Uber-Uncool: Gerçekten Kaç Veri İhlalinin Olduğunu Biliyor Muyuz?
Ocak 2017'de yayınlanan Veri İhlali QuickView Raporu'na göre, 2016 yılında bildirilen toplam ihlal sayısı 4.149'du! Ancak bildiğimiz kadarıyla bu sadece buzdağının görünen kısmı olabilir.
Ekim 2016'da Uber, ABD'de oldukça ciddi bir veri ihlali yaşadı. Uber sadece bunu bilmekle kalmadı, aslında suçlulara verileri silmeleri ve saldırı hakkında sessiz kalmaları için 100.000 dolar ödedi; bu Kaliforniya eyalet yasalarına göre cezai bir suçtur. İsimler, e-posta adresleri, telefon numaraları ve plaka numaraları dahil olmak üzere 57 milyon müşteri ve sürücünün kişisel bilgileri çalındı. Bilgisayar korsanları, Uber mühendislerinin popüler bir kod deposu olan Github'da sergilediği oturum açma kimlik bilgilerini kullanarak Uber'in Amazon Web Services hesabındaki verileri indirmeyi başardı. Ve evet, ister inanın ister inanmayın, veriler şifrelenmemişti!
Bu tür olayların bildirilmemesi konusunda Uber yalnız değil. The Institute of Director (IoD) tarafından hazırlanan bir rapora göre, siber saldırıların yalnızca %28'i yetkililere bildiriliyor. The Crown Records Management Survey'e göre ilaç endüstrisindeki BT çalışanlarının dörtte biri veri ihlallerini sessiz tutuyor. Sports Direct, yılın başında Eylül 2016'da 30.000 çalışanı etkileyen bir veri ihlaline ilişkin bilgileri açıklamadığı için eleştirilere maruz kalmıştı. Ek olarak, Equifax ve Menkul Kıymetler ve Borsa Komisyonu (SEC), ciddi bir güvenlik olayını bildirmekteki uzun gecikmeleri nedeniyle ağır bir şekilde eleştirildi.
Şirketler neden ihlallerini bildirmiyor?
Şirketlerin siber aşçılar tarafından soyuldukları konusunda bağırmaya aşırı istekli olmamalarının ilk ve en bariz nedeni, bir veri ihlalinin yöneticilerin yanı sıra kuruluşlarının itibarına da verebileceği zarardır. . Elbette bir ihlali bildirmemenin sonuçları çok daha kötü olabilir. Diğer bir faktör de şirketlerin aslında yükümlülüklerinin ne olduğunu, hatta bir ihlal meydana geldiğinde nasıl rapor edeceklerini bilmemeleri olabilir. Örneğin, IoD raporuna göre, Birleşik Krallık merkezli ankete katılanların %68'i, Birleşik Krallık Ulusal Dolandırıcılık ve Siber Suç Raporlama Merkezi olan ActionFraud'un farkında bile değildi. Ek olarak, yöneticilerin %90'ı siber güvenliğin önemi konusunda hemfikir olsa da, yalnızca %50 civarında resmi bir güvenlik stratejisi vardı ve yalnızca %20'sinin herhangi bir siber sigorta politikası vardı.
Bu durumu düzeltmek için ne yapılabilir?
Bildiğiniz gibi Genel Veri Koruma Yönetmeliği (GDPR) yakında yürürlüğe girecek. GDPR uyarınca kuruluşların, ciddi bir ihlalin tespit edilmesinden sonraki 72 saat içinde ilgili denetim makamına bildirimde bulunması gerekmektedir. İlgili makama bildirimde bulunulmaması, 10 milyon Euro tutarında veya küresel cironun yüzde 2'si kadar para cezasıyla sonuçlanabilir. Peki bu cezalar kuruluşları veri ihlallerini açıklamaya teşvik edecek mi? Bunu yapmaları gerekir, ancak bu aynı zamanda denetleyici otoritenin kuralları uygulama becerisine ve/veya istekliliğine de bağlıdır.
Lepide, kuruluşların içeriden gelen tehditleri tespit etmesine, fidye yazılımının yayılmasını önlemesine ve uyumluluk zorluklarını aşmasına olanak tanıyan gerçek zamanlı olay algılama ve raporlama yazılımının lider sağlayıcısıdır.