Mesaj basit ama önemli: Temelleri anlatın.
Yakın zamanda yayınlanan siber güvenlik performans hedeflerinde, Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), bilgisayar sistemi sağlığını korumak ve çevrimiçi güvenliği iyileştirmek için adımlar atmanın önemini vurguladı. Hedefler, kurumun kritik altyapı olarak tanımladığı sektörlerdeki risklerin önemli hatırlatıcılarıdır, çünkü siber saldırılar günlük hayatı etkileyen hizmetleri kesintiye uğratabilir ve hatta kapatabilir. Bu, Colonial Pipeline saldırıya uğradığında enerji sektöründe ve New York’ta bir baraja yapılan saldırı ile kamu hizmeti sektöründe meydana geldi.
Kurumun NIST Siber Güvenlik Çerçevesini tamamlamak üzere tasarlanan hedefleri, riski azaltan ve siber saldırıların kritik altyapı kuruluşları üzerindeki etkisini engelleyen ortak bir temel siber güvenlik uygulamaları seti oluşturuyor. Örneğin, başarısız girişlerin tespit edilmesi, gelecekteki girişimlerin engellenmesi ve şüpheli faaliyetlerin bildirilmesi için müşterilerin hesapları için kabul edilebilir bir güvenlik düzeyi olmalıdır.
Diğer bir amaç olan cihaz güvenliği, bir sisteme yeni donanım veya yazılım kurulmadan önce bir onay sürecini savunur; ayrıca yöneticilerin güvenlik açıklarını tespit edip bunlara yanıt verebilmesi için sistem varlıklarının envanterinin yönetilmesini önerir. Cihaz güvenliğiyle ilgili olarak, günlük verilerini toplamanın ve hassas bilgileri şifreleme ile güvence altına almanın önemini vurgulayan veri güvenliği hedefi vardır.
Bireysel Kullanıcılar En Büyük Güvenlik Açığı Temsil Ediyor
Bu temel en iyi uygulamalar, siber güvenlik endüstrisindeki tüm uygulamacılara aşina olsa da, CISA, bireysel kullanıcıların ağlara yönelik en büyük güvenlik açığını temsil ettiğini kabul ettiği için bunları yükseltti. Siber hijyendeki bir hatanın kalıcı bir etkisi olabilir ve vatandaş hizmetlerini sekteye uğratabilir. Siber tehditler görünmez olsalar da gıda tedarikini, su sistemlerini, sağlık hizmetlerini ve finansal sistemleri uzun vadeli sonuçlarla birlikte fark edilir şekilde bozabilirler. CISA’nın yönergeleri desteklemesi, siber uzaydaki tehditlere ilişkin sürekli farkındalık ihtiyacını ve operasyonel bir kapanmaya yol açabilecek kayıtsızlıktan kaçınmanın önemini göstermektedir.
Saldırganlar, 87 kritik altyapı kuruluşunu etkileyen Keskin Nişancı Operasyonu saldırısında olduğu gibi, bireysel kullanıcıları şüpheli bağlantıları tıklamaları için manipüle etmek için sosyal mühendislik dolandırıcılıklarını kullanır. Bilgisayar korsanları, bu virüslü cihazlar aracılığıyla üretim tesislerinde veya atık su arıtma tesislerinde İnternet özellikli endüstriyel kontrol sistemlerine (ICS) erişim sağlayarak daha fazla kesintiye neden olabilir. Ağı eski haline getirmenin sizi genellikle yeniden faaliyete geçireceği ev veya işletme ağlarının aksine, bir atık su arıtma tesisindeki bir kesinti, filtreleri temizlemek ve operasyonel işlevleri adım adım tekrar çevrimiçi hale getirmek için günlerce veya haftalarca çalışmayı gerektirebilir.
Operasyonların kesintiye uğramasına ek olarak dikkate alınması gereken bir finansal maliyet var: 2022’de kritik altyapı kuruluşlarının %28’i, olay başına ortalama 4,82 milyon ABD dolarına mal olan yıkıcı veya fidye yazılım saldırılarına maruz kaldı.
CISA, ICS güvenlik açıklarının durumunu tanır ve bu sistemleri korumak için de performans hedefleri vardır. Pek çok kritik altyapı tesisi özel sektöre ait olduğundan, hükümet ve endüstri, güvenlik duruşundaki iyileştirmeleri koordine etmek için birlikte çalışıyor ve CISA’nın öncü bir rolü var. ICS, birçok ICS sisteminin karmaşıklığı ve eskiliği ve altta yatan operasyonel teknoloji nedeniyle belirli bir zorluğu temsil eder, ancak yönergelerini benimsemek için dört neden ile genel siber güvenliğin öneminin altını çizer:
- Birçok kuruluş temel güvenlik korumalarını benimsememiştir.
- Küçük ve orta ölçekli kuruluşlar geride kalıyor
- Kritik altyapı sektörlerinde tutarlı standartların ve siber olgunluğun olmaması
- Siber güvenlik genellikle göz ardı edilir ve yeterli kaynak sağlanmaz.
Nesnelerin İnterneti (IoT) daha fazla cihazı birbirine bağladığından, kritik altyapının saldırı yüzeyi artacak ve muhtemelen başarılı saldırıların maliyeti artacaktır. CISA’nın kritik altyapı olarak kabul ettiği sağlık hizmetlerinde, İnternet özellikli ekipman bir risk oluşturmaktadır. Bir hastanenin sistemleri iyi korunuyorsa ancak bir tedarikçi kodu diyaliz veya manyetik rezonans görüntüleme makinelerinde güvence altına almadıysa, hastane savunmasız hale gelir.
CISA’nın yeni siber güvenlik hedeflerini uygulamak, siber savunmaları iyileştirmek için özel bir yatırım, iş süreci iyileştirmesi ve düzenli denetim gerektirir. Donanım, yazılım ve verilere yönelik saldırılar daha karmaşık hale geldikçe, siber teknolojinin sürekli modernizasyonu ile savunmalar da karmaşık hale gelmelidir. Kurumun siber güvenlik farkındalığını artırma, tehditlere karşı savunma yapma ve daha güvenli ve esnek bir altyapı için çaba gösterme misyonundan yararlanacak olan CISA ile altyapı sağlayıcıları arasında işbirliği gerektirir. CISA’nın siber güvenlik için atılacak temel adımlara yaptığı vurgu temeldir. Geriye doğru bir adım gibi görünebilir, ancak aslında ileriye doğru önemli bir adımdır.