Japonya'dan şirketlere veri sızıntısı uyarısı: temel önlemler eksik

Ofis, şirketlerin kendi hatalarına da değindi: mobil uygulama geliştirirken yetersiz güvenlik, web sitelerinde yanlış yapılandırma, desteği biten veya bilinen açıkları kapatılmamış yazılımların kullanımı.

Üç alanda öneri

İlki sistem işletimi ve yönetimi. Şirketler kullandıkları yazılımların yapısını ve açıklarını bilmeli, müdahale önceliği ve süresi belirlemeli. İnternete açık yönetim panellerinin tahmin edilebilir parolalar veya kaba kuvvet saldırılarıyla ele geçirildiği örnekler verilerek gereksiz panel ve işlevlerin yayına açılmaması istendi. Ayrıca yapay zekâ destekli sürekli zafiyet taraması ve şüpheli davranışlar için log analizi önerildi.

İkincisi tasarım ve geliştirme. Ofis, baştan güvenliği düşünen “security by design” yaklaşımını vurguluyor. Yayımlanmış uygulamaların analiziyle API üzerinden yetkisiz veri alındığı vakalar görüldüğü için erişim kısıtlaması ve kimlik bilgilerinin doğru yönetimi isteniyor. Kişisel veri işleyen sistemlerde yayından önce zafiyet taraması da tavsiye edildi.

Üçüncüsü tedarik zinciri. Saldırganlar, taşeron ve bakım firmalarının ortamını basamak yaparak asıl şirkete giriyor. Bu yüzden VPN ve uzak masaüstü gibi bağlantı yolları belirlenmeli ve çok faktörlü kimlik doğrulama devreye alınmalı. Açık kaynak yazılım ve harici kütüphanelerde ciddi bir açık duyurulduğunda izlenecek ilk müdahale adımları da önceden belirlenmeli.

Ofis 9 Ekim'de de yamaların hızla uygulanması ve çok faktörlü doğrulama gibi kurum geneli temel önlemleri içeren bir uyarı yayımlamıştı. Yeni duyuru kapsamı web sitesi ve mobil uygulama işletimine ve geliştirmesine genişletiyor.