İş ortakları ve alt yüklenicileri için belirli veri kullanımı talimatları oluşturan kurumsal şirketlerin yaklaşık dörtte üçü (%71), bilgi paylaşımı yaptıkları tedarikçiyi etkileyen vakalar sonrasında tazminat alabildi. Talimat oluşturmayan kurumsal şirketlerin ise yalnızca %22’si benzer bir durumda tazminat alabildi. Kaspersky’nin BT güvenliği liderleri arasında yaptığı ankette bu ve bunun gibi ilginç sonuçlar elde edildi.
Gartner tarafından yapılan bir araştırmaya göre, kurumların %71’i üç yıl öncesine göre ağlarında çok daha fazla üçüncü tarafla birlikte çalışıyor. Bu sayının önümüzdeki üç yıl içinde daha da artması bekleniyor. Şirketler, yapmaları gereken işleri tamamlaması için alt yüklenicilerin hassas verilere ve BT varlıklarına erişmesine izin veriyor.
Kaspersky BT Güvenliği Ekonomisi raporu, kurumsal şirketlerin %79’unun iş ortaklarına ve tedarikçilere, paylaşılan kaynaklar ve veri ile nasıl çalışmalarını gerektiğini açıklayan ve kurallara uyulmadığı takdirde alacakları cezaları belirten özel prosedürler uyguladığını ortaya çıkardı. Ankete göre vakaların ortalama maliyetinin 2,57 milyon $ olması, şirketlerin bu endişelerinde haklı olduğunu gösteriyor. Veri sızıntıları, kurumsal şirketlerin karşılaştığı en yüksek maliyetli ilk üç sorun arasında yer alıyor. Kaspersky araştırmacıları bugüne kadar aralarında ShadowPad’in de yer aldığı çok sayıda gelişmiş tedarik zinciri saldırı tespit etmişti.
İş ortaklarına belirli prosedürler uygulamanın en önemli faydaları arasında, konuya dahil olan tarafların sorumluluklarının tam olarak belirlenmesi yer alıyor. Ayrıca tedarikçilerden biri saldırının giriş noktası olduğu takdirde şirketin bundan tazminat alma ihtimalini de artırıyor. Üçüncü taraflara belirli talimatlara uyma zorunluluğu getiren kurumsal şirketlerin %71’i bir vaka yaşandığında maddi tazminat alabildiğini belirtirken, böyle bir zorunluluk uygulamayan şirketlerde ise bu oran %22’de kaldı. Bu gibi talimatlar KOBİ’lerin de tazminat alma ihtimalini artırıyor. Örneğin, alt yüklenicilerine prosedür uygulayan KOBİ’lerin %68’i vaka sonrasında ödeme alırken uygulamayanların ancak %28’i alabiliyor.
Öte yandan, ankette veri sızıntıları için düzenlenen kuralların tedarik zinciri saldırılarını azaltıp azaltmadığına dair bir sonuç ise elde edilemedi. Üçüncü taraflar için özel BT politikaları uygulayan kurumsal şirketlerin %24’ü, tedarikçileri etkileyen bir siber güvenlik vakası nedeniyle veri sızıntısıyla karşı karşıya kaldı. Kural uygulamayan şirketlerin ise yalnızca %9’u böyle bir saldırıyla karşılaştı.
Kaspersky B2B Ürün Pazarlama Müdürü Sergey Martsynkyan, konuyla ilgili şöyle konuştu;
“Özel kurallar belirleyen kurumsal şirketlerin tedarik zinciri saldırılarıyla daha sık karşılaştığını ortaya çıkaran anketin sonuçları kafa karıştırıcı olabilir. Ancak çok sayıda üçüncü tarafla birlikte çalışan şirketlerin bu konuya daha fazla dikkat etmesi ve belirli kurallar uygulaması gerektiğini söyleyebiliriz. Çok fazla alt yükleniciyle çalışmak veri sızıntısı olasılığını artırabilir. Ayrıca, üçüncü taraflar için kurallar belirleyen kurumlar sızıntıların nedenlerini daha iyi anlayabilir.”
Kaspersky, tedarik zinciri saldırılarından korunmak isteyen kurumlara şu güvenlik önlemlerini almalarını tavsiye ediyor:
- İş ortaklarınızın ve tedarikçilerinizin listesini güncel tutun ve bunların erişebildikleri verileri düzenli olarak kontrol edin. Yalnızca işlerini yapabilmeleri için gereken kaynaklara erişebildiklerinden emin olun. Şirketinizle birlikte çalışmayan kurumların dışarıda bırakıldığını, verilere ve varlıklara erişemediğini doğrulayın.
- Üçüncü taraflara uymaları gereken kuralları, uyumluluk ve güvenlik gereksinimlerini iletin.
