Yakın vakitte yapılan bir araştırmaya nazaran, dağıtık iş gücüne yönelik artan eğilim nedeniyle şirketlerin, çalışanları tarafından gölge BT kullanımı nedeniyle siber olayların amacı olma riski artıyor. Kaspersky tarafından yapılan araştırmaya nazaran, Türkiye’deki şirketlerin %73’ü son iki yılda siber olaylara maruz kaldı ve bunların %6’sı gölge BT kullanımından kaynaklandı.
Yakın vakitte yapılan bir araştırmaya nazaran, dağıtık iş gücüne yönelik artan eğilim nedeniyle şirketlerin, çalışanları tarafından gölge BT kullanımı nedeniyle siber olayların maksadı olma riski artıyor. Kaspersky tarafından yapılan araştırmaya nazaran, Türkiye’deki şirketlerin %73’ü son iki yılda siber olaylara maruz kaldı ve bunların %6’sı gölge BT kullanımından kaynaklandı.
Yakın vakitte yapılan bir Kaspersky araştırması[1], son iki yılda dünya çapındaki şirketlerin %11’inin çalışanlar tarafından gölge BT kullanımı nedeniyle siber olaylara maruz kaldığını gösterdi. Türkiye’de bu oran %6 oldu. Gölge BT kullanımının sonuçları ciddiyet açısından farklı olabiliyor. Fakat ister bir modül kapalı bilginin sızdırılması olsun isterse de iş dünyasında somut bir hasar olsun, sonuçlarını kesinlikle önemsemek gerekiyor.
Gölge BT nedir?
Gölge BT, şirketin BT altyapısının BT ve bilgi güvenliği departmanlarının yetki alanı dışında kalan, yani uygulamalar, aygıtlar, genel bulut hizmetleri üzere bilgi güvenliği siyasetlerine uygun olarak kullanılmayan kısmıdır. Gölge BT’nin konuşlandırılması ve işletilmesi işletmeler için önemli olumsuz sonuçlara yol açabiliyor. Kaspersky’nin son araştırmasına nazaran, 2022 ve 2023 yıllarında gölge BT’nin yetkisiz kullanımı nedeniyle meydana gelen siber olayların %16’sına maruz kalan dallar ortasında en çok etkilenen, BT bölümü oldu. Araştırma, bir dizi örnek ile bu durumu açıkça ortaya koyuyor. Problemden etkilenen başka kesimler ise, %13 ile kritik altyapısı ile nakliyat ve lojistik oldu.
Okta raporunun son olayı, gölge BT kullanımının tehlikelerini açıkça deliller nitelikte. Bu yıl şirkete ilişkin aygıtta ferdî Google hesabı kullanan bir çalışan, istemeden de olsa tehdit aktörlerinin Okta’nın müşteri dayanak sistemine yetkisiz erişim sağlamasına müsaade verdi. Bu bireyler daha sonra hücumlarını gerçekleştirmek için kullanılabilecek oturum belirteçlerini içeren belgeleri ele geçirmeyi başardılar. Okta’nın raporuna göre bu siber olay 20 gün sürdü ve 134 şirketin müşterisini etkiledi.
‘Bulanık gölgelerin’ ana çizgilerini çizmek
Peki gölge BT’yi ararken nelere dikkat etmelisiniz? Bunlar, çalışan bilgisayarlarına yüklenen yetkisiz uygulamalar, istenmeyen flash şoförler, cep telefonları, dizüstü bilgisayarlar vb. olabiliyor. Ancak bu bahiste daha az dikkat çeken kimi örnekler de var. Bunun bir örneği, BT altyapısının modernizasyonu yahut tekrar düzenlenmesinden sonra kalan terk edilmiş donanımlar. Bu donanımlar öbür çalışanlar tarafından ‘gölgede’ kullanılabiliyor ve er ya da geç şirketin altyapısına girecek güvenlik açıkları edinebiliyor.
BT uzmanları ve programcılar, birden fazla vakit olduğu üzere, bir ekip/departman içindeki çalışmayı optimize etmek yahut dahili problemleri çözmek, işi daha süratli ve daha verimli hale getirmek için kendilerine özel programlar oluşturabiliyor. Lakin, bu programları kullanmak için her vakit bilgi güvenliği departmanından yetki istemezler ve bu durum son derece olumsuz sonuçlara yol açabiliyor.
Kaspersky Bilgi Güvenliği Başkanı Alexey Vovk, bahisle ilgili olarak şu bilgileri paylaşıyor: “BT departmanı tarafından onaylanmayan uygulamaları, aygıtları yahut bulut hizmetlerini kullanan çalışanlar, bu BT eserleri muteber sağlayıcılardan geliyorsa korunduklarına ve inançta olduklarına inanırlar. Fakat, üçüncü taraf sağlayıcılar ‘şartlar ve koşullarda’ kelamda ‘paylaşılan sorumluluk modeli’ kullanmaktadır. Buna nazaran, kullanıcılar ‘Kabul ediyorum’ seçeneğini seçerek bu yazılımın sistemli güncellemelerini yapacaklarını ve bu yazılımın kullanımıyla ilgili olaylarda (kurumsal data sızıntıları dahil) sorumluluğu üstleneceklerini onaylamaktadır. Lakin günün sonunda işletmeler, çalışanlar tarafından kullanıldığında gölge BT’yi denetim etmek için araçlara muhtaçlık duyar. Kaspersky Endpoint Security for Business ve Kaspersky Endpoint Security Cloud, istenmeyen uygulamaların, web sitelerinin ve etraf ünitelerinin kullanımını sınırlayan uygulama, web ve aygıt denetimi fonksiyonlarıyla bu denetimi sunar. Bilgi güvenliği departmanının, denetimsiz ve inançlı olmayan donanım, hizmet ve yazılım uygulamalarının yetkisiz kullanımını önlemek için şirketlerinin iç ağını nizamlı olarak taraması gerekir.”
Genel olarak, gölge BT’nin yaygın kullanımıyla ilgili durum, birçok kuruluşun çalışanlarının bu mevzudaki BT siyasetlerine karşı gelmelerinin bir sonucu olarak ziyan görecekleri rastgele bir belgelenmiş yaptırıma sahip olmaması nedeniyle karmaşık bir hal alıyor. Dahası, gölge BT’nin 2025 yılına kadar kurumsal siber güvenliğe yönelik en kıymetli tehditlerden biri haline gelebileceği varsayılıyor. Yeterli haber şu ki, çalışanların gölge BT kullanma motivasyonu her vakit berbat niyetli değil, hatta birçok vakit tam zıddı. Birçok durumda çalışanlar bunu, müsaade verilen yazılım setinin yetersiz olduğuna inandıkları ya da yalnızca şahsî bilgisayarlarındaki tanıdık programı tercih ettikleri için iş yerinde kullandıkları eserlerin fonksiyonelliğini genişletmek için bir seçenek olarak kullanıyor.
Kaspersky, kurumlarda gölge BT kullanımının risklerini azaltmak için şunları öneriyor:
Kaynak: (BYZHA) Beyaz Haber Ajansı
