BULUT GÜVENLİĞİNİ SAĞLAYAMAYAN İŞLETMELER HER AN DOLUYA TUTULABİLİR…

Dijital dönüşüm kaçınılmaz. Ancak bunu yaparken olası riskleri göz ardı etmemek gerekiyor. İşletmelere büyük fayda sağlayan bulut sistemlerinde oluşacak güvenlik boşlukları telafisi zor zararlara zemin hazırlayabiliyor. Peki, bu boşluklar nasıl öngörülebilir ve hangi çözüm yolları devreye sokulabilir?

Araştırmalara göre KOBİ’lerin yüzde 53’ü bulut sistemleri için yıllık 1,2 milyon dolardan fazla kaynak ayırıyor. Ancak dijital dönüşüm riskleri de beraberinde getiriyor. Siber güvenlik şirketi ESET, KOBİ’lerin yaptığı “en önemli yedi bulut güvenliği hatasına” ve “doğru bulut güvenliğinin” nasıl sağlanabileceğine ilişkin kamuoyunu bilgilendirdi.

EN ÖNEMLİ BULUT HATALARI…
-Çok faktörlü kimlik doğrulama (MFA) kullanmamak: Statik parolalar doğası gereği güvensizdir. Her işletme sağlam bir parola oluşturma politikasına bağlı kalmaz. Parolalar kimlik avı, kaba kuvvet yöntemleri veya basitçe tahmin gibi çeşitli yollarla çalınabilir. Bu nedenle MFA, saldırganların kullanıcılarınızın SaaS, IaaS veya PaaS hesap uygulamalarına erişmesini çok daha zor hale getirecek ve böylece fidye yazılımı, veri hırsızlığı ve diğer olası sonuç risklerini azaltacaktır. Diğer bir seçenek de mümkünse parolasız kimlik doğrulama gibi alternatif kimlik doğrulama yöntemlerine geçmektir.

-Bulut sağlayıcısına (CSP) çok fazla güvenmek: Birçok BT lideri buluta yatırım yapmanın her şeyi güvenilir bir üçüncü tarafa yaptırmak anlamına geldiğine inanıyor. Bu kısmen doğru. Bulutun güvenliğini sağlamak için CSP ve müşteri arasında paylaşılan bir sorumluluk modeli var. Nelere dikkat edilmesi gerektiği bulut hizmetinin türüne (SaaS, IaaS veya PaaS) ve CSP’ye bağlı. Sorumluluğun çoğu sağlayıcıda olsa bile ek üçüncü taraf kontrollerine yatırım işe yarayabilir.

-Başarısız yedekleme: Bulut sağlayıcının (örneğin dosya paylaşma, depolama hizmetleri için) arkada olduğu varsayılmamalı. Her zaman en kötü senaryo için planlama faydalı olacaktır; bu senaryo büyük olasılıkla bir sistem arızası ya da siber saldırıdır. Kuruluşları etkileyecek olan yalnızca veri kaybı değil, aynı zamanda bir olayın ardından gelebilecek kesinti süresi ve üretkenlik darbesidir.

-Düzenli yama yapmamak: Yama yapılmayan bulut sistemleri güvenlik açığı istismarına maruz bırakılmış olur. Bu da kötü amaçlı yazılım bulaşmasına, veri ihlallerine ve daha fazlasına neden olabilir. Yama yönetimi, şirket içinde olduğu kadar bulutta da geçerli olan temel bir en iyi güvenlik uygulamasıdır.

-Yanlış bulut yapılandırması: Bulut sağlayıcıları yenilikçi bir gruptur. Ancak müşteri geri bildirimlerine yanıt olarak sundukları çok sayıda yeni özellik ve yetenek, birçok KOBİ için inanılmaz derecede karmaşık bir bulut ortamına oluşturabilir. Bu da hangi yapılandırmanın en güvenli olduğunu bilmeyi çok daha zor hale getirir. Bulut depolamayı herhangi bir üçüncü tarafın erişebileceği şekilde yapılandırmak ve açık portları engellememek de yaygın hatalar arasındadır.

-Bulut trafiğinin izlenmemesi: Günümüzde bulut ortamınızın ihlal edilmesinin “eğer” değil “ne zaman” gerçekleşeceğinin önemli olduğu yaygın bir görüştür. Bu durum, işaretleri erkenden tespit etmek ve bir saldırıyı kurumu etkileme şansı bulmadan önce kontrol altına almak için hızlı tespit ve müdahaleyi kritik hale getirmektedir. Bu da sürekli izlemeyi bir zorunluluk haline getirir.

-Kurumsal verileri şifrelemede başarısız olmak: Hiçbir ortam yüzde 100 ihlal edilemez değildir. Peki kötü niyetli bir taraf en hassas dahili verilere veya yüksek düzeyde düzenlenmiş çalışan veya müşteri kişisel bilgilerine ulaşırsa ne olur? Veriler olduğu yerde ve aktarım sırasında şifrelenirse, ele geçirenler tarafından kullanılamaz.

DOĞRU BULUT GÜVENLİĞİ İÇİN NELER YAPILMALI?
-Dünyanın önde gelen bulut sağlayıcılarınca sunulan bulut hizmetlerindeki güvenlik özelliklerine ilaveten e-posta, depolama ve iş birliği uygulamaları için bulut güvenliğini ve korunmasını geliştirmek amacıyla üçüncü taraf güvenlik çözümlerine yatırım yapılmalı.
-Hızlı olay müdahalesi ve ihlalin kontrol altına alınması veya iyileştirilmesi için genişletilmiş, yönetilen tespit ve müdahale (XDR/MDR) araçları eklenmeli.
-Güçlü varlık yönetimi üzerine inşa edilmiş sürekli risk tabanlı bir yama programı geliştirilmeli ve uygulanmalı. (Hangi bulut varlıklarına sahip olunduğu bilinmeli ve ardından bunların her zaman güncel olmasını sağlanmalı.)
-Kötü niyetli kişilerin eline geçse bile korunmasını için bekleyen (veri tabanı düzeyinde) ve aktarılan veriler şifrelenmeli. Bu aynı zamanda etkili ve sürekli veri keşfi ve sınıflandırması gerektirecektir.
-Net bir erişim kontrol politikası tanımlanmalı. Ggüçlü parolalar, MFA, en az ayrıcalık ilkeleri ve belirli IP’ler için IP tabanlı kısıtlamalar/izin listeleri zorunlu kılınmalı.
-Ağ segmentasyonu ve diğer kontrollerin yanı sıra yukarıdaki unsurların çoğunu (MFA, XDR, şifreleme) içerecek bir Sıfır Güven yaklaşımını benimsenmeli.