Helpnet Security’de yer alan habere göre, kurumlar Operasyonel Teknolojiler (OT) bağlamında siber güvenlik çalışmalarını hızlandırdı. EKS (Endüstriyel Kontrol Sistemleri) siber güvenliği alanında faaliyet gösteren başlıca kurumlardan biri olan SANS’ın 2019 raporunu inceleyen habere göre, EKS’ye yönelik siber tehdit seviyesi yüksek ve güvenliğe ilişkin sorunların çehresi değişiyor.

Bununla beraber, SANS’ın OT/EKS siber güvenliği bağlamında 2017 yılında yayınladığı rapordan bu yana, çok sayıda kurumun güvenliğe ilişkin duruşlarında önemli bir iyileşme görüldüğü ve kurumların BT (Bilgi Teknolojileri)-OT yakınsaması çerçevesinde stratejiler benimsediği de gözlemleniyor. Nozomi Networks Yöneticisi Edgard Capdevielle’ye göre, dünyanın dört bir yanından çok sayıda şirketin siber tehditlere karşı giderek yoğunlaşan bir güvenlik arayışı var. Bu bağlamda, EKS siber güvenliği çok sayıda şirket için bir öncelik haline geldi ve kurumlar siber güvenlik profillerini OT ve BT üzerinde daha derin bir görünürlük ve kontrol fırsatı sağlayan yenilikçi OT güvenlik teknolojileri ile güçlendiriyorlar.

EKS’ye yönelik siber tehdit seviyesi hala yüksek

Raporda yer verilen bulgulara göre, araştırmaya katılanların yarısı EKS’ye yönelik tehdit seviyesini yüksek ve bu tehditleri ciddi olarak nitelendiriyorlar. Rapora göre, 2017 yılına kıyasla kurumların OT siber güvenliğini bir öncelik haline getirmesine karşın, siber saldırılar ve veri ihlallerinin, OT ve BT yakınsamasına ve mobil/kablosuz teknolojilerin ilerlemesine paralel olarak arttığı da gözlemleniyor. Rapordan elde edilen temel verilere göre;

• 2017 yılında araştırmaya katılanların %69’unun EKS’ye yönelik tehditleri yüksek ve ciddi olarak nitelendirmesine karşın, bu oran 2019 yılında %50’ye düşmüş durumda.
• Araştırmaya katılanların %62’si kurum içerisinden ya da dışarısından ayrımı yapılmaksızın “insan” faktörünü en önemli risk olarak nitelendiriyorlar.
• Kurumların karşılaştığı siber olayların %61’inin OT faaliyetleri üzerinde yıkıcı bir etki yarattığı tespitinde bulunuluyor.
• Güvenli olmayan cihazlar, devlet destekli hackerlar ve kurum içerisinde yaşanan olaylar siber güvenliğe karşı başlıca üç tehdit olarak nitelendirilirken, bunları IT entegrasyonu ve tedarik zinciri/iş ortağına bağlı riskler gibi dış tehditler izliyor.
• EKS saldırılarında hala önemli bir taktik ve mekanizma olmasına ve birçok EKS saldırısının ilk adımını oluşturmasına karşın, Araştırmaya katılanların %25’inden azı oltalama saldırıları konusunda endişeli.

EKS Siber Güvenlik Profili Olgunlaşıyor

2017 yılının ardından bu yıl gerçekleştirilen araştırmaya göre, kurumların EKS’ye yönelik tehditleri eskiye nazaran daha ciddi olarak ele aldıkları ve bu bağlamda güvenlik profillerinde önemli bir iyileşme olduğu not ediliyor. Rapordaki bulgulara göre kurumların;

• %42’sinin kontrol sistemleri güvenlik bütçelerinde son iki yılda bir artış olduğu,
• %69’unun OT/kontrol sistemleri ve networkleri için güvenlik denetimi gerçekleştirdikleri,
• %60’unun proaktif bir şekilde siber olayların araştırılmasında eğitimli personele sahip oldukları,
• %62’sinin OT / kontrol sistemleri için iyi tanımlanmış (belgelenmiş) bir sistem çevresine veya sınırına sahip olduğu,
• %51’inin güvenlik açıklarını tespit etmek için sürekli aktif izleme kullandığı,
• %44’ünün anormallik algılama araçları kullandığı,
• %45’inin siber olayı takiben 2-7 gün içinde bir saldırıyı tespit ettikleri ve %53'ünün ise 6 ila 24 saat içinde saldırının tespitinden, güvenliğin sağlanması aşamasına geçtiğini,
• %46’sı için kontrol sistemi siber varlıkları ve konfigürasyonlarında görünürlüğün arttırılmasının öncelik olduğu,
• %28’si için ise EKS ağlarında anomali ve izinsiz giriş tespit araçlarının uygulanmasının 2019 yılı için öncelik olduğu belirtiliyor.

Bir Norm Olarak BT/OT Yakınsaması

SANS’ın 2019 raporuna göre, artık birçok kurum BT/OT yakınsamasını çok daha benimsemiş durumda. Buna karşın, şirketler için hala kurumsal önceliklerin bu yakınsamaya uyumlu hale getirilmesi ve bu bağlamda doğru bütçe oluşturması anlamında atması gereken adımlar bulunuyor. Bu çerçevede, BT/OT yakınsaması konusundaki sorulara cevap veren kurumların;

• %65’i mevcut OT / BT iş birliği seviyesinin orta seviyede veya eskiye göre daha iyi durumda olduğunu,
• %54'ü bilgi güvenliği yöneticilerinin OT varlıkları etrafında bir güvenlik politikası oluşturduğunu ve %42'si BT yöneticisinin ilgili kontrollerin uygulanmasında birincil sorumluluk üstlendiğini,
• %60'ı, kontrol sistemi siber varlıklarının veya ağının bir saldırı veya sızma belirtisi tespit edildiğinde ilk olarak çeşitli iç kaynaklara başvurduğunu,
• %84'ü OT / BT yakınlaşmasına yönelik bir strateji uygulamış, uygulamakta veya uygulamayı planladıklarını
• %30'u, IT, OT ve hibrit IT / OT alanlarında faaliyet gösteren çalışanlar için genel siber güvenlik farkındalık programlarına yatırım yapmanın 2019 için en önemli öncelik olduğunu belirtiyorlar.

Mobil ve Kablosuz Teknolojiler: OT için Görünmez bir Tehdit

EKS’lerin kullanım sınırları giderek genişleyip, bu sistemler giderek daha iç içe geçmiş ve birbirine bağımlı hale gelirken, siber güvenliğe ilişkin riskler ve zorluklar da bu gelişmelere paralel olarak artıyor. Buna rağmen, Araştırmada katılımcıların mobil ve kablosuz teknolojilere ilişkin tehditleri görece daha düşük bir risk olarak algıladıkları görülüyor.

Araştırma raporu, bazı mobil uygulamaların artık mühendislik uygulamalarının yerini aldığını ve bu bağlamda risklerin daha yüksek bir seviyede ele almaları gerektiğinin altını çiziyor. Ayrıca, kablosuz iletişim, sensör ağlarından veri aktarımı giderek daha yaygın bir uygulama haline geliyor. Bu çerçevede, saldırı yüzeyi giderek genişlerken, bir siber saldırı durumunda kurumların çok daha ciddi sonuçlar ile karşılaşabileceği öngörülüyor. Buna ek olarak, raporun sunduğu verilere göre;

• OT kontrol sistemi bağlantılarının %37'sinin kablosuz (halka açık veya özel hücresel, uydu veya radyo), olmasına karşın, Araştırma katılımcıları kablosuz iletişimi yüksek risk grubu içerisinde değerlendirmiyorlar,
• Ankete katılanların %40'ından fazlası, OT / EKS sistemi işlevleri için bulut tabanlı hizmetler kullanıyor,
• Geleneksel masaüstü kullanımı ya da sabit sistemlerin yerini alan ya da onları destekleyen mobil cihazların (dizüstü bilgisayarlar, tabletler ve akıllı telefonlar) OT kontrol sistemleri için en büyük 5 teknoloji risk alanı arasında yer almasına karşın, katılımcılar Araştırmada mobil cihazların yarabileceği tehditleri düşük etki grubunda değerlendiriyorlar.

Kaynak: Helpnet Security, 14.06.2019, "Organizations are advancing their efforts, investing in OT cybersecurity programs"