En Yaygın Veri İhlalleri Türleri – veritabanimimari.com

Verileri yöneten bir şirket, olası veri ihlallerine karşı her zaman dikkatli olmalıdır. Basit bir insan hatasından düşman aktörler tarafından gerçekleştirilen büyük ölçekli saldırılara kadar çeşitli ihlal türleri vardır, ancak herhangi bir veri ifşasının kuruluşlar için büyük sonuçları olabilir. Birleşik Krallık işletmelerinin %39’u 2022’de bir siber saldırı bildirdiği için oldukça yaygınlar.

Graham Coffey & Co. Avukatlarının veri ihlali hukuk uzmanları, kuruluşların bilmesi gereken en yaygın on veri ihlali biçimini özetleyecek ve bir olay olasılığını azaltmak için uygun veri yönetimi politikalarının nasıl uygulanacağını açıklayacaktır.

——————–

İnsan hatası

İnsan hataları sıklıkla veri sızıntılarına neden olur. İnsan hatası, yanlış muhataba iletilen kişisel bilgileri içeren bir e-posta veya kamuya açık bırakılan fiziksel belgeler gibi çeşitli biçimlerde olabilir. Bu tür olaylar yaygındır ve normalde önemli ihlallerle sonuçlanmasa da risk azaltma hala gereklidir. Veri denetleyicilerinin kişisel verilerin korunmasına yönelik yükümlülüklerini anladıklarını doğrulayın ve rolleri bilgi işlemeyi veya bilgilere erişmeyi gerektiren tüm personel üyelerine sorumlulukları ve uyguladığınız prosedürler hakkında bilgi verin.

Yetersiz Güvenlik Önlemleri

Birçok kuruluş, kişisel verilerin izin alınmadan güncellenmesinin belirli koşullar altında veri ihlali teşkil edebileceğinin farkında değildir. Bilgisayar korsanlığının değil, bir şirketin yeterli veri güvenliği prosedürlerini uygulamadaki başarısızlığının sonucu olan birkaç ihlal türü vardır.

GDPR veya Birleşik Krallık’ın 2018 Veri Koruma Yasası kapsamında ‘veri denetleyicileri’ olarak atanan işletmeler, verileri koruma sorumluluklarını anlamalıdır, çünkü bunu yapmamak önemli yasal sonuçlar doğurabilir. Örneğin, bir müşteri, müşteri veya çalışanın kişisel bilgilerini ifşa eden bir veri ihlalinden siz sorumluysanız, tazminat için size dava açabilirler. İhlal riski taşıyıp taşımadığınız ve sorumluluğunuzu sınırlamak için yasal yükümlülüklerinizi nasıl yerine getireceğiniz konusunda tavsiye almak için bir veri ihlali tazminatı avukatıyla görüşün.

Şifre Tahmini

Bazı durumlarda, gizli verilere erişim elde etmek için nispeten az bilgisayar korsanlığı gerekir. Erişim elde edene kadar, birinin şifresini tahmin etmek veya en popüler sürümleri (‘Password123’ gibi) denemek kadar kolay olabilir.

Çoğu çevrimiçi hizmet, bu yaygın parolaların kullanımını caydırmak için yerinde önlemlere sahiptir, ancak herhangi bir mantıksal harf ve rakam kombinasyonu, bir bilgisayar korsanı veya bir yazılım parçası tarafından yeterli zaman ve sebatla tahmin edilebilir. Şirketler, çalışanları, rastgele karakter dizileri oluşturmak için parola oluşturucuları kullanmaya veya çalışanlar için veri güvenliği en iyi uygulamalarına uyan parolalar oluşturmaya teşvik etmelidir. Doğal olarak, şifreler bilgisayarlara kaydedilmemelidir, çünkü sisteme giren bilgisayar korsanları bu şifreleri bulabilir ve erişimlerini genişletmek için kullanabilirler.

Güvenli Olmayan Ağlar

Uzaktan çalışma giderek daha popüler hale geldikçe, daha fazla şirket verisi bulut tabanlı sunucularda tutulmaktadır. Geleneksel veri depolama cihazlarının aksine bulut depolama sistemlerine dünyanın her yerinden erişilebilir. Verilere erişmek için güvenli olmayan ağları (genel Wi-Fi ağları gibi) kullanan çalışanlar, istemeden bilgisayar korsanlarının sisteme girmesine izin verebilir.

Şirketler, yüksek güvenlik düzeyine sahip bulut depolama sağlayıcılarını kullanmalı ve ağlarında, çalışanların verilere uzaktan erişmesi için gerekli güvenlik önlemlerinin alınmasını sağlamalıdır – çalışanlar mümkünse halka açık Wi-Fi kullanmaktan kaçınmalıdır.

Çalınması

Fiziksel sabit disklerde tutulan verilere internet üzerinden yasa dışı erişim olasılığı önemli ölçüde daha düşüktür, ancak bu, hiçbir risk olmadığı anlamına gelmez. Fiziksel diskler çalınabilir ve veriler yedeklenmezse şirket kalıcı olarak kaybedebilir. Bu, özellikle şirket kaybettiği belgeleri ve verileri açıklayamıyorsa, bir ihlale müdahale etmeyi zorlaştırabilir.

Bu tür bir sızıntıyı önlemenin en basit yolu, çalışanların kişisel verileri taşınabilir cihazlarda iletmesini yasaklamaktır. Fiziksel sunucu hırsızlığı yaygın değildir, ancak harici bir sabit sürücüyü veya USB bellek çubuğunu çalmak çok daha kolaydır. Mümkün olan her yerde taşınabilir cihazlarda parola güvenliği kullanın ve kullanımlarını sınırlayın — zaten kabul ettiğimiz riskler göz önüne alındığında bile dosyaları güvenli bulut tabanlı hizmetler aracılığıyla göndermek genellikle daha güvenlidir.

E-dolandırıcılık

Teknolojik olarak gelişmiş birçok firma, kimlik avına karşı dirençli olduklarına inanıyor çünkü en temel hallerinde bu saldırıları tespit etmek ve önlemek oldukça kolay. İddia edilen piyango zenginlikleri karşılığında banka kimlik bilgilerini teslim eden işçiler büyük bir risk oluşturur ve kimlik avı dolandırıcılıkları çok daha karmaşık olabilir ve kurbanları çekmek için kuruluşunuz hakkındaki belirli bilgileri kullanabilir.

Dolandırıcılar, şirketiniz ve çalışanları hakkındaki bilgileri, zararlı bağlantılar içeren orijinal görünümlü dahili e-postalar üretmek için kullanabilir. Çalışanlar bu bağlantıları tıkladığında, bilgisayar korsanlarının sisteminizde depolanan kişisel verilere erişmesine izin verebilir. Birleşik Krallık Hükümeti’ne göre, 2022’de şirketlere yönelik siber saldırıların %83’ü kimlik avı girişimleriydi.

Neyse ki, etkili istenmeyen e-posta algılama yazılımı, genellikle bir e-postanın kuruluşunuzun dışından mı yoksa bilinmeyen bir kaynaktan mı geldiğini algılayabilir. Personel tehlikeyi fark ederse ve önlem alırsa, bu ihlallerden kaçınmak kolaydır.

İş E-postası Uzlaşması

İş e-postası gizliliği (BEC) dolandırıcılığı, özellikle işletmeleri hedef alan kimlik avı saldırılarının bir uzantısıdır. Bir kuruluş içinde belirli bir üst düzey kişiyi taklit eden bir bilgisayar korsanını içerir. Dolandırıcı, kişisel verileri elde etmek amacıyla tehlikeli bağlantılar dağıtmak yerine, üst düzey bir yöneticinin resmi talebi kisvesi altında bir çalışana kontrolleri altındaki bir hesaba para aktarma yetkisi verecektir. Şirket veya müşterileri hakkında kesin bilgilerin kullanılması, bu numaranın etkinliği için kritik öneme sahiptir – bilgisayar korsanlarının şirket web siteleri veya LinkedIn aracılığıyla bulabilecekleri e-posta adresleri ve şirket yapıları gibi bilgiler. Amerika Birleşik Devletleri’nde FBI, yalnızca 2021’de yaklaşık 20.000 olayı belgeledi.

Şirketiniz bu tür izinsiz girişlere karşı savunmasızsa, tüm ödeme taleplerinin incelenip tekrar kontrol edilmesini garanti eden protokoller uygulayın. Mali işlemlerden sorumlu olan çalışanlar, acil bir ödeme talebi geldiğinde ayrıntıları nasıl doğrulayacaklarını tam olarak bilmelidir.

Kötü amaçlı yazılım

Kötü amaçlı yazılım, bilgisayar korsanlarının cihazınıza erişmesine ve onu kontrol etmesine izin veren herhangi bir program için kullanılan bir terimdir. Kötü amaçlı yazılım, genellikle bir aygıtın serbest bırakılması karşılığında para talep etmeyi içermesi bakımından fidye yazılımına benzer, ancak aynı zamanda veri veya güvenlik kimlik bilgilerini çalmak için de kullanılabilir. Cihazınızın bir ağa bağlanma yetkisi varsa, kötü amaçlı yazılım oluşturucu sistemdeki diğer cihazlara erişim sağlayabilir. Ayrıca parolalarınızı öğrenebilirler, bu da fark edilmeden hesaplara ve verilere fark edilmeden erişmelerine olanak tanır.

Yukarıda özetlenen önerilen önlemler – yüksek kaliteli internet güvenlik yazılımı ve çalışan eğitimi ve farkındalığı – kötü amaçlı yazılım tehditlerini önlemek için en etkili stratejilerdir.

Fidye yazılımı

Bir fidye yazılımı saldırısı sırasında, bir bilgisayar korsanı kötü amaçlı yazılım kullanarak bilgisayarınızın tüm dosyalarına erişim sağlar. Genellikle bu dosyalar rehin tutulur – sistem kilitlenir ve bilgisayar korsanı büyük miktarda para karşılığında sistemin kilidini açmayı teklif eder. Kötü niyetli bir aktör sisteminize erişim kazandığında, tek amacı sistemi kilitlemek olsa bile buna veri ihlali denir. Ancak, bilgisayar korsanı keşfettiği bilgileri paylaşmaya, satmaya veya kullanmaya karar verirse sonuçlar çok daha ciddi olabilir.

Kötü amaçlı bağlantılara tıklayan çalışanlar, fidye yazılımlarının en tipik nedenidir. Personeli kimlik avının tehlikelerinden haberdar etmek, güçlü güvenlik duvarları ve antivirüs yazılımları uygulamak ve gerekirse bu tür hataları önlemek için eğitim vermek firmaların güvende kalmasına yardımcı olabilir.

Dağıtılmış Hizmet Reddi (DDoS)

Dağıtılmış bir hizmet reddi (DDoS) saldırısı, bir web sitesine veya sunucuya, hedef ağı çevrimdışı duruma getirmek için yeterli bant genişliğini tüketen spam trafiğiyle dolup taşmasını içerir. Bu, meşru trafiğin kaynaklara erişmesini engeller ve bilgisayar korsanları tarafından sıklıkla bir sis perdesi ve dikkat dağıtıcı olarak kullanılır. BT personeliniz, web sitenizi veya ağınızı geri yüklemek için çalışırken bir veri ihlaline yanıt veremez. Gerçekten de, veri ihlalleri genellikle uzun süreler boyunca fark edilmez ve bu tür sapmalar katkıda bulunan bir faktördür.

Veri ihlalleri bir dizi farklı kaynaktan meydana gelebilir, bu nedenle herhangi bir kişinin birinin kurbanı olma riskini azaltmak için kullanabilecekleri çevrimiçi güvenlik önlemlerinin farkında olması hayati önem taşır. Bir işletme, bir ihlale maruz kalırsa ve depoladıkları verileri korumak için yeterli güvenlik önlemleri almamışsa yasal olarak sorumlu tutulabilir; İhlal, mali kayıp veya duygusal sıkıntıyla sonuçlanırsa, bir mağdur muhtemelen bir veri ihlali iddiasında bulunma hakkına sahip olacaktır.

Çözüm

Yukarıda bahsedildiği gibi, Graham Coffey & Co. Solicitors’ın veri ihlali uzmanları, veri ihlallerinin şirketler için ciddi sonuçlara yol açabileceği ve insan hatasından büyük ölçekli saldırılara kadar pek çok türde ihlal olduğu konusunda uyarıda bulunuyor. Bu makalede, en yaygın on veri ihlali biçimini belirlediler ve bu tür olayları önlemek için etkili veri yönetimi politikalarının nasıl uygulanacağına dair tavsiyeler verdiler.

Bir yanıt yazın

E-posta adresiniz yayınlanmayacak. Gerekli alanlar * ile işaretlenmişlerdir