BT GÜVENLİĞİNDEKİ YANLIŞ İLETİŞİM

Türkiye'de üst düzey yöneticilerin yarısından fazlası (%52), BT departmanları veya BT güvenlik ekibiyle olan bir iletişimsizliğin kuruluşlarında en az bir siber güvenlik sıkıntısıyla sonuçlandığını kabul ediyor. Kişisel tutumlar açısından da BT dışı yöneticilerin çoğunluğu, ekipler arasındaki iş birliği duygusunun azaldığını (%21) ve BT güvenliği çalışanlarıyla iletişim net olmadığı zaman, bu durumun meslektaşlarının beceri ve yeteneklerini sorgulamalarına neden olduğunu söylüyor. (%33).

En son yayınlanan Forrester anketi, küresel ölçekteki şirketlerin bir siber güvenlik ihlalini tespit etmek ve sorunu çözmek için ortalama 37 gün ve 2,4 milyon dolar harcadığını söylüyor. Kaspersky de yöneticiler ve bilgi güvenliği ekipleri arasındaki karşılıklı anlayışın, şirketin siber dayanıklılığını ne kadar etkilediğini belirlemek için 1.300'den fazla iş lideriyle küresel bir anket gerçekleştirdi[1].

Araştırmanın sonuçlarına göre, Türkiye’de BT çalışanı olmayıp da ankete katılanların %99'u BT güvenliği konusunda iletişimsizlik yaşadı. Sonuçlarla ilgili olarak ilk dikkat çeken rakamlar, iletişimdeki bir arıza ciddi proje gecikmelerine (%50) ve siber güvenlik sıkıntılarına (%62) yol açıyor olması. Hatta katılımcıların neredeyse beşte biri (sırasıyla %21 ve %19) bu sorunlarla bir kereden fazla karşılaştıklarını bile söylediler. Diğer olumsuz etkilere örnek olarak boşa harcanan bir bütçe, değerli bir çalışanın kaybı ve ekipler arasındaki kötüleşen ilişkiler de katılımcıların %61'inin başına gelen durumlar.

Aşağıda “global ölçekteki” sonuçların bir grafiğini görebilirsiniz.

Kötüleşen iş göstergelerine ek olarak, BT güvenliği çalışanlarıyla açık olmayan iletişim de ekibin duygusal durumunu etkiliyor ve yöneticilerin BT güvenliği çalışanlarının becerilerini ve yeteneklerini sorgulamasına neden oluyor. Ayrıca yöneticilerin %26'sı yanlış anlaşılmaların sonucunda iş güvenliğine olan güvenlerini kaybettiklerini ve %23'ü de bu durumun kendilerini gerginleştirdiğini ve bunun da iş performanslarını etkilediğini belirtiyor.

Kaspersky’nin Bilgi Güvenliği Başkanı Alexey Vovk konuyla ilgili olarak “Bir şirketin yöneticileri ile BT güvenliği yönetimi arasındaki açık iletişim, kurumsal iş güvenliği için bir ön koşuldur. Buradaki zorluk, ciddi sonuçları olabilecek yanlış anlamaları öngörmek ve önlemek için kendini diğerlerinin yerine koyabilmektir. Bu, bir yandan, Bilgi Güvenliği Şefi’nin (CISO) mevcut riskleri ve güvenlik önlemleri ihtiyacını daha iyi açıklamak için temel iş dilini de bilmesi gerektiği anlamına gelir. Öte yandan iş dünyası, 21. yüzyılda bilgi güvenliğinin işin ayrılmaz bir parçası olduğunu ve bütçelemenin şirket varlıklarını korumaya yönelik bir yatırım olduğunu anlamalıdır.” yorumunu yaptı.

Kaspersky, şirket içindeki BT güvenliği ile iş fonksiyonları arasındaki iletişimi daha şeffaf hale getirmek için aşağıdakileri öneriyor.

Başka bir alandaki profesyonelleri anlamak, yalnızca empati değil, aynı zamanda ek bilgi de gerektirir. BT güvenliği çalışanları, çeşitli eğitim kurslarında temel iş terimleri ve kavramları hakkında daha fazla bilgi edinebilirken, BT dışı yöneticiler, BT güvenlik sorunları hakkında fikir edinmek için kendisini Bilgi Güvenliği Şefinin yerine koyma şansına sahiptir.

Hem BT yöneticileri hem de BT dışı yöneticiler kendilerini profesyonel bir “bilgi balonuna” hapsetmemelidir. Hem iş dünyasında hem de siber güvenlik dünyasında gündemden haberdar olmak, aralarındaki başarılı iletişim ve karşılıklı anlayışın bir başka anahtarıdır.

Siber güvenlik uzmanları, ihtiyaçlarını yönetim kuruluna iletirken ve siber güvenlik bütçelerini gerekçelendirirken güvenilir ve anlaşılır argümanlar kullanmalıdır. Risklerin olasılığını ve gerekli koruyucu önlemlerin gerekliliğini kanıtlamak için, sektörünüze ve şirket büyüklüğünüze en uygun tehditleri ve güvenlik önlemleri hakkındaki açık bilgileri kullanın. Kaspersky IT Security Calculator gibi kaynaklar ve uzmanların gözlemlerine dayanan raporlar bu görevi önemli ölçüde kolaylaştırabilir.

Siber tehditlerin giderek daha önemli hale geldiği ve şirketlerin bilgi güvenliği bütçelerini artırmak zorunda kaldığı günümüzde, siber güvenlik yatırımlarını, etkinliği ve yatırım getirisi kanıtlanmış araçlara ayırmak son derece önemlidir. Bu, hatalı pozitif tespit sayısını düşüren ve saldırı tespit süresini, vaka başına harcanan zamanı ve diğer ölçütleri azaltan araçların herhangi bir BT güvenlik ekibi için son derece önemli olduğu anlamına gelir.