Salgın dönemi ile birlikte çalışma hayatında birçok şey değişti. İş insanları ve akademisyenler yeni, verimli ve güvenli çalışma modelleri geliştirmeye çalışıyorlar. Şirketler için salgın sonrası normal, daha esnek çalışma durumlarını desteklemek üzere dijital teknolojinin giderek daha fazla kullanılması anlamına geliyor. Siber güvenlik kuruluşu ESET bu yeni dönemin güvenlik stratejilerini inceledi. Hibrit çalışma ve Zero Trust (Sıfır Güven) yaklaşımlarını değerlendirdi.
Twitter ve Facebook gibi teknoloji şirketleri, bazı çalışanlarının kalıcı olarak evden çalışmaya devam edeceğiyle ilgili bilgilendirmede bulunsa da birçok çalışan için gerçekte bu durum pek mümkün değil. Şirketlerin %60’ından daha fazlası, hibrit iş yerini uygulamaya koymayı planlıyor. Bu çalışma biçiminde çalışanlar haftanın bazı günlerinde evde bazı günlerinde ise ofiste çalışacak. Ancak hibrit iş yerinde güvenlik zorlukları ile ilgili bu durum yeni siber riskleri de beraberinde getirecek. ESET uzmanları dikkat edilmesi gerekenleri ve nedenlerini inceledi.
Hibrit iş yerini korumayla ilgili zorluklar
Günümüzde bilgi güvenliği yöneticileri, müşteri verilerini hırsızlıktan ve şirket içi kritik önem taşıyan sistemleri hizmet kesintilerinden koruma konusunda büyük bir baskı altında. Giderek artan güvenlik harcamalarına rağmen, güvenlik ihlalleri artmaya devam ediyor. Uzaktan çalışmanın büyük ölçüde artması ve günümüzde hibrit iş yeri kavramının oluşmasıyla birlikte tehdit aktörleri avantajlı konuma geçiyor. Kuruluşlar için risk oluşturan unsurlar;
- Kimlik avı bağlantılarına tıklamaya daha yatkın olan dikkati dağılmış, evden çalışanlar
- Potansiyel olarak güvenliğe sahip olmayan kişisel dizüstü bilgisayarlardan, mobil cihazlardan, ağlardan ve akıllı ev cihazlarından çalışan uzaktan çalışanlar
- Ev sistemlerindeki ihlallere açık VPN’ler ve diğer yamasız yazılımlar
- Daha önceki sızıntılar veya kırması kolay parolalar dolayısıyla kolaylıkla ele geçirilebilecek zayıf şekilde yapılandırılmış RDP uç noktaları.
- Zayıf erişim kontrollerine (zayıf şifreler ve çoklu kimlik doğrulamanın bulunmaması) sahip bulut hizmetleri
Neden Sıfır Güven Yaklaşımı
2009 yılında Forrester yeni bir bilgi güvenlik modeli geliştirdi. Sıfır Güven Modeli adı verilen bu model, ortaya çıktığı günden bu yana geniş çapta kabul görüyor ve benimseniyor. Mevcut tüm güvenlik kaynakları kullanılarak, bu güvenlik ağının içerisindeki her şeye güven duyulan eski anlayışın artık geçerli olmadığı bir dünya için tasarlandı. Dağınık çalışmanın ve bulutun yaygınlaşması sayesinde artık böyle bir dünyada yaşıyoruz. Bu eski anlayışın aksine Sıfır Güven modeli sızıntıların etkisini azaltmak için “asla güvenme, her zaman doğrula” felsefesi üzerine kurulu. Uygulamada üç temel ilke bulunuyor.
1-Tüm ağlar güvenilmez olarak düşünülmelidir
- Ev ağları, halka açık Wi-Fi ağları (örneğin havalimanları ve kahve dükkanları) ve şirket içi kurumsal ağlar bile buna dahildir. Tehdit aktörleri, güvenli yerlerin bulunduğuna dair bizi ikna etme konusunda oldukça kararlıdır.
2-En az ayrıcalık
- Hiçbir ağa güvenemiyorsak, dolayısıyla kullanıcılar da güvenilmezdir. Bir hesabın ele geçirilmediğini veya bir kullanıcının kötü amaçlı bir iç tehdit olmadığını garanti edemeyiz. Bu nedenle çalışanlara işlerini düzgün bir şekilde yerine getirmelerine yetecek kadar ayrıcalık tanımak, ardından erişim haklarını düzenli olarak gözden geçirmek ve artık çalışanla ilgili olmayan ayrıcalıkları kaldırmak önemlidir.
3-Sızıntı olduğunu varsayın
- Her gün yeni bir güvenlik sızıntısıyla ilgili haberler duyuyoruz. Sürekli alarm halinde olarak kuruluşlar sağlam bir Sıfır Güven mantığıyla savunmalarını geliştirmeye devam etmeli ve bu konuda uyanık davranmalıdır. Sızıntılar kaçınılmazdır, ancak etkileri azaltılabilir.