Dijital güvenlikte önce insan
Birkaç haftadır gündemimizde sürekli güvenlik var. Özellikle Türkiye’deki bankaların kur sistemlerinde yaşadığı sıkıntılar sebebiyle başları ciddi anlamda ağrıdı. Ve maalesef birçok banka sistemlerinin yöneticileri çok ağır ve haksız ithamlara maruz kaldı.
2007 yılından bu yana CIO’lara yönelik yayınlar yapıyoruz. Bu yayınlar ve düzenlediğimiz etkinlikler sebebiyle CIO’ların pek çoğu ile uzun süredir devam eden iş ilişkilerimiz oluyor ve genelde yayınlarımız için yaptığımız sohbetlerden çok daha fazlasını kayıt dışı olarak dinleme şansına sahip oluyoruz. Türkiye’de hem özel sektörde, hem de kamuda çalışan CIO’ların hemen hemen hepsi iyi eğitim görmüş, konusuna hakim ve ne yapması gerektiğini bilen kişiler. Hele birçok regülasyona tabii kurumlar olan bankaların güvenlik altyapıları birçok şirkete göre çok çok iyi durumda.
Ancak dijital güvenlik yalnızca altyapı değil aynı zamanda bir anlayış bir insan sorunu olarak karşımıza çıkıyor. CIO’lar ve güvenlikten sorumlu CISO’ların tüm yatırımlarına karşın kurumlarda dijital güvenliğin bir kurum kültür olarak benimsenmesi ve en alt kademeden en üst kademeye kadar bu anlayışın sağlamlaştırılması gerekiyor. Eğer dijital güvenlik sistemlerine para ile satın alınan birer cihaz, altyapı ya da yazılımdan ibaret görürsek, daha birçok sorun ile karşı karşıya kalırız. Peki, nelere ihtiyacımız var?
Tüm dünyadaki şirketler, güvenlik teknolojilerinde altyapılarını yine uluslararası şirketlerin yazılım, donanım ve yönetilebilir servislerine (güvenliği sizin adınıza takip eden servisler) bırakıyorlar. Ancak yine de kurum içinde doğru güvenlik anlayışının oluşturulması ve bu alanda çalışmış uzmanların istihdam edilmesi gerekiyor. Günümüzde tek bir güvenlik açığından oluşabilecek saldırılar, büyük maliyetler ve prestij kayıpları ile sonlanabiliyor. Uzman yetiştirmek için de bu kişilerin deneyim kazanabilecekleri siber güvenlik merkezlerine ihtiyaç var.
Türkiye’de siber güvenlikte millileştirme ve yerelleştirme alanında önemli çalışmalar yapılıyor.
Mesela, geçtiğimiz aylarda Turkcell tarafından oluşturulan Siber Güvenlik Operasyon Merkezi'ni gezmiştim. Merkezin yöneticiliğini de yapan Turkcell Genel Müdür Yardımcısı Gediz Sezgin, Siber Güvenlik Operasyon Merkezi’nin birçok yabancı kuruluştan sertifika alan ilk Türk merkez olduğunu belirtmişti. Siber güvenlik alanında çalışmak isteyen gençlere sağladıkları eğitim ve mentorluk faaliyetleri ile gelecekte çok daha fazla uzmanımız yetişmiş olacak. Türk şirketlerin yönetilebilir güvenlik hizmetlerini bu gibi yerli şirketlerden alması büyük önem taşıyor.
Siber güvenlik savaşları yeni başladı
Ülkeler arasındaki ticaret rekabetine şahit oluyorsunuz. Ancak şunu bilmelisiniz ki, dijital dünyada da ciddi bir savaş var ve şirketler sürekli artan dijital tehditler ile ticari hayatlarında darbe almamak için uğraşmaya çalışıyorlar. Yalnızca şirketler değil aynı saldırıların çok daha fazlasından ülkeler de etkileniyor. Mesela 2017 yılında Rus saldırganlar Amerikan elektrik şebekesine saldırı düzenlediler. Yine benzer saldırıların ve manipülasyonların Amerikan seçimlerinde yapılıp yapılmadığı halen araştırılıyor. Rus merkezli NotPetya zararlı yazılımı ile gerçekleştirilen bu saldırılar için Amerikan hükümeti önlem almaya devam ediyor. Yine geçtiğimiz mart ayında İranlı hacker grubu, Amerika’daki 300’den fazla üniversiteye saldırı düzenledi ve 31 terabyte’tan fazla veri çalmayı başardılar. Çalınan bu verilerin toplam değerinin 3 milyar dolar civarında olduğu tahmin ediliyor. Saldırganlar profesörleri kandıran e-posta iletileri ve üniversite sistemlerine zararlı yazılım yüklemeyi başardılar.
Tüm bunlar gösteriyor ki, siber güvenlikte başarılı olmak için önce bu konudaki uzmanların eğitimine ve gelişimine önem vereceğiz. Şirketlerimizde de tüm çalışanların siber güvenlik konusunda asgari bilgiye sahip olmalarını ve şirketin dijital güvenlik politikalarını tam olarak anladıklarından emin olacağız. Sistemler, donanımlar ve yazılımlar kendilerine düşen görevi bu esnada yapmaya devam edecek. Ama bunları koruyan kollayan yine insan olacak.