ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) liderliğindeki çok kurumlu bir çalışma grubu, operasyonel teknoloji (OT) ortamlarında sıfır güven ilkelerinin nasıl uygulanacağını ayrıntılı olarak ele alan yeni bir rehber yayınladı. 'Sıfır Güven İlkelerinin Operasyonel Teknolojiye Uyarlanması' başlıklı belge, güvenlik uzmanları ve OT operatörleri için hazırlanmış olup, sürekli çalışma ve fiziksel güvenliğin ön planda olduğu ortamlarda sıfır güven mimarilerinin getirdiği karmaşıklıkları ele alıyor. Rehberde, geleneksel BT merkezli yaklaşımların, eski sistemler, sınırlı görünürlük ve katı kullanılabilirlik gereksinimleri nedeniyle OT'ye doğrudan uygulanamayacağı vurgulanıyor.
Endüstriyel sistemlerin artan bağlantılılığıyla birlikte saldırı yüzeyi genişlemiş ve tehdit aktörleri için yeni yollar oluşmuştur. Raporda, düşmanların zayıf segmentasyon, ele geçirilmiş kimlik bilgileri ve tedarik zinciri güvenlik açıklarını kullanarak BT'den OT ağlarına sıçradığı belirtiliyor. CrashOverride ve BlackEnergy gibi kötü amaçlı yazılım ailelerinin fiziksel süreçleri bozma yeteneği gösterdiği, LOTL (living-off-the-land) tekniklerinin ise saldırganların normal operasyonlara karışmasına olanak tanıdığı ifade ediliyor. Bu gelişmeler, çevre tabanlı savunmaları yetersiz kılarak, sürekli doğrulama ve ihlal varsayımına dayanan sıfır güven modellerine geçişi hızlandırmıştır.
Rehber, OT'deki siber olayların hizmet kesintisi, ekipman hasarı ve güvenlik tehlikeleri gibi gerçek dünya sonuçlarına yol açabileceğini vurguluyor. Bu nedenle risk değerlendirmelerinde savunmaları önceliklendirirken hem dijital hem de fiziksel etkilerin dikkate alınması gerektiği belirtiliyor. Anahtar öneriler arasında pasif izleme kullanarak kapsamlı varlık envanterleri oluşturma, ağ segmentasyonu ve mikro segmentasyon uygulama, eski sistemlere uyarlanmış kimlik ve erişim kontrolleri hayata geçirme, atlama sunucuları ve çok faktörlü kimlik doğrulama (MFA) ile uzaktan erişimi güvence altına alma ve tedarik zinciri risk yönetimini satın alma kararlarına entegre etme yer alıyor.
Sıfır güvenin OT'de uygulanması, sınırlı yama pencereleri, minimal günlük kaydı yetenekleri ve uzun ekipman yaşam döngüleri gibi zorluklar ortaya çıkarıyor. Rehber, modern güvenlik özelliklerinin devreye alınamadığı durumlarda gelişmiş izleme ve sıkı erişim politikaları gibi telafi edici kontroller öneriyor. Olay müdahale planlaması ve kurtarma süreçleri de stratejinin merkezinde yer alıyor. Kuruluşlara, saldırılar sırasında kesintiyi en aza indirmek için siber müdahaleyi mevcut güvenlik prosedürleri ve iş sürekliliği planlarıyla uyumlu hale getirmeleri tavsiye ediliyor. Rehber, OT'de sıfır güven benimsemenin riski tamamen ortadan kaldırmak değil, bilinçli ve bağlama duyarlı kararlarla dayanıklılığı artırmak olduğu sonucuna varıyor.
