Siber Güvenlik Farkındalığına Giriş

Siber güvenlik farkındalığı, teknolojinin günlük hayatımızı şekillendirdiği, giderek birbirine daha fazla bağlanan dünyamızda çok önemlidir. Dijital ortam, sofistike bilgisayar korsanlığı girişimlerinden aldatıcı sosyal mühendisliğe kadar bireyleri, işletmeleri ve ulusları tehlikeye atan tehditlerle doludur. Bu dijital sınırda güvenli bir şekilde gezinmek için, siber güvenlik risklerine ilişkin anlayışımızı kolektif olarak güçlendirmemiz ve bunları hafifletmek için proaktif önlemler almamız zorunludur.

Bu makale, siber güvenlik farkındalığının önemini ve temel yönlerini ele alarak çevrimiçi tehditleri ve ortalama bir kullanıcının bunlarla mücadeledeki rolünü daha iyi anlamanıza yardımcı olacaktır.

---

İçindekiler

1. Siber Güvenlik Farkındalığı Nedir?
2. Siber Güvenlik Farkındalığı Neden Önemlidir?
3. Siber Güvenlik Farkındalığının Temel Unsurları
4. Büyük Siber Güvenlik Olayları
5. Ekim Siber Güvenlik Farkındalık Ayı

---

Siber Güvenlik Farkındalığı Nedir?

Siber güvenlik farkındalığı, son kullanıcıların siber güvenliğin en iyi uygulamaları ve ağlarının veya kuruluşlarının her gün karşılaştığı siber tehditler hakkında sahip oldukları algı ve anlayış düzeyini gösterir. Web’de gezinmenin, e-postaları kontrol etmenin ve çevrimiçi etkileşimde bulunmanın tehlikelerinin farkında olmak siber güvenlik farkındalığının unsurlarıdır.

Elbette BT departmanları siber güvenlik konusunda pazarlama müdürlerinden çok daha derin bir anlayışa sahiptir. Yine de tüm çalışanlar güvenlik hijyeni ve çok geç olmadan bir tehdidi fark etme becerisi konusunda aynı sayfada olmalıdır. Bir çalışanın kimlik avı e-postası ekini açması, İrlanda’nın ulusal sağlık hizmeti HSE’ye yapılan ve 100 milyon Euro’luk bir kayıpla sonuçlanan fidye yazılımı saldırısına neden oldu.

Gördüğünüz gibi, zararsız gibi görünen bir e-posta için gardınızı düşürmeniz bile felakete yol açtı. Bu nedenle, yılda en az bir kez uygun siber güvenlik eğitimi almak şarttır.

---

Siber Güvenlik Farkındalığı Neden Önemlidir?

İstatistikler yalan söylemiyor. Veri ihlallerinin %85’i “insan unsurundan” kaynaklanıyor. Daha da kötüsü, çalışanların %43’ü güvenlikle ilgili sonuçları olan bir hata yaptıklarından“çok” ya da “oldukça” emin. Siber saldırı risklerini azaltmak için düzenli eğitime ihtiyacınız var. Siber hırsızların görünüşte hacklenemez teknolojileri atlatmak için yeni yollar bulduğu, giderek dijitalleşen bir dünyada temel konuları ele almak artık yeterli olmayacaktır.

Siber güvenlik birçok farklı türde tehdidi, saldırıyı ve önleyici tedbiri kapsar. Bu konuya bütünsel olarak yaklaşmalı ve proaktif olmalısınız. Siber güvenliğe ne kadar çok odaklanırsanız, şirketinizin departmanları içinde o kadar güçlenir.

Siber farkındalık eşiğine ulaştığında, çalışanların profesyonel ve kişisel yaşamlarında siber güvenlik uygulamalarını isteyerek benimsedikleri ve kullandıkları bir ortam olan güvenlik kültürüne dönüşür. Siber güvenlik kültüründe farkındalık bireyi aşar ve kolektif hale gelir. Sonuç olarak, çoğu güvenlik tehdidi somut bir tehdit oluşturmadan önce ele alınır ve potansiyel ihlaller hızla rapor edilir.

---

Siber Güvenlik Farkındalığının Temel Unsurları

Siber güvenlik uygulamaları personel eğitimi ve farkındalığından kanıtlanmış güvenlik önlemlerine kadar uzanır. Bir şirketin niş alanı ve özel ihtiyaçları ne olursa olsun, çoğu siber saldırıyla mücadele etmek için evrensel araçlar vardır.

1. Şifre Hijyeni

Parola hijyeni, parolaların en iyi güvenlik uygulamalarına göre seçilme ve yönetilme derecesini ifade eder. Zayıf parolalar, başlangıcından bu yana İnternet’in başına bela olmuştur. Günümüzde verilerin güvenliğini sağlamak için ne kadar çok önlem ve gelişmiş teknoloji olursa olsun, şifreler ilk savunma hattı ve aynı zamanda en savunmasız bileşen olmaya devam etmektedir. Çalışanların %57’si hala şifrelerini yapışkan notlara kaydediyorsa, iyileştirme için çok yer olduğunu biliyorsunuz demektir.

Çalınan bir parolanın potansiyel yıkıcı etkilerini asla hafife almayın. Saldırganlar hassas hesap bilgilerini dark web’de diğer kötü niyetli gruplara satabilir ve onlar da sizin gibi davranarak başkalarını dolandırabilir. İşte şifrelerinizi güvende tutmak için birkaç uygulama:

• Uzun olsunlar (en az 12 karakter). Parola ne kadar uzun olursa o kadar güvenli olur. Birkaç ek karakter bile otomatik botların kırabileceği milyonlarca yeni kombinasyon yaratır.
• Şifrelerinizi oluşturmak ve saklamak için şifre yöneticisi yazılımı kullanın. Bu yöntem güvenlidir ve çalışanların şifrelerini daha iyi hatırlamalarına yardımcı olur.
• Her hesap için benzersiz bir şifre kullanın. Kullandığınız hizmetlerden birinde bir veri ihlali olması durumunda, diğer hesaplarınız risk altında değildir.

---

2. Fidye yazılımı

Fidye yazılımı, bir kullanıcının veya kuruluşun bilgisayarındaki dosyalara erişimini engelleyen kötü amaçlı yazılımdır (kötü niyetli yazılım). Saldırganlar bu dosyaları şifreler ve şifre çözme anahtarı için fidye talep ederek şirketleri dosyalarını kurtarmanın en ucuz yolunun fidye ödemek olduğu bir konuma sokar.

Fidye yazılımları genellikle kimlik avı e-postaları veya drive-by downloading yoluyla yayılır. Arabayla indirme, kullanıcılar farkında olmadan virüslü bir web sitesini ziyaret ettiğinde ve kötü amaçlı yazılım onların bilgisi dışında indirilip yüklendiğinde gerçekleşir.

Tüm zamanların en kârlı fidye yazılımlarından biri CryptoLocker‘dı. Eylül ve Aralık 2013 arasında 250.000’den fazla sisteme bulaşmış ve yaratıcılarına 3 milyon dolardan fazla kazandırmıştır.

Fidye yazılımı saldırılarından kaçınmak için web güvenliğinin en iyi uygulamalarını izleyin:

• İçinde kötü amaçlı yazılım bağlantıları olabilecek şüpheli web sitelerini ziyaret etmeyin.
• Doğrulanmamış kaynaklardan yazılım indirmeyin. Yazılımın, sahibini ve kod bütünlüğünü doğrulayan bir Kod İmzalama sertifikasına sahip olduğundan emin olun.
• Güvenlik protokollerinizi güncelleyin ve kurtarma sistemlerinizi izole edin.

---

3. Kimlik Avı

Kimlik av ı, dünya çapında milyonlarca kullanıcıyı etkileyen en eski ancak en etkili siber saldırılardan biridir. Kullanıcıları, tanıdıkları ve güvendikleri biri gibi davranarak kullanıcı adları, şifreler veya kredi kartı bilgileri gibi hassas bilgileri vermeye ikna eden yaygın bir dolandırıcılıktır.

Kimlik avı genellikle e-posta yoluyla gerçekleştirilir ve başarılıdır çünkü bunu tespit etmek ve önlemek için güvenlik yazılımına bağlı değildir, ancak kullanıcıları aldatıcı talebi takip etmeye ikna etmek için insan psikolojisini kullanır.

Kimlik Avı Sony gibi saygın şirketleri bile sert bir şekilde vurabilir. Kasım 2014’te “Guardians of Peace” adlı bilgisayar korsanlığı suç grubu, Apple’dan gelmiş gibi görünen e-postalar göndererek film stüdyosu Sony Pictures’a ait 100 terabaytlık veriyi sızdırmıştır.

Kimlik avına karşı en iyi savunma siber güvenlik farkındalığıdır. İşte dikkat etmeniz gerekenler:

• Şüpheli yazım, dilbilgisi hataları ve aciliyet hissi içeren e-postalar.
• Gönderenin adresi. Orijinaliyle neredeyse aynı görünecektir, ancak dikkatli olursanız tespit edilmesi kolay bir değişiklik olacaktır. Örneğin, [email protected] adresinden bir e-posta aldığınızı düşünebilirsiniz, oysa aslında [email protected] adresidir.
• Çalışanlarınızın farkındalığını artırmak ve onları bu tür siber saldırıların tehlikeleri konusunda eğitmek için düzenli kimlik avı tatbikatları yapın.

---

---

4. Sosyal Mühendislik

Sosyal Mühendislik, kimlik avı da dahil olmak üzere çok sayıda siber saldırının altında yatan süreçtir. Büyük ölçüde insan etkileşimine dayanır ve insanları güvenlik prosedürlerini ve en iyi uygulamaları ihlal etmeleri için kandırmak için manipülatif teknikler kullanır.

Tipik bir sosyal mühendislik saldırısında, dolandırıcı patronunuz, komşunuz, BT departmanınızdan biri veya yıllardır tanıdığınız güvenilir bir iş ortağınız gibi davranabilir. Taklitçi size bir e-posta veya sosyal medya mesajı gönderebilir ve sizden bir havale yapmanızı veya hassas bilgileri vermenizi isteyebilir.

Sosyal mühendisliğin klasik bir örneği, kimlik avcılarının ABD Çalışma Bakanlığı’nı (DoL) taklit ettiği Office 365 kimlik bilgilerini çalmaya yönelik son girişimdir. Saldırganlar, DoL’un gerçek e-posta adresini taklit etmiş ve alıcıları bir devlet projesi için teklif vermeye davet ettikleri benzer alan adları satın almışlardır.

Dolandırıcılık, sözde ihale talimatları içeren profesyonelce yazılmış e-postalar ve PDF’ler ile şüphelenmeyen çalışanların giriş yapması ve böylece giriş bilgilerini saldırganlara vermesi gereken özel bir portal içeriyordu.

Sosyal mühendislik saldırılarına karşı en iyi panzehir farkındalıktır. İşte benzer olayları önlemek için yapmanız gerekenler:

• Çalışanlarınızı sosyal mühendislik saldırılarının tehlikeleri ve incelikleri hakkında eğitin ve ilerlemelerini izlemek ve iyi güvenlik alışkanlıkları geliştirmek için kimlik avı simülasyonlarını çalıştırın.
• Çalışanların sosyal medya platformlarında paylaşabilecekleri bilgileri sınırlandırın. Dolandırıcılar potansiyel kurbanları hakkında istihbarat toplamak için SM’yi kullanırlar.
• Yazılım ve ürün yazılımını düzenli olarak güncel tutun. Günün her saati izleme için cihazlarınızı üçüncü taraf araçlarla güvence altına alın ve spam filtrelerinizi en yüksek seviyeye ayarlayın.

---

5. Ödeme Güvenliği

Çoğu siber suçlu hızlı finansal kazançlar peşindedir ve para kazanmak için ödeme ağ geçitlerine doğrudan saldırmaktan daha iyi bir yol olabilir mi? Saldırganlar banka hesap numaraları, kredi kartı bilgileri ve fiziksel adresler gibi gizli bilgilere erişerek kaynaktan kolayca para çalabilirler.

İşletmeniz bir çevrimiçi ödeme ağ geçidi aracılığıyla müşterilerden para topluyorsa, hassas verilerini ve işlem ayrıntılarını siber hırsızlardan korumalısınız.

---

Büyük Siber Güvenlik Olayları

2021 yılında Çinli bilgisayar korsanlığı grubu Hafnium, Microsoft Exchange’ de ABD’de en az 30.000 ve dünya genelinde 250.000 kuruluşun e-posta hesaplarına erişim sağlayan güvenlik açıkları buldu.

Bundan bir yıl önce, ABD’nin önde gelen bilgi teknolojileri firmalarından SolarWinds, aylarca fark edilmeyen büyük bir siber saldırının kurbanı olmuştu. Rus hükümeti tarafından desteklendiği iddia edilen bilgisayar korsanları, ABD federal hükümetinin birçok bölümü de dahil olmak üzere dünya çapında binlerce işletme ve devlet kurumu tarafından kullanılan Orion BT izleme ve yönetim yazılımına kötü amaçlı kod yerleştirdi.

2022’nin ilk çeyreğinde Nvidia, T-mobile ve Samsung gibi şirketler, sızdırılan kimlik bilgileri ve içeriden gelen tehditler yoluyla çok sayıda saldırının kurbanı oldu. Örnekler çoğaltılabilir ancak tablo net: Web güvenliği için milyonlar harcayan büyük şirketler de dahil olmak üzere hiç kimse siber suçlara karşı bağışık değildir. İşte bu yüzden siber güvenlik farkındalığı önemlidir.

---

Ekim Siber Güvenlik Farkındalık Ayı

Ekim ayı tüm dünyada Siber Güvenlik Farkındalık Ayı (CSAM) olarak kabul edilmektedir. Bu, siber güvenliğin önemi hakkında farkındalık yaratmaya, iyi siber güvenlik uygulamalarını teşvik etmeye ve bireyler, işletmeler ve hükümetler için güvenli ve emniyetli bir dijital ortam sağlamaya adanmış yıllık bir kampanyadır.

İlk olarak 2004 yılında Amerika Birleşik Devletleri’nde Ulusal Siber Güvenlik İttifakı (NCSA) ve ABD İç Güvenlik Bakanlığı (DHS) arasında ortak bir çaba olarak gözlemlenmiştir. Amaç, siber tehditlerin yarattığı artan endişeleri ve zorlukları ele almak ve halkı çevrimiçi ortamda nasıl güvende kalabilecekleri konusunda eğitmekti.

Ekim ayı boyunca siber güvenlik farkındalığını teşvik etmek için çeşitli etkinlikler ve girişimler düzenlenmektedir. Bunlar arasında kamu farkındalık kampanyaları, eğitim ve çalıştaylar, siber hijyen değerlendirmeleri, bilgi paylaşımı, ortaklıklar ve işbirlikleri yer almaktadır.

Zamanla kampanya uluslararası tanınırlık kazandı ve bugün dünya çapında birçok ülke ve kuruluş Ekim Siber Güvenlik Farkındalık Ayı’na katılıyor.

---

Son Sözler

Siber güvenlik farkındalığı, özellikle bütçelerin daha dar olduğu ve çalışanların uygun eğitim eksikliği nedeniyle farklı siber saldırı türlerine karşı daha hassas olduğu küçük ve orta ölçekli şirketlerde, gördüğünden çok daha fazla ilgiyi hak eden bir konudur.

İndirilen virüsler ve truva atları, spam e-postalar ve kimlik avı dolandırıcılığından kaynaklanan veri ihlalleri işletmenizi ve müşterilerinizi riske atar. Bu nedenle, çalışanları eğitmek ve etkili bir siber güvenlik stratejisi geliştirmek zorunludur. Siber farkındalık oluşturmak, en son dijital gelişmelere ve güvenlik trendlerine uyum sağlayan sürekli bir süreçtir.