Yapay zeka tehditleri hızlandıkça işletmelerin bulut güvenliğindeki başarısızlıkları 'kaygı verici'

Yeterli sayıda kuruluş, bulut ortamlarının güvenli olduğundan emin olmak için düzenli denetimler gerçekleştirmiyor.

Kuruluşların %45'ten biraz azı, bulut ortamlarının güvenli olduğundan emin olmak için düzenli denetimler ve değerlendirmeler gerçekleştiriyor; bu da, daha fazla uygulama ve iş yükünün çoklu bulut platformlarına taşınması nedeniyle "kaygı verici".

Bulut altyapılarındaki riski nasıl izledikleri sorulduğunda işletmelerin %47,7'si otomatik güvenlik araçlarını işaret ederken %46,5'i sağlayıcılarının yerel güvenlik tekliflerine güvendi. Güvenlik sağlayıcısı Bitdefender'ın raporuna göre katılımcıların %44,7'si düzenli denetim ve değerlendirmeler yaptıklarını söyledi.

Altı pazarda (Singapur, İngiltere, Fransa, Almanya, İtalya ve ABD) bilgi güvenliği yöneticileri de dahil olmak üzere 1.200'den fazla BT ve güvenlik uzmanının katıldığı araştırmada, katılımcıların yaklaşık %42,1'inin üçüncü taraf uzmanlarla çalıştığı ortaya çıktı.

Bitdefender'ın Asya-Pasifik ve siber güvenlik hizmetlerinden sorumlu başkan yardımcısı Paul Hadjy, ZDNET'ten gelen sorulara yanıt olarak, şirketlerin yalnızca %45'inin düzenli olarak bulut ortamlarında denetimler yürütmesinin "kesinlikle endişe verici" olduğunu söyledi.

Hadjy, işletmeler uygulamaları ve iş yüklerini çoklu bulut ortamlarına taşımaya devam ederken bile bulut sağlayıcılarının barındırılan hizmetleri veya verileri koruma becerisine aşırı güvenmenin devam ettiğini belirtti.

Hadjy, "Çoğu zaman bulut sağlayıcıları düşündüğünüz kadar sorumlu değildir ve çoğu durumda bulutta depolanan veriler büyük ve çoğu zaman hassastır" dedi.

"Verilerin durağan veya hareket halindeyken nasıl korunduğu, kaynaklara erişim izni verilen kişilerin, sunucuların ve uç noktaların kimlikleri ve uyumluluk da dahil olmak üzere bulut güvenliğinin sorumluluğu ağırlıklı olarak müşteriye bağlıdır. Öncelikle bir temel oluşturmak önemlidir. Coğrafya, endüstri ve tedarik zinciri ortakları gibi unsurlara dayanarak bulut ortamlarınızdaki mevcut risk ve güvenlik açığını belirleyin."

Ankete katılanların %38,7'si, şirketlerinin bulut ortamlarını yönetirken yaşadıkları en önemli güvenlik endişeleri arasında kimlik ve erişim yönetimini belirtirken, %38'i bulut uyumluluğunu sürdürme ihtiyacına dikkat çekti. Araştırmada, katılımcıların %35,9'unun gölge BT'yi endişe verici bir konu olarak nitelendirdiği ve %32'sinin insan hatasından endişe duyduğu ortaya çıktı.

Ancak konu yapay zeka ile ilgili üretken tehditler olduğunda, katılımcılar ekip arkadaşlarının potansiyel saldırıları tespit etme becerilerinden emin görünüyor. Katılımcıların %74,1'i kendi departmanlarındaki meslektaşlarının derin sahte bir video veya ses saldırısını tespit edebileceklerine inanırken, ABD'deki katılımcılar %85,5 ile en yüksek güven seviyesini gösterdi.

Karşılaştırıldığında, Singapur'daki meslektaşlarının yalnızca %48,5'i, takım arkadaşlarının bir deepfake tespit edebileceğinden emindi; bu, altı pazar arasında en düşük orandı. Aslında Singapur'dakilerin %35'i, kendi departmanlarındaki meslektaşlarının bir deepfake'i tespit edemeyeceklerini söyledi; bu da aynı şekilde küresel havuzdaki en yüksek rakamdı.

Takım arkadaşlarının derin sahte bir sahtekarlığı tespit edebileceğinden emin olan %74,1'lik dünya ortalaması yanlış mı yoksa iyi yerleştirilmiş mi?

Hadjy, %96,6'nın GenAI'yi küçük ila çok önemli bir tehdit olarak görmesine rağmen bu güvenin ifade edildiğini belirtti. Bunun temel düzeyde bir açıklaması, BT ve güvenlik profesyonellerinin, kendi ekipleri dışındaki ve BT veya güvenlik alanında olmayan kullanıcıların deepfake'leri tespit etme becerisine mutlaka güvenmemeleri olduğunu söyledi.

"Bu nedenle birlikte uygulanan teknoloji ve süreçlerin bu riski azaltmanın en iyi yolu olduğuna inanıyoruz" diye ekledi.

Deepfake gibi yapay zeka tarafından oluşturulan içerikleri tespit etmede mevcut araçların ne kadar etkili veya doğru olduğu sorulduğunda, bunun çeşitli faktörlere bağlı olacağını söyledi. Kimlik avı e-postası yoluyla teslim edilirse veya kötü amaçlı bir bağlantı içeren bir kısa mesaja gömülürse, derin sahtekarlıkların XDR (genişletilmiş algılama ve yanıt) araçları gibi uç nokta koruma araçlarıyla hızlı bir şekilde tanımlanması gerektiğini açıkladı.

Ancak tehdit aktörlerinin, insanların gördüklerine ve görüntüleri genellikle mesaj iletmek için manipüle edilen ünlüler ve yüksek profilli kişilikler gibi güvendikleri kişiler tarafından onaylanan şeylere inanma konusundaki doğal eğilimlerine bağlı olduğunu belirtti.

Deepfake teknolojileri gelişmeye devam ettikçe bu tür içerikleri yalnızca görüntü veya ses yoluyla tespit etmenin "neredeyse imkansız" olacağını söyledi. Deepfake'leri tespit edebilecek teknoloji ve süreçlerin de gelişmesi gerektiğinin altını çizdi.

Her ne kadar Singapurlu katılımcılar takım arkadaşlarının deepfake'leri tespit etme becerisi konusunda en şüpheci olsalar da, kendisi %48,5'in önemli bir rakam olduğunu belirtti.

Hem teknolojinin hem de süreçlerin yerinde olmasının önemini bir kez daha vurgulayan Hadjy şunları söyledi: "Deepfake'ler daha iyi olmaya devam edecek ve onları etkili bir şekilde tespit etmek, birlikte çalışan insanları, teknolojiyi ve süreçleri birleştiren sürekli çabalar gerektirecektir. Siber güvenlikte, 'sihirli değnek'; her zaman, bir tehdit içeri girmeden önce kapıyı kapatmak için güçlü bir önleme ile başlayan çok katmanlı bir stratejidir."

Daha fazla çalışanın hibrit ortamlarda çalışması ve daha fazla riskin evlerden kaynaklanması nedeniyle eğitim de giderek daha kritik hale geliyor. "İşletmelerin deepfake'leri doğrulamak ve hedef odaklı kimlik avı kampanyalarına karşı koruma sağlamak için net adımlar atması gerekiyor" dedi. "Özellikle büyük miktarlarda para transferinin söz konusu olduğu durumlarda, kuruluşlar için çifte kontrol önlemlerinin alınmasını sağlamaya yardımcı olacak süreçler kilit öneme sahiptir."

Bitdefender araştırmasına göre katılımcıların %36,1'i, Deepfake gibi yanıltıcı içeriklerin manipülasyonu veya oluşturulması açısından GenAI teknolojisini çok önemli bir tehdit olarak görüyor. Katılımcıların %45,1'i bunu orta düzeyde bir tehdit olarak tanımlarken, %15,4'ü ise küçük bir tehdit olarak nitelendirdi.

Büyük bir çoğunluk (%94,3) kuruluşlarının fidye yazılımı, kimlik avı ve sıfır gün saldırıları gibi mevcut güvenlik tehditlerine yanıt verme becerisine güveniyordu.

Ancak araştırmaya göre katılımcıların %57'si geçen yıl bir veri ihlali veya sızıntısı yaşadığını itiraf etti; bu rakam bir önceki yıla göre %6 artış gösterdi. Bu rakamın en düşük olduğu ülke yüzde 33 ile Singapur, en yüksek olduğu ülke ise yüzde 73,5 ile İngiltere oldu.

Kimlik avı ve sosyal mühendislik %38,5 ile en büyük endişe kaynağı olurken, onu sırasıyla %33,5 ile fidye yazılımı, içeriden tehditler ve yazılım açıkları izledi.