Neden siz

Açılış sahnesi

Cuma akşamı, saat altıya yirmi var. Merkez finansta Tamer Bey bilgisayarını kapatmak üzereyken bir e-posta geliyor. Gönderen satırında genel müdür Ferhat Bey'in adı yazıyor. Konu: «Gizli — bugün çıkması gereken ödeme.» Metin kısa: bir yurt dışı tedarikçiye acil bir ödeme yapılmalı, konu bir satın alma görüşmesiyle ilgili ve kimseyle paylaşılmamalı. Ferhat Bey toplantıda olduğu için telefonla aranamaz.

Tamer Bey ödeme ekranını açıyor. IBAN'ı yazıyor. Tutarı yazarken telefonu çalıyor; arayan Ferhat Bey'in sekreteri, bambaşka bir konu için. Tamer Bey bir an duraksıyor ve soruyor: «Ferhat Bey şu an toplantıda mı?» Sekreter gülüyor: «Hayır, karşımda oturuyor, çay içiyor.»

Bu derste ne olacak

Siber güvenlik çoğu kurumda bir bilgi işlem konusu olarak görülür: sunucular, güvenlik duvarları, yazılım güncellemeleri. Ama Tamer Bey'in cuma akşamı yaşadığı şey bir yazılım açığı değildi; işin gündelik akışına yerleşmiş bir talepti. Bu ders saldırıların neden çoğu zaman bir sistemi değil bir çalışanı, yani onun e-postasını, faturasını, talimatını hedeflediğini anlatıyor. İki saha çalışmasına dayanıyoruz: kurumlarda on binlerce çalışanla yapılmış oltalama deneyleri. Bu çalışmalar çalışanın neden hedef olduğunu, ama aynı zamanda neden savunmanın ilk gözü olabildiğini gösteriyor. Oltalama e-postasının belirtilerini tanımayı Siber Güvenlik Akademisi ayrıntılı anlatıyor; burada konu, iş yerinin kendisi.

Kanıt ne diyor

Kurumlarda yapılan büyük oltalama deneyleri, çalışanların gerçek iş ortamında sahte e-postalara nasıl tepki verdiğini ölçüyor.

Sahada

Saldırgan işi okur

İlk göz

Gri alan

Çalışanın siber güvenlikteki rolü üzerine tartışma belirsiz ve iki uçlu. «İnsan en zayıf halka» görüşü çalışanı bir sorun olarak görür ve kolayca suçlamaya kayar. Çalışanı savunmanın merkezine koyan görüşün de bir riski var: teknik önlemlerin ve kurumun sorumluluğunu çalışanın sırtına yükleyebilir. Tamer Bey'i durduran bir telefondu; bir kurumun güvenliğini rastlantılara bırakmak bir strateji değildir. Kanıtın kapsamı da tartışmalı. Lain ve arkadaşlarının deneyi tek bir şirkette ve sahte e-postalarla yapıldı; gerçek bir saldırganın hazırladığı ve tek bir kişiye özel yazılmış bir e-posta, bir tatbikattan çok daha inandırıcı olabilir. Williams ve arkadaşlarının odak gruplarının bulguları özette ayrıntılı verilmiyor ve ders onları kendi başına doldurmuyor. Bildirim düğmesinin de bir bedeli var: çok sayıda zararsız e-postanın bildirilmesi bilgi güvenliği ekibine bir yük bindirir. Lain ve arkadaşları bu yükün kabul edilebilir olduğunu buldu, ama başka bir kurumda aynı sonuç kendiliğinden çıkmaz.

Senin işinde

İşinin hangi adımlarının bir saldırgan için değerli olduğunu düşün: ödeme mi onaylıyorsun, fatura mı işliyorsun, müşteri verisi mi giriyorsun, bir ekip için iş emri mi alıyorsun? O adımlar, sana gelen sahte bir talebin en çok yerleşmek isteyeceği yerlerdir. Gelen bir mesaj, hangi kanaldan gelirse gelsin, işinin alışılmış akışından bir sapma istiyorsa, örneğin gizlilik, aciliyet, aranamayan bir yönetici, değişen bir banka hesabı, durmak için bir sebep olarak gör. Bu bir paranoya değil, işinin bir parçası. Şüphelendiğin bir mesajı kurumunun bildirim kanalına ilet; kanalı bilmiyorsan bu hafta öğren. Bildirdiğin mesaj zararsız çıkarsa bu bir hata değil; yalnız bir yanlış alarm. Senin bildirimin, aynı mesajı alan başka birini koruyabilir. Bir yöneticiysen, ekibine bir şüpheli mesajı bildirmenin ödüllendirilen bir davranış olduğunu açıkça söyle; ve kendi adınla gelebilecek sahte bir talimata karşı ekibinin hangi doğrulama adımını izleyeceğini önceden konuş.

Kendin dene

Aklında kalsın

Birçok saldırı bir sistemi değil, bir çalışanın gündelik işini hedefler: bir ödeme talimatı, bir fatura, bir ek, bir mesaj. Kurumlarda yapılan büyük oltalama deneyleri, otorite ipuçlarının tıklamayı artırdığını ve iş ortamının duyarlılığı etkilediğini gösterdi. Aynı deneyler çalışanların birlikte, yeni saldırıları hızla yakalayan bir tespit ağı olabildiğini de gösterdi. Çalışan bir zayıf halka değil, savunmanın ilk gözüdür; ama bu göz ancak bir bildirim kanalı ve bir doğrulama kuralıyla işe yarar.

Sonraki derse köprü

Oya bir hafta sonra Antalya'daki otele gidiyor. Resepsiyon masasının köşesinde, sabah girişi yapılan misafirlerin kimlik fotokopileri bir dosyada duruyor; dosya akşam vardiyasına kadar orada kalacak. Bir misafir anahtarını alırken soruyor: «Kimliğimin fotokopisini neden aldınız, ne kadar saklayacaksınız?» Gizem cevabı bilmiyor. M01-D02 veri sorumlusunun kişisel verinin güvenliği için aldığı tedbirleri ve çalışanın bu tedbirlerdeki yerini ele alıyor.

Kendini sına

Soru 1 · Kavram

Bu derse göre hedefli oltalama neyi hedefler?

• A) Yalnız üst düzey yöneticileri.
• B) Rastgele seçilmiş çalışanları.
• C) Belirli bir kişiyi ya da görevi, onun işinden ve ilişkilerinden yararlanarak.
• D) Yalnız bilgi işlem sistemlerini.

Cevap: C. Hedefli oltalama bir unvanı değil, bir görevi hedefler: ödemeyi onaylayan, faturayı işleyen, eki açan kişiyi.

Soru 2 · Kanıt

Williams, Hinds ve Joinson'ın 62.000 çalışanla yaptığı çalışmada hangi ipucunun tıklama olasılığını artırdığı görüldü?

• A) E-postanın uzunluğu.
• B) Otorite ipuçlarının varlığı.
• C) E-postanın saat kaçta geldiği.
• D) Gönderenin yabancı olması.

Cevap: B. Otorite ipuçları şüpheli bir bağlantıya tıklama olasılığını artırdı; ikinci kurumdaki odak grupları da iş ortamının duyarlılığı etkilediğini gösterdi.

Soru 3 · Senaryo

Bir çalışan şüpheli bir e-postayı bildirim düğmesiyle bildiriyor. Bir saat içinde aynı e-postanın başka birimlerde üç kişiye daha geldiği görülüyor. Bu durum hangi bulguyla örtüşüyor?

• A) Bildirimin gereksiz bir iş yükü olduğuyla.
• B) Çalışanların oltalamayı hiç fark etmediğiyle.
• C) Teknik önlemlerin her şeyi engellediğiyle.
• D) Çalışanların birlikte, yeni oltalama kampanyalarını hızla yakalayan bir tespit ağı olabildiğiyle.

Cevap: D. Büyük bir şirketteki deney, çalışanların kolektif bir tespit mekanizması olarak kullanılmasının uygulanabilir olduğunu ve yeni kampanyaları hızla yakaladığını gösterdi.

Soru 4 · Tuzak

Bir genel müdür, kendi adıyla gönderilen sahte bir ödeme e-postasını duyunca «Bu bilgi işlemin işi, onlar engellemeli» diyor. Bu görüşün gözden kaçırdığı şey nedir?

• A) E-postanın bir filtreden geçebilecek kadar sıradan göründüğünü ve onu en erken fark edebilecek kişinin işin içindeki çalışan olduğunu; teknik önlemlerin yanında bir doğrulama kuralına ve bildirim kanalına da ihtiyaç olduğunu.
• B) Bilgi işlemin hiçbir şey yapamayacağını.
• C) Genel müdürün e-posta kullanmaması gerektiğini.
• D) Ödemelerin tamamen durdurulması gerektiğini.

Cevap: A. Teknik önlemler gereklidir ama yeterli değildir; iş akışına yerleşmiş bir sahte talebi çoğu zaman o işi yapan kişi fark eder.