#RSAC2018
2018 RSA Konferansından döndük ve endüstri için önem arz eden konular hakkındaki izlenimlerimizi paylaşmak istiyoruz. Elbette, bütün konuşmalara ve oturumlara katılamadık ve konferansın her köşesine göz atamadık ama başlıca yönelimleri kavrayacak ve siber güvenlik alanındaki meslektaşlarımızın canını en çok sıkan konuları anlayacak kadar çok şey duyduk. Bu yazıda, tedarik zinciri saldırıları, jeopolitiğin siber güvenliğe etkileri, Avrupa’da kişisel verilerle ilgili yeni yasa (Genel Verilerin Korunması Yönetmeliği), buluta taşınma ve makine öğrenimi gibi sıcak gündem maddelerinden söz edeceğiz.
Tedarik zinciri saldırıları
Uzmanlarımızın Kaspersky Güvenlik Bülteni‘nde tahmin ettiği gibi bu yılın sıcak gündem maddelerinden biri de tedarik zinciri saldırılarıdır. Bugünlerde, neredeyse her firma kullandığı yazılımın geliştirilmesinde hizmet, araç veya yazılım temin eden taşeronlarla çalışıyor. Özellikle yazılım endüstrisi üçüncü şahıs teknolojilerine ve hatta bazen açık kaynak koduna bağımlı hale geldi. Bu durum anlaşılabilir: Tekerleği tekrar icat etmek yerine zaman içinde denenmiş bir çözümü uygulamak daha doğrudur. Ancak tehdit aktörleri doğrudan kendi hedeflerine saldırmaya çalışmak yerine küçük taşeronların veya sağlayıcıların peşinden giderek bu durumu kendi çıkarları için kullanmaya başladı.
Konferanstaki bazı konuşmalar bu soruna ayrılmıştı. Bu tür bir saldırının en dile düşmüş örneği zaten kapsamlı şekilde tartışılmış olan NotPetya’dır. Bu sorunun sihirli bir çözümü olmasa da, siber güvenlik uzmanları başlangıç olarak tedarik zincirine daha fazla dikkat verilmesi çağrısında bulunuyor: Tedarikçilerinizin saygınlığına dikkat edin, harici araçları ve modülleri değerlendirin ve saf dışı bırakamayacağınız bütün üçüncü şahıs yazılımlarına ihtiyatla yaklaşın.
Jeopolitik
Konferansta jeopolitik gerilimler üzerinde de sıkça duruldu. Bazı konuşmalar sadece bu konu hakkındaydı ve diğer birçoğunda da bu soruna dolaylı olarak değinildi. Aklı başında fikirler önererek siber güvenlikte uluslararası işbirliğine gidilmesi ihtiyacını dile getirenler olduğu kadar desteksiz iddialar ortaya atıp siyasi açıdan felaket tellallığı yapanlar da vardı. Ne yazık ki, bu ikinci grup istikrarsızlığı körükleyerek İnterneti bölümlere ayırma potansiyeli taşıyor.
Biz uluslararası bir firma olarak bu yönelimi siber güvenlik topluluğunun geneli açısından tehlikeli buluyoruz çünkü bölümlere ayrılma sorunları çözmek yerine çoğaltır.
Genel Verilerin Korunması Yönetmeliği (GDPR)
Bir aydan kısa bir süre sonra, AB yasalarında verilerin korunması ve gizliliği ile ilgili bir yönetmelik olan Genel Verilerin Korunması Yönetmeliği yürürlüğe girecek. Bu nedenle bu konu RSA’da çok konuşuldu. Bazı uzmanlar bu yönetmeliğin devrim niteliği taşıdığını ve kişisel verilerin korunması yönünde atılmış muazzam bir adım olduğunu söyledi. Küçük bir grup ise bunun işletmeler için hayatı çok zorlaştıracağını iddia etti. AB’de iş yapanlar dahil bazı firmaların buna hazır olmadığı konusunda ise herkes mutabıktı. Bu yönetmeliğin siber sigorta endüstrisindeki yükselişe destek vereceği tahmin ediliyor.
Buluta taşınma
Herkes bulut teknolojisinin benimsenmesinden buluta taşınmaktan söz ediyor. Artık çevreyi koruyamadıklarını söyleyerek güvenlik duvarlarının terk edilmesi ya da sanal makineler istendiği zaman kapatılarak resimden tekrar canlandırılabildiği için bunlarda siber güvenlik çözümleriyle uğraşılmaması gibi oldukça tehlikeli fikirler ortaya atanlar var. Ancak piyasanın en ciddi oyuncuları bulut bazlı (ya da kısmen bulut bazlı) IT altyapısını koruyabilecek kapasitede çözümler sundu.
Biz de farklı değildik. Meslektaşlarımız ağ yöneticilerinin kısmen kendi bulutunuzda kısmen de halka açık bulut hizmetlerinde (örneğin AWS ya da Azure) duran altyapıyı korumasına yardımcı olan ve izleme ve yönetim için tek konsollu bir arayüz sağlayan yeni Kaspersky Hybrid Cloud Security çözümümüzü sundu. Buradan konu hakkında daha çok bilgi edinebilirsiniz.
Makine öğrenimi
Siber güvenlikte Makine Öğrenimi teknolojileriyle ilgili aldatıcı reklamlar, eskisi kadar yoğun olmamakla beraber, hala devam ediyor. Sergi katında, birçok firma makine öğreniminin ve hatta “yapay zekanın” korumada onlara nasıl yardımcı olduğunu anlatıyordu. Oturumlarda konuşan uzmanlar ise o kadar coşkulu değildi.
Coşkunun azalmasının başlıca nedeni “makine öğrenimi” ifadesinin bir pazarlama klişesine dönüşmüş olmasıdır. Pazarlama malzemelerinde bunu kullanan bazı firmalar bunun ne olduğunu ve ne işe yaradığını bile açıklayamıyor. Diğerleri de bunu ilgisiz teknolojileri anlatırken kullanıyor. Bu yönelime karşı oluşan tutum değişikliği Eski Batılı karakter kostümleri içinde, şişelenmiş yapay zeka özütü satan bir grup oyuncu tarafından eğlendirici şekilde temsil edildi.
Kapanış konuşmaları sadece bu konuya ayrılmıştı. Konuşmacılar makine öğreniminin, sihirli bir çözüm olarak değil bir tespit faktörü olarak doğru kullanılması ve öğrenme sürecinin de uzmanlarca kontrol edilmesi şartıyla, güvenlik çözümlerine kesinlikle fayda sağlayacağı konusunda mutabıktı. Ve son birkaç yıldır biz de tam olarak aynı şeyi söylüyoruz.
İpuçları