Uzmanlar: Hollanda siber saldırılara yeterince hazır değil

Albert Heijn'de yaşananların tam olarak ne olduğu hâlâ araştırılırken, süpermarket müşterileri siber olayın sonuçlarını doğrudan gördü. Raflar boş kaldı, bazı ürünlerin fiyatları yanlış göründü ve kasada müşteriler kişisel indirimlerinden yararlanamadı.

ESET Nederland'da siber güvenlik uzmanı olan Dave Maasland, olayın tek bir süpermarkette yaşanmasının bir şans olduğunu söylüyor. Müşteriler o anda başka mağazalara gidebiliyordu. "Birden fazla zincirin aynı anda etkilendiğini düşünün" diyor Maasland.

BT uzmanı ve eski Tweede Kamer (Hollanda Temsilciler Meclisi) üyesi Kees Verhoeven, siber dayanıklılığın artırılması çağrısı yapıyor. Ona göre bu tür kesintiler daha sık yaşanacak ve toplum buna hazırlıklı olmalı. "Dijital olayların nasıl somut sorunlara yol açabildiğini görüyorsunuz" diyor.

Siber dayanıklılık, şirketlerin yalnızca saldırıları ve kesintileri önlemeye çalışması anlamına gelmiyor. Bir olayın ardından hızlıca yeniden faaliyete geçebilmeleri de gerekiyor. Bunun için acil durumda ne yapılması gerektiği her zaman net olmalı.

Avans Hogeschool'da Siber Dayanıklı Organizasyonlar kürsü sahibi Rick van der Kleij, birçok kuruluşta bunun daha iyi olabileceğini düşünüyor. "Hollandalı şirketlerin siber olaylara yeterince hazırlıklı olmadığı açık" diyor.

'Just in time' yerine 'just in case' yaklaşımı

Van der Kleij'e göre 'just in time' zihniyetinden vazgeçip 'just in case' yaklaşımına geçmemiz gerekiyor. Bununla Hollandalı şirketlerin verimlilik üzerine kurulu olduğunu, oysa bir şey olma ihtimaline karşı daha iyi hazırlanmaları gerektiğini anlatıyor.

"Fiziksel düşünme yavaş yavaş hayatımızdan kayboluyor" diye ekliyor Verhoeven. "Ama riskler her zaman var. Çevrimdışı yedek planlar üzerine düşünmemiz bence mantıklı."

Ulusal Siber Güvenlik Merkezi (NCSC), şirketlerin en önemli verilerini, ürünlerini, hizmetlerini ve sırlarını yani 'taç mücevherlerini' bilmesinin önemli olduğunu belirtiyor. Bir sözcü, "Bunlar BT'ye mi bağlı? Yönetilmesi gereken risklerle kabul edebileceğimiz riskler arasındaki iyi denge ne?" ifadelerini kullanıyor. "Analoğa dayalı bir alternatif, bir kuruluşun değerlendirebileceği önlemlerden biri."

Alternatif planlar hazırlamak ve siber dayanıklılığa daha fazla yatırım yapmak, para gerektirdiği için şirketlerin pek hoşuna gitmiyor. Van der Kleij, "Kendini muhtemelen geri ödemeyecek bir şeye yatırım yapmak gibi geliyor" diyor. "Toplum büyük ölçüde dijitalleşti ve bu çok avantaj sağlıyor. Ancak ne yazık ki bu, şirketleri büyük vurgun yapmak isteyen suçlular karşısında kırılgan hale de getiriyor."

Bilinen örnekler ve alınması gereken önlemler

Bu kırılganlık, şirketlerin artık hesaba katması gereken bir durum. Maasland, Albert Heijn'deki gibi bir durumun diğer kuruluşları uyandırması gerektiğini düşünüyor. "Hollanda'da dijital alanda hâlâ çok fazla ertelenmiş bakım var" diyor. "Birçok yerde posta kutusundan hâlâ bir ip sallanıyor. Şimdi bunun gerçekten artık mümkün olmadığı gerçeğiyle yüzleşiyoruz."

Albert Heijn'deki olay tek başına değil. Bu yılın başlarında Rotterdam'daki Maasstad Hastanesi'nde yaşanan bir kesinti ameliyatların yapılamamasına yol açtı.

Geçen yıl Savcılık'ın (Openbaar Ministerie) sistemlerine yapılan bir siber saldırının ardından binlerce dava gecikti. 2024'te Eindhoven Havalimanı'nın bilgisayarlarını etkileyen bir kesinti nedeniyle bir gün boyunca uçuş yapılamadı.

Uzmanlar, şirketlere ve kuruluşlara dijital tatbikatları çok daha sık yapmalarını öneriyor. Olayların güvenli bir ortamda simüle edilmesiyle zincirdeki zayıf noktaların nerede olduğu hızla ortaya çıkıyor.

NCSC ayrıca yedeklerin düzenli olarak kontrol edilmesi ve test edilmesinin elzem olduğunu belirtiyor. "Yedeklerin izlenmesi ve test edilmesi, bazen ancak gerçekten kurtarma ihtiyacı doğduğunda dikkat edilen önemli konular."

Geçen ağustos yürürlüğe giren yeni Avrupa siber güvenlik yasası NIS2'nin iyileştirmeye katkı sağlaması bekleniyor. Yasa, Hollanda'daki binlerce kuruluşun dijital dayanıklılığına ilişkin şartlar getiriyor.

Bunun bir parçası da şirketlerin iş ortaklarını iyi denetlemesi. Maasland, "Hangi tedarikçilerin en önemli olduğunu haritalandırın" diyor. "Böylece risklerin nerede ortaya çıkabileceğini bilirsiniz. Olası zayıflıklar konusunda birbirinizi kontrol etmeye devam edin."

Van der Kleij'e göre bu işbirliği çok önemli. "Birbirinize bağımlısınız. Eskiden siber olaylar daha çok örtbas edilirdi. Şimdi şirketlerin bu konuda daha fazla açıklık gösterdiğini görüyorsunuz. Bu çok olumlu bir gelişme. Böylece herkes birbirinden öğreniyor."