Tedarik Zinciri Saldırıları Tüm Operasyonu Durduruyor

Kaspersky araştırmasına göre tedarik zinciri saldırıları son 12 ayda şirketlerin en sık karşılaştığı siber tehdit oldu.

Tedarik Zinciri Saldırıları Tüm Operasyonu Durduruyor

Kaspersky tarafından Asya Pasifik, Avrupa, META bölgesi ve Latin Amerika’yı kapsayan 16 ülkede, 500’den fazla çalışanı bulunan şirketlerde görev yapan 1700’ün üzerinde BT güvenlik profesyoneliyle gerçekleştirilen küresel araştırma, son 12 ayda en sık yaşanan siber tehdidin tedarik zinciri saldırıları olduğunu ortaya koyuyor. Katılımcıların yüzde 56’sı zamanının çoğunu BT güvenlik konularına ayırırken, yüzde 14’ü yalnızca güvenlik alanında çalışıyor. Ortalama 72 dış yüklenicinin sistem erişimine sahip olduğu kurumlarda operasyonel kesinti en büyük risk olarak öne çıkarken, Türkiye’de şirketlerin yüzde 41’i kendisini bu tehditlere karşı savunmasız görüyor.

Dijitalleşme, ticari filo ve lojistik operasyonlarını hız, görünürlük ve veri temelli karar alma açısından ileri taşıdı. Ancak aynı dijital entegrasyon, şirketleri çok katmanlı ve geniş bir tedarikçi ekosistemine bağımlı hale getirdi. Modern kurumlar yalnızca kendi BT altyapılarını değil; yazılım sağlayıcılarını, bulut servislerini, entegrasyon partnerlerini, bakım platformlarını ve dış hizmet sağlayıcılarını da güvenlik perspektifinden yönetmek zorunda. Araştırma, şirketlerin ortalama 60’tan fazla donanım ve yazılım tedarikçisiyle çalıştığını gösteriyor. Dahası, kurum sistemlerine erişimi olan dış yüklenici sayısı çoğunlukla 25 ile 99 arasında değişiyor ve ortalama 72 seviyesinde gerçekleşiyor. Bu erişim yoğunluğu, özellikle saha operasyonlarına ve gerçek zamanlı veri akışına bağımlı filo yapıları için geniş bir dış saldırı yüzeyi anlamına geliyor.

En Sık Yaşanan Tehdit: Tedarik Zinciri ve Güvenilir İlişki Saldırıları

Araştırmaya göre son 12 ayda şirketlerin yüzde 31’i tedarik zinciri saldırısı yaşadı. Bu oran, tüm siber tehditler arasında ilk sırada yer alıyor. Güvenilir ilişki saldırıları ise yüzde 25 ile beşinci sırada bulunuyor. Yapay zekâ destekli saldırılar yüzde 30, oltalama ve sosyal mühendislik girişimleri yüzde 28, siber casusluk yüzde 26, fidye yazılımları yüzde 25, içeriden tehditler yüzde 24, hizmet olarak zararlı yazılım yüzde 23, DDoS saldırıları yüzde 23 ve gelişmiş kalıcı tehditler yüzde 20 oranında deneyimlendi.

Buna karşın tehdit algısında belirgin bir kopukluk bulunuyor. Şirketlerin yalnızca yüzde 9’u tedarik zinciri saldırılarını en tehlikeli tehdit olarak sınıflandırıyor. Güvenilir ilişki saldırılarını en riskli görenlerin oranı yüzde 8. En tehlikeli görülen tehditler sıralamasında gelişmiş kalıcı tehditler yüzde 14, fidye yazılımları yüzde 11 ve içeriden tehditler yüzde 9 ile üst sıralarda yer alıyor. Yapay zeka destekli saldırılar yüzde 8, siber casusluk yüzde 8, DDoS yüzde 8, keşif faaliyetleri yüzde 7, hizmet olarak zararlı yazılım yüzde 7, oltalama ve sosyal mühendislik yüzde 6, sıfır gün açıkları yüzde 6 oranında “en tehlikeli” kategorisinde değerlendiriliyor.

Araştırmaya katılanların yüzde 52’si tedarik zinciri saldırıları veya güvenilir ilişki temelli bir ihlalin en muhtemel sonucunun operasyonel kesinti olduğunu ifade ediyor. Bu oran, operasyonel sürekliliğin siber güvenlikle doğrudan bağlantılı hale geldiğini gösteriyor. Filo operasyonlarında bu kesinti; araç planlamasının durması, rota optimizasyon sistemlerinin devre dışı kalması, bakım planlarının aksaması ve müşteri sözleşmelerinin riske girmesi anlamına gelebilir.

Büyük ve Bağlantılı Yapılar Daha Fazla Hedefte

Veriler, saldırı riskinin ekosistem karmaşıklığıyla paralel arttığını ortaya koyuyor. Büyük ölçekli işletmelerde tedarik zinciri saldırısı yaşama oranı yüzde 36’ya yükseliyor. Bu segment aynı zamanda en fazla yazılım ve donanım tedarikçisiyle çalışan grup olarak öne çıkıyor. Tedarikçi sayısındaki artış, saldırı yüzeyini niceliksel olarak genişletiyor.

Dikkat çekici bir diğer bulgu ise görünürlük eksikliği. Kendini düşük ya da sıfır riskli gören şirketlerin yüzde 21’i sahip oldukları yazılım ve donanım tedarikçisi sayısını tahmin edemiyor. Bu durum, kurumsal envanter yönetimi ve üçüncü taraf görünürlüğünde temel boşluklara işaret ediyor.

Coğrafi farklılıklar da dikkat çekiyor. Tedarik zinciri saldırılarını en tehlikeli üç tehdit arasında gören şirket oranı Singapur’da yüzde 38, Brezilya’da yüzde 36, Kolombiya’da yüzde 36 ve Meksika’da yüzde 35 seviyesinde. Kendini en savunmasız hisseden ülkeler arasında ise Vietnam yüzde 32, Suudi Arabistan yüzde 35, Türkiye yüzde 41, Mısır yüzde 32, Almanya yüzde 34 ve Rusya yüzde 38 yer alıyor.

Parçalı Savunma: Temel Önlemler Bile Yaygın Değil

Savunma tarafında ise dağınık ve tutarsız bir yapı görülüyor. İki faktörlü kimlik doğrulama yüzde 38 ile en yaygın önlem. Sözleşmelere BT güvenlik yükümlülüğü ekleyenler yüzde 37, mevcut tedarikçilerin güvenlik seviyesini düzenli kontrol edenler yüzde 35, tedarikçileri kurumun güvenlik sistemine dahil edenler yüzde 33 oranında.

Yazılım envanterini düzenli güncelleyenler yüzde 31, güvenli iletişim kanalları kullananlar yüzde 31, işbirliği öncesi tedarikçi güvenilirliğini değerlendirenler yüzde 28, siber güvenlik uzmanlığını tedarikçilerle paylaşanlar yüzde 28, en az ayrıcalık prensibini uygulayanlar yüzde 27 ve e-posta şifreleme kullananlar yüzde 25 seviyesinde kalıyor.

Tedarikçi değerlendirme yöntemlerinde de standart yok. İnceleme yapan şirketlerin yüzde 58’i olay müdahale planlarını, yüzde 53’ü siber güvenlik politikalarını, yüzde 52’si tespit edilmiş zafiyetleri, yüzde 51’i geçmiş olayları ve yüzde 51’i ISO/IEC 27001, NIST veya IEC 62443 gibi standartlara uyumu inceliyor. yüzde 49’u penetrasyon test sonuçlarını, yüzde 46’sı ise tedarikçilerin kendi tedarik zinciri güvenlik politikalarını talep ediyor.

Ancak kritik bir veri, tedarikçi değerlendirmesi yapanların yüzde 38’inin BT güvenlik kontrollerini hiç dahil etmemesi. Bu şirketler yalnızca hukuki, finansal ve itibari kriterlere odaklanıyor. Bu yaklaşım, siber güvenliği temel bir güvenilirlik unsuru olarak değil, ikincil bir faktör olarak konumlandırıyor.

Kaynak ve Yapısal Engeller

Şirketlerin yüzde 85’i mevcut koruma seviyesinin yetersiz olduğunu kabul ediyor. Buna rağmen yalnızca yüzde 15’i mevcut önlemleri etkili buluyor. Almanya’da bu oran yüzde 6, Türkiye’de yüzde 7, İtalya, Brezilya ve Rusya’da yüzde 8, Suudi Arabistan’da yüzde 9 seviyesinde.

Koruma açığının temel nedenleri arasında yüzde 42 ile diğer BT güvenlik önceliklerine verilen ağırlık ve yüzde 42 ile nitelikli personel eksikliği başı çekiyor. yüzde 39’u sözleşmelerde yasal BT güvenlik yükümlülüklerinin eksikliğini, yüzde 32’si BT dışı personelin riskleri yeterince anlamamasını, yüzde 31’i tedarikçi güvenliğini kontrol etmeye yönelik çözümlerin eksikliğini, yüzde 29’u yatırım yetersizliğini, yüzde 27’si üst yönetim desteği eksikliğini engel olarak tanımlıyor. Yalnızca yüzde 5 herhangi bir sorun olmadığını belirtiyor.

Türkiye Perspektifi: Güven Açığı Derin

Türkiye’de şirketlerin yüzde 41’i kendisini tedarik zinciri saldırıları ve güvenilir ilişki saldırılarına karşı savunmasız görüyor. Mevcut korumayı yeterli bulanların oranı yüzde 7 ile küresel ortalamanın da altında. Bu tablo, Türkiye’de faaliyet gösteren filo ve lojistik şirketleri açısından siber dayanıklılığın operasyonel yönetim gündemine daha güçlü entegre edilmesi gerektiğini gösteriyor.

Kolektif Güvenlik ve Maliyet Paylaşımı

Araştırma, savunma yaklaşımında kolektif modele yönelim olduğunu da ortaya koyuyor. Şirketlerin yüzde 69’u, tedarik zinciri saldırılarına karşı tam güvence sağlanması durumunda tedarikçileriyle siber güvenlik maliyetlerini paylaşmaya hazır. Yüzde 25’i bu paylaşımı halihazırda gerçekleştiriyor. Bu oran Hindistan’da yüzde 83, Endonezya’da yüzde 80, Rusya’da yüzde 80 ve Brezilya’da yüzde 76 seviyesinde.

Bu eğilim, güvenliğin tek taraflı denetimden ziyade ortak yatırım ve ortak sorumluluk çerçevesinde ele alınmaya başladığını gösteriyor. Sürekli izleme, olay müdahale planlarının birlikte hazırlanması ve ekosistem genelinde eğitim yatırımları bu yaklaşımın temel unsurları olarak öne çıkıyor.

Operasyonel Süreklilik Artık Ekosistem Dayanıklılığına Bağlı

Veriler, tedarik zinciri saldırılarının artık teknik bir BT riski değil; doğrudan iş sürekliliği riski olduğunu ortaya koyuyor. Ortalama 72 dış erişim noktası bulunan bir kurumda, tek bir tedarikçi zafiyeti tüm operasyonu etkileyebiliyor. Özellikle dijital filo yönetim sistemlerine, bulut tabanlı planlama altyapılarına ve entegrasyon platformlarına bağımlı organizasyonlarda bu risk katlanarak büyüyor.

Araştırma, kurumsal güvenliğin yalnızca iç sistemlerle sınırlı olmadığını; ekosistem genelinde görünürlük, sözleşmesel güvenlik yükümlülükleri, sürekli denetim ve kolektif yatırım gerektirdiğini ortaya koyuyor. Filo yöneticileri açısından soru artık yalnızca araç maliyeti veya yazılım performansı değil; tedarikçi ekosisteminin operasyonu durdurabilecek bir zafiyete karşı ne kadar dayanıklı olduğu haline geliyor.

Daily Filo’yu Linkedin’de takip edebilirsiniz: Daily Filo Linkedin