Gölge IT’nin Oluşturduğu Riskler ve Önleme Yöntemleri

İş dünyasının dijital çeviklik ve siber güvenlik konularında her zaman ihtiyatlı olduğunu söylemek pek mümkün değil. Fakat COVID-19 pandemisi ile etki alanını hızlı şekilde genişleten dijital dönüşüm, şirketleri ve kamu kurumlarını veri güvenliği ile ilgili her konuda ciddi önlemler almaya yönlendirdi. Söz konusu kuruluşlar hem iş akışlarını ve kullanıcılara sundukları hizmeti hem de üçüncü paydaşlarla kurdukları ortaklıkları, ürettikleri stratejileri sürdürülebilir kılmak amacıyla bir dizi erişim güvenliği protokolünden yararlanıyor.

Öte yandan siber riskler ve veri ihlali vakalarının çeşitlenmesi de gölge IT gibi, BT evrenindeki önemli kavramların daha geniş kitleler tarafından duyulmasına sebep oldu. Kuruluşların veri sızıntısı, fidye yazılımı saldırıları, kötü niyetli girişimler veya daha geniş kapsamlı saldırılara karşı hazırlıksız yakalanmasına yol açan shadow IT, güvenli erişim konusunda ciddi sorunlar yaşanmasına neden olabilir.

Gölge IT Nedir?

Gölge IT, en yalın haliyle, kuruluşların BT altyapıları içinde yer alan ve BT ekiplerinin radarında olmayan, bu sebeple de varlığı tanımlanamayan, yönetilemeyen sistemler anlamına geliyor. Ayrıca gölge IT, kuruluşun BT ekibinin onayı olmadan ağ içinde kullanılan bir sistem, çözüm veya cihaz da olabilir. Temelde bulut, sanal sunucu, fiziki sunucu, mesajlaşma uygulamaları ve bilgisayarlarda olmak üzere, kuruluşunuzun BT ağında birçok farklı şekilde bulunabilen gölge IT, siber riskler karşısında savunmasız kalınmasını kolaylaştırıyor. Siber saldırganlar için açık kapı bırakan kötü amaçlı yazılım, verilerin açığa çıkması ile sonuçlanan ihlallere neden olduğu için kuruluşlar maddi zararlara uğruyor ve itibar kaybı sorunu yaşıyor.

Dijital çağda iş dünyasını ciddi şekilde tehdit eden shadow IT probleminin kapsamına göz atmak istediğimizde, Amerika Birleşik Devletleri, Avrupa ve Okyanusya’da çalışan 400 kamu sektörü yöneticisiyle yapılan bir anket bize aşağıdaki verileri sunuyor:

• Kamu sektörü çalışanlarının %52’si işlerini doğru şekilde yapabilmek için çalıştıkları kurumun güvenlik politikalarını sık sık gözden geçirmek zorunda kaldığını söylüyor. Bu, güvenlik politikalarının yeterince içselleştirilmediğini ya da gerekli kurum içi eğitimlerin verilmediğini gösteriyor.
• Kamu sektörü çalışanlarının %52’si iş için onaylanmamış bilgisayarları kullanıyor.
• İlgili grubun %49’u ise onaylanmamış yazılım ve bulut araçları kullanıyor.
• Kamu sektöründe çalışan insanların %51’i evden çalışmaları sebebiyle bağlı olduğu kurumun BT altyapısı ile ilgili konulara daha fazla zaman ayırıyor.

Anketten elde edilen sonuçlar kuruluşların bünyesinde çalışan insanların farklı sebeplerle önemli güvelik açıkları yaratabileceğini ortaya koyuyor. Bu güvenlik açıklarını ortadan kaldırmak ve gelişmiş bir siber güvenlik ağı tesis edebilmek için de önce gölge IT’nin yarattığı riskleri detaylı olarak bilmek gerekiyor.

Gölge IT’nin Oluşturduğu Riskler

Gölge IT’nin neden olduğu güvenlik açıkları, kritik dijital varlıklar ile ilgili veri güvenliği sorunları yaşamanıza neden olabilir. Bilgisayar korsanları gölge IT’den kaynaklı olarak savunmasız duruma düşen bir cihazı ele geçirebileceği gibi, BT ağınızda yer alan kritik veri yığınlarına da saldırabilir. Kuruluşunuzun BT altyapısında ciddi tahribatlar yaratma potansiyeline sahip olan Gölge IT’nin oluşturduğu altı önemli risk şu şekildedir:

• IT kontrolü eksikliği: Kuruluşunuz bünyesinde yer alan BT ekibi, kurumsal ağda bulunan tüm yazılımları bilmiyorsa söz konusu yazılımların kullanımının güvenli olup olmadığını da teyit edemez. Teyit edemediği için de kuruluşunuzun erişim güvenliğini sağlayamaz. BT altyapısı içindeki çözümlere yönelik yaşanabilecek bu kontrol eksikliği, saldırı yüzeyini oldukça genişletebilir. Bu da açığa çıkan veriler sorunu yaşamanıza neden olabilir.
• Veri kaybı ve veri sızıntıları: Çalışanlar zaman zaman BT ağında erişim yetkisine sahip olmadıkları verilere erişebilir. Bu yetkisiz girişimler ilgili veri yığınlarının sızdırılması tehdidini ortaya çıkarmaktadır. Ayrıca BT altyapınız tarafından onaylanmamış bir uygulamanın veri yedeklemesinin oluşturulmaması ihtimali veri kayıpları yaşamanıza sebep olabilir. Buna ek olarak veri ihlali vakaları için uygun bir kurtarma stratejisi yaratmamak da kritik verilerin kaybedilmesiyle sonuçlanabilir.
• Yamasız güvenlik açıkları ve hatalar: Yazılım üreticileri, ürettikleri yazılımlardaki güvenlik açıklarını gidermek için belirli aralıklarla yamalar yayınlıyor. Bu yamaları takip etmek ve yazılımları güncel tutmak BT ekiplerinin görevidir. Yazılımların güncel tutulmaması ağınızı otomatik olarak siber tehditlere daha açık hale getiriyor.
• Uyumluluk sorunları: Gölge IT, yasal yükümlülükler açısından da ciddi sorunlar yaratabilir. GDPR ve KVKK kapsamında yaşanabilecek veri ihlallerini tetikleme potansiyeline sahip olan gölge IT kaynaklı muhtemel sorunların önüne geçmek için çalışanların kullandığı tüm yazılımları bilmeniz ve yetkili erişimleri bu doğrultuda tanımlamanız gerekir.
• Verimsizlikler: Gölge IT sorunu iş akışını sekteye uğrattığı için kuruluşun iş modelinin verimsiz hale gelmesine neden olabilir.
• Finansal riskler: Gölge IT, veri ihlali vakaları yaratarak kuruluşların finansal risklerle karşı karşıya kalmasına sebep olur.

Gölge IT Risklerine Karşı Önlem Almanın Yolları

Kuruluşunuzun BT ekibinin, tüm çalışanlarınızın kullandığı yazılımları takip etmesi olanaksızdır. Fakat başarılı bir denetim mekanizması oluşturmak mümkündür. Bu mekanizma aşağıdaki üç adımı içermektedir:

• Çalışan eğitimi: Çalışanlarınızı özellikle hassas verilerin nasıl işleneceği konusunda eğitmeniz gerekiyor. Gizli, değerli ve kişisel olarak tanımlanan bilgilerin nasıl saklanacağını öğretmeniz gerektiği gibi, herkese açık şekilde paylaşılan servislerin yarattığı veri ihlali risklerinin de farkında olmalarını sağlamalısınız.
• Araç kullanımında işlevsellik: Çalışanlar genelde işlerini daha pratik şekilde yapabilecekleri araçlara yöneliyor. Onlara yüksek kaliteli yazılımlar sunarak BT ağınız dışındaki yazılımları kullanmalarının önüne geçebilirsiniz.
• 7/24 gözetim: BT ağınızı 7/24 denetim altında tutmalı, hangi kullanıcının hangi verilere erişim yetkisi olduğunu kontrol etmelisiniz. Güvensiz erişimleri denetlemeli ve kullanıcıların ağ içindeki ihtiyaçlarından haberdar olmalısınız.

Gölge IT’nin Veri Güvenliğinizi Riske Atmasına İzin Vermeyin

Ayrıcalıklı Erişim Yönetimi sistemleri, ayrıcalıklı hesapların kontrolü ve erişim izinlerinin denetimi konusunda daha kapsamlı bir siber güvenlik yaklaşıma sahip olmanızı sağlıyor. Sıfır güven ilkesinden hareket edilerek oluşturulan PAM çözümleri, gelişmiş görünürlük ve ayrıcalıklı hesaplar için detaylı denetim imkânı sunuyor.

İki Faktörlü Kimlik Doğrulama (2FA), Ayrıcalıklı Görev Otomasyonu (PTA), Yetkili Oturum Yöneticisi, Merkezi Parola Yönetimi, Veritabanı Erişim Yöneticisi ve Dinamik Veri Maskeleme modüllerini bünyesinde barındıran PAM sistemleri, gölge IT risklerine karşı detaylı bir denetim mekanizması oluşturuyor ve yetkili erişimleri kontrol altına alıyor. Böylece BT ağınızdaki kritik dijital varlıklar, iç ve dış tehditlere karşı en iyi şekilde korunuyor. Güvenli erişim yönetimi konusunda kuruluşların beklentilerine tam anlamıyla cevap veren Ayrıcalıklı Erişim Yönetimi uygulamaları, hassas verileri başarıyla koruyarak maddi açıdan zarara uğramanızı önlediği gibi, itibar kaybı yaşamanızın da önüne geçiyor.

Kron olarak geliştirdiğimiz ve dünyanın en kapsamlı PAM çözümleri arasında yer alan Single Connect gölge IT’nin yarattığı siber güvenlik açıklarına karşı tam koruma sunuyor. Uçtan uca, detaylı biçimde yapılandırılmış bir veri ve erişim güvenliği sağlayan Single Connect, gölge IT’den kaynaklanan kötü niyetli erişimlerin sebep olabileceği veri ihlallerini de engelleyerek kritik verileri korumanıza olanak tanıyor. Sahip olduğu benzersiz modüllerle BT ağınızdaki yetkili erişimleri 7/24 denetlemenizi ve veri ihlali vakalarına anlık olarak müdahale etmenizi mümkün kılan Single Connect, veri ihlallerin kaynağını tespit etme konusunda da son derece başarılı.

Siz de Single Connect ürünümüz hakkında detaylı bilgi edinmek için erişim güvenliği alanında uzman ekip arkadaşlarımızla iletişime geçebilirsiniz.