siber güvenlik nedir etiketine sahip kayıtlar gösteriliyor. Tüm kayıtları göster
siber güvenlik nedir etiketine sahip kayıtlar gösteriliyor. Tüm kayıtları göster

12 Ocak 2021 Salı

2017 Cambridge Analytica Skandalı

Whatsapp’ın kullanıcı verilerini ticari amaçlar için izin istemesi ile tüm dünya çapında Whatsapp’a karşı büyük bir tepki oluştu. İnsanlar verilerinin bu şekilde kullanılmasını istemiyorlardı. Aslında işin ne boyutlara varacağı hakkında endişeleri vardı. Bir de şirketin sahibi Facebook firmasının 2017 yılında yaşamış olduğu Cambridge Analytica skandalı halen hafızalarda.

2019 yılında vizyona giren Great Hack ve 2020 yılında izleyici ile buluşan Social Dilemma filmleri bu konuyu ele alıyor. Temel soru şu; verilerimiz ile neler yapılıyor?

Şimdi bu konulara biraz daha yakından bakalım.

Cambridge Analytica bir veri şirketi. Şirket, insanların sosyal medyada yer alan verilerinden yola çıkarak kullandıkları analitik modeller ile kullanıcıların siyasi eğilimlerini anlamaya çalışıyordu. Şirket, insanların tercihlerini değiştirmesini veya oy vermeyecek olanların oy vermesini sağlamaya gayret ediyordu.

Böyle tanımlandığında veriden yola çıkarak bir kampanya politikası izlendiği anlaşılıyor. Masum gibi görünüyor ama aslında öyle mi?

Buradaki en çarpıcı konulardan biri, insanların 5.000 ayrı veri noktasından izlenmesidir. Facebook üzerinden insanların beğenilerini izleyerek veri toplamışlar. Bunun sonrasında tercihini değiştirebileceklerine inandıkları insanlara farklı sosyal medya platformlarında özel kampanyalar tasarlamışlar. Onların kişisel yargılarını seçim davranışına dönüştürmeye çalışmışlar.

Verilerinin kullanılmasına izin veren insanları değil onların tüm arkadaşları ile birlikte yaklaşık 50 milyon ABD vatandaşının verisini toplamışlar.

Peki, bunu nasıl bir süreç ile gerçekleştirmişler? 

Cambridge Üniversitesi'nde bir veri bilimcisi olan Aleksandr Kogan, buisyourdigitallife adında bir uygulama geliştirdi. Uygulamayı Cambridge Analytica'ya verdi. Cambridge Analytica, birkaç yüz bin Facebook kullanıcısından yalnızca akademik kullanım için bir anketi tamamlamasını istedi. Ancak Facebook'un tasarımı bu uygulamayı yalnızca ankete katılmayı kabul eden kişilerin kişisel bilgilerini değil, aynı zamanda bu kullanıcıların Facebook sosyal ağındaki tüm kişilerin kişisel bilgilerini de toplamasına izin verdi. Bu şekilde Cambridge Analytica, 50 milyon Facebook kullanıcısı hakkında veri topladı.

Peki, bunları nerede kullanmışlar?

Ted Cruz’un 2015 yılındaki kampanyası, 2016 yılındaki Brexit oylaması ve 2016 yılındaki Amerikan seçimleri en öne çıkan uygulamalar.

Tam olarak neler oldu? Kayıtsız kalanların oy vermesini sağladılar. İnsanların eyleme geçmelerini sağlayacak nedenleri bulup onların psikolojilerine oynayıp, kampanyanın hedeflerine göre tercihlerini yapmalarını sağlamışlar. Böylece bir anlamda oy verenlerin seçim özgürlüklerine müdahalede bulunmuşlar.

Kaynaklarının çoğunu kararlarını değiştirebileceklerine harcamışlar. Bu insanlara özel videolar, yazılar vb hazırlamışlar. Daha sonra da kararı değiştirmiş mi diye bakmışlar. Bir post gönderip beğenip beğenmediğini kontrol etmişler.

İnsanlar bu olay ortaya çıkınca, kendileri üzerinde yapılanları kabul edememişler. Çünkü siyasi tercihlerinin değiştirildiğine inanamamışlar. Demokrasinin böylece yara almasını akılları almamış.

Sadece ABD mi? Trinidad ve Tobago’da kampanya yapıp oy verme demişler. Litvanya, Gana, Malezya, Nijerya gibi yerlerde de çalışmışlar. Dünyanın birçok ülkesinde analitik çalışmalar ile kampanyalar düzenlemişler. Rusya’nın ABD’nin içerisindeki çeşitli gösteri ve olayları arttırmak için Cambridge Analytica'yı kullandığı iddiası bile ortaya atılmış.

Kampanyadan sonra Facebook verilerini sileceklerini söylemişler ama silmemişler.

Great Hack filminde şöyle bir anektod vardı. Savaşmanın iki yolu vardır. Ya askeri operasyon yaparsın ya da karşı tarafın liderinin iyi olmadığına onları inandırırsın.

Burada şöyle bir hikayeyi de aktarmadan geçemeyeceğim.

Cengiz Han yaklaşan ordusunun önünde bazı casusları düşman devletlerin şehirlerine gönderirdi. Sıradan köylüler gibi giyinen bu casuslar, sessizce düşman kamplarına sızar ve oranın liderine bağlılıklarını sunarlardı. Bir kez Han’ın düşmanları tarafından kabul edildiler mi, Han’ın ordusunun büyüklüğü, yenilmezliği ve gücü hakkında etrafta ürkütücü öyküler yayarlardı. Bu öyküleri dinleyen askerler ve komutanlar Cengiz Han’a teslim olmaktan başka çareleri olmadığını düşünürdü. Han da savaşmadan zafer kazanmış olurdu. Bu firmanın yaptığı da aslında buydu. İnsanların arasında söylenti yayarak kendi liderlerine olan güvenin azalmasına sebep oluyorlar ve ülke içerisinde kargaşa çıkmasına ortam hazırlıyorlardı.

Bu ve buna benzer işler gösteriyor ki eğer bir uygulamayı ücretsiz kullanıyorsanız o zaman ürün sizsiniz. Bunu hiçbir zaman aklımızdan çıkarmamamız gerekiyor. 

25 Ocak 2020 Cumartesi

Siber Güvenlik

Kıymetli arkadaşlar merhaba,

Harvard Business Review tarafından yayınlanan ve dilimize Optimist yayınevi tarafından çevirilen Siber Güvenlik adlı kitabı sizler için özetlemek istiyorum. Kitap içerisinde birçok makale bir araya getirilerek Siber Güvenlik konusuna genel bir bakış sağlamak amaçlanmış.

Kitap şu şekilde başlıyor; eğer misyonunuz gereği kritik sistemleriniz dijital ve şu ya da bu şekilde internet ile bağlantılı ise asla tam anlamıyla güvenli hale gelemezsiniz.

Yukarıdaki cümle gösteriyor ki aslında tam bir güvenlik yoktur. Sadece arttırılmış güvenlik vardır. Kullandığımız teknolojilerin karmaşıklığı arttıkça, onları oluşturanlar bile tam olarak bunları kavrayamayabiliyor. Bu sebeple birçok sızma girişimi başarılı olabiliyor. ABD şirketlerinin bir sızma yaşadıklarını ancak 200 günde saptadıkları belirtiliyor.

Siber güvenlik uygulamalarında olması gerekenler şu şekilde belirtiliyor:
- Şirketin donanım ve yazılım varlığının envanterini çıkarmak
- Güvenlik koruma duvarı ve saldırı tespit sistemi gibi koruyucu önlemler almak
- Çalışanları olta e-posta saldırıları konusunda eğitmek
- Yapılabiliyorsa önemli sistemleri diğer sistemlerden ayırmak (hava aralığı oluşturmak)
- Geniş bir siber güvenlik kadrosu oluşturmak
- Hasımlar gibi düşünmeyi öğrenmek. Bir iç ekip oluşturup verilere ulaşmayı denemek.

Güvenlik ihlalleri ile ilgili rakamlara geçtiğimizde karşımıza şu gerçekler çıkıyor:

2017 yılında dünya çapında birçok şirket ile yapılan bir araştırmaya göre saldırıların %70'i etkisizleştirilirken, 2018'de bu rakam %87'e çıkmış. Öbür taraftan da saldırı miktarı da gittikçe artmaya devam etmiş. 2017'de toplam 106 saldırı raporlanırken 2018'de bu rakam 232'ye çıkmış.

Peki bu sızmayı yapanlar kimler? Kabaca söylersek ihlallerin dörtte biri iç kaynaklıdır. Sektörlere göre bunu söylersek;  konaklama, eğitim, imalat ve perakendecilikte dış kaynaklı ihlaller olurken, eğitim, sağlık ve kamu yönetimi gibi alanlarda iç kaynaklı ihlaller de önemli oranlara çıkmaktadır. Özellikle sağlık hizmetlerinde iç kaynaklı ihlaller %55 ile diğerlerinden ayrışmaktadır.

Yapılan saldırılar özellikle kişisel verilerin ve ödeme bilgilerinin alınması şeklinde sonuçlanıyor. Saldırganlar özellikle konaklama, perakendecilik ve gıdada ödeme bilgilerini ele geçirmeye çalışırken; eğitim, enformasyon, sağlık hizmetleri gibi alanlarda kişisel verileri hedeflemektedir. Çok büyük ölçüde tek enformasyon türünü içeren ihlallerle karşılaşan sektörler savunmalarını iyice keskinleştirebilir. Çünkü burada risk belirlidir ve kötü adamlar hep aynı şeyin peşindedir. Fakat birden fazla veriyi hedefleyen saldırganlarla karşılaşan sektörler her alanda savunmalarını doğru konumlandırmalı, esnek olmalıdırlar.

Bugün gelinen noktada şirketler saldırıları geri püskürtme yeteneklerini geliştirmiş olsalar da başarıya ulaşan saldırıların yol açtığı hasarı azaltamıyorlar.  Bu nedenle şirketler çevrimiçi sistemlere sahip olmanın getirisinin bu risklere deyip değmeyeceğini düşünmelidirler. Bu nedenle sızma olduğunda bir felakete yol açabilecek kritik sistemleri internet dışında tutma konusunu değerlendirmelidirler.

Yine yapılan bir araştırmaya göre yöneticilerin %38'i siber güvenlik riskleri konusunda ileri derecede kaygılı olduğunu belirtirken, çok daha küçük bir oranı bu konulara hazırlıklı olduğunu söyledi. Şirketler için halen denetim ve saygınlık riskleri siber güvenlikten daha önde geliyor. Yaklaşık 3000 kişiye yapılan bir ankette sorulan "şirketinizin stratejik hedeflerine ulaşmasının önündeki en büyük üç tehdit nedir?" sorusuna verilen yanıtlardan sadece yüzde sekizinde siber güvenlik beyan edilmiştir.  Bunun yanında yöneticiler güvenlik sorunlarının üzerine gitmek için gereken uzmanlıktan da yoksun olduklarını düşünüyorlar.

Firmalar şu üç can sıkıcı gerçeği kabullenmek ve gereken karşılığı vermek zorundalar. Birincisi siber risk Moore yasası uyarınca evrimleşiyor. İkinci olarak tüm tehdit yöntemlerinde olduğu gibi savunma saldırıdan çok daha zor bir iştir. Saldırganların kazanması için bir kez bile başarılı olmaları yeterlidir. Üçüncü ve en kötüsü sabır ve gizlilik her zaman saldırgandan yanadır. Şirket rehavete düşerse saldırgan uygun zamanda başarılı olabilir.

2014 yılında IBM şirketi incelediği güvenlik vakalarının %95 inin insan hatası içerdiğini açıklamıştı. Veri ihlallerinin %90 ı da e-posta oltalama sonucudur. Bu durumda çalışanların bilinçlendirilmesi oldukça önemli oluyor. Verizon raporuna göre siber saldırıların önemli bir kısmı da çalışanların bilgilendirmeleri sebebiyle ortadan kaldırılabiliyor. Fakat çalışanlar kendilerinden istenen bilgi güvenliği uygulamalarını kabullenemiyor. Bu nedenle uzun ve sık değişen şifreler yerine çok aşamalı doğrulama yapılması, gün boyu süren eğitimler yerine kişiye özel eğitim verilmesi, IT departmanındaki çalışanların denetleyen değil danışılan bireyler yapılması oldukça önemlidir.

Şirketlerin veri ihlali gerçekleştikten sonra da aşağıda yer verilen aynı hataları tekrarladıklarını görüyoruz:
- Müşterilerini uyarmak için çok beklemeleri,
- Onlara destek vermede yetersiz kalmaları,
- Şeffaf olmamaları,
- Sorumluluğu üstlenmekten kaçınmaları.

Eninde sonunda tüm işletmeler veri güvenliği noktasında faaliyetlere başlayacaklar veya bunu genişletecekler. Güvenilir görünmek isteyen şirketler, gizliliğe ve güvenliğe öncelik vermeye başlayacak, tüketiciye bunu açıkça gösterecek ve şeffaf davranarak müşteri ilişkilerini güvenceye almaya çalışacaklardır.

Bir güvenlik uzmanının dediği gibi tümüyle güvenli olan tek bilgisayar, kimsenin kullanmadığı bilgisayardır. O sebeple yaşadığımız dünyada bu tarz ihlallerin olabileceği gerçeğiyle yaşamayı öğrenmeli ve tehditlere karşı hazır olmalıyız.