HP, kurumları tehdit eden platform güvenlik açıklarını ortaya koyan raporunu yayınladı

HP, aygıtların hayat döngülerinin her kademesinde güvenliğinin sağlanmamasının geniş kapsamlı siber güvenlik tesirlerini vurgulayan yeni bir rapor yayınladı. Bulgular, platform güvenliğinin (PC’lerin, dizüstü bilgisayarların ve yazıcıların donanım ve eser yazılımının garanti altına alınması) ekseriyetle göz arkası edildiğini ve gelecek yıllar için siber güvenlik duruşunu zayıflattığını gösteriyor.

800’den fazla BT ve güvenlik karar vericisi (ITSDM) ve 6000’den fazla her yerden çalışma (WFA) çalışanıyla yapılan global bir araştırmaya dayanan rapor, platform güvenliğinin artan bir kaygı kaynağı olduğunu ve ITSDM’lerin yüzde 81’inin saldırganların savunmasız aygıtları istismar etmemesi için donanım ve eser yazılımı güvenliğinin bir öncelik haline gelmesi gerektiği konusunda hemfikir olduğunu gösteriyor. Bununla birlikte, yüzde 68’i donanım ve eser yazılımı güvenliğine yapılan yatırımın aygıtların toplam sahip olma maliyetinde (TCO) ekseriyetle göz arkası edildiğini bildiriyor. Bu da maliyetli güvenlik sıkıntılarına, idare masraflarına ve ilerleyen etaplarda verimsizliklere yol açıyor.

Cihaz ömür döngüsünün 5 kademesinden elde edilen değerli bulgular şunlar:

1. Tedarikçi Seçimi – Buna ek olarak, yüzde 34’ü bir PC, dizüstü bilgisayar yahut yazıcı tedarikçisinin son beş yıl içinde bir siber güvenlik kontrolünde başarısız olduğunu ve yüzde 18’i bu başarısızlığın mukavelelerini feshedecek kadar önemli olduğunu söylüyor. ITSDM’lerin yüzde 60’ı aygıt tedarikinde BT ve güvenlik katılımının olmamasının kurumu riske attığını söylüyor.

2. İşe Alıştırma ve Yapılandırma – ITSDM’lerin yarısından fazlası (yüzde 53) BIOS şifrelerinin paylaşıldığını, çok yaygın olarak kullanıldığını yahut gereğince güçlü olmadığını söylüyor. Dahası, yüzde 53’ü BIOS şifrelerini bir aygıtın kullanım ömrü boyunca nadiren değiştirdiklerini itiraf ediyor.

3. Daima İdare – ITSDM’lerin %60’ından fazlası dizüstü bilgisayarlar yahut yazıcılar için eser yazılımı güncellemelerini hazır olur olmaz yapmıyor. ITSDM’lerin %57’si eser yazılımı ile ilgili olarak FOMU (Güncelleme Yapma Korkusu) yaşadıklarını söylüyor. Tekrar de %80’i yapay zekanın yükselişinin saldırganların daha süratli açıklar geliştireceği manasına geldiğine ve bu nedenle süratli güncelleme yapmanın hayati ehemmiyet taşıdığına inanıyor.

4. İzleme ve Düzgünleştirme – Her yıl, kaybolan ve çalınan aygıtlar kurumlara varsayımı olarak 8,6 milyar dolara mal oluyor. Uzaktan çalışan her 5 şahıstan birinin bilgisayarını kaybetmiş ya da çaldırmış ve BT’ye haber vermeden evvel ortalama 25 saat beklemiş olduğu görülüyor.

5. İkinci El Kullanım ve Hizmet Dışı Bırakma- ITSDM’lerin neredeyse yarısı (yüzde 47) PC’lerin yahut dizüstü bilgisayarların yine kullanılması, yine satılması yahut geri dönüştürülmesi kelam konusu olduğunda bilgi güvenliği kaygılarının büyük bir pürüz olduğunu söylerken, %yüzde 9’u bunun yazıcılar için büyük bir mani olduğunu söylüyor.

HP Güvenlik Araştırma ve İnovasyon Baş Teknoloji Uzmanı Boris Balacheff, “Bilgisayar, dizüstü bilgisayar yahut yazıcı satın almak, bir kurumun uç nokta altyapısı üzerinde uzun vadeli tesiri olan bir güvenlik kararıdır. Satın alma sırasında donanım ve eser yazılımı güvenlik ihtiyaçlarının önceliklendirilmesi ya da önceliklendirilmemesi, güvenlik ve yönetilebilirlik ihtiyaçlarının mevcut en son teknolojiye kıyasla çok düşük belirlenmesi durumunda, riske maruz kalmanın artmasından maliyetlerin yükselmesine ya da olumsuz kullanıcı tecrübesine kadar bir aygıt filosunun tüm ömrü boyunca sonuçlar doğurabilir,” diye uyarıyor

Balacheff şöyle devam ediyor: “Son kullanıcı aygıt altyapılarının siber risklere karşı dirençli hale gelmesi çok kıymetlidir. Bu, donanım ve eser yazılımı güvenliğine öncelik vermek ve filodaki aygıtların tüm ömür döngüsü boyunca nasıl yönetildiklerinin olgunluğunu geliştirmekle başlar.”

Fabrikadan parmak ucuna – tedarikçi seçim sürecindeki dikkatsizlikler ve işe alım ve yapılandırma sınırlamaları, aygıt güvenliğini hayat döngüsü boyunca etkiliyor

Bulgular, BT ve güvenliğin yeni aygıtlar için satın alma sürecinin bir kesimi olması, ihtiyaçları belirlemesi ve tedarikçinin güvenlik savlarını doğrulaması için artan muhtaçlığı vurguluyor:

• ITSDM’lerin yüzde 52’si satın alma gruplarının tedarikçilerin donanım ve eser yazılımı güvenlik savlarını doğrulamak için BT ve güvenlikle nadiren işbirliği yaptığını söylüyor.
• ITSDM’lerin yüzde 45’i, RFP’lerdeki donanım ve eser yazılımı güvenlik argümanlarını doğrulama araçlarına sahip olmadıkları için tedarikçilerin doğruyu söylediğine güvenmek zorunda olduklarını itiraf ediyor.
• Hatta ITDMS’lerin yüzde 48’i satın alma takımlarının tedarikçilerin söylediği her şeye inanacakları için “kurbanlık koyun” üzere olduklarını söylüyor.

BT uzmanları ayrıyeten aygıtları donanım ve eser yazılımı düzeyine kadar sıkıntısız bir formda devreye alma ve yapılandırma marifetlerinin hudutlarından da telaş duyuyor.

• ITSDM’lerin yüzde 78’i, güvenliği artırmak için donanım ve eser yazılımı güvenlik yapılandırmasını içerecek halde bulut üzerinden sıfır dokunuşla birinci iştirak istiyor.
• ITSDM’lerin yüzde 57’si aygıtları bulut üzerinden devreye alamamaktan ve yapılandıramamaktan ötürü hayal kırıklığı yaşıyor.
• Evlerine bir aygıt teslim edilen WFA çalışanlarının neredeyse yarısı (yüzde 48), birinci iştirak ve yapılandırma sürecinin rahatsız edici olduğundan şikayet etti.

“Elbette kesinlikle güvenebileceğiniz teknoloji sağlayıcılarını seçiyorsunuz. Lakin BT altyapınıza giriş noktası olarak hizmet veren aygıtların güvenliği kelam konusu olduğunda, bu körü körüne bir inanç olmamalıdır,” diyen HP Inc. Tedarik Zinciri Siber Güvenlik İş Bilgi Güvenliği Sorumlusu Michael Heywood şöyle devam ediyor: “ Kurumlar, güvenlik taleplerinin karşılandığından ve aygıtların inançlı ve verimli bir halde devreye alınabildiğinden emin olmak için teknik brifingler, detaylı dokümanlar, sistemli kontroller ve titiz bir doğrulama süreci üzere somut ispatlara muhtaçlık duyarlar.”

Cihazların daima idaresi, izlenmesi ve güzelleştirilmesi ile ilgili zorluklar ve hayal kırıklıkları

ITSDM’lerin yüzde 71’i, her yerden çalışma modellerindeki artışın platform güvenliğini yönetmeyi daha sıkıntı hale getirdiğini, çalışan verimliliğini etkilediğini ve riskli davranışlar yarattığını söylüyor:

• Her dört çalışandan biri, BT’den tamir etmesini yahut değiştirmesini istemek yerine makus performans gösteren bir dizüstü bilgisayara katlanmayı tercih ediyor zira kesinti mühletini göze alamıyorlar.
• Çalışanların yüzde 49’u dizüstü bilgisayarlarını tamire gönderdiklerini ve aygıtın tamirinin ya da değiştirilmesinin 2,5 günden fazla sürdüğünü söylüyor; bu da birçoğunu iş için şahsî dizüstü bilgisayarlarını kullanmaya ya da ailelerinden yahut arkadaşlarından bir dizüstü bilgisayar ödünç almaya zorluyor – ferdî ve profesyonel kullanım ortasındaki çizgileri bulanıklaştırıyor.
• Yüzde 12’sinin bir iş aygıtını yetkisiz bir üçüncü taraf sağlayıcıya tamir ettirerek potansiyel olarak platform güvenliğini tehlikeye atmış ve BT’nin aygıt bütünlüğüne ait görüşünü bulanıklaştırmış olduğu görülüyor.

Tehdit aktörlerinin hassas datalara ve kritik sistemlere erişimini önlemek için donanım ve eser yazılımı tehditlerinin izlenmesi ve düzeltilmesi hayati değer taşıyor. Lakin ITSDM’lerin yüzde 79’u donanım ve eser yazılımı güvenliği konusundaki anlayışlarının yazılım güvenliği konusundaki bilgilerinin gerisinde kaldığını söylüyor. Dahası, filolarında donanım ve eser yazılımı güvenliğini yönetmek için istedikleri görünürlüğü ve denetimi sağlayacak olgun araçlardan mahrumlar:

• ITSDM’lerin yüzde 63’ü aygıt donanımı ve eser yazılımı güvenlik açıkları ve yanlış yapılandırmalarla ilgili birden fazla kör noktayla karşı karşıya olduklarını söylüyor.
• Yüzde 57’si risk altındaki aygıtları pahalandırmak için geçmiş güvenlik olaylarının donanım ve eser yazılımı üzerindeki tesirini tahlil edemiyor.
• Yüzde 60’ı donanım yahut eser yazılımı taarruzlarını tespit etmenin ve azaltmanın imkansız olduğunu söylüyor ve ihlal sonrası uygunlaştırmayı tek yol olarak görüyor.

HP Güvenlik Laboratuvarı Baş Tehdit Araştırmacısı Alex Holland, “Donanım ve eser yazılımı hücumları kelam konusu olduğunda, ihlal sonrası güzelleştirme kaybedilen bir stratejidir” ihtarında bulunuyor. “Bu ataklar, sistemlerin derinliklerine yerleşerek düşmanlara aygıtlar üzerinde tam denetim sağlayabilir. Klasik güvenlik araçları, işletim sistemi ve yazılım katmanlarına odaklanma eğiliminde olduklarından bu tehditlere karşı kördür ve tespit edilmelerini neredeyse imkansız hale getirir. Bu hücumları birinci etapta önlemek ya da denetim altına almak, bir adım önde olmak için kritik değer taşıyor; aksi takdirde kurumlar göremedikleri ve ortadan kaldıramadıkları bir tehditle karşı karşıya kalabilirler.”

İkinci el kullanım ve hizmet dışı bırakma: Bilgi güvenliği kaygıları e-atık salgınına nasıl yol açıyor?

Platform güvenliği telaşları de kurumların ömrünü tamamlamış aygıtları tekrar kullanma, geri dönüştürme yahut tekrar satma imkanlarını kısıtlıyor:

• ITSDM’lerin yüzde 59’u aygıtlara ikinci bir hayat vermenin çok güç olduğunu ve bu nedenle data güvenliği tasaları nedeniyle aygıtları çoklukla imha ettiklerini söylüyor.
• Yüzde 69’u, sterilize edebildikleri takdirde yine kullanılabilecek yahut bağışlanabilecek kıymetli sayıda aygıtın üzerinde oturduklarını söylüyor.
• ITSDM’lerin yüzde 60’ı, eksiksiz biçimde kullanılabilir dizüstü bilgisayarları geri dönüştürme ve tekrar kullanma konusundaki başarısızlıklarının bir e-atık salgınına yol açtığını kabul ediyor.

Birçok çalışanın eski iş aygıtlarını hiçbir şey yapmasa da elinde tutması işleri daha da karmaşık hale getiriyor. Bu yalnızca aygıtların tekrar kullanılmasını engellemekle kalmıyor, tıpkı vakitte hala kurumsal data taşıyabilen öksüz aygıtlarla ilgili bilgi güvenliği riskleri de yaratıyor.

• WFA çalışanlarının yüzde 70’inin konutunda ya da ofisindeki çalışma alanında en az 1 eski iş bilgisayarı/dizüstü bilgisayarı bulunuyor.
• WFA çalışanlarının yüzde 12’si aygıtlarını çabucak iade etmeden işten ayrılmış ve bunların neredeyse yarısı hiç iade etmediklerini söylüyor.

HP Solutions, Operasyon ve Portföylerden sorumlu Kıdemli Lider Yardımcısı ve Genel Müdürü Grant Hoffman, “BT takımları, tüm hassas şirket yahut şahsî bilgilerin büsbütün silindiğine dair teminata sahip olmadıkları için ömrünü tamamlamış aygıtları biriktiriyor ki bu da kendi başına data güvenliği riskleri oluşturabiliyor ve ESG amaçlarını olumsuz etkileyebiliyor. En son sanayi standardı silme yahut medya imha süreçlerini kullanan ve uyumluluk ihtiyaçlarını karşılayabilmeniz için bir bilgi temizleme sertifikası sağlayan saygın bir BT varlık imha tedarikçisi bulmak çok kıymetlidir,” diyor.

Platform güvenliğini güzelleştirmek için aygıt ömür döngüsüne yeni bir yaklaşım gerekiyor

Kurumların üçte ikisinden fazlası (yüzde 69), aygıt donanımı ve eser yazılımı güvenliğini yönetme yaklaşımlarının hayat döngülerinin sadece küçük bir kısmını ele aldığını söylüyor. Bu durum aygıtları açıkta bırakıyor ve gruplar tedarikçi seçiminden hizmet dışı bırakmaya kadar platform güvenliğini izleyemiyor ve denetim edemiyor.

Platform güvenliğini tüm ömür döngüsü boyunca yönetmek için HP Wolf Security’nin önerileri şunları içeriyor:

• Tedarikçi seçimi: BT, güvenlik ve satın alma takımlarının yeni aygıtlar için güvenlik ve esneklik ihtiyaçlarını belirlemek, satıcı güvenlik argümanlarını doğrulamak ve tedarikçi üretim güvenlik yönetişimini denetlemek için birlikte çalışmasını sağlayın.
• İlk iştirak ve yapılandırma: Aygıtların ve kullanıcıların inançlı bir halde sıfır dokunuşla işe alınmasını ve BIOS parolaları üzere zayıf kimlik doğrulamasına dayanmayan eser yazılımı ayarlarının inançlı bir halde yönetilmesini sağlayan tahlilleri araştırın.
• Sürekli idare: BT’nin aygıt yapılandırmasını uzaktan izlemesine ve güncellemesine yardımcı olacak araçları belirleyin ve filonuzun atak yüzeyini azaltmak için eser yazılımı güncellemelerini süratli bir formda dağıtın.
• İzleme ve Düzeltme: Kayıp ve çalıntı aygıt riskini azaltmak için BT ve güvenlik takımlarının aygıtlardaki bilgileri uzaktan bulabilmesini, kilitleyebilmesini ve silebilmesini sağlayın. Yetkisiz donanım ve eser yazılımı değişikliklerini ve istismar belirtilerini tespit etmek üzere platform güvenlik risklerini belirlemek için aygıt kontrol günlüklerini izleyerek dayanıklılığı artırın.

İkinci kere kullanım ve hizmet dışı bırakma: İnançlı bir formda hizmet dışı bırakmayı sağlamak için hassas donanım ve eser yazılımı datalarını inançlı bir halde silebilen aygıtlara öncelik verin. Aygıtları yine hizmete almadan evvel, nezaret zincirini, donanım ve eser yazılımı bütünlüğünü doğrulamak için ömür uzunluğu hizmet geçmişlerini denetlemeye çalışın.