EY: Şirketler siber güvenlik yatırımlarını, saldırganlar da riskleri artırdı

İSTANBUL (AA) – Ernst & Young'ın (EY) araştırmasının sonuçlarına göre, kuruluşlar her geçen gün siber güvenlik alanına yönelik yatırımlarını artırırken, siber saldırganlar da ileri teknolojilerden yararlanarak saldırı çeşitliliğini yoğunlaştırdı ve son beş yılda siber saldırı sayısı yaklaşık yüzde 75 artış gösterdi.

Uluslararası danışmanlık şirketi EY Küresel Siber Güvenlik Liderliği İçgörüleri araştırmasının sonuçlarını açıkladı. Araştırmaya göre, artan siber saldırı tehditlerine karşı bu alanda yapılan düzenli yatırımlara rağmen, bilgi güvenliği liderleri (CISO'lar) ve üst düzey yöneticilerden sadece beşte biri, yaklaşımlarının bugünün ve yarının zorluklarına karşı etkili olduğunu düşünüyor.

Araştırma, kuruluşların yılda ortalama 44 önemli siber vakayla karşı karşıya kaldığını ve bilinen siber saldırı sayısının son beş yılda yaklaşık yüzde 75 arttığını gösteriyor. Kuruluşların dörtte üçünün bir vakayı tespit etmesi ve müdahale etmesi ortalama 6 ay veya daha uzun sürüyor. Fidye yazılımı saldırılarının şirketlere maliyetleri 2021'de 20 milyar dolarken, 2031 yılına kadar 265 milyar dolar seviyesine ulaşacağı öngörülüyor.

– Siber güvenliği benimsemek şirketleri hem koruyor hem de değer yaratıyor

EY araştırmasına göre, en etkili siber güvenliğe sahip şirketler daha düşük performans gösterenlere göre daha az siber vakayla karşılaşıyor. Vakaları tespit etme ve yanıt verme konusunda da daha hızlı aksiyon alıyorlar.

Ayrıca, bugünün siber güvenlik yaklaşımlarından memnun olma ve yarının tehditlerine karşı kendilerini hazırlıklı hissetme olasılıkları daha yüksek oldu. Bunun yanı sıra şirketlerin etkili bir siber güvenlik yaklaşımını benimsemesi, kuruluşlara koruma sağlarken aynı zamanda değer katıyor. Pazar fırsatlarına yanıt verme becerileri, dönüşüm ve inovasyon hızları önemli ölçüde yükseliyor.

– Siber güvenlik için bütünsel bir teknoloji stratejisi geliştirilmesi gerekiyor

Araştırma sonuçlarına göre, 2010 ile 2022 yılları arasında siber güvenlik alanına 1,3 trilyon dolar yatırım yapıldı ve bu yatırım yıllık olarak yüzde 16,6 arttı. Siber güvenlik araçları ve uygulamaları karmaşıklık, hız ve etkililik bakımından gelişti.

Ancak ironik olarak etkili siber güvenliğe yönelik en büyük tehdidi de güvenlik önlemlerinin ölçeği ve karmaşıklığı oluşturuyor. Çünkü teknoloji ortamında ne kadar dağınıklık varsa, sinyalleri almak ve sorunlara hızla çözüm bulmak da o kadar zor oluyor. Karmaşıklığı azaltan en etkili yöntem ise donanım otomasyonu oluyor. Bu doğrultuda, şirketlerde teknolojiyi tek bir platformda birleştirmek entegrasyonu kolaylaştırıyor ve ilgili ekiplerin siber vakaları daha verimli bir şekilde tespit etmesine yardımcı oluyor.

– Siber riskte öne çıkan alanlar: Bulut, nesnelerin interneti (IoT) ve tedarik zincirleri

Ankete katılan dört kişiden üçü, bulut ve IoT konularını ileriki beş yıldaki en büyük teknoloji başlıkları olarak gördüğünü belirtiyor. Araştırmaya göre, bulut teknolojisinin benimsenmesiyle siber saldırı alanları da katlanarak arttı.

Değişimin hızı ise artmaya devam ediyor ve şirketler buna ayak uydurmaya çalışıyor. Bu hızlı değişimler, bulut arayüzleri ve ortamı etrafında yeterli analiz ve planlama yapılmadan bulut ve IoT sistemlerine geçiş yapıldığında, şirketleri veri kaybına, ihlallerine ve kesintilerine maruz bırakma potansiyeline sahip bulunuyor. Bu riskleri önlemek ve zorlukların üstesinden gelmek için şirketlerin otomasyon teknolojisinden faydalanması gerekiyor. En etkili siber güvenliğe sahip şirketlerin CISO'larının yarısı, kuruluşlarının siber güvenlik yaklaşımlarında bulut düzenlemesini ve otomasyonunu kullandığını belirtiyor.

Araştırmada öne çıkan bir diğer risk faktörü, tedarik zincirleri oldu. Artık tüm kuruluşlar, tedarik zincirlerindeki işletmelere ayrılmaz bir şekilde ve dijital olarak bağlı konumda bulunuyor. Son beş yılda tehdit aktörlerinin en zayıf halka olarak gördükleri tedarik zincirlerini hedef aldığı görünüyor.

Bu sebeple CISO'ların, yalnızca bir defaya mahsus değil düzenli olarak kuruluşlarının tedarik zincirlerini kontrol altında tutması gerekiyor. Ayrıca tedarik zincirindeki tüm siber saldırı alanlarının tespit edilebilmesi için operasyon direktörleri (COO'lar) ve diğer operasyon liderleriyle iş birliği içinde olunması kritik önem taşıyor.

– CISO’lar yönetim masasında

CISO rolü daha önceden öncelikli olarak operasyonel ve teknik alanı ilgilendirirken, belli bir olgunluğa erişmiş organizasyonlarda artık siber güvenlik başlı başına bir departman olarak faaliyet gösteriyor ve üst yönetim katında da söz sahibi oluyor.

EY araştırması, giderek daha fazla öne çıkan rolleri sayesinde, CISO'ların günümüzün yüksek riskli ortamında gerekli kaynakları güvence altına alma konusunda genel olarak başarılı olduklarını ortaya koyuyor.

Açıklamada görüşlerine yer verilen EY Türkiye Siber Güvenlik Hizmetleri Lideri ve Danışmanlık Bölümü Şirket Ortağı Ateş Sünbül, ilgili araştırma sonucunda çıkan temel eylem konularını değerlendirerek, “EY Küresel Siber Güvenlik Liderliği İçgörüleri araştırması, üst düzey liderlerin mevcut ve beklenen bir dizi tehditle mücadele ettiğine dair çarpıcı bulgular ortaya koyuyor. Ancak şirketler, teknolojilerinde basitliği ve bütünsel bakış açısını göz önünde bulundurarak siber riskleri minimuma indirebilirler. Bununla birlikte, siber güvenliğin yalnızca varlıkların korunmasıyla ilgili olmadığını unutmamak gerekir. İyi uygulandığında kurum çapında inovasyonu ve katma değeri destekleyip hızlandırabilir. Dolayısıyla siber güvenliğin organizasyonun ve işletim modelinin her parçasına entegre edilmesi, fonksiyonun değer yaratan bir itici güce dönüşmesini sağlayabilir. Belli bir olgunluk seviyesindeki kuruluşlar, personelin siber güvenlik alanında düzenli eğitim almasını sağlayarak, en yeni otomasyon ve önleyici araçlardan yararlanarak daha etkili bir siber güvenlik sistemi elde edebilirler.”