Rapora göre, Çin’in siber casusluk operasyonları 2025’te artacak ve Batı kritik ulusal altyapısını (CNI), fikri mülkiyet ve hassas kurumsal verileri hedefleyen saldırılar olacak. Raporda ayrıca, yapay zeka destekli siber yeteneklerin Çin devlet destekli ve diğer tehdit aktörleri tarafından ileri kampanyalar yürütmeleri ve tespitten daha etkili bir şekilde kaçındığını vurgulamaktadır.
Çin’in Deepseek gibi hizmetler aracılığıyla veri hırsızlığına dahil olduğu iddiası siber güvenlik liderleri için önemli endişeler doğuruyor. Raporlar, Deepseek’in gizlilik politikalarının kullanıcı verilerinin Çin’deki sunucularda depolanmasına izin verdiğini ve bu da yerel siber güvenlik yasaları uyarınca Çin hükümeti için potansiyel olarak erişilebilir olmasını sağladığını göstermektedir. Siber güvenlik araştırmacıları, Deepseek’in kullanıcı verilerini devlete ait bir varlık olan China Mobile’a iletebilen teknolojiyi, gözetim ve veri sömürüsü korkusunu daha da artırdığını buldu. Bu riskler o kadar şiddetli ki, ABD hükümet kuruluşları, personelinin Deepseek’i kullanmasını yasaklamaya, tuş vuruşları ve IP adresleri de dahil olmak üzere veri müdahalesi konusunda güvenlik endişelerine atıfta bulundu. Baş Bilgi Güvenliği Görevlileri (CISOS) için bu, yabancı düşmanların ortaya koyduğu tehlikeleri açık bir şekilde hatırlatır.
CISO’lar ve Güvenlik Liderleri için Eylem Yapılabilir Adımlar
Ulus-devlet siber tehditlerinin risklerini azaltmak için, güvenlik liderleri stratejik, çok katmanlı bir yaklaşım benimsemelidir. Aşağıda dikkate alınması gereken temel önlemler:
1. Sıfır Tutma Güvenlik Modeli benimseyin
Sıfır Trust, her erişim talebinin-iç veya harici olsun-doğrulanması gerektiğini varsayar. Sıfır güvenin uygulanması aşağıdaki temel ilkelerin ele alınmasını içerir:
- Güçlü kimlik doğrulama yoluyla bağlantıyı açıkça doğrulayın, örneğin çok faktörlü kimlik doğrulama (MFA)
- Güçlü koşullu erişim politikalarına dayanan kimlikleri, cihazları, altyapıyı, hizmetleri ve uygulamaları doğrulamak ve yetkilendirin
- Tam zamanında (JIT) ve yeterince erişim (JEA) gibi taktikler yoluyla ayrıcalıklı erişimi zorlayın
- Tanımlı sınıflandırma politikalarına göre veri koruma kontrollerini uygulayın
- Bağlantı varlıklarının tehditlere maruz kaldığı varsayımı altında faaliyet gösteren bir “ihlal varsayalım” duruşu alın.
Birçok üst siber güvenlik çözümü sağlayıcısı ile ortaklaşa, NIST Ulusal Siber Güvenlik Mükemmellik Merkezi (NCCOE), sıfır güven mimarisi uygulayarak özel yayını (SP) 1800-35 hazırladı. Uygulama Kılavuzu, güvenlik liderlerinin modern dijital işletmeleri korumak için nihayetinde sıfır güven elde edebilecekleri konusunda uygulama örnekleri ve teknik ayrıntılar sağlamak için tasarlanmıştır.
2. Tedarik zinciri güvenliğini güçlendirin
Tehdit aktörleri genellikle daha büyük hedeflere erişmek için tedarik zincirlerinden yararlanırlar. Kuruluşlar:
- Bağlantılı ve kritik üçüncü taraflara ek titizliğin uygulanmasını sağlayarak titiz üçüncü taraf risk değerlendirmeleri yapın
- Güçlü siber güvenlik programlarının ve denetim haklarının sürdürülmesi gibi önemli hükümlerin sağlanmasını sağlayarak satıcılar için sözleşmeye bağlı güvenlik yükümlülüklerini uygulayın
- Şüpheli etkinlik için tedarikçi ağı bağlantılarını ve diğer erişim biçimlerini sürekli olarak izleyin.
3. Tehdit istihbaratını, izlemeyi ve yanıtı geliştirin
Tehdit yönetim programları casusluk tehditlerine karşı koymak için gelişmelidir. Kuruluşlar:
- Devlet destekli tehdit aktörlerini izlemek için Siber Tehdit İstihbarat (CTI) hizmetlerini sürdürün
- Devam eden güvenlik açığı tespiti ve azaltma faaliyetlerini yürütün, programların tam dijital mülkün izlenmesini sağlayarak
- 24×7 tespit ve yanıt ve tehdit avcılık hizmetleri ile tehditleri hızlı bir şekilde tespit edin ve yanıtlayın
- Siber güvenlik programı süreçlerini kolaylaştırmak ve hızlandırmak için gelişmekte olan yapay zeka (AI) hizmetleri de dahil olmak üzere otomasyondan giderek daha fazla yararlanıyor.
4. AI ve Veri Yönetişimi Uygulamaları
Yapay zeka kurumsal ortamların ayrılmaz bir parçası haline geldikçe, kuruluşlar AI çözümlerini güvenli bir şekilde yönetmek ve kurumsal verileri korumak için yönetişim uygulamalarını uygulamalıdır. Güvenlik ekipleri:
- İşletme operasyonları içinde yapay zekanın ve verilerin güvenli kullanımı için politikaları ve destek kontrollerini tanımlayın
- Dahili olarak kullanılan AI modellerinin katı güvenlik kontrolleri ile geliştirilmesini ve dağıtıldığından emin olun
- Güvenlik ve Veri Koruma Gereksinimlerine Uyum İçin Üçüncü Taraf AI Araçlarını İzleyin
- Yetkisiz veri açığa çıkmasını veya manipülasyonunu önlemek için güçlü AI ve veri koruma kontrollerini tanımlayın ve dağıtın.
5. Son kullanıcıları AI riskleri konusunda eğitin
Yapay zeka odaklı araçların işyerinde hızlı bir şekilde benimsenmesi, hassas verilerin yanlışlıkla maruz kalma veya kötüye kullanılması riskini arttırır. Kuruluşlar:
- AI araçlarıyla ilişkili riskler konusunda çalışanlar için düzenli güvenlik bilinci eğitimi alın
- Kurumsal ortamlarda AI uygulamalarının uygun kullanımı hakkında yönergeler oluşturun
- Çalışanların hassas kurumsal verileri kamu AI modellerinde paylaşmasını engelleyen politikalar uygulayın
7. Olay yanıtına hazır olmayı test edin ve geliştirin
Ulus-devlet aktörlerinin karmaşıklığı göz önüne alındığında, kuruluşlar yanıt stratejilerinin eşit olmasını sağlamalıdır. En iyi uygulamalar şunları içerir:
- Devlet destekli etkinlikler de dahil olmak üzere saldırı senaryolarını simüle eden düzenli masa üstü egzersizleri yapmak
- Güvenlik savunmalarını test etmek için kırmızı takım/mavi takım egzersizleri yapmak
- Tespit edilen casusluk girişimleri durumunda, ilgili yetkililer de dahil olmak üzere açık artış protokollerinin ve iletişim listelerinin oluşturulması ve güncellenmesi.
Cisos ve güvenlik liderleri bu yeni AI artırılmış siber tehditler döneminde gezinirken, stratejik çerçevelerden, gelişmiş güvenlik araçlarından yararlanırken ve sıklıkla test edilmiş, yüksek oranda operasyonel süreçler ulus-devlet endüstriyel casusluğuna karşı koymada gerekli olacaktır. Organizasyonlar, ortaya çıkan risklerin önünde kalarak, giderek daha düşmanca bir dijital manzarada operasyonlarının esnekliğini sağlayabilir.
Andrew Hodges, Quorum Cyber Ürün ve Teknoloji Başkan Yardımcısıdır.