Maersk olayı, dünyanın en büyük konteyner taşımacılığı şirketlerinden Danimarkalı Maersk’in 2017 yılında yıkıcı bir kötü amaçlı yazılım saldırısıyla küresel operasyonlarının günlerce durması ve şirketin faaliyetlerini büyük ölçüde elle yürütmek zorunda kalmasıyla tanınan bir vakadır. Olay, tek bir güvenlik zafiyetinin nasıl fiziksel dünyada limanları kilitleyen bir felakete dönüşebileceğini ve iş sürekliliği planlamasının gerçekte neyi kapsaması gerektiğini gösteren bir referans noktası haline gelmiştir.

Maersk olayı, siber bir saldırının yalnızca veriyi değil, gemileri, limanları ve küresel ticaretin akışını durdurabildiğinin kanıtıdır.

Saldırı Nasıl Yayıldı?

Maersk’i vuran zararlı, kendini bir fidye yazılımı gibi göstermesine rağmen amacı para toplamak değil, geri dönülemez biçimde veri yok etmekti; bu yönüyle klasik şifrele-ve-fidye iste mantığından ayrılıyordu. Zararlı, kurumsal ağa girdikten sonra Windows sistemlerindeki yönetim protokollerini kullanarak makineden makineye kendi kendine yayıldı ve dakikalar içinde on binlerce cihazı kullanılamaz hale getirdi. Yayılmanın hızı, ağ içinde yatay hareketi durduracak segmentasyonun yetersizliğini açığa çıkardı.

Kurtarmayı Mümkün Kılan Tesadüf

Şirketin toparlanma hikâyesinde çok anlatılan bir ayrıntı, kritik dizin hizmeti sunucularının küresel yedeklerinin de saldırıdan etkilenmesi, ancak uzak bir ofisteki bir sunucunun elektrik kesintisi nedeniyle o sırada çevrimdışı olması ve bu sayede temiz kalmasıdır. Kurtarma büyük ölçüde bu tek kopyaya bağlı kaldı. Bu durum, yedeklerin yalnızca var olmasının yetmediğini; en az bir kopyanın ağdan ve yayılan tehditten yalıtılmış tutulması gerektiğini somut biçimde gösterdi ve modern felaket kurtarma planı tasarımlarının merkezine bu ilkeyi yerleştirdi.

İş Sürekliliği Açısından Çıkarımlar

Olayın en kalıcı dersleri teknik olmaktan çok kurumsaldır ve doğrudan iş sürekliliği yönetiminin alanına girer:

• Çevrimdışı ve yalıtılmış yedek: En az bir yedek kopyanın ağa erişimi olmayan, kendi kendine yayılan zararlıdan etkilenemeyecek bir konumda tutulması.
• Manuel süreç yeteneği: Sistemler tümüyle çökse bile operasyonun kağıt-kalem düzeyinde bir süre yürütülebilmesi ve bunun önceden planlanmış olması.
• Ağ segmentasyonu: Bir bölümdeki bulaşmanın tüm kuruma yayılmasını önleyecek biçimde ağın bölmelere ayrılması.
• Kurtarma sürelerinin gerçekçiliği: Toparlanmanın saatler değil günler sürebileceğinin bütçe ve iletişim planlarına yansıtılması.

Bu ilkelerin çoğu, kurumların iş sürekliliğini sistematik biçimde yönettiği ISO 22301 iş sürekliliği çerçevesinin öngördüğü kontrollerle örtüşür. Maersk’i vuran zararlı, aynı dönemde küresel çapta yayılan ve pek çok kurumu benzer biçimde durduran NotPetya vakası ile aynı kampanyanın parçasıydı; bu yönüyle olay tek bir şirketin talihsizliği değil, hazırlıksız kurumlar için genel bir uyarıdır. Böyle bir felaketin öncesinde planı kurmak ve anında devreye alacak bir yol haritası hazırlamak, Privia Security’nin acil eylem planı hizmetinin doğrudan görev alanına girer.