Avustralya’nın Kritik Altyapı Güvenliği (SOCI) Yasası, sorumlu kuruluşların siber ve operasyonel riskleri yönetme biçimini yeniden şekillendirdi. Yasa, odağı üst düzey politika uyumu yerine, kanıtlanmış risk yönetimi uygulamalarıyla desteklenen ve somut olarak gösterilebilen operasyonel dayanıklılığa kaydırmaktadır.
Son değişiklikler, Avustralya Hükümeti’nin kritik altyapı sahiplerinden, özellikle siber ve bilgi güvenliği alanlarında statik çerçevelerin ötesine geçerek pratik ve operasyonel denetimler uygulamalarını beklediğini pekiştiriyor.
SOCI Yasası’nın 2A Bölümü uyarınca, sorumlu kuruluşlar CIRMP’yi (Kritik Altyapı Risk Yönetimi Programı) oluşturmak, sürdürmek ve bu programa uymak zorundadır. Bu gereklilik, aşağıdakiler dahil olmak üzere tüm sektörler için geçerlidir:
|
|
|
Bu sektörlerin çoğunun, insan kaynakları, süreçler ve teknoloji genelinde risk yönetimine yönelik daha olgun, somut ve sürekli iyileştirmeye dayalı bir yaklaşım benimsemesi gerekmektedir.
2021 ile 2024 yılları arasında getirilen değişiklikler, üç temel beklentiyi pekiştiriyor:
- Net bir şekilde tanımlanmış ve uygulanmış siber ve bilgi güvenliği kontrolleri
- Sürekli risk değerlendirmesi ve gözden geçirme; statik dokümantasyon değil
- Yönetim kurulu düzeyinde denetim ve hesap verebilirlik
Düzenleyici kurumlar artık kuruluşlardan, izleme, kayıt tutma ve yönetişim belgeleriyle desteklenen denetimlerin etkinliğini ve operasyonel verimliliklerini kanıtlamalarını beklemektedir. Uyum artık sadece bir belgeleme çalışması değildir. Bu, ulusal dayanıklılıkla doğrudan bağlantılı bir operasyonel ve idari sorumluluktur.
SOCI Kanunu ve CIRMP
Sorumlu kuruluşlar, varlığın kritik önemi ve tehdit ortamıyla orantılı bir CIRMP oluşturmalı, bunu sürdürmeli ve bu plana uymalıdır. CIRMP, politika beyanlarının ötesine geçmeli ve gerçek hayattaki tehlikeleri ele alan pratik, risk temelli denetimler içermelidir.
CIRMP gereklilikleri uyarınca, kuruluşlar şunları yapmak zorundadır:
- Kritik altyapı varlıklarını önemli ölçüde etkileyebilecek tehlikeleri belirleyin
- Bu tehlikelerden kaynaklanan önemli riskleri en aza indirin veya ortadan kaldırın
- Tehdit faaliyetlerindeki değişiklikleri yansıtacak şekilde denetimleri düzenli olarak gözden geçirin ve güncelleyin
- Yasal güvence ve katılım süreçlerini destekleyecek kayıt ve kanıtları tutmak
- Dört belirlenen tehlike vektörü kapsamında riskleri ele alın:
- Siber ve bilgi güvenliği tehditleri
- Fiziksel güvenlik ve doğal afetler
- Personel için tehlikeler
- Tedarik zinciri riskleri
CIRMP ilkelere dayalı bir yaklaşım sergilese de, düzenleyici kurumlar operasyonel olgunluk beklemektedir. Kuruluşlar, kontrollerin uygulandığını, izlendiğini ve sürekli olarak iyileştirildiğini göstermelidir. Yalnızca belgeleme yeterli değildir. Yönetişim denetimi, risk değerlendirme süreçleri ve teknik uygulama mekanizmalarına dair kanıtlar sunulması gerekmektedir.
CIRMP’nin Core Noktası Olarak Siber Risk
Siber ve bilgi güvenliği tehditleri, kritik altyapı için en önemli ve hızla gelişen risklerden birini oluşturmaktadır. CIRMP, fidye yazılımı saldırılarının, tedarik zincirinin ele geçirilmesinin ve OT ortamlarını hedef alan saldırıların giderek artan sıklığını yansıtarak, siber riski dayanıklılık planlamasının temel bir unsuru olarak vurgulamaktadır.
Sorumlu kuruluşlar, siber tehditlerin kritik altyapı varlıklarının kullanılabilirliğini, bütünlüğünü veya güvenilirliğini nasıl önemli ölçüde etkileyebileceğine dair net bir kavrayış sergilemelidir.
Buna şunları belirleme yeteneği de dahildir:
- Veriler, dosyalar ve yazılımların BT, OT ve ICS ortamlarına nasıl girdiğini ve bu ortamlarda nasıl dolaştığını
- BT, OT ve üçüncü taraf ağlar arasında güven sınırlarının bulunduğu yerler
- Kötü amaçlı yazılım veya yetkisiz erişim, operasyonel sistemlere nasıl yayılabilir?
- Satıcılar, yükleniciler veya taşınabilir ortamlar, kontrol edilemeyen riskler yaratıyor mu?
SOCI Yasası’ndaki değişiklikler, eski sistemlerin, fiziksel olarak izole edilmiş ağların ve kısıtlı OT ortamlarının siber risk yükümlülüklerinden muaf olmadığını açıkça ortaya koymaktadır. Kuruluşlar, bu kontrolleri uygulamaktan kaçınmak yerine, bu ortamlara uygun hale getirmelidir.
Uygulamada bu, sıklıkla istismar edilen giriş noktalarında şeffaflık ve etkin denetim gerektirir; bunlara şunlar dahildir:
- Dosya yükleme ve indirme
- E-posta ekleri
- Yönetilen ve yönetilmeyen uç noktalar
- Çıkarılabilir depolama ortamları
- Uzaktan erişim yolları
- BT ve OT yakınsama alanları
CIRMP kapsamında etkili siber risk yönetimi, tehditler kritik sistemlere ulaşmadan önce maruz kalma riskini azaltan önleyici kontrollere bağlıdır. Bu kontrollerin amaçlandığı gibi işlediğini kanıtlamak için günlük kaydı, izleme ve kanıt oluşturma işlemleri hayati önem taşır.
CIRMP Tehlike Kategorilerinin Pratik Kontrol Uygulamalarıyla Uyumlaştırılması
CIRMP, kuruluşların dört tehlike vektörü kapsamında riskleri ele almasını şart koşmaktadır. Her bir vektör, kritik altyapı varlıklarına yönelik önemli riskleri azaltan, uygulanabilir ve denetlenebilir kontroller gerektirmektedir.
Tehlike kaynakları şunlardır:
- Siber ve bilgi güvenliği
- Personel
- Tedarik zinciri
- Fiziksel güvenlik
Aşağıdaki bölümlerde, bu tehlike kategorilerinin kritik altyapı ortamlarında operasyonel güvenlik kontrollerine nasıl yansıtıldığı özetlenmektedir.
1. Siber ve Bilgi Güvenliği Tehlikeleri
CIRMP, kuruluşların kritik altyapı varlıklarının kullanılabilirliğini, bütünlüğünü veya güvenilirliğini bozabilecek önemli siber riskleri en aza indirecek denetimler uygulamalarını şart koşmaktadır. Yaygın siber tehditler arasında kimlik avı, kötü amaçlı yazılım, fidye yazılımı ve hizmet reddi saldırıları yer almaktadır.
Dosya kaynaklı tehditler, en yaygın ilk erişim vektörlerinden biri olmaya devam etmektedir. Kuruluşlar, dosyaların nasıl yüklendiğini, indirildiğini, aktarıldığını ve hem BT hem de OT ortamlarına nasıl sokulduğunu güvenli hale getirmelidir.
OPSWAT MetaDefender , dosya kaynaklı tehditleri kullanıcılara veya kritik sistemlere ulaşmadan önlemek üzere tasarlanmıştır. Mevcut altyapıya entegre olarak, operasyonel iş akışlarını kesintiye uğratmadan yüklemeleri, indirmeleri, e-posta eklerini ve dosya aktarımlarını denetler.
MetaDefender Core , derinlemesine savunma denetimini desteklemek için aşağıdakiler dahil olmak üzere çeşitli algılama teknolojileriniCore :
- 30'dan fazla kötü amaçlı yazılım önleme motoruna sahip Metascan™ çoklu tarama teknolojisi
- İmza tabanlı, sezgisel ve makine öğrenimi tabanlı algılama
- Yapay zeka destekli, makine öğrenimi tabanlı yürütme öncesi sıfırıncı gün saldırı tespiti
- Dosya itibar ve hash analizi
Bilinen olmayan ve sıfırıncı gün tehditleri karşısında Deep CDR™ Teknolojisi, komut dosyaları, makrolar ve politika dışı içerikler gibi gömülü tehditleri özyinelemeli olarak ortadan kaldırmak üzere derinlemesine dosya temizleme işlemi gerçekleştirir; ardından iş işlevselliğini koruyarak güvenli ve kullanılabilir dosyalar oluşturur.
Adaptive analizi, kontrollü bir ortamda davranış gözlemi yapılmasını sağlar. Proactive DLP™, dosya içeriğini inceleyerek hassas bilgileri tespit eder ve dosyalar kullanıcılara veya sistemlere aktarılmadan önce içeriğin silinmesi, sansürlenmesi veya filigran eklenmesi gibi ilke tabanlı önlemlerin uygulanmasını sağlar.
Diğer denetim yetenekleri arasında şunlar yer almaktadır:
- Gerçek dosya türü doğrulama
- Arşiv açma ve özyinelemeli tarama
- File-based vulnerability assessment
- Veri kaybını önleme ve içerik denetimi
Bu yetkinlikler, aşağıdaki yollarla CIRMP hedeflerini desteklemektedir:
- Tek bir algılama teknolojisine olan bağımlılığı azaltmak
- Sıfırıncı gün saldırılarının tespit edilmesi ve önlenmesi
- Tehdit tespitinde denetlenebilir bir özen yükümlülüğü kanıtı oluşturma
2. Personel ile ilgili riskler
CIRMP kapsamında, personel kaynaklı tehlikeler arasında çalışanlar, yükleniciler, alt yükleniciler, stajyerler ve kritik altyapı varlıklarına erişimi olan diğer kişiler tarafından ortaya çıkan riskler yer almaktadır. Kuruluşlar, kimin kritik çalışan olarak nitelendirildiğini, bu kişilerin hangi erişim düzeyine sahip olduğunu ve bu erişimin önemli bir risk oluşturup oluşturmayacağını değerlendirmelidir.
Çıkarılabilir depolama ortamları ve taşınabilir cihazlar, özellikle hava boşluklu veya bölümlere ayrılmış ağlarda, OT ortamlarına kötü amaçlı yazılımların sızması için yaygın birer vektör olmaya devam etmektedir. Yürürlükte olan denetimler olmadan, bu yollar çevre savunmalarını atlatabilir.
MetaDefender ve MetaDefender Media , medya giriş noktalarında ve HMI (İnsan-Makine Arayüzü) katmanında güvenlik kontrollerini uygulamak üzere tasarlanmıştır.
MetaDefender Kiosk , dosyaların güvenli ortamlara girmesine izin verilmeden önce çıkarılabilir ortamların taranmasını ve temizlenmesiniKiosk . Önceden tanımlanmış güvenlik ilkelerini uygular ve denetim gerekliliklerini desteklemek üzere günlükler oluşturur.
MetaDefender Media Firewall , OT segmentleri de dahil olmak üzere ağlar arası veri aktarımları için anlık denetim ve politika uygulamasıFirewall . Yetkisiz veya güvenli olmayan dosyaların kritik sistemlere girmesini engeller.
Bu kontrol mekanizmaları, aşağıdaki yollarla CIRMP personelinin maruz kalma sınır değerlerine uygunluğu sağlar:
- Kötü niyetli veya ihmalkar iç faaliyet riskinin azaltılması
- OT ağlarında çıkarılabilir ortamların güvenli bir şekilde kullanılması
- Onaylanmamış cihazların kullanımının kısıtlanması
- Dosyaları kimin ne zaman eklediğine dair görünürlüğü artırmak
3.Supply Chain
SOCI Yasası, tedarik zinciri risklerini CIRMP kapsamında önemli bir risk kategorisi olarak açıkça tanımlamaktadır. Sorumlu kuruluşlar, tedarikçiler, yükleniciler, OEM’ler (orijinal ekipman üreticileri) ve üçüncü taraf hizmet sağlayıcıları tarafından ortaya çıkan riskleri ele almak zorundadır.
Tedarik zincirindeki riskler şu yollarla ortaya çıkabilir:
- Kritik ağlara bağlanan üçüncü taraf uç noktalar
- OT ortamlarına uzaktan erişim yolları
- Yükleniciler tarafından şantiyeye getirilen taşınabilir cihazlar
- Software ve bakım çalışmaları
Birçok kritik altyapı operatörü, dağınık veya bölgesel tesislerdeki varlıkları izlemek, arıza teşhisi yapmak ve güncelleme işlemleri gerçekleştirmek için uzaktan bağlantıya güvenmektedir. Uygun denetimler uygulanmadığında, bu erişim yolları, hava boşluklu veya yarı bağlantılı OT ağları da dahil olmak üzere hassas ortamlara siber tehditler getirebilir.
OPSWAT MetaDefender ve MetaDefender Access™, kritik sistemlerle üçüncü taraf etkileşimlerinden kaynaklanan riskleri azaltmak üzere tasarlanmıştır.
MetaDefender Drive , geçici olarak kullanılan dizüstü bilgisayarları, masaüstü bilgisayarları ve sunucuları, güvenli ortamlara bağlanmadan önce ana işletim sistemi dışındaDrive ve değerlendirir. Kötü amaçlı yazılımları tespit eder, güvenlik açıklarını belirler ve cihaz bütünlüğünü doğrular; böylece yalnızca güvenilir sistemlerin kontrollü veya hava boşluklu ağlara girmesine izin verilir.
MetaDefender OT Access OT ve CPS (Siber-Fiziksel Sistemler) ortamları için özel olarak tasarlanmış güvenli bir uzaktan erişimOT Access . Bu çözüm, üçüncü taraflar ve uzaktaki personel için kontrollü bağlantı sağlarken, aynı zamanda ayrıntılı erişim denetimleri ve oturum yönetimi ilkelerini uygular.
Bu yetenekler, aşağıdaki yollarla CIRMP tedarik zinciri risk gerekliliklerini desteklemektedir:
- Kritik sistemleri, üçüncü taraf varlıklar yoluyla ortaya çıkan müdahale veya kesintilere karşı korumak
- Yetkili sistemlere ve işlevlere erişimin kısıtlanması
- Kritik altyapı ile tedarikçi ve yükleniciler arasındaki etkileşimlere ilişkin görünürlüğün artırılması
4. Fiziksel Güvenlik ve Ağ Bölümleme Riskleri
Fiziksel ve çevresel tehlikeler, CIRMP’nin temel bileşenlerinden biri olmaya devam etmektedir. Modern kritik altyapı ortamlarında, fiziksel güvenlik, özellikle OT sistemlerinin BT ve OT ağları arasındaki kontrollü veri akışlarına dayandığı durumlarda, siber risklerle giderek daha fazla kesişmektedir.
Birçok kritik altyapı ortamında, geleneksel uç nokta güvenlik araçlarının kurulamadığı eski OT sistemleri kullanılmaktadır. Bu nedenle, güvenlik önlemlerinin ağ sınırlarında ve veri aktarım noktalarında uygulanması gerekmektedir.
Yasal kılavuzlar ve sektör standartları, hassas OT ağlarını korumak için genellikle veri diyotları olarak da bilinen tek yönlü ağ geçitlerinin kullanılmasını önermektedir. Bu önlemler, yetkisiz erişimi, komut enjeksiyonunu veya kritik sistemlerden veri sızmasını önlemek amacıyla tek yönlü veri akışını zorunlu kılar.
MetaDefender , donanım tabanlı tek yönlü veri aktarımını sağlar. Geri yönlü trafiği fiziksel olarak engelleyerek, bölümlere ayrılmış ortamlarda gelen ağ tabanlı saldırı riskini ortadan kaldırır.
Bu yaklaşım, bir DMZ (askeri olmayan bölge) mimarisi içinde uygulandığında ve katmanlı güvenlik duvarı denetimleriyle birleştirildiğinde aşağıdakileri destekler:
- BT ve OT ağları arasında kötü amaçlı yazılım yayılma riskinin azaltılması
- Kritik sistemlere yetkisiz uzaktan erişime karşı koruma
- Operasyonel sürekliliğin sağlanması
- CIRMP ilkeleriyle uyumlu, risk farkındalığına dayalı ve somut olarak kanıtlanabilir ağ tasarımı
Kuruluşlar, güven bölgeleri arasında veri akışını kontrol ederek, erişilebilirlik ve güvenliğin hayati önem taşıdığı ortamlarda hem fiziksel hem de siber dayanıklılığı artırabilirler.
Mevzuata Uyumdan Operasyonel Dayanıklılığa
Avustralya’nın SOCI Yasası ve CIRMP, düzenleyici beklentilerde somut bir dönüşümü temsil etmektedir. Sorumlu kuruluşlar, sadece niyetlerini belgelemekle yetinmemeli, risk kontrollerinin uygulamada hayata geçirildiğini ve sürekli olarak iyileştirildiğini kanıtlamalıdır.
Düzenleyici kurumlar, kuruluşların denetim mekanizmalarının aşağıdaki özelliklere sahip olduğunu göstermelerini beklemektedir:
- Varlığın kritik önemi ve tehdit profiline uygun
- Operasyonel iş akışlarına entegre
- Kayıt tutma, izleme ve yönetişim denetimi ile desteklenir
- Yönetim kurulu ve düzenleyici kurumların denetimine dayanabilecek nitelikte
CIRMP, statik bir uyumluluk çerçevesi değildir. Siber güvenlik, personel, tedarik zinciri ve fiziksel risk alanlarında önleyici, uygulanabilir ve denetlenebilir kontroller gerektirir.
Önleyici güvenlik, bu beklentileri karşılamada merkezi bir rol oynar. Kontroller, ortak giriş noktalarında, BT, OT ve ICS sınırları genelinde ve üçüncü taraf etkileşim kanalları içinde işlev görmelidir. Ayrıca, yönetişim, güvence ve düzenleyici kurumlarla ilişkileri desteklemek için gerekli görünürlük ve kanıtları sağlamalıdır.
OPSWATkritik altyapı korumasına verdiği önem, Avustralya’nın SOCI Yasası’nın operasyonel ve yasal gerekliliklerini doğrudan desteklemektedir. CIRMP kapsamında uygulanabilir teknik denetimlerin hayata geçirilmesi, hem uyum durumunu hem de gerçek hayattaki dayanıklılığı güçlendirmektedir.
Kritik altyapı ortamlarında önleyici güvenlik, isteğe bağlı bir unsur değildir. Bu, hizmet sürekliliğini, güvenliği ve kamuoyunun güvenini korumak için temel bir unsurdur. CIRMP stratejinizi uygulanabilir önleyici denetimlerle nasıl uyumlu hale getirebileceğinizi öğrenmek için bir OPSWAT uzmanıyla görüşün.
SSS
CIRMP'nin amacı nedir?
CIRMP, Avustralya’nın SOCI Yasası kapsamındaki sorumlu kuruluşların, kritik altyapı varlıklarını önemli ölçüde etkileyebilecek riskleri belirlemesini, değerlendirmesini ve yönetmesini gerektirir. Bu düzenleme, kuruluşların siber, personel, tedarik zinciri ve fiziksel tehlike vektörleri genelinde orantılı denetimler uygulamasını sağlar.
CIRMP, OT ortamları için de geçerli midir?
Evet. CIRMP yükümlülükleri hem BT hem de OT ortamları için geçerlidir. Eski sistemler veya izole edilmiş sistemler bu yükümlülüklerin dışında tutulmaz. Kuruluşlar, denetimleri kısıtlı OT sistemlerinin gerçeklerine uyarlamalıdır.
Kritik altyapı için en önemli siber tehdit türleri hangileridir?
Yaygın siber tehditler arasında fidye yazılımı, oltalama, dosya yoluyla yayılan kötü amaçlı yazılımlar, tedarik zincirinin ele geçirilmesi ve yetkisiz uzaktan erişim sayılabilir. Dosya aktarımları, çıkarılabilir depolama ortamları ve üçüncü taraf bağlantıları sıkça görülen giriş noktalarıdır.
Kuruluşlar, CIRMP siber güvenlik gerekliliklerine uyumunu nasıl kanıtlayabilir?
Kuruluşlar, denetimlerin uygulandığını ve etkili olduğunu göstermelidir. Bu, kayıtların tutulmasını, faaliyetlerin izlenmesini, teknik politikaların uygulanmasını ve belgelenmiş yönetişim denetim ve inceleme süreçlerinin sağlanmasını içerir.
SOCI Yasası kapsamında önleyici güvenlik neden bu kadar önem veriliyor?
SOCI Yasası, kritik altyapı varlıklarına yönelik önemli risklerin en aza indirilmesine vurgu yapmaktadır. Önleyici kontroller, siber tehditlerin, içeriden kaynaklanan risklerin veya tedarik zinciri risklerinin kritik sistemlere ulaşma olasılığını azaltarak, operasyonel sürekliliği ve mevzuata uygunluğu desteklemektedir.
