Günümüzde teknoloji, ürün geliştirmeden satışa kadar her bir iş sürecinin tam kalbinde ve işletmelerin merkezi sinir sistemi haline geldi.
Teknolojinin insanların kişisel yaşamlarındaki rolü de önemli ölçüde genişledi. Şirketler sosyal medyayı daha çok kullanırken, çalışanlar da kurum e-postalarına girişte kendi cihazlarını daha sık kullanmaya başladılar. İş hayatı ve kişisel hayat içerisinde kullanılan teknolojiler arasındaki sınırlar neredeyse kalktı. Dolayısıyla bilgi sistemleri, kişisel, finansal ve diğer bilgileri yönetmek için daha geniş bir alanda güvenlik riskine maruz kalıyor.
Dijitalleşmeyle birlikte artan saldırı yüzeyi, kötü niyetli gruplar için daha çok fırsat yaratıyor. Şubat 2020’den bu yana phishing saldırıları %600, fidye yazılım (ransomware) saldırıları da %148 artmış durumda ve artmaya da devam edecek. Saldırganlar her geçen gün daha karmaşık teknikler üretiyor. Gelişen teknolojiyi yakından takip edip, her zaman bir adım önümüzde olmayı başarıyorlar. Saldırıların çoğu hedef odaklı ve genellikle güvenlik duvarlarını ve anti virüsleri atlatabilecek şekilde bireyleri hedef alıyor. Siber saldırıların %75’i e-posta ile başlıyor.
Güvenlik alanında hareketsiz kalmak, kötü niyetli saldırganlar için kolay hedef olmakla aynı anlama geliyor. Dünyada her 29 saniyede bir siber atak gerçekleşiyor. Bu saldırılara karşı kendimizi korumak için, teknolojiyi çok yakından takip etmek ve kendimizi devamlı geliştirmek durumundayız.
Paynet olarak bu konuda sıklıkla eğitimler düzenliyoruz. Sızmaların %67’si, şifrelerin çalınmasıyla, insan hatasıyla ve sosyal mühendislik saldırılarından meydana geliyor. Bu da gösteriyor ki, teknolojik ve sistemsel olarak ne kadar başarılı olunsa da, en önemli faktör kesinlikle insan. Bir şirketin güvenliğini sadece bilgi sistemleri ekibi ve teknolojisi ile sağlamak mümkün değil. Şirketin her bir çalışanı, her bir departmanı, eğitimler almalı, kişisel verilerinin ve şirket verilerinin güvenliğinin korunmasında önemli bir rol oynadığının farkında olmalı.
“Önce Güvenlik” prensibinin amacı, sürekli iletişim ve eğitim prensipleri ile çalışanlarımızın bu konuda her zaman en güncel bilgiye sahip olmalarını sağlamak. Tüm iş modellerimizde, süreçlerimizde, stratejilerimizde güvenlik unsuruna öncelik vermek ve buna işe alım ile başlamak gerekiyor.
- Risk ve Uyum: Güvenlik, gizlilik ve regülasyon gereksinimlerini karşılıyor mu?
- Müşteri İhtiyaçları: Müşterimizin gizlilik ve güvenlik ihtiyaçları ve genel deneyimlerine uygun mu?
- Üretkenlik ve Kullanıcı Deneyimi: Kontrollerin kapsamı kullanıcıların işlerini yapmasını zorlaştırarak iş hızını düşürüyor mu? Kullanıcıların güvenlik politikalarını izlemesi veya kullanması zaman alıcı ve zorlaştırıcı mı? Eğer gereğinden fazla zorlaştırırsak, kullanıcılar onları görmezden gelebilir ve böylece daha fazla risk oluşturabilir.
- Maliyet ve Bakım: Kontrollerin toplam maliyeti, kurulum ve bakım maliyetleri.
- Pazar hedefi: Şirket hedeflerimize uygun mu?
Üç tip güvenlik kontrolü bulunuyor, bunlar, ‘saldırı önleme,’ ‘saldırı tespit etme’ ve ‘saldırıya cevap verme.’ Saldırı önleme, herhangi bir riskin, kullanıcıları ve sistemi etkilemeden engellenmesiyken, saldırı tespit etme ise, sistemlere yapılan sızmaların ve zararlıların tespit edilmesi ve tanımlanması anlamına geliyor. Saldırıya cevap verme ise, herhangi bir saldırıya karşı aksiyon alınmasıdır.
Güvenlik ve risk bakış açısı ile “saldırı önleme” faaliyetleri sızmayı ve saldırıyı engellemeye odaklanırken, saldırı tespit etme ve cevap verme faaliyetleri saldırının zararını en aza indirmeye odaklanır.
IBM’in verilerine göre bir sızıntının tespit edilme süresi ortalama 206 gün. Bir saldırıyı kısa sürede tespit etmek ve zararlarını mimimuma indirmek için “Bilgi Güvenliği ve Kayıt Yönetimi” uygulamaları ile güvenlik mimarinizi güçlendirmeniz gerekir. Bu uygulamaları da etkin bir olay müdahale planı ile desteklemek gerekiyor.
Finansal teknoloji rekabetin yoğun ve zorlu olduğu bir sektör, bir yandan çalışanların üretkenliğini artırmanız gerekirken, bir yandan yenilikçi ürünler geliştirmeniz, bir yandan da finansal teknolojiyi çok yakından takip etmeniz ve aynı zamanda mimarinizi riski önlemek, saldırı yüzeyinizi küçültmek, sürdürülebilir olmak için tasarlamanız gerekiyor.
Dijitalleşmenin her sektörde kurum için vazgeçilmez hale geldiği günümüzde, şirketler de kendi tedarikçilerini ve iş ortaklarını seçerken güvenlik ve risk faktörlerine öncelik verme konusunda bilinçleniyor. Bu nedenle yarını düşünüp bugünden önlem alan ve mimarisini doğru güvenlik yatırımlarıyla destekleyen şirketler, tanık olduğumuz bu dönüşümün kazananı olacaktır.