Gerçekten BT-OT entegrasyonuna ihtiyacımız var mı?

Modern bir endüstriyel ortamda, her teknik ekibin farklı öncelikleri vardır. Bir ekip çalışma süresine ve fiziksel güvenliğe öncelik verir; diğeri, veri bütünlüğü ve siber hijyen. Biri asla düşmemesi gereken sistemleri çalıştırır; Diğeri hızlı hareket eder, daha hızlı güncellenir. Yine de, dijital dönüşüm ve IT-OT yakınsama bayrağı altında, BT ve OT ekiplerinden sadece işbirliği yapmaları değil, birleşmeleri isteniyor. Kağıt üzerinde, mantıklı bir evrim gibi geliyor. Uygulamada, sürtünme ve operasyonel kaos için bir tarif olabilir.

Sydney trenleriyle OT siber güvenlik operasyonları başkanı Maryam Shoraka, iki kuruluşun “birleşme değil bir köprüye” ihtiyacı var. Shoraka, “Ben siber güvenlik istihbaratını paylaşmak için ve koordineli bir olay tepkisine sahibim, ancak bazı yöneticilerin sadece birleştirilmiş yönetim istediği için kimyasal bir süreci kontrol eden bir sisteme itmemi sağlamıyorum.” Dedi.

Yıllardır, CISOS ve diğer C seviyesi yöneticileri, Siber Güvenlik Uygulamalarını BT ve OT’ye iyi niyetle entegre etmek için baskı yapıyorlar. Ancak entegrasyon itme bunu varsayar ve OT, olmayan farklı etiketlerle aynıdır.

BT güvenlik ekipleri verilerin gizliliğini, bütünlüğünü ve kullanılabilirliğini korumaya odaklanırken, OT güvenlik ekipleri önce güvenliği, daha sonra kullanılabilirliği ve güvenilirliği vurgular. Önceliklerdeki bu temel fark, yama yönetimi, güvenlik açığı yönetimi, yükseltmeler ve risk yönetimi gibi süreçlerin yakınsaması sırasında genellikle göz ardı edilir.

BT güvenlik ekipleri tipik olarak çevreyi korumaya öncülük ettikçe, PWC Güney Doğu Asya Consulting’deki siber güvenlik ve gizlilik direktörü Tanvinder Singh, “OT’nin doğasında bulunan belirli öncelikleri ve kısıtlamalar hakkında kapsamlı bir anlayış eksikliği” dedi. Singh, bu bağlantının kesilmesinin, OT manzarasının benzersiz ihtiyaçlarını karşılamayan yaklaşımlara yol açabileceğini ve hem BT hem de OT güvenlik ekipleri için yetersiz sonuçlara ve hayal kırıklıklarına yol açabileceğini söyledi.

Shoraka, BT ekiplerinin bakım pencerelerini içeren kurumsal çapında politikalar önerdiği birçok toplantıya katıldı ve bu pencereler sürekli süreç endüstrilerinde mevcut değil. “Bu, umursamadıkları için değil, sadece yeniden başlatın bir seçenek olmadığı bir dünyada yaşamıyorlar.”

Bu zorla yakınsama sonucunda, kuruluşlar genellikle bu birleşmiş altyapıyı hedefleyen operasyonel aksamalar ve saldırganlarla karşı karşıyadır. OT güvenlik durumu hakkında çeşitli PWC raporları, OT sistemlerini hedefleyen fidye yazılımı saldırılarının artmakta olduğunu gösteriyor. OT saldırıları yaşayan şirketlerin yaklaşık% 27’si 1 milyon doların üzerinde mali etkiler bildirmiştir ve hedeflenen OT siber saldırılarının% 72’si BT ortamlarından kaynaklanmaktadır.

Siber Güvenlik Stratejisi, Operasyon ve Danışmanlık Grup Başkanı Shankar Karthikason, Crowdstrike olayı sırasında hatalı bir yazılım güncellemesinden operasyonel aksamalar yaşadığını söyledi. BT liderliğindeki girişimler OT ihtiyaçlarını tam olarak dikkate almadan tanıtıldığında, bu tür olaylar yaygınlaşabilir. “En azından şimdilik, SECOP’ların olgunluğu henüz bu noktaya gelmedi. Küçük bir değişiklik veya taramanın bile üretim durmasına neden olabileceğini fark etmeyebilir” dedi.

Son raporlara göre, kuruluşlar Fortinet’in 2024 Operasyonel Teknoloji ve Siber Güvenlik Raporu’nda açıklandığı gibi, 2023’te% 49’dan keskin bir artış olan OT sistemlerini etkileyen müdahaleler yaşadılar.

Microsoft, müşteri OT ağlarındaki en yaygın endüstriyel denetleyicilerin% 75’inde takılmamış, yüksek şiddetli güvenlik açıklarını belirledi. Sentinelone, veri ihlallerinin% 25’inin yanal hareketi içerdiğini buldu – saldırganlar, uzlaşmış BT sistemlerinden OT ortamlarına geçmek için kullandı.

Adil olmak gerekirse, kesintiler genellikle güvenlik değişikliklerinin yanlış olduğu için değildir. Onlar olurlar, çünkü işin gerçekte nasıl yapıldığını anlamadan güvenlik değişiklikleri uyguluyoruz. Shoraka, “Bir reaktörün sıcaklık alarmı söndüğünde, operatörün iki faktörlü bir kimlik doğrulama işleminin tamamlanmasından sonra değil, kontrol sistemine hemen erişmesi gerekiyor” dedi.

Çalışan model

Tam ayrılık günümüzün dijital dünyasında gerçekçi olmasa da, uzmanlar ortak risk sahipliği, gerçeklik temelli olay yanıtı ve gömülü çevirmenlere sahip koordineli özerklik çağrısında bulunuyor.

Shoraka, “OT ekiplerinin operasyonel risklere sahip olmasına izin verin ve BT ekipleri nasıl hafifletileceğini anlamaya yardımcı oluyor. Kimse diğer tarafı etkileyen tek taraflı kararlar alamaz.” Dedi. Ayrıca her iki ortamda da her iki dilde de güvenlik uzmanlarının da dahil edilmesini önerir – “Bir OT kişi bu sistemi yamalayamayacağımızı söylediğinde, bunun zor olduğu için değil. Bunun nedeni, bu sistemin üç yıl içinde kapatılmaması ve bunun çok iyi bir nedeni var.”

Geleneksel olarak, siber korumaların üzerinde genellikle CISOS, CIO’lar ve BT ekiplerine düştüğünü, ancak birçok kuruluşun OT sistemlerini çevreleyen siber güvenliğe yeterli titizlik ve yatırımdan yoksun olduğunu söyledi. “Bu, benzersiz yakınsama fırsatlarını tanımlamak için resmi bir BT ve OT güvenlik yakınsama işletim modelini benimsemenin önemini fark eden daha fazla kuruluşun gelişen bir alan adıdır.”

OT-ISAC Bölge Direktörü Aj Eserjose, bu iki takım arasındaki boşluğu doldurma deneyimini paylaştı. Eserjose, “Onu ve OT takımlarını aynı odaya getirdik. Başlangıçta, açık bir tanıdık ve yanlış hizalama duygusu vardı. Ve OT farklı zihniyetler, farklı kelime dağarcığı ve çok farklı beklentilerle geldi” dedi.

Günler ilerledikçe, birbirlerinin kısıtlamalarını ve her takımın neyi korumaya çalıştığını anlamaya başladılar. Bu değişim sadece olay tepkisini geliştirmekle kalmadı, aynı zamanda karşılıklı saygıyı da teşvik etti ve daha yapıcı işbirliğinin yolunu açtı.

Düzgün koordinasyonu sağlamak aylar sürebilirken, uzmanlar zorla koordinasyona karşı dikkatli.

Shoraka, “Bu iki dünyayı her birini çalıştıran şeye saygı duymadan bir araya getirmeye çalışmak, bir hastane acil servisini bir Formula 1 çukur ekibiyle birleştirmeye çalışmak gibidir. Her ikisi de insanların eşyalarını bildiği yüksek basınçlı ortamlardır, ancak oyun kitaplarının tamamen farklıdır.” Dedi.