Güvenlik politikası: Gelecek için vazgeçilmez olan hayati bir altyapı olarak sınıflandırılmıştır.

Bankacılık ve kamu hizmetleri sektörlerinde, düzenleyiciler belirli sistemleri kritik olarak tanımlar. Kritik sistem, arızası müşterilere, piyasalara veya kamu güvenliğine kabul edilemez zararlar verebilecek sistemdir. Örneğin, bir takas bankasındaki ödeme platformu veya bir elektrik dağıtım şirketindeki SCADA ağı, sürekli izleme, belgelenmiş değişiklik yönetimi ve kanıtlanabilir dayanıklılık da dahil olmak üzere en yüksek yönetim yükümlülüklerini taşır.

Güvenlik duvarları, bulut kontrolleri ve mikro segmentasyon genelinde bir araya getirilmiş kurallar kümesi olan politika ortamı, hangi sistemlerin birbirine erişebileceğini, hangi iletişimlerin engellendiğini ve hangi istisnaların geçerli kalacağını belirler. Bu kurallar topluca güvenlik politikası kontrol katmanını oluşturur: iş hedeflerini dağıtılmış yürütme noktalarında erişim kararlarına dönüştüren yönetim katmanı.

Bulut geçişi sırasında yanlış yapılandırılmış bir karma algoritması kuralı, bir ödeme hizmetini ödeme platformundan ayırabilir; benzer şekilde, geliştirme alt ağından üretim ortamına geniş erişim sağlayan geçici bir kural, onu kaldırmaktan sorumlu kimsenin olmaması nedeniyle gerçek operasyondan sonra aylarca yürürlükte kalabilir.

Güvenlik duvarı kuralları, segmentasyon politikaları ve erişim kararları, operasyonel riskleri doğrudan etkiler ve politika ortamı başarısız olduğunda, onu yöneten hayati hizmetler de onunla birlikte başarısız olur.

Bu durum, politika ortamını kendi başına hayati bir altyapı haline getiriyor.

Bunlar hala rutin görevler olarak yönetiliyor.

Buna rağmen, birçok düzenlemeye tabi kuruluş, politika ortamlarını hâlâ tamamen operasyonel görevler olarak yönetmektedir. Kurallar, değişiklik talepleri yoluyla eklenir ve kümülatif etki nadiren orijinal niyetle karşılaştırılır. Liderlerin rolleri değiştikçe sahiplik parçalanır ve belirli bir kuralın var olma nedeni, eğer varsa, ancak bir değişiklik talebinde bulunabilir.

Sürekli izleme veya belgelenmiş bağımlılıklar olmadan bir ödeme platformunun çalışmasına asla izin vermeyecek bir Bilgi Güvenliği Yöneticisi (CISO), bir platformun erişilebilir olup olmadığını belirleyen politika ortamında her ikisinin de yokluğunu kabul edebilir. Bu durumu, rutin düzeyde yönetişimle altyapı boyutunda sonuçlara sahip olmak olarak tanımlayabiliriz.

Bankacılık sektöründe, ödeme sistemleri arasındaki iletişimi aksatan bir politika hatası, kritik iş hizmetlerinde aksamaya neden olur. Finansal Denetleme Kurumu (FCA), bu tür hatalara yakından dikkat eder, çünkü bu tür bir hizmetin kaybı önemli zararlara yol açabilir.

Sağlık ve enerji sektörlerinde sonuçlar farklı olsa da mekanizma aynıdır: Kurumsal bir ağdan NHS kurumunun klinik sistemlerine veya bir enerji dağıtım şirketinin operasyonel teknolojisine erişime izin veren bir yanlış yapılandırma, temel hizmetlerin sunumunda güvenlik açıkları yaratır. Bunlar varsayımsal riskler değil, kritik altyapı yönetimini rutin bir görev olarak ele almanın gerçek operasyonel sonuçlarıdır. Proaktif planlamanın önemini daha iyi anlamak için "Başlamadan Önce: Temel Altyapı Soruları" başlıklı makalemize bakın.

Düzenleyici kurumların tahminleri de aynı eğilimi doğruluyor.

Birleşik Krallık'ta düzenleyici beklentiler artıyor ve bu da aynı sonuca işaret ediyor: Kritik hizmetlere erişimi düzenleyen güvenlik politikaları, altyapıyla orantılı bir disiplinle yönetilmelidir. Finansal Davranış Otoritesi'nin (FCA) operasyonel dayanıklılık programı, düzenlemeye tabi firmaların kritik iş hizmetlerini belirlemesini ve destekleyici altyapının etki için belirlenen tolerans sınırları içinde kaldığını sürekli olarak göstermesini gerektiriyor.

Doğalgaz ve Elektrik Piyasası Düzenleyicisi (Ofgem), Ulusal Siber Güvenlik Merkezi'nin (NCSC) Siber Değerlendirme Çerçevesi'ne göre temel hizmet sağlayıcılarını değerlendiriyor ve belirli güvenlik sonuçlarının sürekli olarak elde edilip edilmediğini sorguluyor. Bu yılın sonlarında yasalaşması beklenen Siber Güvenlik ve Dayanıklılık Yasası, benzer yükümlülükleri veri merkezlerine , yönetilen hizmet sağlayıcılarına ve kritik tedarikçilere de genişletecek.

Bu çerçeveler kuralcı ve ayrıntılı değildir; hiçbiri bir kuruluşun sahip olması gereken güvenlik duvarı kurallarını veya perakende politikalarının nasıl yapılandırılacağını tanımlamaz. Gereken şey kanıttır: politika ortamının izin verdiği şeyin amaçlanan şey olduğunu ve kuruluşun her değerlendirme için kanıtı yeniden oluşturmak yerine bunu tutarlı bir şekilde gösterebildiğini kanıtlamaktır.

Mevcut sistem neden bu standardı karşılayamıyor?

Politika ortamlarının çoğu bu standardı karşılamak üzere tasarlanmamıştır. Aslında, politika ortamlarının çoğu bilinçli veya kasıtlı olarak bile tasarlanmamıştır. Bunun yerine, politikalar uygulama süreçlerinin bir yan ürünü olarak birikme eğilimindedir. Her proje ve geçiş yeni kurallar ekler ve çok azı kaldırılır.

Zamanla, "politika yüzeyi" -uygulama katmanları boyunca geçerli olan tüm kurallar ve erişim kararları kümesi- onu anlayan insan grubunun başa çıkabileceğinden daha büyük hale gelir ve sistem, işletilebilir ancak açıklanamaz bir noktaya ulaşır.

Bankacılık, enerji ve sağlık hizmetleri gibi düzenlemeye tabi sektörlerde, bu durum önceki düzenleyici çerçeveler altında sürdürülebilirdi : periyodik değerlendirmeler, kontrollere dayalı denetimler ve kontrollerin etkinliğinden ziyade var olup olmadığını sorgulayan uyumluluk çerçeveleri. Ancak bu artık yeterli değil. Yeni standart, erişimin kasıtlı olduğuna dair sürekli kanıt gerektiriyor.

Finansal Denetleme Kurumu'nun (FCA), operasyonel dayanıklılık konusunda bir yıllık öz değerlendirmelerinin ardından elde ettiği bulgular, bunun pratikte nasıl göründüğünü göstermektedir. Düzenlemeye tabi firmaların kritik iş hizmetlerini destekleyen altyapılarında az sayıda veya hiç güvenlik açığı bildirmediği durumlarda, FCA genellikle bu güvenlik açıklarının gerçekten mevcut olup olmadığını veya henüz keşfedilmemiş olup olmadığını belirlemek için kanıtların yetersiz olduğunu değerlendirmiştir.

Bu ders, güvenlik politikası yönetimine doğrudan uygulanabilir: Hiçbir kuruluş, politikalarının nelere izin verdiğine, nasıl test edildiğine ve güvenlik açıklarının giderilip giderilmediğine dair kanıt sunmadan erişim güvenlik açıklarının kontrol altında olduğunu güvenilir bir şekilde iddia edemez.

Altyapı düzeyinde yönetişim gereksinimleri

Genellikle, yanıt daha fazla şeffaflık ve dokümantasyon arayışı olur. Ancak dokümantasyon yalnızca belirli bir zaman dilimini kapsar; düzenleyicilerin beklediği sürekli güvenceyi sağlayamaz.

Düzenlemeye tabi bir şirketteki Bilgi Güvenliği Yöneticisinin (CISO) yalnızca politika ortamının nelere izin verdiğine dair bir kayıttan daha fazlasına ihtiyacı vardır. Yapılandırma ve etkili erişim aynı şey değildir. Güvenlik ekiplerinin, kuralların, yolların, nesnelerin ve uygulama katmanlarının nasıl etkileşimde bulunduğunu anlamaları ve nelerin gerçekten iletişim kurabileceğini belirlemeleri gerekir.

Bu standardı karşılamak iki şeyi uzlaştırmak anlamına gelir: ortamın gerçekte izin verdiği şeyin, amaçlandığı şey olduğunu göstermek ve bunu önceden uyarı olmaksızın kanıtlayabilmek.

Politika amacının tanımlandığı yer ile uygulandığı yeri birbirinden ayırıyoruz. Amaç merkezi olarak tutulur ve korunurken, uygulama hibrit, çoklu bulut ve çoklu tedarikçi ortamlarında güvenlik duvarları, bulut kontrolleri ve mikro segmentasyon arasında dağıtılmış halde kalır.

Bu niyet, inceleme noktalarında kontrol edilmek yerine sürekli olarak doğrulanır: önerilen değişiklikler üretime geçmeden önce politikaya göre test edilir ve gereksiz maruz kalmayı, uygulama katmanları arasındaki tutarsızlıkları ve iş amacından sapmaları tespit etmek için etkin erişim sürekli olarak değerlendirilir. İzin verilenler ve değiştirilenler kanıt olarak saklanır.

Sürekli izleme, doğrulanmış değişiklik kontrolü ve belgelenmiş bağımlılıklar olmadan çalışan bir ödeme platformunu asla kabul etmeyecek olan aynı bilgi güvenliği sorumlusu, bir platformun erişilebilir olup olmadığını belirleyen politika ortamına da bu standardı uygulamalıdır.

Finansal Denetleme Kurumu (FCA), Ulusal Siber Güvenlik Merkezi'nin (NCSC) Siber Değerlendirme Çerçevesi ve Siber Güvenlik ve Dayanıklılık Yasası, aynı temel soruya işaret ediyor: Bu kuruluş, kritik hizmetlerini destekleyen altyapının, bu hizmetlerin gerektirdiği standartlara uygun olarak yönetildiğini sürekli olarak gösterebilir mi?

Bu soruyu yanıtlamak, politika ortamının herhangi bir anda neye izin verdiğini (gerçek bilgi – varsayım veya incelemeye dayalı yeniden yapılandırma değil) ve izin verdiği şeyin amaçlanan şey olup olmadığını bilmek anlamına gelir. Bu vazgeçilmez altyapı soruları, bu bağlamda çok önemli bir başlangıç ​​noktasıdır.