Siber güvenlik manşetler yüksek profilli, son derece yıkıcı ihlallerle noktalanmaya devam ediyor. Aslına bakılırsa, 2025 yılı, M&S ve Co-Op gibi kuruluşların ciddi ve maliyetli kesintilerle karşı karşıya kaldığı, şimdiye kadar kaydedilen en zarar verici olaylardan bazılarına sahne oldu.
M&S’nin tahmini 100 milyon £’dan fazla maliyeti yeterince kötü değilse, JLR’deki olay gölgede kaldı. Birleşik Krallık tarihindeki en pahalı siber olay olarak geniş çapta rapor edilen olayın genel ekonomik değeri 1,9 milyar £ olarak tahmin ediliyor.
Bunlar ve diğer olaylar siber güvenliğin en kalıcı paradokslarını açığa çıkarıyor; insanlar zincirin hem en güçlü hem de en zayıf halkasıdır. M&S, ihlalin “insan hatasından” kaynaklandığını kamuoyuna açıkladı. JLR’de jüri hâlâ kararsızken spekülasyonlar, klasik bir sosyal mühendislik taktiği olan kimlik bilgilerinin tehlikeye atılmasına işaret ediyor.
Aynı zamanda çalışanlar Aynı zamanda, şüpheli etkinlikleri tam ölçekli bir olaya dönüşmeden çok önce tespit etmek ve durdurmak için ideal bir konuma sahip, ilgili ve bilgili bir iş gücüyle etkili siber dayanıklılığın da temelidir.
Kötü bir sorun daha da kötüleşiyor
için sorun güvenlik Liderlerin ortak görüşü, sosyal mühendisliğin, normalde sağlam olan teknik kontrolleri atlatmanın hala en etkili yolu olduğu yönündedir. Tehdit aktörleri bu araçları giderek daha fazla kullandıkça sorun daha da ciddileşiyor. yapay zeka ilgi çekici, kişiselleştirilmiş ve ölçeklenebilir kimlik avı saldırıları sunmak.
Bu tür olayların çoğu hiçbir zaman kamuoyunun dikkatini çekmese de, geçen yıl WPP’yi dolandırmaya yönelik bir girişimde, son derece ikna edici bir deepfake toplantıda üst düzey yöneticilerin kimliğine bürünmek için yapay zeka tarafından oluşturulan video ve ses klonlaması kullanıldı.
Ne yazık ki riskler bununla bitmiyor. Güçlü teknik kontroller ve sosyal mühendislik taktiklerine karşı dikkatli bir iş gücü olsa bile risk, resmi BT yönetişiminin dışında kalan araçları, cihazları veya süreçleri kullanan çalışanlardan da kaynaklanmaktadır.
Yaygın olarak ‘Gölge BT’ olarak bilinen bu davranış, resmi araçların hem ihtiyaçlarını hem de keşfettikleri alternatifleri karşılamadığı durumlarda insanların daha hızlı çalışmaya veya daha etkili bir şekilde işbirliği yapmaya çalışmasından dolayı genellikle iyi niyetlerden kaynaklanır. Sonuç, ciddi zorluklara yol açmaya devam eden güvenlik kör noktaları ve veri yönetimi riskleridir.
Kimlik bilgilerinin yeniden kullanılması, dosyaların onaylanmamış konumlarda saklanması, dosyaların paylaşılması gibi günlük alışkanlıklarla birlikte zorlukların listesi uzayıp gidiyor. veri tüketici aracılığıyla uygulamalar veya güvenli olmayan halka açık Wi-Fi kullanmak, bunların tümü kurumsal güvenliği zayıflatma potansiyeline sahiptir.
Kültürel değişime ihtiyaç var
Peki bu bizi nereye bırakıyor? İnsan riskini azaltmak yalnızca hataları ortadan kaldırmakla ilgili değildir, aynı zamanda güvenli davranışın varsayılan haline geldiği bir ortam yaratmakla da ilgilidir. Örneğin, insanların pasif bir şekilde genel modüllere tıkladığı onay kutusu eğitiminin amaca uygun olmadığı açıktır.
Bunun yerine ihtiyaç duyulan şey, çalışanların yalnızca neyi yapmamaları gerektiğini değil, aynı zamanda neden günlük kararlarının, hangi araçlara güvendiklerini, beklenmedik istekleri nasıl karşıladıklarını ve ne zaman yavaşlayıp içgüdülerine göre hareket etmek yerine bir şeyi tekrar kontrol etmeyi seçtiklerini anladıkları, hem zihniyet hem de kültürde bir değişimdir.
Liderlik perspektifinden bakıldığında, risk almanın daha kolay bir seçenek gibi göründüğü bir ortam yerine, insanların şüpheli etkinlikleri suçlanma korkusu olmadan rahatça rapor edebilecekleri bir kültürü teşvik etmek çok daha iyidir.
Farkındalık eğitiminin yeterli olmadığı hayal kırıklığından yola çıkan birçok kuruluş, insan merkezli güvenlik açıklarını kapatmak için güvenlik araçları katmanlarını uygulamaya koydu. Hiç kimse araçların gerekli olduğuna itiraz etmeyecek olsa da, araçlar ancak bir yere kadar ilerleyebilir ve güçlü bir kültür olmadan etkileri sınırlıdır.
Güçlü kültür
Peki bu ‘güçlü kültür’ neye benziyor? Şu senaryoyu düşünün: Bir çalışan beklenmedik bir durumla karşılaşır e-posta rutin görünen ancak biraz “yanlış” hissettiren bir istek. Belki hesap ayrıntılarını isteyen bir tedarikçi veya genellikle ihtiyaç duymadıkları belgelere erişim isteyen bir iş arkadaşı olabilir.
Çalışan, işi geciktirmekten kaçınmak için hızlı hareket etmek yerine duraklar çünkü kültür olağandışı bir şey göründüğünde yavaşlamayı normalleştirmiştir.
Ayrıca, süreçlerin tanıdık ve basit olması ve kiminle iletişime geçileceği ya da yanlış alarm vermekle suçlanıp suçlanmayacakları konusunda hiçbir kafa karışıklığı yaşamamaları nedeniyle, nasıl rapor vereceklerini veya doğrulayacaklarını da tam olarak biliyorlar.
Güvenlik ekibiyle yapılan hızlı kontrol, isteğin meşru olmadığını doğrular. Ekip raporu değerli buluyor istihbarat rahatsızlıktan ziyade.
Liderlik, çalışanın eylemlerini kabul ederek, düşünceli kararların ve erken raporlamanın tanındığını ve değer verildiğini pekiştirir. Olay, daha geniş organizasyon için bir öğrenme örneği haline gelir ve başkalarının gelecekte benzer kalıpları tanımasına yardımcı olmak için en iyi uygulama olarak paylaşılır.
Temel nokta, bunun çok daha sık gerçekleşmesi gerektiğidir. Yaklaşımı doğru bir şekilde uyguladığınızda her büyüklükteki kuruluşun, varoluşsal tehditlere dönüşme potansiyeli olan siber saldırılarla karşı karşıya kaldığında rotasında kalma şansı çok daha yüksek olur.
Bu makale, günümüz teknoloji endüstrisindeki en iyi ve en parlak beyinleri öne çıkardığımız TechRadarPro’nun Expert Insights kanalının bir parçası olarak üretildi. Burada ifade edilen görüşler yazara aittir ve mutlaka TechRadarPro veya Future plc’ye ait değildir. Katkıda bulunmak istiyorsanız buradan daha fazla bilgi edinin: https://www.techradar.com/news/submit-your-story-to-techradar-pro