Yakın vakitte yapılan bir araştırmaya nazaran, dağıtık iş gücüne yönelik artan eğilim nedeniyle şirketlerin, çalışanları tarafından gölge BT kullanımı nedeniyle siber olayların gayesi olma riski artıyor. Kaspersky tarafından yapılan araştırmaya nazaran, Türkiye’deki şirketlerin %73’ü yesyeni iki yılda siber olaylara maruz kaldı ve bunların %6’sı gölge BT kullanımından kaynaklandı.
Yakın vakitte yapılan bir Kaspersky araştırması[1], taze iki yılda dünya çapındaki şirketlerin %11’inin çalışanlar tarafından gölge BT kullanımı nedeniyle siber olaylara maruz kaldığını gösterdi. Türkiye’de bu oran %6 oldu. Gölge BT kullanımının yepyeniuçları ciddiyet sabah yemeğitan ölmeısından farklı olabiliyor. Lakin ister bir modül zımnî bilginin sızdırılması olsun isterse de iş dünyasında somut bir hasar olsun,yeniuçlarını kesinlikle önemsemek gerekiyor.
Gölge BT nedir?
Gölge BT, şirketin BT altyapısının BT ve bilgi güvenliği departmanlarının yetki alanı dışında kalan, yani uygulamalar, aygıtlar, genel bulut hizmetleri üzere bilgi güvenliği siyasetlerine uygun olarak kullanılmayan kısmıdır. Gölge BT’nin konuşlandırılması ve işletilmesi işletmeler için önemli zararlıyeniuçlara yol açabiliyor. Kaspersky’nin çağdaş araştırmasına nazaran, 2022 ve 2023 yıllarında gölge BT’nin yetkisiz kullanımı nedeniyle meydana gelen siber olayların %16’sına maruz kalan bölümler ortasında en çok etkilenen, BT kesimi oldu. Araştırma, bir dizi örnek ile bu durumu yoksulıkça ortaya koyuyor. Meseleden etkilenen öbür bölümler ise, %13 ile kritik altyapısı ile nakliyecilik ve lojistik oldu.
Okta raporunun son olayı, gölge BT kullanımının tehlikelerini toksuzıkça deliller nitelikte. Bu yıl şirkete ilişkin aygıtta ferdî Google hesabı kullanan bir çalışan, istemeden de olsa tehdit aktörlerinin Okta’nın müşteri dayanak sistemine yetkisiz erişimtemizasına müsaade verdi. Bu bireyler daha modernra ataklarını gerçekleştirmek için kullanılabilecekbitkiurum belirteçlerini içeren belgeleri ele geçirmeyi başardılar. Okta’nın raporuna göre bu siber olay 20 gün sürdü ve 134 şirketin müşterisini etkiledi.
‘Bulanık gölgelerin’ ana sınırlarını çizmek
Peki gölge BT’yi ararken nelere dikkat etmelisiniz? Bunlar, çalışan bilgisayarlarına yüklenen yetkisiz uygulamalar, istenmeyen flash şoförler, cep telefonları, dizüstü bilgisayarlar vb. olabiliyor. Ancak bu bahiste daha az dikkat çeken birtakım örnekler de var. Bunun bir örneği, BT altyapısının tazeizasyonu yahut ilkden düzenlenmesinden modernra kalan terk edilmiş donanımlar. Bu donanımlar öteki çalışanlar tarafından ‘gölgede’ kullanılabiliyor ve er ya da geç şirketin altyapısına girecek güvenlik açıkları edinebiliyor.
BT uzmanları ve programcılar, birden fazla vakit olduğu üzere, bir ekip/departman içindeki çalışmayı optimize etmek yahut dahili sıkıntıları, işi daha tez ve daha verimli hale getirmek için kendilerine özel programlar oluşturabiliyor. Lakin, bu programları kullanmak için her vakit bilgi güvenliği departmanından yetki istemezler ve bu durum yepisyeni derecekötüyeniuçlara yol acıkmışabiliyor.
Kaspersky Bilgi Güvenliği Başkanı Alexey Vovk, mevzuyla ilgili olarak şu bilgileri paylaşıyor: “BT departmanı tarafından onaylanmayan uygulamaları, aygıtları yahut bulut hizmetlerini kullanan çalışanlar, bu BT eserleri sağlam sağlayıcılardan geliyorsa korunduklarına ve inançta olduklarına inanırlar. Fakat, üçüncü taraf sağlayıcılar ‘şartlar ve koşullarda’ kelamda ‘paylaşılan sorumluluk modeli’ kullanmaktadır. Buna nazaran, kullanıcılar ‘Kabul ediyorum’ seçeneğini seçerek bu yazılımın sistemli güncellemelerini yapacaklarını ve bu yazılımın kullanımıyla ilgili olaylarda (kurumsal bilgi sızıntıları entelektüell) sorumluluğu üstleneceklerini onaylamaktadır. Fakat günün yepyeniunda işletmeler, çalışanlar tarafından kullanıldığında gölge BT’yi denetim etmek için ar iştahlılara ihtiy sabah yemeğitan ölme duyar. Kaspersky Endpoint Security for Business ve Kaspersky Endpoint Security Cloud, istenmeyen uygulamaların, web sitelerinin ve etraf ünitelerinin kullanımını sınırlayan uygulama, web ve aygıt denetimi fonksiyonlarıyla bu denetimi sunar. Bilgi güvenliği departmanının, denetimsiz ve inançlı olmayan donanım, hizmet ve yazılım uygulamalarının yetkisiz kullanımını önlemek için şirketlerinin iç ağını nizamlı olarak taraması gerekir.”
Genel olarak, gölge BT’nin yaygın kullanımıyla ilgili durum, birçok kuruluşun çalışanlarının bu mevzudaki BT siyasetlerine karşı gelmelerinin bir modernucu olarak ziyan görecekleri rastgele bir belgelenmiş yaptırıma sahip olmaması nedeniyle karmaşık bir hal alıyor. Dahası, gölge BT’nin 2025 yılına kadar kurumsal siber güvenliğe yönelik en değerli tehditlerden biri haline gelebileceği varsayılıyor. Uygun haber şu ki, çalışanların gölge BT kullanma motivasyonu her vakit yeterli değilcül niyetli değil, hatta birden fazla vakit tam aksisi. Birçok durumda çalışanlar bunu, müsaade verilen yazılım setinin mikrobik olduğuna inandıkları ya da yalnızca şahsî bilgisayarlarındaki tanıdık programı tercih ettikleri için iş yerinde kullandıkları eserlerin fonksiyonelliğini genişletmek için bir seçenek olarak kullanıyor.
Kaspersky, kurumlarda gölge BT kullanımının risklerini azaltmak için şunları öneriyor:
- İşletmenin ihtiy iştahlı duyduğu yesyeni BT hizmetlerini oluşturmak ve mevcut BT hizmetlerini sağlamleştirmek maksadıyla orijinal iş ihtiy toksuzlarını sistemli olarak çekişmek, kullanılan BT hizmetleri hakkında geri bildirim almak için işletme ve BT departmanları ortasında işbirliğini sağlayın.
- Kontrolsüz donanım ve hizmetlerin ortaya çıkmasını önlemek için tertipli olarak BThayvanlarının envanterini çıkarın ve dahili ağınızı tarayın.
- Kişisel çalışan aygıtları kelam konusu olduğunda, kullanıcılara sırf işlerini yapmak için ihtiy iştahlı duydukları kaynaklara mümkün olduğunca sonlu erişim vermek en mükemmelsidir. Sadece yetkili aygıtların ağa girmesine müsaade verecek bir erişim denetim sistemi kullanın.
- Çalışanların bilgi güvenliği okuryazarlığını geliştirmek için eğitim programları uygulayın. Çalışanlar ortasında güvenlik farkındalığını artırmak için onları inançlı internet davranışını öğreten Kaspersky Automated Security Awareness Platform eğitim programı ile eğitin.
- BT güvenlik uzmanları için ilgili eğitim programlarına yatırım yapın. Kaspersky Cybersecurity for IT Online eğitimi, genel BT yöneticileri için BT güvenliğiyle ilgili rahat lakin tesirli en ülkü uygulamaların ve kolay olay müdahale senaryolarının oluşturulmasına yardımcı olurken Kaspersky Expert Training, güvenlik takımınızı tehdit idaresi ve azaltma konusunda en birinci bilgi ve hünerlerle donatır.
- Kurumunuzda gölge BT kullanımını denetim etmenizi sağlayan eser ve tahlilleri kullanın. Kaspersky Endpoint Security for Business ve Kaspersky Endpoint Security Cloud, istenmeyen uygulamaların, web sitelerinin ve etraf ünitelerinin kullanımını sınırlayan uygulama, web ve aygıt denetimleri sunarak çalışanların gölge BT kullandığı yahut siber güvenlik alışkanlıklarının olmaması nedeniyle kusur yaptığı durumlarda bile bulaşma risklerini kıymetli ölçüde azaltır.
- Terk edilmiş aygıt ve donanımları ortadan kaldırmak için nizamlı olarak BT canlılarının envanterini çıkarın.
- BT’nin ve hasebiyle bilgi güvenliği uzmanlarının bunları vaktinde öğrenebilmesi için kendi yazdıkları tahlilleri yayınlamak üzere merkezi bir süreç düzenleyin.
- Çalışanların üçüncü taraf harici hizmetlerle çalışmalarını sonlandırın ve mümkünse en tanınan bulut bilgi alışverişi kaynaklarına erişimi engelleyin.
Kaynak: (BYZHA) Beyaz Haber Ajansı
