Sektörden Haberler

2022 EKS OT Siber Güvenlik Analizi

16 Aralık 2022

Kritik Altyapı Sektöründeki Artan Riskler, daha yetenekli süreçleri, teknolojileri ve nitelikli personeli aranır hale getirdi.

2022'de endüstriyel siber güvenlik sektörü; kontrol sistemi bileşenleri, endüstriyel protokoller ve mühendislik operasyonları üzerinde gerçekleşen ve kritik altyapı operasyonlarını doğrudan/dolaylı olarak etkileyen düşmanca saldırılarla yüzleşmeye artan bir oranda devam etti. 

 

Endüstriyel Kontrol Sistemleri (EKS) altyapılarında gerçekleşen bu saldırılarla mücadele etmek, Bilgi Teknolojileri (BT) altyapılarından tamamen ayrı; farklı riskleri ve risk yüzeylerini yönetmek için farklı güvenlik becerileri, teknolojileri, süreçleri ve yöntemleri gerektiriyor.

 

2022 Yılı aynı zamanda, tehdit ortamını yeniden şekillendiren ve kritik altyapıyı korumakla görevli herkes için aslında ne kadar aciz olunduğunu kanıtlayan Rusya-Ukrayna arasındaki çatışmaya da şahitlik etti.

 

Siber güvenlik firması Nozomi Networks ve SANS Enstitüsü tarafından yakın zamanda yürütülen ortak bir çalışma, kritik altyapıları etkileyen riskleri ve tehditleri yeniden belirlerken, operasyonların güvenliğini ve güvenilirliğini sürdürmek için EKS risklerini yönetme konusunda da yön veriyor. Ayrıca çalışma, Endüstri sektörünün siber ihlal olaylarına nasıl daha fazla hazırlıklı olarak ve EKS siber güvenliği için daha fazla bütçe ayırmaya istekli bir şekilde yanıt verdiğini özetliyor.

 

Bununla birlikte, tüm dünyada siber güvenlik konularında bilgisiz, ilgisiz, savunmasız durumda olan ve tehdit ortamına ayak uydurmakta önlerinde büyük zorluklar bulunan kayda değer sayıda kuruluş var.

 

EKS/OT teknolojilerinin ve süreçlerinin güvenliğini sağlamada karşılaşılan zorluklardan bazılarına gelirsek;

 

  • Modern BT sistemleriyle teknik olarak entegre edilmiş, yaşam döngüsünü tamamlamış veya tamamlamak üzere olan OT teknolojisinin kullanımını,

 

  • Altyapılarda EKS için tasarlanmamış geleneksel BT güvenlik teknolojilerinin konuşlandırılmasını,
  • OT operasyonel gereksinimlerini anlayamayan BT personelinin sistemlerin güvenliğinden sorumlu kılınması ve mevcut güvenlik planlarını uygulamak için yetersiz ve niteliksiz işgücü kaynaklarının istihdamını gösterebiliriz.

 

 

Hazırlanan rapora göre, EKS tehdit ortamına bakıldığında, bu yıl bazı sektörlerin diğerlerine göre daha fazla hedef alındığını belirtebiliriz. Bunlar arasında hizmet sektörü, sağlık ve halk sağlığı kuruluşları ve üretime dayalı ticari tesisler (Kritik tesisler de bu başlık altında değerlendirilmektedir) yer almaktadır ki güvenli ve güvenilir çalışması elzem olan operasyonel süreçlerin yetkisiz kişilerce manipüle edilebileceği ilk üç sektör arasında bunlar bulunmaktadır. Geçtiğimiz sene bu üç sektörden kuruluşlar arasından yalnızca yüzde 11'i, EKS/OT sistemlerini etkileyen bir olay yaşadıklarını bildirdi. Yine bunların çoğu sistemlerine yönelik 50'den az sayıda siber güvenlik olayı yakalayabildi ki, bu sayı bilinen ihlal ortalamalarının hala çok altında. Yine de bu düşük sayılarda bile altyapılardaki kesintiler son derece etkili olabilir.

 

Yılın başında Rusya'dan gelen can sıkıcı haberlerin ışığında, savaşın yaklaşıyor olması ile birlikte, ABD Siber Güvenlik ve Altyapı Güvenliği Teşkilatı (CISA) bir "Shields Up (Kalkanları Kaldırın)" uyarısı vermişti. CISA ülkedeki her kuruluşu, temel hizmetleri kesintiye uğratabilecek ve potansiyel olarak kamu güvenliğini etkileyebilecek siber tehditlerden kaynaklanan potansiyel riskler konusunda bilgilendirdi. ABD anakarasında siber savunmaları desteklemenin yanı sıra, kritik altyapı ağlarını aksatmak için siber saldırıları kullanma yönündeki artan eğilim, ABD hükümetinin Ukrayna'ya, özellikle de altyapı savunucularına verdiği desteği yoğunlaştırmasına neden oldu.

 

Haziran ayına kadar, ABD yönetiminin bu destek girişimleri, siber saldırılara karşı savunmaya yönelik  yapılan sürekli yatırımlar ve doğru zamanda, doğru kişilerin, doğru tepkiyi vermesi için hazırlanan ve potansiyel olarak ülkenin siber güvenlik direncini artıracak bir uyarı sistemi ile belirlenen 'yeni normal' bir proje olarak geliştirildi. 

 

Ekim ayında CISA, kritik altyapı sektörü için standart bir temel siber güvenlik uygulamaları seti oluşturmaya yardımcı olmak maksadıyla, gönüllülük esasına dayalı ve kapsamlı olmayan sektörler arası siber güvenlik performans hedefleri yayınlayarak mevcut önlemlerini artırdı. Bu temel hedefler, kararlara, harcamalara ve tedbirleri artırmaya öncelik verirken muhtemelen endüstriyel siber güvenlik duruşunu yükseltmeye yardımcı olacaktır.

 

Nozomi-SANS çalışması, küresel olarak görülen fidye yazılımı saldırılarındaki artışla birlikte, ihlale maruz kalanları/kalma potansiyeli olanları en çok endişelendiren tehdit vektörlerini sorguladığında, fidye yazılımı veya maddi karşılığı olacak suçların bir numara olması şaşırtıcı değil. EKS destek hizmetlerinin konumuna ve ağ mimarisine bağlı olarak, BT ağlarını etkileyen fidye yazılımlarının bile EKS operasyonları üzerinde bir etkisi olabilir.

 

Aralık ayına geldiğimizde ve tüm yıla genel bir bakış ile yaklaştığımızda; 2022, kritik altyapı kurulumlarını hedef alan kötü amaçlı yazılım, fidye yazılımı ve kimlik avı teknikleri kullanan saldırganlarla birlikte, önemli sayıda siber güvenlik olaylarına tanık oldu. 

 

Stratejik rekabetin yoğunlaşmasıyla; Çin, Rusya, İran ve Kuzey Kore yıllardır üstlendikleri kuvvet modernizasyonuna daha fazla güveniyorlar ve emellerini ilerletmek için daha fazla fırsat arıyorlar. Bu fırsatların bir çoğu artık savaş sahasında değil. İnsanların günlük hayatını etkilemek, rejimlerine karşı ayaklanmalarını sağlamak, iç karışıklık ile rakip ya da düşman ülkeleri zayıflatma politikası siber uzay üzerinden gerçekleştirilmek isteniyor. 

 

Yine rapora göre, masanın diğer tarafındaki ABD, askeri gücüne meydan okuma, potansiyelini sınırlama veya yok etme amacı güden ve yeni yeteneklere sahip olan rakiplerin siber saldırıları ile  karşı karşıya kalmaktadır. Bu devlet ve devlet dışı aktörler, bu yeteneklerini seçici olarak küresel ve bölgesel olarak devreye almaktan çekinmiyor. Bu yeteneklerin oluşturduğu tehditler, deniz, kara, hava savunması, elektronik harp , siber uzay, bilgi ve uzay dahil olmak üzere tüm savaş alanlarını kapsamaktadır.

 

Hızla gelişen teknoloji, özel malzemelerdeki gelişmeler, yüksek performanslı bilgi işlem cihazları, robotik, yapay zeka (AI) ve biyoteknoloji hayatı kolaylaştırmanın yanında, rakip/düşmanın saldırı yeteneklerini arttıracak ve ek zorluklar ortaya çıkaracaktır. Özellikle Çin ve Rusya, uzay ve karşı-uzay yeteneklerindeki ilerlemelere devam ediyor ve ABD altyapısına operasyonel erişimlerini artırmak için siber uzayı son derece etkin olarak kullanıyor.

 

Hasım devlet politikalarının yanında, halkın günlük yaşamını, sektörel üretim ve hizmet altyapısını hedef alan saldırganlar da hiç azımsanmayacak düzeyde varlıklarını geliştiriyor. Yakın tarihli başka bir araştırma (Takepoint), sektörel olarak ankete katılanların yaklaşık yüzde 60'ının mevcut siber saldırı kurtarma planlarının OT/EKS altyapılarını yeterince desteklenmediğini gösteriyor. Yine, yüzde 63'ü, kritik OT iş istasyonları ve makineleri için siber saldırı kurtarma planlarının var olduğunu, ancak bu planların güncel ve güvenilir olmadığını düşündüklerini bildiriyor. Ayrıca ankete katılanların yüzde 90’ı, OT/EKS altyapısının bir saldırıya karşı olası bir kurtarma sürecinde; OT ve BT ortamları arasındaki önemli farklılıklar nedeniyle, asıl sorumluluğun BT'ye değil OT uzmanlarına ait olması gerektiğini açıklıyor. Buradan anladığımız üzere ankete katılanların ezici bir çoğunluğu BT personeli ve bu kurtarma sürecinde sorumluluk almak istemiyorlar. OT personeli de hiç anlamadığı bir konuda yükün kendi üstlerine kalmasını adil bulmuyor.

 

Yeniden araştırmamıza dönelim. Yıl içerisinde EKS ortamlarında "tesis dışından" saldırganların sayısında her zamankinden daha fazla bir artış oldu. Bu EKS saldırı gruplarının, kontrol sistemlerine yetkisiz erişim sağlayarak, endüstriyel ortamlara özgü sistemleri, özellikleri ve endüstri protokollerini kötüye kullandıkları gözlemlenmiştir. Örnek olarak, bir saldırganın yasal operatör erişimi olan bir HMI'ye erişim elde etmesi, daha sonra örneğin bir elektrik trafo merkezindeki sahadaki devre kesicileri açmak veya bir kimyasal karışımı değiştirmek için sürece karşı HMI komutlarını kullanması verilebilir.

 

Nozomi-SANS raporuna göre saldırı vektörleri değerlendirildiğinde, saldırganların gömülü sistemler ve geçerli mühendislik yazılımları, özellikleri ve EKS altyapısında kullanılan haberleşme protokollerini saldırılarında etki yaratmak için kullanmasına rağmen, hiçbir kötü amaçlı yazılımın kullanılmadığını belirtiyor.

 

EKS saldırı çerçevesi son 10 yılda çok gelişti. 2014'teki HAVEX, daha yakın zamanda elektrik gücünü hedefleyen özel CRASHOVERRIDE ve 2022'de Incontroller/PIPEDREAM etkisi ölçeklenebilir değerli saldırılar oldu.

 

2022 Yılı boyunca, Forescout'un Vedere Laboratuvarları, 10 OT teknoloji üreticisinin (Baker Hughes (Bentley Nevada), Emerson, Honeywell, JTEKT, Motorola, Omron, Phoenix Contact, Siemens ve Yokogawa dahil) cihazlarını etkileyen "güvensiz tasarım" uygulamalardan kaynaklanan 56 güvenlik açığı keşfetti. Topluca OT:ICEFALL olarak adlandırılan bu güvenlik boşlukları dört ana kategoriye ayrılıyor. Bunlar; güvensiz mühendislik protokolleri, zayıf kriptografi veya bozuk kimlik doğrulama şemaları, güvenli olmayan üretici yazılımı güncellemeleri ve yerel işlevsellik yoluyla uzaktan kod yürütme.

 

Geçen ay Vedere Labs, iki Alman üreticinin OT ürünlerini etkileyen üç güvenlik açığını daha açıkladı. Festo da dahil olmak üzere farklı endüstriyel sektörlerdeki yüzlerce cihaz üreticisi tarafından kullanılan Festo otomasyon kontrolörleri ve CODESYS işletme programı.

 

BT ve OT birimleri arasındaki karmaşa ve sorumlulukların net olarak belirlenememesi yeni bir “Siber Güvenlik Hizmet Alanı” meydana getiriyor. EKS Güvenlik Sektörü. Bu sayede, insan kaynakları birimleri belirli EKS sertifikaları aramaya başladılar ve EKS güvenlik iş kolunda istihdam edilecek personel profili yüksek talep görmekte. Sektörel öngörü olarak, mevcutta OT sistemlerinde çalışanlar, EKS güvenliğinde eğitim alarak konu ile ilgili bilgilerini artırmak ve sahip olacakları akreditasyon ile kariyer yollarını sağlamlaştırmak için seçenekler arayacaklardır. Kuruluşlar bunun değerini biliyor ve EKS'ye özgü yetenekli kaynakları elde tutmak için çalışacaklar; ancak, işe alma konusunda esnek olmaları ve gerekli beceri setlerini oluşturmak için meslek içi eğitimlere ve uzmanlara daha yakın olmaları gerekecektir.

 

ABD’de Ulusal Siber Direktörlüğü Ofisi (ONCD) üç aşamalı bir yaklaşımla; siber işgücü, siber eğitim/öğretim ve dijital farkındalığa odaklanan ulusal bir strateji geliştiriyor. Bu kapsamda; ABD Ulusal işbirliği çerçevesinde Enerji Bakanlığı (DOE), ABD enerji sektörü için siber savunma iş gücünde istihdam edilenlerin/edileceklerin, siber güvenlik bilgilerini ve yeteneklerini genişletmeyi amaçlayan OT Defender Fellowship'in bir sonraki istihdam hedefine yönelik başvuruları kabul etmeye başladı.

 

Yine ABD merkezli bir siber güvenlik firması olan Dragos, Dragos OT-CERT sertifika programını (öncelikle endüstriyel altyapının güvenliğini sağlamadaki kaynak boşluklarını gidermek için oluşturulmuş, endüstriyel varlık sahipleri ve operatörleri için tasarlanmış bir siber güvenlik kaynağı) başlattığını açıkladı. Sektörde otorite kabul edilecek ve geçerli sayılacak bu sertifika sayesinde, siber güvenlik uzmanlarının OT altyapılarda niteliğinin belirli seviyede sağlanması ve ardından istihdamın gerçekleşmesi planlanmaktadır.

 

OT teknoloji üreticileri, hükümet ve endüstri ortaklarıyla birlikte çalışan ve aynı zamanda üreticiden bağımsız, tüm ürünlerle birlikte çalışabilir, standartlara dayalı siber güvenlik çözümlerini savunan bir OT Siber Koalisyonu (Operasyonel Teknoloji Siber Güvenlik Koalisyonu) oluşturmak için yıl boyunca defalarca bir araya geldiler. Tüm OT yaşam döngüsünü ele alan Koalisyon, ülkenin kritik altyapı varlıklarını korumak ve OT ortamlarının siber güvenliğini iyileştirmek için toplu deneyimlerini kullanmaya odaklanacaklar.

 

ABD’de resmi cephede ise, bir EKS siber güvenlik eğitim tasarısı Haziran'da Temsilciler Meclisi'nde ve Eylül'de Senato'da onaylandı. Tasarı, CISA'ya EKS güvenlik eğitimi vermek için yeni bir girişimi üstlenme ve finanse etme yetkisi vermiş görünüyor. CISA ve Bilim ve Teknoloji Müdürlüğü (S&T), hem fiziksel hem de çevrimiçi günlük tehditlerle mücadele etmeye yardımcı olacak yeni teknolojiler ve araçlar geliştirmek ve test etmekle yükümlüler.

 

Yine meclis onayıyla Mayıs ayının başlarında, CISA'nın EKS Siber Acil Durum Müdahale Ekibi, Idaho Ulusal Laboratuvarı'nın Kontrol Ortamı Laboratuvarının (CELR) araştırma bölgesinin kapsamını genişletildi.

 

2022 yılı için büyüyen tehdit istatistikleri ile birlikte, Lloyd's of London Ağustos ayında yaptığı açıklamayla 2023'ten itibaren "felaket senaryoları içeren" devlet destekli saldırılar olabileceğini ve bunlar için siber sigorta istisnalarını uygulamaya koyacaklarını açıkladı.

 

Yazının bundan sonraki kısmı için; kaynak olarak kullandığımız Industrial Cyber ekibinin neler yaptığına bir göz atalım. Senenin başında Industrial Cyber, Ukrayna'da yaklaşmakta olan Rus savaşı ile daha da etkisi artan siber güvenlik mekanizmalarının etkisini değerlendirmek için siber güvenlik uzmanlarıyla iletişime geçti. Ek olarak uzmanlar, EKS ve OT ortamlarında resmi kanalların zorlamasıyla alınan tedbirlerinin oynadığı rolü ve kuruluşların güvenlik açıklarını tespit etme, keşfetme ve koruma konusunda daha iyi bir konumda olup olmadığını analiz etmeye başladı. Bu sayede; sektördeki yeniliklerin ve politika yapıcıların etkisi ile, yıl içerisinde EKS/OT sistem operatörlerinin olası siber tehditleri görmesine ve anlamasına yardımcı olma konusunda önemli ilerleme kaydedilmiştir. Ancak, sistemlerin sürekli risklere ve tehditlere karşı izleniyor olmasına dayalı bu esas, ilerleme için bir gereklilik olsa da, EKS/OT'yi kasıtlı siber tehlikelerden korumak için tek başına yeterli değildir. Kuruluşların düşmanca saldırı eylemlerine karşı korunması için zararın etkilerinin azaltılması ve bunun için alınacak önlemlerin önceliklendirmesi gerekiyor. Ayrıca, Rusya-Ukrayna çatışmasının tırmanması, siber operasyonların askeri faaliyetlerin ayrılmaz bir parçası olduğunu ve kritik altyapılar için sonuçları olduğunu göstermektedir. Ulusal çıkarların korunması adına Siber Alanda artırılan uzmanlık bizlere bu alanın kritik fonksiyonları olduğunu ispatlamaktadır. Çatışma alanı etrafında şekillenen siber eylemlerin, kritik bir altyapıyı hedef alan siber etkilerinin birden çok kritik altyapıyı nasıl etkileyebileceğini düşündükçe, koruma tedbirlerinin geliştirilmesine yönelik politikalara öncelik verilmesi gerektiği bir kez daha gözlemleniyor. Bir savaşın yan faktörü olarak siber eylemlerin, örneğin, Avrupa enerji sistemlerinin ViaSat ağ cihazlarına yapılan saldırıdan nasıl etkilendiğini gördük. Altyapı operatörlerinin, güvenlik açısından kritik operasyonlarda esnekliğe sahip olduklarından emin olmak için tedarik zincirlerini derinlemesine incelemeleri gerekiyor.

 

Yaşadığı olumsuz deneyimlerle beraber, geçtiğimiz yıl boyunca, küresel siber tehdit ortamına bağlı olarak siber güvenliğin ABD’de Biden yönetimi için en önemli öncelik haline geldiğini de gözlemledik. Ulusal hukuk firması Baker Donelson'ın ortak politika danışmanı Michael McLaughlin, Industrial Cyber'e verdiği demeçte, Ukrayna'daki savaşın başlangıcından bu yana, küresel olarak siber saldırıların %15'ten fazla arttığını bildirmiştir. Rusya'nın kritik altyapı ve endüstriyel kontrol sistemlerini tarihsel olarak hedeflediğini biliyoruz. Dolayısıyla, bu artışın temsil ettiği tehdit en şiddetli şekilde kritik altyapı sektörlerinde hissedildi. McLaughlin, ayrıca hem ulus devletlerden politik motivasyonlarla hem de fidye yazılımı aktörlerinden maddi çıkar elde etmek için gelen tehditlerle baş edebilmek için Başkan Biden'ın Mart ayında Kritik Altyapı için Siber Olay Raporlama Yasasını imzaladığını da eklemiştir. Bu yeni yasa, kritik altyapı sektörlerindeki kuruluşlar için katı siber olay raporlama gerekliliklerini zorunlu kılıyor: "herhangi bir siber olayı" bildirmek için 72 saat ve bir fidye yazılımı ödemesini bildirmek için 24 saat. Bu sürelere riayet etmeyen kuruluşlar özelinde ciddi yaptırımlar öngörüyor yasa. Bu yeni mevzuat, CISA ve federal hükümete siber olayların daha fazla görünürlüğünü sağlayacak olsa da, kuruluşların güvenlik açıklarını daha iyi tespit etmelerini, keşfetmelerini veya varlıklarını korumaları yönünde asgari seviyede siber güvenlik yatırımı yapmalarını da zorunlu kılacaktır.

 

Saldırı vektörlerinin bir diğeri tedarik zinciri saldırıları. Uzmanlar, yazılım tedarik zincirine odaklanan rolün OT ve EKS ortamlarına risk olarak getirdiği rolü de değerlendiriyorlar. Ayrıca, bu tür altyapılarda çalışan eski sistemler ve eski yazılımlar ışığında, endüstriyel kuruluşların regülasyon gerekliliklerine bağlı kalma konusunda ne kadar yetenekli olduklarını araştırıyorlar. Haberlerde en ön sıralarda yer alan tedarik zincirindeki zorluklar, bu sektör için bir görünürlük ve güvenlik kriziyle karşı karşıya olunduğunu açıkça ortaya koyuyor. Tedarik kaynaklarının geliştirmelerini tüketici olarak görmek mümkün olmadığı sürece, hem görünürlük eksikliklerini gidermeye hem de savunma ekiplerini kurulumdan önce ve kullanım ömrü boyunca kalite ve güvenliği kontrol etmek için daha fazla yetenekle donatmaya odaklanmak gerekiyor. Ek olarak, yazılım güvenliği çok kritiktir, ancak tedarik zinciri sorununun yalnızca bir parçası olarak değerlendirilmelidir. Yazılım şirketleri yazılımlarını yayınladığında, genellikle birden çok halka açık havuzdan kod ödünç alarak geliştirme yapıldığı için ilk versiyonlar nadiren mükemmel olur. Muhtemelen milyonlarca kod satırından oluşan nihai program ticari olarak yayınlandığında, genellikle güvenlik açıkları içerecektir. Ayrıca, OT ve EKS altyapılarında kullanılan sistemler, diğer ağlardan izole edildiğinden veya eski yazılımları çalıştırdığından, genellikle bilgi teknolojisi kadar sık ​​güncellenmez veya yama uygulanmaz. Sonuç olarak, uzatılmış periyotlarda güncelleme alabildikleri düşünüldüğünde, yazılımların güncellenmiş sürümlerinde sağlanan birçok güvenlik açığına karşı yamadan gerçek zamanlı faydalanamazlar. Ayrıca yaşam döngüleri de daha uzun olduğundan (örneğin, tıbbi cihaz donanımının ömrü 10-30 yıl olabilir. Bu cihazları çalıştıran yazılımlar, aksine, genellikle 5-8 yıl içinde güncelleme veya yama almayı durdurur) mevcut ve hatta eski tarihli bir çok tehdide maruz kalırlar. Maliyeti ne olursa olsun, donanım ihlallerini ve sahteciliği tespit etmek için pazar kapasitesine bakılmaksızın bu alana yatırım yapılması gerekir. 

 

2023'e girerken, OT sistemlerin daha karmaşık ve birbirine bağlı hale geldiğini düşünen  uzmanlar, endüstri ve üretim şirketleri için siber güvenlik perspektifinden danışmanlık sağlıyor.

 

Görünürlüğü ve uyumluluğu artırmada kaydedilen ilerlemeden yararlanarak, hangi bileşenlerin düşmanlar tarafından istismar edilme olasılığının ne olduğunun anlaşılması, siber bileşenlerin sistematik etkisinin anlaşılmasına daha fazla odaklanılması sağlanabiliyor.

 

Çoğu durumda, rakipler tarafından kullanılması muhtemel olmayan veya endüstriyel süreçlerin güvenli ve güvenilir çalışması üzerinde önemli bir etkisi olmayan bileşenlerdeki güvenlik açıklarını azaltmak için çaba harcanması gerekiyor. Neden küçük, sorun büyük olabilir.

 

Sanayi ve üretim şirketlerinin OT sistemlerinin düzenli olarak yamanmasını, güncellenmesini ve mümkünse dış ağlardan izole edilmesini sağlamak kritik öneme sahiptir. Endüstriyel nesnelerin internetinin (IIoT) kullanımının artmasıyla, izolasyon giderek daha zorlu hale gelecek. Şirketlerin aynı anda cihaz, ağ ve bulut düzeylerinde güvenliğe odaklanması gerekecek.  Bu tür bir yapıda, risk göstergelerinin düzenli olarak izlenmesi ve güvenli veri aktarımı dahil olmak üzere uçtan uca koruma gerekecektir.

 

Aynı zamanda 7/24 güvenlik operasyonları merkezi (SOC) kurmak veya bunun için bazı servis sağlayıcılarla sözleşme yapmak, ve de EKS ve OT için güvenli erişim sağlamak da zorunlu olacaktır.

 

Ülkemizin de bu deneyimlerden ve raporlardan ders çıkarması gerekmektedir. Türkiye’de ABD’deki gibi EKS/OT alanlarında siber güvenliği tasarım aşamasından başlayarak düzenleyen kuruluşların eksikliği, sektör temsilcilerindeki farkındalık azlığı, ve maliyetlerden kaçınma psikolojisi sistemleri tehditlere açık hale getirmektedir. Ülkemizin güçlenme ve büyüme eğrisi içerisinde stratejik hedef olarak belirlenebileceği gerçeği, öncelikli olarak Kritik Altyapılara yönelik tehditleri ve bunların önlenmesini, ardından endüstriyel alanların korunmasını zorunlu kılacaktır. 

 

Henüz saldırılmamış olmak, sistemlerinizin güvenli olduğunu göstermez. Saldırılmayacağınız manasına da gelmez. O yüzden iyi analiz edilmiş bir siber güvenlik altyapı skoruna, belirlenen ihtiyaçlara göre sistemlerinizin sıkılaştırılmasına, sürekli izleme yapısının kurulmasıyla 7/24 izlenerek potansiyel saldırıları yakalamanıza ve tedbirlerinizi uygulamaya ihtiyacınız olduğunu bildiriyor, bu konuda uzmanlardan destek almanızı öneriyoruz.

 

Kaynak:https://industrialcyber.co/features/cybersecurity-risks-in-us-critical-infrastructure-sector-call-for-better-skills-technologies-processes/?utm_campaign=meetedgar&utm_medium=social&utm_source=meetedgar.com&utm_source=pocket_reader