Bilgi güvenliği: İşletmelerin sorunsuz ve etkili bir şekilde çalışmasını sağlayan güç.

(Dan Tri Gazetesi) - Uzmanlara göre, bilgi güvenliğinin nihai amacı, kaç güvenlik açığının giderildiği veya kaç saldırının önlendiği değil, bir işletmenin üretim ve operasyonlarının sürekliliğini ve verimliliğini sağlamak olmalıdır.

Bilgi güvenliğine ilişkin düşünce biçimindeki değişiklikler, Baş Bilgi Teknolojisi ve Bilgi Güvenliği Liderleri Konferansı'nda (CIO CSO 2024) paylaşıldı. Bu, küresel olarak ve Vietnam'da bilgi güvenliği ortamında yaşanan büyük değişiklikleri gösteren, dönüm noktası niteliğinde bir mesaj olarak kabul ediliyor; zira Vietnam'da hiçbir işletme veya kuruluş güvenliğinden emin olamaz.

Bilgi güvenliği bir seçenek değil, bir zorunluluktur.

Etkinliğin açılışında konuşan Bilgi ve İletişim Bakanlığı Bilgi Güvenliği Dairesi temsilcisi, bilgi güvenliği düzenlemelerinin uygulanmasının artık bir seçenek değil, bir zorunluluk olduğunu vurguladı.

Bu uyarı, bilgi güvenliği düzenlemelerinin zaten yürürlükte olduğu, ancak birçok işletme ve kuruluşun potansiyel risklere karşı hazırlıksız ve kayıtsız kaldığı bir ortamda geliyor.

Öte yandan, siber suçlular giderek daha aktif hale geliyor ve Vietnam'ı bir pazar olarak görmeye başladılar. Nitekim, bazı büyük yerli şirketlere saldırılar düzenlendi ve milyonlarca dolarlık kayıplar yaşandı; birçok şirket ise kurallara uymadığı için para cezasına çarptırıldı.

Bu konuyu daha da açıklığa kavuşturmak için, Viettel Siber Güvenlik (VCS) Direktörü Bay Nguyen Son Hai, siber suçluların genişleyen hedeflerinin gerçekliğinden bahsetti. Büyük, mali açıdan güçlü işletmeler artık sadece bilgisayar korsanlarının hedefi değil, çünkü bir dereceye kadar savunma mekanizmalarına sahipler. Bilgisayar korsanları artık hedeflerini "yumuşak hedefler" olarak adlandırılan, bilgi güvenliğine öncelik vermeyen daha küçük işletmeleri de içerecek şekilde genişlettiler. Bu gibi durumlarda, karlarını maksimize etmek için büyük ölçekli saldırılar düzenleyeceklerdir. Bu, herhangi bir işletmenin dünya çapındaki bilgisayar korsanı grupları için hedef haline gelebileceği anlamına gelir.

An toàn thông tin: Sức mạnh để doanh nghiệp hoạt động liên tục và hiệu quả - 1 — CIO CSO 2024'te en son gelişmeler ve bilgi güvenliği trendleri paylaşıldı (Fotoğraf: Düzenleme Komitesi).

VCS temsilcileri, saldırıların artık sadece veri ve varlık çalmayı değil, aynı zamanda işletme faaliyetlerini de aksatmayı hedeflediğini değerlendirdi. Tipik bir örnek olarak, hedefli APT saldırılarıyla birleştirilmiş fidye yazılımı saldırıları gösterilebilir; bu saldırılar en az 10 TB veriyi şifreleyerek yerel işletmelere 5 milyon dolardan fazla maliyete ve itibarlarına ve varlıklarına ciddi zararlara yol açtı; ayrıca onlarca işletme de ilk etapta bu saldırılardan etkilendi.

Saldırganlar agresif bir şekilde faaliyet gösterirken, işletmeler bilgi güvenliğini uygulamada sayısız zorlukla karşı karşıya kalıyor. Bay Hai, bu asimetriden yola çıkarak siber saldırı olasılığının kaçınılmaz bir gerçeklik haline geldiğini ve işletmelerin yeni bir yaklaşım benimsemesini gerektirdiğini savunuyor.

"Daha önce saldırıları önlemeye odaklanıyorduk, ancak şimdi saldırının başarılı olması durumunda ne olacağını da göz önünde bulundurmalıyız. Bu engellerin üstesinden gelmek için çözümlere ihtiyacımız var; bu da siber dayanıklılığı optimize etmek ve nihai hedef olarak kuruluş veya işletmenin sürekli faaliyetini sürdürmek anlamına geliyor," dedi Bay Hai.

Bilgi güvenliğine yatırım yapmak, işletmelerin verimli ve kesintisiz bir şekilde faaliyet göstermesini sağlar.

VCS Direktörü, yüzlerce yerel kuruluşta gerçekleştirdiği pratik uygulamalar sayesinde, BT ve siber güvenlik liderlerinin sıklıkla karşılaştığı zorlukları anlamaktadır. Ele alınması gereken üç temel konu vardır: insan kaynakları, yatırım verimliliği ve maliyet optimizasyonu.

An toàn thông tin: Sức mạnh để doanh nghiệp hoạt động liên tục và hiệu quả - 2 — CIO CSO 2024'te üst düzey yöneticiler arasında siber güvenlik stratejik dönüşümü üzerine yapılan bir tartışma (Fotoğraf: Düzenleme Komitesi).

Bilgi güvenliği uzmanı sıkıntısının sürekli yaşanması nedeniyle, en nitelikli personel genellikle büyük şirketlerin yalnızca %5'i için ayrılmıştır. VCS uzmanları, kaynakları desteklemek ve 7/24 izleme ekibi oluşturmak için mevcut personele yönelik eğitimleri ortaklıklarla birleştirmeyi önermektedir.

Yatırım verimliliği konusunda Bay Hai, birimlerin yatırımın sadece çıktısını değil, sonuç göstergelerini kullanarak ölçüm yapması gerektiğini öne sürdü. Bay Hai, "Daha önce amaç mümkün olduğunca çok olayı veya saldırıyı önlemekti. Ancak şimdi nihai amaç iş sürekliliğini sağlamaktır," diye vurguladı.

Sonuç olarak, VCS liderlerine göre, maliyetleri optimize etmek için, tutarlılığa yönelik yaklaşımlarını değiştirmenin yanı sıra, uzmanlaşmayı artırmak ve dağınık yatırımlardan kaçınmak için uygun ortaklar bulmaları gerekiyor.

Bir işletme için bilgi güvenliği ortağı, bir ürün tedarikçisi veya bir bilgi güvenliği hizmet sağlayıcısı olabilir. Ancak, tek başına hareket ettiklerinde, bu ortaklar genellikle kapsamlı bir strateji sunamazlar, derinlemesine kurumsal bilgiye sahip değillerdir ve maliyetleri şişip kontrol edilmesi zorlaşabilir.

Bu nedenle VCS, son iki yıldır, yönetim ölçütleri oluşturarak, maliyetleri ölçüp kontrol ederek ve iş yaşam döngüsü boyunca maliyetleri optimize ederek işletmelerin bilgi güvenliğinde büyümesine ve verimli ve sürekli faaliyet göstermesine yardımcı olmayı amaçlayan Siber Güvenlik Olgunluk Programı'nı (CSMP) geliştirmiştir.