Dijital çağda kurumlar üçüncü taraf hizmet sağlayıcılara giderek daha bağımlı hale geliyor. Kurumların kendi güvenlik kontrollerini geliştirmesiyle birlikte saldırganlar da doğrudan hedefe ulaşmak yerine tedarik zincirindeki daha zayıf halkaları kullanmaya yönelebiliyor.
Tedarik zinciri saldırıları, bir kurumun doğrudan sistemlerini hedeflemek yerine onun tedarikçileri, hizmet sağlayıcıları veya iş ortakları üzerinden erişim elde etmeyi amaçlayan saldırılardır.
Tedarikçi kaynaklı bir güvenlik ihlali; veri sızıntısı, sistem ve bilgi kaynaklarının ele geçirilmesi, hizmet kesintisi, zararlı yazılım bulaşması veya kritik iş süreçlerinin etkilenmesi gibi sonuçlara yol açabilir.
Tedarik Zinciri Saldırılarında Hangi Varlıklar Hedefleniyor?
Tedarikçiler üzerinden gerçekleştirilen saldırılarda yalnızca teknik sistemler değil, kurumun kritik bilgi ve iş varlıkları da hedef alınabilir.
- Veri: Ödeme verileri, önemli belgeler, e-postalar, kullanıcı hesapları ve fikri mülkiyet.
- Kişisel veri: Müşteri verileri, çalışan kayıtları ve kimlik bilgileri.
- Finansal veri: Banka hesapları, ödeme bilgileri ve para transferleri.
- Yazılım: Kaynak kodları, uygulamalar, güncelleme mekanizmaları ve yazılım bileşenleri.
- Süreçler: Operasyon dokümantasyonu, yapılandırmalar ve kritik iş akışları.
- Ağlar: Kurumsal ağlara erişim, DDoS saldırıları, spam gönderimi veya başka sistemlere sıçrama.
- Kişiler: Sahip oldukları erişim, bilgi veya görev nedeniyle kritik çalışanların hedef alınması.
Tedarik Zinciri Saldırılarında Kullanılan Yaygın Teknikler
Tedarik zinciri saldırıları tek bir saldırı yöntemine dayanmaz. Saldırganlar güven ilişkilerini, teknik açıkları ve insan faktörünü birlikte kullanabilir.
- Trusted Relationship [T1199]: Kurum ile güvenilir kabul edilen tedarikçi arasındaki erişim veya bağlantının kötüye kullanılması.
- Drive-by Compromise [T1189]: Zararlı içerik barındıran veya ele geçirilmiş web siteleri üzerinden kullanıcı ya da sistemlerin hedef alınması.
- Phishing [T1566]: Tedarikçiyi taklit eden e-postalar, sahte güncelleme bildirimleri veya kimlik bilgisi toplamaya yönelik mesajlar.
- Malware Infection: RAT, arka kapı, fidye yazılımı veya diğer zararlı yazılımların tedarikçi üzerinden hedef ortama ulaştırılması.
- Physical Attack or Modification: Donanım bileşenlerinin değiştirilmesi veya fiziksel erişim üzerinden güvenlik kontrollerinin aşılması.
- Counterfeiting: Sahte donanım, yazılım, USB cihazları veya tedarikçi personeli kimliğinin kullanılması.
Tedarik Zinciri Saldırılarında Öne Çıkan Riskler
Tedarik zincirlerinin giderek karmaşıklaşması, bir kurumun yalnızca kendi sistemlerini ve çalışanlarını kontrol etmesinin yeterli olmadığı bir güvenlik ortamı oluşturuyor.
Özellikle aşağıdaki alanlar tedarikçi kaynaklı risklerin artmasına neden olabilir:
- Karmaşık sistem mimarileri ve düşük tedarik zinciri görünürlüğü,
- İş süreçlerinde kullanılan teknolojilerdeki güvenlik açıkları,
- Tedarikçi veya hizmet sağlayıcı çalışanlarının hedef alınması,
- Yönetilen Hizmet Sağlayıcılara (MSP) yönelik saldırılar,
- Log4Shell gibi geniş etki alanına sahip güvenlik açıklarının istismar edilmesi,
- Kaynak kodlarının, yazılım geliştirme süreçlerinin ve geliştiricilerin hedef alınması,
- Tedarikçi altyapısının zararlı yazılım veya kripto madencilik faaliyetlerinde kullanılması.
Tedarikçi Kaynaklı Siber Riskler Nasıl Yönetilmeli?
Tedarikçi güvenliğinin yönetilebilmesi için kurumların öncelikle kabul edilebilir asgari güvenlik standartlarını tanımlaması gerekir.
Bu standartlar yalnızca sözleşme imzalanırken değil, tedarikçi ilişkisinin tüm yaşam döngüsü boyunca uygulanmalıdır.
Risk Yönetimi
- Tedarikçilerin belirlenmesi ve güncel bir envanter oluşturulması,
- Tedarikçi risk kriterlerinin tanımlanması,
- Etki ve iş sürekliliği analizlerinin gerçekleştirilmesi,
- Risk azaltma yöntemlerinin belirlenmesi,
- Tespit edilen risklerin düzenli olarak izlenmesi,
- Kurum içinde ve tedarikçi tarafında risk farkındalığının artırılması.
Tedarikçi İlişki Yönetimi
- Tedarikçilerin ürün veya hizmet yaşam döngüsü boyunca yönetilmesi,
- Tedarikçilerle paylaşılan bilgi ve kaynakların sınıflandırılması,
- Uyulması gereken güvenlik standartlarının ve kuralların belirlenmesi,
- Alınan ürün ve hizmetlere ilişkin güvenlik gereksinimlerinin tanımlanması,
- Güvenlik gereksinimlerinin sözleşmelere dahil edilmesi,
- Düzenli tedarikçi kontrol ve denetimlerinin yapılması,
- Tedarikçi güvence kontrollerinin oluşturulması,
- Sözleşme ve hizmet değişikliklerinin kontrollü şekilde yönetilmesi.
Tedarikçi Kontrol ve Denetimi Nasıl Yapılmalı?
Tüm tedarikçilerin aynı kapsam ve sıklıkta değerlendirilmesi gerekli değildir. Denetim yaklaşımı, tedarikçinin kurum açısından oluşturduğu kritiklik ve risk seviyesine göre belirlenmelidir.
Bu süreç aşağıdaki adımları içerebilir:
- Tedarikçilerin kritiklik ve risk seviyelerine göre sınıflandırılması,
- Her sınıf için uygulanacak güvenlik standartlarının belirlenmesi,
- Anket tabanlı öz değerlendirmelerin gerçekleştirilmesi,
- Uzaktan veya yerinde tedarikçi denetimleri yapılması,
- Dokümante edilen kontroller ile sahadaki uygulamanın karşılaştırılması,
- ISO 27001, SOC 2 ve benzeri bağımsız güvence raporlarının değerlendirilmesi.
Lostar'ın Üçüncü Taraf Güvenlik Denetimi hizmeti kapsamında tedarikçilerin güvenlik kontrolleri, süreçleri ve kurum açısından oluşturdukları riskler kritiklik seviyelerine göre değerlendirilebilir.
Tedarik Zincirinin Her Halkası Kurumsal Güvenliği Etkiler
Kurumların tedarik zincirinde yer alan üçüncü tarafların ve iş ortaklarının güvenliği, doğrudan kurumsal güvenlik yapısını etkileyebilir.
Yeterli süreçsel veya teknik kontrollere sahip olmayan bir tedarikçide yaşanan güvenlik ihlali, mevcut bağlantılar ve bilgi akışları üzerinden müşterilerine ve diğer iş ortaklarına da yansıyabilir.
Bu nedenle tedarikçi güvenliği yalnızca satın alma veya sözleşme yönetimi konusu olarak ele alınmamalı; siber güvenlik, risk yönetimi ve iş sürekliliği programlarının ayrılmaz bir parçası haline getirilmelidir.