Öngörüler ve Alınacak Dersler – KNP Logistics Vakası Üzerine
158 yıllık köklü bir şirketin, salt bir zayıf parola nedeniyle çöküşüne tanıklık etmek, hepimiz için çok önemli bir uyarı işareti. Fidye yazılımı grubu “Akira”, KNP’nin bir çalışanın tahmin edilebilir parolasını kırarak tüm sistemlere erişti, verileri kilitledi ve yaklaşık 5 milyon sterlinlik (272.761.800 TRY) fidye talep etti. Firma bu yükün altından kalkamadı ve 700 çalışan bir gecede işsiz kaldı.
Şifre Güvenliği Yetmez! Prosedür ve Sorumluluk
Bir çalışanın “123456” benzeri bir şifre kullanması elbette hatadır fakat asıl eksiklik, şirketin kurumsal prosedür eksikliğiydi.
- Parola Politikaları & Çok Faktörlü Kimlik Doğrulama (MFA) uygulanmamış
- Düzenli pentest ve zaafiyet taramaları yapılmamış
- Olası bir ihlal senaryosuna karşı acil müdahale planı eksik
Bu eksiklikler, personel hatası kadar süreçlerin de kritik olduğunu gösteriyor.
İnsan Faktörü ve Sosyal Mühendislik
“Her şeyi teknik ekiple çözeriz” demek, sosyal mühendisliği atlamak anlamına gelir.
- Saldırganlar, müşteriye veya şirket içi sistemlere kimlik bilgisi doğrulaması olmadan ulaşabiliyor
- Şirket içi eğitimler yetersiz olunca, en basit oltalama (phishing) maili bile kapıyı açabiliyor
IK birimlerinin periyodik “siber güvenlik” ve “sosyal mühendislik” farkındalığı eğitimleri düzenlemesi gerekiyor.
Pentest ve Siber İstihbarat – Proaktif Savunma
Beş yıllık yazılım sektörü deneyimimde şunu öğrendim:
- Pentest, gerçek dünyadaki saldırı senaryolarını simüle ederek zayıflıkları gün ışığına çıkarır.
- Siber istihbarat ise sektörel tehdit raporları ve hacker grubu faaliyetlerini takip ederek, henüz gerçekleşmemiş saldırılara karşı hazırlıklı olmanızı sağlar.
Bu iki uygulama, “hacklenemez sistem” miti yerine “daha hızlı tespit ve müdahale” gerçeğini getirir.
KVKK ve Türkiye Prosedürü
KVKK kapsamındaki her bilgi sistemi,
- Periyodik penetrasyon testleri,
- Veri koruma sorumlusu atamaları,
- Olay müdahale tatbikatları
gibi uygulamalarla desteklenmeli. Aksi takdirde hem büyük maddi cezalar hem de güven kaybı kaçınılmazdır.
En Önemlisi… İnsanı ve Süreci Unutmamak
- Güçlü parola ve MFA
- Kurumsal prosedürler & acil durum planları
- Sürekli eğitim ve farkındalık
- Pentest & siber istihbarat
Bu dört alanda atacağımız adımlar, bir sonraki saldırının eşiğindeki şirketimizi koruyacak. Zira hiçbir sistem tamamen hacklenemez değildir ama öngörebilirliğimizi ve müdahale hızımızı artırmak elimizdedir.
Kaynak BBC News: https://www.bbc.com/news/articles/cx2gx28815wo
İpek Övgü Ulusoy | Process Manager & Digital Consultant 