PCI DSS v4.0 Nedir, Nasıl Uygulanır?

Ve PCI DSS v4.0 yayımlandı. 

PCI Güvenlik Standartları Konseyi, 31 Mart 2022 tarihinde yeni versiyonu ilan etti. 1 Ocak 2021’de kullanımına başlanan PCI DSS v3.2.1’i takiben v4.0, ortaya çıkan tehditleri ve teknolojileri daha verimli bir şekilde ele alıyor ve güncel tehditlerle mücadele için yenilikçi yollar sunuyor.

Bu yazımızda, PCI DSS v4.0’ın uygulanması için bilmemiz gereken ana noktaları gözden geçireceğiz.

PCI DSS v4.0’ın Uygulanması

PCI DSS’in her iki versiyonu, organizasyonlara değişiklik yapabilmelerine olanak tanıyacak şekilde, 31 Mart 2024’e kadar geçerli. v3.2.1, anılan tarihten sonra kullanımdan kaldırılacak olup, yerine v4.0 geçecek. Bu tarihe kadar, organizasyonlar değişiklikleri gözden geçirebilecek ve v4.0’a sorunsuz bir geçiş sağlamak için gerekli eylemleri uygulayabilecek. 

PCI DSS v4.0’da, 13’ü hemen yürürlüğe girecek 64 yeni gereksinim var. Kalan 51 gereklilik, 31 Mart 2025’e kadar örnek uygulama olarak kabul edilecek ve o tarihten itibaren PCI uyumluluğu arayan tüm kuruluşlar için geçerli olacak. 

Sözkonusu 51 gereklilik 31 Mart 2025’e kadar değerlendirmelerin bir parçası olmamakla beraber, gerekli değişiklikler için bu tarihten çok önce hazırlanılmasını ve uygulanmaya başlanmasını tavsiye ediyoruz.

PCI DSS v4.0 Uygulama Çizelgesi

PCI DSS v4.0 Değişiklikleri Nasıl Düzenlendi?

PCI DSS v4.0’ın planlanması 2017’de başladı. Ancak, genellikle 1 yılda tamamlanan yeni sürüm, yaklaşık 200 şirketin 6000’den fazla yorumuyla, 2022 yılında nihai hale geldi. 

Bu kapsamlı geri bildirim, v4.0 sürümünün, aşağıdaki 4 ana hedefin belirlenmesiyle sonuçlandı.

     I. Güvenliğin, devamlı bir süreç olarak teşvik edilmesini teminen:

  • Her gereksinim için rol ve sorumlulukların dağılımı koşulu getirildi,
  • Güvenliğin uygulanması ve muhafazasını daha anlaşılır kılmak için rehberlik eklendi,
  • Yeni raporlama seçeneğiyle, iyileştirilecek alanlar vurgulandı ve raporu gözden geçirenlere şeffaflık sağlandı.

     II. PCI DSS Standardının, değişen tehditler ışığında, ödeme sektörünün güvenlik ihtiyaçlarını karşılamaya devam etmesini sağlamak üzere:

  • Cari tehditler bağlamında, e-ticaret ve oltalamaya yönelik yeni standartlar uygulandı,
  • Çok faktörlü kimlik doğrulama gereksinimleri sıkılaştırıldı,
  • Şifre gereksinimleri güncellendi.

     III. Organizasyonların güvenlik hedeflerine farklı yöntemleri kullanarak ulaşabilmesini teminen esnekliği artırmak için:

  • Grup, ortak hesaplar ve genel hesaplar için izin gereksinimi getirildi,
  • Belirli eylemlerin hangi sıklıkta yürütülebileceğinin netleştirilebilmesi için hedefli risk analizi gereksinimi ilave edildi,
  • Güvenlik hedeflerine ulaşmak için organizasyonların yeni yöntemler kullanmasına imkan tanıyan Yeni ve Özelleştirilmiş yaklaşım seçeneği sunuldu.

     IV. Doğrulama yöntemlerini ve prosedürlerini zenginleştirmek için ise, AoC’de özetlenen bilgiler ile Uyumluluk Raporu veya SAQ’de yer alan bilgilerin benzerliği artırıldı.

PCI DSS v4.0 Yeni Yaklaşımları

v4.0, aşağıda özetlendiği üzere, PCI DSS’yi uygulamak ve doğrulamak için “Tanımlanmış” ve “Özelleştirilmiş” iki farklı yaklaşım seçeneği içeriyor.

Tanımlanmış Yaklaşım: PCI DSS’yi uygulamak ve doğrulamak için kullanılan geleneksel yöntem:

  • Mevcut PCI DSS gerekliliklerini ve test prosedürlerini takip eder.
  • Mevcut gereksinimlerle uyumlu güvenlik uygulamalarına sahip organizasyonlar için uygundur.
  • Güvenlik hedeflerine nasıl ulaşılacağı konusunda yön gösterir.

Özelleştirilmiş Yaklaşım: Organizasyonların, “Tanımlanan” gereksinimleri takip etmeksizin, kontrolleri uygulayarak hedeflere ulaşabildiği yeni yöntem:

  • Her PCI DSS gereksiniminin hedefine odaklanır.
  • Organizasyon, hedefe ulaşmak için kontrolleri belirler ve uygular.
  • Bir gereksinimin güvenlik hedefine ulaşmak için farklı yollar izleyen organizasyonlara daha fazla esneklik sağlar.
  • Sağlam güvenlik süreçleri ve güçlü risk yönetimi uygulamalarına sahip organizasyonlar için uygundur.

PCI DSS v4.0’ın Diğer Kaynakları

Güncellenmiş PCI DSS standardına ek olarak, PCI SSC Belge Kitaplığında yayımlanan destekleyici belgeler aşağıdakileri içerir:

  • PCI DSS Değişikliklerin Özeti v3.2.1 – v4.0
  • v4.0 Uyumluluk Raporu (ROC) Modeli
  • ROC Uyumluluk Sertifikaları (AOC) ve ROC
  • Sıkça Sorulan Sorular

Ayrıca, önümüzdeki birkaç ay boyunca PCI Konseyi, Öncelikli Yaklaşım Araçları ve Hızlı Başvuru Kılavuzları dahil, ilave belgeler, eğitim materyalleri ve kurslar yayımlayacak.

Sonuç

PCI DSS v4.0, güvenlik standartlarını güncel koşullara, esneklik katarak uyarlıyor. Son yıllarda yoğunlaşan ve yaygınlaşan dijitalleşmeye koşut olarak güvenliğe tek seferlik veya anlık değil, devamlı bir süreç olarak yaklaşıyor. Benzer şekilde, artan e-ticaret işlemlerinin güvenliğine yönelik koşullar getiriyor.

Üye işyerleri, diğer üçüncü taraflar ve sizin güvenliğinizin devamlı olarak takibi, PCI DSS v4.0’a uyumluluğunuz ve çözümlerimiz hakkında bizimle iletişime geçebilirsiniz.

Kaynakça:

https://www.pcisecuritystandards.org/documents/PCI-DSS-v4-0-At-A-Glance.pdf?agreement=true&time=1651138800032

https://www.pcisecuritystandards.org/document_library?category=pcidss&document=pci_dss#agreement

https://www.freepik.com/free-vector/shield-lock-credit-card-isometric-icon-isolated-vector-illustration-protection-safety-online-payment-symbol_12089310.htm

 

2021-2022 Siber Saldırıları ve Finansal Hizmet Sektörü

2020’de artan ve yaygınlaşan dijitalleşmeyle beraber, siber saldırı tür ve sayılarında yükselişler dikkat çekiciydi. Bu çerçevede, İngiltere’de finansal hizmet sektörü odaklı araştırmalar yapıldı. Yazımızda Birleşik Krallık uzman kuruluşlarından Finansal Hizmetler Bilgi Paylaşım ve Analiz Merkezi (FS-ISAC)’ne ait verilere değineceğiz. Raporda özetle, 2021 siber saldırı oranlarının artışını, üçüncü taraf saldırganların en çok hangi sektörü hedef aldıklarını ve sebeplerini, yoğunlukla rastlanan saldırı türlerini ve 2022 tahminlerini ele alıyor. Ele alacağımız diğer veriler ise Picus Security’nin, Finansal Davranış Otoritesi’ne (FCA) Bilgi Edinme Özgürlüğü (FOI) talebinin üzerine FCA’in yayınladığı ihlalleri içeriyor olacak.

FS-ISAC raporunda, genel olarak siber saldırı risklerinin yılda bir kez arttığı gözlemlenirken, 2021 için bu oranın bir sene içerisinde üç kez arttığını, saldırı türlerinin de çoğunlukla fidye yazılımı, üçüncü taraf siber saldırıları ve sıfır gün riskleri içerdiğine yer verdi. FS-ISAC, saldırıların 2022’de daha yoğun olacağı konusunda uyardı. Ayrıca, siber güvenliğin artık şirketlerde profesyonel bir birim haline getirilmesi gerektiğini, olası siber saldırılar sonucunda şirketlerin kredi notlarının düşürülmesi gibi kritik iş riskleri olduğu konusunda uyarıda bulundu.

FS-ISAC, söz konusu artışların, “pandemi sırasında hızlanan finansal hizmetlerin birden dijitalleşmesi” ve bilgisayar korsanlarının yararlanabileceği giriş noktalarının aniden çeşitlenmesi ve ayrıca tanımlanan “sıfır gün” güvenlik açıklarında keskin bir yükseliş olması sebebiyle, çeşitli faktörlerden kaynaklandığını belirtti. Sıfır gün, geliştiricilerin ve siber güvenlik uzmanlarının bilmediği yazılım ve donanım kusurlarıdır, yani bir bilgisayar korsanı bunlardan birini kullandığında, geliştiricilerin ve siber güvenlik uzmanlarının durumu düzeltmek için sıfır günleri vardır. FS-ISAC’in küresel istihbarat ofisinin başındaki Teresa Walsh, “Baş döndürücü sayıda güvenlik açığı var” diye ekliyor.

Bir FS-ISAC sözcüsüne göre; üçüncü taraf saldırganlar, birçok finans şirketine hizmet veren yazılım tedarik şirketlerine yaptıkları saldırılarla bir kaynaktan çok fazla hedefe ulaşmalarının mümkün olduğunu söyledi. “Bu yolla Finans firmaları siber saldırıların potansiyel bir hedefi haline geliyor” diye ilave ediyor. Konuya örnek olarak raporda, SolarWinds Corp. ve Accellion Inc.’deki ihlaller gibi yazılım tedarik zincirine yönelik son zamanlarda yapılan birkaç saldırının “bir kaynaktan çok fazla hedefe ulaşma zincirinin mümkün olduğunu” gösterdiği belirtildi.

2021’de, özellikle Mayıs ayında Colonial Pipeline Co.’ya yapılan ve yakıt ikmalini zora sokan yıkıcı bir saldırının ardından, yasa uygulayıcıların fidye yazılımlarını ortadan kaldırmak için gösterdiği ortak çabaya rağmen, FS-ISAC’in raporu, üyelerin fidye yazılımıyla ilgili olaylarda düşüş beklendiği yerde artış olduğunu kaydetti. Walsh, artan inceleme nedeniyle fidye yazılımı saldırılarında ölçülebilir bir değişiklik görmeyi beklediğini söyledi. Ama “hiç düşmedi” diye ekliyor.

Birleşik Krallık Finansal Hizmet Sektöründe %50 Siber Saldırı Artışı

Finansal hizmet firmaları siber suçluların öncelikli hedefleri arasında yer alıyor. Siber saldırılara karşı farkındalığımız son yıllarda ciddi bir şekilde gelişti. Buna koşut, sektör risklere karşı güvenlik önlemlerini alıyor; ancak, alınan önlemler siber suçluları yeni ve daha güçlü yollar bulmaktan alıkoymuyor. Gelişen siber suçlular ve gelişen güvenlik önlemleri bizlere burda bir kedi fare avını anımsatıyor.

Birleşik Krallık’taki finans hizmet firmalarının verilerinin incelenmesi üzerine Picus Security, Finansal Davranış Otoritesi’ne (FCA) Bilgi Edinme Özgürlüğü (FOI) talebinde bulundu. Gerçek ve tüzel kişiler, FCA’den birtakım verileri paylaşmasını, anılan talep aracılığıyla talep edebiliyor.

FCA, 50.000’den fazla finansal hizmet firmasının faaliyetlerini düzenliyor ve yetkisi altındaki herkesin ‘maddi’ siber güvenlik olaylarını bildirmesi gerektiğini zorunlu kılıyor.

FOI Talebi sonucu elde edilen bazı verileri paylaşmak gerekirse:

  • 2021’de bildirilen siber olayların yaklaşık üçte ikisi siber saldırılardan kaynaklandı
  • Olayların yaklaşık üçte biri, şirket veya kişisel verilerin gizliliğinin ihlal edilmiş veya ihlal edilmiş olabileceğine dair bildirimler içeriyordu. 
  • 2021’de FCA’ya bildirilen beş olaydan biri fidye yazılımı içeriyordu.
  • 2021’de 2020’ye kıyasla %50’den fazla maddi siber güvenlik olayı FCA’ya bildirildi.

Son maddeye örnek vermek gerekirse;

  • Siber saldırı sonucu veri kaybı yaşanması.
  • Bilgi Teknolojileri (BT) sistemine erişimin sağlanamaması veya BT sisteminin çökmesi.
  • Siber saldırı sonucunda kişisel verilerin kaybı.
  • Bilgi sistemine erişim yetkisi olmadan gerçekleştirilmiş bir girişin tespiti.

Sonuç:

Siber saldırıların, güvenlik açıkları sonucu meydana geldiğini görüyoruz bu açıkların tespiti ve iyileştirilmesi mümkün.

Şirketinizin PCI DSS standartlarına göre uyumluluk durumu hakkında bilginiz var mı?  Dışarıya dönük bütün online yüzeylerin güvenliğinden ne kadar eminsiniz? PCI Checklist dışarıya dönük online yüzeylerin otomatik tespiti, bütün yüzeylerde tespit edilen e-ticaret altyapılarını, ödeme biçimlerini, kişisel veri girişi sağlanan yüzeylerini, fatura bilgisi paylaşılan servisleri, e-posta konfigürasyonları gibi noktaları aktif ve pasif tarama yöntemleriyle değerlendiriyor. Şirketinizin PCI DSS standartlarına göre uyumluluğunu inceleniyor. Bütün yüzeyin değerlendirilmesi, siber güvenlik uzmanlarımızla birlikte aylık olarak Farkındalık Raporu kapsamında sunuluyor. PCI Checklist ile verileriniz güvende kalır, PCI DSS standartlarına uyumluluğunuz sağlanır.

Kaynakça:

https://www.finextra.com/newsarticle/39955/fca-records-50-rise-in-serious-cyber-incidents-at-uk-firms?utm_medium=dailynewsletter&utm_source=2022-3-30&member=122586

https://www.bloomberg.com/news/articles/2022-03-10/financial-firms-poised-for-worse-cyber-threats-after-trying-year

https://www.picussecurity.com/new-report-reveals-large-increase-in-cyber-incidents-reported-to-financial-conduct-authority

PCI-DSS Uyumluluğu Yönetimi için Üye İşyeri Erişim Panelini Nasıl Kullanırım?

Artık PCI Checklist ile çalışan ödeme servis sağlayıcıları (bankalar, ödeme kuruluşları vb.) Üye İşyerleri ile PCI-DSS Uyumluluk durumunu ve risk raporlarını PCI Checklist paneli üzerinden paylaşabiliyor.

Siz de PCI Checklist ile çalışan bir ödeme kuruluşunun altyapısını kullanıyorsanız, PCI-DSS Uyumluluk durumunuzu ve risk raporlarınızı görüntülemek için bir davetiye bağlantısı almış olabilirsiniz. Bu bağlantı yardımıyla sisteme kayıt olduğunuzda, işyerinizle ilgili güncel Uyumluluk durumunuzu görüntüleyebilir, PCI-DSS seviyenizi belirleyebilir, buna göre ilgili Öz-Değerlendirme Anketini (SAQ) doldurabilir, dijital olarak imzalayıp, ödeme kuruluşunuza teslim edebilirsiniz.

1. Erişim Davetiyesine Tıklayın

Ödeme kuruluşunuzca size iletilen davetiye, sizin kullanımınıza özeldir. Davetiye bağlantısı aşağıdakine benzer:

 
Geçerli bir bağlantıya tıkladığınızda, aşağıdakine benzer bir ekranla karşılanırsınız:
Hali hazırda bir PCI Checklist hesabınız varsa, doğrudan giriş yapabilirsiniz; veya KAYIT OL seçeneğine basarak kaydolabilirsiniz.
 

2. Kaydolun ve Hesabınızı Onaylayın

Kaydolmak için gerekli bilgileri girip, şifrenizi tanımladıktan sonra size gelen Onay E-postasıyla e-posta adresinizi onaylamanız gerekiyor. E-postadaki bağlantıyı takip ederek hesabınızı onaylayabilirsiniz.
 
 
E-posta size [email protected] adresinden iletilecektir. E-postanın ulaşmaması durumunda, spam kutunuzu kontrol ediniz.
 

3. Giriş Yapın

Sisteme ilk kez giriş yaptığınızda, aşağıdakine benzer bir ekranla karşılaşanacaksınız. Şirketteki pozisyonunuzu bir defa seçerek, panele ulaşacaksınız.
 
 

4. PCI-DSS Uyumluluğunuzu Yönetin

Panele giriş yaptıktan sonra, aşağıdaki görselde görüleceği üzere, sol menüde “PCI-DSS Uyumluluğu” bölümü bulunmaktadır. Buradan, PCI-DSS Sihirbazına tıklayarak, “Banka tarafından yönlendirildim” ve “kendim geldim” seçenekleri arasında tercih yapıp, bankanız tarafından iletilen talep numarasını girerek devam edebilirsiniz. 

Sonra, yıllık işlem hacmi ile kart verilerinin işlenmesi ve depolanması dahil, Sihirbazın sorularını yanıtlayabilirsiniz.

Sihirbaz, yanıtlarınıza göre işyerinize uygun doldurulması gereken Öz-Değerlendirme Formunu (SAQ) önerir. Bu sayfadan, “Uyumluluk Adımlarına Geç”e seçebilirsiniz.

“SAQ Yönetimi” başlığı altında, “SAQ Raporları” bölümü yer alır. “Yeni SAQ Doldur”a tıklayarak, size önerilen SAQ türünü seçebilir ve doldurabilirsiniz.

İşyerinize uygun SAQ’yu doldurduktan sonra, dijital olarak imzalayabilir ve Bankanıza teslim edebilirsiniz. Ayrıca, ASV ve AoC raporlarınızı yükleyebilirsiniz. Böylelikle, uyumluluk durumunuzu ve uyumluluk geçerlilik süreninizi öğrenebilir, durumunuza göre süre hatırlatmalarını alabilirsiniz.

5. Raporunuza Erişin

Panele giriş yaptıktan sonra, sol menüdeki “Paylaşılan Raporlar” bölümünden, tarafınızla paylaşılan risk raporlarını görüntüleyebilirsiniz.
Bu raporlar, e-ticaret sitenizin potansiyel siber güvenlik risklerini ve tavsiye niteliğindeki çözüm önerilerini içerir.
 
“Paylaşılan Raporlar” sayfasında, sizinle rapor paylaşan ödeme servis sağlayıcısını (Paylaşan) ve hangi Üye İşyeri için (Değerlendirilen) paylaştığını görüntüleyebilirsiniz.
 

6. Bilgilendirme Metnini Okuyun

Raporun İçindekiler kısmından sonra bir Bilgilendirme Metni bulunmaktadır. Bu bölümde, raporu incelemenizde faydalı olacak birtakım bilgiler bulunmaktadır. Bu bölümü okumak, bilhassa teknik takım arkadaşlarınızla değerlendirmek faydalı olacaktır.
 

7. Takım Arkadaşlarınızla Paylaşın

Günümüz karmaşık e-ticaret altyapılarının geliştirilmesi ve yönetilmesi bir takım işi. Sizinle paylaşılan raporları takım arkadaşlarınızla paylaşabilirsiniz. Raporun yanındaki Paylaş butonuna tıklayarak, ilgili raporu kimlerin görüntüleyeceğini düzenleyebilirsiniz.
 
 
 
Takım arkadaşlarınızdan ayrılanlar olursa, paylaşımlarını her zaman durdurabilirsiniz.

Son Yılların En Ciddi Güvenlik Açığı: Log4Shell

2022’ye siber güvenlik alanında görülen en ciddi zafiyetlerden biriyle başladık. Log4Shell farklı sektörlerde kullanılan yazılımlarda uzun süredir ve yaygın bir şekilde etkin olan Java kütüphanelerinden ortaya çıkan bir açık olarak 2021 Aralık ortasında tespit edildi. 

Söz konusu zafiyeti ciddi kılan önde gelen özelliklerinin incelenmesinden,

  1. Saldırganlar tarafından kolaylıkla istismar edilebilmesini, 
  2. Bilişim teknolojilerine ilaveten, üretim tesisleri, ulaştırma, hastaneler ve kamu kurumları gibi farklı alanlarında kullanılan sistemlerde bulunmasını ve 
  3. Siber güvenlik uzmanlarından önce saldırganlar tarafından keşfedilmiş ve kullanılmış olmasını görüyoruz.

Bu açık üzerinden hedeflere gönderilen zararlı kodlar, saldırganların web sunucularından kontrol sistemlerine kadar her şeyin kontrolünü ele geçirmesine imkân sağlayabiliyor. 

 

Log4Shell Nasıl Kullanıldı?

Erken gözlemlere göre, kripto madenciler anılan açıktan faydalanarak erişim sağlayabildikleri sistemlerin ve sunucuların işlem gücünü kullanmaya teşebbüs etti. İlk bakışta, fidye veya kişisel verilerin çalınması kadar maliyetli ve zararlı görünmemekle beraber, saldırganların sisteme bu açık üzerinden izinsiz giriş yapabilmesi başlı başına endişe verici.

Ancak, kripto madencilerin girişimlerini müteakip, daha tehlikeli addedilebilecek başka saldırı türleri ortaya çıktı. Birincisi, saldırganların kullanıcı adı ve şifreleri çalmak için kullandıkları sızma testi araçlarından birinin (Cobalt Strike) sistemlere yüklenmesidir. İkincisi, fidye yazılım saldırıları; bu durum, halihazırda yoğun olan fidye yazılım saldırılarının hızlanmasına sebep olabilir. Üçüncüsü ise, bazı devlet destekli saldırganların, muhtemelen siber casusluk amacıyla gerçekleştirdikleri eylemlerdir. Belçika Savunma Bakanlığı’nın Log4Shell aracılığıyla ağlarına saldırı düzenlendiğinin teyidi, üçüncü saldırı türünün komplovari olmadığının bir göstergesidir.

Yukarıda kayıtlı saldırı türleri, geçtiğimiz birkaç hafta içerisinde tespit edilip, bildirilenler. Siber güvenlik uzmanları, sistemlerindeki açıkları araştırıp kapatmaya çalışırken, saldırganlar benzer şekilde yeni yöntemler geliştirmeye çalışıyor.

Tehlike Geçti mi?

Tabiatıyla, Batı’da büyük teknoloji şirketleri bazı kamu kurumları önlem almaya başladı: sistem kontrollerini güçlendirdiler; gerekli güncellemeleri yaptılar, açığın kapatılması için kendi organizasyonlarına yönelik olabilecek diğer talimatları verdiler. Ayrıca, bu zafiyetten faydalandığı tespit edilen saldırgan IP adreslerinin listeleri, pek çok siber güvenlik araştırma grubu tarafından ortak çalışmayla çeşitli platformlarda yayımlanıyor.

Bununla birlikte, Java’yla yazılan ve küresel ölçekte farklı organizasyon ve bireyler tarafından kullanılan uygulamalar, hizmetler ve yazılımların yaygınlığı dikkate alındığında, hangi sistemlerin Log4Shell’den etkilendiğini ortaya koymak pek mümkün değil. Anılan zafiyetin tespiti halinde dahi, kısa sürede önlem alamayacak; dolayısıyla saldırganların muhtemel hedefi olacak şirketler bulunuyor.

Gerekli önlemlerin alındığı senaryoda dahi, Log4Shell açığından kaynaklı yeni zafiyetler keşfedileceği öngörülüyor.

Sonuç

Log4Shell zafiyeti, farklı sektörlerde yüz milyonlarca cihaza etki etmesi, saldırganlar tarafından kolayca istismar edilebilmesi ve dışarıdan sistem kontrolüne kadar imkân tanıyabilmesi sebebiyle, bilgisayar ve internetle bağlantılı tüm ağlar için siber alanda son yılların en ciddi açığı olarak değerlendiriliyor. Bu aşamada, alınabilecek ilk önlemler Log4j kütüphanesi kullanan yazılımların güncellenmesi veya ilgili servislerin sıkılaştırılması olarak sunulabilir. Ancak, henüz keşfedilmeyen potansiyel açıkları engellemek için siber güvenlik uzmanlarından destek alınması yararlı olacaktır.

Kaynakça:

https://www.zdnet.com/article/log4j-flaw-this-new-threat-is-going-to-affect-cybersecurity-for-a-long-time/

https://nypost.com/2021/12/20/why-is-the-log4j-cybersecurity-flaw-the-most-serious-in-decades/

https://time.com/6128795/log4j-security-flaw/

https://www.zdnet.com/article/log4j-flaw-this-new-threat-is-going-to-affect-cybersecurity-for-a-long-time/

https://www.zdnet.com/article/log4j-flaw-10-questions-you-should-be-asking/

https://www.dynatrace.com/news/blog/what-is-log4shell/

https://www.zdnet.com/article/free-money-cyber-criminals-are-installing-cryptojacking-malware-on-unpatched-microsoft-exchange-servers/

https://www.zdnet.com/article/log4j-flaw-attackers-are-making-thousands-of-attempts-to-exploit-this-severe-vulnerability/ https://www.wired.com/story/log4j-log4shell/

 

Dijitalleşen Alışverişte Ödeme Kolaylıkları ve Riskler

Ödemelerimizin ve nakit kullanımımızın dijitalleşmesi, günlük hayatta gözlemlediğimiz güncel konular; nakitsiz topluma dönüşme tartışmalarına sürekli tanık olabiliyoruz. Yeni nesil ödeme yöntemleri hemen hemen her yerde karşımıza çıkarken, bu yazımızda ödemelerimizin dijitalleşmesini inceleyip, ödeme tarihini kısaca hatırlayacağız.

Paranın İcadı ve Kısa Tarihi

Esasen, para nedir, para nasıl ortaya çıktı? Bu iki soruya cevap bulmak için paranın tarihine hızlıca bir göz atalım. 

Paranın icadından önce, insanlar çeşitli yollarla değiş tokuş içindeydi. Bilinen antik örneklerden biri, M.Ö. 3000 yıllarında Sümer şehri Uruk’ta bulunan bir tablette resmedilen, işverenin işçilere çalışmaları karşılığı verdiği bira ve adedi. Bu ve benzeri değiş tokuş işlemleri kısa olmayan bir süre daha sürdükten sonra, M.Ö. 700 yıllarında Lidyalılar tarihin bilinen ilk sikkesini bastılar. Lidyalıları takiben Çin’de ortaya çıkan sikkeleri ve Roma İmparatorluğunda basılmış sikkeleri görüyoruz. Paranın asıl devrimi ise M.S. 1000’li yıllarda Çin’de ortaya çıkan kağıt banknotlar ile oldu. Ödeme yöntemleri zaman içerisinde gelişerek, günümüzde sadece dijital boyutta bile işlem yapılabilecek imkana kavuştu.

İnternet ve Dijitalleşme

E-ödeme ve dijitalleşmenin nasıl ortaya çıktığına bakacak olursak, bunun internetin başlangıcıyla, yani World Wide Web ile bağlantılı olduğunu söyleyebiliriz. World Wide Web’in gelişmesiyle, çevrimiçi mağazalar ve e-hizmetler ortaya çıktı.

İnternet ilk kez 1969 yılında Vietnam Savaşı döneminde bir askeri ağ olan ARPANET adıyla karşımıza çıkıyor. Dönüm noktası ise 1989’da Tim Berners-Lee’nin siteler veya sayfalar aracılığıyla bilgiyi, internet üzerinden yayma ve erişimi kolaylaştırma çözümünü sunmasıydı. 

İnternetin gelişmesiyle birlikte, 90’lı yılların ilk yarısında öncü çevrimiçi ödeme hizmetleri faaliyet göstermeye başladı. 1994 yılında tüm üyelerine çevrimiçi internet bankacılığı hizmetleri sunan ilk finans kurumu Stanford Federal Credit Union kuruldu. İlk çevrimiçi ödeme sistemlerinin veri aktarımı ve şifreleme gibi uzmanlık gerektiren alanlarda tabiatıyla eksikleri ve açıkları vardı. Ek olarak, kurulan bu ilk sistem kullanıcı sayısının ve işlemlerinin sürekli değişimine uyumlu hale getirilmemişti.

E-ödeme Sektörünün Devleri Doğuyor

E-ödeme pazarının öncüleri ise, 1995’te kurulan Millicent, 1996’da kurulan ECash ve CyberCoin’dir. İlk çevrimiçi hizmetlerin çoğu mikro ödeme yöntemlerini kullanıyorlardı. Mikro ödeme yöntemine örnek e-para ve dijital nakittir. 

Gelişen internet ağında çevrimiçi ödeme hizmetlerinin doğuşunun ardından, bir e-ticaret sitesi örneğiyle karşı karşıya geliyoruz. 1994 yılında Amazon kuruluyor ve hemen ardından ilk çevrimiçi restoran kategorisine Pizza Hut adım atıyor. İlk online yemek siparişi Pizza Hut’ın attığı bu adımla başlıyor ve ciddi bir farkla rakiplerinin önüne geçiyor.

E-Ticaret: Hız ve Güvenlik

İnternet ağının genişlemesi ve e-ticaret hizmetlerinin artması, çevrimiçi ödeme yöntemlerinin daha da önem kazanması anlamına gelirken, geleneksel bankacılığın önüne geçmekte olan akıllı teknolojilere şahit oluyoruz. Günümüzde market alışverişimizi çevrimiçi yapabiliyor, bir hırdavatçının ödemesini çevrimiçi şekilde gerçekleştirebiliyoruz. İnternet tarayıcımızda sadece yeni bir sekme açarak, başka bir ülkeye uçak bileti alıp konaklayacağımız yerlere kadar belirleyip ödemesini anında gerçekleştirebiliyoruz. Yaptığımız çevrimiçi ödeme işlemlerimiz kilometrelerce uzakta bir işi o saniye halledebilmemizi sağlıyor.

Elimizin altındaki internet sayesinde bir şeye ulaşmak ve çevrimiçi ödeme yöntemleri sayesinde bir tıkla siparişimizin kapımıza gelmesi bu denli kolay. Peki, diğer avantaj ve dezavantajlar neledir? Biraz da bunların üzerine konuşalım. Avantajlarından başlayacak olursak; Bankrate’e göre, tüketicilerin üçte ikisinden fazlası günde yanında 50 ABD dolarından az para taşıyor, bu da çevrimiçi ödeme yöntemi benimseyen işletmelerin, geleneksel işletmeler üzerinde rekabet avantajı sağlıyor. Çevrimiçi ödeme, çek, havale, nakit ve EFTPOS gibi manuel işlemlerden daha düşük bir maliyete sahiptir çünkü adımlar otomatik işler. Çevrimiçi ödemede, ödemeyi alan ile ödemeyi yapan taraflar geribildirimi hızlıca alırlar bu da hırsızlık riskini asgari seviyeye indirir.

Dezavantajlarını incelersek; üçüncü taraf ödeme işlemcileri, işlem ücreti alırlar. Özellikle küçük ve orta ölçekli işletmeler, sürekli güncellenen siber alanda sıkı bir güvenlik duruşu sergileyemeyebilir. Ödeme sırasında herhangi bir siber güvenlik açığı durumunda siber suçlular sisteme sızıp, kişilerin bilgilerini ve paralarını elde edebilirler; herhangi bir siber saldırı sonucu çevrimiçi ödeme yöntemlerini devre dışı bırakılabilirler. Teknik bir arıza durumunda, durum çözüme kavuşana kadar erişim sıkıntısı yaşanabilir.

Günümüzde çevrimiçi alışverişin kaçınılmaz olduğunu söylemek yanlış olmayacaktır. Siber güvenlik risklerini analiz ederek, alınacak önlemlerle ve siber saldırılara karşı zafiyet göstermeden kurulan bir sistemde güvenli işler yapmak mümkün. Dikkat çekici çevrimiçi alışveriş verilerine sahip olan bazı günleri ele alalım; Cadılar Bayramı ve Yalnızlar Günü. Cadılar Bayramı için yeni nesil bir pazarlama ve tanıtım şirketi olan Influence Center’a göre, ebeveynlerin %55’i bu yıl çocuklarının kostümlerini çevrimiçi, %42’si ise mağazalardan fiziken almayı planladığı yönünde. 2020 yılında, mağazadan fiziken alışveriş oranı %52 idi. Bu örneğe baktığımızda çevrimiçi alışveriş alışkanlıklarımızın arttığını söyleyebiliriz. Diğer bir örnek olarak, Alibaba tarafından belirlenen, dünyanın en büyük 24 saatlik çevrimiçi alışveriş etkinliği olan Yalnızlar Gününü incelediğimizde, geçen yıl brüt mal değeri 31 milyar ABD doları iken, bu sene 33,5 milyar ABD dolarına ulaştığını görüyoruz.

 Insider Intelligence tarafından düzenlenen Tahmini Küresel E-Ticaret Raporunda pandemi süreciyle beraber çevrimiçi satın alımların hızlandığını belirtiliyor ve gelişmesi öngörülüyor. E-ticaret satışlarında dünya genelinde pazar payı yüzdelerini, %52.1 ile Çin, %19 ile Amerika Birleşik Devletleri, %4.8 ile Birleşik Krallık, %3.0 ile Japonya, %2.5 ile Güney Kore, %2.1 ile Almanya, %1.6 ile Fransa, %1.4 ile Hindistan %1.3 ile Kanada, %0.8 ile Brezilya oluşturuyor. 

Ülkelerin 2021 E-ticaret büyüme oranları sırasıyla; Hindistan %27.0, Brezilya %26.8, Rusya %26.2, Arjantin %26.0, Meksika %21.1, Birleşik Krallık %20.5, Filipinler %20.0, Çin %18.5, Vietnam %18.0, Amerika Birleşik Devletleri %17.9. Dünya geneli ise %16.8.

Sonuç

Özetle, Sümerlerde gördüğümüz değiş tokuş sürecinin, Lidyalıların parayı bir araç olarak icat etmeleriyle ilerlediğini gördük. Ticaret ve ödeme yöntemleri, küreselleşen ve dijitalleşen dünyaya ayak uyduruyor, hatta öncülük ediyor. Yukarıda paylaştığımız veriler, e-ticaret ve çevrimiçi ödemelerin payının artacağını gösteriyor. Yeniliklere uyum sağlarken, buna koşut gelişen yeni güvenlik risklerini ihmal etmemekte fayda olabilir.

Kaynakça

https://arkeofili.com/gecmisten-gunumuze-para/

https://securionpay.com/blog/5-turning-points-history-e-payments/

https://7news.com.au/lifestyle/personal-finance/advantages-and-disadvantages-of-online-payments-c-1162572

https://bizfluent.com/info-8159066-advantages-emoney.html

https://www.emarketer.com/content/top-global-ecommerce-markets

Dijital Dönüşüm, Şirketlerin Covid-19 Etkilerinden Kurtulmasına Yardımcı Olabilir mi?

Günümüzde, küçükten büyüğe tüm şirketler için dijital dönüşüm şart. Dijital dönüşümü, şirketlerin  işleyişinde ve müşterilere değer sağlama biçiminde köklü değişikliklerle sonuçlanan dijital teknolojileri  işletmenin tüm yönleriyle birleştirmek olarak tanımlayabiliriz. Bunun ötesinde, şirketlerin sürekli olarak  statükoya meydan okuyup, sık sık denemesine ve başarısızlık konusunda rahat olmasına imkan tanıyan kültürel bir değişim olduğunu söylemek yanlış olmaz. Dijital dönüşüm genellikle, işletmelerin üzerine  kurulduğu ve uzun süredir devam eden iş süreçlerinden vazgeçip hala tanımlanmakta olan nispeten yeni  yöntemlere geçmeyi gerektirir. 

COVID-19 dünya çapında geniş çapta yayılmadan çok önce, küresel ekonomiyi yeniden şekillendiren en  güçlü faktörlerden biri şirketlerin ve işletme modellerinin dijitalleşmesiydi. Bilgi ve iletişim teknolojileri  (ICT’ler) 2000’lerin başından bu yana istikrarlı bir şekilde ilerleme gösterdi. Artan bağlantı oranları, bulut  ve mobil ağların ortaya çıkmasına yardımcı olarak işletmelerin bilgi işlem kaynaklarını kullanma ve bilgileri  yorumlama yöntemlerinde devrim yarattı. 

İşletmenin hayatta kalması için dijital dönüşümün önemi hakkında akılda kalan sorular, koronavirüsle  birlikte ortadan kalktı. Pandemi süresince tüketiciler ve çalışanlarla iletişimin çoğu, temassız bir ortamda  ve uzaktan yapılmalıydı. Dahası, istisnai durumlar dışında, zorunlu kapatmalar ve kısıtlı faaliyetler sırasında  çalışmayı sürdürmenin tek yolu dijital olarak çalışmaktı. Virüs, daha önce bahsettiğimiz bu sürecin  hızlanmasına ön ayak oldu. Pandemi, çeşitli endüstrilerdeki işletmeler için ekstra bir zorluk oluşturdu. Bu  şirketler, dahili işleyiş süreçlerini değiştirmeye zorlandı ve mallarını veya hizmetlerini dijital kanallar  üzerinden satmaları için yoğun baskı altında kaldılar. Şirketler kısa sürede önemli dönüşümler geçirmek ve  gelişen teknolojiye odaklanan stratejiler benimsemek zorunda kaldı. İşletmelerin ayakta kalabilmesi için  dijitale geçiş, pandemiyle birlikte, tek seçenek haline geldi demek yanlış olmaz.

Covid-19'un İşletmelere Etkisi

Pandemi, dijital dönüşümü kabul etmekte tereddüt eden ve haliyle hazırlıksız olan şirketler için bir “uyanma çağrısı”na dönüştü. Dijitale geçmemekte direten işletmeler potansiyel olarak sağlığını tehlikeye  atacak olan personelin yükünün yanı sıra, talepte hızlı ve şiddetli bir düşüş ve tam bir ekonomik istikrarsızlık  sebebiyle tüm operasyonlarını ve çalışanlarını sanal bir dünyaya geçirmek için mücadele ediyor. 

Pandemiden önce dijital stratejiler oluşturmuş ve uygulayan işletmeler ise artık daha az rekabetçi  rakiplerinden daha iyi performans gösteriyorlar. Bu, mevcut dijital tecrübelerine bakılmaksızın, şu anda  karşılaştıkları COVID-19 ile ilgili zorlukların azımsanabileceği anlamına gelmiyor. Dijitale geçiş, mevcut  ekonomik iklimde şirketleri zorlayan her şeyi çözecek, sihirli bir değnek olarak görülmemeli. Bununla  birlikte, dijitale pandemi öncesi geçiş yapmış şirketler yalnızca fırtınadan sağ çıkmak için değil, aynı  zamanda bundan daha güçlü bir şekilde çıkmak için çok daha fazla kaynağa ve tecrübeye sahipler. 

Yakın zamanda yayınlanan SMEs Digital Transformation in the EaP Countries in COVID-19 Time: Challenges and Digital Solutions raporunda, 6 ülkeden 43 katılımcıya işlerinde dijitalleşme hakkında birkaç soru  soruldu. Dijitalleşmenin Covid-19 sırasında KOBİ’lere yardımcı olup olmadığı sorulduğunda, ikamet ettikleri  ülke veya faaliyet gösterdikleri sektör ne olursa olsun tüm katılımcılar, dijitalleşmenin KOBİ’lerin COVID-19  koşullarında hayatta kalmalarına yardımcı olduğunu ifade etti.

Bununla birlikte, yanıt verenlerin önemli bir kısmı (çevrimiçi anketi tamamlayanlar arasında yüzde 20,8 ve  görüşmeye katılanlar arasında yaklaşık olarak aynı oran), krizden önce zaten dijitale geçiş yaptıklarını ve işlerini daha hızlı yürütebilmek için çevrimiçi araçları kullanmaya başlayabileceklerini belirtti. İş modeli  dijital cihazlar etrafında merkezlenmediğinde, yalnızca birkaç katılımcı şirketlerini hızla “yeniden  yapılandırabileceklerini” belirtti.  

Ankete katılanların büyük çoğunluğu (% 87,5) hükümetin dijitalleşmeye uyum sağlamada KOBİ’lere yardım  etmesi gerektiği konusunda hemfikir. Bu tür bir devlet yardımına şüpheyle yaklaşan pek çok kişi, yardımın  alınmasını neredeyse imkansız kılan zaman alıcı bürokratik süreçlerle birlikte geldiğini gösteriyor. Dijital  hizmetler şeklinde devlet desteği imkanı ise katılımcıların en çok ilgisini çeken destek şekli oldu. 

Ankete katılanlara göre, dijitalleşmenin önündeki en büyük engel dijital teknolojileri kullanma ve bunları iş  faaliyetlerine dahil etme konusundaki anlayış eksikliği. KOBİ’ler, büyük şirketlerin aksine, dijital  teknolojilerin kullanımını tanıtmak ve izlemek için uzmanları işe alacak kaynaklara sahip değil. Çoğu  durumda, KOBİ’ler finansal ve beşeri sermayeyi dijitalleşmeye yönlendiremiyor.

Dijitale Geçmenin Avantajları

Artan şeffaflık, dijitalin avantajları dendiğinde akla gelen ilk şeylerden biri. Dijital dönüşüm, büyük veri  analitiğinin işletmelere gerçek zamanlı bilgi ve operasyonları, özellikle de çalışanlarının ve varlıklarının  performansı hakkında daha fazla görünürlük ve iç görü sağlamasının yolunu açtı. Ekipteki herkes tüm  verilere eriştiğinde, daha kolay fikir alışverişi ve durum raporları paylaşılabilir ve beyin fırtınasına  başlayabilirler. Aynı zamanda daha verimli bir iş birliği için zemin hazırlanmış olur.

Dijital ortamda iş birliği yapmak da daha kolay. Dijital teknolojilerin yardımıyla trendleri görmeye  başlayabilir ve bazı stratejilerin neden daha başarılı olduğunu anlayabilirsiniz. Örneğin, müşteri adayı  oluşturma faaliyetlerini dijitalleştirmek (birçok müşteri merkezli şirketin yaptığı gibi) satış ve pazarlama  etkinliğini artırır. Satışlar bir potansiyel müşteri listesi alır ve pazarlama, potansiyel müşteri sonuçlarına  göre hedeflenen kitleyi analiz edebilir ve karar verebilir. Bir müşterinin kuruluşunuzla olan önceki  deneyimlerine dayanarak, müşteriyle ilgili verileri değerlendirip inceleyebilir ve deneyimlerini buna göre  özelleştirebilirsiniz. 

Dijital dönüşümün bir sonucu olarak organizasyonlar daha hızlı karar alabilir hale geliyor. İşletmeler, pazara  giriş hızını en üst düzeye çıkarmak için dijital dönüşüm ile çevikliklerini artırabilir ve yazılımın büyümesi  dünyasından ödünç alarak Sürekli İyileştirme (CI) tekniklerini uygulayabilirler. Bu, daha hızlı ilerleme ve  adaptasyonun yanı sıra iyileştirmeye giden bir yol sağlar.

Kaynakça

https://www.bdo.com/insights/business-financial-advisory/strategy,-technology-transformation/covid 19-is-accelerating-the-rise-of-the-digital-e

https://eap-csf.eu/wp-content/uploads/SMEs-digital-transformation-in-the-EaP-countries-during-COVID 19.pdf

https://www.virtru.com/blog/8-benefits-digital-transformation/

https://www.impactplus.com/blog/benefits-of-digital-transformation-sales-professionals

 

Son On Yılın En Büyük Ağ Kesintileri

Kurumsal bilişim teknolojileri, ağ kesintileriyle hayatın bir gerçeği olarak ilgilenmek zorundadır. Satıcılar ve tüketiciler, bulut bilişim çağında ağ kesintisi tehlikesini sınırlamak için yedekli sistemlere ve çeşitli kriz önlemlerine güveniyor. Buna rağmen, en büyük ağ kesintileri, dünyanın teknoloji odaklı işletmelerinin çoğuna güç sağlayan bulut altyapı teknolojilerinin öncüleri tarafından kontrol ediliyor. İşte on yılın en büyük ağ kesintilerinden bazılarına 9 örnek:

1. Dyn Cyberattack:

21 Ekim 2016’da bir dizi DDoS saldırısı Dyn’in DNS hizmetlerini hedef aldı. Saldırı, büyük İnternet platformlarını ve hizmetlerini Avrupa ve Kuzey Amerika’daki kullanıcılar için kullanılamaz hale getirdi. Hacktivist kolektifler Anonymous ve New World Hackers saldırının sorumluluğunu üstlendi; ancak, iddialarını destekleyecek çok az kanıt vardı. Bir DNS sağlayıcısı olarak Dyn, son kullanıcılara, örneğin bir web tarayıcısına girildiğinde bir İnternet alan adını eşleşen IP adresine çevirme hizmeti sunar. DDoS saldırısını gerçekleştirmek için on milyonlarca IP adresinden gelen birden çok DNS arama isteği kullanıldı. Saldırıların, yazıcılar, IP kameralar, konut ağ geçitleri ve bebek monitörleri gibi Mirai kötü amaçlı yazılım bulaşmış birçok İnternet bağlantılı cihazdan oluşan bir botnet tarafından gerçekleştirildiği düşünülüyor.

2. British Airways:

Check-in sistemlerindeki bir sorun nedeniyle, British Airways 7 Ağustos 2019’da Heathrow ve Gatwick’ten 100’den fazla uçuşu iptal etmek zorunda kaldı ve bu kesinti, İngiltere’nin büyük havaalanlarında 200’den fazla uçak gecikmesine neden oldu. Arızanın, biri check-in, diğeri uçuş kalkışları için olmak üzere iki BA sisteminde meydana geldiğine inanılıyor. Bir BT arızası nedeniyle, check-in işleminin manuel olarak yapılması gerekti ve bu da uzun gecikmelere neden oldu. British Airways, mahsur kalan ve BT sistemi kesintisinden etkilenen müşterilere 8 milyon sterlinden fazla tazminat ödedi. Ancak bu, British Airways’in yaşadığı ilk BT sorunu değildi. 2018 yılında, havayolu şirketi, yaklaşık 500.000 kişinin kişisel bilgilerini açığa çıkaran bir siber saldırının kurbanı oldu. 2017’de ise havayolu, Mayıs banka tatili hafta sonu boyunca IAG’ye (havayolunun ana şirketi) yaklaşık 80 milyon sterline mal olan bir BT kesintisi yaşadı

3. Amazon Web Services:

Şubat 2017’deki büyük AWS S3 kesintisinden bir yıl sonra, önemli kurumsal BT çözümleri sağlayan Atlassian, Slack ve Twilio gibi AWS müşterileri, Mart 2018’de kesintiyle karşılaştı. Amazon’un S3 web- tabanlı depolama hizmeti, birçok popüler web sitesi, uygulama ve cihazda kısmi veya tam kesintilere neden oldu. Etkilenen siteler arasında Quora, Business Insider ve Slack vardı. Sorunun ABD-Doğu-1 veri merkezinde başlamış olabileceği ve eğer geliştiriciler uygulamalarını birçok tesise dağıtmış olsaydı önlenebileceği tahmin ediliyor. Elbette bu AWS’nin yaşadığı tek kesinti değil. Eylül 2015’te, Kuzey Virginia’daki bir veri merkezindeki yazılım sorunları nedeniyle hizmette benzer kesintiler yaşandı.

4. Vodafone Veri Merkezi:

İşletmeler, veri sunucularını çeşitli siber saldırılara karşı korumak için her yıl milyonlarca dolar harcıyor. Siber tehditlerin sürekli değişen doğası göz önüne alındığında, buna iyi harcanmış bir para diyebiliriz. Öte yandan işletmeler bazen fiziksel güvenliğin önemini hafife alabiliyor. 2011’de Vodafone, balyozlu hırsızların Hampshire veri merkezine girmesinden sonra bunu zor yoldan öğrendi. İzinsiz giriş, önemli hizmet kesintileriyle sonuçlandı ve bir dizi müşteri şikayetine yol açtı.

5. Microsoft Azure:

Veri merkezi donanımı için sunulan neredeyse sonsuz ve ücretsiz soğutma nedeniyle, bulut hizmeti sağlayıcıları arasında popüler olan bir alan olan Kuzey Ülkeleri’ndeki yazlar 2018’de rekor düzeyde sıcak geçen dönemdi. Sonuç olarak, İrlanda bölgesinde sıcaklık 18°C’ye ulaştığında Microsoft Azure’da bir kesinti oldu. Sıcaklık bölge için çok fazlaydı, bu da yerel halk için bir su krizine neden oldu ve Microsoft’un Dublin veri merkezi kaynaklarını optimum sıcaklıklarda çalışmasını sağlamak için yetersiz soğutmaya neden oldu. Sonuç olarak, veri merkezi hizmeti yaklaşık 9 saat boyunca kullanılamadı ve Kuzey Avrupa’daki Azure ve Office 365 aboneleri kesintiden etkilendi.

6. Google Cloud:

Google, birçok büyük bulut hizmeti sağlayıcısı gibi, sürekli ve hızla büyüyen bir kullanıcı tabanına altyapı hizmetleri sağlamaya çalışıyordu. Spotify, Discord, Pokemon Go uygulaması ve Snapchat gibi müşteriler, küresel bir kitleye ulaşmak ve mesajlarını yaymak için bu bulut ağ hizmetlerine güveniyordu. Temmuz 2018’de, yaklaşık 30 dakika süren kesinti sırasında müşterilerin yaklaşık yüzde 87’si App Engine, HTTPS Load Balancer veya TCP/SSL Proxy Load Balancer çözümlerinde sorun yaşadı. Google App Engine, Stackdriver, Dialogflow ve Global Load Balancer’lar etkilenen hizmetler arasındaydı. Google standart bir tazminat olarak, Hizmet Düzeyi Sözleşmesi’ni (SLA) takiben etkilenen müşterilere kredi iadesi yaptı. Bununla birlikte, Ponemon Enstitüsü çalışma raporuna göre, 2015 yılında ortalama 750.000 ABD Doları olan veri merkezi kesinti süresinin gerçek maliyeti, verilen tazminatı büyük ölçüde aştı.

7. O2 Kesintisi:

İngiltere’deki O2 mobil hizmetlerinin müşterileri, kapsam açısından en geniş ağ kesintisinden etkilendi. 6 Aralık 2018’in erken saatlerinde başlayan kesinti, 30 milyon müşteriyi internet erişiminden mahrum bıraktı. Kesinti tüm gün sürdü ve dünya çapında birden fazla operatöre hizmet veren Ericsson ağ ekipmanındaki bir arıza nedeniyle tetiklendi. Sorunun ölçeği göz önüne alındığında, Ericsson sorunu düzeltmek için hemen devreye girdi ve daha sonra kusurlu yazılımı devre dışı bıraktı. Kapsamlı bir araştırmaya göre, temel neden, müşterilerle, özellikle de O2 ile bağlantılı süresi dolmuş sertifika sürümleriyle bağlantılıydı. Güvenlik sertifikaları, iletişim altyapısının farklı katmanlarında alınan ağ trafiği yönlendirme ve güvenlik kararlarının meşruiyetini doğrulamak için telekomünikasyon hizmetleri tarafından kullanılır. Sorunun kaynağı belirlendikten sonra, tüm kullanıcıların hizmetleri hızla geri yüklendi. Ekim 2018’de O2, milyonlarca aboneyi etkileyen bir ağ kesintisi daha yaşadı, ancak bu yalnızca 40 dakika sürdü.

8. CenturyLink:

Milyonlarca kullanıcı, 2018’in en önemli ağ kesintisi olan CenturyLink kesintisi nedeniyle acil servisi arayamadı, ATM’den para çekemedi, hassas hasta sağlık kayıtlarına erişemedi, Verizon mobil geniş bant hizmetlerinden yararlanamadı ve hatta piyango çekilişlerine katılamadı. Olayın ardından FCC, 911 ve ATM’den para çekme gibi acil servisleri etkileyen bu kabul edilemez kesinti hakkında bir soruşturma başlattı. Kesinti iki gün sürdü ve tek bir ağ yönetim kartı arızasından kaynaklandığı ortaya çıktı. Aygıtın ağ üzerinden yanlış veri çerçevesi paketleri gönderdiği keşfedildi.

9. Deutsche Telekom:

27 Kasım 2016’da ağ arızaları Almanya’daki yüz binlerce Deutsche Telekom kullanıcısını etkiledi. 900.000 kadarı veya Deutsche Telekom’un 20 milyon sabit hat abonesinin yaklaşık yüzde 4,5’i, 27’sinde başlayan ve etkilenen tüketicilerin sayısının hızla düşmeye başladığı ertesi güne kadar süren internet kesintilerinden etkilendi. Deutsche Telekom’un BT güvenliği başkanı Thomas Thchersich’e göre, kesinti çok sayıda müşterinin yönlendiricisini Mirai botnet’in bir parçası haline getirmeye yönelik başarısız bir girişimle bağlantılı görünüyordu. Mirai, ağ ekipmanını büyük ölçekli ağ saldırılarını başlatmak için kullanılabilecek uzaktan kontrol edilen “botlara” dönüştüren kötü amaçlı bir programa verilen isim.

Son on yılda, mobil kullanımın ve Wi-Fi bağlantısının çarpıcı biçimde genişlemesi, hem işletmeler hem de ağ sağlayıcıları için yeni bağlantı ihtiyaçları ve sorunları yarattı. Ağ altyapısını güvence altına almak ve ortaya çıkan saldırılara karşı koruma sağlayabilecek yazılımlar geliştirmek için çok şey yapılmış olsa da, gelecekte benzer arızaların meydana gelme olasılığı hala mevcut. Bu tür olaylar nadir olmakla birlikte, kesintilerin ani ve öngörülemeyen doğası, en küçük ağ veya güvenlik zayıflıklarını bile ortaya çıkarabilir. Sonuç olarak, kesintiler için planlama söz konusu olduğunda, kuruluşların ve tedarikçilerin ödevlerini yapmaları çok önemlidir. Çoğu firma hali hazırda risk değerlendirmesi, planlama ve tedarik yapıyor, ancak gerçek anlamda hazırlıklı olmak için BT mimarilerinin yerleşik bir esneklik, güvenlik ve dayanıklılığa sahip olduğundan emin olmaları gerekiyor.

Kaynakça

https://www.internationalairportreview.com/news/99786/british-airways-it-systems-failure/

https://en.wikipedia.org/wiki/2016_Dyn_cyberattack

https://www.techradar.com/news/5-of-the-worlds-biggest-network-outages

https://acloudguru.com/blog/engineering/what-happened-with-microsoft-azures-active-directory-and-dns-outages

https://www.bmc.com/blogs/network-outages/

https://www.reuters.com/article/us-deutsche-telekom-outages-idUSKBN13N12K

PCI DSS v4.0 Hakkında Bilmeniz Gereken Her Şey

Ödeme Kartları Sektörü Veri Güvenliği Standardı(PCI DSS), online satış yapan ve müşterilerin kredi ve banka kartı bilgilerini kullanan işletmeler için en kapsamlı bilgi güvenliği standartlarını oluşturuyor. PCI Güvenlik Standartları Konseyi(PCI SSC) ise işletmelerin veri geliştirme, depolama, yayma ve güvenliği ele alma biçimini geliştirmekten ve buna göre standartları iyileştirmekten sorumlu. Bu sebeple PCI SSC zaman zaman yeni güncellemeler yayınlayarak işletmelerin bu alanlardaki uygulamalarını geliştirmelerini ve PCI uyumlu olduklarından emin olmalarını sağlıyor. 

PCI DSS 3.0’ın 2013’te piyasaya sürülmesinden bu yana, PCI Güvenlik Standartları Konseyi yoğun bir çalışma içerisindeydi. Yayınlanmasından bir yıldan biraz daha uzun bir süre sonra, konsey PCI DSS 3.1’i yayınladı ve ardından Nisan 2015’te SSL ve TLS 1.0’ın risklerini vurgulayan “SSL’den Geçiş ve Erken TLS Bilgi Eki” de dahil olmak üzere birkaç yeni şablon ve ek yayınladı. Ek, işletmeler için bir geçiş süreci tanımladı ve 1 Temmuz 2016’ya kadar geçiş için bir son tarih belirlemiş oldu. 

SSL’nin ödeme sektöründe çok yaygın olarak kullanılması nedeniyle, bu geçiş tarihi işletme sahiplerinde endişe yarattı. PCI Güvenlik Standartları Konseyi buna duyarsız kalmadı ve Nisan 2016’da, geçiş son tarihini 2018’e uzatan PCI-DSS 3.2’yi yayınladı. 

Geçtiğimiz yılda standartları takip ettiyseniz, PCI DSS v4.0’ın yolda olduğunu biliyor olabilirsiniz. Yeni sürüm için yorum talebi(RFC) dönemi Kasım 2019’da kapandı ve konsey 2022’nin ilk çeyreğinde v4.0’ı yayınlamayı planlıyor. Çoğu PCI güvenlik kontrolü on yıldan eski olduğu ve 2015’ten beri standartlarda büyük değişiklikler yapılmadığı için, sektörün bu yayınlanacak sürümden beklentisi oldukça fazla. Hâlâ incelemeden geçiyor olsa da, PCI DSS v4.0’ın taslağı üzerinden bizleri bekleyen yenilikleri incelemek mümkün. 

Yeni Sürümde İşletmeleri Neler Bekliyor?

Parolalar ve çok faktörlü kimlik doğrulama ile ilgili çeşitli revizyonlar yeni sürümün ana başlıklarından. Çok faktörlü kimlik doğrulamanın yalnızca yöneticiler için değil, kart sahibi verilerine erişimi olan tüm hesaplar için zorunlu hale getirilmesi planlıyor. Güvenliği arttırmak için en az 15 karakter, hem sayısal hem de alfabetik karakterler içeren parolalar tercih edilecek ve olası bir veri sızıntısı ihtimaline karşı, uygulama ve sistemlerde kullanılan parolaların 12 ayda bir değiştirilmesi gerekecek. Sisteme erişimi olan hesaplar altı ayda bir gözden geçirilecek ve satıcı veya üçüncü taraf hesaplar yalnızca gerektiğinde etkinleştirilebilir hale getirilecek. 

Risk değerlendirmesi gereksinimi yeni sürümdeki önemli başlıklardan bir diğeri. Organizasyonların bu gereksinimi PCI DSS uyumluluğu için atlanması gereken bir basamak olarak görmesinin önüne geçmek isteyen konseyin, risk değerlendirmesi gereksinimini işletmelerin risk yönetimi sürecinde kullanabilecekleri bir rehbere dönüştürmesi bekleniyor. 

Zararlı kod içeren yazılımlar finans sektörünün en büyük problemlerinden bir tanesi. Kod sisteme yerleştikten sonra, kart sahibi verilerini ele geçirmek mümkün. Sonuç olarak, kart sahibi verilerinin güvenliğiyle ilgili standartların iyileştirilmesi için baskı gün geçtikte artıyor. PCI DSS’in bu sürümde kullanıcıların kredi kartı numaralarının 12 ayda bir taranması gibi daha iyi uygulamalarla siber saldırılara daha hazırlıklı olması bekleniyor. 

Benzer şekilde, son kullanıcıların eğitim gereksinimlerinin, e-dolandırıcılık saldırıları ve sosyal mühendislik dahil olmak üzere kart sahibi verileri ortamının güvenliğini etkileyebilecek mevcut tehditler ve güvenlik açıkları hakkında daha fazla bilgi içerecek şekilde geliştirileceği tahmin ediliyor. Kart sahibi verileri ortamını izleme gereksiniminin ise yeni nesil ağ ve uç nokta algılama araçlarının kullanılabilirliği gibi teknolojideki gelişmeleri yansıtacak şekilde güncellenmesi bekleniyor. Yeni sürümün satıcılar ve hizmet sağlayıcıları tarafındaysa e-dolandırıcılık girişimlerini tespit etmek için belli mekanizmalara sahip olmak zorunluluk haline gelebilir. 

Bir önceki sürüm, uyumlulukla ilgili oldukça katı kurallara sahipti. PCI DSS v4.0’ın ise uyumlulukta daha esnek kurallara sahip, işletmelerin kendi kontrollerini tasarlamalarına ve gereksinimlerin amacına göre uygulamalarına olanak tanıyan, kişiselleştirmeye açık bir sürüm olması öngörülüyor. Böylece şirketlere yeni teknolojileri ve güvenlik çözümlemelerini benimsemeleri için daha fazla alan tanınmış olacak, işletmeler standardın gündemi yakalamasını beklemek zorunda kalmayacaklar. Yeni sürümün taslağı aynı zamanda bulut hosting gibi farklı teknolojileri de destekliyor. Kuruluşlar ayrıca, güvenilir ağlar dahil olmak üzere herhangi bir aktarım üzerinden kart sahibi verilerinin şifrelenmesinin genişletilmesi gibi yeni kontrol gereksinimleri bekleyebilecekler. 

PCI DSS v4.0’ın Gelişimi ve Yayınlanma Süreci

Toplulukla daha iyi iletişimde kalıp geri dönütleri alabilmek adına konsey, PCI DSS v4.0’ın yayın tarihini 2022’nin ilk çeyreği olarak hedefliyor. Bu zaman dilimi içerisinde yeni sürümün taslağı üzerinden ek bir yorum talebi(RFC) de toplanacak. Revizyonun önemi nedeniyle, taslak standardın bir önizlemesi, yayınlanmak üzere nihai hale getirilmeden önce Katılımcı Kuruluşlara, Nitelikli Güvenlik Değerlendiricilerine(QSA’lar) ve Onaylı Tarama Sağlayıcılarına(ASV’ler) iletilecek. Önizleme döneminin amacı, resmi olarak yayınlanmadan önce paydaşlara standardın 4.0 sürümüne alışmaları için ek süre tanımak. 

Konseyin planına göre Katılımcı Kuruluşlar, QSA’lar ve ASV’ler için önizlemenin Ocak 2022’de tamamlanması planlanıyor. Standardın son sürümleri, doğrulama belgeleri ve standardın ilk çevirileri ile birlikte Mart 2022’de resmi olarak yayımlanacak. QSA’ların ve ISA’ların PCI DSS v4.0’ı destekleyebilmeleri için eğitimin ise Haziran 2022’de yapılması hedefleniyor. 

Aşağıdaki güncellenmiş PCI DSS v4.0 zaman çizelgesinde doğrulama belgeleri için ek yorum talebi, PCI SSC paydaşları için önizleme dönemi ve PCI DSS v4.0’ın yayınlanması için planlanan zaman gibi detayları incelemek mümkün.

Yeni Sürüme Geçiş Nasıl Olacak?

Güncellenen zaman çizelgesi, kuruluşların PCI DSS v3.2.1’den PCI DSS v4.0’a güncelleme yapabilmesi için bir geçiş dönemi de içeriyor. Bu geçişi desteklemek için PCI DSS v3.2.1, tüm PCI DSS v4.0 materyalleri -standart, destekleyici belgeler (SAQ’lar, ROC’ler ve AOC’ler dahil), eğitim ve program güncellemeleri- yayınlandıktan sonra 18 ay boyunca etkin kalacak.

Bu geçiş dönemiyle kuruluşların v4.0’daki değişikliklere aşina olmalarına, raporlama şablonlarını ve formlarını güncellemelerine ve güncellenen gereksinimleri karşılamak için değişiklikleri planlamalarına ve uygulamalarına olanak tanınması amaçlanıyor. Geçiş döneminin tamamlanmasının ardından, PCI DSS v3.2.1 kullanımdan kaldırılacak ve v4.0 standardın tek etkin sürümü olacak. Aşağıdaki zaman çizelgesinde PCI DSS v4.0’a geçiş süreciyle ilgili detayları görmek mümkün.

Referanslar

https://blog.pcisecuritystandards.org/updated-pci-dss-v4.0-timeline

https://ermprotect.com/blog/pci-dss-v4-0-what-you-need-to-know-now/

https://www.ispartnersllc.com/blog/pci-dss-version-4-0-launching-2020/

https://www.connect-converge.com/pci-dss-4-0-is-coming-will-you-be-ready/