HP’nin Yeni Raporu: Cihaz Güvenliği ve Siber Tehditler Üzerine Önemli Bulgular

HP’nin Yeni Raporunda Cihaz Güvenliği Üzerine Dikkat Çekiliyor

HP, cihazların yaşam döngülerinin her aşamasında güvenliğinin sağlanmamasının siber güvenlik üzerindeki geniş kapsamlı etkilerini vurgulayan yeni bir rapor yayınladı. Bu rapor, platform güvenliğinin (PC’lerin, dizüstü bilgisayarların ve yazıcıların donanım ve yazılım güvenliğinin sağlanması) genellikle göz ardı edildiğini, bunun da uzun vadede siber güvenlik duruşunu zayıflattığını ortaya koyuyor. Rapor, 800’den fazla BT ve güvenlik karar vericisi (ITSDM) ve 6000’den fazla uzaktan çalışma (WFA) çalışanıyla yapılan küresel bir araştırmaya dayanmaktadır. Elde edilen bulgular, platform güvenliğinin artan bir endişe kaynağı olduğunu ve ITSDM’lerin yüzde 81’inin, saldırganların savunmasız cihazları istismar etmemesi için donanım ve yazılım güvenliğinin bir öncelik haline gelmesi gerektiği konusunda hemfikir olduğunu göstermektedir. Ancak, yüzde 68’i donanım ve yazılım güvenliğine yapılan yatırımların cihazların toplam sahip olma maliyetinde (TCO) genellikle göz ardı edildiğini belirtmektedir. Bu durum, maliyetli güvenlik sorunlarına, yönetim giderlerine ve ilerleyen aşamalarda verimsizliklere yol açmaktadır.

Cihaz yaşam döngüsünün 5 aşamasından elde edilen önemli bulgular:

• 1. Tedarikçi Seçimi – Araştırmaya katılanların yüzde 34’ü, bir PC, dizüstü bilgisayar veya yazıcı tedarikçisinin son beş yıl içinde bir siber güvenlik denetiminde başarısız olduğunu bildirmektedir. Ayrıca, yüzde 18’i bu başarısızlığı sözleşmelerini feshedecek kadar ciddi bulmaktadır. ITSDM’lerin yüzde 60’ı, cihaz tedarikinde BT ve güvenlik katılımının olmamasının kurumu riske attığını ifade etmektedir.
• 2. İşe Alıştırma ve Yapılandırma – ITSDM’lerin yarısından fazlası (yüzde 53), BIOS şifrelerinin paylaşıldığını, yaygın olarak kullanıldığını veya yeterince güçlü olmadığını belirtmektedir. Dahası, yüzde 53’ü BIOS şifrelerini bir cihazın kullanım ömrü boyunca nadiren değiştirdiklerini itiraf etmektedir.
• 3. Sürekli Yönetim – ITSDM’lerin %60’ından fazlası, dizüstü bilgisayarlar veya yazıcılar için ürün yazılımı güncellemelerini hazır olur olmaz yapmadıklarını belirtmektedir. ITSDM’lerin %57’si ürün yazılımı ile ilgili olarak FOMU (Güncelleme Yapma Korkusu) yaşadıklarını ifade etmektedir. Yine de %80’i yapay zekanın yükselişinin saldırganların daha hızlı açıklar geliştireceği anlamına geldiğine ve bu nedenle hızlı güncelleme yapmanın hayati önem taşıdığına inanmaktadır.
• 4. İzleme ve İyileştirme – Her yıl, kaybolan ve çalınan cihazlar kurumlara tahmini olarak 8,6 milyar dolara mal olmaktadır. Uzaktan çalışan her 5 kişiden birinin bilgisayarını kaybettiği ya da çaldırdığı ve BT’ye haber vermeden önce ortalama 25 saat beklediği görülmektedir.
• 5. İkinci El Kullanım ve Hizmet Dışı Bırakma – ITSDM’lerin neredeyse yarısı (yüzde 47) PC’lerin veya dizüstü bilgisayarların yeniden kullanılması, yeniden satılması veya geri dönüştürülmesi söz konusu olduğunda veri güvenliği endişelerinin büyük bir engel olduğunu belirtirken, %9’u bunun yazıcılar için büyük bir engel olduğunu ifade etmektedir.

HP Güvenlik Araştırma ve İnovasyon Baş Teknoloji Uzmanı Boris Balacheff, “Bilgisayar, dizüstü bilgisayar veya yazıcı satın almak, bir kurumun uç nokta altyapısı üzerinde uzun vadeli etkisi olan bir güvenlik kararıdır. Satın alma sırasında donanım ve ürün yazılımı güvenlik gereksinimlerinin önceliklendirilmesi ya da önceliklendirilmemesi, güvenlik ve yönetilebilirlik gereksinimlerinin mevcut en son teknolojiye kıyasla çok düşük belirlenmesi durumunda, riske maruz kalmanın artmasından maliyetlerin yükselmesine ya da olumsuz kullanıcı deneyimine kadar bir cihaz filosunun tüm ömrü boyunca sonuçlar doğurabilir,” diyerek uyarıda bulunmaktadır. Balacheff şöyle devam ediyor: “Son kullanıcı cihaz altyapılarının siber risklere karşı dirençli hale gelmesi çok önemlidir. Bu, donanım ve yazılım güvenliğine öncelik vermek ve filodaki cihazların tüm yaşam döngüsü boyunca nasıl yönetildiklerinin olgunluğunu geliştirmekle başlar.”

Fabrikadan Parmak Ucuna: Tedarikçi Seçiminde Dikkatsizlikler ve Yapılandırma Sınırlamaları

Bu bulgular, BT ve güvenliğin yeni cihazlar için satın alma sürecinin bir parçası olması, gereksinimleri belirlemesi ve tedarikçinin güvenlik iddialarını doğrulaması için artan bir ihtiyacı vurgulamaktadır:

• ITSDM’lerin yüzde 52’si, satın alma ekiplerinin tedarikçilerin donanım ve yazılım güvenliği iddialarını doğrulamak için BT ve güvenlikle nadiren işbirliği yaptığını belirtmektedir.
• ITSDM’lerin yüzde 45’i, RFP’lerdeki donanım ve yazılım güvenliği iddialarını doğrulama araçlarına sahip olmadıkları için tedarikçilerin doğruyu söylediğine güvenmek zorunda kaldıklarını itiraf etmektedir.
• Hatta ITDMS’lerin yüzde 48’i, satın alma ekiplerinin tedarikçilerin söylediği her şeye inanacakları için “kurbanlık koyun” gibi olduklarını ifade etmektedir.

BT uzmanları ayrıca cihazları donanım ve yazılım seviyesine kadar sorunsuz bir şekilde devreye alma ve yapılandırma becerilerinin sınırlarından da endişe duymaktadır:

• ITSDM’lerin yüzde 78’i, güvenliği artırmak için donanım ve yazılım güvenlik yapılandırmasını içerecek şekilde bulut üzerinden sıfır dokunuşla ilk katılım istediklerini belirtmektedir.
• ITSDM’lerin yüzde 57’si, cihazları bulut üzerinden devreye alamamaktan ve yapılandıramamaktan dolayı hayal kırıklığı yaşadıklarını ifade etmektedir.
• Evlerine bir cihaz teslim edilen WFA çalışanlarının neredeyse yarısı (yüzde 48), ilk katılım ve yapılandırma sürecinin rahatsız edici olduğundan şikayet etmektedir.

“Elbette mutlaka güvenebileceğiniz teknoloji sağlayıcılarını seçiyorsunuz. Ancak BT altyapınıza giriş noktası olarak hizmet veren cihazların güvenliği söz konusu olduğunda, bu körü körüne bir güven olmamalıdır,” diyen HP Inc. Tedarik Zinciri Siber Güvenlik İş Bilgi Güvenliği Sorumlusu Michael Heywood, şöyle devam ediyor: “Kurumlar, güvenlik taleplerinin karşılandığından ve cihazların güvenli ve verimli bir şekilde devreye alınabildiğinden emin olmak için teknik brifingler, ayrıntılı belgeler, düzenli denetimler ve titiz bir doğrulama süreci gibi somut kanıtlara ihtiyaç duyarlar.”

Cihazların Sürekli Yönetimi, İzlenmesi ve İyileştirilmesi ile İlgili Zorluklar

ITSDM’lerin yüzde 71’i, her yerden çalışma modellerindeki artışın platform güvenliğini yönetmeyi daha zor hale getirdiğini, çalışan verimliliğini olumsuz etkilediğini ve riskli davranışlar yarattığını belirtmektedir:

• Her dört çalışandan biri, BT’den tamir etmesini veya değiştirmesini istemek yerine kötü performans gösteren bir dizüstü bilgisayara katlanmayı tercih ediyor çünkü kesinti süresini göze alamıyorlar.
• Çalışanların yüzde 49’u dizüstü bilgisayarlarını tamire gönderdiklerini ve cihazın tamirinin ya da değiştirilmesinin 2,5 günden fazla sürdüğünü ifade etmektedir; bu da birçoğunu iş için kişisel dizüstü bilgisayarlarını kullanmaya ya da ailelerinden veya arkadaşlarından bir dizüstü bilgisayar ödünç almaya zorluyor – kişisel ve profesyonel kullanım arasındaki çizgileri bulanıklaştırıyor.
• Yüzde 12’sinin bir iş cihazını yetkisiz bir üçüncü taraf sağlayıcıya tamir ettirerek potansiyel olarak platform güvenliğini tehlikeye atmış olduğu ve BT’nin cihaz bütünlüğüne ilişkin görüşünü bulanıklaştırmış olduğu görülmektedir.

Tehdit aktörlerinin hassas verilere ve kritik sistemlere erişimini önlemek için donanım ve yazılım tehditlerinin izlenmesi ve düzeltilmesi hayati önem taşımaktadır. Ancak ITSDM’lerin yüzde 79’u, donanım ve yazılım güvenliği konusundaki anlayışlarının yazılım güvenliği konusundaki bilgilerinin gerisinde kaldığını ifade etmektedir. Dahası, filolarında donanım ve yazılım güvenliğini yönetmek için istedikleri görünürlüğü ve kontrolü sağlayacak olgun araçlardan yoksundurlar:

• ITSDM’lerin yüzde 63’ü, cihaz donanımı ve yazılımı güvenlik açıkları ve yanlış yapılandırmalarla ilgili birden fazla kör noktayla karşı karşıya olduklarını belirtmektedir.
• Yüzde 57’si, risk altındaki cihazları değerlendirmek için geçmiş güvenlik olaylarının donanım ve yazılım üzerindeki etkisini analiz edemediğini ifade etmektedir.
• Yüzde 60’ı, donanım veya yazılım saldırılarını tespit etmenin ve azaltmanın imkansız olduğunu söylemekte ve ihlal sonrası iyileştirmeyi tek yol olarak görmektedir.

HP Güvenlik Laboratuvarı Baş Tehdit Araştırmacısı Alex Holland, “Donanım ve yazılım saldırıları söz konusu olduğunda, ihlal sonrası iyileştirme kaybedilen bir stratejidir” uyarısında bulunmaktadır. “Bu saldırılar, sistemlerin derinliklerine yerleşerek düşmanlara cihazlar üzerinde tam kontrol sağlayabilir. Geleneksel güvenlik araçları, işletim sistemi ve yazılım katmanlarına odaklanma eğiliminde olduklarından bu tehditlere karşı kördür ve tespit edilmelerini neredeyse imkansız hale getirir. Bu saldırıları ilk etapta önlemek ya da kontrol altına almak, bir adım önde olmak için kritik önem taşımaktadır; aksi takdirde kurumlar göremedikleri ve ortadan kaldıramadıkları bir tehdit ile karşı karşıya kalabilirler.”

İkinci El Kullanım ve Hizmet Dışı Bırakma: Veri Güvenliği Endişeleri ve E-atık Salgını

Platform güvenliği endişeleri, kurumların ömrünü tamamlamış cihazları yeniden kullanma, geri dönüştürme veya yeniden satma imkanlarını kısıtlamaktadır:

• ITSDM’lerin yüzde 59’u, cihazlara ikinci bir hayat vermenin çok zor olduğunu ve bu nedenle veri güvenliği endişeleri nedeniyle cihazları genellikle imha ettiklerini belirtmektedir.
• Yüzde 69’u, sterilize edebildikleri takdirde yeniden kullanılabilecek veya bağışlanabilecek önemli sayıda cihazın üzerinde oturduklarını ifade etmektedir.
• ITSDM’lerin yüzde 60’ı, mükemmel şekilde kullanılabilir dizüstü bilgisayarları geri dönüştürme ve yeniden kullanma konusundaki başarısızlıklarının bir e-atık salgınına yol açtığını kabul etmektedir.

Birçok çalışanın eski iş cihazlarını hiçbir şey yapmasa da elinde tutması işleri daha da karmaşık hale getirmektedir. Bu durum sadece cihazların yeniden kullanılmasını engellemekle kalmıyor, aynı zamanda hala kurumsal veri taşıyabilen öksüz cihazlarla ilgili veri güvenliği riskleri de yaratmaktadır:

• WFA çalışanlarının yüzde 70’inin evinde ya da ofisindeki çalışma alanında en az bir eski iş bilgisayarı/dizüstü bilgisayarı bulunmaktadır.
• WFA çalışanlarının yüzde 12’si, cihazlarını hemen iade etmeden işten ayrıldıklarını ve bunların neredeyse yarısı hiç iade etmediklerini ifade etmektedir.

HP Solutions, Operasyon ve Portföylerden sorumlu Kıdemli Başkan Yardımcısı ve Genel Müdürü Grant Hoffman, “BT ekipleri, tüm hassas şirket veya kişisel verilerin tamamen silindiğine dair güvenceye sahip olmadıkları için ömrünü tamamlamış cihazları biriktiriyor ki bu da kendi başına veri güvenliği riskleri oluşturabiliyor ve ESG hedeflerini olumsuz etkileyebiliyor. En son endüstri standardı silme veya medya imha süreçlerini kullanan ve uyumluluk gereksinimlerini karşılayabilmeniz için bir veri temizleme sertifikası sağlayan saygın bir BT varlık imha tedarikçisi bulmak çok önemlidir,” demektedir.

Platform Güvenliğini İyileştirmek İçin Cihaz Yaşam Döngüsüne Yeni Bir Yaklaşım Gerekiyor

Kurumların üçte ikisinden fazlası (yüzde 69), cihaz donanımı ve yazılımı güvenliğini yönetme yaklaşımlarının yaşam döngülerinin yalnızca küçük bir bölümünü ele aldığını belirtmektedir. Bu durum, cihazları açıkta bırakmakta ve ekiplerin tedarikçi seçiminden hizmet dışı bırakmaya kadar platform güvenliğini izleyememesi ve kontrol edememesine neden olmaktadır. HP Wolf Security’nin önerileri ise şunlardır:

• Tedarikçi seçimi: BT, güvenlik ve satın alma ekiplerinin yeni cihazlar için güvenlik ve esneklik gereksinimlerini belirlemek, satıcı güvenlik iddialarını doğrulamak ve tedarikçi üretim güvenlik yönetişimini denetlemek için birlikte çalışmasını sağlayın.
• İlk katılım ve yapılandırma: Cihazların ve kullanıcıların güvenli bir şekilde sıfır dokunuşla işe alınmasını ve BIOS parolaları gibi zayıf kimlik doğrulamasına dayanmayan ürün yazılımı ayarlarının güvenli bir şekilde yönetilmesini sağlayan çözümleri araştırın.
• Sürekli yönetim: BT’nin cihaz yapılandırmasını uzaktan izlemesine ve güncellemesine yardımcı olacak araçları belirleyin ve filonuzun saldırı yüzeyini azaltmak için ürün yazılımı güncellemelerini hızlı bir şekilde dağıtın.
• İzleme ve Düzeltme: Kayıp ve çalıntı cihaz riskini azaltmak için BT ve güvenlik ekiplerinin cihazlardaki verileri uzaktan bulabilmesini, kilitleyebilmesini ve silebilmesini sağlayın. Yetkisiz donanım ve yazılım değişikliklerini ve istismar belirtilerini tespit etmek için cihaz denetim günlüklerini izleyerek dayanıklılığı artırın.

İkinci kez kullanım ve hizmet dışı bırakma: Güvenli bir şekilde hizmet dışı bırakmayı sağlamak için hassas donanım ve yazılım verilerini güvenli bir şekilde silebilen cihazlara öncelik verin. Cihazları yeniden hizmete almadan önce, gözetim zincirini, donanım ve yazılım bütünlüğünü doğrulamak için ömür boyu hizmet geçmişlerini denetlemeye çalışın.