İç Tehditler (Insider Threat) Neden Göz Ardı Ediliyor?

İç Tehdit Türleri

1. Kötü Niyetli İçeriden Kişiler (Malicious Insider)
   • Bilerek kuruma zarar verir.
   • Veri çalma, bilgi sızdırma, sistem sabote etme gibi eylemler gerçekleştirir.
   • Genellikle yüksek erişim yetkilerine sahiptir.
     
     
2. Kasıtsız (İhmal Kaynaklı) İç Tehdit
   • Kötü niyet yoktur, hatalı davranışlar zarara yol açar.
   • Kimlik avı e-postalarına tıklama, zayıf parola kullanımı, yanlış kişiye veri gönderme gibi durumlar görülür.
     
     
3. İhmalkâr İç Tehdit
   • Güvenlik kurallarını bilerek ya da önemsemeyerek ihlal eder.
   • Yetkisiz yazılım yükleme, güvenlik politikalarını atlama, paylaşılan hesap kullanımı yaygındır.
     
     
4. Eski Çalışanlar
   • İşten ayrıldıktan sonra kapatılmayan hesaplar nedeniyle yetkisiz erişim sağlayabilirler.
     
     
5. İş Ortakları ve Tedarikçiler (Third-Party Insider)
   • Sözleşmeli erişimlere sahip kişilerdir.
   • Zayıf güvenlik uygulamaları nedeniyle risk oluştururlar.
     
     

Dış Tehdit Odaklı Güvenlik Algısı

Kurumların siber güvenliği ağırlıklı olarak dışarıdan gelen saldırılara odaklamasıdır. Temel varsayım “tehdit dışarıdadır, içeridekiler güvenilirdir” düşüncesidir. 

Güvenlik önlemleri firewall, IDS/IPS, antivirüs, VPN gibi çevre (perimetre) güvenliği çözümlerine yoğunlaşır. İç kullanıcılara geniş yetkiler verilir, kullanıcı davranışları yeterince izlenmez. Kurum, kale modeli ile korunur; sınır aşıldığında iç ağ güvenli kabul edilir. 

İç tehditleri ve çalışan hatalarını göz ardı ettiği için veri sızıntıları ve yetki kötüye kullanımı geç fark edilir. Bulut, uzaktan çalışma ve kimlik tabanlı saldırılar nedeniyle günümüz tehdit ortamı için yetersizdir.

Yönetimsel ve Organizasyonel Eksiklikler

Bilgi güvenliğinde zafiyetlerin büyük kısmı, teknik önlemlerden ziyade yönetimsel ve organizasyonel eksikliklerden kaynaklanmaktadır. Yönetimsel eksiklikler; güvenlik politikalarının yetersizliği, üst yönetimin desteğinin azlığı ve risk yönetimi süreçlerinin eksikliğini içerir. Bu durum, veri sızıntıları ve yetkisiz erişim riskini artırmaktadır.

Organizasyonel eksiklikler ise, rol ve yetki karmaşası, iş süreçlerine güvenliğin entegre edilmemesi ve denetim mekanizmalarının yetersizliğini kapsar. Ayrıca güvenlik kültürünün zayıf olması, çalışan hataları ve içeriden tehditlerin artmasına yol açar.

İç Tehditlerin Kurumlara Etkileri

İç tehditler, kurum içinden gelen ve yetkili erişime sahip kişilerin kasıtlı veya kasıtsız eylemlerinden kaynaklanan risklerdir ve kurumlar için maddi, operasyonel, itibar ve yasal açıdan ciddi etkiler oluşturur.

Temel Etkiler:

1. Maddi Kayıplar ve Artan Maliyetler
   • Doğrudan zarar: Para kaybı, varlık hırsızlığı, sistem onarım giderleri.
   • İyileştirme maliyetleri: Adli inceleme, güvenlik yazılımları ve danışmanlık.
   • Zaman kaybı: İç tehditlerin tespiti ortalama 90 gün sürebilir, operasyonel kayıpları artırır.
2. İtibar Kaybı ve Müşteri Güveni
   • Güven sarsılması: Müşteriler verilerinin içeriden sızdırıldığını öğrenirse güven kaybı yaşar.
   • Marka değeri düşüşü: Sosyal medya ve haberlerde çıkan sızıntılar uzun süreli imaj kaybına yol açar.
3. Fikri Mülkiyet (IP) Hırsızlığı
   • Ticari sırların veya stratejik planların rakiplere aktarılması, rekabet avantajını yok eder.
   • Özel yazılım ve Ar-Ge ürünlerinin çalınması, yıllarca süren yatırımların boşa gitmesine neden olur.
4. Hukuki ve Düzenleyici Cezalar
   • KVKK ve GDPR ihlalleri ciddi idari para cezaları doğurur.
   • Tazminat davaları, kurumun finansal dengesini sarsabilir.
5. Operasyonel ve Psikolojik Etkiler
   • Çalışan moralinde düşüş ve kurum içi güven ortamının bozulması.
   • Sabotaj veya sistemleri manipüle etme nedeniyle iş sürekliliğinin aksaması.
     
     

SONUÇ

İç tehditler, yetkili erişime sahip kişilerin kasıtlı veya kasıtsız eylemlerinden kaynaklanır ve kurumun veri, sistem, itibar ile iş sürekliliğini tehdit eder. Kötü niyetli kişiler veri hırsızlığı veya sabotaj yaparken, ihmalkâr kullanıcılar hatalarla zarar verebilir. Sadece dış tehditlere odaklanan güvenlik yaklaşımı iç tehditleri göz ardı ettiği için yetersiz kalır. Etkili siber güvenlik, iç ve dış tehditleri birlikte ele alan bütüncül bir yaklaşım gerektirir.