Tedarik Zinciri Saldırısı Nedir?

Tedarik zinciri saldırısı, kurumların üçüncü taraf tedarikçilerden aldığı yazılım, donanım veya hizmetlere sızarak hedef kuruma erişim elde edilmesiyle yapılan saldırıdır.

Siber saldırganlar, doğrudan hedef kuruma saldırmak yerine daha zayıf halkayı (tedarikçi) hedef alır. Bu yüzden tedarik zinciri saldırıları yüksek etki – düşük görünürlük prensibiyle çalışır ve çok tehlikelidir.

Donanım yoluyla tedarik zinciri saldırıları

Bu saldırılar, fiziksel donanım bileşenlerine gizli çip, dinleme modülü, mikro kamera/ses kaydedici gibi zararlı bileşenlerin yerleştirilmesi ile gerçekleştirilir.

Örnek hedefler:

1. 1. Anakartlar
   2. USB sürücüleri
   3. Ağ anahtarları, Ethernet kabloları
      Avantajları: Düşük maliyet ve uzun süreli izleme
      Dezavantajı: Fiziksel inceleme ile daha hızlı tespit edilebilir.

Yazılım yoluyla tedarik zinciri saldırıları

En yaygın yöntemlerden biridir.

Saldırganlar:

1. 1. Tedarikçinin geliştirdiği uygulamaya kötü amaçlı kod enjekte eder.
   2. Yazılım güncellemelerine arka kapı veya trojan yerleştirir.
   3. Kurumsal yazılım entegrasyonları üzerinden ağa sızar.

Bu yöntem, büyük kurumların direkt satın aldığı ERP, CRM, güvenlik yazılımları gibi sistemlerde çok büyük etki yaratabilir.

Firmware (BIOS/UEFI vb.) yoluyla tedarik zinciri saldırıları

Firmware saldırıları en kritik olanıdır çünkü:

1. 1. Donanım ile işletim sistemi arasındaki en temel katmanı hedef alır.
   2. Tespit edilmesi çok zordur, antivirüs tarafından görülmez.
   3. Güncellemeler ile dünya çapında yayılabilir.

Bu nedenle devlet destekli APT (Advanced Persistent Threat) grupları tarafından sıklıkla kullanılır.

Tedarik Zinciri Saldırısı Örneği: SolarWinds (2020)

2020’de dünyayı etkileyen en büyük saldırılardan biri SolarWinds Orion yazılımına yerleştirilen arka kapıyla gerçekleşti.

Sonuç:

1. 1. ABD Hazine Bakanlığı dahil birçok devlet kurumu
   2. Fortune 500 şirketlerinin büyük bölümü
      aylar boyunca fark edilmeden izlendi.

Saldırının yapısı:

1. 1. SolarWinds güncelleme sunucuları hacklendi.
   2. Orion yazılım güncellemesi içine zararlı kod eklendi.
   3. Bu güncellemeyi indiren tüm kurumlar saldırıya maruz kaldı.

Bu saldırı, Zero Trust modelinin önemini küresel ölçekte kanıtladı.

Tedarikçi Risk Yönetimi (Vendor Risk Management — VRM) Nedir?

Tedarikçi risk yönetimi; bir işletmenin üçüncü taraf tedarikçilerden kaynaklanan riskleri tespit etme, ölçme, sınıflandırma ve azaltma sürecidir.

Hedeflenen risk alanları:

1. 1. Siber güvenlik açıkları
   2. Finansal sürdürülebilirlik
   3. Etik ve çevresel uyum
   4. Tedarik sürekliliği
   5. Dördüncü taraf (4th party) riskleri

VRM; siber güvenlik yönetiminin artık zorunlu bir bileşenidir.

Tedarikçi ve Satıcı Aynı Şey mi?

Günlük iş dünyasında iki terim genellikle eş anlamlı kullanılır:

1. 1. Tedarikçi (supplier): Üretim için girdileri sağlar
   2. Satıcı (vendor): Ürünü veya hizmeti son kullanıcıya satar

Risk yönetimi açısından VRM = SRM olarak ele alınır.

Tedarikçi Risk Türleri

1. 1. Finansal Risk: Tedarikçinin iflas etmesi, sözleşmeye uyumsuzluk
   2. Etik Risk: Çocuk işçilik, yasa dışı üretim, sosyal sorumluluk ihlali
   3. Çevresel Risk: Kirlenme, toksik üretim süreçleri
   4. Siyasi Risk: Ülke karışıklığı, ambargo, devlet müdahalesi
   5. Ekonomik Risk: Kur dalgalanması, maliyet öngörülemezliği
   6. Dördüncü Taraf Riski: Tedarikçinin kendi tedarikçilerinin yarattığı risk

Tedarikçi Risk Yönetimi Neden Önemlidir?

1. 1. Mali kayıpları azaltır
   2. Operasyonel sürekliliği korur
   3. Düzenleyici uyum sağlar (KVKK, GDPR, HIPAA vb.)
   4. Şirket itibarını korur
   5. Tedarik zinciri kesintilerini önler

Tedarikçi Riskini Nasıl Yönetirsiniz?

Kimliklendirme

1. 1. Hangi tedarikçi kritik?
   2. Aşırı bağımlılık var mı?
   3. Geçmiş performansı?

Değerlendirme (Risk Skoru)

1. 1. Kesinti ihtimali nedir?
   2. Olası etki seviyesi?
   3. Tetikleyici sinyaller?

Azaltma (Mitigation)

1. 1. Tedarikçi çeşitlendirme
   2. Yedek tedarik planı
   3. SLA ve cezai şartlı sözleşmeler
   4. Sürekli izleme ve denetim

Ek olarak:

1. 1. Zero Trust mimarisi
   2. SBOM (Software Bill of Materials)
   3. SOC 2, ISO 27001 sertifikasyonları
   4. Tedarikçi siber skorlaması

Tedarikçi Risk Yönetiminin Uygulanması

1. 1. Kurumsal VRM politikası oluşturun
   2. Tedarikçileri puanlama matrisi ile değerlendirin
   3. Finansal rapor ve referans doğrulaması alın
   4. SLA ve güvenlik gereksinimlerini sözleşmeye yazın
   5. Tedarik zincirini sürekli tarayın ve raporlayın

Sonuç

Sağlık sektöründe artan dijitalleşme, kişisel ve tıbbi verilerin hassasiyetini daha da öne çıkararak siber güvenliği stratejik bir zorunluluk haline getirmektedir. Hasta bilgilerinin korunması yalnızca teknik bir gereklilik değil; aynı zamanda hukuki sorumluluk ve kurumsal itibar açısından kritik bir unsurdur. Güçlü şifreleme, erişim kontrolü, çok faktörlü kimlik doğrulama, düzenli sızma testleri ve çalışan farkındalığı eğitimleri, veri ihlali risklerini azaltan temel bileşenlerdir. Bu önlemler, hem mevcut tehditleri bertaraf etmeye yardımcı olur hem de sağlık kuruluşlarını geleceğin daha karmaşık siber saldırılarına karşı hazırlıklı hale getirir. Sağlık sektörü, tüm paydaşlarıyla birlikte siber güvenliği operasyonların merkezine yerleştirdiği ölçüde hasta güvenini ve hizmet kalitesini sürdürülebilir bir biçimde koruyabilir.