Bilgi Güvenliğin Yoksa, Artık Milyon Doların da Yok

İçinde bulunduğumuz şu günlerde bilgi güvenliği konusu hepimiz için çok önemli. Her gün birçok işlemi artık elimiz ayağımız olan internet üzerinden yaparken farkında olmadan arkamızda bıraktığımız açık kapıları birileri takip edip bizim aleyhimize kullanabilir. Bu hem kişisel, hem de çalıştığımız ya da sahibi/ortağı olduğumuz şirketin başına büyük dertler açabilir. Şirketimizde ISO 27001 - Bilgi Güvenliği Yönetim Sistemi konusunda takip denetimi geçireceğimiz bu hafta, konu benim için fazlasıyla sıcakken, sizlere The Deloitte Times’ın Temmuz sayısında yayımlanan bir siber senaryoyu paylaşmak istiyorum. Bakalım ISO27001 standardına göre bilgi güvenliğinin üç unsuru olan gizlilik, bütünlük ve erişilebilirlik senaryomuzda nasıl da deliniyor.

Günaydın

Gün henüz uyanıyordu. Kıtalararası yolculuktan iki gün önce dönen Murat, hala jetlag’i göz kapaklarının üstünde hissediyordu. Üstelik şehrin nemli ve sıcak havası da hayatını hiç kolaylaştırmıyordu. Yıllardır kendini alıştırdığı disiplin sayesinde evden çıkarak spor salonunun yolunu tuttu. Günün yoğun temposuna hazırlayan squat, burpee, hyper extension…

Sonrasında bir duş. Trafik başlamadan, ofise doğru yola çık. Bu değişmez alışkanlık onun yoğun güne hazırlanış şekliydi. Köprüden geçerken henüz uyanmakta olan şehri düşündü. Çalışanlarına söylediği söz aklına geldi. “Şehrin temposuna ayak uydurmalısın, aksi takdirde savrulursun ve kaosun ta kendisine toslarsın.” Direksiyondaki şoförüne doğru seslendi. “Dün gece yine neler çevirdin, gözler şiş şiş…” Şoförü gülümsedi, “Sıcaktan uyuyamadım Murat Bey.” “Her zaman verecek bir cevabın var zaten” diyerek göz kırptı.

Ofise ulaşmıştı, iş dünyası güne başlayıncaya kadar, yurtdışındayken biriken epostaları temizleyecek kadar ancak vakti vardı. Bill Gates’in 2004’teki önerisi geldi aklına, her bir eposta için para almak. O zaman bu fikre çok gülmüştü, ancak bu günlerde kutusunda okunmamış eposta sayısını gördükçe ona hak veriyordu. “Kesin onun da aklına bu kadar okunmamış eposta gördüğünde gelmiştir” diye düşündü. Kendini dünyadan izole etti ve ekrana odaklandı.

Üşüten sıcak

Kapının açıldığını duyduğunda gözü ekranın sağ altındaki saate takıldı. Saat iki olmuştu bile. Neyse ki epostaların tamamının üzerinden geçmişti. Kafasını kaldırdığında şirketin CFO’su Cihan’la göz göze geldi. Cihan kocaman bir gülümsemeyle sordu: “Kendine geldin mi?” “Sorma, hala üzerimden atamadım, toplantılar da çok yoğun geçti zaten. Sen nereden böyle?” Cihanı, yüzündeki gülümseme ifadesinin büyük bir başarıdan kaynaklandığını bilecek kadar iyi tanıyordu. “Yine ne kopardın?” diye ekledi. “Bankanın COO’su ile yemek yiyordum, sonunda şartları istediğimiz yere getirmeye razı oldu.” Yüzüne kocaman gülümseme yayılan Murat arkasına yaslandı. “Nerede kutluyoruz?” “Onu boşver, evi hallettiğine sevindim. Malikâneyi mi demeliyim yoksa? Yedek anahtarı hemen istiyorum” “Dur be Cihan, henüz sadece beğendim, daha anlaşma var” Cihan ciddileşerek gözlerini Murat’a dikti, “Nasıl yani, üzerine almadan mı geldin? E o kadar para gönderdik!”

Murat gözlerini kısarak bir an duraksadı. “Ne parası?” “Yahu fotoğrafları gönderdiğin eposta sonrasında miktar ve hesap bilgisi gönderip acil dedin ya, hala atamadın mı jetlag’i sen? O gün ödemeyi gönderirsek ancak 1 milyon 150 bin doları kabul etmişlerdi ya. O para o gün gitsin diye ne kadar uğraştım biliyor musun? Bankanın bir kontrol sistemine mi ne takılmış, on kere aradılar beni onay için…” “Hangi mail?” Cihan, Murat’ın bilgisayarına eğildi, giden kutusunu açıp, iki gün öncesine gitti. “İyice bitmişsin sen” diyerek epostayı açtı. Murat ekrana bakakaldı, ve ardından ağzından ikisini de üşüten kelimeler ağzından döküldü. “Şunu benim yazmış olmam dışında hepsi doğru, bu da nesi?” Cihan çoktan telefonu almış, bankanın genel müdür yardımcısına ulaşmaya çalışıyordu. O anda aklına “… üstüne bir bardak soğuk su içmek” deyimi geldi.

Puslu gece

Ufak, karanlık bir oda. Klavyede hızlıca dolaşan parmakların çıkardığı sesler dışında çıt çıkmıyordu. Bir süredir sosyal medyada takip ettiği üst düzey yöneticilerden Murat’ın kıtalararası checkin’i, uyarı olarak ekranına düşeli 8 saat olmuştu. Murat kıtalararası yolculukta da olsa çok fazla vakti olmadığını biliyordu. “İşkolikler” diye söylendi, kesin bu gezinin tadını çıkarmadan tekrar işinin başına dönecekti. Bu sefer uyumak için bile vakit kaybetmek istemiyordu. Murat’ın check-in’lerini hızlıca gözden geçirdi. Adam bunca işinin yanında her hafta mutlaka maça gidiyordu. Sosyal medya profilindeki fotoğraflarının çoğu takımı ve maçlarıyla ilgiliydi. “Deneyelim bakalım” diye aklından geçirdi. Murat’ın şirketinin webmail’ini açtı. Arama motorundan bulduğu epostayı kullanarak parolayı girdi. ‘besiktas1903’ Yanlış parola… “Tekrar denemeli, bir de başımıza karmaşık parola politikaları çıkardılar” ‘Besiktas1903!’ Bir saniye sonra Murat’ın epostaları karşısındaydı. Daha önce profesyonel iş ağı sitesindeki yaptığı araştırmada şirketin CFO’sunun kim olduğunu rahatlıkla öğrenmişti. Hızlıca Cihan’ın epostalarını aratarak okumaya başladı. On beş dakika sonra hedefini belirledi, ekleri olan son eposta dikkate değerdi. “Cihan, sonunda aradığım evi buldum. Büyük şans oldu, toplantılar arasında topu topu 2 saat vaktim vardı, eve bayıldım, fotoğraflar ekte. Rakam biraz yüksek ancak ineceklerini düşünüyorum, ödeme şartları ile sanırım pazarlık yapabilirim.” Cihan ile Murat’ın yazışmalarını tekrar dikkatlice okuyarak, benzer üslupta epostaya cevap hazırladı. “Cihan, eğer bugün ödemeyi çıkartırsak işi bitiriyorum aşağıdaki hesaba acilen bir tekliğe yüz elli ekleyip göndertiversene, ben de gelince sana hediye etmek üzere yedek anahtarı yaptırayım ;)”

Yazdığı epostayı dikkatlice kontrol etti, çok uzun olursa hata yapma riski olduğundan kısa tutmalıydı. Diğer bilgisayara döndü, şifreli bir eposta ile bağlantısına haber verdi. “Yemi gönderdim, zokayı yutarsa hesaba bir milyon yüzelli bin gelecek, katırlarını hazırla…”

 

Bu siber senaryo Deloitte Türkiye Siber Risk Danışmanlığı Lideri Burç Yıldırım tarafından kaleme alınmıştır. Senaryo içeriği aynen kullanılmış, şifre tuttuğum takım ile değiştirilmiştir.