İngiltere Bilgi Komiserliği Ofisi (ICO), yapay zeka (YZ) destekli siber saldırıların artışı karşısında kurumları proaktif önlemler almaya çağıran 5 adımlık bir rehber yayımladı. Veri koruma düzenleyicisi, temel siber güvenlik ilkelerine bağlı kalmanın, tehditleri anlamanın ve çok katmanlı savunmalar kurmanın, YZ tabanlı tehditlere karşı en etkili koruma yöntemi olduğunu vurguladı. ICO Yönetici Direktörü Ian Hulme, "Siber dayanıklılığa yatırım yaparak ve uygun güvenlik önlemlerini alarak, kurumunuzun elindeki kişisel verileri nasıl koruduğuna dair kamu güveni oluşturabilirsiniz" dedi.
ICO, kurumların öncelikle Ulusal Siber Güvenlik Merkezi'nin (NCSC) güncellenmiş Siber Değerlendirme Çerçevesi'ne (CAF) başvurmasını öneriyor. Bu çerçeve, saldırganların YZ'yi saldırılarda nasıl kullandığını veya kurumsal YZ sistemlerine nasıl saldırdığını anlamaya yardımcı oluyor. Rehberde yer alan spesifik tehditler arasında YZ destekli kimlik avı, deepfake sosyal mühendislik, otomatik güvenlik açığı taraması, gerçek zamanlı uyum sağlayan YZ tabanlı kötü amaçlı yazılım, kimlik bilgisi doldurma saldırıları, veri zehirleme ve dolaylı prompt enjeksiyon saldırıları bulunuyor.
Temel siber güvenlik önlemleri kapsamında ICO, kurumların en azından Cyber Essentials programının beş kontrolünü ve İngiltere Siber Yönetişim Uygulama Kuralları'nı uygulamasını bekliyor. Ancak ek savunma katmanlarının "zorunlu" olduğu belirtiliyor. Bunlar arasında sağlam bir yama ve güncelleme süreci, çok faktörlü kimlik doğrulama (MFA), güçlü parola politikaları ve en az ayrıcalık ilkesinin denetlenmesi yer alıyor. ICO sözcüsü, "Güvenlik açığı yönetiminin bir parçası olarak, kurumlar maruz kalan bir güvenlik açığının etkisini değerlendirmeli ve bu değerlendirmeye göre düzeltici eylemlere öncelik vermelidir" dedi.
Çok katmanlı savunma stratejisinde, tüm uzaktan erişim, yönetici hesapları ve e-posta için MFA kullanılması, güçlü parola politikaları ve en az ayrıcalık ilkesinin denetlenmesi öne çıkıyor. ICO, kurumların erişim kontrolleri için YZ araçlarını kullanırken güvenlik/gizlilik etkilerini anlaması gerektiğini ekledi. Ayrıca tedarik zinciri ortaklarının da bu erişim politikalarına ve daha geniş güvenlik denetimine dahil edilmesi gerekiyor.
Detaylar ve Etkileri
Temel önlemler arasında düzenli olarak test edilen bir olay müdahale planı, kapsamlı güvenlik izleme ve güvenlik açığı taraması da bulunuyor. Ian Hulme, YZ araçlarının sonuçları iyileştirmek için kullanılabileceğini ancak insan denetiminin sağlanması gerektiğini vurguladı. ICO sözcüsü, "ICO, kurumların anlık bir değerlendirmeyle yetinmemesini, bunun yerine dinamik, tehdit tabanlı bir güvenlik yaklaşımı benimsemesini bekler" ifadelerini kullandı.
Son olarak Hulme, kurumları GDPR kapsamındaki yükümlülüklerini yerine getirmeye çağırdı. Bunlar arasında veri minimizasyonu ve saklama sınırlaması, düzenli veri denetimleri, personel farkındalık eğitimi (YZ destekli sosyal mühendislik dahil), yüksek riskli kişisel veri işleyen YZ araçları için veri koruma etki değerlendirmesi (DPIA) ve hükümetin YZ Siber Güvenlik Uygulama Kuralları'na uyum yer alıyor. ICO, ihlal sonrası yaptırım kararında kurumun saldırı yüzeyi, sektörü ve elindeki verilerin kritik faktörler olduğunu belirtti.
Kaynak: infosecurity-magazine.com
