Siber Güvenlik Derinlemesine: Güvenlik stratejisi, son trendler ve tanınması gereken kişiler hakkında özellikli yazılar.
Yeni rehber, teknik bilgisi daha az olan tek kişilik işletme sahipleri için temel bir çerçeve sunuyor, ancak insan gözetimi gerektirmeyen teknolojinin nasıl güvence altına alınacağı konusunda hedeften sapıyor olabilir.
Tehdit aktörleri her zaman en az direnç gösteren yolu hedefler ve yıllardır bu yol küçük ve orta ölçekli işletmeler olmuştur. Şimdi National Institute of Standards and Technology’den gelen yeni rehber, belki de daha az kaynağa sahip şirketlere yardımcı olmayı amaçlıyor: "solopreneur"lar.
Tek kişilik işletme sahipleri için olaylar işi bitirici olabilir ve bazıları bir saldırının ardından tamamen kapanıyor. Riskler aynı zamanda tedarik zinciri üzerinden de uzanıyor; tehdit aktörleri büyük şirketlere arka kapıdan sızmak için açıkları kullanıyor.
NIST, ABD'deki tüm işletmelerin 81.9%'unu oluşturan bir kesim için Cybersecurity White Paper 50 (CSWP)’yi yayımladı; bu belge siber riskleri azaltmaya yönelik bir dizi öneri içeriyor.
Kurum, parola hijyeni, fidye yazılımı tehditleri ve düzenleme gerekliliklerine uyum gibi alanlarda rehberlik sunarak zorlukları telafi etmeye çalışıyor; solopreneur'lar genellikle kendi başlarına bir güvenlik programı kuracak zaman, para ya da insan kaynağına sahip olmuyor.
NIST, rehberin Siber Güvenlik Çerçevesini işveren olmayan firmalar için sade dile çevirdiğini söyledi. Ancak 33 sayfalık belgeyi incelemek yatırım değerinde mi?
Bitdefender'da teknik çözümler direktörü Martin Zugec'e göre pratik çekirdeğin çoğu solopreneur'ların erişebileceği yerde. İnsanların İkinci Sayfadaki kısa listeye bakması yeterli; bu listede kimlik avına dayanıklı çok faktörlü kimlik doğrulama, parola yöneticisi, günlük iş için standart (yönetici olmayan) hesap, otomatik güncellemeler ve bir kopyası çevrimdışı saklanan test edilmiş yedekler isteniyor.
"Bunun için güvenlik geçmişine gerek yok ve bir öğleden sonra içinde yapılabilir," diye anlatıyor Zugec Dark Reading'e.
Ne İşe Yarıyor, Ne İşe Yaramıyor
Zugec'e göre diğer NIST teknik yayınlarıyla kıyaslandığında CSWP çok daha kolay sindiriliyor. NIST'in duyurduğu gibi dil sade ve her eylem bir neden, ilk adım ve işletmeler büyüdükçe neyin değiştiğine dair notla geliyor.
NIST, işletmeler faaliyetlerini genişlettikçe artan sözleşmesel anlaşmalar ve tedarikçi/üçüncü taraf sayısıyla nasıl başa çıkılabileceğini anlattı ve bu noktada üçüncü tarafların siber duruşlarının bilinmesinin daha da kritik hale geldiğini vurguladı. Bu, düzenlemelerle güncel kalmayı ve ilişkilerin getirebileceği riskleri yönetmek için resmi bir süreç kurmayı gerektiriyor.
Huntress'te siber güvenlik danışmanı Bryson Byrd, NIST'i rehber için övdü ancak belgenin hâlâ uygulayıcılar için yazılmış gibi okunduğunu söyledi. "En az ayrıcalık", "risk kaydı" ve "veri hassasiyeti sınıflandırması" gibi terimler bir fırın ya da danışmanlık pratiği yürüten birinin dili değil.
"Uzun süredir solopreneur'lar siber güvenlik rehberlerinde sonradan düşünülüyor," diye belirtiyor Byrd Dark Reading'e. "Niyet doğru, ancak bu tür rehberler günlük iş sahiplerinin diline ne kadar yaklaşırsa uygulanma olasılığı o kadar artar."
Byrd'e göre sorun sadece dil değil. Rehber, işletme sahibinin günlük oturumları kaydetmeyi nasıl açacağını, hesap oturumlarını nasıl gözden geçireceğini ve ayrı bir elektronik tablo çalışma sayfalarıyla nasıl ilerleyeceğini bildiğini varsayıyor. Ayrıca bir olayın ardından müşterilere bildirimde bulunulmadan önce hukuk danışmanının görüşünün alınması önerisi, genellikle bütçede olmayan ek bir maliyet olarak öne çıkıyor.
Rehber, "kimse en güvenli şirketi kurmak için iş kurmuyor," gözlemini dikkate almaz gibi görünüyor, Byrd'e göre; amaç zaman içinde bir şey inşa etmek. Bir solopreneur'un varlık envanteri, yedek testi, masa başı tatbikatı ve uyum takibi için harcadığı her saat, önceliği olan işi yürütmekten alınan bir saat demek.
"Tek bir kişinin tüm bunları yapmasını istemek son derece külfetli ve açıkçası gerçekçi değil," diye açıklıyor Byrd.
Daha Fazla Boşluk ve Öneriler
Byrd, rehberde "gerçek dünyada küçük işletmeleri yaraladığımızı gördüğümüz" yerlerde boşluklar gözlemliyor. İlki alan adı kayıt kuruluşu; saldırganlar düzenli olarak küçük işletme alan adlarına saldırarak kimlik avı saldırıları başlatıyor ve müşterilerden/ortaklardan para sızdırıyor. Alan adının kontrolü, tehdit aktörlerine e-posta ve işletmenin web sitesi üzerinde de kontrol sağlıyor.
"Kayıt kuruluşu hesabını çok faktörlü kimlik doğrulama ile kilitlemek, kayıt kilidini etkinleştirmek ve otomatik yenilemeyi açmak, bir solopreneur için herhangi bir temel uygulamanın parçası olmalı," diye öneriyor Byrd.
İkinci boşluk e-posta doğrulaması. Üç temel protokol — Sender Policy Framework, DomainKeys Identified Mail ve Domain-based Message Authentication, Reporting, and Conformance — bir işletmenin taklit edilmesini önlemesi ve meşru e-postasının iletilmesini sağlaması açısından giderek daha önemli hale geliyor, diye ekliyor Byrd.
Üçüncü ve belki de tek kişilik bir işletme için en etkili olanı, hastalık, aile meselesi ya da hak edilmiş bir tatil nedeniyle işletme sahibinin uzun süre erişilemez hale gelmesi durumunda ne olacağı.
Fidye yazılımı grupları işletmeleri mesai dışı saatlerde, hafta sonlarında ve tatillerde hedefliyor. Acil müdahale gerektiren bir şey olursa birinin orada olması şart; bu, bir olay ile bir ihlal arasındaki farkı belirleyebilir.
"Güvenilir bir kişi ya da ortağa kritik hesaplara acil erişim sağlayan bir kırma cam planı hâlâ gerekiyor ve bu, bir solopreneur için her siber güvenlik planında yer almalı," diye tavsiye ediyor.
Neden Şimdi?
Önceden KOBİ'ler ve kendi hesabına çalışanlar hedef olamayacak kadar küçük oldukları zihniyetini benimsemişti. Bu düşünce on kat çürütüldü ve durum daha da kötüleşiyor.
Özerk araçlar ve yapay zekâdaki gelişmeler saldırıların giriş engelini ve maliyetini düşürdü; bu da tehdit aktörlerinin bu nüfusu ölçekli olarak hedeflemesine izin veriyor. Büyük savunmaları olan büyük şirketlere bir büyük ödeme için saldırmak yerine, zayıf güvenliğe sahip ve ödeme yapma olasılığı çok daha yüksek binlerce küçük dükkâna saldırmayı seçtiler.
Zorluklar geliştikçe rehberlik de gelişmeli. NIST'te küçük işletme katılımı lideri Daniel Eliot, bu belgenin öncülü NISTIR 7621 rev.1'in ardından neredeyse 10 yıl sonra geldiğini söylüyor.
10 yılda çok şey değişti ve ilk yorum çağrısının ardından "bu geri bildirim projenin ilerlemesinde çok önemli oldu."
Yapay zekâ birçok güvenlik rehberinin güncellenmesini zorluyor ve bu rehberleri yazmayı kolaylaştırıyor, Zugec not ediyor. CSWP'de yapay zekâ hakkında bir bölüm ve yapay zekânın kimlik avını daha ikna edici hale getirdiği konusunda bir uyarı eklendiğini fark etti.
NIST, insanların bir bağlantıya tıklamasını, bir dosya indirmesini, fon transfer etmesini ya da bir hesaba giriş yapmasını isteyen her mesajı ikinci ya da üçüncü kez incelemesi çağrısında bulundu.
Yapay Zekâ Rehberliği Gerçek Dünya Riskleriyle Uyuşmuyor
Ama popüler inancın aksine yapay zekâ yeni ya da özgün saldırılar getirmedi, Zugec gözlemliyor. Yapay zekâ işletmeleri kimlerin yönettiğini ve işletmenin çalışması için neye güvendiğini değiştiriyor.
Solopreneur'lar yapay zekâ asistanlarını gelen kutularını okumak, komut çalıştırmak, kod yazmak ve işletme sahibinin kimliği altında hesapları kullanmak için kullanıyor, diye açıklıyor. Bu, bir kişinin küçük bir ekibin işini yapmasını sağlasa da saldırı yüzeyini genişletiyor.
"Birçok solopreneur, güvenliğinden daha hızlı büyümek için aracı yapay zekâ kullanacak," diyor. "Rehber, bu ajanların neye ulaşmasına izin verilmesi gerektiği ya da yazdıkları kodun nasıl güvence altına alınacağı konusunda hiçbir tavsiye vermiyor."
Zugec'in rehberde bulduğu en büyük boşluk "eylem yapan yapay zekâ". NIST yapay zekâyı pasif olarak ele alıyor, işletmelerin envanterini çıkarması ve çıktılar için gözden geçirmesi gereken bir şey olarak görüyor, ancak aracı yapay zekâ giderek insanları denklemden çıkarıyor.
Aracı yapay zekâ daha fazla insanın tek başına iş yürütmesini sağladıkça, bu işletmelerin güvenliği her zamankinden daha önemli hale geliyor, Zugec uyarıyor. Bu, insanların giderek kendi uygulamalarını tek başlarına oluşturmak için vibe coding'e yönelmesiyle dış yardımı gerektirecek. Solopreneur'ların bir şey yayınlanmadan önce kodlarını kodlama ve güvenlik deneyimine sahip biri tarafından gözden geçirmesini öneriyor.
Eğer bir şey herkese açıksa, bir saldırganın erişebileceği anlamına gelir ve korunması gerekir.
"Yapay zekâ çalışan yazılım üretmekte iyi, ancak küçük bir saldırı yüzeyine sahip yazılım üretmekte her zaman iyi değil," diyor. "Rehber bunu kapsamıyor, hâlâ solopreneur'ların karşılaştığı ilk risk bu."
Zugec başka zayıflıklar da gördü. Örneğin NIST sürekli güncellemeleri teşvik etti, ancak bir solopreneur her yasal ve sözleşmesel güvenlik gerekliliğini gerçekçi olarak takip edemez, bulut sağlayıcısıyla güvenlik şartlarını müzakere edemez ya da sistemlerini saatlerce izleyemez.
İkincisi, hiçbir zaman görevleri sıralamıyor; bu da tek kişilik bir ekip için önceliklendirmeyi zorlaştırıyor. Örneğin yönetişimle açılıyor, en az uygulanabilir görev, oysa çok faktörlü kimlik doğrulama ve yedek tavsiyesi ancak 14. Sayfada başlıyor. Ayrıca iki yaygın saldırı yolunu da ele almıyor: insanların kendilerinin bir komut yapıştırmasına kandıran ClickFix ve oturum açmış oturumu çalan ve çok faktörlü kimlik doğrulamayı atlayan kötü amaçlı yazılım.
"Yaklaşık 25 eylem listeliyor ve açıkça bunun bir kontrol listesi olmadığını söylüyor, dolayısıyla meşgul bir sahip önce neyin geleceğine karar vermek zorunda," diyor Zugec. Rehber ayrıca kapsamını çalışan sayısına göre belirliyor, bu da sorunlu. Teknik olarak çalışan sayısı bir, ancak risk işletmelerin tuttuğu bilgiye ve kimin hedef aldığına göre takip ediyor.
Bu sadece büyüklük meselesi değil, neyin maruz kaldığıyla ilgili. Risk, yan iş olarak Etsy'de mum satan biri ile finans sektöründe milyarlarca kripto para ticareti yapan biri arasında büyük ölçüde değişiyor.
"Tek kişilik bir kripto operatörü ya da müşteri sırlarına sahip bir danışman, rehberin temelinin çok daha fazlasına ihtiyaç duyar," diyor Zugec.
Features Writer, Dark Reading
Arielle son on yılını muhabir olarak çalışarak geçirdi ve 2020'de insan odaklı hikâyelerden tüm siber güvenlik konularını kapsamaya geçti. Şimdi Dark Reading için özellik yazarı olarak, işletmelerin günlük karşılaştığı güvenlik sorunlarını ele alıyor, bağlam ve uygulanabilir adımlar sunuyor. Endüstrinin nereye gittiğini anlamak için ilk haberin ötesine geçen hikâyeler arıyor. Kapsama alanları kimlik ve erişim yönetimi, siber risk ve operasyonlar, endüstriyel kontrol sistemleri, operasyonel teknoloji ve fidye yazılımı trendlerini içeriyor.
Önceki yaşamında Florida'da yaşadı ve Tampa Bay Times için yazdı, ardından siber güvenlik kariyerinin başladığı Boston'a döndü. Siber güvenlik hakkında yazmadığı zamanlarda bir gizem romanı ve şiir koleksiyonu da dahil olmak üzere kişisel projelerle uğraşıyor.
