Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA), Federal Sivil Yürütme Birimi (FCEB) Operasyonel Siber Güvenlik Uyum (FOCAL) Planını açıkladı ve bu, federal hükümetin siber güvenlik savunmalarını güçlendirme çabalarında önemli bir adım oldu. Federal hükümetin operasyonel siber güvenlik lideri olarak CISA’nın FOCAL planı, 100’den fazla FCEB ajansına rehberlik ve destek sağlamak üzere tasarlanmıştır.
Bu, federal ağlar genelinde riski azaltmak için temel siber güvenlik önceliklerinde ilerleme sağlanmasını ve operasyonel savunma yeteneklerinin uyumlu hale getirilmesini sağlayacaktır.
FCEB ajansları, ulusal güvenlikten sağlık hizmetlerine kadar federal hükümetin misyonunu ilerletmede çeşitli roller üstlenirler, ancak farklı ağlar, sistemler ve siber risk toleransı seviyeleriyle çalışırlar. Bu ajansların karmaşıklığı ve bağımsızlığı, koordineli bir siber güvenlik stratejisini kritik hale getirir. FOCAL Planı, siber güvenliğe birleşik bir yaklaşımı teşvik ederek, federal ajanslar genelinde riskleri azaltırken her birinin benzersiz operasyonlarını sürdürmesine izin vererek bu ihtiyaca yanıt verir.
CISA’nın Siber Güvenlikten Sorumlu Yönetici Yardımcısı Jeff Greene, bu planın aciliyetini ve önemini vurguladı. Federal hükümet verileri ve sistemleri birbirine bağlıdır ve her zaman rakiplerimiz için bir hedeftir. FCEB kurumlarının bu tehdit ile birleşik bir şekilde mücadele etmesi ve riski proaktif bir şekilde azaltması gerekiyor” dedi Greene.
“FOCAL Planındaki eylemler FCEB kurumlarını etkili ve işbirlikçi operasyonel siber güvenliğe yönlendirir ve yönlendirir ve dayanıklılık oluşturur. Ortak kurumlarımızla iş birliği içinde CISA, federal kurum siber güvenliğini modernize ediyor.”
CISA’nın FOCAL Planının Yapısı ve Odak Noktası
FOCAL Planının temel amacı, federal kuruluş genelinde operasyonel siber güvenliğin temel bileşenlerini standart hale getirmek ve kolektif bir savunma yaklaşımı sağlamaktır. CISA, planı FCEB ajanslarıyla iş birliği yaparak geliştirerek, her ajansın karşılaştığı benzersiz zorlukları ele alırken bunları ortak siber güvenlik hedefleri altında hizaladığından emin oldu. Plan, temelini oluşturan beş öncelikli alanı belirler:
- Varlık Yönetimi: Federal ağları korumak için, kurumların tüm birbirine bağlı varlıklar dahil olmak üzere operasyonel alanlarını kapsamlı bir şekilde anlamaları gerekir. Bu öncelik, kurumların hem ağları içinde hem de daha geniş federal düzeyde hangi varlıkları savunduklarını bilmelerini sağlar. Varlık yönetimi, saldırı yüzeyini azaltmada ve kurumların siber ortamlarına dair net bir görüşe sahip olmasını sağlamada kritik öneme sahiptir.
- Güvenlik Açığı Yönetimi: Siber güvenliğin merkezinde potansiyel güvenlik açıklarına karşı koruma sağlamak için proaktif önlemler yer alır. FOCAL Planı, saldırganlar bunları istismar etmeden önce kurumların sistemlerindeki güvenlik açıklarını belirleme, değerlendirme ve azaltma becerisini geliştirmeye odaklanır. Güvenlik açığı yönetimi, kurumların tehditlerin önünde kalmasına ve saldırı yüzeylerini potansiyel saldırılara karşı güvence altına almasına yardımcı olur.
- Savunulabilir Mimarlık: Güvenlik olaylarının kaçınılmaz olduğunu kabul ederek, bu öncelik saldırılara dayanabilen ve hızla kurtarılabilen bir siber altyapı oluşturmaya odaklanır. Savunulabilir mimari, dayanıklılığın anahtarıdır ve kurumların güvenlik olayları meydana geldiğinde bile faaliyetlerine devam etmesini sağlar. Kurumların sistemlerini dayanıklılığı göz önünde bulundurarak tasarlamaları ve çok çeşitli olası tehditlere karşı hazırlıklı olmaları teşvik edilir.
- Siber Tedarik Zinciri Risk Yönetimi (C-SCRM): Federal BT ortamları genellikle üçüncü taraf tedarikçilere güvenir ve bu da tedarik zinciri risklerini beraberinde getirir. FOCAL Planı, kurumların tedarikçilerinden ve ortaklarından gelen potansiyel tehditleri hızla belirleyip azaltabilmelerini sağlayarak bu riskleri ele alır. Kurumlar, C-SCRM uygulamalarını geliştirerek tedarik zincirlerini güvence altına alabilir ve üçüncü taraf tedarikçiler aracılığıyla tehlikeye girme olasılığını azaltabilir.
- Olay Algılama ve Müdahale: Bu öncelik, kurumlar genelindeki Güvenlik Operasyon Merkezlerinin (SOC’ler) güvenlik olaylarını tespit etme, bunlara yanıt verme ve bunların etkisini en aza indirme becerisini geliştirmeyi amaçlamaktadır. Olay tespit ve yanıt yeteneklerinin geliştirilmesi, kurumların tehditleri hızla kontrol altına alabilmesini ve federal ağlara verilen zararı sınırlayabilmesini sağlar.
Bu önceliklerin her biri, federal kurumlar için mevcut ölçümler ve raporlama gereklilikleriyle uyumlu olacak şekilde tasarlanmıştır ve devam eden siber güvenlik çabalarıyla sorunsuz bir entegrasyon sağlar. Önemlisi, FOCAL Planının tek bir çözüm olması amaçlanmamıştır. Bunun yerine, kurumların iyileştirmelerin genel siber güvenlik duruşları üzerinde en büyük etkiye sahip olacağı belirli alanlara odaklanmalarına olanak tanıyan esnek bir çerçeve sunar.
Siber Güvenliği Güçlendirmek İçin İşbirlikçi Yaklaşım
FOCAL Planı, iş birliğine verdiği önemle öne çıkıyor. Her FCEB kurumu bağımsız olarak çalışırken, federal ağların birbirine bağlı yapısı kolektif bir savunma yaklaşımı gerektiriyor. CISA’nın planı, kurumların birlikte çalışması, bilgi ve kaynakları paylaşarak genel güvenliği artırması için bir yol haritası sunuyor. CISA, iş birliğini teşvik ederek, bir kurumun karşılaştığı siber güvenlik zorluklarının toplu olarak ele alınmasını ve saldırganların kurumlar arasındaki boşlukları istismar etmesini önlemeyi amaçlıyor.
FOCAL Planı yalnızca devlet kurumlarıyla sınırlı değildir. Özel sektör kuruluşları ve diğer kamu kuruluşları, planda özetlenen ilkelerden faydalanabilir. Aynı odak alanlarını uygulayarak (varlık yönetimi, güvenlik açığı yönetimi, savunulabilir mimari, C-SCRM ve olay tespiti ve müdahalesi) federal hükümet dışındaki kuruluşlar daha güçlü, daha dayanıklı siber güvenlik savunmaları oluşturabilir.
FOCAL Planı federal kurumlar için temel siber güvenlik hedeflerini özetlese de, CISA veya kurumların alması gereken tüm eylemlerin kapsamlı bir listesi olması amaçlanmamıştır. Bunun yerine, kaynakları en acil operasyonel siber güvenlik zorluklarına yönlendirmek için odaklanmış bir çaba olarak hizmet eder. Plana dahil edilen esneklik, kurumların riski azaltma ve dayanıklılığı artırma konusunda en büyük etkiye sahip olacak eylemleri önceliklendirmesine olanak tanır.