Şirketinizdeki O Uygulama, Hackerlar İçin Davetiye

Tedarikçi Güvenliği: Aslında Kontrol Etmeniz Gereken Şey

Şöyle düşün: Son ne zaman kullandığın yazılım şirketlerinin güvenlik pratiklerini inceledin? Maaş bordronu hazırlayan şirketin, müşteri veritabanını yedekleyen bulut depolama servisinin veya ekibin üç yıl önce "bak bu da işe yarıyor" diye kullanmaya başladığı proje yönetim aracının?

Hatırlayamıyorsan veya kimsenin hiç yapmadığından eminsen, bil ki yalnız değilsin. İş yerinde kendi sistemlerini mükemmel şekilde kilitleyip tedarikçiler üzerinden arka kapıyı açık bırakan binlerce işletme sahibi ve IT yöneticisiyle aynı gemidesin.

Tedarikçi Riski Meselesi

Gece uyumamı engelleyen şeyin ne olduğunu sorarsan: her şeyi doğru yapmana rağmen yine de zarar görebilmen. Güçlü şifreler, iki faktörlü doğrulama, çaylak bir siber güvenlik uzmanını kıskandıracak personel eğitimleri—hepsi yerinde. Ama bakıyorsun, hiç düşünmediğin bir tedarikçideki sızıntı, sen haber bile almadan müşteri verilerini internette her yere saçmış.

Bu seyrek rastlanan, kenar vaka bir durum değil. Sürekli yaşanıyor. 2013'teki Target sızıntısı mı? Bir ısıtma-soğutma tedarikçisinden başladı. 2020'deki SolarWinds felaketi mi? Binlerce kuruluş için giriş noktası, güvenliği aşılmış tedarikçilerdi. Bunlar sadece on yıl öncesinin korku hikayeleri değil—aynı körlüğü görmezden gelmeye devam ettiğimiz için tekrar eden kalıplar.

Rahatsız edici gerçek şu: Verilerini bir başkasına teslim ettiğinde, güvenlik sorumluluğunun bir kısmını da onlara teslim etmiş oluyorsun. Onların şifre politikaları senin politikaların oluyor. Şifreleme standartları senin standartların oluyor. Onların sızıntısı senin sızıntın oluyor—her şeyiyle birlikte, kızgın telefonlar, imaj krizi ve yıllarca toparlanması gereken müşteri güveniyle.

Neden Kimse Bundan Bahsetmiyor?

Peki neden tedarikçi riski her güvenlik sohbetinde en üst sırada değil? Çünkü heyecan verici değil. Tek başına manşetlere çıkan bir konu değil. Daha çok arabanın lastiğindeki yavaş bir kaçak gibi—farkınday ama sürüşü devam ediyor, sonunda yolun kenarında kalakalyorsun.

Tedarikçi riski şirketlere en sıradan şekillerde sızıyor. Birisi bir çözüme ihtiyaç duyuyor, işe yarayan bir şey buluyor, sözleşme imzalıyor, geçiyor. Altı ay sonra başkası farklı bir araç için aynı şeyi yapıyor. Neyin olduğunu anlamadan, şirketin onlarca yazılım bağlantısıyla dikilmiş oluyor—her biri potansiyel bir zayıf nokta ve hiçbiri incelenmemiş.

Ve kimsenin söylemediği şey: Bu ihmal değil. Şirketler büyüdükçe olan şey bu. Ekipler hızlı hareket ediyor, öncelikler sürekli değişiyor, güvenlik incelemeleri engel gibi algılanıyor. Tedarikçi özelliklere ve fiyata göre onaylanmış. Güvenlik pratikleri, kimsenin iki kez okumadığı sözleşmede bir yerde geçiyor. Bir yıl sonra "güvenlik durumunuz nasıl?" diye soran yok.

Asıl Önemsemen Gereken Sorular

Her yazılım sağlayıcısını sorguya çek demiyorum. Ne pratik ne de gerekli. Demek istediğim şu: hassas bilgileri vermeden önce birkaç net soru sormalısın. Sonra da ara sıra tekrar sormalısın—çünkü şeyler değişebiliyor.

Öğrenmek isteyeceğin şeyler:

Verilerimiz gerçekten nerede duruyor? Kaç şirketin bunu sormadığına şaşıracaksın. Depolanırken şifreli mi? Sistemler arasında hareket ederken şifreli mi? Bunlar tuzak soruları değil—temel şeyler.

Daha önce sızıntı yaşadınız mı, ne öğrendiniz? Bu soru her sertifikadan fazla şey anlatır. Sızıntı geçirmiş ve daha iyi pratiklerle çıkmış bir şirket mi? Hiç sınanmamış birinden çok daha rahatlatıcı.

Ekibinizden kimler bilgilerimize erişebilir? Erişim kontrolleri önemli. Cevap "herkes" ise sorun var. Belirli rol tabanlı kısıtlamalar ve denetim günlükleri varsa, doğru yoldasın.

Hangi sertifikalarınız var? SOC 2, ISO 27001, HIPAA uyumluluğu—bunlar mükemmel değil ama üzerinden çalışabileceğin bir şey veriyor. Güvenliği ciddiye alan bir tedarikçi, hazır belgeleri olur.

Hizmeti kullanmayı bırakırsak verilerimize ne olur? Bu soru insanları hazırlıksız yakalıyor. Siliyorlar mı? Saklıyorlar mı? Ne kadar? Çıkmaya çalıştığın durumda değil, önceden bilmen lazım.

Sürdürülebilir Hale Getirmek

Biliyorum ne düşündüğün: "Bu devasa bir proje gibi geliyor, zaten kafam dolu." Haklısın. Ama şu da var—tedarikçi riski yönetimi bunaltıcı olmak zorunda değil. Sadece tutarlı olması gerekiyor.

En hassas verilere erişimi olan tedarikçilerden başla. Her araç aynı düzeyde inceleme gerektirmiyor. E-posta pazarlama platformun muhtemelen müşteri finansal kayıtlarını depolayan servisten daha az dikkat ister. Önceliklendir, kritik olanlara odaklan, gerisine sırayla geç.

Hangi tedarikçilerin verilerine eriştiğini gösteren bir liste tut. Hepsini. Oturup hepsini yazdığında, hâlâ para ödediğin ama kimsenin kullanmadığı araçları keşfeden şirketlere şaşıracaksın. Bu liste incelemeler için referans noktan oluyor. Bir şeyler ters gittiğinde erken uyarı sistemi görevi görüyor.

Ve lütfen, güvenlik aşkına, beklentilerini yazılı hale getir. Sözlü güvenlik anlaşmaları çikolatalı fincan kadar güvenilir. Gereksinimlerini sözleşmelere yazdığında herkes ne beklendiğini biliyor. İncelemeler sırasında üzerinde tartışılacak somut bir şeyin oluyor.

Son Söz

Dürüstçe söyleyeyim: Güvenliğin, farkında olmadığın kadar geniş bir ağdaki en zayıf halka kadar güçlü. Bu, paniklemeden veya tedarikçileri tamamen bırakmadan demek değil—modern iş dünyası öyle çalışmıyor. Ama soru sormak, ara sıra inceleme yapmak, kimin neye eriştiğini takip etmek—bunlar paranoya değil. Sadece iyi iş yapmak.

Bu hafta tedarikçi listeni aç ve gerçekten bak. Bağlantıları say. Kimsenin kullanmadığı ama hâlâ para ödediğin araçlar var mı kontrol et. Birkaç gevşek nokta bulabilirsin—belki de yolunda para tasarrufu yaparsın.

Güvenlik zincirin sandığından uzun. Bu halkaları kontrol etme zamanı.

Etiketler ['third-party risk', 'vendor security', 'cybersecurity', 'data protection', 'business security', 'supply chain security', 'risk management', 'online privacy', 'security best practices']