Dijital Pazarlamacılar için Departmanlar Arası Siber Güvenlik Eğitimi

Giriş

Siber suçlular hem sayıca hem de yaratıcılık açısından ilerliyor. Tüketicilerin ve işletmelerin 2023 yılında siber suçlar nedeniyle 12,5 milyon dolar kaybettiğini ve FBI'a göre bu rakamın muhtemelen hala düşük olduğunu biliyor muydunuz?

Dahası, veriler bize 2023'ün siber saldırılar için tüm zamanların en yüksek seviyesi olduğunu ve hacmin 2021 'e (en çok saldırı için önceki rekor sahibi) göre %72 arttığını gösterdiğinden, bu sayının artmaya devam etmesini bekleyebiliriz. Özellikle, bu tür saldırıların nedeni genellikle sıradan olup, e-posta saldırıları en yaygın olanlardan biridir. Kuruluşların %94'ü e-posta yoluyla kötü amaçlı yazılım ihlali bildirmiştir ve araştırmalar kötü amaçlı yazılım saldırılarının %35'inin e-posta yoluyla yapıldığını göstermektedir.

Karşılaştırmalı olarak, veri ihlallerinin bir sonucu olarak ortalama kayıp 4,4 milyar dolardır. Başka bir deyişle, kuruluşunuz çok para kaybetmekten bir kötü e-posta uzakta. Ve bunlar sadece e-postalar; siber suçlular ne yazık ki teknoloji geliştikçe oyunlarını da geliştiriyorlar.

Unsplash

Bu rakamlar korkutucu olmakla birlikte, şirket verilerini korumak için şirket genelindeki birimlerin bir araya gelmesi gerektiğini vurgulamaktadır. Şirketinizin sadece siber güvenlik yazılımınızı sürdürmeye adanmış bir ekibe sahip olması yeterli değildir; kuruluşunuzdaki ekiplerin günlük sorumlulukları boyunca siber güvenlikle ilgili en iyi uygulamaları bilmeleri ve uygulamaları gerekir.

Bu durum özellikle pazarlama departmanınız için geçerlidir. Pazarlama departmanının büyük miktarda müşteri verisine erişimi vardır ve bu verileri günlük işlerinde aktif olarak kullanırlar. Bu durum pazarlamayı siber suçlular için özellikle değerli bir hedef haline getirir; tecrübesiz bir stajyer ya da çok çalışan bir yönetici yanlış bir e-postayı açar, yanlış bir bağlantıya tıklar ya da başka bir şekilde kapıyı açarsa, şirketiniz milyonlarca dolarlık bir kayıpla karşı karşıya kalır. Müşterilerin verilerini yanlış yere koyan bir kuruluşa emanet etme olasılığı daha düşük olduğundan, itibarınıza vurulan darbeden bahsetmiyorum bile.

Peki pazarlama departmanınızı siber güvenlik tehditlerinden kaçınmaya nasıl hazırlayabilirsiniz? Herkesi siber güvenlik protokolüne uygun hale getirmek için neler yapılmalı ve programınızda ilerlerken ekibinizin ilerlemesini nasıl ölçebilirsiniz? Bu makalede, ekipleri birleşik bir cephede bir araya getirmenize, şirket verilerini korumanıza ve gelişirken bile siber güvenlik tehditlerinden kaçınmanıza yardımcı olacak pratik ipuçlarını ve püf noktalarını inceleyeceğiz.

Farkındalığın Artırılması

Unsplash

Ekipler farkında olmadıkları bir tehditle başa çıkamazlar. Pazarlama ekibinizdeki kişilerin, siber suçluların sızmak için kullandığı taktiklerden (temel düzeyde bile olsa) haberdar olduğunu asla varsaymamalısınız. Ekibinizin farkındalığı için temel bir denetim gerçekleştirin ve bu yaygın siber saldırılar hakkındaki bilgilerini test edin:

• Kötü Amaçlı Yazılımlar Siber suçlular çalışanların bilgisayarlarına genellikle nasıl kötü amaçlı yazılım bulaştırır? Bu istenmeyen saldırıdan kaçınmanın yolları var mı?
• Kimlik Avı Şirket dışından gelen ve alt kısmında tıklanabilir bir bağlantı bulunan bir e-posta alırsanız ne yapmalısınız? E-posta şirket içinden geldiğini iddia ediyorsa, ancak benzer bir tıklanabilir bağlantıya sahipse ve CEO'nuzun tüm çalışanlardan bir form doldurmalarını istemesi gibi garip görünüyorsa ne yapmalısınız?
• Sosyal Mühendislik Şirket kayıtları, şifreler veya kişisel bilgiler gibi hassas bilgileri hiç web üzerinden dağıtmalı mısınız? Şirket içinden olduğunu iddia eden (ancak tanımadığınız) biri sizden e-posta yoluyla bu bilgileri isterse, e-postanın doğruluğunu teyit etmek için hangi protokolü izleyebilirsiniz?

Ekibinizin genel farkındalığı hakkında temel bir fikir edindikten sonra, üzerinize düşeni yapmanın ve bilgi tabanlarındaki boşlukları doldurmanın zamanı gelmiştir. Riski azaltmak için farkındalığı artırmak çok önemlidir ve şirketinizde uygulamayı düşünmeniz gereken bir eğitim programının ötesinde bu farkındalığı sürdürmenin yolları vardır.

Eğitim programları da önemli olsa da (birazdan tartışacağımız gibi), siber güvenliğin çalışanlarınızın her gün aklında olmasını istersiniz; ve bu basit süreç değişiklikleriyle bu hedefe ulaşabilirsiniz.

• Cihaz Güçlendirme Protokolleri Çalışanların ve diğer şirket sistem kullanıcılarının parolalarını sık sık güncellemelerini gerektiren bir protokol oluşturmak. Bu çok önemlidir çünkü hala eski bir şifre kullanan bir sistem bile bir güvenlik açığıdır; siber suçluların yararlanabileceği ve yararlanacağı bir güvenlik açığı. Yine de birçok kuruluş bu adımı daha sonra atacakları önemsiz bir adım olarak görmektedir - eğer bu sizin kuruluşunuzu tanımlıyorsa, kendinizi korumak için yapabileceğiniz ilk şeylerden biri budur.
• Uçtan Uca Şifreleme Hareket halindeki verileri şifreleyebilen bir sisteme sahip olmak hayati önem taşır; ancak aynı zamanda dinlenme halindeki verileri de şifreleyebildiğinizden emin olmanız gerekir. Çalışanlar bu sistemlerin varlığından ve rollerinden haberdar olmalıdır.
• Yama Yönetimi İşletim sistemleri eskidikçe güvenlik açıklarının hem daha belirgin hem de daha acil hale gelmesi kaçınılmazdır. Sık sık yamalar yayınlayarak ve çalışanları cihazlarını mümkün olduğunca sık güncellemeleri için teşvik ederek bu sorunun üstesinden gelin. Herhangi bir nedenle pazarlama departmanınızdaki bir çalışan söz konusu yamaları yüklemezse, sistemini olası saldırılara açık bırakmış olur. Düzenli bir güncelleme süreci oluşturmak ve çalışanları sorumlu tutmak büyük önem taşır.

Çalışanların mevcut bilgilerini değerlendirdikten ve şirket genelinde bu uygulamaları hayata geçirdikten sonra, bir sonraki adıma geçme zamanı gelmiştir: eğitim.

Kapsamlı Bir Eğitim Programının Oluşturulması

Unsplash

Kalıcı bir eğitim programı oluşturmanın anahtarı, bunu tek seferlik bir seminer gibi ele almamaktır. Hiç kimse, ama hiç kimse, siber saldırıların tehlikeleri hakkında 30 dakikalık bir üniversite dersinden, şirkete uygun markalama ve parlak geçişlerle hiçbir şey hatırlamayacaktır. En iyi ihtimalle, ekip üyeleri daha sonra bir sınav olduğunu bilirlerse bir ya da iki gerçeği hatırlayacaklardır; en kötü ihtimalle, bu hayati önem taşıyan kursu İK'nın kontrol listesindeki bir kontrol olarak değerlendirerek pencerelerini küçültecek ve işlerine odaklanacaklardır.

Değer katacak bir eğitim programı oluşturmanın en iyi yolu pratik içgörülere odaklanmaktır. Kısa bir sunum yerine, eğitimi, çalışanların her seferinde yeni öğrendikleri bilgileri göstermelerini gerektiren çok seminerli bir kurs gibi ele alın. Bu kursun farklı aşamalarını kullanarak onlara yalnızca temel en iyi uygulamaları değil, aynı zamanda siber güvenlik trendlerini de öğretebilirsiniz:

• Blok zinciriteknolojisi Blok zinciri, veri güvenliğindeki en yeni yeniliklerden biridir, çünkü yerleşik güvenliği onu veri paylaşımı ve işlemlerin yürütülmesi için ideal hale getirir. Blok zinciri kullanmanın faydaları ve bununla ilişkili benzersiz güvenlik sorunları hakkında kısa bir kurs, özellikle kuruluşunuz bunu kullanmayı düşünüyorsa, mükemmel bir başlangıç olacaktır.
• Karanlık Fiber Ağlar İstikrar, güvenlik ve bant genişliği üzerindeki kontrolün kilidini açan ağları yapılandırmanın yeni bir yolu olan karanlık fiber ağlar da hızla ilgi görmektedir. Bunun nedeni kısmen kullanıcıların veri güvenliği protokollerini kolayca uygulamalarına izin vermeleri, kısmen de öngörülebilir maliyetleri ve düşük genel gecikme süreleridir. Bu konuda verilecek eğitimler çalışanlara karanlık fiber ağlarla nasıl etkileşime geçeceklerini, hangi kontrollerin mevcut olduğunu ve bu ağların nasıl ekstra bir güvenlik katmanı eklediğini öğretecektir.
• VPN 'ler VPN'ler benzer şekilde kullanıcılar internette gezinirken hassas verileri özel, şifrelenmiş bir kanaldan geçirerek ekstra bir gizlilik katmanı oluşturur. Tüketicilerin %77 'si çevrimiçiyken özel verilerini korumak için VPN'leri kullandığından, VPN'ler son zamanlarda oldukça popülerlik kazanmıştır. Şirketler için kullanım durumları da benzer şekilde umut vericidir ve bir VPN'in nasıl doğru şekilde kurulacağını anlamak, hassas verileri işleyen çalışanlar için anahtar olacaktır.
• DNS Koruması DNS Araçları, çalışanların web'de arama yaparken erişebilecekleri web sitesi türlerini kısıtlar ve kötü amaçlı yazılım bulaşma riski yüksek olan web sitelerini önceden tarar. Bu araçların var olduğunu ve neden var olduğunu bilmek, çalışanların sisteme girdiklerinde erişmeye çalıştıkları web sitesinden en iyi şekilde uzak duracaklarını bilmelerini sağlar.
• Sıfır Güven Ağ ları Sıfır Güven Ağları, titiz kimlik doğrulama ile şirket verilerine sınırlı erişimi bir araya getirir. Bu kontrollerin neden uygulandığını (ve bazı durumlarda nasıl ayarlanacağını) anlamak, çalışanların hassas veriler ile herkese açık paylaşılabilir bilgiler arasında ayrım yapmasına yardımcı olarak veri gizliliğini ön planda tutar.

Elbette bu tür kurslar kimlik avı, sosyal mühendislik, fidye yazılımları ve kaba kuvvet saldırıları gibi en yaygın siber saldırı biçimleri hakkında ön bilgiler de içermelidir. Bunu bir adım daha ileri götürmek, çalışanları piyasada hangi çözümlerin olduğu, nasıl çalıştıkları ve neden gerekli oldukları konusunda bilgilendirerek güçlendirir. Bu strateji, çalışanları bu çözümleri kullanmaya, açıklarından kaçınmaya ve verilerinizi birçok açıdan dikkatli bir şekilde korumaya hazırlar.

Başarıların Ölçülmesi

Farkındalığı artırdıktan ve bir teknoloji eğitim programı oluşturduktan sonra, ekip üyelerinin ilerlemesine ilişkin üst düzey bir görünüm elde edebilmeniz gerekir. Bu girişimlere başlamadan önce KPI'ları belirlemek çok önemlidir, çünkü girişimlerinizin ekiplerinizi uygun şekilde hazırlayıp hazırlamadığını anlayabilmek istersiniz.

Unsplash

Test, kullanabileceğiniz unsurlardan biridir; diğer unsurlar arasında yamaların benimsenmesini takip etmek, hassas verilere erişimi izlemek ve uyum sağlama konusunda iyi olmayan ekip üyeleriyle düzenli kontroller yapmak yer alır. Siber saldırı girişimlerini (ve ekip üyelerinizin bunlarla nasıl başa çıktığını) raporlamak da mevcut süreçlerinizdeki güvenlik açıklarını tespit etmenize ve bunları buna göre yeniden değerlendirmenize olanak tanıdığı için yararlı olabilir.

Unutmayın: Sadece en zayıf halkanız kadar güçlüsünüz. Gözünüzü toptan ayırmayın, eğitimin devam ettiğinden emin olun ve en son siber güvenlik tehditlerini düzenli olarak araştırın; hassas verilerinizi hem gizli hem de güvende tutacaksınız.