Kullanmakta olduğunuz eski teknoloji, sadece iş operasyonlarınızın gelişiminde bir engel oluşturmaz. İki siber güvenlik firmasının beraberce oluşturdukları bir rapora ilişkin Reuters’te yayınlanan makaleye göre, değerli verileriniz üzerinde kötü niyetli göze sahip bilgisayar korsanları için, eski teknolojiniz, açık bir kapıdır.
25 Temmuz 2018’da yayınlanan ‘Araştırma, SAP, Oracle iş yazılımına karşı artan korsan tehditlerine karşı uyarıyor – Study warns of rising hacker threats to SAP, Oracle business software’ başlıklı makale, eski teknoloji kaynaklı tehdidi öne plana çıkarmaktadır.
Yamalar nedeniyle oluşan boşluklar
Eski teknoloji ve çoklu örtüşen teknoloji yığınları katmanları ciddi CISO’lar için tam bir kabus olabiliyor. Özellikle “imalat, satış veya finans faaliyetleri”nin işleyişini sekteye uğratma endişesiyle, düzenli olarak yama yapmayanlar için. Ayrıca, “geleneksel arka ofis iş sistemlerini, mobil veya çevirimiçi kullanıcıların erişimine açmak için buluta bağlama” konusunda yapıan hatalar nedeniyle de riskler oluşabilmekte.
Tehlikeler, kronikleşen sorunlardan besleniyorlar
Teknoloji açıkları, bir gecede ortaya çıkan meseleler değildir. Bu sorunlar sürekli olarak büyüyen operasyonel ve iş gereksinimleri ile paralel gelişmeyen, eskiyen teknolojinin arasındaki uyumsuzluklarla yavaş yavaş ciddi tehlike haline gelirler. Sürekli olarak güvenlik yamalarını uygulamaksızın geresinimler gereği yazılım ve donanım yükseltmek, başta ihmal edilebilir gibi görünen tehlike ve risklerin bir süre sonra kanıksanıp, büyüme fırsatı yakaladıkları ortamlardır.
ERP’deki Küçük Bir Açığın Büyümesi
SAP gibi ERP yazılımında oluşacak küçük bir açık bütün gemiyi batırabilir. Bunun ana sebebi süreç ve departmanları birbirine bağlayan yazılım sisteminin, “kurumsal düzeyde” genişlemesi ve daha da önemlisi veri deposu olması. Böylece, ufak bir açıklık üzerinden, bir korsan ya da kötü niyetli herhangi biri , ERP sistemine kolayca ulaşabilir, her şeye kulak misafiri olabilir ve saldırmak için doğru anı bekleyebilir. Daha da kötüsü, bütün veriler çalınır ve bundan CIO’nun bile haberi olmaz.
Sorunlar “İçerden” Olursa – İç Açı
Sisteme bir açuklıktantan girmek, veri güvenliğinin probleminin açısını da değiştirir. Bu saatten sonra “iç” tehdit halini alır. Şöyle düşünün; bilgisayar korsanı bağlantıya sızma yolu buldu ve veri transferlerini izliyor (SAP uygulamaları veya harici uygulamalarla başlatılan standart SAP veri aktarım protokolleri yani Uzaktan İşlev Çağrısı (RFC) veya Web Servisleri gibi) bu tür, verileri görünmeden sızdırma potansiyeline sahiptir.
Çok abartılı mı geliyor? Aslında abartılı değil. Maalesef bu tarz saldırıların çok fazla örneği bulunmakta. İşte bir kaç öncesinden bir bazın haberi: ABD Perakende devi Target, 2013 yılında gerçekleşmiş olan bir veri ihlali için ödeme yapmıştı. Haberlerde belirtilen, hukuki masraflar ve diğer maliyetlerde dahil olmak üzere toplamda 220 milyon dolar, ve hatta belki de daha fazla bir ödeme yapıldığı. Burada aklımıza gelmesi gereken önemli soru: Veri nasıl dışarı çıktı? Görünen o ki, Pittsburg’dan bir “ısıtma, havalandırma ve klima” yüklenicisinin kimlik bilgileri çalındı. Bu kimlik bilgileri kullanarak, siber suçluların hedef veritabanına erişimi oldu. Bu veritabanında müşterilerin tam adları, telefon numaraları, e-posta adresleri, ev adresleri, kredi kartı bilgileri ve güvenlik kodları tarzında her türlü veri mevcuttu. 2014’ün başında, Perakendeci’nin BT departmanı, kurulan güvenlik sisteminin yüksek miktarda uyarı verdiğini teyit etti. Fakat, çok fazla uyarı alınması üstüne, uyarıların gerçekliğinden şüphe edilerek, bir süre bu uyarılar gözardı edildi. Aynı yılın mart ayında CIO Beth Jacob ve devamında yönetim kurulu başkanı Gregg Steinhafel istifa etmek durumunda kaldılar.
Yine uluslararası medyada yer bulan yakınlardan bir başka veri ihlal hikayesi de Birleşik Krallık’tan. İngiltere Ulusal Sağlık Servisi, ilgili hastalarca paylaşım izni verilmemiş 150,000 hasta bilgi dosyasını araştırma amacıyla paylaşıyor. Sonuçta veri ihlalleri, ister sistem! kaynaklı, ister kullanıcı (kul!) kaynaklı olsun, kurum ve yöneticilerin kabusu olmaya devam ediyor.
Ne Yapılmalı?
Öncelikle; SAP veri akışı takip edilmeli. Ama bu da başka bir soruya kapı açıyor.
Paha biçilemez verilerinize ne olduğunun farkında mısınız? Kimlerin erişim hakkı var? Kimler indiriyor? Verileriniz Güvenli SAP alanınızdan çıktığında ne olur?
Çoğu zaman, cevap ‘hayır ne olduğunu bilmiyoruz’. Aslında korkutucu olması gereken bu cevap, yalnızca eski sınıflandırma yaklaşımlarıyla çalışan kurumlarda normaldir. Çözüm ise, veri geçişlerinde odaklanılması gerekenin içerik değil, kapsam olduğundadır.
HALOCORE’un gelişmiş kayıt ve denetim özellikleri, kurumların kendi iç tehditlerini tecrit etmelerine ve istenmeyen bilgi sızıntı risklerini azaltmalarına olanak tanır. SAP’den tüm veri indirme ve çıkarma aktiviteleri, SAP iş zekası ve analitik çözümleri gibi güçlü araçların günlüğü çekebileceği, özelleştirilmiş denetim günlüğünde toplanır.
HALOCORE, SAP’den çıkarılacak tüm veriler için kusursuz bir sınıflandırma deneyimi sağlar. HALOCORE, SAP’den indirilmekte olan verileri yakalayarak belgenin meta verilerine, tamamen özelleştirilebilir etiketler uygular. HALOCORE, SAP’den indirilen belgelerin tutarlı ve doğru şekilde kullanılmasını sağlar.
Yani, SAP verilerinizin gerçekten güvenli olduğunu düşünüyorsanız, bir daha düşünün. Açık bir pencere bırakmış olabilirsiniz.