Son dört yılda Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), ülkenin siber güvenlik manzarasını şekillendirmede hayati bir güç olarak ortaya çıktı. Kritik altyapıyı korumak ve ortaya çıkan siber tehditleri azaltmak için kurulan CISA, ulusal güvenliğin sürekli değişen taleplerini karşılamak için sürekli olarak gelişti.
ABD 2025 ve sonrasına doğru ilerlerken, kurumun en önemli politika eylemlerinin incelenmesi, kurumun hem ülkenin dijital hem de fiziksel altyapılarının güvenliğini ve dayanıklılığını sağlamada artan etkisine dair bir pencere sunuyor.
2024: Kritik Altyapı Direncine Yenilenmiş Bir Odaklanma
En son gelişme, Nisan 2024’te Kritik Altyapı Güvenliği ve Dayanıklılığına İlişkin Ulusal Güvenlik Memorandumu’nun (NSM-22) CISA’nın liderlik rolünü güçlendirmesiyle gerçekleşti. Bu mutabakat, ajansın ABD Kritik Altyapısının Güvenliği ve Dayanıklılığı Ulusal Koordinatörü konumunu resmileştirerek, CISA’nın ülkenin altyapısındaki güvenlik açıklarını azaltmayı amaçlayan iki yılda bir risk yönetimi döngüsü uygulamasına olanak tanıdı.
Bu girişimin kritik bir parçası, çeşitli endüstrilerdeki riskleri değerlendirmek için hem kamu hem de özel sektörden ortaklarla işbirliğine öncelik vermektir. CISA, paydaşların aktif katılımını sağlayarak sektöre özgü tehditleri daha iyi anlamayı ve ulusal düzeyde riskleri azaltmayı amaçlamaktadır.
Programın en dikkate değer sonuçlarından biri, önümüzdeki yıllarda kritik altyapıların korunmasına yönelik federal çabalara rehberlik edecek 2025 Ulusal Altyapı Risk Yönetimi Planının oluşturulması olacak.
2023: Siber Güvenlik Stratejilerinin ve Yapay Zeka Girişimlerinin Güçlendirilmesi
2023 yılı, Ulusal Siber Güvenlik Stratejisi’nin (NCS) yayınlanmasıyla ülkenin siber güvenlik stratejisinde önemli bir döneme damgasını vurdu. Siber güvenliğe kapsamlı bir yaklaşımın ana hatlarını çizen bu belge, devlet kurumları ile sektör liderleri arasındaki iş birliğinin güçlendirilmesinin önemini vurguluyor. Vurgulanan birçok eylem arasında CISA aşağıdaki konularda merkezi bir rol oynadı:
- Ulusal Siber Olaylara Müdahale Planının Güncellenmesi: Bu plan, siber olaylar sırasında koordineli çabaları kolaylaştırmayı, daha verimli ve uyumlu bir müdahale sağlamayı amaçlamaktadır.
- Fidye Yazılımına Karşı Çabaların Genişletilmesi: CISA, eşgüdümlü ulusal çabalarla fidye yazılımı saldırılarının etkisini azaltma misyonunu sürdüren Ortak Fidye Yazılımı Görev Gücü’ndeki (JRTF) liderliği aracılığıyla fidye yazılımıyla mücadele konusundaki kararlılığını daha da güçlendirdi.
- Sektör Paydaşlarıyla İşbirliğinin Geliştirilmesi: CISA, endüstri ortaklıkları aracılığıyla, hem kamu hem de özel kuruluşların gelişen tehditlerle yüzleşmek için iyi donanıma sahip olmalarını sağlayarak operasyonel güvenliği iyileştirmeyi amaçladı.
Ülke, yapay zekanın (AI) yükselişiyle boğuşurken, 2023’ün sonlarındaki 14110 sayılı Kararname, CISA’nın yapay zeka sistemlerinin geliştirilmesini ve kullanımını güvence altına almadaki rolünü vurguladı. Emir, CISA’ya paydaşların kritik altyapıyı yapay zeka ile ilgili risklerden korumasına yardımcı olma ve aynı zamanda teknolojinin siber güvenlik savunmalarını geliştirme potansiyelini keşfetme görevi verdi.
Odaktaki bu değişim, yapay zekanın siber güvenlik ekosistemi için sunduğu riskleri ve fırsatları vurgulayarak CISA’yı inovasyon ve güvenliğin kesişim noktasında konumlandırıyor.
2022: Olay Raporlamanın Geliştirilmesi ve Fidye Yazılımı Savunmasının Güçlendirilmesi
2022, kritik altyapı kuruluşlarının siber olayları ve fidye yazılımı ödemelerini 24 saat içinde CISA’ya raporlamasını gerektiren önemli bir yasa olan Kritik Altyapı için Siber Olay Raporlama Yasası’nın (CIRCIA) yürürlüğe girdiği yıl oldu. Bu yasa, teşkilata olaylara müdahale etme ve sektörler arası savunmayı güçlendirmek için eyleme dönüştürülebilir istihbarat yayma konusunda daha doğrudan bir rol verdi. Zamanında hazırlanan raporlar CISA’nın şunları yapmasını sağladı:
- Siber saldırı mağdurlarına hızlı yardım sunun.
- Ortaya çıkan eğilimleri ve tehditleri tespit etmek için gelen raporları analiz edin.
- Daha fazla saldırıyı önlemek için bulguları ağ savunucularıyla paylaşın.
CIRCIA’nın geçişi aynı zamanda fidye yazılımı risklerini ele almayı amaçlayan iki hayati programın da ortaya çıkmasına neden oldu. CISA ve FBI’ın ortak başkanlığını yaptığı Ortak Fidye Yazılımı Görev Gücü (JRTF), fidye yazılımıyla doğrudan mücadele etmek için ülke çapında bir girişimi koordine etti. Bu görev gücü, bu saldırılara karşı birleşik bir cephe oluşturmak için federal, eyalet, yerel, kabile ve bölgesel (SLTT) kurumlarını özel şirketlerle birleştirdi.
Fidye Yazılımı Güvenlik Açığı Uyarı Pilotu (RVWP), CIRCIA kapsamındaki bir başka kilometre taşıydı. Bu program, fidye yazılımı aktörlerinin istismar ettiği yaygın güvenlik açıklarını belirlemeye çalıştı ve duyarlı sistemlere sahip kuruluşlara uyarılar verdi.
Yalnızca 2023 yılında RVWP, 1.700’den fazla güvenlik açığı bildirimi yayınlayarak, tespit edilen cihazların neredeyse yarısı için yamalar ve telafi edici kontroller dahil olmak üzere siber güvenlik uygulamalarında önemli iyileştirmelere yol açtı.
2021: SolarWinds’e Yanıt Olarak Siber Güvenlik Temellerinin Güçlendirilmesi
CISA’nın ABD siber güvenlik temellerini güçlendirmedeki önemli rolü, 2020’nin sonlarında gerçekleşen SolarWinds tedarik zinciri saldırısının ardından açıkça ortaya çıktı. Çok sayıda federal kurumu tehlikeye atan bu saldırı, Mayıs 2021’de 14028 sayılı Yönetici Kararnamesi’nin yayınlanmasına yol açtı. birkaç yüksek öncelikli eylem:
- Tehdit Bilgi Paylaşımını İyileştirme: CISA, federal kurumlar ile özel kuruluşlar arasında daha iyi iletişimi kolaylaştırarak, ülkenin siber tehditleri tespit etme ve bunlara yanıt verme yeteneğini geliştirmeye çalıştı.
- Federal Siber Güvenlik Standartlarının Modernleştirilmesi: Emir, gelişen siber tehditlere karşı savunmayı artıracak bir çaba olarak, federal ağlar genelinde siber güvenlik uygulamalarının modernleştirilmesi çağrısında bulundu.
- Yazılım Tedarik Zincirinin Güvenliğini Sağlama: SolarWinds saldırısının açığa çıkardığı güvenlik açıkları göz önüne alındığında CISA, gelecekteki riskleri azaltmak amacıyla yazılım geliştirme ve dağıtımında daha güçlü güvenlik önlemleri uygulamaya çalıştı.
Aynı yıl CISA, küçük kuruluşların siber güvenliklerini güçlendirmelerine yardımcı olmak için tasarlanmış bir dizi en iyi uygulama olan Siber Güvenlik Performans Hedeflerini (CPG’ler) de tanıttı. Bu yönergeler, sektör uzmanlarıyla yapılan kapsamlı istişareler sonucunda geliştirildi ve kuruluşlara güvenlik önlemlerini önceliklendirmek için açık, uygulanabilir bir çerçeve sağlamayı amaçladı.
İleriye Bakış
CISA, cesur yaklaşımı ve artan etkisi ile ulusal siber güvenliğin sadece hızına ayak uydurmakla kalmıyor, aynı zamanda aktif olarak ulusal siber güvenliğin geleceğini de şekillendiriyor. 2025’e girerken ajansın federal ve eyalet hükümetleri, özel şirketler ve uluslararası müttefiklerle stratejik ortaklıkları, siber tehditlere karşı savunmada yeni bir çağın temel taşı olacak.
Yeni nesil siber güvenlik yeniliklerinin başında yapay zeka bulunan CISA, siber rakipleri zekasıyla alt etmek ve geride bırakmak için teknolojinin gücünden yararlanarak bu sorumluluğu üstlenmeye hazırlanıyor. Ancak önümüzdeki yolculuk hiç de kolay olmayacak; yeni tehditler ortaya çıkacak, eskileri gelişecek ve dayanıklılığa olan talep daha da artacak.
Bir sonraki bölüm nasıl olacak? CISA manzarayı yeniden tanımlamaya devam ederken kesin olan tek bir şey var: Siber güvenlik savaşı henüz bitmedi ve önümüzdeki yıllar ABD’nin bir adım önde kalıp kalamayacağının belirlenmesinde çok önemli olacak.
İlgili