Tedarik Zinciri Siber Güvenliği: Üçüncü Taraf Riskleri

Bir şirket kendi bilgisayarlarını, sunucularını ve ağ altyapısını korumak için çeşitli güvenlik önlemleri alabilir.

Ancak iş süreçlerinde kullanılan yazılımlar, bulut hizmetleri, dış destek firmaları ve diğer teknoloji sağlayıcıları da kurumun güvenlik risklerini etkiler.

Örneğin dışarıdan destek veren bir firmanın yönetici hesabı ele geçirilebilir, kullanılan bir yazılımın güncelleme mekanizması saldırıya uğrayabilir veya bir entegrasyonun API anahtarı yetkisiz kişilerin eline geçebilir.

Tedarik zinciri siber güvenliği, işletmenin dış teknoloji bağımlılıklarından kaynaklanan risklerin değerlendirilmesi ve yönetilmesiyle ilgilidir.

Peki üçüncü taraf yazılım riskleri nasıl belirlenir ve işletmeler hangi önlemlerle bu riskleri azaltabilir?

Siber güvenlikte tedarik zinciri riski nedir?

Tedarik zinciri riski, bir kurumun kullandığı ürün, hizmet veya dış sağlayıcıyla ilişkili güvenlik tehditlerinden etkilenebilmesini ifade eder.

Bu riskler yalnızca doğrudan yazılım tedarikçileriyle sınırlı değildir.

Bulut hizmetleri, dış kaynak BT desteği, veri işleme hizmetleri, donanım, uzaktan yönetim araçları ve çeşitli entegrasyonlar da değerlendirilmelidir.

Bir tedarikçinin kendi güvenlik sorunu, hizmet verdiği başka kurumların sistemlerini veya verilerini etkileyebilir.

Üçüncü taraf yazılım riski neden önemlidir?

Günümüzde kurumsal uygulamalar tek başına çalışmaz.

ERP, CRM, e-posta, muhasebe, insan kaynakları ve e-ticaret uygulamaları birbirleriyle veri alışverişi yapabilir.

Bu sistemler farklı şirketler tarafından geliştirilmiş veya işletiliyor olabilir.

Bir uygulamanın güvenliği değerlendirilirken yalnızca şirketin kendi sunucuları değil, bağlantılı dış hizmetler ve erişim yetkileri de dikkate alınmalıdır.

Hangi üçüncü taraf sistemler risk oluşturabilir?

SaaS hizmetleri

Bulut üzerinden kullanılan uygulamalarda erişim yetkileri, veri aktarımı ve sağlayıcının güvenlik uygulamaları önemlidir.

Dış kaynak BT destek firmaları

Destek firmalarının sunucu, firewall veya kullanıcı sistemlerine erişmesi gerekebilir.

Bu erişimlerin kim tarafından, hangi kapsamda ve ne zaman kullanıldığı izlenmelidir.

API entegrasyonları

Üçüncü taraf hizmetlerle bağlantı kuran uygulamalarda API anahtarlarının korunması ve yetkilerin sınırlandırılması gerekir.

Yazılım güncellemeleri

Yazılım dağıtım ve güncelleme zincirinin güvenliği de değerlendirilmeli; kullanılan ürünlerin güvenilir kaynaklardan temin edilmesi sağlanmalıdır.

Açık kaynak bağımlılıkları

Kurumsal yazılımlar birçok açık kaynak bileşenden yararlanabilir.

Bu bileşenlerde ortaya çıkan güvenlik açıklarının izlenmesi ve gerektiğinde güncellenmesi önemlidir.

Tedarikçi güvenlik değerlendirmesi nasıl yapılır?

İlk adım kurumun teknoloji tedarikçilerinin belirlenmesidir.

Tedarikçi envanterinde ilgili hizmetler, erişim kapsamı ve sorumlular tanımlanabilir.

Değerlendirmede şu sorular kullanılabilir:

1. Tedarikçi hangi sistemlere erişiyor?
2. Hangi kurumsal veya kişisel verilere erişebiliyor?
3. Erişim için MFA kullanılıyor mu?
4. Yönetici yetkileri sınırlandırılmış mı?
5. Güvenlik olayı yaşandığında bildirim yöntemi tanımlı mı?
6. Hizmet sonlandırılırsa erişimler nasıl kaldırılacak?
7. Veriler nasıl geri alınacak veya uygun şekilde silinecek?
8. Kritik hizmetler için iş sürekliliği planı var mı?

Bu kontroller, tedarikçinin risk seviyesine göre önceliklendirilebilir.

Üçüncü taraf erişimleri nasıl güvenli tutulur?

Dış destek sağlayıcılarının erişimleri işin gerektirdiği ölçüde sınırlandırılmalıdır.

Örneğin yalnızca belirli sunucuda işlem yapacak bir kullanıcıya bütün ağda yönetici yetkisi verilmesi gereksiz risk oluşturabilir.

Uygun sistemlerde aşağıdaki kontroller değerlendirilebilir:

• Çok faktörlü kimlik doğrulama
• En az ayrıcalık ilkesi
• Ayrı yönetici hesapları
• Geçici veya süreli erişim
• Uzaktan erişim kayıtları
• Yetki gözden geçirme
• İş bitiminde erişim iptali
• Merkezi kimlik yönetimi

Bu önlemler kullanılan altyapıya göre uyarlanmalıdır.

API anahtarları ve entegrasyon güvenliği

Bir API anahtarı, bir sistemin başka bir sistem üzerinde belirli işlemler yapmasını sağlayabilir.

Bu nedenle anahtarların kaynak kod içinde açık şekilde saklanması veya gereksiz erişim yetkileriyle kullanılması risk oluşturabilir.

Entegrasyon güvenliğinde:

• Anahtarların güvenli saklanması
• Yetkilerin sınırlandırılması
• Gerektiğinde anahtarların yenilenmesi
• Aktarımın şifrelenmesi
• Hata ve erişim kayıtlarının izlenmesi
• Kullanılmayan bağlantıların kaldırılması

gibi kontroller önem taşır.

SBOM nedir?

SBOM (Software Bill of Materials), bir yazılımda kullanılan bileşenlerin ve bağımlılıkların görünürlüğünü artırmak amacıyla değerlendirilen yazılım bileşen envanteridir.

SBOM, belirli bileşenlerde güvenlik açığı yayımlandığında hangi uygulamaların etkilenebileceğini analiz etmeye yardımcı olabilir.

Ancak bir SBOM dosyasına sahip olmak, yazılımın otomatik olarak güvenli olduğunu göstermez.

Bileşenlerin güncellenmesi ve güvenlik risklerinin yönetilmesi ayrıca gerekir.

KVKK açısından tedarikçi yönetimi

Bir hizmet sağlayıcısının kişisel verileri işlemesi hâlinde veri sorumlusu ve veri işleyen rolleri önem kazanabilir.

Sözleşmeler, erişim yetkileri, veri aktarımı ve güvenlik tedbirleri değerlendirilmelidir.

Bununla birlikte her teknoloji tedarikçisinin otomatik olarak aynı hukuki rolü üstlendiği varsayılmamalıdır.

İlgili yazı: Veri İşleyen Sözleşmeleri (DPA)

ISO 27001 ve tedarikçi güvenliği

ISO 27001 bilgi güvenliği yönetim sistemi yaklaşımı içerisinde tedarikçi ilişkileri ve dış bağımlılıklar da değerlendirilmesi gereken konular arasındadır.

Amaç yalnızca tedarikçinin sertifikası olup olmadığını sormak değildir.

Hizmetin kapsamı, erişim modeli, güvenlik gereksinimleri ve ortaya çıkan riskler birlikte analiz edilmelidir.

Bir tedarikçinin ISO 27001 sertifikasına sahip olması, müşterinin bütün güvenlik yükümlülüklerinin yerine getirildiği anlamına gelmez.

Tedarikçi risklerini azaltmak için kontrol listesi

• Güncel teknoloji tedarikçi envanteri oluşturun.
• Kritik sağlayıcıları belirleyin.
• Dış erişim yetkilerini gözden geçirin.
• Kullanılmayan hesapları ve entegrasyonları kaldırın.
• API anahtarlarını ve yönetici hesaplarını koruyun.
• Güvenlik bildirim ve olay müdahale süreçlerini belirleyin.
• Veri işleme ve aktarım koşullarını değerlendirin.
• Düzenli tedarikçi risk değerlendirmesi yapın.

Bu çalışmalar kurumun büyüklüğüne ve dış bağımlılıklarına göre planlanabilir.

RelGen Teknoloji ile tedarikçi ve sistem güvenliği

RelGen Teknoloji, işletmelerin mevcut BT altyapısını ve dış teknoloji bağlantılarını teknik açıdan değerlendirerek güvenlik iyileştirme ihtiyaçlarının belirlenmesine yardımcı olur.

Firewall, VPN, kullanıcı yetkileri, sunucu güvenliği, uzaktan erişim ve üçüncü taraf bağlantıları birlikte incelenebilir.

Amaç, mevcut sistemleri ve çalışma yöntemlerini değerlendirerek yönetilebilir ve sürdürülebilir bir güvenlik yaklaşımı geliştirmektir.

BT Hizmetlerimizi inceleyebilir veya RelGen Teknoloji ile iletişime geçerek altyapı güvenliği ihtiyaçlarınızı değerlendirebilirsiniz.

Sık sorulan sorular

Üçüncü taraf risk yönetimi yalnızca büyük şirketler için mi?

Hayır. Küçük işletmeler de dış yazılım, bulut ve teknik destek hizmetleri kullanıyorsa ilgili riskleri değerlendirebilir.

Tedarikçinin ISO 27001 sertifikası yeterli mi?

Tek başına hayır. Erişimler, veri işleme koşulları ve hizmet kapsamı ayrıca değerlendirilmelidir.

API entegrasyonu güvenlik riski oluşturabilir mi?

Yanlış yetkilendirme veya yetersiz anahtar güvenliği gibi durumlarda risk oluşabilir. Doğru tasarım ve kontrollerle riskler azaltılabilir.

Teknik kaynak: NIST SP 1305 — Cybersecurity Supply Chain Risk Management