Yazılım tedarik zinciri güvenliği, kurumlar için giderek daha büyük bir tehdit haline geliyor. Yeni yayımlanan bir rapor, şirketlerin büyük çoğunluğunun yazılım tedarik zincirine dair yeterli görünürlüğe sahip olmadığını ortaya koydu. Görünürlüğü düşük olan şirketler, son bir yıl içinde çok daha fazla siber saldırıya maruz kaldı.
Yazılım Tedarik Zinciri Görünürlüğü Yetersiz
LevelBlue tarafından hazırlanan araştırmaya göre, şirketlerin yalnızca yüzde 23’ü yazılım tedarik zincirinde yüksek seviyede görünürlüğe sahip olduğunu düşünüyor. Şirketlerin yüzde 49’u ise yazılım zincirinde neyin risk oluşturduğunu tespit edemiyor. Görünürlüğü düşük olan şirketlerin yüzde 80’i son 12 ayda en az bir güvenlik ihlali yaşadı. Bu oran, yüksek görünürlüğe sahip olanlarda yalnızca yüzde 6 seviyesinde kaldı.
Araştırmaya göre, özelleştirilmiş yazılımlar, hazır ticari yazılımlar ve API entegrasyonları görünürlüğü düşük şirketler için en riskli alanlar arasında yer alıyor. Siber güvenlik, üst düzey yöneticilerin ajandasında daha fazla yer bulmaya başladı. CEO’ların yüzde 40’ı, yazılım tedarik zincirini şirketlerinin karşılaştığı en büyük güvenlik riski olarak görüyor. Bu oran, CIO’lar için yüzde 29, CTO’lar için ise yüzde 27 düzeyinde.
Ancak bu farkındalığa rağmen, şirketlerin yalnızca dörtte biri önümüzdeki bir yıl içinde yazılım tedarikçileriyle güvenlik bilgileri konusunda daha yakın bir iletişim kurmayı planlıyor. Bu durum, söz konusu riskin henüz yeterince ciddiye alınmadığını gösteriyor.
Bölgesel bazda bakıldığında, Kuzey Amerika’daki şirketlerin yüzde 57’si yazılım tedarik zinciri saldırılarına karşı hazırlıklı olduğunu belirtiyor. Bu oran Avrupa’da yüzde 51, Latin Amerika’da yüzde 50 ve Asya-Pasifik bölgesinde yüzde 44 olarak ölçüldü.
Öte yandan Avrupa, yazılım tedarik zinciri güvenliğine yatırım konusunda öne çıkıyor. Araştırmaya göre Avrupa’daki şirketlerin yüzde 67’si bu alanda aktif olarak yatırım yapıyor. Bu yaklaşım, gelecekte olası tehditlere karşı daha güçlü bir konum elde etmelerini sağlayabilir.
Yeni Standartlar Şirketleri Harekete Zorluyor
Yazılım tedarik zincirinde güvenliği sağlamak için görünürlük kadar standartlara uyum da kritik öneme sahip. Yeni çıkan düzenlemeler, şirketleri daha şeffaf ve hesap verebilir hale gelmeye zorluyor. Avrupa Birliği’nin yürürlüğe koyduğu Siber Dayanıklılık Yasası (CRA) ile birlikte, yazılımlar için Bileşen Listesi (SBOM) zorunluluğu getiriliyor.
ABD’de ise Gıda ve İlaç Dairesi (FDA), ağ bağlantılı tıbbi cihazların onay sürecinde SBOM talep ediyor. Aynı şekilde, federal kurumlarla çalışan yazılım tedarikçilerinden de SBOM sunmaları bekleniyor. Black Duck şirketinde kıdemli yazılım yöneticisi olarak görev yapan Mike McGuire, bu değişimin tüm şirketler için önemli olduğunu vurguluyor. McGuire’a göre, SBOM talebi yalnızca bir zorunluluk değil aynı zamanda şirketlere rakiplerinden öne çıkma fırsatı da sunuyor.
LevelBlue’un baş danışmanı Theresa Lanowitz, yazılım tedarik zinciri güvenliğinde hemen harekete geçilmesi gerektiğini vurguladı. Lanowitz’e göre, yapay zekâ etkisiyle değişen tehdit ortamında yazılım ekosistemini tanımak, saldırılara karşı direnç kazanmanın en temel yolu.
Yazılım üreten ya da tedarik eden tüm şirketlerin, SBOM hazırlamayı ve tedarikçilerinden bu belgeleri talep etmeyi standart bir uygulama haline getirmesi gerekiyor. Kurumların yazılım tedarik zincirine dair görünürlüğünü artırması, sadece güvenlik açısından değil rekabet avantajı açısından da büyük önem taşıyor.
