Kiralık 'red team' popüler: Yeni güvenlik yasaları yürürlükte

Hollanda'da bugün yürürlüğe giren iki yeni yasa, kurumları siber güvenliği ciddiye almaya zorluyor. Bu durum, kurumların güvenlik açıklarını test eden 'red team' şirketlerine olan talebi de artırdı. Söz konusu şirketler, kurumların binalarına ve dijital sistemlerine sızmaya çalışarak güvenlik zafiyetlerini ortaya çıkarıyor.

Yeni yasalar, binlerce kuruluşun dijital ve fiziksel güvenliğini artırmasını gerektiriyor. Bu kapsamda, özellikle hastaneler gibi kritik kurumlar hacklenme riskine karşı daha savunmasız hale geldi. Geçtiğimiz günlerde sağlık yazılımı şirketi Chipsoft'a yapılan siber saldırıda hasta verilerinin çalınması, bu riski gözler önüne serdi.

Basit Şifrelerle Sistemlere Sızdılar

Red team çalışmaları yürüten EHGI şirketinin direktörü Anass Ali, bir sağlık kurumunun sistemine basit şifreler tahmin ederek girdiklerini anlattı: "Bir sağlık kurumunda, tahmin edilebilir şifrelerle tüm sisteme eriştik. Kameraları ele geçirdik, tüm hasta odalarını izleyebildik ve tıbbi verilere ulaşabildik." Ali, bu testlerin sonuçlarını sadece kurum yönetimiyle paylaştıklarını, ardından kurumun açıkları kapatabildiğini söyledi.

Yeni yasalardan biri olan Siber Güvenlik Yasası, yaklaşık 8.000 şirket ve kurumu kapsıyor. Bunlardan 500'ü, içme suyu ve elektrik şirketleri gibi 'kritik altyapı' olarak sınıflandırılıyor ve dijital ve fiziksel güvenlik açısından en yüksek standartlara uymak zorunda.

Kurumların Güvenlik Bilinci Artıyor

Güvenlik şirketleri, talepteki artışı doğruluyor. Cocoon Risk Management'ın direktörü Tim Gerding, kurumlara sızmak için drone, denizci kılığı, sahte kimlik ve kopyalanmış kartlar gibi yöntemler kullandıklarını belirtti. Ancak çoğu zaman en kolay yolun insan hatası olduğunu vurguladı: "Genellikle en basit yoldan, resepsiyondaki insanlar bizi içeri aldığında giriyoruz."

Gerding, Hollanda'nın güvenlik konusunda çok saf olduğunu, Rusya'dan büyük bir tehdit olduğunu ve ABD'nin artık otomatik olarak yardım etmeyeceğini söyledi. Yeni yasalar ayrıca, kurumların tedarikçileri ve diğer iş ortakları üzerinden gelebilecek riskleri de değerlendirmesini gerektiriyor. Uzmanlar, özellikle küçük tedarikçiler için bu durumun mali külfet yaratabileceğini belirtiyor.

Yasalara uymayan kurumlar için ağır yaptırımlar öngörülüyor. Kritik kuruluşlar, bakım ve bildirim yükümlülüklerini ihlal ettiğinde 10 milyon euro veya küresel yıllık cirolarının yüzde 2'si oranında (hangisi yüksekse) para cezasıyla karşılaşabilir. Diğer ihlallerde ise ceza en fazla 1 milyon euro olacak.