Siber saldırılarda sigortacılar yükümlülüklerine dikkat etmeli

Siber saldırı dünyadaki her şirket için en büyük tehdittir. Önümüzdeki beş sene içinde de her birey, yer ve nesne için en büyük tehdit haline gelmesi olasılığı bulunmaktadır. Teknoloji ilerledikçe “hacker” olarak adlandırılan siber dünyanın haydutları da ilerleme kaydetmekte, fakat güvenlik geride kalmaktadır. (Hacker karşılığı olarak “korsan” sözcüğünün artık dilimize yerleşmiş bulunduğunu görmekle birlikte, bu deyimin yerinde olmadığını ve kendi kişisel çıkarı için hareket eden bir kimseyi anlatan “haydut” sözcüğünün tercih edilmesi gerektiğini düşünmekteyiz. Korsan ise bir devlet tarafından savaş eylemlerinde bulunmak üzere yetkilendirilmiş olan kişi anlamına gelir. Korsanlık uygulaması 19. yüzyılın ortalarında bir uluslararası sözleşmeyle tarihe karışmıştır.)

Şirketlerin ileri siber eğitim ve uygulama çözümlerini bütün birimlerine sağlamaları, siber tehlikelerden korunma bakımından çok büyük önem taşımaktadır. 

HASARIN KARŞILANMASI YETERLİ DEĞİL

Siber saldırılar son zamanlarda gerek çaplarının genişliği gerek kullandıkları gelişmiş teknolojiler açısından büyük ilerlemelere sahne olmuş ve bu da şirket ve diğer kurumların güvenlik sistemlerini gözden geçirme gereğini ortaya çıkarmıştır. Saldırıları, işletmelerin sistemlerini çökerttikten ve zarar verdikten sonra saptayıp, oluşan yaraları sarmaya yönelmek artık uygun bir strateji sayılmamaktadır. Bugün siber saldırılar çok kısa zaman içinde altyapıya ve itibara çok büyük zararlar verebilmektedirler. Dolayısıyla tehlikeyi önleme yaklaşımı ön plana çıkmıştır. Bu yaklaşım bilinmeyen tehditleri kurumun sistemlerine etki etmeden etkisiz hale getirmeyi hedeflemektedir. Böylece güvenlik sağlayıcı birimlerin de, yalnızca gerçek tehditler üzerine yoğunlaşmaları ve daha verimli iş görmeleri de sağlanmış olacaktır. Önleyici çözümler istihbarat paylaşımı, yapay zeka vasıtasıyla önleme ve birleştirilmiş bir yapı sayesinde bütün saldırı odaklarına karşı konsolide koruma esasına dayanmaktadır.      

Siber saldırı bir veya birden fazla bilgisayardan karşıdaki bilgisayarlara veya ağlara yapılan saldırı eylemleridir. Amaç verileri çalmak, değiştirmek veya yok etmektir. 

I- Günümüzdekİ en yaygın 10 sİber saldırı türü

Aşağıda yaygın şekilde başvurulduğu belirtilen siber saldırı türlerini kısaca sıralamış bulunmaktayız.

1) Kötü Niyetli Yazılım (Malware)

Bunlar, virüsler gibi izinsiz şekilde bilgisayarlara sızdırılan kötü amaçlı yazılımlardır. Bilgisayarları veya bunların oluşturdukları ağları kullanılamaz duruma getirebilir veya saldırgana erişim izni sağlayarak sistemi uzaktan denetleme olanağını verebilirler.

2) Kimlik avı saldırıları (Phishing)

Güvenilir kaynaklardan gelmiş gibi gösterilen e-postalar aracılığıyla kişilerin site bilgilerini, kredi kartı bilgilerini elde etmeye yönelik saldırılardır. 

3) DoS ve DDoS Saldırısı (‘Denial of Services’ ve ‘Distributed Denial of Services’)

DoS saldırısı “on-line” hizmetlerin düzgün çalışmasını engellemek amacıyla bir web sitesine veya bir veri tabanına çok fazla sayıda istek yollayıp sistemin kilitlenmesini sağlamaya yönelik saldırı türüdür. Bu saldırıların birden fazla bilgisayardan yapılması hali DDos saldırısı olarak isimlendirilmektedir. 

4) Aradaki adam saldırısı veya Ortadaki adam saldırısı (Man in the Middle)

Bu çeşit saldırıda saldırgan birbiri ile doğrudan iletişim kuran iki taraf arasındaki iletişimi gizlice iletmekte veya değiştirmektedir. Mesela bir Wi-Fi ağının taklit edilmesi sayesinde saldırıya uğrayanlar erişmeyi arzuladıkları Wi-Fi ağı yerine saldırganların Wi-Fi ağına dahil olmakta ve işlemleri saldırganlar tarafından izlenebilir hale gelmekte ve verileri ele geçirilebilmektedir. 

5) Yapılandırılmış Sorgu Dili (Structured Query Language) 

Yapılandırılmış Sorgu Dili herhangi bir veri tabanı ortamında kullanılan bir alt dildir. 

Kullanıcılardan bilgi alan birçok web sitesi bu verileri SQL veri tabanlarına göndermektedir. Saldırganlar da SQL güvenlik açıklarından faydalanarak kullanıcıların veri tabanlarının denetimini ele geçirebilmektedirler. 

6) Cryptojacking

Cryptojacking, bir başkasının bilgisayarının, o bilgisayara yüklenen kötü amaçlı yazılım sayesinde siber haydut için kriptopara üretmek amacıyla (kripto para madenciliği) izinsiz kullanılmasıdır. 

7) (Sıfır gün saldırısı) 

Zero Day Exploit

Bir yazılımda mevcut olan güvenlik açığının o zayıflık düzeltilinceye kadar siber haydut tarafından saptanması ve kullanılmasıdır. 

8) Şifreleme (Parola) saldırıları (Password Attack)

Parola çoğu zaman bir sisteme giriş yapmak isteyen kullanıcının gerçek hak sahibi olup olmadığını saptamak için zorunlu olarak kullanılan bir araçtır. Parola saldırıları en yaygın saldırılar arasındadır. 

9) Telekulak saldırısı (Eavesdropping Attack)

Kullanıcının özel alanı niteliğindeki cihazlara yüklenen yazılımlar aracılığıyla izinsiz dinleme yapmak için uzaktan erişim sağlanmasıdır.  Saldırgan sızdığı ağda dinleme yaparak kullanıcının o ağ üzerinden göndereceği kişisel verileri edinir. Aktif ve pasif olmak üzere iki türü vardır. Pasif türünde yalnızca dinleme yapılarak bilgi toplanmakta; aktif türünde ise saldırgan kullanıcıda kendisinin “dost” bir yapı olduğu izlenimini uyandırmakta ve ona sorduğu sorular aracılığıyla peşinde olduğu bilgilere ulaşmaktadır.

10) Doğum günü saldırısı (Birthday Attack)

Doğum günü saldırıları, bir mesajın, yazılımın veya dijital imzanın bütünlüğünü doğrulamak için kullanılan karma algoritmalara karşı yapılan saldırılardır. Bir karma algoritma tarafından işlenen bir mesaj, MD olarak betimlenen sabit uzunlukta bir mesaj özeti üretmektedir. Doğum günü saldırısı, bir karma algoritma tarafından işlendiğinde aynı MD’yi üreten ikinci bir mesaj oluşturma yoluyla gerçekleştirilmektedir. Siber haydut, kullanıcının mutabık olduğu asıl mesajı, kendi oluşturduğu üzerinde uyuşma olmayan mesajla değiştirmekte ve böylece (mesela) kullanıcıyı aslında kabul etmediği bir sözleşmeyi yapmış duruma getirmektedir.  

II- Sİber saldırıları engellemek İçİn önlem almaya İlİşkİn hukuksal düzenleme

Sigorta şirketleri çok sayıda kişisel veriyi işlemektedirler (bireysel müşterilerine ait verileri toplamakta, ellerinde bulundurmakta veya başkasına aktarmaktadırlar).  Yukarıda belirttiğimiz değişik siber saldırı yöntemleri ile ele geçirilen kişisel bilgiler haydutların kendi amaçları doğrultusunda hukuka aykırı biçimde kullanılabilirler. Bunu önlemek üzere kısaca KVKK olarak bilinen Kişisel Verileri Koruma Kanunu bazı hükümlere yer vermiş ve Kişisel Verileri Koruma Kurulu da yasadan aldığı yetkiyi kullanarak bazı önlemler öngörmüştür. 

1) KVKK uyarınca veri güvenliği ile ilgili olarak öngörülen suç veya kabahatler 

a) Suçlar (KVKK m.17)

Kişisel verilere ilişkin suçlara Türk Ceza Kanununun (TCK) 135 ila 140’ncı madde hükümleri uygulanır. Buna göre kişisel verileri hukuka aykırı olarak kaydeden kimseye bir yıldan üç yıla kadar, hukuka aykırı olarak bir başkasına veren, yayan veya ele geçiren kişiye iki yıldan dört yıla kadar hapis cezası verilmesi söz konusudur.  

b) Kabahatler (KVKK m.18)

Veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 Türk lirasından 1.000.000 Türk lirasına kadar, Kurul tarafından verilen kararları yerine getirmeyenler hakkında da 25.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası uygulanacaktır. 

2- Veri Sorumlusunun veri güvenliği ile ilgili yükümlülükleri (KVKK m.12)

Veri sorumlusu “Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi” olarak tanımlanmaktadır (KVKK m. 3 bent ı).

Veri sorumlusunun ve onun kararlarıyla veriyi işleyen kişilerin KVKK kapsamında birçok yükümlülükleri vardır. Veri güvenliği ile ilgili yükümlülükler şunlardır (KVKK m.12 fk.1): 

• Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,

• Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,

• Kişisel verilerin muhafazasını sağlamak.

Veri sorumlusu yukarıda sayılan hususlarla ilgili her türlü tedbiri almak ve kanunun işleyişi ile ilgili denetimleri de yapmak zorundadır. Kişisel veri, sorumlu kişi başka bir kişi tarafından işlenmişse güvenlik konusunda iki kişi de sorumlu durumdadır. Hem veri sorumlusu hem de veriyi işleyen kişi görevi sona erdikten sonra da veriyi paylaşamaz veya işleme amacı dışında kullanamaz. Eğer veri 3. kişiler tarafından ele geçirilmişse bu durum en kısa sürede ilgili kişilere bildirilmelidir.

III- Kİşİsel Verİ Güvenlİğİ Rehberİ

Kişisel Verileri Koruma Kurulu, veri sorumlularının alması gereken teknik ve idari tedbirler konusunda uygulamada açıklık sağlanması ve iyi uygulama örnekleri oluşturması amacıyla Ocak 2018’de Kişisel Veri Güvenliği Rehberi’ni yayınlamıştır. 

Rehber, kişisel verilerin hukuka aykırı olarak işlenmesi ile kişisel verilere hukuka aykırı olarak erişilmesinin önüne geçilerek kişisel verilerin muhafazasının sağlanması ve bireylerin temel hak ve özgürlüklerinin korunmasının temini için veri sorumlularına yol göstermesi için hazırlanmıştır (1.2. Kapsam). Yandaki sayfada bu rehberin birçok hükmünü özetleyeceğiz:

1) İdari tedbirler

a) Risk ve tehditlerin belirlenmesi

Veri sorumlusu ilk önce işlediği kişisel verilerin neler olduğunu, bunların korunmasına ilişkin risklerin gerçekleşme olasılığını ve bunlardan kaynaklanabilecek kayıpları doğru bir şekilde belirlemelidir. Bu belirleme sırasında kişisel verilerin özel nitelikli kişisel veri olup olmadığı, gizlilik düzeyleri, güvenlik ihlali halinde ortaya çıkabilecek zararın niteliği ve niceliği göz önünde tutulmalıdır.  

Daha sonra risklerin azaltılması ortadan kaldırılmasına yönelik kontrol ve çözüm alternatifleri (maliyet, uygulanabilirlik ve yararlılık açısından) değerlendirilmelidir. 

b) Çalışanların eğitilmesi ve Farkındalık 

• Çalışanlar siber güvenliğe ilişkin bilgileri sınırlı olsa dahi ilk müdahaleyi yapabilmelidirler. 

• Çalışanların, kişisel verilerin hukuka aykırı olarak açıklanmaması ve paylaşılmaması konusunda eğitim almaları, çalışanlara yönelik farkındalık çalışmaları yapılması ve güvenlik risklerinin belirlenebildiği bir ortam oluşturulmalıdır. Çalışan herkesin kişisel veri güvenliğine ilişkin rol ve sorumlulukları, görev tanımlarında belirlenmeli rol ve sorumluluğunun farkında olması sağlanmalıdır. 

• Kişisel veri içeren ortamlara erişim hakkı verilirken veya bu konuda kurum kültürü oluşturulurken “yasaklanmadıkça her şey serbesttir” ilkesi değil, “izin verilmedikçe her şey yasaktır” ilkesi geçerli olmalıdır. 

• Çalışanlarla gizlilik anlaşması imzalanabilir. Güvenlik politika ve prosedürlerine uymamaları halinde disiplin süreci devreye girmelidir. 

• Çalışanların kişisel veri güvenliğine ilişkin tehditler hakkındaki bilgilerinin güncel tutulması sağlanmalıdır. 

c) Kişisel veri güvenliği politikalarının ve prosedürlerin belirlenmesi 

• Kişisel veri güvenliğine ilişkin (her kişisel veri kategorisi bazında) doğru ve tutarlı politika ve prosedürler hazırlanmalıdır. 

• Alınacak tedbirlerin önceden belirlendiği iyi bir olay yönetimi öngörülmelidir. 

• Politika ve prosedürler kapsamında; düzenli olarak kontroller yapılmalı ve belgelenmelidir. 

d) Kişisel verilerin mümkün olduğunca azaltılması 

• Kişisel veriler, doğru ve güncel olmalı, gerekli olan süre kadar muhafaza edilmelidir. 

• Veri sorumlularınca kişisel verilere hala ihtiyaç olup olmadığı değerlendirilmeli ve bunların doğru yerde muhafaza edildiğinden emin olunmalıdır. 

• Yetkisiz erişimin önüne geçilebilmesi için veri sorumlularının sıklıkla erişimi gerekmeyen ve arşiv amaçlı tutulan kişisel veriler, daha güvenli ortamlarda muhafaza edilmelidir. İhtiyaç duyulmayan kişisel veriler ise mevzuata uygun ve güvenli bir şekilde imha edilmelidir. 

e) Veri işleyenler ile ilişkilerin yönetimi 

• Bilgi teknolojileri ihtiyaçları doğrultusunda veri işleyenlerden alınırken, bunların en az veri sorumlusu kadar güvenlik düzeyinde olması gerekir. 

• Veri işleyen ile yazılı sözleşme yapılmalı ve veri işleyenin sadece veri sorumlusunun talimatları doğrultusunda, sözleşmede belirtilen veri işleme amaç ve kapsamına uygun ve kişisel verilerin korunması mevzuatı ile uyumlu şekilde hareket edeceğine, süresiz sır saklama yükümlülüğüne tabi olacağına, herhangi bir veri ihlali durumunda veri işleyenin bunu derhal veri sorumlusuna bildirmekle yükümlü olduğuna ilişkin hüküm bulunmalıdır. 

• Veri sorumlusu tarafından veri işleyene aktarılan kişisel veri kategori ve türleri de sözleşmede belirtilmelidir. 

• Veri sorumlusu, gerekli denetimleri yapmalı veya yaptırmalıdır. 

2) Teknik Tedbirler

a) Siber güvenliğin sağlanması 

• Kişisel veri güvenliğinin sağlanması için tek bir siber güvenlik ürünü kullanılmamalı, tamamlayıcı niteliğe sahip ve düzenli olarak kontrol edilen tedbirler de uygulanmalıdır. Öncelikli tedbirler, güvenlik duvarı ve ağ geçididir. Bunlar, siber saldırılara karşı ilk savunma hattı olacaktır. 

• Kullanılmayan yazılım ve servisler cihazlardan kaldırılmalıdır. 

• Kişisel veri içeren sistemlere erişim sınırlı olmalıdır. Veri sorumluları, erişim yetki ve kontrol matrisi oluşturmalıdırlar. 

• Güçlü şifre ve parola kullanılmalı, şifre girişi deneme sayısı sınırlandırılmalıdır. Şifre ve parolalar düzenli aralıklarla değiştirilmelidir. Yönetici hesabı açılması ve admin yetkisi verilmesi sadece ihtiyaç olan durumlar için söz konusu olmalıdır. Veri sorumlusuyla ilişikleri kesilen çalışanların hesabı derhal silinmeli veya bunların erişimi sınırlandırılmalıdır. 

• Bilgi sistem ağını düzenli olarak tarayan ve tehlikeleri tespit eden antivirüs, antispam gibi ürünler kullanılmalıdır. Bunlar güncel tutulmalıdır. 

• Farklı internet siteleri ve/veya mobil uygulama kanallarından kişisel veri temin edilecekse, bağlantılar SSL ya da daha güvenli bir yol ile gerçekleştirilmelidir. 

b) Kişisel veri güvenliğinin takibi

Veri sorumlularının sistemlerinin  saldırılara maruz kalması çeşitli belirtilere rağmen uzun süre fark edilememektedir. Bu durumun önüne geçebilmek için; 

• Bilişim ağlarında hangi yazılım ve servislerin çalıştığı kontrol edilmeli,

• Bilişim ağlarında sızma veya olmaması gereken bir hareket olup olmadığı belirlenmeli, 

• Tüm kullanıcıların işlem hareketleri kaydı düzenli olarak tutulmalı

• Güvenlik sorunları mümkün olduğunca hızlı raporlanmalı,

• Çalışanların sistem ve servislerdeki güvenlik açıklarını ve bunları kullanan tehditleri bildirmesi için resmi bir raporlama prosedürü oluşturulmalıdır. 

Güvenlik yazılımı mesajları, erişim kontrolü kayıtları ve diğer raporlama araçları düzenli olarak kontrol edilmelidir. İstenmeyen olaylarda deliller toplanmalı ve güvenli bir şekilde saklanmalıdır. 

c) Kişisel veri içeren ortamların güvenliğinin sağlanması 

• Veri sorumlularının yerleşkelerindeki (veya bu yerleşkelerin dışındaki)  cihazlarda veya kağıt ortamında saklanan kişisel veriler, çalınma veya kaybolma gibi tehditlere karşı fiziksel güvenlik önlemleriyle korunmalıdır. Kişisel verilerin yer aldığı fiziksel ortamlar dış risklere (yangın, sel vb.) karşı da uygun yöntemlerle korunmalıdır. Kişisel veriler elektronik ortamda ise, ağ bileşenleri arasında erişim sınırlandırılmalı veya bileşenlerin ayrılması sağlanmalıdır. l Elektronik posta ya da posta ile aktarılacak kişisel veriler dikkatli bir şekilde ve yeterli tedbirler alınarak gönderilmelidir. Çalışanların bilgi sistem ağına kişisel elektronik cihazlarıyla erişim sağlamaları halinde bunlar için de mutlaka yeterli güvenlik tedbirleri alınmalıdır. 

• Kişisel veri içeren kağıt ortamındaki evraklar, sunucular, yedekleme cihazları, CD, DVD ve USB gibi cihazlar ek güvenlik önlemlerinin olduğu başka bir odaya alınmalı, kullanılmadığı zaman kilit altında tutulmalı, giriş-çıkış kayıtlarının tutulması gibi fiziksel güvenliği artırıcı önlemler de alınmalıdır. 

• Kişisel veri içeren cihazların kaybolması veya çalınması gibi durumlara karşı erişim kontrol yetkilendirmesi ve/veya şifreleme yöntemlerine başvurulmalıdır. Şifre anahtarı, sadece yetkili kişilerin erişebileceği ortamda saklanmalıdır. Benzer şekilde, kişisel veri içeren kağıt ortamındaki belgeler de kilit altında ve yalnızca yetkili kişilerin erişebileceği ortamlarda saklanmalı, söz konusu evraklara yetkisiz erişim önlenmelidir. 

d) Kişisel verilerin bulutta depolanması 

• Bulut depolama hizmeti sağlayıcısı tarafından alınan güvenlik önlemlerinin yeterli ve uygun olup olmadığı veri sorumlusunca değerlendirilmelidir. 

• Bulutta depolanan kişisel verilerin neler olduğu ayrıntılarıyla bilinmeli; bunların yedeklenmesi, senkronizasyonun sağlanması ve gerektiğinde bu kişisel verilere uzaktan erişim için iki kademeli kimlik doğrulama kontrolü uygulanmalıdır. 

• Kişisel veriler gerek depolama gerek kullanım sırasında, kriptografik yöntemlerle şifrelenmeli, bulut ortamlarına şifrelenerek atılmalıdır. Mümkün olan yerlerde, özellikle hizmet alınan her bir bulut çözümü için ayrı ayrı şifreleme anahtarları kullanılmalıdır. 

• Bulut bilişim hizmet ilişkisi sona erdiğinde; kişisel verileri kullanılır hale getirmeye yarayabilecek şifreleme anahtarlarının tüm kopyaları yok edilmelidir. 

e) Bilgi teknolojileri sistemlerinin tedarik edilmesi, geliştirilmesi ve bakımı 

• Yeni sistemlerin alımı veya mevcut sistemlerin iyileştirilmesi ile ilgili ihtiyaçlar belirlenirken güvenlik gereksinimleri göz önüne alınmalıdır. 

• Doğru girilmiş bilginin işlem sırasında oluşan hata sonucunda veya kasıtlı olarak bozulup bozulmadığını kontrol etmek için uygulamalara kontrol mekanizmaları yerleştirilmelidir. Uygulamalar, işlem sırasında oluşacak hataların veri bütünlüğünü bozma olasılığını asgari düzeye indirecek şekilde tasarlanmalıdır. 

• Arızalandığı ya da bakım süresi geldiği için üretici, satıcı, servis gibi üçüncü kurumlara gönderilecek cihazlardaki veri saklama ortamı sökülmeli ve muhafaza altına alınmalı, yalnızca arızalı parçalar gönderilmelidir. Bakım ve onarım gibi amaçlarla dışarıdan gelen kimselerin kişisel verileri kopyalayarak kurum dışına çıkartması engellenmelidir. 

f) Kişisel verilerin yedeklenmesi 

• Kişisel veriler herhangi bir sebeple zarar görür, yok olur, çalınır veya kaybolursa veri sorumlusu yedeklenen verileri kullanarak en kısa sürede sistemleri faaliyete geçirmelidir. 

• Elektronik cihazlardaki kişisel verileri içeren dosyaları kilitleyen ve bunların açılabilmesi için veri sorumlusunu fidye ödemeye zorlayan kötü amaçlı yazılımlara karşı kişisel veri güvenliğini sağlamak için veri yedekleme stratejileri geliştirilmelidir. 

• Yedeklenen kişisel veriler sadece sistem yöneticisi tarafından erişilebilir olmalıdır. Veri seti yedekleri mutlaka ağ dışında tutulmalıdır. 

Günümüzde özellikle Koronavirüs’e bağlı “uzaktan çalışma” zorunluluğu ve “evde kal” uygulamaları sebebiyle internet kullanımındaki yükseliş siber saldırıların sayısını da artırdı. Sigorta şirketleri ve çalışanları ise bu konudaki yükümlülüklerini yerine getirmezlerse 4 yıla kadar hapis ve 1 milyon liraya kadar para cezasıyla karşılaşabilirler.