Nadya Bartol: Better cybersecurity starts with honesty and accountability | TED

Transcriber:

Çeviri: Emel Çakır Gözden geçirme: Cihan Ekmekçi

Bugün, utanç verici bir konu ile ilgili konuşacağım.

Bu birçoğumuzun başına geldi ve yüz kızartıcı bir durum

Today, I'm going to talk about a shameful topic.

ama eğer hakkında konuşmazsak hiçbir şey değişmeyecek.

Konumuz hacklenmek.

This has happened to many of us, and it's embarrassing,

Kimimiz tuzak bir linke tıkladık ve bilgisayarımıza virüs indirdik.

but if we don't talk about it, nothing will ever change.

Kimilerimiz kimlik bilgilerini çaldırdı.

It's about being hacked.

Aramızdaki yazılım geliştiriciler,

Some of us have clicked on a phishing link and downloaded a computer virus.

farkında olmadan, güvenlik açıkları olan güvenilmez kodlar yazmış olabilirler.

Some of us have had our identities stolen.

And those of us who are software developers

Bir siber güvenlik uzmanı olarak

sayısız şirketle, siber güvenliklerini geliştirmek üzere çalıştım.

might have written insecure code with security bugs in it

without realizing it.

Benim gibi siber güvenlik uzmanları, şirketlere şu konularda tavsiye verir:

As a cybersecurity expert,

iyi siber güvenlik pratikleri,

I have worked with countless companies on improving their cybersecurity.

gözlem araçları

ve düzgün kullanım alışkanlıkları.

Cybersecurity experts like me have advised companies

Fakat aslında hiçbir aracın çözemeyeceği kadar büyük bir problem görüyorum.

on good cybersecurity practices,

O da yaptığımız hatalarla ilişkilenen utanç.

monitoring tools

and proper user behaviors.

But I actually see a much bigger problem that no tool can fix:

Kendimizi teknolojiyi yakından takip edip iyi kullanıyor diye düşünmek isteriz

ve biz bu kötü etkileri olan hataları yaptığımızda

the shame associated with the mistakes that we make.

hem bizi hem şirketi etkiler,

We like to think of ourselves as competent and tech savvy,

basit bir can sıkıntısından tutun,

çözümü çok uzun süren bir uğraşa,

and when we make these mistakes that can have a really bad impact

işverenimize ve bize pahalıya mal olabilir.

on us and our companies --

anything from a simple annoyance,

Şirketlerin siber güvenliğe harcadıkları milyarlarca dolara rağmen,

to taking a lot of time to fix,

to costing us and our employers a lot of money.

benim gibi uzmanlar aynı problemleri tekrar tekrar görmekte.

Despite billions of dollars that companies spend on cybersecurity,

Size birkaç örnek vereyim.

2015′te Ukrayna hizmetlerin hacklenmesi

practitioners like me see the same problems over and over again.

225.000 müşterinin güç kesintisine sebep oldu

Let me give you some examples.

ve yeniden kurulması aylarca sürdü,

The 2015 hack of Ukrainian utilities

her şey tuzak bir linkle başladı.

that disconnected power for 225,000 customers

Bu arada, 225.000 müşteri 225.000 insandan çok daha fazlasıdır.

and took months to restore back to full operations

started with a phishing link.

Müşteriler bir apartman da olabiliyor

endüstriyel tesis de,

By the way, 225,000 customers is a lot more 225,000 people.

alışveriş merkezi de.

2017 Equifax veri ihlali

Customers can be anything from an apartment building

140 milyon insanın kişisel olarak tespit edilebilir

to an industrial facility

bilgilerini açığa çıkardı

to a shopping mall.

The 2017 data breach of Equifax

ve sonunda Equifax’a yaklaşık 1,4 milyar dolara mal oldu.

that exposed personally identifiable information

of 140 million people

Bu, şirketin müşteri şikayetleri portalındaki

and may ultimately cost Equifax something on the order of 1.4 billion dollars:

iyi bilenen bir zafiyetin kötüye kullanılmasından kaynaklandı.

Temelde, bu teknoloji ve inovasyon hakkında.

that was caused by an exploitation of a well-known vulnerability

in the company's customer consumer complaint portal.

Inovasyon iyidir; Hayatlarımızı daha iyi hale getirir.

Bugün sürdüğümüz araçların çoğu aslında tekerler üzerindeki bilgisayarlardır.

Fundamentally, this is about technology and innovation.

Innovation is good; it makes our lives better.

Trafiğe takılmamak için doğru yolu, bakım için doğru zamanı bize söylerler.

Most of the modern cars we drive today are fundamentally computers on wheels.

Ve bize tüm modern zamanların kolaylığını sağlarlar.

They tell us where to go to avoid traffic, when to take them in for maintenance

Birçoğumuz kalp pili, insulin pombası, şeker ölçüm monitörü gibi

cihazlar kullanılırız.

and then give us all kinds of modern-day conveniences.

Bu cihazlar insan hayatını daha iyi hale getirir

Many people use connected medical devices like pacemakers

ve bazen ömürlerini bile uzatır.

Fakat bir başka cihazla bağlantısı olan her şey bağlantı kurunca hacklenebilir.

and glucose monitors with insulin pumps.

These devices make these people's lives better

and sometimes even extend their lives.

ABD eski başkan yardımcı Dick Chaney’in kalp nakli olmadan önce

But anything that can be interconnected can be hacked when it's connected.

kalp pilinin Wi-Fi bağlantısının kesildiğini biliyor muydunuz?

Nedenini size açıklayayım.

Did you know that the former US Vice President Dick Cheney

Dijital olarak birbirine bağlı bir dünyada her yerde siber risk var.

kept his pacemaker disconnected from Wi-Fi before he received a heart transplant?

I will let you figure out why.

Yıllarca, iş arkadaşlarım ve ben anlaşılması zor olan

In a digitally interconnected world, cyber risks are literally everywhere.

siber güvenlik kültürü kavramı hakkında konuştuk.

Siber güvenlik kültürü bir şirketteki herkesin siber güvenliğin

For years, my colleagues and I have been talking about

kendi işi olduğuna inanması yapılacakları ve yapılmayacakları bilmesi

this elusive notion of cybersecurity culture.

ve doğru olanı yapmasıdır.

Cybersecurity culture is when everybody in the organization

Maalesef, size bunu hangi şirketlerin iyi yaptığını söyleyemiyorum,

believes that cybersecurity is their job,

çünkü eğer söylersem, onları hırslı saldırganlara yem olarak sunmuş olurum.

knows what to do and what not to do

and does the right thing.

Unfortunately, I can't tell you which companies do this well,

Fakat benim yapabileceğim, siber güvenlik hakkında açıkca konuşarak,

because by doing so, I would put a juicy target on their backs

onu daha az gizemli hale getirmektir.

for ambitious attackers.

Bir şirketin içinde gizem veya sır olmamalıdır.

But what I can do is make cybersecurity less mysterious,

bring it out into the open and talk about it.

Bir şey görünmez ve çalışıyor olduğunda

There should be no mystery or secrecy within an organization.

o şey yok olana kadar varlığından haberdar olmayız.

Tuvalet kağıdı misali.

When something is invisible and it's working,

COVID-19 pandemisi başladığında

we don't know that it's there until it's not there.

çoktandır orada olan şey birden bire aşırı önemli oldu

Kind of like toilet paper.

çünkü hiçbir yerde bulamadık.

When the COVID-19 pandemic began,

Siber güvenlik de onun gibi:

Çalışırken bilmeyiz ve umrumuzda olmaz.

what has been there all of a sudden became super important

Ama çalışmıyorken,

because we couldn't find it anywhere.

gerçekten çok ama çok kötü olabilir.

Cybersecurity is just like that:

Tuvalet kağıdı oldukça basit.

when it's working, we don't know, and we don't care.

Siber güvenlik ise gizemli ve karmaşık

But when it's not working,

it can be really, really bad.

ve bence psikolojik güvenlik kavramı ile başlar.

Toilet paper is pretty straightforward.

Bu kavramı popüler hale getiren örgütsel davranışı inceleyen bilim insanı

Cybersecurity is mysterious and complex.

And I actually think it starts with the notion of psychological safety.

Amy Edmondson’dur.

Amy, sağlık ekiplerinin hataların ölümcül olabileceği riskli durumlardaki

This notion was popularized by an organizational behavior scientist,

Amy Edmondson.

davranışlarını çalıştı. Hemşirelerin hekimlere öneri vermede otoriteyi

Amy studied behavior of medical teams in high-stakes situations like hospitals,

sorgulama riskinden rahatsız olduklarını gördü.

where mistakes could be fatal.

And she found out that nurses were not comfortable

Amy, doktorlarca azarlanma ya da aşağılanma korkusu olmadan

bringing up suggestions to the doctors

öneride bulunmaları için sağlık ekiplerinin gelişimine yardım etti.

because of the fear of questioning authority.

Amy helped improve medical teams

Bunun olması için doktorların yargılamadan dinlemesi ve anlayışlı olması gerekiyordu.

to make nurses more comfortable bringing up suggestions to the doctors

for patient treatment

without the fear of being scolded or demeaned.

Psikolojik güvenlik, herkesin rahatça konuşabildiği

For that to happen, doctors needed to listen and be receptive --

ve konuları işaret edebildikleri zaman gerçekleşir.

without judging.

Ben siber güvenliğin de aynı şekilde olmasını istiyorum.

Psychological safety is when everybody is comfortable speaking up

Siber güvenlik uygulayıcılarının korkular ve hatalar hakkında konuşmaya devam eden

and pointing things out.

üst düzey yöneticilere veya yazılım geliştiricilere,

I want cybersecurity to be the same.

önerilerde bulunurken görevden alınma

And I want cybersecurity practitioners to be comfortable bringing suggestions up

korkusu olmadan

to senior executives or software developers,

rahat hissetmelerini istiyorum.

Dijital ürünlerin tasarımından sorumlu kişiler için

without being dismissed as those people who continue to talk about

böyle davranmamak cidden zor

horrors and errors,

and say no.

çünkü temelde tasarım neşe ve gururla ilgili.

Not doing so is really hard

for the individuals who are responsible for the creation of digital products

Bir seferinde üst düzey bir yazılım geliştiricisiyle

daha iyi güvenlik ihtiyacı hakkında konuşmaya çalıştım.

because fundamentally, it's about their pride and joy in their creations.

Ne dedi biliyor musunuz?

“Güvensiz kodlar geliştirdiğimizi mi söylüyorsun?”

I once tried talking to a senior software development executive

Diğer bir söyleyişle, duyduğu şey, “Bebeğin çirkin.” idi.

about the need to do better security.

Peki ya yapmamamız gereken şeylere odaklanmak yerine

You know what he said?

"Are you telling me we're developing insecure code?"

In other words, what he heard was, "Your baby is ugly."

yapmamız gereken şeylere odaklandıysak?

Mesela, nasıl daha iyi yazılımlar geliştirebilir

What if instead of focusing on what not to do,

ve aynı zamanda müşterilerimizin bilgilerini koruyabiliriz?

we focused on what to do?

Ya da kurumumuzun kriz, saldırı altında ya da acil durumda çalışabileceğinden

Like, how do we develop better software

and protect our customer information at the same time?

nasıl emin olabiliriz?

Veya insanların bir şekilde siber güvenlik alanında yaptıkları iyi şeyleri

Or how do we make sure that our organization is able to operate

ödüllendirsek ve cesaretlendirsek

in crisis, under attack or in an emergency?

mesela güvenlik vakalarını rapor etmeleri

And what if we reward good things that people do in cybersecurity in some way

riskli kimlik hırsızlığı epostalarını rapor etmeleri

veya gelişirdikleri yazılımdaki güvenlik hatalarını

and encourage them to do so,

like reporting security incidents,

bulmak ve onarmak gibi.

reporting potential phishing emails,

Bu iyi güvenlik örneklerini performans değerlendirme sistemine koyarak

or finding and fixing software security bugs

önemsemek gibi?

in the software that they develop?

Bu iyi güvenlik örneklerini konuşmamızı ve şirket kapsamında yaygınlaştırarak

And what if we tied these good security actions to performance evaluations

öne çıkarmamızı çok arzu ederim

to make it really matter?

gazete, blog, internet sitesi gibi

I would love for us to communicate these good cybersecurity things

artık her ne şekilde şirket içinde iletişim kuruyorsak.

and encourage them in some sort of company-wide communications

Mesela şirket en çok güvenlik tehdidini bulan ve bunları iki hafta içinde onaran

like newsletters, blogs, websites, microsites --

whatever we use to communicate to our organization.

kişiyi ödüllendirmek için yarışma açsa

What if a company announced a competition for who finds the most security bugs

ve her çeyrekte büyük bir sanal toplantıda kazanını açıklasa

kazanan kişileri ödüllendirse

and fixes them in a two-week development sprint

tabii anlamlı bir ödülle,

and then announces the winner of the competition for the quarter

bir haftalık tatil veya bonus gibi.

at a large company virtual town hall,

Diğerleri bu ödüllendirme ve kutlamayı görse

and then rewards these people, these winners, with something meaningful,

onlar da aynı şeyi yapmak isteyeceklerdir.

Enerji sektöründe,

like a week's vacation or a bonus.

gerçekten güçlü bir güvenlik kültürü var.

Others will see the celebration and recognition,

İnsanlar bu kültürü önemsiyor ve onunla gurur duyuyorlar

and they'll want to do the same.

ve kimsenin zarar görmediğinden emin olmak için

In the energy industry,

there is a really strong culture of safety.

bu kültüre toplu bir destek var.

People care about this culture, are proud of it,

Bu güvenlik bilincini sergileyip devam ettirmek için yaptıkları şeylerden

and there is a collective reinforcement of this culture

biri son güvenlik olayından itibaren geçen gün sayısını saymak ve göstermek.

to make sure that nobody gets hurt.

One of the ways they exhibit and keep this safety conscious culture going

Böylece herkes bu sayıma yeniden başlamamak için gerçekten sıkı çalışıyor

is by counting and visibly displaying days since the last safety incident.

çünkü baştan başlamak birşeyler ters gitti demektir.

Siber güvenlik de güvenlik ile aynı.

And then everybody works really hard not to have that count go back to zero

Eğer hepimiz

son siber güvenlik vakasından sonra sayılan günleri

because that means that somebody did get hurt.

Cybersecurity is the same as safety.

sonsuza dek tutsaydık

ve bir daha sıfırlanmamasını sağlasaydık ne olurdu?

What if we all agree

to keep that count of days since the last cybersecurity incident

Ve belirli şeyler kırmızı çizgimiz

ve şirketimizde açık bir iletişimle bu kırmızı çizgileri anlatsak

going on forever

and then work really hard not to have it reset to zero?

kolayca sindirilebilecek ve hatta eğlenilebilecek yollarla,

And then certain things are a no-no,

mesela oyunlaştırma ve simülasyon gibi,

and we need to clearly communicate to our organizations what they are

herkesin bunu hatırlayabileceğine emin olmak için.

in an easily digestible and maybe even fun way,

Ve birileri yapmamaları gereken bir şey yaptıklarında

like gamification or simulations,

sonuçlarına katlanmaları gerekir.

Mesela, eğer bir çalışan Amazon veya eBay’den bir ürün alırlarsa

to make sure that people can remember this.

And if somebody does something they're not supposed to do,

veya kişisel Dropbox’larını şirket için kullanırlarsa

they should face some sort of consequences.

So, for example, if an employee buys equipment on Amazon or eBay

bunun sonuçlarıyla yüzleşmeleri gerekir.

Aynı şey, üst düzey yöneticiler için de geçerli,

or uses personal Dropbox for their company business,

tıpkı sıradan çalışanlar gibi,

yoksa insanlar kuralların gerçekliğine inanmazlar

then they should face some sort of consequences.

ve eski davranışlarına geri dönerler.

And when this happens, executives should get the same treatment

Hatalar hakkında konuşmanın kötü bir tarafı yok

as regular employees,

ama bir ergen kuralları ihlal ettiğinde bize söyler

because if they don't, then people won't believe that it's real

and will go back to their old behaviors.

ve biz de bu iletişimi takdir ederiz

It's OK to talk about mistakes,

ama yine de bir çeşit sonucu olmalıdır.

but just like a teenager who violates the rules tells us about it,

Siber güvenlik bir serüven.

we appreciate that they told us about it,

Bir varış yeri değil

but there should still be some sort of consequences.

ve üzerinde çalışmaya devam etmeliyiz.

Siber güvenlik çalışanlarını tebrik etmeliyiz

Cybersecurity is a journey.

çünkü adeta kahramanlar.

It's not a destination,

Eğer derin düşünürsek aslında itifaiye personeli gibiler,

and we need to keep working on it.

acil servisteki doktor ve hemşireler,

I would love for us to celebrate cybersecurity people

polis memurları, iş stratejistleri gibi

like the heroes that they are.

If we think about it, they are firefighters,

aynı kişilik özellikleri gerektirir.

Ve bize çok sevdiğimiz modern hayatımızı korumak için yardımcı olurlar.

emergency room doctors and nurses,

law enforcement, risk executives and business strategists

Kimliklerimizi, buluş ve eserlerimizi korurlar.

all in the same persona.

And they help us protect our modern life that we like so much.

elektrik hatlarını, tıbbi cihazları,

bağlantılı arabaları ve sayısız diğer şeyleri.

They protect our identities, our inventions, our intellectual property,

Ben bu ekipte olmak istiyorum.

İtiraf edelim ki bu uzun bir birliktelik,

our electric grid, medical devices,

connected cars and myriad other things.

hep birlikte güvenli bir alan oluşturup hatalarımızdan öğrenelim

And I'd like to be on that team.

ve herşeyi daha iyi yapmak için söz verelim.

So let's agree that this thing is with us to stay,

Teşekkürler.

let's create a safe environment to learn from our mistakes,

and let's commit to making things better.

Thank you.