Bir tekstil ihracatçısının muhasebe müdürü geçen ay şöyle anlattı: şirketin bulut tabanlı ERP sistemine yetkisiz erişim girişimi tespit edilmiş, ama bunu öğrenmeleri üç gün sürmüş. Üç gün boyunca sistemde kimin ne yaptığını kimse bilmiyor. Bu tür hikâyeler artık istisnai değil. Türkiye’de dijitalleşme hız kazandıkça şirketlerin saldırı yüzeyi de orantısız biçimde büyüyor. Bulut altyapısı, kurumsal mobil uygulamalar ve servis entegrasyonlarını sağlayan API katmanı; bu üç alan, siber güvenliğin yeni ve henüz yeterince olgunlaşmamış cephelerini oluşturuyor. Üçünü ayrı ayrı yönetmek zaten güç; üçünün kesiştiği noktaları görmek ise çok daha zor.
Bulut güvenliğindeki temel sorun, teknolojinin kendisinde değil sorumluluk sınırlarının yanlış anlaşılmasında yatıyor. Büyük bulut sağlayıcıları altyapı katmanını güvence altına alıyor; ancak bu güvence, müşterinin kendi verilerini, erişim yetkilerini ve uygulama yapılandırmalarını doğru yönettiği varsayımına dayanıyor. Türkiye’deki KOBİ’lerin önemli bir kısmı bu ayrımı henüz net çizmiş değil. Yanlış yapılandırılmış bir depolama alanı, gereksiz geniş tutulan erişim yetkileri veya güncellenmeyen kimlik doğrulama politikaları; bunlar altyapı açığı değil, operasyonel ihmal kaynaklı riskler. 2018 sonu itibarıyla Türkiye’deki çeşitli sektörlerde yanlış yapılandırılmış bulut depolama nedeniyle hassas müşteri verilerinin internete açık kaldığına dair vakalar artık sektör toplantılarında sıkça konuşuluyor. Savunma önceliği burada nettir: erişim yönetimi politikalarını düzenli gözden geçirmek, en az ayrıcalık ilkesini uygulamak ve yapılandırma denetimini otomatize etmek.
Mobil cephe farklı bir dinamik taşıyor. Kurumsal mobil uygulamalar, özellikle satış ekiplerinin kullandığı CRM uygulamaları ve saha servis çözümleri, şirket ağının dışında çalışan cihazlar üzerinde kurumsal veriye erişiyor. Türkiye’de 4G penetrasyonu hızla arttı ve iş süreçleri mobil kanala taşındı; ancak bu geçişin güvenlik katmanı çoğu zaman sonradan, hatta hiç düşünülmeden ekleniyor. Kişisel cihazların kurumsal uygulamalarda kullanılması (BYOD), cihaz kaybı veya çalınması senaryolarını operasyonel risk haline getiriyor. Bir perakende zincirinin saha ekibinin kullandığı uygulamada oturum yönetiminin zayıf tutulması, tek bir çalınan cihazın müşteri veritabanına kapı açmasına yol açabilir. Mobil güvenlikte savunma katmanları şunları içermeli: uygulama düzeyinde şifreleme, uzaktan silme kabiliyeti, oturum zaman aşımı politikaları ve cihaz sağlık kontrolü. Bunların hiçbiri aşırı teknik bir yatırım gerektirmiyor; ancak politika olarak tanımlanmış ve uygulanıyor olması şart.
API güvenliği ise 2019 itibarıyla siber güvenliğin en hızlı büyüyen ve en az denetlenen kör noktası konumuna yükseliyor. Şirketler e-ticaret platformlarını ERP sistemlerine, muhasebe yazılımlarını bankacılık altyapısına, lojistik çözümlerini tedarik zinciri uygulamalarına bağlarken API’leri bir boru hattı gibi kullanıyor. Sorun şu: bu boru hatlarının büyük çoğunluğu yeterli kimlik doğrulama ve yetkilendirme mekanizması olmadan açık bırakılıyor. Türkiye’de e-ticaret entegrasyonları hızla yaygınlaşırken API uç noktalarının güvenlik testinden geçirilmediği, üretim ortamında eski ve belgelenmemiş API sürümlerinin hâlâ aktif olduğu durumlar sektörde yaygın. Bir API uç noktasına yapılan kaba kuvvet saldırısı veya kimlik doğrulama atlatma girişimi, geleneksel güvenlik duvarı kurallarının çoğu zaman gözünden kaçıyor; çünkü bu trafik meşru görünüyor. Savunma için minimum gereksinimler: her API uç noktasında kimlik doğrulama zorunluluğu, istek hızı sınırlaması (rate limiting), API envanterinin güncel tutulması ve düzenli penetrasyon testi.
Bu üç cephenin kesiştiği nokta, tehdidin gerçek boyutunu ortaya koyuyor. Bir saldırgan mobil uygulamada zayıf bir API çağrısını tespit ettiğinde, bu çağrıyı kullanarak buluttaki veri deposuna erişebilir. Tek bir zayıf halka üç katmanı birden tehlikeye atıyor. Türkiye’de KVKK Nisan 2018’de yürürlüğe girdi ve kişisel veri ihlallerinde Kişisel Verileri Koruma Kurumu’na bildirim yükümlülüğü doğuyor. Bu yasal çerçeve, güvenlik yatırımını artık salt operasyonel bir tercih olmaktan çıkarıp hukuki bir zorunluluk haline getiriyor. Ancak KOBİ ölçeğinde BT kaynağı sınırlı olduğu için önceliklendirme kritik: her şeyi aynı anda yapmaya çalışmak yerine risk yüzeyi en geniş olan alandan başlamak, mevcut bütçeyle maksimum azaltım sağlamanın tek gerçekçi yolu.
Siber güvenlikte sıkça karşılaşılan bir yanılgı var: teknolojiyi satın almak, güvenliği satın almak anlamına geliyor. Yeni nesil güvenlik duvarı kurmak, uç nokta koruma yazılımı lisanslamak veya SIEM çözümü devreye almak; bunların hiçbiri doğru yapılandırılmadan, düzenli güncellenmeden ve insan denetimi olmadan işe yaramıyor. Türkiye’de 2018-2019 döneminde yaşanan veri ihlali vakalarının büyük çoğunluğu, teknik altyapı eksikliğinden değil operasyonel ihmalden kaynaklanıyor: eski şifreler, güncellenmemiş sistemler, test ortamındaki verilerin üretim ortamına taşınması. Teknoloji yatırımı gerekli ama yeterli değil. Güvenlik, bir ürün değil; sürekli gözden geçirilen bir süreç.
KOBİ yöneticisine somut bir karar çerçevesi sunmak gerekirse şu üç soruyu önce yanıtlaması gerekiyor: Bulut ortamında kimin neye erişebildiğini biliyor musunuz ve bu erişimler son altı ayda gözden geçirildi mi? Kurumsal mobil uygulamalarınızda cihaz kaybı senaryosu için uzaktan silme ve oturum sonlandırma politikanız var mı? Dışarıya açık API uç noktalarınızın envanteri güncel mi ve bunlar kimlik doğrulama gerektiriyor mu? Bu üç sorunun yanıtı ‘evet’ değilse, yatırım önceliği yeni teknoloji almak değil mevcut altyapıyı doğru yönetmek olmalı. Dijitalleşmenin açtığı risk cepheleri kaçınılmaz; ancak bu cephelerde savunma, kaynaktan bağımsız olarak mümkün.