Uluslararası denetim ve danışmanlık şirketi EY’nin bu yıl 20.’sini gerçekleştirdiği Küresel Bilgi Güvenliği Araştırması (GISS), üst düzey yöneticilerin yarısından fazlasının siber tehditlerin şirket strateji ve planları üzerindeki artan etkisinden endişe ettiğini ortaya koyuyor. Dünya çapında yaklaşık bin 200 şirketin katıldığı araştırmaya göre; yöneticilerin %87’si siber güvenliğe ayrılan bütçenin 2018 yılında %50 artması gerektiğini belirtiyor, ancak yalnızca %12’si bu bütçede gerçekte %25’ten yüksek bir artış olacağını düşünüyor
Dünyanın lider denetim ve danışmanlık şirketlerinden EY, dünya çapında yaklaşık bin 200 büyük ölçekli şirketin üst düzey yöneticisinin katılımı ile hazırladığı Küresel Bilgi Güvenliği Araştırması (Global Information Security Survey – GISS) sonuçlarını açıkladı. Şirketlerin günümüzün dijital ekosisteminde siber güvenlik tehdit ve saldırılarına karşı yaptıkları hazırlık ve yatırımlar ile ilgili çarpıcı bulgular ortaya koyan araştırmaya göre; üst düzey yöneticilerin yarısından fazlası (%56) siber tehditlerin şirket strateji ve planları üzerindeki artan etkisinden endişe ediyor. Bununla birlikte araştırmaya katılan yöneticilerin %87’si siber güvenliğe ayrılan bütçenin 2018 yılında %50 artması gerektiğini belirtiyor, ancak yalnızca %12’si ayrılan bütçede %25’ten yüksek bir artış gerçekleşmesini bekliyor.
Siber güvenlik alanında nesnelerin interneti (IoT) uygulamalarının yaygınlaşması ile birlikte ortaya çıkan yeni riskler, şirketleri siber tehditlere karşı savunmalarını güçlendirmeye itiyor. Ayrıca bireysel ve basit siber saldırıların şirketler için halen yüksek risk taşıdığının vurgulandığı araştırmada; bu durumun standart güvenlik prosedürlerinin uygulanışında halen bazı eksiklikler olduğuna işaret ettiği belirtiliyor.
“Siber güvenlik bir IT sorunundan çok daha fazlası”
Şirketlerin siber güvenlikte pasif korunma yaklaşımının ötesine geçerek, istihbarat, tespit ve direnç mekanizmalarını güçlendirecek çalışmalara odaklanması gerektiğini dile getiren EY Türkiye Danışmanlık Bölümü Ortağı Emre Beşli, şu değerlendirmede bulundu:
“Son dönemde gerçekleştirilen ve amacına ulaşan siber saldırılarda en yaygın ve bilindik metotların kullanıldığını gözlemliyoruz. Bu durum saldırıya uğrayan şirketleri, zayıf noktalarını güçlendirmeye teşvik ediyor. Öte yandan yeni teknolojilerle birlikte farklı boyutlarda genişleyen global iletişim ağı, çeşitli fırsatların yanı sıra yeni siber güvenlik kırılganlıklarını ve risklerini de beraberinde getiriyor. Dolayısıyla köklü bir dijital dönüşüm sürecinden geçen şirketlerin saldırıya maruz kalmadan önce adım atmaları, bir tercihten ziyade zorunluluk olarak karşımıza çıkıyor. Şirketlerin içerisinde faaliyet gösterdikleri dijital ekosistemi her açıdan iyi analiz etmeleri iş devamlılığının ve itibarın korunmasında büyük önem taşıyor. Şirketlerin, siber güvenlik konusunun bir IT sorunundan çok daha fazlası olduğu anlayışıyla hareket etmesi ve siber güvenlik yönetimini güçlendirmeye odaklanmaları gerekiyor.”
Şirket zarar görene kadar ayrılan bütçede değişikliğe gidilmiyor
Araştırma sonuçlarına göre; üst düzey şirket yöneticilerinin %90’ından fazlası siber güvenlik harcamalarının 2018 yılında artmaya devam edeceğini öngörüyor. Katılımcıların %76’sı şirkete zarar veren bir siber güvenlik ihlali yaşanmasının siber güvenlik harcamalarını artıracağını ifade ediyor. Buna karşın, yöneticilerin %64’ü (2016’da %62 seviyesindeydi) ise şirketi herhangi bir zarara uğratmayan bir saldırının siber güvenlik bütçesinde bir artış getirmeyeceğini belirtiyor. Siber saldırıların oluşturduğu zararın her zaman anında gözlemlenmediğinin belirtildiği araştırmada; şirketlerin saldırıya uğramadan önce hazırlık yapmaları gerektiğinin altı çiziliyor. Araştırmaya katılan yöneticilerin pek çoğu, kaynak dağılımındaki yetersizliğin siber güvenlik risklerini yükseltebileceğini belirtiyor.
Kötü amaçlı yazılım kaynaklı tehditler artıyor
Kötü amaçlı yazılım ve e-dolandırıcılık risklerinin geçen yıla göre yükseliş gösterdiğinin ifade edildiği raporda; yöneticilerin %64’ünün kötü amaçlı yazılım (2016’da %52) ve e-dolandırıcılık (2016’da %51) kaynaklı tehditleri önemli konular olarak gördüğü belirtiliyor. Araştırmada ayrıca çalışan kaynaklı ihmallerin halen kurumsal siber güvenlik konusundaki en büyük kırılganlıklardan birini oluşturduğu ifade ediliyor.
Yöneticilerin %75’i siber güvenlik sistemlerinin zayıf olduğunu düşünüyor
Araştırmaya göre; yöneticilerin dörtte üçü (%75) şirketlerinin sahip olduğu güvenlik sisteminin karmaşık siber saldırılar karşısında yeterince güçlü olmadığını düşünüyor. Bununla birlikte yöneticilerin %12’si resmi bir ihlal tespit programına sahip olmadıklarını belirtirken, %35’ ise uygulanan veri koruma politikalarının plansız veya geçici olduğunu ifade ediyor.
Şirketlerin %43’ünde resmi bir tehdit analiz programı bulunmuyor
EY araştırması, şirketlerin yaklaşık yarısında (%43) resmi bir tehdit istihbarat ve analiz programı ve bununla ilişkili bir sürecin bulunmadığına işaret ederken, katılımcıların yalnızca %12’si sürekli takip ve aktif savunma mekanizmaları, siber tehdit analizi ve güvenlik operasyonu merkezlerine yaptıkları yatırımlar ile karmaşık bir siber saldırıyı tespit edebileceklerini dile getiriyor.
