Günümüzde birçok şirket, ağ sunucularında, bilgisayarlarında, dizüstü bilgisayarlarında, mobil cihazlarında veya bulutta depolanan verilere tamamen bağımlı durumda. Bu verilerin bir kısmı muhtemelen kişisel bilgiler ve/veya gizli şirket bilgileri içermektedir.
Burada, bilgisayar sistemlerinizin güvenliğini gözden geçirirken dikkate almanız gereken bazı konulara ve veri kaybı risklerini nasıl en aza indireceğinize bakıyoruz. Bulutta veri depolayan veya bir tür dış kaynak kullananlar için ek hususları kapsayan ilgili bir bilgi broşürümüz de bulunmaktadır.
Son dönemde, büyük miktarda kişisel bilginin kamuoyuna sızdığı birçok önemli veri kaybı olayı yaşandı. Bunlar arasında sağlık kayıtları, finansal kayıtlar ve çalışan bilgileri yer alıyor.
Ticari bir kuruluş ayrıca verilerin bir rakibe kaptırılması gibi ek bir riskle de karşı karşıyadır.
Elbette, devlet daireleri ve şirketlerden kaynaklanan büyük veri kayıpları manşetlere taşındı. Ancak, makul önlemler alınmadığı takdirde, büyüklüğü ne olursa olsun her şirket veri kaybına uğrayabilir.
Kültür, Medya ve Spor Bakanlığı (DCMS) tarafından yaptırılan bir araştırmaya göre, 2021 yılında Birleşik Krallık işletmelerinin yaklaşık %39'u bir tür güvenlik ihlali veya siber saldırı yaşadı. Rapor şu adreste bulunabilir: https://www.gov.uk/government/statistics/cyber-security-breaches-survey-2022 .
Kişisel verilerin kullanımını ve saklanmasını denetleyin.
İşletmenizin sakladığı potansiyel olarak hassas ve gizli verileri göz önünde bulundurun:
- Personel kayıtları; doğum tarihi, sağlık bilgileri, maaş ve banka hesap bilgileri vb. bilgileri içerir.
- Müşteri ve tedarikçi kayıtları; banka/kredi kartı hesap bilgileri, PIN numaraları, şifreler, işlem bilgileri, sözleşme bilgileri, indirimler ve fiyatlandırma bilgilerini içerir.
- finansal ve performans verileri ve iş planları
- Gizli veriler her zaman 'güvenli' bir veritabanında uygun şekilde saklanmaz. Çalışanlar genellikle veritabanında saklanan bilgilerin özetlerini içeren, geçici raporlar (elektronik tablolar ve diğer belgeler kullanarak) oluşturmak ve dağıtmak zorundadır. Bu tür veri alma işlemleri genellikle veri güvenliği pahasına yapılır; çünkü veritabanının kendisinde erişim kontrolleri mutlaka bulunur, ancak bu geçici raporlarda genellikle bu kontroller yoktur.
- Verilere ne olduğunu ve bu bilgilerin kazara veya kasıtlı olarak kaybolmasını önlemek için hangi kontrollerin yapıldığını öğrenin.
Risk analizi ve risk azaltma
Asıl soru şu: Bu verilerin tamamı veya bir kısmı kaybolursa kimler zarar görebilir ve nasıl?
Bu soruya cevap verildikten sonra, veri kaybı risklerini azaltmak için adımlar atılmalıdır. Veri kaybı riskini azaltmak için atılması gereken bazı adımlar şunlardır:
- Düzenli yedeklemeler yapın ve yedek verilerinizi güvenli bir şekilde başka bir yerde saklayın.
- Bulutta yüksek riskli veriler depolanıyorsa, hangi güvenlik mekanizmalarının mevcut olduğunu ve gerekirse bu verilerin tamamını nasıl kurtarabileceğinizi anlamanız gerekir.
- Şirket dışında kullanılan tüm cihazlarda (dizüstü bilgisayarlar, cep telefonları, tabletler vb.) depolanan bilgi türünü gözden geçirin. Bu tür bilgiler kişisel ve/veya gizli veriler içeriyorsa, verileri en aza indirmeye veya anonimleştirmeye çalışın. Bu verilere en uygun veri güvenliği ve veri şifreleme seviyelerinin uygulandığından emin olun.
- Şirket tesislerinde mobil cihazların kullanımına izin veriliyorsa, aktif bir "Kendi Cihazınızı Getirin" (BYOD) politikasının yürürlükte olduğundan emin olun. Ayrıca, bu tür cihazlarda saklanabilecek veri türünü kısıtlamak için uygun güvenlik kontrolleri uygulayın.
- Çevrimiçi ödemeleri işleyen şirket web sitelerinin, veri iletimi için SSL'nin en son sürümlerini kullanmak gibi en yüksek güvenlik seviyelerine sahip olduğundan emin olun. Ödeme işlemini bir ödeme ağ geçidi hizmetine devretmiyorsanız ve kredi kartı bilgilerini diskte veya kendi sunucularınızda bellekte saklayacaksanız, Ödeme Kartı Sektörü Veri Güvenliği Standardı (PCI DSS)
- Şirket içindeki USB ve optik cihazlar gibi diğer yazılabilir ortamların kullanımını/erişilebilirliğini gözden geçirin ve uygun güvenlik ayarları, veri şifreleme ve fiziksel kontroller yoluyla bu cihazlara erişimi yalnızca yetkili kullanıcılarla sınırlandırmayı düşünün.
- Şirket web sitelerinin ve ağlarının saldırılara karşı güvenlik açıkları açısından test edildiğinden emin olun ve bu testleri sizin adınıza gerçekleştirmek üzere sızma testi firmalarıyla çalışmayı düşünün.
- Hassas bilgilerin ele alınması ve veriler artık gerekli olmadığında güvenli bir şekilde imha edilmesi için bir prosedür oluşturulmalıdır; bu prosedür, çıktıların imha edilmesini de içermelidir.
- Mobil cihazlarda saklanan kişisel/kurumsal verilerin silinmesini veya erişimin kaldırılmasını sağlayacak bir prosedüre sahip olmak.
- Personeli sorumlulukları, şirketin veri güvenliği prosedürleri ve verilerin kaybolması durumunda ne yapmaları gerektiği konusunda eğitin.
- Personeli, sahte e-postaları, fidye yazılımlarını, zararlı yazılımları ve diğer potansiyel tehditleri belirleme ve izlenmesi gereken prosedürler konusunda eğitin.
Güvenlik ihlali
Risk azaltmanın yanı sıra, bir güvenlik ihlali meydana gelmesi durumunda uygulanacak prosedürlere sahip olmak da iyi bir uygulamadır. Bu prosedürler dört ana alana odaklanmalıdır:
- Hasarı sınırlamaya yönelik bir kurtarma planı ve prosedürleri.
- İyileşme değerlendirme süreci, bireyler için potansiyel olumsuz sonuçları, bunların ne kadar ciddi veya önemli olduğunu ve tekrar yaşanma olasılığını değerlendirmek için yapılır.
- Bildirim prosedürleri – bu, yalnızca etkilenmiş veya potansiyel olarak etkilenebilecek kişileri bilgilendirmekle sınırlı değildir. Güvenlik ihlali kişisel verilerin kaybını içeriyorsa, Bilgi Komiseri (ICO) bilgilendirilmelidir. Ayrıca, polis, bankalar ve medya gibi diğer düzenleyici kurumlar ve üçüncü tarafların da bilgilendirilmesi gerekebilir.
- Güvenlik ihlali sonrasında – benzer bir olayın yaşanmasını önlemek için uygun önlemlerin alınmasını sağlayın, prosedürleri güncelleyin ve personeli buna göre eğitin veya yeniden eğitin.
Faydalı kaynak
Ulusal Siber Güvenlik Merkezi (Birleşik Krallık) – www.ncsc.gov.uk/guidance .
Birleşik Krallık işletmelerine yönelik siber tehdit – www.ncsc.gov.uk/cyberthreat .
