Veri Güvenliği: İki Vaka, Üç Ders

Güvenlik yatırımını gerekçelendirmek zordur, çünkü işe yaradığında hiçbir şey olmaz. Bu yüzden en ikna edici argüman, işe yaramadığında ne olduğunu gösteren vakalardır. İkisine bakalım.

Equifax, 2017: yama vardı, uygulanmadı

Apache Struts adlı yaygın bir web çatısında kritik bir açık (CVE-2017-5638) bulundu ve 6 Mart 2017'de düzeltmesi yayınlandı. Kredi derecelendirme şirketi Equifax bu yamayı uygulamadı. Saldırganlar sisteme 10 Mart'ta girdi ve şirket durumu ancak 29 Temmuz'da fark etti. Arada 78 gün var.

Olayın en çarpıcı ayrıntısı şu: şirketin ağ trafiğini izleyen güvenlik aracı, süresi dolmuş bir sertifika yüzünden devre dışı kalmıştı. Yani saldırı sırasında sistemin gözü kapalıydı. Sonuçta yaklaşık 147 milyon kişinin verisi ele geçirildi.

İhlali her zaman önleyemeyebilirsiniz. Ama olduğunu fark edemiyorsanız, asıl sorun budur.

— Güvenlik denetimi pratiğinin temel ilkesi

Maersk, 2017: yedeklerin de şifrelendiği gün

Aynı yıl, dünyanın en büyük konteyner taşımacılığı şirketlerinden Maersk, NotPetya adlı zararlı yazılımdan etkilendi. Şirketin 600'ü aşkın lokasyondaki sistemleri ve işlettiği 76 limandaki terminaller durdu. Maersk olayın maliyetini 250–300 milyon dolar aralığında açıkladı.

Buradaki ders farklı: Maersk'in yedekleri vardı, ama zararlı yazılım ağ üzerinden yayıldığı için yedek sistemler de etkilendi. Yani yedek almak yetmiyor; yedeğin ana ağdan yalıtılmış olması gerekiyor.

Üç somut ders

1. Yama takibi bir süreç olmalı, hatırlamaya bırakılmamalı. Hangi bileşenin hangi sürümde olduğunu bilmiyorsanız, hangi açığın sizi ilgilendirdiğini de bilemezsiniz.
2. İzleme sisteminin kendisi de izlenmeli. Equifax'ta gözü kapatan şey saldırı değil, süresi dolmuş bir sertifikaydı. Kimse fark etmedi çünkü kimse izleme aracının sağlığını izlemiyordu.
3. Yedek, ana ağdan kopuk olmalı. Ağa bağlı bir yedek, saldırgan için sadece ikinci bir hedeftir.

Olay müdahale planı: kâğıt üzerinde kalmasın

Her iki vakada da ortak bir nokta var: kriz anında ne yapılacağı önceden kararlaştırılmamıştı. Oysa ihlal anı, plan yazmak için en kötü zamandır. Asgari bir müdahale planının cevaplaması gereken sorular şunlar:

1. Şüpheli bir durumu ilk fark eden kişi kimi arayacak? Mesai dışında bu numara çalışıyor mu?
2. Sistemi kim kapatma yetkisine sahip? Bu karar için kaç kişinin onayı gerekiyor?
3. Hangi kayıtlar toplanacak ve nerede saklanacak? Saldırgan kayıtları silerse ne olacak?
4. Müşterilere ve yasal mercilere kim, ne zaman bildirecek?

Son madde yasal olarak da bağlayıcı. GDPR, bir veri ihlalinin fark edilmesinden itibaren 72 saat içinde yetkili makama bildirilmesini zorunlu kılıyor. KVKK tarafında da Kurul, bildirimin en kısa sürede ve pratikte 72 saati aşmayacak şekilde yapılmasını bekliyor. Equifax örneğinde ihlalin fark edilmesi bile 78 gün sürmüştü — bildirim süresi ancak fark ettikten sonra işlemeye başlar.

En zayıf halka genellikle teknik değil

Katmanları konuşurken gözden kaçan gerçek şu: saldırıların önemli bir kısmı sistemi kırarak değil, birini ikna ederek başlıyor. Sahte bir fatura e-postası, acele ettiren bir yönetici mesajı, tanıdık görünen bir giriş ekranı. Bu yüzden teknik katmanların yanına iki şey daha eklemek gerekiyor:

• Düzenli farkındalık eğitimi — yılda bir kez izlenen sunum değil, gerçek örneklerle yapılan kısa ve sık tekrarlar.
• Ceza yerine bildirim kültürü — şüpheli bir bağlantıya tıkladığını söyleyen çalışan ödüllendirilmeli. Söylemekten çekindiği her dakika, saldırganın kazandığı zamandır.

Katmanlı savunma neye benzer?

Tek bir önleme güvenmek, kapıyı çelik yapıp pencereyi açık bırakmaya benziyor. Ciddi sistemler katmanlı kurulur ve her katman bir diğerinin başarısız olacağını varsayar:

• Ağ katmanı — kimin bağlanabileceğini sınırlar: IP kısıtı, oran sınırlama, bot koruması.
• Kimlik doğrulama — kim olduğunu ispatlar: güncel hash algoritması, iki adımlı doğrulama, oturum yönetimi.
• Yetkilendirme — ne yapabileceğini sınırlar: rol bazlı erişim ve en az yetki ilkesi.
• Şifreleme — diğer üçü aşılsa bile veriyi okunamaz kılar: hem aktarımda hem durağan halde.
• Kayıt tutma — bir şey olduğunda "ne zaman ve nereden" sorusunu yanıtlar.

KVKK ve GDPR uyumluluğu bu katmanların çoğunu zaten zorunlu kılıyor. Ama uyumluluk yalnızca ceza riskini azaltmaz: bir ihlalde şirketlerin yaşadığı itibar kaybı, çoğu zaman doğrudan finansal kayıptan büyük oluyor. Katmanlı savunma bu yüzden bir maliyet kalemi değil, sigortadır.