Karar vericiler ve patronlar çalışanlardan yüksek düzeyde siber güvenlik bilincine sahip olmalarını beklerken, çoğunlukla oltalamalara kanıyorlar, hatalı parolalar kullanıyorlar veya bunları şirket dışında paylaşıyorlar. İlginç bir Ivanti çalışması.
Güvenlik sağlayıcısı Ivanti, uluslararası "Güvenlik Durumu Hazırlığı 2023" araştırmasının sonuçlarını yayınladı. Buna göre, Alman şirketleri saldırıları yalnızca kısmen etkili bir şekilde savuşturabiliyor. Özellikle yama yönetimi ve tedarik zinciri yoluyla saldırılara karşı koruma alanlarında büyük boşluklar var. Çalışma için Ivanti, 6.500'si Almanya'dan olmak üzere dünya çapında üç fonksiyonel seviyeden 1.050 çalışanla anket yaptı.
Karar vericiler kendi güvenlik konseptlerinden şüphe duyuyor
Birçok Alman karar verici, güvenlik konseptleri hakkında önemli şüphelere sahiptir. On yöneticiden biri, şirketlerinin önümüzdeki 12 ay içinde ciddi bir güvenlik olayını engelleyemeyeceğine veya durduramayacağına inanıyor. Bu, Alman şirket liderlerinin endişelerinin diğer ülkelerden daha yüksek olduğu anlamına geliyor.
Bu şüpheler aynı zamanda şirket finansmanını da etkiliyor: 9 şirketten 10'u, bir saldırı durumunda fidye yazılımı ödemeleri ve maliyetleri için şimdiden rezervler oluşturdu. Bu açıdan da Alman karar vericiler, ele alınan ülkelerin tartışmasız liderleridir. Yıllık siber bütçenin neredeyse yarısı (%49) bu tür rezervlere, geri kalanı ise güvenlik araçlarına ve ekiplerine (%43) ve siber sigortaya (%6) gidiyor.
Yönetici katında siber farkındalık? hiçbiri
🔎 Siber güvenlik ekibinin güvenlik açıklarını önceliğe göre yama yeteneği var mı? (Resim: Ivanti).
İlginç bir şekilde, gerekli miktarda siber farkındalığa sahip olmayanlar, her şeyden önce C karar vericilerinin kendileridir. Ofis çalışanlarına kıyasla, kimlik avı saldırılarının kurbanı olma olasılıkları yaklaşık üç kat daha fazladır:
- 2/3 geçen yıl kimlik avı saldırısına uğradı
- 1/3'ü dolandırıcılık ve kimlik avı e-postalarına tıkladı veya ödeme yaptı
- %37'si iş şifresini şirket dışından biriyle paylaştı
- %71'i bir yıldan daha eski parolalar kullanıyor
- 1/3, farklı erişimler veya cihazlar için aynı şifreyi kullanır
Bu arka plana karşı, kendi şirketlerinde siber mükemmellik eksikliğinin nedenleri hakkında yönetim kademesi tarafından yapılan bir açıklama oldukça rahatsız edicidir. Bunların 1/3'ünden fazlası için (%38), kendi iş gücüne çok fazla güvenmek merkezi bir rol oynuyor. C seviyesinin 1/3'ü de çalışanlara yönelik güvenlik eğitiminin yetersiz veya eksik olduğundan şikayet ediyor.
Sorun alt yama yönetimi
Genel olarak, Ivanti araştırması, Alman şirketlerinin kendilerini siber saldırılara karşı korumak için çok şey yaptığını, ancak şirketlerin çoğunluğunun hâlâ reaktif bir kontrol listesi zihniyetiyle mücadele ettiğini açıkça ortaya koyuyor. Bu, en çok güvenlik ekiplerinin kendi süreçlerinde, özellikle güvenlik açığı yönetiminde belirgindir. Bugün, bireysel şirket için gerçek bir risk oluşturan güvenlik açıklarını kapatmak önemlidir.
Ancak güvenlik açıklarını riske göre önceliklendirmek yerine, Alman güvenlik ekipleri mümkün olduğu kadar çok güvenlik açığını gidermeye çalışıyor. Açıklığa kavuşturmak gerekirse, her 9 güvenlik uzmanından 10'u önceliklendirme için bir yöntemi olduğunu söylerken, her türlü güvenlik açığının kendileri için eşit derecede önemli olduğunu da onaylıyor. Sonunda, siber saldırganların yararlandığı değerli zamanı boşa harcıyorlar.
Yama yönetimi olmadan BT güvenliği olmaz
🔎 Güvenlik açığı yamalarına nasıl öncelik verilir? (Resim: Ivanti).
"Yamalama, BT güvenliğinin temel görevi olmaya devam ediyor" diye açıklıyor Dr. Srinivas Mukkamala, Ivanti'de Baş Ürün Sorumlusu. "Ancak iyi bir kadroya sahip ve mali açıdan iyi kaynaklara sahip BT ve güvenlik ekipleri bile gerekli öncelikleri belirlemekte hala sorun yaşıyor. Kurumsal güvenlik artık risk tabanlı yama yönetimi olmadan düşünülemez. Manuel müdahale olmadan güvenlik açıklarını belirlemek, önceliklendirmek ve düzeltmekle ilgili.”
Risk tabanlı yama yönetimi yolunda, Alman güvenlik ekipleri şimdiden uluslararası ortalamanın bir adım önünde. Almanya'daki BT güvenlik ekiplerinin %48'i halihazırda en son güvenlik açıkları yerine aktif olarak kullanılan saldırı vektörlerine odaklanıyor. Küresel olarak, ortalama sadece %31'dir.
Şirket verileri açık
Son 2 yılın en önemli saldırı vektörleri sorulduğunda, kimlik avı güvenlik ekipleri arasında geniş bir farkla (%1) birinci sırada yer aldı. Güvenlik uzmanlarının yarısından fazlası geçmişte bununla ilgili deneyime sahipti. Fidye yazılımı saldırıları (%51) veya satış ve değer zincirine yönelik tehditler (%22) bunu oldukça uzak bir mesafeden takip ediyor. Bu, özellikle tedarik zincirine yönelik saldırıların geçen yıl dünya çapında önemli ölçüde artması nedeniyle önemlidir.
Ne de olsa: Almanya'daki güvenlik uzmanlarının %41'i, eski çalışanların yanı sıra harici yüklenicilerin hala sistemlere veya verilere erişimi olduğunu biliyor. Tedarik zinciri saldırıları yoluyla veri hırsızlığına karşı koruma söz konusu olduğunda, Alman şirketleri diğer ülkelere kıyasla hala oldukça iyi durumda. Tüm BT ve güvenlik ekiplerinin yarısından fazlası (%51), bir hizmet sona erdikten sonra bir üçüncü tarafın, danışmanın veya yüklenicinin izinlerini iptal edebiliyor. Bununla birlikte, %37 için bu zaten 2 ila 5 gün sürüyor ve bu, bir dağıtım veya değer zinciri yoluyla yapılan bir saldırının dar zaman aralığı göz önüne alındığında açıkça çok uzun.
Ülke karşılaştırması: Almanya iyi gidiyor
Bir ülke karşılaştırmasında, Alman güvenlik departmanları hala iyi bir konumda, ancak geçmişin ihmalleriyle mücadele ediyor. Şirkette kullanılan tüm araç ve sistemler hakkında kapsamlı bir içgörüye sahip değiller. Ayrıca siber programlarının etkinliğini ölçmek için net yöntemlerden yoksundurlar. Burada, güvenlik süreçleri gelişmeli ve reaktif bir güvenlik yaklaşımının ötesine geçmelidir.
Daha fazlası Ivanti.com'da
Ivanti Hakkında Birleşik BT'nin gücü. Ivanti, dijital işyerini daha iyi yönetmek ve güvenliğini sağlamak için BT'yi kurumsal güvenlik operasyonlarıyla birleştiriyor. Bilgisayarlarda, mobil cihazlarda, sanallaştırılmış altyapılarda veya veri merkezindeki BT varlıklarını - ister şirket içinde ister bulutta olsunlar tanımlıyoruz. Ivanti, BT hizmet sunumunu iyileştirir ve uzmanlık ve otomatikleştirilmiş süreçler yoluyla iş riskini azaltır. Ivanti, depoda ve tedarik zincirinin tamamında modern teknolojileri kullanarak, şirketlerin arka uç sistemlerini değiştirmeden teslim etme becerilerini geliştirmelerine yardımcı olur.