ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı, federal kurumların siber risklerini azaltmak için “toplu operasyonel savunma yeteneklerini” hizalamak üzere bir plan yayınladı. Planın odak noktası, federal hükümette daha senkronize ve sağlam siber savunmalar, iyileştirilmiş iletişimler ve daha iyi çeviklik ve dayanıklılık sağlamaktır.
Çoğunlukla, federal kurumlar karşı karşıya oldukları tehditlere dayanarak kendi savunma yeteneklerini oluşturdular. Sonuç olarak, kurumlar riskleri ne kadar etkili bir şekilde yönettikleri konusunda büyük farklılıklar gösteriyor ve CISA’ya göre “tutarlı veya tutarlı bir temel güvenlik duruşu” yok. Bu tutarsızlık, siber güvenliğe yatırım yapılmasına rağmen kurumların hala tehditlere karşı savunmasız olduğu anlamına geliyor.
CISA, “100’den fazla FCEB kuruluşuna yönelik riski yeterince azaltmak ve hükümet hizmetlerine ve verilerine yönelik dinamik siber tehditlerle başa çıkmak için toplu operasyonel savunmaya ihtiyaç duyulmaktadır” dedi.
Federal Sivil Yürütme Birimi (FCEB) Operasyonel Siber Güvenlik Uyum (FOCAL) planında, CISA hem “federal siber güvenlik için geniş örgütlenme konseptlerini” hem de kurumların uygulaması gereken taktiksel rehberlikleri ortaya koyuyor. Plan, kuruluşların verilerini ve bilgi sistemlerini savunmak için kullanmaları gereken günlük faaliyetleri ve süreçleri kapsıyor ve beş alanı kapsıyor: varlık yönetimi, güvenlik açığı yönetimi, savunulabilir mimari, siber tedarik zinciri risk yönetimi ve olay müdahalesi. Ayrıca, kuruluş için kolektif güvenlik hedefleri belirliyor ve koordineli destek ve hizmetler için bir çerçeve sağlıyor.
Bir kurumun başarması gereken her şeyin kapsamlı veya ayrıntılı bir listesini sunmak amaçlanmamıştır.
CISA’nın siber güvenlikten sorumlu yönetici yardımcısı Jeff Greene, “FOCAL planındaki eylemler, FCEB kurumlarını etkili ve işbirlikçi operasyonel siber güvenliğe yönlendirecek ve dayanıklılık oluşturacaktır” dedi. söz konusu bir açıklamada.
Phosphorus Security’de güvenlik stratejisti olan John Vecchi, FOCAL’ın temel bileşenlerinin “sağlam” olduğunu söylüyor. Siber olgunluk ve kültür açısından kurumlar arasında “çok büyük farklılıklar” var, ancak Vecchi, FOCAL’ın temelleri uygulanırsa bu kurumların “daha tutarlı bir siber güvenlik duruşu ve temel güvenlik hijyeni” elde edebileceğini söylüyor.
Ancak Vecchi, bu büyüklükte bir görevi başarmanın zorlu olabileceğini belirtiyor. Kurum BT ekiplerinin, teknolojileri ve süreçleri gerçekten dağıtmak ve uygulamak için hala personele, bilgiye ve becerilere ihtiyacı var. Plandaki çeşitli unsurları başarmak için gereken güvenlik araçlarının çokluğu, kurum güvenlik ekipleri için sorun yaratabilir. Yama ve güvenlik açığı yönetimine odaklanmak önemli olsa da, bu iki alanı büyük ölçekte uygulamak zordur.
Vecchi, bu kurumlardaki varlıkların yaklaşık üçte birinin akıllı cihazlar, Nesnelerin İnterneti, operasyonel teknoloji ve gömülü cihazları temsil ettiğini hatırlamanın da önemli olduğunu söylüyor. Bu tür sistemler genellikle güvenlik hijyeni açısından uyumsuzdur.
“Kaynak tahsisi burada kesinlikle bir sorun olacak, ancak tahminimce tüm ajanslardaki çok sayıda farklı ekip ve kültürel farklılıklar daha da büyük ve daha acil bir zorluk yaratacak,” diyor Vecchi. “Tek bir ajans içindeki farklı ekiplerin etkili bir şekilde iş birliği yapması, hatta bu kadar çok benzersiz, bağımsız ajans ve ağ arasında iş birliği yapması oldukça zor olabilir.”