Dünyada şirketlerin en az duyurduğu ihlal türü: çalışan kişisel bilgilerinin sızıntısı
Kaspersky Çalışan Sağlığı 2021 raporu, kuruluşların düzenli olarak çalışan veri sızıntısı ile karşı karşıya olduğunu, ancak bunların neredeyse yarısının (%45) bu olayları kamuya açıklamamayı tercih ettiğini ortaya koyuyor.
18 Ocak 2022 - 10:07
Kaspersky Çalışan Sağlığı 2021 raporu, kuruluşların düzenli olarak çalışan veri sızıntısı ile karşı karşıya olduğunu, ancak bunların neredeyse yarısının (%45) bu olayları kamuya açıklamamayı tercih ettiğini ortaya koyuyor. Türkiye’de ise bu oran %19 ile nispeten oldukça düşük kalıyor. İşletmelerin yalnızca %44'ü BT güvenliği eğitimi sunduğundan, personel kendilerini korumak için temel siber güvenlik bilgisinden yoksun kalabiliyor.
Başarılı bir kurumsal siber savunma, her düzeydeki çalışan güçlerini birleştirmeden mümkün olamayacak bir kavram. Teknoloji siber saldırıları önlemek için önemli olsa da, olayların %85'inde insan faktörleri hala çok önemli bir rol oynuyor. Kaspersky'nin BT karar vericilere yönelik küresel anketi, kuruluşların ve çalışanların bu konuda ne iş birliğine ne kadar hazır olduğuna ve kendilerini, müşterilerini ve birbirlerini ne kadar iyi koruduğuna ilişkin bilgiler sağlıyor.
Müşteri bilgilerinin çalınmasıyla ilişkili yüksek profilli veri ihlali vakalarına rağmen, çalışanların kişisel verileri siber suçlular arasında da oldukça popüler. 2021'de kuruluşların üçte birinden fazlası (%35) çalışanlarının verilerinin tam güvenliğini sağlayamadı ve bu tür bilgileri içeren olaylarla karşılaştı. Türkiye’de bu oran %42 oldu.
Etkilenen kuruluşların %45'inin kişisel çalışan verilerinin ihlalini kamuya açıklamaması, sorunun göründüğünden daha büyük olduğunun bir işareti (Türkiye için bu oran %19 ile küresel ortalamanın hayli ilerisinde). Geri kalanların %43'ü olayla ilgili bilgileri proaktif olarak paylaşırken (Türkiye’de %69), %12'si bunu medyaya sızdırıldıktan sonra yaptı (Türkiye’de oran aynı). Bu, kurumsal veya müşteri veri ihlallerine kıyasla bu tür sızıntının en az ifşa edilen sızıntı türü olduğunu gösteriyor.
Kaspersky Kurumsal İşlerden Sorumlu Genel Müdür Yardımcısı Evgeniya Naumova, sonuçları şöyle yorumluyor: "Bir kuruluş siber olayla karşı karşıya kaldığında doğru kriz iletişimi, müdahale ve kurtarma eylemleri kadar önemlidir. Veri ihlali riski her zaman vardır ve işletmeler bunu proaktif olarak açıklamanın basında ifşa etmekten daha iyi olduğunu kabul etmelidir. Uygun, doğru ve zamanında iletişim yalnızca potansiyel itibar zararını en aza indirmekle kalmaz, aynı zamanda doğrudan finansal kayıpları da büyük ölçüde azaltabilir. Panik veya karışıklığı önlemek için bir şirketin net bir kriz planı geliştirmeyi düşünmesi ve çalışanları önceden eğitmesi gerekir. Kurumsal iletişim uzmanları ve BT güvenlik ekipleri, siber güvenlik içgörüleri hakkında bilgi alışverişinde bulunmak ve acil bir durumda hem iç hem de dış iletişimleri doğru bir şekilde ele almaya yardımcı olabilecek kılavuzları, araçları, kanalları ve dili belirlemek için iş birliği yapmalıdır.”
Potansiyel siber güvenlik olayları hakkında harici bilgi eksikliği genellikle dahili çabalarla azaltılamaz. Araştırmaya göre, kuruluşların yalnızca %44'ü, çalışanlara önemli bilgiler verilmesini sağlamak için güvenlik eğitimi ve öğretimi uygulamış. Ayrıca bu şirketlerin yarısından fazlası (%64) bu hizmetlerin kalitesiyle ilgili en az bir sorunla karşılaştığını ifade ediyor. Bu, kursların karmaşasından doğan memnuniyetsizliği ve eğitimleri sunanların destek veya uzmanlık konusundaki eksikliğini içeriyor.
Koruyucu önlemlerin önemi hakkında temel bilgiler verilmeyen çalışanların kurallara uyması doğal olarak beklenemez. 2021'de BT güvenliği söz konusu olduğunda, personelin uyumluluğu ve yetersiz son kullanıcı güvenlik kültürüyle uğraşmak işletmeler açısından en büyük üç endişeden biri oldu. Ankete katılanların %42'si bunu en endişe verici konular arasında belirtti. Şirketler düzenli olarak bilgi güvenliği ihlalleri (%41), uygunsuz BT kaynağı kullanımı (%42) ve mobil cihazlar aracılığıyla verilerin uygunsuz paylaşımı (%38) durumuyla karşı karşıya kaldıklarını ifade etti. Türkiye’de bu oranlar sırasıyla %49, %51 ve %46 oldu.
İhlallerin önlenmesi, kurumsal sistemlerle etkileşime giren saldırganlar için potansiyel bir hedef olabilecek herkesin birlikte hareket etmesini gerektiriyor. Çalışanların güvenliğini güçlendirmek için şirketler, güvenilir koruyucu önlemleri ekipleri arasındaki güvenlik bilinciyle bir araya getirmelidir. Bunun için şu adımları uygulamak gerekir:
Saldırganların sisteme sızmasını önlemek için yazılımın hızlı bir şekilde yamalanmasını ve güncellenmesini sağlayın.
Hassas veriler için yüksek dereceli şifreleme uygulayarak güçlü kimlik bilgileri eşliğinde çok faktörlü kimlik doğrulamayı zorunlu kılın.
Erişim girişimlerini engellemek için tehdit algılama ve yanıt yetenekleriyle etkili uç nokta korumasını ve verimli saldırı araştırması ve uzman yanıtı için yönetilen koruma hizmetlerini kullanın.
Önemli verilere erişimi olan kişi sayısını en aza indirin. İhlaller, çok sayıda çalışanın gizli ve değerli bilgilerle çalıştığı kuruluşlarda meydana gelme olasılığı daha yüksektir.
Çalışanlarınızı ihtiyaç duydukları siber güvenlik becerileriyle donatın. Gerekli ve güncel tüm bilgileri ilgi çekici bir formatta sunan eğitimleri tercih edin. Zamandan tasarruf etmek ve kaliteli bir hizmet almak için şirketler, verimli bir öğrenme süreci sağlayabilecek, dünya çapında tanınmış hizmet ve eğitim sağlayıcılarla çalışmalıdır.
Başarılı bir kurumsal siber savunma, her düzeydeki çalışan güçlerini birleştirmeden mümkün olamayacak bir kavram. Teknoloji siber saldırıları önlemek için önemli olsa da, olayların %85'inde insan faktörleri hala çok önemli bir rol oynuyor. Kaspersky'nin BT karar vericilere yönelik küresel anketi, kuruluşların ve çalışanların bu konuda ne iş birliğine ne kadar hazır olduğuna ve kendilerini, müşterilerini ve birbirlerini ne kadar iyi koruduğuna ilişkin bilgiler sağlıyor.
Müşteri bilgilerinin çalınmasıyla ilişkili yüksek profilli veri ihlali vakalarına rağmen, çalışanların kişisel verileri siber suçlular arasında da oldukça popüler. 2021'de kuruluşların üçte birinden fazlası (%35) çalışanlarının verilerinin tam güvenliğini sağlayamadı ve bu tür bilgileri içeren olaylarla karşılaştı. Türkiye’de bu oran %42 oldu.
Etkilenen kuruluşların %45'inin kişisel çalışan verilerinin ihlalini kamuya açıklamaması, sorunun göründüğünden daha büyük olduğunun bir işareti (Türkiye için bu oran %19 ile küresel ortalamanın hayli ilerisinde). Geri kalanların %43'ü olayla ilgili bilgileri proaktif olarak paylaşırken (Türkiye’de %69), %12'si bunu medyaya sızdırıldıktan sonra yaptı (Türkiye’de oran aynı). Bu, kurumsal veya müşteri veri ihlallerine kıyasla bu tür sızıntının en az ifşa edilen sızıntı türü olduğunu gösteriyor.
Kaspersky Kurumsal İşlerden Sorumlu Genel Müdür Yardımcısı Evgeniya Naumova, sonuçları şöyle yorumluyor: "Bir kuruluş siber olayla karşı karşıya kaldığında doğru kriz iletişimi, müdahale ve kurtarma eylemleri kadar önemlidir. Veri ihlali riski her zaman vardır ve işletmeler bunu proaktif olarak açıklamanın basında ifşa etmekten daha iyi olduğunu kabul etmelidir. Uygun, doğru ve zamanında iletişim yalnızca potansiyel itibar zararını en aza indirmekle kalmaz, aynı zamanda doğrudan finansal kayıpları da büyük ölçüde azaltabilir. Panik veya karışıklığı önlemek için bir şirketin net bir kriz planı geliştirmeyi düşünmesi ve çalışanları önceden eğitmesi gerekir. Kurumsal iletişim uzmanları ve BT güvenlik ekipleri, siber güvenlik içgörüleri hakkında bilgi alışverişinde bulunmak ve acil bir durumda hem iç hem de dış iletişimleri doğru bir şekilde ele almaya yardımcı olabilecek kılavuzları, araçları, kanalları ve dili belirlemek için iş birliği yapmalıdır.”
Potansiyel siber güvenlik olayları hakkında harici bilgi eksikliği genellikle dahili çabalarla azaltılamaz. Araştırmaya göre, kuruluşların yalnızca %44'ü, çalışanlara önemli bilgiler verilmesini sağlamak için güvenlik eğitimi ve öğretimi uygulamış. Ayrıca bu şirketlerin yarısından fazlası (%64) bu hizmetlerin kalitesiyle ilgili en az bir sorunla karşılaştığını ifade ediyor. Bu, kursların karmaşasından doğan memnuniyetsizliği ve eğitimleri sunanların destek veya uzmanlık konusundaki eksikliğini içeriyor.
Koruyucu önlemlerin önemi hakkında temel bilgiler verilmeyen çalışanların kurallara uyması doğal olarak beklenemez. 2021'de BT güvenliği söz konusu olduğunda, personelin uyumluluğu ve yetersiz son kullanıcı güvenlik kültürüyle uğraşmak işletmeler açısından en büyük üç endişeden biri oldu. Ankete katılanların %42'si bunu en endişe verici konular arasında belirtti. Şirketler düzenli olarak bilgi güvenliği ihlalleri (%41), uygunsuz BT kaynağı kullanımı (%42) ve mobil cihazlar aracılığıyla verilerin uygunsuz paylaşımı (%38) durumuyla karşı karşıya kaldıklarını ifade etti. Türkiye’de bu oranlar sırasıyla %49, %51 ve %46 oldu.
İhlallerin önlenmesi, kurumsal sistemlerle etkileşime giren saldırganlar için potansiyel bir hedef olabilecek herkesin birlikte hareket etmesini gerektiriyor. Çalışanların güvenliğini güçlendirmek için şirketler, güvenilir koruyucu önlemleri ekipleri arasındaki güvenlik bilinciyle bir araya getirmelidir. Bunun için şu adımları uygulamak gerekir:
Saldırganların sisteme sızmasını önlemek için yazılımın hızlı bir şekilde yamalanmasını ve güncellenmesini sağlayın.
Hassas veriler için yüksek dereceli şifreleme uygulayarak güçlü kimlik bilgileri eşliğinde çok faktörlü kimlik doğrulamayı zorunlu kılın.
Erişim girişimlerini engellemek için tehdit algılama ve yanıt yetenekleriyle etkili uç nokta korumasını ve verimli saldırı araştırması ve uzman yanıtı için yönetilen koruma hizmetlerini kullanın.
Önemli verilere erişimi olan kişi sayısını en aza indirin. İhlaller, çok sayıda çalışanın gizli ve değerli bilgilerle çalıştığı kuruluşlarda meydana gelme olasılığı daha yüksektir.
Çalışanlarınızı ihtiyaç duydukları siber güvenlik becerileriyle donatın. Gerekli ve güncel tüm bilgileri ilgi çekici bir formatta sunan eğitimleri tercih edin. Zamandan tasarruf etmek ve kaliteli bir hizmet almak için şirketler, verimli bir öğrenme süreci sağlayabilecek, dünya çapında tanınmış hizmet ve eğitim sağlayıcılarla çalışmalıdır.
