Kritik Altyapıyı Siber Tehditlere Karşı Koruma Stratejileri
Yazan: Andrea E. Davis, The Resiliency Initiative’in Kurucusu ve Başkanı
Kariyerime 1999 yılında acil durum yönetimi alanında başladım. O zamanlar odak noktası, Y2K ve bilgisayarların 2 sayısını anlayamaması nedeniyle bildiğimiz dünyanın çöküşüydü. Karşılaştığımız onca etkili krizden sonra bu oldukça saçma görünüyor. o zamandan beri. Ancak teknolojiye olan bağımlılığımız konusundaki endişe ve odaklanma haklıydı. Hızlı ileri sardığımız 25 yılda, teknolojiye çok daha fazla bağımlıyız. Kritik altyapımızın omurgasını oluşturan teknolojik sistemlerimiz siber saldırılara karşı giderek daha savunmasız hale geliyor.
İlaç şirketlerinden sağlık operasyonlarına, çok uluslu bilgisayar şirketlerine kadar her gün yeni bir siber saldırı haberine uyanıyormuşuz gibi geliyor. FBI, ABD tüketicilerinin ve işletmelerinin 2023 yılında siber suçlar nedeniyle 12,5 milyar dolar kaybettiğini tahmin ediyor. Tehdit ve kayıplar giderek artıyor.
Bu yılın başlarında FBI Direktörü Christopher Wray, Temsilciler Meclisi Seçim Komitesi önünde ABD’nin kritik altyapısının savunmasızlığı konusunda ifade verdi. Direktör Wray, enerji, su, ulaşım, iletişim, finans, sağlık gibi sektörlere özellikle yabancı aktörlerden saldırı tehdidinin bulunduğunu belirtti. Kritik altyapı sistemleri giderek dijitalleşiyor ve internete bağlanıyor; bu da onları fidye yazılımlarına, kötü amaçlı yazılımlara, kimlik avı saldırılarına, hizmet reddi (DoS) saldırılarına ve diğer siber kesintilere karşı savunmasız hale getiriyor.
Ülkemizin kritik altyapısının bu siber kesintilere dayanabilecek ve bu kesintilerden kurtulabilecek kadar dayanıklı olması gerekiyor. Peki bu konuda ne yapıyoruz?
Başkanlık Politikası Direktifi 21 (PPD-21), ABD’nin kritik altyapı sektörlerinin dayanıklılığına odaklanmak için ulusal politikayı geliştirdi. Direktif, ister fiziksel ister sanal olsun varlıkları, sistemleri ve ağları ABD için çok kritik kabul edilen ve kesintinin ulusal güvenlik, ulusal ekonomik güvenlik, ulusal kamu sağlığı veya güvenliği üzerinde zayıflatıcı bir etkiye sahip olacağı düşünülen 16 temel altyapı sektörünü özetledi. bunların herhangi bir kombinasyonu. Ek olarak, Kritik Altyapı Güvenliği ve Dayanıklılığına ilişkin Ulusal Güvenlik Bildirisi’nin yakın zamanda yayınlanması, ulusal güvenlik açıklarımızı ele aldı ve ulusal güvenlik açısından merkezde yer alan sinsi siber tehditlerle yüzleşmek için stratejiler oluşturdu.
Bu siber güvenlik önlemleri, bu altyapı sektörlerini sömürüye ve kesintiye karşı korumak için gereklidir. Ayrıca birçok kritik altyapı sektörü birbiriyle bağlantılı ve birbirine bağımlıdır. Bir sektördeki aksaklığın diğerleri üzerinde kademeli etkileri olabilir. Örneğin, elektrik şebekesine yapılacak bir siber saldırı ulaşım sistemlerini, iletişim ağlarını ve sağlık tesislerini etkileyebilir.
ABD altyapısını etkileyen birkaç olayı inceleyelim:
- Ağustos 2003’te iki gün boyunca ABD ve Kanada, 50 milyondan fazla müşterinin elektriksiz kalmasıyla tarihteki en kötü elektrik kesintilerinden birini yaşadı. Kesintinin ana nedeninin siber terörizm değil, “yazılım hatası” olduğu sonucuna varıldı. Ancak ABD Enerji Bakanlığı ve Kanada Doğal Kaynaklar Bakanlığı, kesintiyi derinlemesine incelemek ve benzer kesintilerin tekrar yaşanmamasını sağlamak için önerilerde bulunmak üzere bir çalışma grubu oluşturdu. Nihai raporda “usullere ilişkin güvenlik açıklarının yetersiz, güncel olmayan bakım sözleşmeleriyle daha da arttığı” belirtildi. Aradan 20 yıl geçmesine rağmen, raporda ayrıntılı olarak açıklanan güvenlik açıkları ABD elektrik şebekesinde hâlâ varlığını sürdürüyor ve siber suçluların bilgi düzeyi önemli ölçüde arttı.
- Mayıs 2021’de ABD, en önemli kritik altyapı siber saldırılarından biri olan Colonial Pipeline fidye yazılımı saldırısına maruz kaldı. Saldırı, Colonial Pipeline’ı beş gün boyunca kapattı, boru hattı operatörlerinin %45’i etkilendi, güneydoğu ABD’de panik alımları yaşandı ve COVID-19 krizi nedeniyle zaten gergin olan sistemde önemli tedarik zinciri kesintileri hissedildi. Colonial Pipeline saldırısı, kritik altyapıya yönelik bir siber saldırının bildirilmesi konusunda hükümet düzenlemesinin bulunmadığını ve bir saldırı meydana geldiğinde ABD tüketicisine şeffaflık sağlanmadığını vurguladı. Colonial Pipeline saldırısı, bir raporlama protokolü oluşturan ve Siber Güvenlik ve Altyapı Güvenliği Dairesi’nin (CISA) tehdit izleme sorumluluklarını artıran Amerikan Siber Güvenliği Güçlendirme Yasası’nın (SACA) kabul edilmesine yol açtı.
- Son olarak, Şubat 2024’ün başlarında 70.000’den fazla AT&T müşterisi cep telefonu hizmetinden mahrum kaldı ve çok sayıda 911 çağrı merkezi “teknik bir hata” nedeniyle yaklaşık sekiz saat boyunca hizmet dışı kaldı. ABD nüfusunun %70’inden fazlası birincil iletişim aracı olarak cep telefonuna güveniyor. Bir tehdit aktörünün birkaç gün boyunca ABD’deki tüm cep telefonu ağlarında benzer bir “teknik hatayı” yeniden oluşturduğunu hayal edin.
Kritik altyapımızı korumak, ABD’nin siber güvenlik tehdidinin bir adım önünde kalması için işbirliğini, yenilikçiliği ve hazırlık ve müdahale yeteneklerinde sürekli iyileştirmeyi içeren kapsamlı ve proaktif bir yaklaşım gerektirir.
Aşağıdaki dört yönlü yaklaşımı öneriyorum:
- Kamu-Özel Ortaklıklarının Geliştirilmesi: Devlet kurumları, özel sektör kuruluşları ve diğer paydaşlar arasındaki işbirliği, kritik altyapının korunması açısından çok önemlidir. Kamu-özel sektör ortaklıkları bilgi paylaşımını, kaynak tahsisini ve acil durumlara ve siber tehditlere koordineli müdahaleyi kolaylaştırabilir. Federal Acil Durum Yönetimi Ajansı’nın (FEMA) Kamu-Özel Ortaklığı rehberi, ortaklık kurmaya yönelik sağlam bir çerçeve ve yaklaşım sunmaktadır.
- Kapsamlı Acil Durum Hazırlık ve Müdahale Planlarına Yatırım Yapmak: Acil durum yönetim planları ve protokolleri, siber saldırı kesintilerinin kritik altyapıya getirdiği benzersiz zorlukları ele almalıdır. Bu, risk değerlendirmelerinin yapılmasını, acil durum planlarının geliştirilmesini, personelin eğitilmesini ve hazırlık ve müdahale yeteneklerinin test edilmesine yönelik tatbikatların yürütülmesini içerir.
- Artan Bilgi Paylaşımı ve Koordinasyon: Etkin acil durum yönetimi ve siber güvenlik için paydaşlar arasında zamanında ve doğru bilgi paylaşımı şarttır. Devlet kurumları, kolluk kuvvetleri, sektör ortakları ve uluslararası kuruluşlar arasındaki koordinasyon, tehditlerin belirlenmesine, risklerin azaltılmasına ve olaylara verimli bir şekilde yanıt verilmesine yardımcı olur.
- Teknoloji ve İnovasyona Devam Eden Yatırım: Kritik altyapının dayanıklılığını ve güvenliğini artırmak için teknolojiye ve inovasyona sürekli yatırım yapılması gerekmektedir. Bu, gelişmiş izleme ve tespit sistemlerinin konuşlandırılmasını, güvenli iletişim protokollerinin uygulanmasını ve siber güvenlik için yapay zeka ve blockchain gibi yeni ortaya çıkan teknolojilerin kullanılmasını içerir.
yazar hakkında
Andrea Davis, acil durum yönetimi alanında dünyaca ünlü bir uzmandır. Şu anda Bayan Davis, Kadınlara Ait Küçük İşletmelerin (WOSB), Dayanıklılık Girişiminin (TRI) Başkanı ve CEO’sudur. Bayan Davis, acil bir durum öncesinde, sırasında ve sonrasında tüm topluluğa hizmet etme tutkusuyla TRI’yi kurdu. Bayan Davis, STK’larda (Amerikan Kızıl Haçı, Çocukları Kurtarın ABD), ABD Federal Hükümeti’nde (FEMA, Federal Reserve) ve Fortune 500 Şirketlerinde (Walmart, Disney) liderlik rollerinde bulunmuştur. Bayan Davis, her rolünde nüfuzunu, riske dayalı kararlar almanın ve toplumun tüm üyelerini karar alma sürecine dahil etmenin önemine odaklanan küresel girişimlere liderlik etmek için kullandı. Dayanıklılık Girişimi hakkında daha fazla bilgi edinmek veya Bayan Davis ile konuşmak için lütfen şu adrese bir e-posta gönderin: [email protected] veya http://www.theresiliencyinitiative.com adresini ziyaret edin.