Veri İhlali Sonrasında Atılması Ihtiyaç duyulan 10 Temel Adım

Günümüzde dünya genelindeki veri ihlalleri, vaka başına 4,2 milyon Amerikan dolarından daha fazlaya mal oluyor. Kuruluşlar dijital altyapılarını güçlendirirken, firmanın saldırı yüzeyini de genişletiyorlar. ABD’de 2021 yılının üçüncü çeyreğinde bildirilen ihlallerin sayısı, 2020 yılının tümünde bildirilenlerin sayısından daha çok. Averaj büyüklükteki bir kuruluşun veri ihlalini bulması ve ihlali denetim altına alması oldukça uzun sürüyor ve bunun günümüzde 287 gün sürdüğü tahmin ediliyor. Peki, ihlal alarmları çaldığında ne yapmak gerekir? ESET uzmanları dikkat edilmesi gerekenler ile ilgili şu detayları paylaştılar; 

Çağıl veri ihlallerinin öncüsü olan ve giderek yaygınlaşan fidye yazılım oyuncuları olayların daha da karmaşık hale gelmesine neden oluyor. 

1. Sakin olun

Veri ihlali, bir müessese açısından en oldukca baskı yaratan durumlardan biridir. Bilhassa bu vaka ana sistemleri şifreleyen ve ödeme talep eden fidye yazılım oyuncuları tarafınca gerçekleştiriliyorsa büyük baskı yaratır. Sadece, düşünmeden verilen tepkiler yarardan oldukca zarar getirebilir. Firmanın yeniden çalışır hale gelmesini sağlamak kuşkusuz oldukca önemlidir, fakat bu durumda bir yönteme bakılırsa hareket etmek dirimsel öneme haizdir. Vaka tepki planını devreye sokmalı ve mühim adımlar atmadan ilkin ihlalin kapsamını anlamalısınız.    

2. Vaka tepki planınıza uyun

Kuruluşun ihlale uğraması hakkında “ne süre olacak” değil, “eğer” bugün olursa ihtimalini ve vaka tepki planının siber güvenlikle ilgili en iyi uygulama bulunduğunu göz önünde bulundurmalısınız. Bunun için de gelişmiş bir planlama gerekir; ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) yada İngiltere Ulusal Siber Güvenlik Merkezi (NCSC) şeklinde kuruluşların rehberliğine başvurulabilir. Ciddi bir ihlal tespit edildiğinde, şirket genelinde paydaşların yer almış olduğu, evvel belirlenmiş bir vaka tepki ekibi, süreçler üstünde adım adım çalışmalıdır. Tertipli olarak bu planları kontrol etmek iyi fikirdir, bu sayede hepimiz hazırlıklı olur ve belgeler güncel tutulur.

3. İhlalin kapsamını değerlendirin

Başlıca bir güvenlik olayından sonraki en mühim adımlardan biri, firmanın ne kadar fena etkilendiğini anlamaktır. Bu sayede bildirimde bulunma ve düzeltme şeklinde ihlal sonrası eylemlerle ilgili data sahibi olmuş olursunuz. Fena amaçlı kişilerin sistemlere nasıl girdiğini ve saldırının “tesir çapının” ne kadar büyük bulunduğunu, şu demek oluyor ki bu kişilerin hangi sistemlere erişim sağladıklarını, hangi verilerin risk altında bulunduğunu ve bu kişilerin halen ağda olup olmadığını öğrenmelisiniz. Bu aşamada çoğu zaman üçüncü taraf adli bilişim uzmanları devreye girer.

4. Hukuk birimini dahil edin

Bir ihlalden sonrasında kuruluşunuzun bulunmuş olduğu noktayı bilmelisiniz. Yükümlülükleriniz neler? Hangi düzenleyici kuruluşların bilgilendirilmesi gerekir? Daha çok süre kazanmak için saldırganlarla pazarlık etmeli misiniz? Müşteriler ve/yada iş ortakları ne süre bilgilendirilmelidir? Şirket içi hukuk birimi, bu mevzuda ilk başvuracağınız yer olmalıdır. Sadece, siber vaka tepki alanındaki uzmanları da vakaya dahil edebilirsiniz. Hakikaten ne olduğuyla ilgili adli bilişim detayları bu aşamada dirimsel öneme haizdir, böylece bu uzmanlar bilgiye dayalı karar verebilir.

5. Ne süre, nasıl ve kime bildirimde bulunacağınızı bilin

GDPR (AB Genel Veri Koruma Regülasyonu) ve KVKK (Kişisel Verileri Koruma Kanunu) koşulları uyarınca mahalli düzenleyici, ihlal keşfedildikten sonrasında 72 saat içinde bilgilendirilmelidir. Sadece, bu durum bazı olaylar için lüzumlu olmadığından bu şekilde bir bildirim için minimum gerekliliklerin ne işe yaradığını idrak etmek önemlidir. Bu aşamada, ihlalin tesir çapıyla ilgili derinlemesine data önemlidir. Ne kadar verinin alındığını yada tehdit aktörlerinin sistemlere nasıl girdiğini bilmiyorsanız, düzenleyiciyi bilgilendirirken en kötüsünü varsaymalısınız. GDPR’nin oluşturulmasında mühim bir rol oynayan İngiltere Data Komisyonu Ofisi’nin (ICO) bu mevzuda yararlı kılavuzları bulunur. Bununla beraber, Kişisel Verileri Koruma Kurumu tarafınca hazırlanan Veri Güvenliği Rehberi de mevzuya ilişkin uygulanabilir ve anlaşılır bilgiler içeren, aydınlatıcı bir kaynaktır. İhlal bildirimlerine yönelik süreçleri ve örnekleri detaylı olarak incelemek isterseniz Kişisel Verileri Koruma Kurumu’nun ilgili sayfasını (https://www.kvkk.gov.tr/Icerik/5362/Veri-Ihlali-Bildirimi) da ziyaret edebilirsiniz.

6. Güvenlik birimlerine data verin

Düzenleyicilerle ilgili gereklilikler ne olursa olsun, bilhassa tehdit aktörlerinin halen ağınızda olduğu durumlar başta olmak suretiyle veri ihlallerinde güvenlik kurumlarının sizin yanınızda olması yararınıza olur. Mümkün olan en kısa sürede güvenlik kuruluşlarını vakaya dahil etmelisiniz. Mesela, fidye yazılım durumunda güvenlik kuruluşları, güvenlik sağlayıcılarla ve gizyazı çözme anahtarları ve risk önleme araçları sunan öteki üçüncü taraflarla iletişime geçmenizi sağlayabilir. 

7. Müşterilerinize, iş ortaklarınıza ve çalışanlarınıza açıklayın 

Bu, ihlal sonrasında yapılacaklar listenizde ne olursa olsun yer alması ihtiyaç duyulan öteki bir adımdır. Sadece yeniden altını çizmeliyiz ki bilgilendirmeniz ihtiyaç duyulan müşterilerin/çalışanların/iş ortaklarının sayısı, bu kişilere ne söyleyeceğiniz ve ne süre söyleyeceğiniz olayın ayrıntılarına ve neyin çalındığına bağlıdır. Ilk olarak kuruluşun bir vakası fark ettiğini ve şu an vakası araştırdığını belirten bir beyanı iletin. Sadece bu konudaki söylentiler hızla yayılacağından, kısa bir süre sonrasında daha çok detay paylaşmanız gerekir. BT, Halkla İlişkiler ve Hukuk birimleri, bu mevzuda birbiriyle yakın temas halinde çalışmalıdır.

8. Kurtarma ve düzeltme çalışmalarına başlayın

Saldırının kapsamı belirlendikten ve adli bilişim/vaka cevap ekipleri tehdit aktörlerinin artık ağa erişim sağlamadığından güvenilir olduktan sonrasında işleri yeniden yoluna koyma vakti gelmiştir. Bu, sistemleri yedekten geri yükleme, ihlale uğrayan makineleri tekrardan görüntüleme, etkilenen uç noktaları yamalama ve şifreleri sıfırlama anlamına gelebilir. 

9. Gelecekte olabilecek saldırılar için sağlam bir yapı meydana getirmeye başlayın

Tehdit oyuncuları bilgiyi çoğu zaman siber kabahat yer altında paylaşıyor. Ek olarak kurban durumuna düşen kuruluşların birkaç kez daha ihlale uğraması giderek artıyor. Bunun için bilhassa fidye yazılım kullanılıyor. Bu sebeple, tehdit idrak etme ve tepkinin yanı sıra adli bilişim araçlarından elde edilmiş detayları kullanmak her zamankinden daha önemlidir. Böylece, ilk seferinde saldırganların kullandığı tüm yolların gelecekteki saldırılarda yeniden kullanılmayacağından güvenilir olabilirsiniz. Bu durum, yama ve gizyazı yönetiminde iyileştirme, daha iyi güvenlik farkındalığı eğitimi, oldukca faktörlü kimlik doğrulaması (MFA) uygulaması yada insanoğlu, süreçler ve teknoloji mevzusunda daha karmaşık değişimler anlamına gelebilir.

10. En fena vaka tepkisini inceleyin

Vaka tepki yapbozundaki son unsur, deneyimlerden ders çıkarmaktır. Yukarıda değinildiği suretiyle gelecek için daha sağlam bir yapı oluşturmanız bunun bir parçasıdır. Ek olarak, başka örnekleri de inceleyebilirsiniz. Geçmişteki veri ihlalleri içinde, zayıf tepki verilmiş birçok yüksek profilli vaka bulunur. Oldukça gündem olan bir vakada, ihlale uğrayan bir firmanın kurumsal Twitter hesabından, firmanın ihlale cevap sitesinin bağlantısıyla karıştırıldığından dört kez kimlik avı bağlantısı tweetlendi. Başka bir vakada, İngiltere’nin başlıca telekomünikasyon şirketlerinden biri tutarsız bilgiler yayınladığı için ağır eleştirilere maruz kaldı.

Ne olursa olsun, müşteriler iş yaptıkları kuruluşların güvenlik olaylarıyla karşılaşacağının gittikçe daha çok bilincinde. Sizinle çalışmaya devam etmeleri yada etmemeleri ise bu olaylara nasıl tepki verdiğinizin yanı sıra maddi ve tinsel zarara bağlıdır.