Devletlere güvenlik mürekkepleri, ürün doğrulama ve izlenebilirlik çözümleri sunan SICPA, bu kez kendi bilgi güvenliğine ilişkin iddialarla gündemde. Şirket, resmî tanıtımlarında hükümetlere, merkez bankalarına ve yüksek güvenlikli belge üreticilerine hizmet verdiğini belirtiyor. SICPA’nın faaliyetleri
The Ledgers’a ulaşan ihbarda, SICPA çalışanları arasında gerçekleşen yazışmaların ekran görüntüleri paylaşıldı. Görüntülerde, şirketin kendi denetim ve güvenlik testlerinde ortaya çıkan sorunlara ilişkin uyarılar bulunuyor.
Erişim yetkilerinde “yüksek risk” uyarısı
Erişim haklarının periyodik olarak gözden geçirilmesini konu alan e-postada şu ifade yer alıyor:
“2021 yılında yapılan denetimde aşağıdaki bulgunun hala açık olduğu bildirildi.”
Mesajdaki denetim tablosunda, eski bir SICPA çalışanının yönetici yetkilerini ve hassas dosyalar içeren ortak sunuculara erişimini koruduğu belirtiliyor. Ayrıca “DNS” olarak anılan personelin dizüstü bilgisayarlar, e-posta hesapları, yazılımlar ve yerel SAP sistemi dâhil şirketin bilgi teknolojisi kaynaklarına erişimi ele alınıyor.
Risk seviyesi tabloda “High”, yani “yüksek” olarak gösteriliyor. Aynı kayıtta, DNS personelinin SICPA Türkiye’nin SAP sistemine erişiminin sürdüğü belirtilerek bulgunun giderilmediği aktarılıyor. Erişimlerin ayrıntılı biçimde incelenmesi ve etki değerlendirmesi yapılması isteniyor.
Mesajın devamında erişimlerin yıllık olarak kontrol edilip kayıt altına alınıp alınmadığı ve SAP’ye erişebilen DNS personelinin hangi bilgilere ulaşabildiği soruluyor. Böylece yazışma, yalnızca bir risk tespitini değil, erişim yetkilerinin takibine ilişkin açıklama ihtiyacını da ortaya koyuyor.
Hassas dosyaların korunması
Aynı gün gönderildiği görülen diğer e-postada ise kişisel, hassas ve gizli bilgilerin korunmasına ilişkin bir denetim bulgusunun devam ettiği belirtiliyor. Aktarılan bulgu, bilgi sınıflandırma standardına uyulmaması ve önleyici ya da tespit edici kontrollerin bulunmaması nedeniyle yetkisiz erişim riski oluşabileceğine işaret ediyor.
Önerilen önlem, gizli ve hassas dijital dosyaların şirketin bilgi koruma aracı kullanılarak sınıflandırılması ve şifrelenmesi. E-posta alışverişleri, ortak klasörlerdeki dosyalar ve çalışanların dizüstü bilgisayarlarında tutulan belgeler bu kapsamda sayılıyor. Çalışanlara hatırlatma veya kısa eğitim yapılması ve uygulamanın düzenli aralıklarla kontrol edilmesi de gündeme getiriliyor.
Parola testinde yaklaşık 1.800 hesap
23 Şubat 2023 tarihli bir başka yazışmada, şirketin güvenlik biriminin Kasım 2022’de bir parola kırma testi gerçekleştirdiği belirtiliyor. Aynı mesaj, 2021’de yapılan önceki testte SICPA’da yaklaşık 1.800 hesabın parolasının kırıldığını aktarıyor. Yazışmada, son testte parolası kırıldığı belirtilen bir kullanıcı için parolanın derhal değiştirilmesi isteniyor.
Buradaki 1.800 hesap bilgisi, yazışmada şirketin kendi güvenlik testi kapsamında veriliyor; hesapların tamamının Türkiye operasyonuna ait olduğu belirtilmiyor. Güvenlik testi yapılması başlı başına bir ihlal anlamına gelmiyor. Haber açısından belirleyici nokta, test ve denetimlerde bulunan eksikliklerin ardından hangi önlemlerin, ne zaman uygulandığı.
Sektörde kamuoyuna açıklanan diğer olaylar
Güvenlik teknolojisi sağlayan şirketlerin kendi sistemlerini koruma sorumluluğu, geçmişte kamuoyuna açıklanan başka olaylarda da tartışıldı. Farklı alanlarda çalışan bu şirketlerin yaşadığı olaylar, SICPA hakkındaki iddialardan ayrı değerlendirilmekle birlikte sektörün karşı karşıya olduğu riskleri gösteriyor:
| Şirket | Yıl | Kamuoyuna açıklanan olay |
|---|---|---|
| Entrust | 2022 | Dijital kimlik ve veri güvenliği şirketi, iç operasyonlarında kullanılan sistemlere yetkisiz erişim gerçekleştiğini ve veri alındığını doğruladı. Şirket açıklamasını aktaran haber |
| RSA Security | 2011 | Şirket, sistemlerinden bilgi çıkarıldığını ve bunların bir bölümünün SecurID kimlik doğrulama ürünleriyle ilgili olduğunu açıkladı. RSA’nın açıklaması |
| FireEye | 2020 | Güvenlik testlerinde kullanılan araçların çalındığını duyurdu; saldırıyı devlet destekli bir aktöre bağladı. FireEye’ın açıklaması |
| Okta | 2023 | Müşteri destek sistemindeki ihlalde, destek sistemi kullanıcılarının ad ve e-posta adreslerini içeren bir raporun alındığını açıkladı. Okta’nın güncellemesi |
| Verkada | 2021 | Kamera platformundaki ihlalde müşterilerin görüntü verilerine erişildi. İlk açıklamadaki 95 müşteri sayısı, sonraki olay raporunda 97 olarak güncellendi. Verkada’nın olay raporu |
| G4S | 2022 | Avustralya operasyonunda 5 Temmuz’da gerçekleşen siber olayın ardından bazı bilgilerin yetkisiz üçüncü tarafça internette yayımlandığını açıkladı. G4S’in bildirimi |
| Thales | 2022 | LockBit’in şirketle ilgili veriler yayımlamasının ardından, kendi BT sistemlerine sızma tespit edilmediğini bildirdi. Belirlenen kaynaklardan birinin, iş birliği portalındaki bir iş ortağı hesabı olduğunu açıkladı. Thales’in 11 Kasım 2022 açıklaması |
Yanıt ve güncel durum
Şirketin bu özel yazışmalara ilişkin yanıtı da mevcut materyalde bulunmuyor. İddiaların kapsamını belirleyecek başlıca unsurlar, özgün e-postalar, ilgili denetim raporları, bulguların kapatılma kayıtları ve SICPA’nın açıklaması olacak.
Paylaşılan görüntüler 23–24 Şubat 2023 tarihlerini taşıyor. Bu görüntüler, bulguların söz konusu tarihlerden sonraki durumunu tek başına göstermiyor.
