Yöneticilerin Veri İhlali Sonrasında Yaptığı İlk 5 Hata
2016, veri ihlalleri açısından rekor bir yıldı ve 2017'de zaten yüksek profilli siber saldırıların adil payına tanık olunduğundan, bu eğilimin gelecekte de devam edeceği görülüyor. InterContinental Hotels Group (IHG), Verifone, Gmail, Yahoo!, Washington State University, Verizon, Equifax ve Deloitte gibi kuruluşların tümü bu yıl şu ana kadar ciddi bir veri ihlali yaşadı.
Bu kadar ses getiren saldırılara rağmen üst düzey yöneticilerin hala hatalarından ders çıkarması mümkün değil ve bu tür saldırılara hızlı tepki vermemeleri onların itibarına, mali işlerine ve tabii ki müşterilerine ciddi zararlar verecek.
Yöneticilerin bir siber saldırıyla uğraşırken yaptığı yaygın hatalar nelerdir?
1. Müşterilere bildirimde bulunmak için çok uzun süre beklemek
Bir veri ihlalinin ardından geçen her gün, saldırganların çalınan verilerden yararlanma şansının arttığını gösteriyor. 143 milyon kadar müşteriyi etkileyen "şimdiye kadarki en kötü ihlallerden birine" maruz kalan Equifax, ihlali açıklamasının yaklaşık altı hafta sürmesi nedeniyle ağır bir şekilde eleştirildi. Benzer şekilde 2016 yılında ciddi bir veri ihlali yaşayan Amerika Birleşik Devletleri Menkul Kıymetler ve Borsa Komisyonu'nun (SEC) ihlali açıklaması yaklaşık bir yıl sürdü. Kuruluşların yeterli kanıt toplanana kadar bilgileri saklamayı neden tercih ettiği anlaşılabilir olsa da, bir ihlali ifşa etmek için çok uzun süre beklemek yalnızca kamunun güvenini zedelemekle kalmayacak, aynı zamanda müşterilerin verilerini güvende tutmak için gerekli önlemleri alma fırsatını da geciktirecektir. . GDPR yürürlüğe girer girmez kuruluşların bir olay müdahale planına sahip olması ve ihlalin gerçekleşmesinden sonraki 72 saat içinde ilgili denetim makamına bildirimde bulunması gerekecektir.
2. Müşterilerine öncelik vermemek
2016 yılında Yahoo, 500 milyon hesabın çalındığı bir veri ihlaline maruz kaldı. İhlalin neden olduğu hasarı sınırlamak için tüm kullanıcı şifrelerini sıfırlayabilirlerdi. Ancak kullanıcıları yeni şifreler oluşturmaya zorlamak istemedikleri için bunu yapmamayı tercih ettiler çünkü bu durum iş kaybına yol açabilirdi. Equifax, müşterilerinin verilerini korumak için raporlarını bir ücret karşılığında dondurmayı teklif etti. Sonunda ücretten feragat edilmiş olsa da, itibarlarına zaten zarar verilmişti. Elbette bir veri ihlaliyle uğraşmak pahalı olabilir ancak kuruluşların müşterilerini koruma yükümlülüğü vardır.
3. Şeffaf olamamak
Tahmin edebileceğiniz gibi, bir ihlal meydana geldiğinde kuruluşlar, ihlalin nasıl/ne zaman gerçekleştiğine dair gerçeği söylemeye pek istekli değiller. Ancak şeffaflığın olmayışı, müşterilerin, öyle olmasa bile, kuruluşun bilgileri sakladığına inanmalarına neden olur. Müşterilerinin güvenini kazanmak için dürüst olmaları ve söz konusu ihlalle ilgili açık, kısa ve sık güncellemeler sağlamaları çok önemlidir.
4. Sorumluluğu kabul etmemek
Yöneticiler, bir ihlalin nasıl/ne zaman gerçekleştiği konusunda dürüst olma isteksizliğine ek olarak, ihlalin sorumluluğunu üstlenmekten kaçınma eğilimindedir. Bunun yerine suçu belirli çalışanlara yüklemeye çalışıyorlar. İhlallerin belirli çalışanların doğrudan eylemlerinden kaynaklandığı doğru olsa da, yöneticilerin yine de ihlallerin mümkün olduğu kadar seyrek gerçekleşmesini, bir Olay Müdahale Planının mevcut olmasını ve olayların derhal rapor edilmesini sağlaması gerekir. Strozfriedberg.com tarafından yakın zamanda yapılan bir araştırma, üst düzey liderlerin yalnızca %45'inin şirketlerini siber saldırılara karşı korumaktan sorumlu olduklarına inandığını ortaya çıkardı.
5. Bir ihlalin ardından kritik verilere nasıl erişildiğini belirleyememek
Lepide tarafından yakın zamanda yapılan bir ankete göre kuruluşların %60'ı, kritik verilerine kimin erişebileceğini ve bu verilere nasıl erişildiğini hala bilmiyor. Bunun nedeni büyük ölçüde, veri ihlallerinin yaklaşık %43'ünü oluşturan içeriden gelen tehditlere ilişkin farkındalık eksikliğidir. Kuruluşların, bir veri ihlaline ilişkin kapsamlı bir adli soruşturma yürütmek için bir denetim ve izleme çözümü kullanması gerekir. Bu onların ne olduğunu, neden olduğunu, kim tarafından, nerede ve ne zaman olduğunu ayrıntılarıyla anlatan kapsamlı bir rapor dizisi oluşturmalarına olanak sağlar.