💡 Özet: Güvenlik açığı; hizmet kesintisi, inceleme, veri kurtarma ve kullanıcı güveni açısından maliyet yaratabilir. Sahiplik, erişim, güncelleme ve olay hazırlığı için temel kontrol listesi.
Bu yazıda
Maliyeti yalnız sunucu faturasıyla düşünmeyin
Bir güvenlik olayı yaşandığında hizmet kesilebilir, destek ihtiyacı artabilir ve verilerin doğruluğu yeniden incelenebilir. Etki; sistemin yapısına, tutulan verilere ve olayın kapsamına bağlıdır. Her işletme için geçerli bir para tutarı veya kesin kayıp oranı vermek doğru olmaz.
İşletmenin hazırlığı yalnız bir eklenti kurmakla tamamlanmaz. Hesap sahipliği, güncelleme ve kurtarma sorumluluklarının açık olması müdahale sırasında önem kazanır.
Erişim ve güncelleme sorumlularını belirleyin
Yönetim hesaplarının kimde olduğunu, eski erişimlerin kaldırılıp kaldırılmadığını ve çok faktörlü doğrulama imkanını kontrol edin. Ortak kullanılan tek hesap yerine işle kimin ilgilendiğinin anlaşılabilmesi yararlıdır. OWASP kimlik doğrulama rehberi.
Uygulama bileşenlerinin ve bağımlılıkların güncel tutulması ayrıca planlanmalıdır. Bir güncellemenin yapılması kadar uyumluluğunun kontrol edilmesi de gerekir. OWASP bağımlılık yönetimi rehberi.
Bir olay yaşanırsa hangi bilgi gerekir?
- Etkilenen alan adı, uygulama ve hesapların listesi
- İlk fark edilme zamanı ve gözlenen belirtiler
- Barındırma ve teknik destek sorumluları
- Mevcut yedeklerin tarihi ve geri dönüş yöntemi
- Erişim kayıtları ve son değişikliklerin bilgisi
Şüpheli bir durumda önce etki değerlendirilir; rastgele dosya silmek veya belirtileri gizlemek incelemeyi zorlaştırabilir. Teknik müdahale ve iletişim sorumluluklarının önceden belirlenmesi daha düzenli hareket etmeyi sağlar.
Arama görünürlüğü de etkilenebilir
Google, sosyal mühendislik veya aldatıcı içerik tespit edilen sayfalarda kullanıcıları uyarabildiğini açıklar. Bu, her olayda sitenin otomatik olarak kalıcı silineceği anlamına gelmez. Google'ın sosyal mühendislik ve güvenlik rehberi.
İyileştirmeyi yalnız uyarıyı kaldırmak olarak ele almayın. Olayın kaynağı, erişimlerin güvenliği ve tekrarını azaltacak uygulama değişiklikleri birlikte değerlendirilmelidir. Bir kontrol listesi güvenliğin eksiksiz garanti edildiği anlamına gelmez.