Son yıllarda SolarWinds ve MOVEit’i hedef alan saldırılar, siber güvenlikteki tedarik zinciri risklerine dikkat çekti. Kamu hizmetlerinde yakın zamanda yaşanan yüksek profilli olayların ardından, geçen hafta Kansas’taABD Federal Enerji Düzenleme Komisyonu (FERC), ABD toplu enerji sisteminin dayanıklılığını artırmak için tedarik zinciri güvenliği standartlarının güncellenmesi çağrısında bulundu.
onun yerinde Eylül toplantısı, FERC enerji endüstrisi konsorsiyumu North American Electric Reliability Corporation’dan (NERC) enerji santralleri için daha iyi bir tedarik zinciri güvenlik standardı oluşturmasını istedi. Bu tür yardımcı programların şunları yapması gerekir:
-
elektrik şebekesine ilişkin siber güvenlik sistemlerine yönelik tedarik zinciri risklerini düzenli aralıklarla tespit etmek;
-
satıcıların satın alma sırasında sunduğu bilgileri değerlendirmek ve doğrulamak; Ve
-
Bu riskleri belgeleyin, izleyin ve bunlara yanıt verin.
Komisyon ayrıca NERC’ye bu tedarik zinciri incelemesine tabi sistemlere korumalı siber varlıkları (PCA’lar) ekleme talimatı verdi.
Docket’te Dahili Ağ Güvenliği İzleme
Aynı toplantıda FERC, elektronik güvenlik çevresi içindeki ağ trafiğinin izlenmesini zorunlu kılan, kritik altyapı korumasına yönelik yeni bir güvenilirlik standardını da ele aldı.
Dahili ağ güvenliği izleme (INSM), bir ağın “güven bölgesi” içindeki cihazlar arasındaki iletişimi izleyerek, güvenlik sınırlarını aşan kötü amaçlı etkinlikleri tespit etmek için bir geri durdurma sağlar. İzinsiz girişlere karşı erken uyarı verilmesine ek olarak, bu doğu-batı görünürlüğü bir saldırının kapsamının daha eksiksiz bir resmini sağlar.
Toplantıda FERC “onaylamayı teklif etti” Güvenilirlik Standardı CIP-015-1Ancak NERC’ye sordu INSM’yi, fiziksel ve elektronik erişim kontrol sistemleri gibi elektronik güvenlik çevresi dışındaki sistemlere genişletmek.