Siber Güvenlik ve Kamu Sektörü Teknoloji Riski

Bu neden kamu değeri açısından önemlidir

Bir hastanenin sistemleri bir saldırgan tarafından şifrelendiğinde, klinisyenler ilaç geçmişlerini göremez, ambulanslar yönlendirilir ve ameliyatlar iptal edilir. Bir su idaresinin kontrol sistemleri ele geçirildiğinde, söz konusu kamu değeri bir sunucu kesintisi değil içme suyunun güvenliğidir. Bir yardım kurumunun veri tabanı ihlal edildiğinde, en çok maruz kalan insanlar çoğu zaman sonuçları emmeye en az muktedir olanlardır: gecikmiş bir ödeme, çalınmış bir kimlik, kendilerine destek borçlu olan devlete kim olduklarını kanıtlayamayan bir aile. Bilgisayar güvenliği, yaygın olarak siber güvenlik denir, bilgisayar sistemlerini, ağları ve verileri yetkisiz erişimden, aksamadan veya zarardan koruma pratiğidir. Kamu kurumlarında bu pratik doğrudan devlet ile hizmet ettiği yurttaş arasındaki yolun üzerinde durur.

Bu nedenle konu siber riski yalnızca teknik değil bir kamu değeri sorusu olarak çerçeveler. Meşruiyet ve destek, yurttaşların verilerini elinde tutan ve temel hizmetlerini yürüten kurumların ikisini de güvende tutacağına güvenilebileceğine inanmasına bağlıdır (bkz. Konu 1.2 — Stratejik Üçgen: Meşruiyet, Değer ve Kapasite). Tek bir iyi duyurulmuş ihlal, kötü ele alınmış bir acil durumun yaptığı gibi o güvene kalıcı zarar verebilir, çünkü yurttaşlar kurumları gün be gün nasıl performans gösterdiklerine olduğu kadar saldırı altında nasıl davrandıklarına göre de yargılar (siber olayları daha geniş dayanıklılık disiplini içinde bir kategori olarak ele alan bkz. Konu 3.12 — Kriz, Acil Durum ve Dayanıklılık Yönetimi). Siber güvenlik ayrıca veri yönetişiminden ayrılmazdır: bir kuruluş elinde tuttuğunu bilmediği şeyi koruyamaz ve veriden kamu değeri yaratan birlikte çalışabilirlik ve açıklık aynı zamanda bir saldırganın sömürebileceği yüzeyi genişletir (bkz. Konu 5.4 — Kamu Sektörü Verisi, Birlikte Çalışabilirlik ve Açık Veri).

Kaynaklandırma sorunu kamu ve sosyal sektörler için akut ve özeldir. Büyük ulusal kurumların giderek özel güvenlik ekipleri ve kurumsal bütçeleri vardır; küçük bir kasabaya hizmet veren su kurulunun, bölgesel hastane vakfının ve bir aile içi şiddet barınağı işleten yerel kâr amacı gütmeyen kuruluşun tipik olarak yoktur; oysa hassasiyeti herhangi bir bankanınkine yakın ya da onu aşan veriyi elinde tutarlar. Saldırganlar bunu bilir. Yetersiz kaynaklı kamu kuruluşları bu konuda bir uç durum değil, neredeyse merkezidir, çünkü bugün bu riskle karşılaşan medyan kamu kuruluşu bir ulusal bakanlık değil, küçük bir yerel yönetim, bölgesel bir kamu hizmeti kuruluşu ya da bir avuç bilgi teknolojisi personeli olan ve hiç güvenlik uzmanı olmayan bir hayır kurumudur.

Son olarak, bu canlı ve kötüleşen bir sorundur, varsayımsal değil. Fidye yazılımı kampanyaları giderek tam olarak hassas veriyi, temel hizmetleri, kesintiye düşük tahammülü ve karşılaştırmalı olarak zayıf savunmayı birleştirdikleri için yerel yönetimleri, hastaneleri, okulları ve sosyal sektör kuruluşlarını hedef alıyor — ödeme olasılığını yüksek ve saldırıyı ilk etapta önlemiş olma olasılığını düşük kılan bir birleşim. Siber güvenliği yönetişim düzeyinde bir kamu değeri taahhüdü yerine uzmanlık eki olarak ele almak, bu kuruluş sınıfı için bir davete yakındır.

Temel kavramlar

Kritik altyapı, enerji, su, ulaşım, sağlık hizmeti, finans, iletişim gibi öyle temel sistemler ve varlıklar kümesidir ki bunların yetersizliği ya da yıkımı güvenlik, ekonomi ya da kamu güveni üzerinde sarsıcı bir etkiye sahip olur. Kritik altyapı koruması, bu sistemleri fiziksel ve dijital tehditlere karşı güvence altına alma disiplinidir; burada önemlidir çünkü en sonuç doğurucu kamu sektörü siber olaylarının çoğu soyut veriye değil, kayıtları tutan ve işlemleri işleyen bilgi teknolojisinden ayrı olarak fiziksel altyapıyı çalışır tutan operasyonel teknolojiye yönelik saldırılardır.

Bir tehdit aktörü, bir sisteme zarar vermeye çalışabilecek herhangi bir birey, grup ya da devlettir; kamu sektöründe bunlar mali güdülü suç gruplarından casusluk ya da aksatma peşindeki devlet destekli aktörlere uzanır ve aynı kuruluş çok farklı amaçlarla ikisiyle de aynı anda karşılaşabilir. Fidye yazılımı, bir kuruluşun verisini ya da sistemlerini şifreleyen ve serbest bırakılmaları için ödeme talep eden kötü amaçlı yazılımdır; kamu kuruluşları için baskın tehdit hâline gelmiştir, çünkü temel hizmetler uzun süreli kesintiye tahammül edemez, bu da ödeme baskısını artırır. Kimlik avı, saldırganların personeli genellikle aldatıcı e-posta aracılığıyla kimlik bilgilerini açıklamaya ya da kötü amaçlı yazılım yüklemeye kandırdığı bir toplumsal mühendislik biçimidir ve bir saldırganın ilk kez dayanak elde etmesinin en yaygın yolu olmayı sürdürür, çünkü teknolojiyi değil insanları hedefler.

Bir veri ihlali, bir dış saldırı, bir içeriden kişi ya da internete açık bırakılmış yanlış yapılandırılmış bir veri tabanı gibi basit insan hatası aracılığıyla olsun, bilginin yetkisiz erişimi, ifşası ya da kaybıdır. Bir tedarik zinciri saldırısı, hedef kuruluşun güvendiği daha az güvenli bir tedarikçiyi, yazılım satıcısını ya da yönetilen hizmet sağlayıcıyı hedef alarak bir kuruluşu dolaylı olarak tehlikeye atar; bu kamu sektörü için özellikle tehlikelidir, çünkü birçok kamu kuruluşu aynı avuç yazılım satıcısını paylaşır, yani tek bir satıcı ihlali yüzlerce kuruma aynı anda yayılabilir.

Siber hijyen, başarılı saldırıların büyük çoğunluğunu egzotik araçlar gerektirmeden önleyen rutin pratikler kümesidir — yazılımı hızla yamalamak, güçlü kimlik doğrulamayı zorunlu kılmak, kimin neye erişebileceğini sınırlamak, veriyi yedeklemek ve yedeklerin geri yüklenmesini sınamak. İhlallerin çoğu yeni tekniklerden çok bilinen, yamasız güvenlik açıklarını veya zayıf kimlik bilgilerini sömürür; bu nedenle bir kuruluşun gerçek siber hijyeni ile beyan edilen politikası arasındaki boşluk, risk kaydında adlandırdığı tehditlerin sofistikeliğinden genellikle riskinin daha iyi bir öngörücüsüdür.

Sıfır güven mimarisi, hiçbir kullanıcıya ya da cihaza, bir kuruluşun kendi ağı içinde bile, varsayılan olarak güvenilmemesi gerektiğini ve erişim için her talebin nereden kaynaklandığından bağımsız olarak doğrulanması gerektiğini savunan bir güvenlik tasarım ilkesidir. Modern hükümet işinin gerçekte nasıl gerçekleştiğine — personelin, müteahhitlerin ve yurttaşların birçok cihaz ve konumdan hizmetlere erişmesine — çevre içindeki her şeye güvenen eski bir modelden daha iyi uyduğu için kamu sektörü rehberliğinde etkili hâle gelmiştir.

Bilgisayar güvenliği olay yönetimi, genellikle olay müdahalesi denir, bir güvenlik olayını saptama, sınırlama, ortadan kaldırma ve ondan iyileşmenin, ardından neye izin verdiğinin gözden geçirilmesinin örgütlü sürecidir. Bir açıklama yükümlülüğü, kişisel veri veya kritik hizmetler tehlikeye girdiğinde, belirli bir süre içinde ve belirli bir standartta, etkilenen bireyleri, düzenleyicileri ya da kamuyu bilgilendirmeye dair yasal veya düzenleyici bir görevdir; yurttaşların ve gözetim organlarının verilerinin veya temel hizmetlerinin riske atıldığını bilme hakkı olduğu ve zamanında açıklamanın insanların kendilerini korumasına izin verdiği mantığıyla.

İyi uygulamalar

1. Siber güvenliği devredilmiş bir teknik işlev değil yönetim organının sorumluluğu olarak ele alın. Kurullar, meclisler ve yönetici ekipler siber risk hakkında düzenli, sade dilli brifingler almalı ve bütçesini, kesilmesi en kolay şey olduğu daha geniş bir bilgi teknolojisi satırı içinde müzakere edilmesine bırakmak yerine doğrudan onaylamalıdır.
2. Nasıl koruyacağınıza karar vermeden önce elinizde ne olduğunu ve neyin ona bağlı olduğunu envanterleyin. Bir kuruluş haritalamadığı veriyi ya da sistemleri güvence altına alamaz; başka yerde ele alınan birlikte çalışabilirlik ve veri yönetişimi çalışmasına çapraz başvurulan güncel bir varlık ve veri envanteri (bkz. Konu 5.4 — Kamu Sektörü Verisi, Birlikte Çalışabilirlik ve Açık Veri), bu listedeki her diğer pratiğin ön koşuludur.
3. Gelişmiş herhangi bir şeye harcama yapmadan önce temelleri her yerde uygulayın. Yama yönetimi, çok faktörlü kimlik doğrulama, sınanmış yedekler ve en az ayrıcalıklı erişim denetimi gerçek dünya saldırılarının ezici çoğunluğunu durdurur; bunlar yerinde olmayan bir kamu kuruluşu tehdit istihbaratı aboneliklerine ya da özel izleme araçlarına öncelik vermemelidir.
4. Özel bir çerçeve icat etmek yerine tanınmış bir çerçeve benimseyin. National Institute of Standards and Technology'nin Siber Güvenlik Çerçevesi gibi çerçeveler, ortak bir sözcük dağarcığı ve bir yapı — belirle, koru, saptama, yanıtla, iyileş — verir; küçük bir kuruluş bunu basitleştirilmiş biçimde, büyük bir kuruluş tam olarak benimseyebilir, temel sınıflamayı yeniden icat etmeden.
5. Küçük kuruluşlar arasında kaynakları her biri tek başına satın almak yerine havuzlayın. Paylaşılan bir güvenlik operasyonları hizmeti, bölgesel bir siber olay müdahale havuzu ya da sektör çapında bir satın alma çerçevesi, bir grup küçük yerel yönetime ya da kâr amacı gütmeyen kuruluşa hiçbirinin tek başına karşılayamayacağı korumayı verebilir — bu konunun merkezine aldığı yetersiz kaynaklandırma sorununa en doğrudan yanıt.
6. Olay müdahale planını olaydan önce yazın ve prova edin. Canlı bir saldırı sırasında ilk kez taslak hâline getirilmiş bir plan, panik içinde, hiç gerçekten işleyip işlemediğini sınamamış insanlarca kötü taslak hâline getirilmiş bir plandır; en az yıllık tatbik edilen bir plan, kaotik bir ilk saati bilinen adımların prova edilmiş bir dizisine çevirir (bunun yararlandığı daha geniş disiplin için bkz. Konu 3.12 — Kriz, Acil Durum ve Dayanıklılık Yönetimi).
7. Açıklama ve ödeme politikasına olay sırasında değil önceden karar verin. Kuruluşun bir fidyeyi ödemeyi düşünüp düşünmeyeceği, bu çağrıyı kimin yapabileceği ve etkilenen insanlara nasıl ve ne zaman söyleneceği, canlı bir şantaj talebinin baskısı altında doğaçlanan bir karar değil kurulca onaylanmış politika olmalıdır.
8. Ağları bölümlere ayırın ki bir ihlal her ihlale dönüşemesin. Fiziksel altyapıyı denetleyen operasyonel teknolojiyi genel ofis bilgi teknolojisinden ayrı tutmak ve yüksek hassasiyetli sistemleri daha düşük hassasiyetlilerden ayırmak, bir zayıf noktadan giren bir davetsizin ne kadar uzağa gidebileceğini sınırlar.
9. Üçüncü taraf ve tedarik zinciri riskini iç risk kadar titizlikle yönetin. Yazılım satıcıları ve yönetilen hizmet sağlayıcılarla sözleşmelerde güvenlik güvenceleri, denetleme hakkı maddeleri ve olay bildirim yükümlülükleri gerektirin, çünkü büyük kamu sektörü olaylarının artan bir payı doğrudan bir saldırıdan değil güvenilen bir tedarikçiden kaynaklanır.
10. Yalnızca araçlara değil insanlara yatırım yapın. Simüle edilmiş kimlik avı alıştırmaları dahil düzenli, gerçekçi eğitim, başarılı toplumsal mühendislik saldırılarını ölçülebilir biçimde azaltır ve küçük bir kuruluşta bir ya da iki yetenekli güvenlik personelini elde tutmak genellikle ek yazılım lisanslarına eşdeğer harcamadan daha değerlidir.
11. Olayları dürüstçe raporlayın ve ramak kalaları ücretsiz dersler olarak kullanın. Şüpheli bir ihlali bildiren personeli cezalandıran bir kültür, bir sonrakinin geç ya da hiç bildirilmemesini garanti eder; en hızlı gelişen kuruluşlar her ramak kalayı suçlama atamak için bir neden yerine öğrenilecek kanıt olarak ele alanlardır.
12. Siber dayanıklılığı yalnızca iç politikaya değil satın alma ve hibe koşullarına yerleştirin. Fon sağlayıcılar ve hizmeti ısmarlayan kuruluşlar fonladıkları ya da sözleşme yaptıkları kuruluşlardan asgari bir güvenlik pratiği düzeyi gerektirebilir; aksi hâlde yatırım yapmak için hiçbir dış baskısı olmayacak daha küçük teslim ortaklarına iyi pratiğin erişimini genişletir (bkz. Konu 3.7 — Kamu Alımları ve Hizmet Tedariki).

Ekibinizle tartışılacak sorular

Elimizde gerçekte hangi veriyi ve sistemleri tuttuğumuzu ve hangilerinin tehlikeye girmesinin birine zarar vereceğini biliyor muyuz? Birçok kuruluş veri varlıklarının gerçek kapsamını yalnızca bir ihlal soruşturması sırasında keşfeder; bu, bunu öğrenmek için mümkün olan en kötü zamandır. Başlıca hizmetlerinizi gözden geçirin ve her biri için dokunduğu kişisel veya operasyonel olarak hassas veriyi ve o veri çalınsa, değiştirilse ya da erişilemez kılınsa gerçek bir kişiye ne olacağını sorun. Dürüst yanıt "emin değiliz" ise, bu belirsizlik başlı başına bulgudur ve onu kapatmak gündeminizin ilk maddesidir. Bu soru en çok satın alma, birleşme ya da birikmiş eski sistemler yoluyla büyümüş, nelerin var olduğuna dair kurumsal hafızanın inceldiği kuruluşlar için önemlidir.

Yarın fidye yazılımına yakalansak, ödeme yapmadan yedekten geri yükleyebilir miydik? Bir yedeğin değeri var olması değil, yeterince hızlı ve önemli olacak kadar yeni bir sürümden gerçekten geri yüklediğinin sınanmış olmasıdır. Yedeklerin son kez yalnızca bir tamamlanma günlüğüyle değil gerçek bir geri yükleme tatbikatıyla ne zaman sınandığını ve tam bir geri yüklemenin kuruluşunuzun bir kesintiye tahammül edebileceği süreye karşı ne kadar süreceğini sorun. Bu sayılar eşleşmiyorsa, bir olay sırasında değil şimdi vermeniz gereken bir kaynak kararınız vardır. Bu aynı zamanda yedeklerin kendilerinin, ana sistemlerinize ulaşan bir saldırganın da ulaşabileceği ağdan yalıtılıp yalıtılmadığını tartışmanın anıdır.

Fidye ödeyip ödemeyeceğimize kimin karar verme yetkisi var ve sorulmadan önce bunu hiç tartıştık mı? Bu, bir yönetici ekibin karşılaşabileceği en yüksek riskli kararlardan biridir; çoğu zaman saatler içinde ve saldırganın gerçekte neye sahip olduğuna dair eksik bilgiyle gereklidir. Süreci, yetkilendiren bireyleri ve ilkeleri önceden kararlaştırmak — nihai çağrı olayın özelliklerine bağlı kalsa bile — şantaj baskısı altında doğaçlanan bir kararı önler. Yargı alanınızın hukukunun ve fon sağlayıcılarınızın koşullarının fidye ödemesi hakkında ne dediğini ve kimi bilgilendirmeniz gerekeceğini tartışın.

En küçük ortaklarımız ve tedarikçilerimiz bizim için kendimizden daha büyük bir risk mi? İyi güvence altına alınmış bir merkezî kuruluş yine de sistemlerine ya da verisine meşru erişimi olan kötü güvence altına alınmış bir tedarikçi, müteahhit ya da teslim ortağı aracılığıyla ihlal edilebilir. Sistemlerinize ulaşabilen ya da verinizi elinde tutan üçüncü tarafları haritalayın ve onların güvenlik pratikleri üzerinde gerçekte ne kadar güvenceye sahip olduğunuz ile varsaydığınız güvence arasında dürüst olun. Bundan sonra onlardan hangi asgari standardı gerektireceğinize ve yazılı bir güvenceyi basitçe istemek yerine bunu nasıl doğrulayacağınıza karar verin.

İhlal edildiğimizi bilir miydik ve ne kadar çabuk? En zarar verici olayların bazıları hızlı gerçekleşenler değil, bir saldırganın sessizce keşfettiği, ayrıcalıkları yükselttiği ve veriyi sızdırdığı aylar boyunca saptanmadan kalanlardır. Bugün olağandışı faaliyeti gerçekte nasıl saptayacağınızı, kimin izlediğini ve bu izlemenin mesai saatleri dışında çalışıp çalışmadığını tartışın, çünkü birçok saldırı kasıtlı olarak yanıtın en yavaş olduğu gece ya da bir tatil hafta sonunda başlatılır. Saptama tümüyle bir yurttaşın ya da bir ortak kuruluşun size bir şeyin yanlış olduğunu söylemesine bağlıysa, bu kritik bir boşluktur.

Kurulumuz ya da yönetim organımız bu riski yönetecek kadar iyi anlıyor mu, yoksa bu yargıyı sessizce bilgi teknolojisi ekibine mi devrettik? Siber risk kararları maliyet, hizmet sürekliliği ve yurttaş koruması arasında gerçek ödünleşimler içerir; bunlar uygun biçimde başı sallanarak geçirilecek devredilmiş bir teknik mesele değil yönetim organının işidir. Siber riskin kurulunuza ya da meclisinize şu anda nasıl raporlandığını, uzman olmayan birinin gerçekten harekete geçebileceği bir dilde olup olmadığını ve bütçesinin diğer herhangi bir büyük risk kadar titizlikle karara bağlanıp bağlanmadığını tartışın. Yönetim organınız kuruluşunuzun en büyük üç siber riskini kendi sözleriyle şu anda açıklayamazsa, önce kapatılacak boşluk budur.

Uygulamada: bir kamu değeri örneği

Orta büyüklükte bir bölgesel ulaşım idaresi — kurgusal, gerçek bir kuruluşun raporu değil bir örüntünün örneği — modernize edilmek yerine on yıl boyunca parça parça yamalanmış eskiyen planlama ve ödeme sistemleri işletiyordu. Bilgi teknolojisi ekibi üç kişiydi; yardım masası taleplerinden ağ güvenliğine kadar her şeyden sorumluydu ve siber güvenliğin hiç kendi bütçe satırı olmamıştı; gerçek anlamda yıllardır büyümemiş genel bir "sistem bakımı" tahsisatının içinde yaşıyordu.

Bir saldırgan, idarenin gerçekten kullandığı bir tedarikçiden sahte bir faturayı kullanan, bir maliye görevlisine gönderilmiş bir kimlik avı e-postası aracılığıyla erişim elde etti. İçeri girdikten sonra saldırgan, planlama sistemini, ücret ödeme platformunu ve ana ağdan hiç yalıtılmamış idarenin yedeklerini şifreleyen fidye yazılımını dağıtmadan önce ağ içinde altı hafta boyunca sessizce hareket etti. Otobüsler ilk gün sürücülerin rotaları hatırlamasıyla çalışmaya devam etti, ama ücretler elektronik toplanamadı, gerçek zamanlı bilgi ekranları karardı ve idarenin maliye sistemleri bordro için kullanılamaz hâle geldi.

Yönetici ekip fidye kararıyla önceden kararlaştırılmış bir politika olmadan karşılaştı: kimse bir ödemeyi kimin onaylama yetkisi olduğuna, yasal durumun ne olduğuna ya da yolculara ne söyleyeceklerine önceden karar vermemişti. Yedekten geri yükleme bir seçenek değildi, çünkü yedekler diğer her şeyle birlikte şifrelenmişti. Dokuz günlük aksama, kısmi hizmet restorasyonu ve idarenin yönetim kurulunun sonradan o sırada mevcut en az kötü seçenek olarak tanımladığı bir ödemeden sonra idare bağımsız bir gözden geçirme görevlendirdi.

Gözden geçirmenin bulguları gösterişsizdi ve bu konunun tarif ettiği örüntüyle tümüyle tutarlıydı: maliye sistemlerinde çok faktörlü kimlik doğrulama yoktu, ofis sistemleri ile ödeme altyapısı arasında ağ bölümlemesi yoktu, iki yıldan uzun süredir yedek geri yüklemesi sınanmamıştı ve olaydan önce siber riske dair hiç yönetim kurulu düzeyinde görünürlük yoktu. İdarenin yanıtı da eşit derecede gösterişsizdi — temelleri düzeltmek için aşamalı bir plan, hiçbirinin tek başına karşılayamayacağı uzman kapsamın maliyetini bölüşmek için iki komşu ulaşım idaresiyle paylaşılan bir güvenlik izleme düzenlemesi ve siber risk üzerine kalıcı bir yönetim kurulu gündem maddesi. Hiçbiri büyük bir bilgi teknolojisi programının standartlarına göre pahalı değildi; hepsi, ısrar etmenin hiç kimsenin açıkça atanmış işi olmadığı için yıllarca atlanmıştı.

Dört sektör bakışı

Yerel yönetim

Yerel yönetimler rahatsız edici bir kesişimde durur: son derece hassas veri — sosyal bakım kayıtları, konut ve yardım bilgileri, seçmen kütükleri — elinde tutar ve yurttaşların kolayca vazgeçemeyeceği hizmetler yürütür, ama hükümetin herhangi bir kademesinin tipik olarak en küçük güvenlik bütçelerine ve en az uzman personeline sahiptir. Büyük bir ulusal bakanlık kurum içi bir güvenlik operasyon merkezi kurabilir; küçük bir ilçe meclisi genellikle kuramaz; bu da paylaşılan hizmetleri, bölgesel havuzlamayı ve ulusal destek programlarını isteğe bağlı bir ek yerine yeterli korumaya giden pratik yol yapar. Yerel seçilmiş görevliler ayrıca çoğu zaman hükümetin herhangi bir kademesinin teknik bir risk brifingini sorgulamaya en az donanımlı olanlarıdır; bu, seçilmiş üyelere sade dilli raporlamayı bu kademede ayrı bir yönetişim zorluğu yapar.

Merkezi yönetim

Merkezi yönetimler genellikle özel siber güvenlik kurumları ve ulusal çerçeveler inşa edecek kaynaklara sahiptir — Birleşik Krallık'ın Ulusal Siber Güvenlik Merkezi (Birleşik Krallık) ya da Amerika Birleşik Devletleri'nin Siber Güvenlik ve Altyapı Güvenliği Ajansı gibi organlar standartları belirlemek, yanıtı eşgüdümlemek ve yargı alanlarındaki daha az kaynaklı kamu kuruluşlarını desteklemek için vardır. Ayırt edici ulusal düzey zorluk, temel hijyenden çok devlet destekli ve yüksek yetenekli tehdit aktörleri, ulusal kritik altyapının sektörler ve özel işletmeciler boyunca birbirine bağımlılığı ve yerel ya da örgütsel düzeyde nadiren görünen atıf ve yanıtın diplomatik ve yasal boyutlarıdır.

Sosyal sektör ve kâr amacı gütmeyen kuruluşlar

Kâr amacı gütmeyen kuruluşlar ve STK'lar çoğu zaman herhangi bir sektörün en hassas verilerinden bazılarını — sağlık kayıtları, şiddet ya da zulüm mağdurlarının kayıtları, mülteci ve sığınma vaka çalışması — bu kitaptaki herhangi bir kuruluş türünün en ince güvenlik bütçeleriyle elinde tutar, çünkü fon sağlayıcılar güvenlik için nadiren para ayırır ve hibe koşulları nadiren onu gerektirir. Birçok sosyal sektör kuruluşu ayrıca gönüllülere ve yüksek personel devrine bağlıdır; bu, tutarlı güvenlik eğitimini ve erişim denetimini kararlı, profesyonelce kadrolanmış bir kuruluştan daha zor sürdürülebilir kılar; bir güvenlik olayı küçük bir hayır kurumu için, bir hükümet bölümü için nadiren olduğu biçimde varoluşsal olabilir, çünkü itibar zararı ve bağışçı güveninin kaybı kuruluşu tümüyle bitirebilir (bkz. Konu 3.8 — Sosyal Sektör ve Kâr Amacı Gütmeyen Kuruluşların Yönetimi).

Çok taraflı ve uluslararası

Çok taraflı ve uluslararası kuruluşlar farklı açıklama yasaları, kritik altyapının farklı tanımları ve farklı ulusal siber kapasite düzeyleri olan yargı alanları boyunca çalışır; bu da eşgüdümün kendisini ayrı bir sorun yapar: uluslararası bir organın kendi sistemleri iyi korunurken ulusal üye kurumları muazzam ölçüde değişebilir ve Organisation for Economic Co-operation and Development ya da Avrupa Birliği Siber Güvenlik Ajansı gibi bir organ operasyonel olduğu kadar standart belirleyen ve kapasite inşa eden bir rol oynar. Çok taraflı bakış ayrıca sınır ötesi olay müdahalesinin ve bilgi paylaşımı düzenlemelerinin en çok önem taşıdığı yerdir, çünkü bir ülkenin altyapısında başlayan bir saldırı, çoğu uluslararası eşgüdüm mekanizmasının hareket etmek üzere kurulduğundan daha hızlı, saatler içinde bir diğerine yayılabilir.

Sık görülen başarısızlık biçimleri

Operasyonel öz olmadan güvenlik tiyatrosu. Bir kuruluş etkileyici görünen bir politika belgesi, bir uyum sertifikası ya da tek pahalı bir araç benimser ve kutuyu işaretlenmiş sayar; temel hijyen — yamalama, çok faktörlü kimlik doğrulama, sınanmış yedekler — tutarsız kalır. Bu, güvenliğin kendisi için değil görünümü için gerçek paraya mal olur ve çoğu zaman yalnızca bir olay politika ile pratik arasındaki boşluğu açığa çıkardıktan sonra tiyatro olduğu keşfedilir.

Sahipsiz risk. Siber güvenliğin başkasının işi olduğu varsayılır — bilgi teknolojisi ekibinin, bir satıcının, bir düzenleyicinin — ve yönetim organı düzeyinde hiçbir tek hesap verebilir sahip yoktur. Bu, her yerde tartışılan ve hiçbir yerde karara bağlanmayan bir risk üretir ve kuruluşları kendi maruziyetleri hakkındaki temel soruları sorulduğunda yanıtlayamaz bırakan tam olarak bu örüntüdür.

Önceki bir olayın yokluğuyla haklı çıkarılan yetersiz yatırım. İyi yürütülen bir güvenlik programı başarılı olduğunda hiçbir görünür olay üretmediğinden, sıkı bir bütçe turunda görünür çıktısı olan bir şey lehine fonlamasını kesmek kolaydır ve şimdiye kadar bir ihlalin olmaması, henüz sınanmamış bir kanıtın değil yeterli korumanın kanıtı sanılır. Bu, dayanıklılık yatırımını daha genel olarak zayıflatan aynı bütçesel mantığı yansıtır (bkz. Konu 3.12 — Kriz, Acil Durum ve Dayanıklılık Yönetimi).

Desteklenebilir ömrünü aşmış çalıştırılan eski sistemler. Kamu kuruluşları sıklıkla bir satıcı güvenlik yamaları yayımlamayı bıraktıktan çok sonra yazılımı ya da donanımı çalıştırmayı sürdürür, çünkü değiştirmek pahalı, aksatıcı veya siyasi olarak popüler değildir ve sistem "hâlâ çalışıyor". Yamasız, desteklenmeyen bir sistem bir eski rahatsızlık değildir; bir saldırganın içinden yürüyüp geçmesi hiçbir şeye mal olmayan açık bir kapıdır.

Önce suçlamaya dayalı olay kültürü. Şüpheli bir ihlali ya da bir hatayı bildiren personel desteklenmek yerine disipline edildiğinde, gelecekteki olaylar geç, küçümsenerek ya da hiç bildirilmez ve kuruluş zamanında raporlamanın sağladığı erken uyarı sinyalini kaybeder. Bu başarısızlık biçimi bu listedeki diğer her birini bileşik hâle getirir, çünkü kuruluş kendi sorunlarını dürüstçe göremezse yukarıdaki düzeltmelerin hiçbiri işlemez.

Olgunluk modeli

Kontrol listesi

• Yönetim organı düzeyinde adı belli bir birey ya da komite siber riske sahiptir ve düzenli olarak sade dille raporlar.
• Kuruluşun hangi veriyi ve sistemleri elinde tuttuğunun ve hangilerinin bir hizmet için en hassas veya en kritik olduğunun güncel bir envanteri vardır.
• Çok faktörlü kimlik doğrulama, hassas veri tutan veya kritik hizmetleri denetleyen tüm sistemlerde zorunlu kılınmıştır.
• Yedekler düzenli alınır, ana ağdan yalıtılmış olarak saklanır ve geri yükleme son on iki ay içinde sınanmıştır.
• Yazılım ve sistemler tanımlı bir takvimde yamalanır ve artık yamalanamayan her sistemin onu değiştirmek veya yalıtmak için belgelenmiş bir planı vardır.
• Yazılı bir olay müdahale planı vardır, önemli kararları kimin verme yetkisi olduğunu adlandırır ve son yıl içinde gerçekçi bir tatbikatla prova edilmiştir.
• Fidye ödemesi ve etkilenen insanların, düzenleyicilerin ve kamunun nasıl ve ne zaman bilgilendirileceği üzerine kurulca onaylanmış bir politika vardır.
• Yazılım satıcıları ve yönetilen hizmet sağlayıcılarla sözleşmeler güvenlik güvencelerini ve olay bildirim yükümlülüklerini içerir.
• Personel, simüle edilmiş kimlik avı alıştırmaları dahil düzenli, gerçekçi güvenlik eğitimi alır.
• Şüpheli bir olayı veya ramak kalayı bildirmek suçlama gerekçesi değil değerli bilgi olarak ele alınır.
• Benzer büyüklük ve bütçedeki emsal kuruluşlarla paylaşılan ya da havuzlanan güvenlik düzenlemeleri araştırılmıştır.
• Siber risk, kuruluşun daha geniş kriz ve dayanıklılık planlamasında, ayrı, bağlantısız bir plan olarak değil açıkça yer alır.

Temel kaynaklar

Bu konu, siber güvenlik pratiğini örgütlemek için önde gelen yapılandırılmış çerçeve olarak National Institute of Standards and Technology'nin Siber Güvenlik Çerçevesi'ne; Avrupa Birliği boyunca ortak bir siber güvenlik düzeyine ulaşmaya dair Avrupa Birliği Siber Güvenlik Ajansı'nın yayımlanmış misyonuna ve rehberliğine; dijital güvenliği salt teknik bir sorun yerine bir iktisadi ve toplumsal risk yönetimi meselesi olarak çerçeveleyen Organisation for Economic Co-operation and Development'ın dijital güvenlik politikası çalışmasına; ve ikisi de özellikle yetersiz kaynaklı kamu kuruluşlarına yönelik ücretsiz rehberlik sağlayan Birleşik Krallık'ın Ulusal Siber Güvenlik Merkezi ve Amerika Birleşik Devletleri'nin Siber Güvenlik ve Altyapı Güvenliği Ajansı gibi ulusal siber güvenlik kurumlarının yayımladığı operasyonel rehberliğe dayanır.

Kaynakça

1. Computer security — Wikipedia — https://en.wikipedia.org/wiki/Computer_security
2. Critical infrastructure — Wikipedia — https://en.wikipedia.org/wiki/Critical_infrastructure
3. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
4. Phishing — Wikipedia — https://en.wikipedia.org/wiki/Phishing
5. Data breach — Wikipedia — https://en.wikipedia.org/wiki/Data_breach
6. Supply chain attack — Wikipedia — https://en.wikipedia.org/wiki/Supply_chain_attack
7. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
8. Computer security incident management — Wikipedia — https://en.wikipedia.org/wiki/Computer_security_incident_management
9. National Cyber Security Center (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Cybersecurity and Infrastructure Security Agency — Wikipedia — https://en.wikipedia.org/wiki/Cybersecurity_and_Infrastructure_Security_Agency
11. Cybersecurity Framework — National Institute of Standards and Technology — https://www.nist.gov/cyberframework
12. Who we are — European Union Agency for Cybersecurity (ENISA) — https://www.enisa.europa.eu/about-enisa/who-we-are
13. Digital security — Organisation for Economic Co-operation and Development (OECD) — https://www.oecd.org/en/topics/digital-security.html
14. What we do at the NCSC — National Cyber Security Center (United Kingdom) — https://www.ncsc.gov.uk/section/about-ncsc/what-we-do
15. About CISA — Cybersecurity and Infrastructure Security Agency (United States) — https://www.cisa.gov/about