Biden-Harris Yönetimi, dijital dünyanın giderek birbirine bağlanması ve yazılım sistemlerinin artan karmaşıklığı karşısında kısa bir süre önce Ulusal Siber Güvenlik Stratejisini açıkladı. Bu strateji, tüm Amerikalıların kullanabileceği ve faydalanabileceği güvenli ve emniyetli bir dijital ekosistemi garanti altına almayı amaçlamaktadır. Dijital bağlantı artık hayatımızın neredeyse her alanına nüfuz etmekte, kişisel ve profesyonel alanları birbirine bağlamakta ve dijital ve fiziksel alanlar arasındaki boşluğu doldurmaktadır. Ulus devletler ve kötü niyetli aktörler siber saldırılar düzenlemeye devam ederken hükümet, dijital ekosistemimizin sağlam, dirençli ve temel değerlerimizle tutarlı olmasını sağlayarak bu kalıcı tehditleri ele alma yaklaşımını dönüştürmeye kararlıdır.
Hükümet bu hedeflere yönelik olarak halihazırda önemli adımlar atmış olsa da, yeni yaklaşım işbirliğini geliştirip güçlendirebileceğimiz beş temel alana odaklanmaktadır: kritik altyapıyı korumak, tehdit aktörlerini etkisiz hale getirmek ve ortadan kaldırmak, güvenliği ve dayanıklılığı teşvik etmek için piyasa güçlerini şekillendirmek, dayanıklı bir geleceğe yatırım yapmak ve ortak hedefleri gerçekleştirmek için uluslararası ortaklıklar kurmak. Bu temellerin tümü hayati önem taşımaktadır vekritik altyapının korunmasından başlayarak, Amerikan halkına bu on altı sektörü ve bunların sağladığı temel hizmetleri korumaya olan bağlılığımızı teyit edebiliriz.
Kritik Altyapıyı Savunun
Ulusal güvenlik ve kamu güvenliğini desteklemek için siber güvenlik gereklilikleri (Hedef 1.1) belirlemeliyiz. Bu strateji, diğer alanlardaki mevcut düzenlemelerle uyumlu, kritik sektörlerde daha fazla düzenleme getirilmesine yol açabilir. Her sektör aynı siber güvenlik gerekliliklerine ihtiyaç duymasa da, düzenlemelerin tutarlı ve öngörülebilir olmasını sağlamak, uyum yükünü azaltabilir. Mevcut ve yeni düzenlemelerin amacı, daha iyi siber güvenlik uygulamalarını büyük ölçekte teşvik etmek ve zorunlu kılmaktır. Ayrıca, siber güvenlik gereklilikleri, siber güvenlik şirketlerinin çözümlerini ne kadar iyi pazarladıklarına odaklanmak yerine, siber tehditleri ortadan kaldırmak ve siber güvenliğe kapsamlı ve güvenilir bir yaklaşım sağlamak için kanıtlanmış verilere dayalı olarak etkinliğini kanıtlamış anahtar teknolojilere ( Deep Content Disarm and Reconstruction Deep CDR™ Technology) gibi) öncelik vermelidir.
Bu strateji için ölçek, işbirliği kadar kritik öneme sahiptir (Hedef 1.2). Gelişmiş tehditleri geniş ölçekte etkin bir şekilde ele almak için kamu-özel sektör işbirliğinin daha da güçlendirilmesi gerekmektedir.Strateji belgesinde de belirtildiği üzere, Rusya’nın Ukrayna’ya karşı yürüttüğü savaşla ilgili “Shields Up” kampanyası, hazırlık düzeyini artırmış ve kötü niyetli faaliyetlerle mücadeleye yönelik etkili önlemlerin alınmasını teşvik etmiştir. Gelecekteki çabalar, bu işbirliğini örnek almalı ve uluslararası müttefikleri ile sivilleri de kapsayarak, küçük kuruluşların ve bireysel vatandaşların sürekli uyanıklığına bağlı olmayan, daha dayanıklı bir geleceğe yatırım yapmalıdır. Federal kurumlarla yakın işbirliği içinde olan özel sektör kuruluşları, kritik altyapıya yönelik saldırıların etkisini en aza indirmek veya tercihen saldırıları önlemek için daha hızlı ve koordineli bir müdahaleyi mümkün kılabilir. Bu işbirliğinin açık ve dayanışmacı olmasını ve ülke içindeki büyüme ile yeniliği teşvik etmek amacıyla Amerikan şirketlerine öncelik verilmesini umuyorum.
Kritik altyapının savunmasını desteklemekle görevli halihazırda çok sayıda bakanlık ve kurum bulunmaktadır. Yeni strateji, federal siber güvenlik merkezlerini entegre etmeyi (Hedef 1.3) ve hükümet içi koordinasyonu güçlendirmek için işbirliği düğümleri oluşturmayı amaçlamaktadır. CISA bünyesindekiOrtak Siber Savunma İşbirliği (JCDC), siber savunma planlaması ve operasyonlarını entegre ederek bu hedefe ulaşmak için atılan ilk adımdır. JCDC, bu çalışmaları federal hükümet genelinde, uluslararası ortaklar ve özel sektörle işbirliği içinde yürütmektedir. Yapılması gereken daha çok iş olsa da, bu merkezler işbirliği fırsatlarını artırmakta ve merkezlerin özel sektör ortaklarıyla zamanında, ilgili ve eyleme geçirilebilir bilgileri paylaşmasına imkân sağlamaktadır. En yüksek verimliliği sağlamak amacıyla, federal hükümetin bu merkezlerin hedeflerini, ölçütlerini ve gizli olmayan, hassas olmayan faaliyetlerini kamuoyuna açıklamasını umuyoruz.
Özel sektör, siber olayları genellikle federal yardım olmadan hafifletebilse de, yeni hedef gerektiğinde tek tip bir müdahale sağlamaktır. Bu, federal olay planları ve süreçlerinin güncellenmesi anlamına gelir (Hedef 1.4); böylece kuruluşlar, siber tehditlerin hedefi olduklarında hangi devlet kurumuyla iletişime geçmeleri gerektiğini bilir. Kuruluşlar ayrıca federal hükümetten ne tür bir destek bekleyebileceklerini de bilmelidir. Bu amaçla CISA, süreçleri, prosedürleri ve sistemleri güçlendirme çabası kapsamındaUlusal Siber Olay Müdahale Planı’nı (NCIRP) güncelleme sürecine öncülük etmektedir.2022 tarihli Kritik Altyapı için Siber Olay Bildirim Yasası (CIRCIA), kritik altyapıdaki kapsama dahil kuruluşların, kapsama dahil siber olayları birkaç saat içinde CISA’ya bildirmelerini zorunlu kılmaktadır. Bu hızlı bildirim, olayların nedeninin tespitini hızlandırır ve hızlı, bilgili kararlar alınmasına yardımcı olur. Genel olarak bu, övgüye değer bir girişimdir; ancak tehditleri nasıl önleyebileceğimizi öğrenebilmemiz için bildirilen siber olayların bazı temel yönlerinin açıklanmasını umuyorum. Bu yaklaşım, tipik tespit ve müdahale döngüsünden, önlemeye odaklanan daha proaktif bir zihniyete geçmemizi sağlayacaktır.
Son olarak, strateji federal savunmayı modernize etmeyi amaçlamaktadır (Hedef 1.5). Federal hükümet, görevlerini yerine getirmek için iletişim, dayanıklı ve güvenli bilgi, operasyonel teknoloji ve hizmetlere güvenmektedir. Bu karmaşık dijital ortamda, bu, federal hükümet sistemlerinin ağlarının hem dayanıklı hem de savunulabilir olmasını sağlamak için modernize edilmesi gerektiği anlamına gelir. Bu modernizasyon çabalarının bir parçası, geleneksel ağ sınırları içindeki ve dışındaki tehditlere karşı koymak için sıfır güven ilkelerini uygulamaktır. Bu harika bir girişim ve umarım Deep CDR™ Teknolojisi, menşe ülke değerlendirmesi gibi teknolojileri de içerecek ve sıfır güven yaklaşımının, daha kapsamlı ve sağlam bir siber güvenlik stratejisi oluşturmak için VPN'leri değiştirmekten öteye geçmesini sağlayacaktır.
Özel Sektör ve Kamu Sektöründe Sıfır Güven
Federal hükümet, kendi sistemlerini daha savunulabilir ve dayanıklı hale getirerek kritik altyapının daha etkili bir şekilde savunulmasını sağlayabilir. Bu, IT ve OT altyapısını modernize ederken aynı zamanda sıfır güven mimarisi stratejisiyle başlar. Sıfır güven yaklaşımı, savunmayı ağ tabanlı çevrelerden kaynaklara, kullanıcılara ve varlıklara dayalı bir çevreye taşır. Yazılım tedarik zinciri de dahil olmak üzere tedarik zincirleri de sıfır güven ilkelerini benimsemeli ve fiziksel veya ağ konumuna dayalı hiçbir örtük güven varsaymamalıdır.
Bu yaklaşım, korunan veri veya sistemlere bağlantı kurulmadan önce hem kimlik doğrulama hem de yetkilendirmenin gerçekleşmesini sağlayarak saldırıları önlemeye daha fazla odaklanır. Yazılım giderek daha karmaşık ve birbirine bağlı hale geldiğinden, siber güvenlik uzak kullanıcıların yeni gerçekliğini, kendi cihazını getir (BYOD) trendlerini ve bulut tabanlı varlıklara erişimi kapsamalıdır. Yaklaşım tespitten çok önlemeye odaklansa da, bu stratejinin hedeflerinden biri de bir saldırı girişimi gerçekleştiğinde bile genel siber esnekliği ve güvenilirliği artırmaktır.
Tüm bu girişimler, ulusal siber güvenliğimizi test etmek, güvence altına almak, analiz etmek ve modernize etmek için yetkin bir siber işgücü geliştirmeye dayanmaktadır. Verileri korumak ve kritik sistemlerin güvenilirliğini sağlamak o sistemin sahiplerinin ve işletmecilerinin sorumluluğunda olsa da, teknoloji sağlayıcıları, kritik altyapı sistemleri ve federal kurumlar arasındaki işbirliği verilerimizi güvenli bir şekilde tutmamıza ve özgür ve birbirine bağlı bir toplum olarak faaliyet göstermemize yardımcı olabilir.
OPSWAT ’ın kritik altyapıyı nasılkoruduğu hakkında daha fazla bilgi edinmek ister misiniz? Lütfen siber güvenlik uzmanlarımızdan biriyle iletişime geçin.
