Yöneticiler hassas bilgilere erişimleri ve büyük para transferlerini onaylama yetkileri nedeniyle tehdit aktörleri için kıymetli bir maksat konumundalar. Buna rağmen raporlar üst seviye yöneticilerin söyledikleri ile yaptıkları ortasında kıymetli bir siber güvenlik “davranış boşluğu” olduğunu ortaya koyuyor.
Yöneticinin söylediğini yap yaptığını yapma
Yöneticiler hassas bilgilere erişimleri ve büyük para transferlerini onaylama yetkileri nedeniyle tehdit aktörleri için kıymetli bir gaye konumundalar. Buna rağmen raporlar üst seviye yöneticilerin söyledikleri ile yaptıkları ortasında değerli bir siber güvenlik “davranış boşluğu” olduğunu ortaya koyuyor.
Siber güvenlik şirketi ESET yöneticilerden kaynaklanan siber tehditleri ve bu tehditleri önlemenin yollarını inceledi.
BT yazılım ve araştırma şirketi İvanti’nin yayımladığı rapor üst seviye yöneticilerin söyledikleri ile yaptıkları ortasında değerli bir siber güvenlik “davranış boşluğu” olduğunu ortaya koyuyor. Rapor, Avrupa, ABD, Çin, Japonya ve Avustralya’da 6.500’den fazla üst seviye yönetici, siber güvenlik uzmanı ve ofis çalışanıyla yapılan görüşmelerden elde edilen global bir nitelik taşıyor. Bilgiler iş dünyası başkanlarının söyledikleri ile gerçekte yaptıkları ortasında büyük bir kopukluk olduğunu ortaya koyuyor. Örneğin yöneticilerin neredeyse tamamı (%96) “kurumlarının siber güvenlik misyonunu en azından orta seviyede desteklediklerini yahut bu bahse yatırım yaptıklarını” argüman ediyor, yüzde 78’i kurumun zarurî güvenlik eğitimi verdiğini, yüzde 88’i “kötü hedefli yazılım ve kimlik avı üzere tehditleri tanımaya ve bildirmeye hazır olduklarını” söylüyor. Buna rağmen hatırlaması kolay parolalar kullanan yöneticilerin oranı yüzde 77, kimlik avı irtibatlarına tıklayanların oranı yüzde 35 ve iş uygulamaları için varsayılan parolaları kullanma oranı ise yöneticilerde yüzde 24 olarak ortaya çıkıyor.
Kuruluşlar, yöneticilerinin yarattığı siber riskleri nasıl azaltabilir?
Geçtiğimiz yıl boyunca yönetici faaliyetlerine ait bir iç kontrol gerçekleştirin. Bu, internet faaliyetlerini, engellenen kimlik avı tıklamaları üzere potansiyel riskli davranışları ve güvenlik yahut BT yöneticileriyle etkileşimleri içerebilir. Çok risk alma yahut iletişimsizlik üzere kayda paha kalıplar var mı? Çıkarılan dersler nelerdir? Bu alıştırmanın en değerli hedefi, yönetici davranış boşluğunun ne kadar geniş olduğunu ve kuruluşunuzda nasıl ortaya çıktığını anlamaktır. Üçüncü bir tarafın bakış açısını elde etmek için bir dış kontrol bile gerekebilir.
Önce düşük düzeydeki asılı meyveyi ele alın. Bu, düzeltilmesi en kolay olan en yaygın berbat güvenlik uygulaması çeşitleri manasına gelir. Erişim siyasetlerini herkes için iki faktörlü kimlik doğrulamayı (2FA) mecburî kılacak biçimde güncellemek yahut muhakkak malzemeleri muhakkak yöneticiler için sonların dışına çıkaran bir data sınıflandırma ve müdafaa siyaseti oluşturmak manasına gelebilir. Politikayı güncellemek kadar kıymetli olan bir öteki konu da, yöneticilerin karşı karşıya gelmesini önlemek için siyasetin sistemli olarak iletilmesi ve neden yazıldığının açıklanmasıdır. Süreç boyunca odak noktası, otomatik data keşfi, sınıflandırma ve muhafaza üzere mümkün olduğunca müdahaleci olmayan denetimleri uygulamaya koymak olmalıdır.
Yöneticilerin güvenlik yanılgıları ile iş riski ortasındaki noktaları birleştirmelerine yardımcı olun. Bunu yapmanın muhtemel bir yolu, yöneticilerin berbat siber hijyenin tesirini anlamalarına yardımcı olmak için oyunlaştırma tekniklerini ve gerçek dünya senaryolarını kullanan eğitim oturumları düzenlemektir. Örneğin, bir kimlik avı kontağının büyük bir rakibin ihlaline nasıl yol açtığı açıklanabilir. Ya da bir iş e-postası ele geçirme saldırısının bir yöneticiyi dolandırıcılara milyonlarca dolar havale etmesi için nasıl kandırdığı. Bu çeşit idmanlar yalnızca ne olduğuna ve operasyonel açıdan ne üzere dersler çıkarılabileceğine değil tıpkı vakitte insani, finansal ve prestij üzerindeki tesirlerine de odaklanmalıdır. Yöneticiler, birtakım önemli güvenlik olaylarının meslektaşlarının misyonlarından ayrılmak zorunda kalmalarına nasıl yol açtığını duymakla bilhassa ilgileneceklerdir.
Üst seviye başkanlarla karşılıklı itimat oluşturmak için çalışın. Bu, birtakım BT ve güvenlik önderlerini konfor alanlarından çıkaracaktır. Odak noktası, bireyleri ayırmak yerine kusurlardan ders çıkarmak olmalıdır. Çalışanlar hareketlerinin sonuçlarını anlamalı lakin bunu her vakit daima gelişim ve öğrenme çerçevesinde yapmalıdırlar.
Üst seviye başkanlar için bir “beyaz eldiven” siber güvenlik programı düşünün. Yöneticilerin güvenlikle etkileşimlerinin garip olduğunu söyleme mümkünlüğü olağan çalışanlara nazaran daha yüksektir. Siber hijyenleri daha berbattır ve tehdit aktörleri için daha büyük bir hedeftirler. Tüm bunlar, üst seviye başkanlardan oluşan bu nispeten küçük zümreye özel ilgi göstermek için uygun nedenlerdir.
Yöneticilerle etkileşimler için özel bir irtibat noktası ve özel olarak tasarlanmış eğitim ve işe alma yahut çıkarma süreçleri düşünün. Emel inanç ve en güzel uygulamaları oluşturmak ve güvenlik olaylarını bildirmenin önündeki pürüzleri azaltmaktır.
Kaynak: (BYZHA) Beyaz Haber Ajansı
