İngiltere Ulusal Siber Güvenlik Merkezi (NCSC), kuruluşları yapay zeka (YZ) araçlarının hızla artırdığı güvenlik açığı keşiflerinin yol açacağı yama dalgasına karşı hazırlıklı olmaya çağırdı. NCSC CTO'su Ollie Whitehouse, özel ve açık kaynak yazılımlarda yıllardır biriken teknik borcun 'zorunlu düzeltme' ile ele alınacağını belirtti. Anthropic Mythos Preview ve OpenAI GPT-5.4 gibi güçlü YZ araçları, şimdiye kadar kamuoyundan ve tehdit aktörlerinden uzak tutulurken, satıcılar bu araçları kendi ürünlerindeki hataları bulmak için kullanıyor. Whitehouse, 'Bu nedenle tüm kuruluşları bir 'yama dalgası' geldiğinde hazırlıklı olmaya teşvik ediyoruz; teknoloji yığını boyunca uygulanması gereken bir yazılım güncellemesi telaşı' dedi.
Whitehouse, güvenlik ekiplerine öncelikle dış saldırı yüzeylerine odaklanmalarını tavsiye etti. Bu, çevre birimlerindeki güvenlik açıklarını kapatarak başlayıp daha sonra 'içe doğru' bulut ve şirket içi sistemlere geçmek anlamına geliyor. Ayrıca NCSC'nin Güvenlik Açığı Yönetimi rehberine başvurulması, hizmet kesintisine yol açmadığı sürece otomatik 'sıcak yama' etkinleştirilmesi, gömülü cihazlar da dahil otomatik güncellemelerin açılması ve bunlar mümkün değilse Paydaş Spesifik Güvenlik Açığı Sınıflandırması (SSVC) gibi risk öncelikli bir yaklaşım benimsenmesi önerildi.
Whitehouse, 'Yamanın tek başına her zaman yeterli olmayacağını anlamak da önemlidir; bazı teknik borçlar, desteği sona ermiş 'ömür sonu' veya eski teknolojilerde bulunabilir ve bu nedenle güncelleme alamaz' dedi. Bu gibi durumlarda kuruluşların teknolojileri değiştirmesi veya tekrar destek kapsamına alması gerekiyor, özellikle de dış saldırı yüzeyi oluşturuyorsa. Kritik altyapı sağlayıcıları için Cyber Essentials ve NCSC'nin Siber Değerlendirme Çerçevesi (CAF), geleneksel güvenlik açıklarının ötesindeki sistemik riskleri yönetmede hayati önem taşıyor.
Yama yükü özellikle ABD'de büyük olabilir; zira Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın (CISA) federal kurumlar için yama uygulama süresini ortalama üç haftadan üç güne düşürmeyi değerlendirdiği bildiriliyor. Reuters haberine göre, bu planlar NCSC'nin ifade ettiği endişelerden kaynaklanıyor: En güçlü YZ araçlarının yanlış ellerde, tehdit aktörlerinin neredeyse tüm bilgi işlem sistemlerindeki güvenlik açıklarını hızla bulup istismar etmesine olanak tanıyabilir.
BeyondTrust baş güvenlik danışmanı Morey Haber, yalnızca yama otomasyonu, gerçek zamanlı güvenlik açığı yönetimi, bulut güvenlik duruş yönetimi, kimlik odaklı kontroller ve risk temelli önceliklendirmeye yatırım yapan kuruluşların bu iddialı son tarihlere ulaşabileceğini savundu. 'Ne yazık ki çoğu işletme saldırı yüzeylerine sürekli görünürlüğe sahip değil, gerçek zamanlıya yakın önceliklendirme ve düzeltme bir yana. Güvenlik açığı taraması hala ayda bir veya en iyi ihtimalle haftada bir, hatta bazı durumlarda üç ayda bir yapılıyor' dedi.
Haber, 'Teknik borç, eski sistemler ve parçalı sahiplik modelleri, hiçbir zorunluluğun bir gecede ortadan kaldıramayacağı sürtüşmeler yaratıyor ve devlet kurumları son dönemdeki personel çıkarmaları, fon ve uzmanlık eksikliği nedeniyle zaten kaynak sıkıntısı çekiyor. Politika burada gerçek dünya uygulamasıyla çarpışıyor' diye ekledi.
Kaynak: infosecurity-magazine.com
