Global yazılım probleminden çıkarılacak dersler

AA ANKARA (AA) - TOBB Türkiye Yazılım Meclisi Başkanı Ertan Barut, AA muhabirine yaptığı açıklamada, CrowdStrike Falcon yazılımındaki bir güncelleme evresinde ortaya çıkan yanılgının, yazılımın fonksiyonsuz hale gelmesine ve dünya genelinde Windows sistemlerinde mavi ekran kusuruna, akabinde da windows işletim sisteminde çökmelere neden olduğunu söyledi.

• Küresel 'restart': Dünya çapında işletmeleri etkileyen büyük bir yazılım sorunu yaşanıyor
• Bilgisayar sistemlerindeki global yazılım sorunu nedeniyle dünya genelinde hava trafiği aksadı

Bu yanlışın, aygıtların olağan biçimde başlatılmasını engelleyerek dünya genelinde binlerce aygıtı etkilediğine işaret eden Barut, münasebetiyle da dünyada binlerce şirket tarafından hizmet alınan Microsoft Azure bilgi merkezlerindeki sunucuların da etkilenmeye başladığını, sunucular ve servislerin durmasıyla küresel ölçekte tüm ünitelerde hizmet kesintileri ortaya çıktığını belirtti. Bu kesintilerin, Avustralya, ABD ve Avrupa'da geniş çapta tesirler yarattığını söyleyen Barut, "Bankalarda finansal süreçlerde gecikmeler ve online hizmetlerde erişim sorunları yaşandı. Havayollarında uçuş iptalleri ve gecikmeler meydana geldi. Medya hizmetlerinde yayın kesintileri ve bilgi akışında aksamalar görüldü. Sıhhat hizmetlerinde tabipler, hasta notlarına, kan testlerine ve görüntüleme sonuçlarına erişemediler. Telekom hizmetlerinde aksamalar ve kesintiler yaşandı." dedi. "Bağımlılıklar azaltılmalı" Bilişim ve bağlantı teknolojilerinin yaygınlaşmasıyla birlikte tüm yazılım, donanım ve servislerin bulut ortamlarına taşınarak, data merkezlerindeki bilgisayar, sunucu ve internet bağlantı ağları üzerinden yürütüldüğünü söz eden Barut, münasebetiyle bu yapılardaki birkaç dakikalık aksamaların, kesintilerin önemli aksamalara, sorun yaşanmasına ve bir sürü kayıplara neden olabildiğini belirtti. Barut, bu durumun, birebir vakitte siber güvenlik taarruzlarına karşı siber savunma sistemlerinin ne kadar değerli olduğunu ve tüm bu yapılarda kullanılan yazılımların ehemmiyetini bir sefer daha öne çıkardığını vurguladı. Şirketlerin bu cinsten senaryolara karşı her an hazır olması ve tedbirler alması gerektiğini lisana getiren Ertan Barut, "Herhangi bir donanıma ya da yazılıma olan bağımlılıkları azaltılmalıdır. Ülkeler kendi network, ağ, data merkezlerini kurarak, kendi yazılımlarını geliştirerek ve bilhassa kritik altyapılarında kullanarak bağımlılıklarını azaltmalıdır. Farklı sistemlerin ve yazılımların kullanılması, tek bir kusurun tüm sistemi etkileme riskini azaltacaktır." dedi. Risklere karşı daima önden koşmak gerekiyor Kritik sistemler için tertipli yedekleme ve tesirli acil durum kriz anı kurtarma planları oluşturmasının değerine işaret eden Barut, emsal risklerin en aza indirilebilmesi için tekliflerini şöyle sürdürdü: "Yazılım ve sistemler sistemli olarak güncellenmeli, 7/24 izlenmeli, sıklıkla denetlenmeli ve tespit edilen güvenlik açıkları da hızla kapatılmalıdır. En küçük bir vakit dilimi boşluğundan her an sızmaya hazır hackerlara fırsat verilmemelidir. Mümkün tehditleri evvelden tespit etmek için proaktif izleme ve tehdit istihbaratı sistemleri kullanılmalıdır. Sistemler tertipli olarak risk tahliline tabi tutulmalı ve potansiyel zayıflıkları belirlenmelidir. İleri seviye siber güvenlik yazılımları kullanılmalı ve proaktif tehdit istihbaratına sahip olunmalıdır. Uzman mühendisler yanında şirket içi çalışanlara tertipli olarak siber güvenlik eğitimleri verilmeli, farkındalık artırılmalı, yeni tehditler hakkında bilgilendirilmelidirler. Üniversitelerde ve meslek okullarında siber güvenlik konusunda kapsamlı eğitim programları düzenlenmelidir. Üniversiteler ve özel kuruluşlar işbirliği yaparak siber güvenlik uzmanları yetiştirmelidir. Siber güvenlik uzmanlarının yetkinliklerini artırmak için sertifikasyon programları teşvik edilmelidir." Bu altyapılar nasıl güçlü tutulabilir? Ertan Barut, bilişim ve bağlantı altyapılarını güçlü tutmak için "Ulusal Milli DNS ve Ağ" yapıları kurulması, güçlü ve inançlı ulusal data merkezleri oluşturulması, yerli ve ulusal sunucu işletim sistemleri, yerli idare yazılımları, siber güvenlik yazılımları, bilgisayar ve bağlantı donanımlarının geliştirilmesine daha çok yük verilmesi gerektiğini söyledi. Barut, tüm bunları desteklemek için de ulusal data merkezi yazılımları, siber güvenlik yazılım ve teknolojileri, eserleri ve şirketlerinin teşvik edilmesi gerektiğini belirtti. Merkeziyetsiz yapıların ve blockchain teknolojisinin entegrasyonunun, bu cins risklerin en aza indirilmesinde kıymetli rol oynayacağına işaret eden Barut, "Bu nedenle Blockchain ve Web3 teknolojilerine daha tesirli yatırımlar yapmalı, yazılımlar, platformlar geliştirilmeli, inançlı ve merkeziyetsiz yapılar oluşturarak, tek bir merkeze bağlı kalmaksızın sistemlerin devamlılığı sağlanmalıdır." tabirini kullandı. Ertan Barut, ayrıyeten ana sistemlerin birebiri olan "ikiz yapılar" oluşturulması ve ana sistemin çökmesi durumunda ikiz yapıların devreye alınması gerektiğini kaydetti. Güncelleyelim derken devre dışı bırakmak SwordSec Siber Güvenlik Teknolojileri AŞ Kurucu Ortağı ve Genel Müdürü Seyfullah Kılıç da CrowdStrike üzere teknoloji devlerinin bu tıp sıkıntılarla müsabakasının birkaç temel nedeni olabileceğini söyledi. Genellikle yeni özellikler eklemek, güvenlik açıklarını kapatmak ve mevcut yanılgıları düzeltmek için yapılan yazılım güncellemelerinin bir yanılgı yahut gözden kaçan bir uyumsuzlukla beklenmedik sonuçlara yol açabileceğini söz eden Kılıç, güncelleme öncesinde kâfi test yapılmamasının, bilhassa çeşitli sistem ve konfigürasyonlarda testlerin eksik kalmasının, bu çeşit sorunların ortaya çıkmasına neden olabileceğini lisana getirdi. Kılıç, farklı işletim sistemleri ve yazılım versiyonları ortasında uyumluluk meseleleri yaşanabileceğini ve bu durumun büyük kurumsal sistemlerde daha bariz hale geleceğini vurguladı. Bu çeşit sorunların önlenmesi için öncelikle güncellemelerin farklı sistemlerde ve konfigürasyonlarda kapsamlı biçimde test edilmesi gerektiğini belirten Kılıç, "Güncellemelerin tüm sistemlere tıpkı anda dağıtılmak yerine evreli olarak ve denetimli bir halde dağıtılması, mümkün kusurların erken tespit edilmesini sağlar. Ayrıyeten güncellemeler sırasında oluşabilecek problemlerin süratlice geri alınabilmesi için tesirli geri alma sistemlerinin kurulması değerlidir." dedi. Siber atak riski daima güncel Bu ve gibisi olaylarda siber taarruz ihtimalini de göz arkası etmenin mümkün olmadığı yorumunda bulunan Kılıç, "Günümüzde büyük teknoloji şirketleri daima olarak siber tehditlerle karşı karşıya kalmaktadır. Bu tıp bir sorun, berbat niyetli bir taarruzun sonucu da olabilir. Fakat bu çeşit olayların çoklukla ayrıntılı incelemeler ve tahlillerle kesin olarak belirlenmesi gereklidir. Şayet bir siber akın kelam hususuysa, şirketin olay sonrası tahlillerini yaparak, atağın nasıl gerçekleştiğini ve hangi güvenlik zafiyetlerinin kullanıldığını belirlemesi kıymetlidir. Bu, gelecekte benzeri atakların önlenmesi için gerekli tedbirlerin alınmasını sağlar." diye konuştu. Seyfullah Kılıç, global çapta yaşanan sorunun benzerinin yaşanmaması için şu tekliflerde bulundu: "Öncelikle yazılım güncellemeleri için daha sıkı ve ayrıntılı siyaset ve prosedürlerin oluşturulması gereklidir. Bu siyasetler, test süreçlerini, geri alma düzeneklerini ve acil durum planlarını içermelidir. Bilgi teknolojileri işçisinin sistemli olarak eğitilmesi ve mümkün problemlere karşı hazırlıklı olmaları sağlanmalıdır. Ayrıyeten sistemlerin ve güncellemelerin daima izlenmesi, mümkün sıkıntıların erken tespit edilmesine ve süratli müdahale edilmesine imkan tanır. Bu cins olaylar, teknoloji devlerinin bile yanlışlardan muaf olmadığını ve daima olarak güzelleştirme ve güncelleme süreçlerine dikkat etmeleri gerektiğini göstermektedir."
Muhabir: Göksel Yıldırım