Bir siber olay yaşandığında acentelerin en çok zorlandığı konu çoğu zaman teknik değil, organizasyoneldir. Kim karar verecek? Yazılım sağlayıcısına kim haber verecek? Müşterilere ne söylenecek? Hangi hesap kapatılacak, hangisi açık kalacak? Bu soruların olay anında, baskı altında ve eksik bilgiyle yanıtlanmaya çalışılması, hatalı kararlara ve zaman kaybına yol açar.
Siber olay müdahale planı, bu soruların önceden yanıtlandığı, rollerin ve adımların belirlendiği yazılı bir belgedir. Büyük kurumlara özgü bir doküman gibi görünse de birkaç sayfalık, sade bir plan küçük bir acente için de son derece değerlidir. Bu yazıda yaygın kabul gören altı aşamalı çerçeveyi acente gerçekliğine uyarlayarak anlatıyoruz.
Siber olay neyi kapsar?
Planı hazırlamadan önce neyin olay sayılacağını tanımlamak gerekir. Acente bağlamında tipik olaylar şunlardır:
- Bir kullanıcı hesabının ele geçirilmesi veya ele geçirildiğinden şüphelenilmesi
- Müşteri verisinin yetkisiz biçimde dışarı çıkarılması
- Ofis bilgisayarlarında zararlı yazılım veya fidye yazılımı tespit edilmesi
- Sigorta şirketi portal kimlik bilgilerinin sızması
- Müşteri verisi içeren bir cihazın kaybolması veya çalınması
- Acente adına sahte e-posta veya mesaj gönderildiğinin fark edilmesi
Aşama 1: Hazırlık
Planın en uzun ve en önemli aşaması, olay yaşanmadan önce yapılanlardır.
- Müdahale ekibi: Olay anında karar verecek kişi, teknik koordinasyonu yürütecek kişi ve iletişimden sorumlu kişi belirlenir. Küçük acentelerde bu roller iki ya da üç kişide toplanabilir; önemli olan herkesin rolünü bilmesidir.
- İletişim listesi: Yazılım sağlayıcısının destek ve güvenlik kanalları, sigorta şirketlerinin acente destek hatları, hukuk danışmanı ve gerekiyorsa bilişim desteği veren firmanın iletişim bilgileri tek bir yerde, çevrimdışı da erişilebilir biçimde tutulur.
- Varlık listesi: Acentenin kullandığı sistemler, cihazlar ve kritik hesaplar listelenir.
- Erişim hazırlığı: Kullanıcı hesaplarının nasıl kapatılacağı, oturumların nasıl sonlandırılacağı ve acil durum erişiminin nasıl kullanılacağı önceden bilinir.
Aşama 2: Tespit ve analiz
Olayın fark edilmesi bir çalışanın bildirimiyle, yazılımın ürettiği bir uyarıyla ya da bir müşterinin şikayetiyle olabilir. Bu aşamada amaç, ne olduğunu mümkün olduğunca hızlı anlamaktır: Hangi hesap veya sistem etkilendi? Olay ne zaman başladı? Hangi veriler risk altında? Olay devam ediyor mu?
Bu aşamada her bulgunun zamanıyla birlikte not edilmesi büyük önem taşır. Olay sonrası inceleme, yasal yükümlülüklerin değerlendirilmesi ve sigorta şirketleriyle iletişim bu notlara dayanır.
Aşama 3: Sınırlama
Sınırlama, olayın yayılmasını durdurmaya yönelik ilk müdahaledir. Etkilenen kullanıcı hesabının oturumları sonlandırılır ve parolası değiştirilir, zararlı yazılım bulaşmış bir bilgisayar ağdan ayrılır, sızdığı düşünülen portal kimlik bilgileri yenilenir. Sınırlama kararları hızlı verilmelidir; ancak delilleri yok edecek şekilde değil. Örneğin zararlı yazılım bulaşmış bir bilgisayarın hemen formatlanması, olayın nasıl gerçekleştiğini anlamayı imkansız hale getirebilir.
Aşama 4: Temizleme
Olayın kök nedeni ortadan kaldırılır. Zararlı yazılım temizlenir, saldırganın oluşturmuş olabileceği ek hesaplar veya yetkiler kaldırılır, istismar edilen zafiyet giderilir. Bu aşamada işlem kayıtları geriye dönük incelenerek saldırganın sistemde bıraktığı izler araştırılır.
Aşama 5: Kurtarma
Sistemler ve hesaplar olağan işleyişe kontrollü biçimde döndürülür. Kapatılan hesaplar yeni kimlik bilgileri ve doğrulama yöntemleriyle yeniden açılır, temizlenen cihazlar ağa geri bağlanır, gerekiyorsa yedeklerden veri geri yüklenir. Kurtarma sonrasında bir süre artırılmış izleme yapılması, saldırganın geri dönüp dönmediğini fark etmeye yardımcı olur.
Aşama 6: Ders çıkarma
Olay kapandıktan kısa bir süre sonra, müdahale ekibi bir araya gelerek neyin iyi işlediğini, neyin aksadığını değerlendirir. Bu toplantının amacı suçlu aramak değil, süreci iyileştirmektir. Çıkan sonuçlar plana, eğitimlere ve yazılım ayarlarına yansıtılır.
Ciddiyet seviyeleri
Her olay aynı müdahaleyi gerektirmez. Planın, olayları ciddiyetlerine göre sınıflandıran basit bir ölçek içermesi, ekibin tepkisini orantılı tutmasına yardımcı olur:
- Düşük: Bir çalışanın oltalama e-postasını tıklamadan bildirmesi ya da tek bir başarısız giriş denemesi serisi. Kayıt altına alınır, kısa bir kontrol yapılır.
- Orta: Bir hesabın şüpheli girişleri veya kaybolan bir cihaz. Müdahale ekibi bilgilendirilir, sınırlama adımları uygulanır.
- Yüksek: Müşteri verisine yetkisiz erişimin doğrulanması, fidye yazılımı veya portal kimlik bilgilerinin sızması. Tüm müdahale ekibi devreye girer, yazılım sağlayıcısı ve hukuk danışmanı derhal bilgilendirilir.
Ciddiyet seviyesi olay ilerledikçe değişebilir; yeni bulgular ortaya çıktığında yeniden değerlendirme yapılması planın doğal bir parçasıdır.
İletişim planı
Olay müdahalesinin en hassas boyutlarından biri iletişimdir. İç iletişimde çalışanlara ne olduğunu ve ne yapmaları gerektiğini açık biçimde anlatmak gerekir. Dış iletişimde ise müşterilere, sigorta şirketlerine ve ilgili kurumlara hangi bilgilerin, ne zaman ve kim tarafından verileceği önceden düşünülmelidir. Kişisel veri ihlali söz konusu olduğunda bildirim yükümlülükleri doğabilir; bu yükümlülüklerin değerlendirilmesi ve sürelerin takibi için hukuk danışmanının sürece erken dahil edilmesi önerilir.
Sağlayıcıyla ortak müdahale
Bulut tabanlı bir acente yazılımı kullanan acentelerde, olay müdahalesinin bir kısmı sağlayıcıyla birlikte yürütülür. Sağlayıcıya hangi kanaldan ulaşılacağı, hangi bilgilerin paylaşılması gerektiği ve sağlayıcının hangi kayıtları sunabileceği önceden bilinmelidir. Acentenin kendi yönetici panelinden yapabileceği işlemler, örneğin oturum sonlandırma ve kullanıcı kapatma, ile sağlayıcıdan talep edilmesi gerekenler arasındaki ayrım netleştirilmelidir.
Planı canlı tutmak
Bir çekmecede unutulan plan, olay anında işe yaramaz. Planın yılda en az bir kez masa başı tatbikatıyla denenmesi önerilir. Örneğin "bir çalışanın hesabıyla gece yarısı müşteri listesi indirildi" senaryosu üzerinden ekip, plandaki adımları sırayla konuşur ve eksikleri not eder. Personel değişikliklerinde iletişim listesi ve roller güncellenir. CRM ve kullanıcı yönetimi ekranlarının olay anında nasıl kullanılacağını görmek için demo talebinde bulunabilirsiniz.