Bu Help Net Security röportajında, Xage Security CEO’su Geoffrey Mattson, Ortak Siber Savunma İşbirliği’nin (JCDC) 2021’deki başlangıcından bu yana geçirdiği evrimi tartışıyor ve artan siber tehditlere yanıt olarak 2024 stratejik önceliklerini ele alıyor.
JCDC’nin APT operasyonlarına karşı stratejilerini, kritik altyapıda siber güvenliği artırmaya yönelik girişimleri, seçim güvenliğine desteği ve Güvenli Tasarım girişimini ayrıntılarıyla anlatıyor.
JCDC iki yıl önceki kuruluşundan bu yana nasıl bir evrim geçirdi ve 2024’teki stratejik yönünü yönlendiren temel faktörler nelerdir?
JCDC, 2021’deki başlangıcından bu yana önemli bir evrim geçirdi. Ulusal güvenliğimizi korumaya yönelik kapsayıcı misyon aynı kalırken, aciliyet önemli ölçüde arttı. Siber güvenlik ortamı son birkaç yılda yeni sınırlara kaydı. 2024 yılı için mevcut öncelikler arasında hakim olan tema, siber güçlendirme ve etkiyi desteklemektir.
Odaktaki bu değişim, sıradan insanlar için yıkıcı sonuçlar doğurabilecek, kritik altyapıları hedef alan büyük siber olaylar ve fidye yazılımı saldırılarındaki artışla işaretlenen artan tehdit manzarasından kaynaklanıyor. Stratejik yönelimi yönlendiren temel faktörler arasında önemli siber olaylara hazırlanma ihtiyacı, kritik altyapı birimleri genelinde siber güvenlik temel çizgisini yükseltme, fidye yazılımının etkisini ölçülebilir şekilde azaltma ve teknolojinin Tasarım itibariyle Güvenli olduğu bir dünyayı teşvik etme ihtiyacı yer alıyor.
2024 için önemli bir odak alanı, özellikle Çin Halk Cumhuriyeti’ne bağlı olanlar olmak üzere APT operasyonlarına karşı savunma yapmaktır. JCDC’nin bu tehditlere karşı koymak için kullandığı spesifik stratejileri detaylandırabilir misiniz?
APT operasyonlarına, özellikle de Çin Halk Cumhuriyeti ile bağlantılı olanlara karşı koyarken JCDC, çok yönlü bir yaklaşım kullanacaktır. Özel stratejiler arasında, kritik altyapı sektörü kuruluşlarının, arazide yaşama tekniklerini kullanan faaliyetler de dahil olmak üzere, ağlarında gelecekteki kötü amaçlı faaliyetlere hazırlanma ve bunlara yanıt verme becerilerini güçlendirmek için kurumlar arası ve özel sektör ortaklarıyla işbirliği yapılması yer almaktadır.
Siber güvenlik temelinin yükseltilmesi bağlamında, kritik altyapı kuruluşlarının siber güvenlik duruşunu iyileştirmek için hangi girişimlere öncelik veriliyor?
JCDC, genel güvenlik duruşunu iyileştirmeyi amaçlayan girişimlere öncelik veriyor. Fidye yazılımı saldırılarının kritik altyapı üzerindeki etkisini ölçülebilir şekilde azaltmak ve tüm teknolojinin Tasarım Yoluyla Güvenli olmasını sağlamaya yönelik ölçülebilir ilerleme sağlamak için uyumlu bir eylemde bulunmak; bu, siber güvenliğin en başından itibaren teknoloji ürünlerine entegre edilmesini içerir.
Geçtiğimiz yıl Secure by Design, web yönetimi arayüzlerine yönelik kötü amaçlı siber faaliyetlere ilişkin farkındalığı artırmayı amaçlayan Secure by Design Alerts adlı yeni bir ürün serisini piyasaya sürdü. En son uyarı, teknoloji üreticilerini varsayılan şifrelerin kötüye kullanılması riskini etkin bir şekilde ortadan kaldırmaya teşvik etmekti. JCDC ve CISA ayrıca bir kurtarma müdahale planı geliştirdi ve yapay zeka tehdidini aktif olarak stratejik planlama girişimlerine dahil ediyor.
JCDC, ağlarını ve altyapılarını siber tehditlere karşı koruma konusunda eyalet ve yerel seçim yetkililerine nasıl yardımcı oluyor ve bu, daha geniş ulusal seçim güvenliği çabalarında nasıl bir rol oynuyor?
JCDC, eyalet ve yerel seçim yetkililerine ağlarını ve altyapılarını siber tehditlere karşı güçlendirmek için gerekli bilgi ve araçları sağlayacak. Bu, endüstri ortakları, kurumlar arası ortaklar, SLTT kuruluşları (eyalet, yerel, kabile ve bölgesel) ve satıcılar arasındaki işbirliği, planlama ve bilgi paylaşımı yoluyla gerçekleştirilecektir.
Ulusal seçim güvenliği çabaları daha geniş bağlamda, JCDC’nin desteği seçim sürecinin bütünlüğünün korunmasına yönelik önemli bir adımdır. Eyalet ve yerel seçim görevlilerini siber tehditlere karşı gerekli kaynaklar ve bilgiyle güçlendirerek her vatandaş, verilerinin ihlal edilmesi veya manipüle edilmesi riski olmadan oy kullanma hakkını kullanabilir.
‘Tasarım Yoluyla Güvenlik’ girişimini ve JCDC’nin siber güvenlik risklerini azaltmak amacıyla teknoloji ekosistemi genelinde ölçülebilir taahhütleri desteklemek için nasıl çalıştığını tartışabilir misiniz?
CISA Tasarım Yoluyla Güvenli ilkeler, teknolojinin nasıl tasarlandığını, oluşturulduğunu ve sürdürüldüğünü temelden değiştirir. Amaç, siber güvenliğin sonradan akla gelen bir düşünce olmaktan ziyade, başından itibaren teknoloji ürünlerinin özüne ve tüm teknoloji geliştirme yaşam döngüsüne entegre edilmesini sağlamaktır. Bu yaklaşım, kusurlu teknoloji ürünlerinin sayısını azaltmayı ve teknoloji ekosistemi genelinde standart olarak güçlü varsayılan güvenlik ayarlarını teşvik etmeyi amaçlamaktadır.
Geçen yıl CISA, Tasarıma Göre Güvenli Uyarı serisini yayınladı. Bu uyarılar yaygın güvenlik açıklarını belirledi ve bunların nasıl düzeltileceği konusunda yol gösterdi. CISA, en son öngörülerin ve önerilerin teknoloji topluluğuyla paylaşılmasını sağlamak için bu uyarıları yayınlamaya devam etmeye kararlıdır. Bu yıl, bu uyarılar APT aktörlerinin kötü niyetli suistimallerinin tespitini de içerecek.
Tasarım Yoluyla Güvenlik çok önemli bir kavram olsa da, eski şirketlerin benimsemesi yeni güvenlik şirketlerine göre daha zordur. Başka bir deyişle, diş macununu tekrar tüpe koymak zor olabilir ama bu işi, müşterileri ve Amerika’yı korumak için yapılmalıdır.
Bir başka odak alanı da gelişen teknolojilerle ilişkili risklerin öngörülmesidir. JCDC, yapay zeka ile ilgili tehditlerin ve güvenlik açıklarının kritik altyapıya yönelik olasılığını ve etkisini azaltmak için nasıl çalışıyor?
JCDC ve CISA yapay zeka için bir yol haritası geliştirdi. Bu, siber tehditlere karşı güçlü bir koruma sağlamak ve yapay zekanın yararlı kullanımlarını teşvik ederken yapay zekanın kötü amaçlı kullanımını caydırmak için ulusal yapay zeka stratejisiyle uyumlu kapsamlı bir plandır. CISA ve Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC) yakın zamanda önemli bir adım attı. 7 büyük endüstriyel ekonomiden oluşan Grubun üyeleri de dahil olmak üzere diğer 21 küresel kurumla birlikte geliştirilen Güvenli Yapay Zeka Sistemi Geliştirme Kılavuzlarını yayınladılar. Bu yönergeler Güvenli Tasarım etrafında şekillenir ve geliştiricilerin yapay zeka sisteminin geliştirilmesi, devreye alınması ve işletilmesi boyunca bilinçli siber güvenlik kararları almaları için bir plan görevi görür.
2024’ün ötesine baktığımızda JCDC’nin uzun vadeli hedefleri nelerdir ve gelişen siber tehdit ortamında ne gibi zorluklar öngörüyorsunuz?
JCDC, acil siber güvenlik risklerini ele almak ve ileriye dönük proaktif planlamaya öncülük etmek amacıyla özel sektör ve hükümet ortaklarını bir araya getirmek için kuruldu. Sanayi ve hükümet ortakları arasındaki işbirliğinin kapsamını ve yoğunluğunu genişletmek hedef olmaya devam edecek. Ancak, yalnızca acil olanlarla değil, giderek karmaşıklaşan ve öngörülebilir siber tehditlerle de yüzleşmek, ileriye yönelik önemli bir odak noktası olacaktır.
Gelişen siber tehdit ortamındaki zorluklar arasında teknolojik değişimin hızlı temposu, siber saldırganların karmaşıklığı, küresel ağların birbirine bağlı doğası ve ortaya çıkan tehditlerin önünde kalabilmek için uyarlanabilir ve çevik siber güvenlik stratejilerine duyulan ihtiyaç yer alıyor.