Pınar Güneş

SearchInform Bilgi Güvenliği Uzmanı

Bu yılın ocak ayında Hollanda’da, bir liman şirketinin sistemlerine siber saldırı gerçekleştiren bir hacker 7 yıl hapis cezasına çarptırıldı. Saldırının arkasındaki amaç pragmatikti: Uyuşturucu sevkiyatı için liman altyapısına erişim sağlamak. Bu vakanın en dikkat çekici yanı ise saldırının gerçekleştirilme şekliydi. Dijital altyapıya erişimin anahtarı, şirket personeli oldu. Suçlular, liman çalışanlarından birini ikna ederek iş bilgisayarına zararlı yazılım içeren bir USB bellek takmasını sağladı.

Bu olay, günümüz denizcilik sektöründe içeriden gelen risklerin, harici siber saldırılar kadar ciddi bir tehdit oluşturduğunu bir kez daha ortaya koyuyor.

Insider Kimdir?

Yukarıdaki örnekte olduğu gibi, insider; suç şebekeleri tarafından devşirilen bir liman veya gemi çalışanı olabilir. Sistemlere ve değerli verilere personel aracılığıyla erişmek, aylarca dışarıdan şifre kırmaya çalışmaktan çok daha hızlı ve kolay olabilir.

İnsider tehditleri genel olarak üç ana kategoriye ayrılır:

• Kasıtlı insider (malicious), bilerek zarar vermek amacıyla hareket eden çalışanları ifade eder.
• İhmalkâr insider (negligent), farkında olmadan güvenlik ihlallerine sebep olan kullanıcıları kapsar.
• Ele geçirilmiş insider (compromised) ise kullanıcı hesabının saldırganlar tarafından kontrol altına alınması durumudur. 

Günümüzde birçok veri ihlali, doğrudan kötü niyetli çalışanlardan değil, ele geçirilmiş hesaplar üzerinden gerçekleşmektedir.

Denizcilik Sektörü İnsider Tehditlerine Karşı Neden Özellikle Savunmasız?

Dağınık Yapı, Büyük Risk

Her denizcilik şirketi; gemi personeli, kara ofisleri, limanlar, terminaller ve çok sayıda yükleniciden oluşan dağınık bir ekosistemdir. Bu birimler arasında sürekli veri ve komut akışı gerçekleşir. Ancak, bu zinciri oluşturan birimlerin siber güvenlik ve dijital yetkinlik seviyeleri birbirinden farklıdır. Bir noktada katı güvenlik prosedürleri uygulanırken, başka bir noktada alışkanlıklar ve kolaylık ön planda tutulabilir. İşte bu uyumsuzluklar, içeriden kaynaklı riskler için uygun zemini oluşturur.

Potansiyel tehdidin kaynağı sürecin herhangi bir katılımcısı olabilir: Gemi sistemlerini ve haberleşme araçlarını yöneten mürettebat, ticari bilgilere ve kargo dokümanlarına erişimi olan ofis personeli ya da kritik altyapı üzerinde tam yetkiye sahip BT uzmanları bu riskin birer parçasıdır. Erişim seviyesi arttıkça, içeriden kaynaklanabilecek bir olayın etkisi de aynı ölçüde büyür.

Tek Bir Nokta, Tüm Zinciri Vurabilir

Sektörün bir diğer kırılgan noktası da bugün her geminin, limanın veya terminalin küresel, birbirine bağlı bir dijital zincirin parçası olmasıdır. Unutmayalım ki deniz taşımacılığı, dünya ticaret hacminin yaklaşık %80’ini, Türkiye’nin dış ticaretinin ise neredeyse %90’ını oluşturmaktadır.

Bu ölçekte düşünüldüğünde, tek bir noktada yaşanacak insider kaynaklı bir olayın veya buna bağlı gecikmenin bile ciddi operasyonel aksamalara ve önemli mali kayıplara yol açması kaçınılmazdır. Ponemon Institute tarafından yapılan araştırmalar, insider tehditlerinin dışarıdan gelen saldırılardan daha ağır hasarlar verdiğini ve bu zararların telafisinin daha uzun sürdüğünü göstermektedir.

Üstelik bu risk artık yalnızca operasyonel bir mesele değil, aynı zamanda bir uyum ve yönetişim konusudur. ISO/IEC 27001 gibi bilgi güvenliği standartları ile denizcilik sektörü için yayımlanan IMO siber güvenlik rehberleri, kurumların insider tehditlerine karşı önlem almasını zorunlu kılmaktadır. Bu çerçevede yalnızca teknik kontroller değil; süreç yönetimi, erişim disiplini ve çalışan farkındalığını artırmaya yönelik uygulamalar da kritik önem taşır.

Zararı Hesaplayalım

Hollanda limanındaki olaya benzer tek bir olayın bir denizcilik şirketine ne gibi harcamalar getirebileceğine bakalım.

İçeriden bir saldırı sonucu gemi sistemlerine kötü amaçlı yazılım bulaştığını varsayalım. Bu durum büyük olasılıkla geminin bir süre için devre dışı kalmasına yol açacaktır. Gemi sefer yapmadığı ve gelir getirmediği sürece şirket; kira bedeli, operasyonel giderler, liman hizmetleri, elektrik temini ve diğer ilgili hizmetlerin maliyetlerini ödemeye devam eder.

Eğer gemide bozulabilir bir yük varsa, gecikme ürünlerin değer kaybetmesine veya tamamen çöpe gitmesine neden olabilir. Buna ek olarak, olayın kontrol altına alınması ve sistemlerin geri yüklenmesi için yapılacak yüz binlerce, hatta milyonlarca dolarlık harcamalar eklenir. IBM ve Ponemon Institute verilerine göre, bu tür maliyetler yüz binlerce dolardan birkaç milyon dolara kadar ulaşabilmektedir.

Tabloyu tamamlayan bir unsur da regülatörlerin keseceği cezalardır. Türkiye’de KVKK kapsamında 2026 yılı itibarıyla uygulanacak idari para cezaları 1.938 dolar ile 387.794 dolar arasında değişmektedir.

Nasıl Korunmalı?

İç tehditlere karşı korunmanın temeli, modern ve kapsamlı bir siber güvenlik altyapısıdır. İşte bu altyapının merkezinde yer alması gereken temel araçlar:

1. DCAP (Veri Merkezli Denetim ve Koruma)

Çoğu zaman bir insider’ın asıl hedefi sistemin kendisi değil, veridir. Verileri etkin şekilde korumak için öncelikle şirketin hangi verilere sahip olduğunu bilmesi gerekir. 

DCAP sistemleri şunları sağlar:

1) Tüm depolama alanları taranır ve şirketin sahip olduğu veriler tespit edilir.

2) Veriler hassasiyet seviyelerine göre sınıflandırılır.

3) Bu sınıflandırmaya dayanarak dosyalara erişim hakları oluşturulur ve denetlenir.

Yani DCAP, verilerde düzen sağlayarak kritik bilgilerin, işi gereği bu bilgilere ihtiyaç duymayan kişilerin erişimine açılması riskini azaltır.

2. DLP (Veri Sızıntısı Önleme)

DLP sistemleri, farklı veri iletim kanalları üzerinden sızıntı riskini en aza indirmek için kullanılır. Basit DLP çözümleri dosyaların içeriğini analiz eder ve belirlenen politikalara göre hassas bilgilerin şirket dışına gönderilmesini engeller.

DLP sistemleriyle USB bellek gibi harici cihazların kullanımı da kontrol altına alınabilir. Hollanda limanı örneğindeki gibi “yabancı” bir USB bellek aracılığıyla altyapıya bulaşacak kötü yazılımı, üzerinde okuma veya bağlantı yasağı bulunan nispeten basit bir DLP sistemi bile engelleyebilir.

Ayrıca DLP, ISO ve KVKK gibi standartlar ile düzenleyici kurumların gerekliliklerini yerine getirmede de yardımcı olur.

Ancak şunu unutmamak gerekir: İçeriden gelen tehditler her geçen gün daha karmaşık hale geliyor. Günümüzde geleneksel DLP çözümleri çoğu zaman yetersiz kalabiliyor.

Bu nedenle yeni nesil DLP sistemlerine yönelmek büyük önem taşıyor.

Örnekle açıklayalım: Gizli bir belgenin “yanlış” bir alıcıya gönderildiğini düşünün. Bu senaryoda hemen her DLP sistemi tepki verir ve kullanıcı hareketlerinin fark edildiğini anlar. Bunun üzerine tehdit unsuru korkup vazgeçebileceği gibi, tam tersine alternatif yollar aramaya da başlayabilir: Dosya biçimini değiştirmek, şifrelemek, bölmek; verileri düz metin, bağlantı veya ek olarak göndermek; RDP üzerinden aktarmak gibi. Bu tür yöntemlerin sayısı yüzlercedir ve işe yarar bir yol bulana kadar denemelerine devam edebilir.

İşte tam bu noktada yeni nesil DLP sistemlerinin UEBA (Kullanıcı ve Varlık Davranış Analitiği) fonksiyonu devreye girer. Bu çözüm sayesinde kullanıcı davranışları analiz edilir, anomaliler tespit edilir ve güvenlik birimine zamanında bildirim yapılır. Örneğin, normal şartlarda günde 10 dosya ile çalışan bir kullanıcının kısa süre içinde yüzlerce dosyaya erişmeye başlaması sistem tarafından anomali olarak değerlendirilir. Bu tür davranış değişiklikleri erken aşamada tespit edilerek, olası bir veri sızıntısının önüne geçilebilir.

Yeni nesil DLP sistemlerinin bir diğer önemli avantajı ise kullanıcıların aktivitelerini ve iletişimlerine dair verileri depolamasıdır. Bu özellik, daha ayrıntılı incelemeler yapılmasına, olayların gerçek nedenlerinin belirlenmesine ve gelecekte tekrarlanma riskinin düşürülmesine olanak tanır.

3. SIEM (Güvenlik Bilgi ve Olay Yönetimi)

Bu seti, akıllı bir alarm sistemi gibi çalışan SIEM sistemi ile tamamlayabilirsiniz. SIEM, farklı sistemlerden, uygulamalardan ve cihazlardan gelen olayları toplar, analiz eder, birbiriyle ilişkilendirir ve şüpheli sapmalar tespit ettiğinde güvenlik birimini uyarır.

Örneğin, bir kullanıcının gece geç saatte sisteme giriş yapması tek başına tehlikeli görünmeyebilir. Ancak aynı anda alışılmadık bir kaynağa erişim, toplu dosya okuma ve güvenlik mekanizmalarını aşma girişimleri kaydediliyorsa tablo değişir. SIEM, işte bu tür karmaşık olay zincirlerini zamanında fark ederek uzmanların incelemesine sunar.

Sonuç

Bir çalışanın tek bir hatası ya da kasıtlı eylemi, şirkete milyonlarca dolarlık zarara, gecikmelere ve itibar kaybına mal olabilir. Bu nedenle denizcilik sektöründe içeriden gelen tehditlere karşı korunmak, artık sadece bilgi güvenliği meselesi değil, tüm işin sürdürülebilirliği için bir zorunluluk haline gelmiştir.