ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), kritik altyapı sektörlerindeki kuruluşları siber saldırılara karşı daha dirençli hale getirmek için yeni bir planlama çerçevesi başlattı. CI Fortify adı verilen bu girişim, su, enerji, ulaşım ve iletişim gibi hayati sektörlerde faaliyet gösteren şirketlerin, bir siber saldırı anında üçüncü taraf ağlardan hızla ayrılma ve tehlikeye girmiş sistemleri kurtarma becerilerini geliştirmeyi hedefliyor. CISA, bu planlamanın 'geç değil, erken' yapılması gerektiğini vurgulayarak, kuruluşların en kötü senaryolara hazırlıklı olmasını istiyor.
CI Fortify çerçevesi, özellikle telekomünikasyon, internet, tedarikçiler ve yukarı akış hizmet sağlayıcılarına güven duyulamadığı ve tehdit aktörlerinin OT (Operasyonel Teknoloji) ağına sızdığı bir senaryoyu temel alıyor. Bu durumda, kritik altyapı operatörlerinin temel hedefleri izolasyon ve kurtarma olarak belirleniyor. İzolasyon, OT sistemlerini üçüncü taraf ve iş ağlarından proaktif olarak ayırarak siber etkilerin yayılmasını önlemeyi ve iletişimin kısıtlı olduğu bir ortamda temel hizmetlerin sürekliliğini sağlamayı içeriyor.
CISA, operatörlerin askeri ve hayati hizmetler gibi kritik müşterilerini tanımlamalarını, hizmet teslimat hedefleri belirlemelerini ve iş sürekliliği planlarını güncellemelerini öneriyor. Bu planlar, haftalar veya aylar sürebilecek izolasyon dönemlerinde güvenli operasyonları mümkün kılacak şekilde tasarlanmalı. Kurtarma aşamasında ise sistemlerin belgelenmesi, kritik dosyaların yedeklenmesi ve bileşen değişimi veya manuel operasyonlara geçiş gibi senaryoların prova edilmesi gerekiyor. Ayrıca, yönetilen hizmet sağlayıcılar, sistem entegratörleri ve tedarikçilerle koordinasyon içinde iletişim, bağımlılıklar ve geçici çözümler haritalandırılmalı.
Sektör temsilcileri, CISA'nın süreklilik odaklı yaklaşımını memnuniyetle karşılarken, izolasyonun tek başına aktif bir saldırganı durdurmak için yeterli olmayacağı uyarısında bulunuyor. Xage Security CEO'su Duncan Greatwood, saldırganların genellikle kriz yanıtı başlamadan çok önce güvenilir bağlantılar, üçüncü taraflar veya ele geçirilmiş kimlik bilgileri aracılığıyla ağa sızdığını belirtiyor. 'Kuruluşlar ortam içinde kontrole sahip değilse, izolasyon tek başına yeterli değildir' diyen Greatwood, en hazırlıklı operatörlerin, CISA'nın daha önce yayınladığı OT için sıfır güven rehberliğini temel alarak kontrol ve kapsama katmanları ekleyenler olacağını ifade ediyor.
Uzmanların Görüşleri
CISA'nın bu girişimi, kritik altyapıların siber saldırılar, hava olayları ve rutin bileşen arızaları gibi her türlü kesintiye karşı daha savunulabilir hale gelmesini sağlıyor. Ajans, bu yeteneklere yatırım yapan operatörlerin, altyapılarını genel olarak daha kolay savunulabilir kıldığını belirtiyor. Uzmanlar, özellikle OT ve BT sistemlerinin eşit olmadığına dikkat çekerek, BT sistemlerinin başarısız olmasının kabul edilebilir olduğunu ancak OT'nin başarısız olmasının kabul edilemez sonuçlar doğurabileceğini vurguluyor.
Sonuç ve Değerlendirme
Sonuç olarak, kritik altyapı kuruluşlarının CISA'nın CI Fortify çerçevesini ciddiye alması ve önerilen izolasyon ve kurtarma planlarını uygulamaya koyması büyük önem taşıyor. Bu, sadece siber saldırılara karşı değil, aynı zamanda doğal afetler ve diğer beklenmedik durumlara karşı da operasyonel sürekliliği sağlamanın anahtarı olabilir. Kuruluşlar, bu planlamayı bir an önce başlatmalı ve sürekli olarak güncelleyerek siber tehditlere karşı dirençlerini artırmalıdır.
Kaynak: infosecurity-magazine.com
