İçeriden gelen siber tehditlere dikkat: Çalışan kaynaklı kötü niyetli eylemler Türkiye’deki şirketlerin %29’unu etkiliyor

İnsan faktörünün sebep olduğu siber olaylar ekseriyetle çalışanların yaptığı yanılgılara dayanıyor. Bu bahiste kıymetli bir ayrıntı olan çalışanın mümkün kasıtlı makûs niyetli davranışları göz arkası ediliyor. Kaspersky’nin yaptığı en son araştırmaya nazaran, son iki yılda Türkiye’deki kurumların %73’ünün farklı formlarda siber olaylarla karşılaştığını ve bunların %29’unun çalışanların kasıtlı davranışlarından kaynaklandığını ortaya koyuyor.

Kurum içinde gerçekleşen tehditlerin kasıtsız ve kasıtlı olmak üzere iki ana tipi kaynağı bulunuyor. Kasıtsız yahut kazara meydana gelen tehditler, kimlik avı ve öteki toplumsal mühendislik prosedürlerine kanmak yahut hassas ve kapalı bilgileri yanlış şahsa göndermek üzere çalışan yanlışları olarak gözleniyor. 

Buna karşılık kasıtlı tehditler, patronlarının sistemlerine kasıtlı olarak giren makûs niyetli şahıslar tarafından içerden gerçekleştiriliyor. Bu ekseriyetle hassas bilgilerin satışından maddi kar elde etmek yahut şirketten intikam almak için yapılıyor. Makûs niyetli içeridekiler bir kurumun sistemli iş operasyonlarını aksatmayı yahut durdurmayı, BT zayıflıklarını ortaya çıkarmayı ve bâtın bilgileri elde etmeyi amaçlıyor. 

Kurum içindeki makus niyetli şahıslar ise tüm çalışanlar ortasında siber olaylara neden olabilecek en tehlikeli kümeler olarak tanımlanıyor.  Bu şahısların hareketlerinden kaynaklanan tehditler aşağıdaki faktörler nedeniyle daha da karmaşık hale geliyor:

• Kullandığı bilgi güvenliği araçlarının ayrıntıları da dahil olmak üzere bir kuruluşun altyapısı ve süreçleri hakkında özel bilgiye sahipler.
• Şirket ağının içindedirler ve kimlik avı, güvenlik duvarı taarruzları üzere yollarla dışarıdan şirkete nüfuz etmeleri gerekmez.
• Kurum içinde meslektaşları ve arkadaşları vardır. Bu nedenle toplumsal mühendislik tekniklerini kullanmaları çok daha kolaydır.
• Kuruma ziyan vermek ismine yüksek motivasyona sahiptir.

 İç tehditler ve işletmelerin savunma stratejileri

Çalışanların patrona karşı makus niyetli hareketlerde bulunmasının ana nedenlerinden biri finansal çıkar elde etmek. Ekseriyetle bu, hassas bilgileri üçüncü bir tarafa satmak emeliyle çalmak manasına geliyor. Rakipler yahut hatta siber hatalıların işletmelere saldırmak için data satın aldığı karanlık ağda bunları açık artırmaya koyabiliyor. 

Çalışanlar işten çıkarıldığında da intikam hedefiyle makûs niyetli davranışlar sergilenebiliyor. Bunu da öbür çalışanlarla olan ilişkileri aracılığıyla çarçabuk gerçekleştirilebiliyor. Fakat yaşanacak en berbat senaryo, kurumun kurumsal sistemlere erişim yetkisini kaldırmamış olması nedeniyle eski çalışanın hala iş hesabına uzaktan giriş yapabilmesi durumunda gerçekleşiyor.

Çalışanlar, işlerinden mutlu olmadıklarında yahut kendilerine bekledikleri adil artırımı yahut hak ettikleri terfiyi vermeyen bir patrondan öç almak için de kasıtlı ve ziyan verici berbat niyetli davranışlar ortaya koyabiliyor.

Bir öbür farklı berbat niyetli hareket tipi, içerden bir yahut daha fazla kişinin, tertibin güvenliğini yahut istikrarını tehlikeye atmak emeliyle harici bir aktörle şuurlu olarak iş birliği yapması durumunda ortaya çıkıyor. Bu olaylar sıklıkla, bilhassa siber hatalıların, farklı cinste taarruzlar gerçekleştirmek üzere bir yahut daha fazla içeriden kişiyi kandırma yahut işe alma yoluyla mutabakatını temel alıyor. Saldırganlar, rakip firmalar yahut başka ilgili taraflar üzere üçüncü tarafların, örgütün hassas, bilinmeyen yahut kritik bilgilerini elde etmek, manipüle etmek yahut sızdırmak için içeriden çalışanla gizlice işbirliği yaptığı durumlar da kelam konusu olabiliyor. Bu çeşit hareketler, ekseriyetle tertibin prestijine, finansal durumuna yahut operasyonel aktifliğine önemli ziyanlar vererek, uzun vadeli olumsuz sonuçlara yol açabiliyor.

Kaspersky Bilgi Güvenliği Lideri Alexey Vovk, şunları söylüyor: “Kötü niyetli aktörler, büyük işletmelerde ya da küçük işletmelerde her yerde bulunabilir. Bunu asla bilemezsiniz. İşte bu yüzden işletmeler, tehditlere karşı muhafaza sağlamak için şimdiki, güçlü ve şeffaf bir BT güvenlik sistemini oluşturmalı; tesirli güvenlik tahlilleri, akıllı güvenlik protokolleri ve hem BT çalışanı hem de BT olmayan işçi için eğitim programlarını birleştirmelidir. Bunlara ek olarak, tertibin altyapısını koruyacak eserlerin ve tahlillerin uygulanması hayati ehemmiyet taşır. Örneğin Kaspersky Endpoint Detection and Response Optimum, gelişmiş anomali denetimi içerir. Bu da şirket içindeki çalışan bir içeriden ya da tertip dışındaki bir saldırgan tarafından gerçekleştirilen kuşkulu ve potansiyel olarak tehlikeli faaliyetleri tespit etmeye ve önlemeye yardımcı olur.” 

Kaspersky, kurum içinden gelen tehditlerle gayret etmeniz için şunları öneriyor:

• Çalışanlar ortasında farkındalığı artırmak ve kasıtlı bilgi güvenliği siyaseti ihlallerini önlemek için siber güvenlik eğitimleri uygulayın. Çalışanların bilgi güvenliği farkındalığını artırmak için onları inançlı internet davranışlarını öğreten Kaspersky Automated Security Awareness Platform eğitim programı bu iş için ülküdür.
• BT güvenlik uzmanları için uygun eğitim programlarına yatırım yapın. Kaspersky Cybersecurity for IT Online eğitimi, BT yöneticileri için BT güvenliğiyle ilgili kolay ancak tesirli en düzgün uygulamaların ve kolay olay müdahale senaryolarının oluşturulmasına yardımcı olur. Kaspersky Expert Training, bilgi güvenliği grubunuzu tehdit idaresi ve tehditleri azaltma konusunda en son bilgi ve marifetlerle donatır.
• Kaspersky Endpoint Security for Business Advanced, Kaspersky Total Security for Business ve Kaspersky Endpoint Detection and Response Optimum tarafından sunulan gelişmiş anomali denetimi özelliği, çalışanlar tarafından yahut bir saldırganın sistemin denetimini ele geçirmesi durumunda potansiyel olarak tehlike ortaya koyan faaliyetlerin önlenmesine yardımcı olur.

• Kişisel aygıtların ve üçüncü parti uygulama ve hizmetlerin kullanımını denetim edin ve sınırlayın. Kaspersky Endpoint Security for Business ve Kaspersky Endpoint Security Cloud, istenmeyen uygulamaların, web sitelerinin ve etraf ünitelerinin kullanımını sınırlayan uygulama, web ve aygıt denetimleri sunarak, çalışanların bilgi aktarmak için şirket tarafından onaylanmayan aygıtları, uygulamaları yahut hizmetleri kullandığı durumlarda bile bulaşma risklerini değerli ölçüde azaltır. 
• Yönetici haklarının sırf iş için gerekli olan seçeneklerle sonlandırılmasına müsaade veren eserler kullanın. Kaspersky Endpoint Security for Business, Kaspersky Security Center idare konsolu öğelerine rol tabanlı erişim sunar. Böylelikle tüm yöneticilerin güvenlik fonksiyonları üzerinde tam denetime gereksinimi olmaz. 
• Kaspersky Security for Internet Gateway, ağ içindeki uç noktalarda tipine, platformun müdafaa durumuna ve kullanıcı davranışına bakılmaksızın istenmeyen data iletimini önlemek için içerik filtreleme özelliğine sahiptir.

Kaynak: (BYZHA) Beyaz Haber Ajansı