Yapay Zeka Çağında Siber Güvenliğin Gücü Temellerden Geliyor

Canon EMEA yöneticisi Quentyn Taylor, uç nokta ve tedarik zinciri güvenliğine dikkat çekti.

Yapay zeka çağında siber güvenlik, giderek gelişen saldırı teknikleri kadar kurumların temel güvenlik uygulamalarına da bağlı. Canon EMEA Bilgi Güvenliği Kıdemli Direktörü Quentyn Taylor, uç noktaların korunması, çalışan farkındalığı ve tedarik zinciri güvenliğinin kurumların siber dayanıklılığında belirleyici rol oynadığını vurguluyor.

Siber saldırılar her geçen yıl daha hızlı, daha kişiselleştirilmiş ve daha geniş ölçekli hale geliyor. Ancak saldırganların kurumlara erişmek için kullandığı giriş noktalarının önemli bölümü tanıdık risklerden oluşuyor.

Güncellenmeyen cihazlar, ele geçirilen kullanıcı bilgileri, korunmayan yazıcılar ve tedarikçi kaynaklı açıklar kurumların güvenlik zincirindeki zayıf halkalar arasında yer alıyor. Yapay zeka ise bu açıkların daha hızlı bulunmasını ve daha büyük ölçekte kullanılmasını kolaylaştırıyor.

Yapay zeka siber saldırıların ölçeğini büyütüyor

Yapay zeka, siber suçluların daha az teknik bilgiyle daha gelişmiş saldırılar hazırlamasına yardımcı oluyor. Büyük veri kümelerini kısa sürede analiz edebilen sistemler, hedefe özel mesajların ve ikna edici içeriklerin hazırlanmasını kolaylaştırıyor.

Kimlik avı mesajlarında kişinin iletişim tarzı taklit edilebiliyor. Yerel bilgiler ve güncel gelişmeler saldırı senaryolarına eklenebiliyor. Deepfake görüntü ve sesler de sosyal mühendislik çalışmalarını daha inandırıcı hale getirebiliyor.

Yapay zeka destekli kodlama araçları, kötü amaçlı yazılım üretiminde de kullanılabiliyor. Bu durum, teknik yeterliliği sınırlı saldırganların daha karmaşık yöntemlere erişmesini sağlıyor.

Aynı teknoloji güvenlik ekiplerine de yeni olanaklar sunuyor. Güvenlik açığı taramaları hızlandırılabiliyor. Riskler önem seviyelerine göre sınıflandırılabiliyor. Hatalı uyarıların azaltılması da ekiplerin gerçek tehditlere odaklanmasını kolaylaştırıyor.

Gerçek zamanlı tehdit avcılığı, şüpheli sistemlerin daha erken izole edilmesine yardımcı oluyor. Böylece olay müdahale ekipleri saldırının yayılmasını sınırlandırabiliyor.

Uç nokta sayısı arttıkça saldırı yüzeyi genişliyor

Uzaktan ve hibrit çalışma modelleri, kurumların yönetmek zorunda olduğu uç nokta sayısını artırdı. Dizüstü bilgisayarlar, akıllı telefonlar, tarayıcılar, kurumsal uygulamalar ve yazıcılar aynı ağın parçaları haline geldi.

Bu cihazların her biri kurumsal sistemlere açılan potansiyel bir kapı oluşturuyor. Çalışanların kişisel cihazlardan veya yeterli koruma bulunmayan bağlantılardan sisteme erişmesi de riski büyütüyor.

Uç nokta güvenliğinin yalnızca zararlı yazılımları engelleyen çözümlerle sınırlandırılmaması gerekiyor. Şifreleme, kimlik doğrulama, uygulama kontrolü, düzenli güncelleme ve sürekli izleme aynı güvenlik yapısı içinde ele alınmalı.

Ağa bağlı cihazların güncel bir envanterinin tutulması da bu sürecin temel adımlarından biri. Kurumların sahip oldukları cihazları, kullanılan yazılım sürümlerini ve bu cihazlara kimlerin erişebildiğini görebilmesi gerekiyor.

Yazıcılar kurumsal güvenliğin görünmeyen riskini taşıyor

Yazıcılar, uç nokta güvenliği çalışmalarında sıkça gözden kaçan cihazlar arasında yer alıyor. Oysa bu cihazlar hassas belgeleri işliyor, veri depoluyor ve kurumsal ağlara bağlı şekilde çalışıyor.

Quocirca’nın 2025 Baskı Güvenliği Araştırması’na göre standartlaştırılmış yazıcı filolarında baskı süreçleriyle bağlantılı veri ihlallerinin ortalama maliyeti 630 bin sterline ulaşıyor. Çok markalı yazıcı filolarında ise bu maliyet 937 bin sterline kadar çıkıyor. Araştırmaya katılan BT karar vericilerinin yüzde 56’sı son bir yıl içinde baskı kaynaklı en az bir veri kaybı yaşadığını belirtiyor.

Araştırmada evden yapılan baskı işlemlerinin güvenliği ve belgelerin izinsiz yazdırılması, katılımcıların yüzde 28’i tarafından öncelikli risk olarak gösteriliyor. Baskı altyapısındaki güvenlik açıklarının belirlenmesi ise katılımcıların yüzde 25’inin öncelikleri arasında bulunuyor.

Bu tablo, yazıcıların yalnızca fiziksel belge üreten araçlar olarak görülmemesi gerektiğini gösteriyor. Kimlik doğrulama, erişim kontrolü, güvenli baskı, veri şifreleme ve güncel cihaz yazılımları baskı altyapısının temel güvenlik unsurları arasında yer alıyor.

Tedarik zincirindeki zayıf halka tüm kurumu etkiliyor

Kurumlar, operasyonlarını sürdürebilmek için bulut sağlayıcıları, yazılım şirketleri, destek hizmetleri ve farklı teknoloji tedarikçileriyle çalışıyor. Bu bağlantılı yapı, iş süreçlerini hızlandırırken yeni saldırı yüzeyleri de oluşturuyor.

Bir tedarikçinin ele geçirilmesi, saldırganların hizmet verdiği diğer kurumlara ulaşmasına imkan verebiliyor. Bu nedenle şirketlerin yalnızca kendi sistemlerini koruması yeterli kalmıyor.

Tedarikçilerin güvenlik politikaları, erişim seviyeleri ve olay müdahale süreçleri düzenli olarak değerlendirilmeli. Kurumlar ayrıca hizmet sağlayıcıların hangi verilere erişebildiğini ve bu verileri nasıl koruduğunu açık biçimde izlemeli.

Sözleşmelere eklenen güvenlik maddeleri de tek başına koruma sağlamıyor. Teknik kontrollerin uygulanması, erişimlerin sınırlandırılması ve tedarikçi performansının sürekli takip edilmesi gerekiyor.

DORA finans sektöründe teknoloji riskini merkeze aldı

Avrupa Birliği’nin Dijital Operasyonel Dayanıklılık Yasası DORA, 17 Ocak 2025’ten bu yana uygulanıyor. Düzenleme, finansal kuruluşların bilgi ve iletişim teknolojileri risklerini daha bütünsel biçimde yönetmesini amaçlıyor.

DORA kapsamında finansal kuruluşların teknoloji kaynaklı olaylara hazırlık seviyelerini test etmesi gerekiyor. Kritik teknoloji tedarikçileriyle yapılan sözleşmelerin izlenmesi ve bu ilişkilerin ayrıntılı kayıtlarının tutulması da yükümlülükler arasında bulunuyor.

Bu yaklaşım, üçüncü taraf teknoloji riskini finans sektörünün temel denetim alanlarından biri haline getiriyor. Bankalar, sigorta şirketleri, ödeme kuruluşları ve yatırım şirketleri yalnızca kendi sistemlerinin güvenliğinden sorumlu tutulmuyor. Kullandıkları dış hizmetlerin yarattığı riskleri de yönetmeleri bekleniyor.

NIS2’nin Avrupa’daki uygulama süreci devam ediyor

NIS2, Avrupa Birliği genelinde 18 kritik sektörü kapsayan ortak bir siber güvenlik çerçevesi sunuyor. Üye ülkelerin düzenlemeyi ulusal hukuklarına aktarmaları için belirlenen süre 17 Ekim 2024’te sona erdi.

Ancak uygulama süreci tüm ülkelerde aynı hızda ilerlemedi. Avrupa Komisyonu, 8 Temmuz 2026’da İrlanda, İspanya, Fransa ve Hollanda’yı düzenlemeyi tam olarak ulusal hukuka aktarmadıkları gerekçesiyle Avrupa Birliği Adalet Divanı’na sevk etti.

NIS2, kritik sektörlerde faaliyet gösteren kurumlara risk yönetimi, olay bildirimi ve tedarik zinciri güvenliği alanlarında daha kapsamlı sorumluluklar getiriyor.

Siber Dayanıklılık Yasası için Eylül 2026 kritik eşik

Avrupa Siber Dayanıklılık Yasası, dijital bileşen içeren ürünler için yaşam döngüsü boyunca güvenlik sorumluluğu getiriyor.

Düzenlemenin genel hükümleri 11 Aralık 2027’den itibaren uygulanacak. Aktif biçimde kullanılan güvenlik açıkları ile ciddi güvenlik olaylarına ilişkin bildirim yükümlülükleri ise 11 Eylül 2026’da başlayacak. Uygunluk değerlendirme kuruluşlarına yönelik bildirim hükümleri 11 Haziran 2026’da yürürlüğe girdi.

Bu takvim, yazılım ve bağlantılı cihaz üreticileri için hazırlık süresini daraltıyor. Şirketlerin güvenlik açıklarını nasıl tespit edeceğini, raporlayacağını ve gidereceğini şimdiden belirlemesi gerekiyor.

Ürün güvenliğinin tasarım aşamasında ele alınması da yeni dönemin ana gereklilikleri arasında yer alıyor. Güvenlik güncellemelerinin ürünün kullanım ömrü boyunca sürdürülebilmesi önem kazanıyor.

Güvenlik temelleri geleceğe hazırlığın ilk adımı

Kuantum bilişim ve gelişmiş yapay zeka modelleri gelecek dönemin risk gündeminde önemli yer tutuyor. Ancak kurumların bugünkü açıklarını kapatmadan yalnızca geleceğin tehditlerine odaklanması koruma seviyesini artırmıyor.

Çalışanların düzenli eğitim alması, güçlü kimlik doğrulama yöntemlerinin kullanılması ve cihazların güncel tutulması temel güvenlik adımlarını oluşturuyor. Yazıcılar dahil tüm uç noktaların izlenmesi de saldırı yüzeyinin kontrol edilmesini sağlıyor.

Kurumların olay müdahale ve kurtarma planlarını masa başı tatbikatlarla test etmesi gerekiyor. Kritik sistemlerin hangi sırayla yeniden devreye alınacağı da güvenlik olayı yaşanmadan önce belirlenmeli.

Siber dayanıklılık, yalnızca saldırıyı engelleme yeteneğiyle ölçülmüyor. Kurumların olayı tespit etme, etkisini sınırlandırma ve faaliyetlerini güvenli biçimde yeniden başlatma kapasitesi de aynı ölçüde önem taşıyor.

Finans sektöründe yapay zeka kullanımı büyürken saldırı yüzeyi de genişliyor. Bankalar ve fintekler, yapay zeka modellerini müşteri hizmetleri, kredi değerlendirme, dolandırıcılık analizi ve yazılım geliştirme süreçlerine taşıyor. Her yeni entegrasyon, korunması gereken yeni veri akışları ve erişim noktaları yaratıyor.

Canon’un temel güvenlik uygulamalarına yaptığı vurgu bu açıdan yerinde. Sektör çoğu zaman en yeni tehditlere ve ileri teknoloji çözümlerine odaklanıyor. Buna karşılık güncellenmeyen bir cihaz, fazla yetkiye sahip bir tedarikçi hesabı veya korunmayan bir yazıcı saldırganlara ihtiyaç duydukları erişimi sunabiliyor.

DORA’nın finansal kuruluşlar üzerindeki etkisi de burada daha görünür hale geliyor. Düzenleme, teknoloji tedarikçilerini ve dış kaynak kullanımını kurumların ana risk yönetimi çerçevesine taşıdı. Finansal kuruluşların kullandıkları yapay zeka servislerinin, bulut altyapılarının ve yazılım sağlayıcılarının risklerini aynı bütünlük içinde izlemesi gerekiyor.

Yapay zeka savunma ekiplerine hız kazandırabilir. Ancak güçlü kimlik yönetimi, güncel cihaz envanteri, çalışan farkındalığı ve test edilmiş kurtarma planları bulunmadığında bu hız tek başına yeterli koruma sunamaz. Fintekler açısından güvenlik yatırımlarının değeri, yalnızca saldırıları durdurmasıyla ölçülmeyecek. Hizmet sürekliliğini ve müşteri güvenini ne kadar koruduğu da belirleyici olacak.