Tedarik Zinciri (Supply Chain) Saldırıları Nedir?

Tedarik Zinciri (Supply Chain) Saldırıları Nedir? sorusu, kurumların siber güvenlik mimarilerini tasarlarken yanıtlamaları gereken en kritik sorulardan biridir. Bu tehdit modeli, saldırganların doğrudan korunan ana hedef yerine, o hedefin iş birliği yaptığı daha az güvenli üçüncü taraf yazılım, donanım veya hizmet sağlayıcılarını istismar etmesini ifade eder. İşletmelerin dış kaynak kullanımını artırmasıyla birlikte, tedarik zinciri bileşenleri siber korsanlar için birincil giriş kapısı haline gelmiştir. Bu rehber, işletme sahipleri ve bilgi teknolojileri karar vericileri için tedarik zinciri saldırılarının çalışma mantığını, risk boyutlarını, küresel örneklerini ve alınması gereken proaktif teknik önlemleri nesnel bir çerçevede açıklamaktadır.

Tedarik Zinciri Saldırısı Kavramı ve Temel Mekanizması

Tedarik zinciri saldırısı, geleneksel siber güvenlik savunma hatlarını aşmak için geliştirilmiş, dolaylı bir sızma stratejisidir. Güçlü siber güvenlik yatırımları yapan, düzenli sızma testleri (penetration testing) gerçekleştiren ve sıkı erişim kontrolleri uygulayan bir şirket, doğrudan hedef alındığında saldırganların başarılı olma şansı düşüktür. Ancak aynı şirket, operasyonlarını sürdürebilmek için onlarca farklı yazılım lisansı, bulut hizmeti, muhasebe yazılımı veya donanım bileşeni kullanmaktadır. Saldırganlar, yüksek güvenlikli ana hedef yerine, bu hedefe hizmet veren ve güvenlik düzeyi daha düşük olan tedarikçileri (vendor) gözüne kestirir. Bu durum, siber güvenlik literatüründe "güven ilişkisinin istismarı" (exploitation of trust relationship) olarak tanımlanır.

Saldırı mekanizması genellikle çok aşamalı ve sabır gerektiren bir süreçtir. İlk aşamada saldırganlar, hedef şirketin ekosisteminde yer alan bir üçüncü taraf (third-party) iş ortağını tespit eder. Bu iş ortağı, bir yazılım geliştirme firması, veri barındırma merkezi, hatta binanın iklimlendirme (HVAC) sistemini uzaktan yöneten bir teknik servis firması dahi olabilir. İkinci aşamada, bu tedarikçinin sistemlerine sızılır ve tedarikçinin ana müşteriye gönderdiği güncellemeler, kod kütüphaneleri veya donanım bileşenleri manipüle edilir. Kötü amaçlı yazılım (malware) enjeksiyonu doğrudan bu aşamada, yani tedarikçinin henüz kendi güvenli ortamındayken gerçekleşir. Üçüncü aşamada ise güncellenen veya teslim edilen bu bileşen, müşteri tarafından "güvenilir" kabul edildiği için hiçbir ek güvenlik filtresine takılmadan iç ağa entegre edilir ve saldırganlar ana hedefte yetkisiz erişim elde eder.

Hedef Neden Kurumunuz Değil de Tedarikçiniz?

Siber saldırganların doğrudan kurumunuzu hedef almak yerine tedarik zincirinizi seçmesinin arkasında rasyonel ekonomik ve teknik nedenler yatar. Birincisi, maliyet ve efor optimizasyonudur. Sıkı korunan bir kurumsal ağı hacklemek aylar süren araştırma, pahalı sıfır gün (zero-day) açıklarının harcanması ve yüksek tespit edilme riski anlamına gelir. Buna karşın, aynı kuruma veri işleme hizmeti veren küçük ölçekli bir SaaS girişiminin sistemleri genellikle yetersiz bütçe, zayıf şifre politikaları ve eksik yama yönetimi nedeniyle çok daha kolay manipüle edilebilir.

İkinci önemli faktör ise "bire çok" (one-to-many) erişim imkanıdır. Bir siber korsan grubu tek bir popüler yazılım kütüphanesini veya yaygın kullanılan bir BT yönetim aracını sabote ettiğinde, bu aracı kullanan yüzlerce hatta binlerce kuruluşa aynı anda sızma şansı elde eder. Bu durum, saldırının getirisini (ROI) katbekat artırır. Kurumlar, dışarıdan aldıkları hizmetlerin kod tabanına veya donanım şemasına nadiren tam hakimiyet sağlayabilir. Bu şeffaflık eksikliği, tedarik zincirini siber suçlular için mükemmel bir gizlenme alanı haline getirir.

Siber Güvenlikte Üçüncü Taraf (Third-Party) Risklerinin Boyutları

Modern iş dünyasında hiçbir işletme tek başına bir ada değildir. Verimlilik, hız ve maliyet avantajı sağlamak adına dış kaynak (outsourcing) kullanımı, hazır yazılım kütüphaneleri ve bulut altyapıları kaçınılmazdır. Ancak bu durum, kurumun güvenlik sınırlarının (security perimeter) sadece kendi veri merkeziyle sınırlı kalmadığı anlamına gelir. Siber güvenlikte üçüncü taraf (third-party) risk yönetimi yapmayan kurumlar, kontrol edemedikleri bir ekosistemin tüm zafiyetlerini kendi üzerlerinde taşırlar. Üçüncü taraf risklerinin boyutları sadece dijital sistemlerle sınırlı olmayıp, fiziksel cihazlardan insan kaynağına kadar geniş bir yelpazeye yayılır.

Bu riskleri doğru analiz edebilmek ve siber esneklik (cyber resilience) düzeyini artırmak için tedarik zincirini oluşturan katmanları kategorize etmek gerekir. Güvenlik yöneticileri, her bir katmanın kendine özgü tehdit vektörlerini ve sızma yöntemlerini anlamalıdır. Bu kapsamda risk boyutları yazılım, donanım ve dış kaynaklı hizmetler olmak üzere üç ana başlık altında incelenir.

Yazılım Tedarik Zinciri Saldırıları (Software Supply Chain Attacks)

Yazılım tedarik zinciri saldırıları, günümüzde en sık karşılaşılan ve tespiti en zor olan tehdit türlerinden biridir. Bir yazılımın geliştirilme sürecinde kullanılan kaynak kodlar, derleyiciler (compilers), paket yöneticileri, açık kaynak (open-source) kütüphaneler ve üçüncü taraf API'lerin tümü bu zincirin birer halkasıdır. Geliştiriciler, zaman kazanmak adına GitHub veya npm gibi platformlardaki açık kaynak kod kütüphanelerini yoğun şekilde projelerine entegre ederler. Saldırganlar, bu popüler kütüphanelerin içine kötü amaçlı yazılım enjeksiyonu (malware injection) yaparak veya kütüphane sahiplerinin hesaplarını ele geçirerek zararlı kodları resmi güncellemelere dahil ederler.

Bunun bir diğer yöntemi de "bağımlılık karmaşası" (dependency confusion) ve "isim benzerliği" (typosquatting) saldırılarıdır. Saldırganlar, kurumların iç ağlarında kullandıkları özel kütüphane isimleriyle aynı veya çok benzer isimlerde zararlı paketleri genel paket depolarına yüklerler. Geliştirme araçları yanlışlıkla bu genel depodaki zararlı sürümü çekip derlediğinde, tüm uygulama zehirlenmiş olur. Yazılım teslim edildikten sonra dahi, otomatik güncelleme (auto-update) mekanizmaları üzerinden istemci bilgisayarlara sızılması da bu kategorideki kritik riskler arasındadır.

Donanım Tedarik Zinciri Saldırıları (Hardware Supply Chain Attacks)

Donanım tedarik zinciri saldırıları, mikroçip, anakart, ağ yönlendiricisi (router) veya sunucu bileşenlerinin üretim, nakliye veya dağıtım aşamalarında fiziksel olarak manipüle edilmesini içerir. Bu saldırı türü, çok yüksek düzeyde teknik uzmanlık ve genellikle devlet destekli siber casusluk gruplarının (APT) kaynaklarını gerektirir. Üretim bandındaki bir mikroişlemciye yerleştirilen mikroskobik bir "arka kapı" (hardware backdoor), işletim sistemi veya güvenlik duvarı (firewall) yazılımları tarafından tespit edilemez. Çünkü manipülasyon doğrudan fiziksel silikon seviyesinde gerçekleşmiştir.

Donanım tabanlı müdahaleler, cihazın firmware (bellenim) seviyesinde de yapılabilir. Nakliye esnasında ele geçirilen bir ağ cihazının bellenimi değiştirilerek, veri trafiğini saldırganların sunucularına yönlendirecek bir konfigürasyon yüklenebilir. Bu tür saldırıların tespiti için gelişmiş donanım bütünlüğü doğrulama testleri ve tedarikçi uyumluluğu (vendor compliance) denetimleri kritik öneme sahiptir. Donanım seviyesindeki bir sızıntı, yazılımsal tüm güvenlik katmanlarını hükümsüz kılabilir.

Hizmet Sağlayıcı ve Bulut Yönetim Saldırıları (Service Provider and Cloud Managed Services Attacks)

Birçok kurum, BT altyapılarını yönetmek veya siber güvenlik operasyonlarını yürütmek üzere Yönetilen Hizmet Sağlayıcıları (MSP - Managed Service Providers) ve Yönetilen Güvenlik Hizmet Sağlayıcıları (MSSP) ile çalışmaktadır. Bu sağlayıcılar, müşterilerinin sistemlerine doğrudan ve yüksek yetkili (administrative) erişim haklarına sahiptir. Saldırganlar için bir MSP'yi hacklemek, o MSP'nin hizmet verdiği düzinelerce kurumsal müşterinin kapısını tek bir anahtarla açmak anlamına gelir.

Benzer şekilde, bulut tabanlı SaaS platformları, ortak veri işleme araçları ve API entegrasyonları da bu kapsamdadır. Eğer müşteri verilerini işleyen bir İK veya muhasebe SaaS sağlayıcısı bir veri ihlali (data breach) yaşarsa, bu durum doğrudan müşterisi olan tüm kurumların KVKK ve GDPR uyumluluğu açısından yasal sorumluluk altına girmesine neden olur. Hizmet sağlayıcıların uzaktan erişim için kullandıkları VPN veya uzak masaüstü (RDP) bağlantılarının zayıf korunması, kurumsal ağların en büyük güvenlik açıklarından birini teşkil eder.

Dünya Çapında Ses Getiren Tedarik Zinciri Saldırısı Örnekleri

Tedarik zinciri saldırılarının siber güvenlik dünyasındaki yıkıcı etkisini anlamanın en etkili yolu, geçmişte yaşanmış ve küresel ölçekte kriz yaratmış vakaları incelemektir [1]. Bu olaylar, sadece hedef alınan kurumların değil, aynı zamanda siber güvenlik standartlarının ve devlet düzeyindeki savunma stratejilerinin de yeniden yazılmasına yol açmıştır. Geçmişteki saldırıların analiz edilmesi, gelecekteki benzer tehditleri öngörmek ve savunma mekanizmalarını buna göre yapılandırmak açısından paha biçilemez dersler barındırır.

Tarihsel süreçte karşılaşılan en karmaşık siber casusluk faaliyetleri, genellikle tedarik zinciri zafiyetleri üzerine inşa edilmiştir. Bu operasyonların arkasındaki aktörlerin motivasyonları, finansal kazançtan devlet sırlarını ele geçirmeye kadar geniş bir yelpazeyi kapsar. Aşağıdaki vaka incelemeleri, tehdidin teknik boyutunu ve ulaştığı derinliği açıkça gözler önüne sermektedir.

SolarWinds Vakası: Küresel Bir Siber Kriz

2020 yılının sonlarında ortaya çıkarılan SolarWinds vakası, siber güvenlik tarihinin en sofistike yazılım tedarik zinciri saldırısı olarak kabul edilir. Rus devlet destekli olduğu değerlendirilen APT29 (Cozy Bear) grubu, SolarWinds firmasının kurumsal ağ izleme ve yönetim yazılımı olan "Orion" platformunun geliştirme (build) süreçlerine sızmayı başarmıştır. Saldırganlar, Orion yazılımının meşru güncellemelerine "SUNBURST" adı verilen gelişmiş bir Truva Atı (Trojan) entegre etmişlerdir.

Yazılım güncellemeleri SolarWinds tarafından dijital olarak imzalandığı için güvenilir kabul edilmiş ve dünya genelinde yaklaşık 18.000 kamu ve özel sektör kuruluşu tarafından indirilmiştir. Bu güncelleme vasıtasıyla saldırganlar; ABD Dışişleri, Hazine, Pentagon gibi kritik devlet kurumlarının yanı sıra Microsoft, FireEye gibi dev teknoloji ve siber güvenlik şirketlerinin iç ağlarına sızmışlardır. SUNBURST, aylarca fark edilmeden arka planda çalışmış, ağ trafiğini analiz etmiş ve hassas verileri dışarı sızdırmıştır. Bu vaka, "güvenilir yazılım güncellemesi" kavramının dahi sorgulanmasına neden olmuştur.

Kaseya ve Log4j Zafiyetlerinin Öğrettikleri

2021 yılında gerçekleşen Kaseya saldırısı, tedarik zinciri tehditlerinin finansal (fidye yazılımı) amaçlarla nasıl kullanılabileceğini gösteren çarpıcı bir örnektir. REvil fidye yazılımı (ransomware) grubu, BT yönetim ve izleme aracı olan Kaseya VSA yazılımındaki sıfır gün (zero-day) zafiyetlerini istismar etmiştir. Kaseya VSA doğrudan MSP'ler tarafından müşterilerinin sistemlerini yönetmek için kullanılıyordu. Saldırganlar, bu araç üzerinden MSP müşterisi olan binlerce işletmeye aynı anda fidye yazılımı bulaştırmış ve sistemlerini kilitlemişlerdir. İsveç'teki büyük bir süpermarket zinciri, kasalarının çalışmaması nedeniyle günlerce kapalı kalmıştır.

Aynı yılın sonlarında ortaya çıkan Apache Log4j (Log4Shell) zafiyeti ise, dolaylı yazılım tedarik zinciri riskinin ne kadar derinlere inebileceğini kanıtlamıştır. Log4j, Java tabanlı uygulamalarda log kaydı tutmak için kullanılan ve neredeyse tüm kurumsal sistemlerin (bulut hizmetleri, veri tabanları, IoT cihazları) temelinde yer alan açık kaynaklı bir kütüphanedir. Bu kütüphanede bulunan kritik bir zafiyet, saldırganların hedef sunucularda uzaktan kod çalıştırmasına (RCE) olanak tanımıştır. Log4j doğrudan satın alınan bir ürün değil, kullanılan binlerce yazılımın içinde gömülü gelen görünmez bir halka olduğu için, kurumlar hangi sistemlerinin savunmasız olduğunu tespit etmekte haftalarca zorlanmıştır.

Tedarik Zinciri Saldırılarının Kurumlara Yönelik Kritik Etkileri

Bir kurumun siber güvenlik duvarlarının üçüncü taraf bir tedarikçi üzerinden aşılması, sadece teknik bir sorun olarak kalamaz. Bu durum, işletmenin operasyonel sürekliliğinden finansal sağlığına, yasal uyumluluğundan marka değerine kadar tüm kurumsal yapısını sarsan domino etkileri yaratır. Bir tedarik zinciri saldırısının maliyeti, doğrudan bir siber saldırıya maruz kalmaktan genellikle çok daha yüksektir; çünkü saldırının kaynağı dışarıda olduğundan, tespiti ve kontrol altına alınması çok daha fazla zaman ve uzmanlık gerektirir.

İş karar vericilerinin bu tehdidi sadece bir "BT departmanı problemi" olarak görmeyi bırakması gerekmektedir. Tedarik zinciri saldırılarının yarattığı çok boyutlu zararlar, yönetim kurulu seviyesinde bir risk yönetimimi yaklaşımı gerektirir. Bu etkileri netleştirmek için finansal, yasal, operasyonel ve itibari kayıpları somut verilerle analiz etmek önemlidir.

Aşağıdaki tablo, bir tedarik zinciri saldırısı sonrasında kurumların karşılaşabileceği kritik etki alanlarını ve bunların olası iş sonuçlarını özetlemektedir:

Operasyonel açıdan, bir tedarik zinciri zafiyeti nedeniyle tüm sistemlerin durdurulması gerekebilir. Örneğin, tedarikçinizden gelen bir kod kütüphanesinin zararlı olduğu tespit edildiğinde, o kütüphaneyi kullanan tüm üretim sistemlerinizi anında kapatmanız veya izole etmeniz gerekir. Bu durum, fabrikalarda üretimin durmasına, e-ticaret sitelerinin hizmet verememesine ve lojistik ağlarının kilitlenmesine yol açar. Maliyetler sadece anlık ciro kaybıyla sınırlı kalmaz; adli bilişim (forensic) uzmanlarının sistemleri temizlemesi, yedeklerin doğrulanarak geri yüklenmesi ve sistemlerin yeniden devreye alınması haftalar hatta aylar sürebilir. Bu süreçte harcanan mühendislik saatleri ve danışmanlık ücretleri, küçük ve orta ölçekli işletmelerin (KOBİ) iflasına dahi yol açabilecek boyutlara ulaşabilir.

Tedarik Zinciri Saldırılarına Karşı Proaktif Savunma Stratejileri

Tedarik zinciri saldırılarının engellenmesi, geleneksel "çevre güvenliği" (perimeter security) yaklaşımıyla mümkün değildir. Kurumlar, siber sınırlarının nerede bittiğini tam olarak kestiremedikleri için savunma stratejilerini "her şeyden şüphe duy" prensibi üzerine kurmalıdır. Proaktif bir savunma, sadece teknik araçların konuşlandırılması değil, aynı zamanda tedarikçi yönetim süreçlerinin, satın alma politikalarının ve çalışan bilincinin de dahil olduğu bütünsel bir programdır.

Bu kapsamda uygulanacak stratejiler, siber saldırganların hareket alanını daraltmayı, olası bir sızıntıyı en erken aşamada tespit etmeyi ve zararı minimize etmeyi hedefler. Güvenlik yöneticileri, aşağıdaki teknik ve operasyonel savunma katmanlarını eş zamanlı olarak hayata geçirmelidir.

Sıfır Güven (Zero Trust) Mimarisinin İnşası

Sıfır Güven (Zero Trust) mimarisi, "asla güvenme, her zaman doğrula" (never trust, always verify) ilkesine dayanır. Geleneksel ağlarda, VPN ile içeri sızan veya bir kez ağa dahil olan bir kullanıcı ya da yazılım "güvenilir" kabul edilir ve ağ içinde serbestçe hareket edebilir (lateral movement). Tedarik zinciri saldırılarında bu durum felaketle sonuçlanır; çünkü zararlı kod zaten "güvenilir" bir güncelleme veya tedarikçi hesabı üzerinden içeri girmiştir.

Sıfır Güven mimarisi uygulandığında, tedarikçiden gelen bir yazılım veya sistem dahi olsa, sürekli kimlik doğrulamasına ve en az yetki prensibine (least privilege principle) tabi tutulur. Kimlik ve erişim yönetimi (IAM) politikaları sıkılaştırılarak, dışarıdan bağlanan her kullanıcının ve çalışan her uygulamanın sadece işini yapabileceği minimum kaynaklara erişmesine izin verilir. Çok faktörlü kimlik doğrulama (MFA) tüm harici ve dahili erişim noktalarında zorunlu kılınmalı, cihazların güvenlik sağlık durumları (posture check) kontrol edilmeden ağa erişim verilmemelidir.

Tedarikçi Güvenlik Değerlendirmesi ve Risk Yönetimi (Vendor Risk Management)

Yeni bir üçüncü taraf hizmet veya yazılım tedarik edilmeden önce, tedarikçinin siber güvenlik olgunluk düzeyi titizlikle incelenmelidir. Bu süreç, "Üçüncü Taraf Risk Yönetimi" (TPRM - Third-Party Risk Management) olarak adlandırılır. Tedarikçilerden, ISO 27001, SOC 2 Type II veya NIST gibi uluslararası kabul görmüş siber güvenlik standartlarına uygunluk belgeleri talep edilmelidir. Ayrıca, tedarikçilerin kendi yazılım geliştirme süreçlerinde güvenli kod yazım (SSDLC) prensiplerini uygulayıp uygulamadıkları sorgulanmalıdır.

Sadece başlangıçta yapılan değerlendirmeler yeterli değildir; tedarikçi uyumluluğu (vendor compliance) süreci sürekli kılınmalıdır. Tedarikçilerin güvenlik duruşunu izleyen siber derecelendirme (security rating) platformları kullanılarak, iş ortaklarının siber risk skorlarındaki düşüşler gerçek zamanlı olarak takip edilmeli ve riskli görülen tedarikçiler uyarılmalıdır. Sözleşmelere, siber olayların bildirilmesi (incident notification) süreleri ve düzenli sızma testi (penetration testing) yaptırma zorunluluğu gibi maddeler eklenmelidir.

Ağ Segmentasyonu ve Erişim Sınırlandırması (Network Segmentation and IAM)

Ağ segmentasyonu, bir kurumun iç ağını birbirinden bağımsız alt ağlara (subnet) bölerek, olası bir sızıntının yayılmasını engelleme yöntemidir. Tedarikçi firmaların veya harici danışmanların sistemlerinize bağlanması gerekiyorsa, bu bağlantılar kesinlikle ana üretim (production) veya kritik veri tabanı ağlarından tamamen izole edilmiş, özel olarak ayrılmış "demilitarized zone" (DMZ) veya güvenli segmentler üzerinden yapılmalıdır.

Tedarikçilerin uzaktan erişim sağladığı sistemlerde "kalıcı yetki" (persistent privilege) verilmemeli, bunun yerine ihtiyaç anında geçici yetki sağlayan "Just-In-Time" (JIT) erişim modelleri uygulanmalıdır. Tüm harici erişim seansları (session recording) kayıt altına alınmalı ve olağan dışı saatlerde veya olağan dışı IP adreslerinden gelen bağlantı istekleri otomatik olarak engellenmelidir. Böylece, bir tedarikçi hesabı ele geçirilse dahi, saldırganların kurumun diğer departmanlarına veya hassas sunucularına sızması engellenmiş olur.

Sürekli İzleme ve Olay Müdahale (Incident Response) Planlaması

Tedarik zinciri saldırıları son derece sinsi çalıştığı için, erken tespit ancak sürekli ve proaktif izleme (continuous monitoring) ile mümkündür. Kurumlar, ağlarındaki tüm hareketliliği, log kayıtlarını ve kullanıcı davranışlarını yapay zeka destekli SIEM (Security Information and Event Management) ve SOAR (Security Orchestration, Automation, and Response) sistemleriyle analiz etmelidir. Uç nokta güvenliği için gelişmiş EDR/XDR (Endpoint Detection and Response) çözümleri kullanılmalı, şüpheli süreçler anında karantinaya alınmalıdır.

Her şeye rağmen bir sızıntı yaşanması ihtimaline karşı, "Olay Müdahale (Incident Response) Planı" hazır ve güncel tutulmalıdır. Bu plan, bir üçüncü taraf siber olay yaşadığında kurumun atacağı adımları net bir şekilde tanımlamalıdır. Tedarikçiyle olan entegrasyonun saniyeler içinde nasıl kesileceği, adli bilişim incelemesinin nasıl başlatılacağı, KVKK ve GDPR kapsamında 72 saatlik yasal bildirim süresine nasıl uyulacağı gibi kritik süreçler, düzenli olarak yapılan masaüstü tatbikatlarla (tabletop exercises) test edilmelidir.

Güvenlik Zinciriniz En Zayıf Halkanız Kadar Güçlüdür

Siber güvenlikte savunma, statik bir duvar örmekten ziyade dinamik bir dayanıklılık (resilience) mücadelesidir. Tedarik zinciri saldırılarının bize öğrettiği en büyük ders, hiçbir kurumun tek başına tamamen güvenli olamayacağı gerçeğidir. Kendi bünyenizde yüksek siber güvenlik yatırımı yapmış olsanız dahi, sistemlerinize tam yetkiyle bağlanan bir temizlik firmasının, bir çeviri ajansının veya basit bir pazarlama e-posta aracının hacklenmesi, tüm koruma kalkanlarınızı bir anda devre dışı bırakabilir.

Bu nedenle, geleceğin siber güvenlik vizyonu bütünsel ekosistem güvenliği üzerine kurulmalıdır. İşletme sahipleri ve karar vericiler, tedarikçilerini sadece birer ticari hizmet sağlayıcı olarak değil, siber güvenlik ekosistemlerinin organik birer parçası olarak görmelidir. Satın alma aşamasından sözleşme feshine kadar olan tüm yaşam döngüsünde (vendor lifecycle), siber güvenlik kriterleri en az maliyet ve performans kriterleri kadar ağırlıklı bir rol oynamalıdır.

Siber esneklik oluşturmak, siber saldırıların kaçınılmaz olduğunu kabul etmekle başlar. Amaç sıfır saldırı olasılığı değil, bir saldırı gerçekleştiğinde bundan en az hasarla ve en hızlı şekilde kurtulabilmektir. Bu vizyonu kurum kültürüne entegre eden organizasyonlar, dijital dünyanın getirdiği fırsatlardan güvenle yararlanırken, karmaşık tedarik zinciri tehditleri karşısında da sürdürülebilir bir koruma kalkanı elde edeceklerdir.