Kapınız kilitli, anahtar tedarikçide: Kendi sistemi temiz bir kurumun verisi nasıl dışarı çıkar?

Bu hafta ihlal açıklamalarını alt alta dizdim. Elimizde ne var, ne yok, ona baktım. Ortaya çıkan tablo bir saldırı türünden çok bir cümle kalıbı: "Saldırgan bizim sistemimize değil, hizmet sağlayıcımızın platformuna girdi."

Crédit Mutuel Arkéa'daki saldırıda banka, saldırganın ağa bir hizmet sağlayıcının platformu üzerinden doğrudan ulaştığını açıkladı; sağlayıcının adını vermedi. Amadeus'taki ihlal yüzünden Asya havayolları tek tek açıklama yaptı. Iris Ohyama kullandığı harici bir bulut servisine yetkisiz erişim yaşandığını duyurdu. Türkiye'de de KVKK'nın yayımladığı KVK Teknik Servis ve Turksport bildirimlerinde ve Vava Cars bildiriminde aynı ifade geçiyor: erişilen kayıtlar "veri işleyen nezdinde" tutuluyordu.

Elimizde ne var?

Dört farklı ülke, dört farklı sektör. Ortak noktaları şu: kurumun kendi çekirdek sistemi ya ihlal edilmedi ya da ihlal oradan başlamadı. Veri, kurumun işini kolaylaştırmak için kurduğu bir bağlantıdan çıktı. Rezervasyon görüntüleme ortamı, müşteri sohbet altyapısı, bulut depolama, ödeme ya da transfer platformu.

Arkéa vakası ayrıca öğretici. Saldırganın müşteri hesaplarını değil, bankanın kendi hesabını ve bankalar arası transfer kanalını kullandığı açıklandı. Yani tedarikçiye verilen erişim yalnızca veri okumakla sınırlı değildi; işlem yaptırabiliyordu. Bu ayrım önemli. Veri sızdıran bir entegrasyon ile para hareket ettirebilen bir entegrasyon aynı risk sınıfında değildir.

Elimizde ne yok?

Daha çok şey yok. Arkéa sağlayıcının kimliğini açıklamadı. Kesin tutarı da doğrulamadı. KVKK bildirimlerinde veri işleyenin adı geçmiyor. Turizm sektöründeki yedi bildirimde yetkisiz erişimin dört günlük bir pencerede fark edilmesi ve metinlerin birbirine benzemesi dikkat çekiyor. Ama ortak bir tedarikçi olduğuna dair resmî bir bilgi yok. Biz de böyle bir bağlantıyı doğrulamadık. Ortak tedarikçi şüphesi bir hipotezdir, haber değildir.

Bu boşluk tesadüf değil. Tedarikçi adı çoğu zaman sözleşme, soruşturma ya da itibar kaygısıyla saklanır. Sonuç olarak aynı sağlayıcıyı kullanan başka kurumlar, kendilerinin de etkilenip etkilenmediğini haberlerden öğrenmeye çalışır. Amadeus'ta bunu açıkça gördük. Etkilenenlerin listesi bir açıklamayla değil, havayollarının tek tek yaptığı duyurularla uzadı.

Sorumluluk kimde kalıyor?

Burada hukuk nettir. KVKK'ya göre veri işleyen, verinin güvenliğinden veri sorumlusuyla birlikte sorumludur. Bildirimi yapan ise veri sorumlusudur. Yani "tedarikçimizde oldu" cümlesi bildirim yükümlülüğünü ortadan kaldırmıyor. Nitekim KVKK'ya yansıyan bildirimler de veri işleyenden değil, veri sorumlusundan geliyor. Avrupa'daki finans kuruluşları için DORA, ICT hizmet sağlayıcı riskini doğrudan yönetim organının sorumluluğuna yazıyor. Bu çerçevede Arkéa vakası, düzenleyicinin önüne konacak somut bir örnek.

Benim şüpheci tarafım şunu soruyor: Kurumların kaçı, verisini işleyen tedarikçilerin tam listesine bugün sahip? Kaçı, o tedarikçinin hangi hesapla, hangi yetkiyle, hangi saatlerde sisteme bağlandığını kendi logundan görebiliyor? Bir ihlal açıklamasında "hizmet sağlayıcı" kelimesini görünce sorulacak soru bu. "Kim yaptı" sorusu sonra gelir.

Son söz

Tedarikçi ihlali bir istisna değil, bu haftanın olağan biçimi. Kendi duvarınızı yükseltmek, kapının anahtarını başkasına verdiğiniz yerde işe yaramaz. Envanterinizde yalnızca sunucularınız değil, verinizi işleyen her sağlayıcı ve ona verdiğiniz her yetki bulunmalı. Okuma yetkisi ile işlem yaptırma yetkisini ayırın, ikincisini ayrıca izleyin. Bir sonraki "hizmet sağlayıcımız" açıklamasında, o sağlayıcıyı sizin de kullanıp kullanmadığınızı saatler içinde söyleyebilecek durumda olun. Elimizde kanıt yoksa yorum yapmayız; ama envanter yoksa kanıt da olmaz.