İşletmenizin gerçek potansiyelini ortaya çıkarıp büyüme sağlamasının nedenleri

Geleneksel bir BT ortamında kritik bir güvenlik açığı uyarısı ulaştığında , iş sürekliliği konusunda nadiren paniğe yol açar. Etkilenen dizüstü bilgisayarlar, sunucular ve uygulamalar hızla belirlenebilir ve durum acilse yetenekli bir ekip bunları saatler içinde indeksleyip yamalayabilir. Öncelikler açıktır ve tahmine dayalı hareketlere çok az yer vardır.

Şimdi aynı uyarının bir hastanedeki görüntüleme ekipmanına, bir fabrika katındaki kontrol sistemlerine veya bir binadaki ısıtma, havalandırma ve iklimlendirme (HVAC) ağına ulaştığını hayal edin. Bu siber-fiziksel sistemler (CPS), yalnızca veri işlemekle kalmayıp fiziksel işlemleri de yöneten bağlantılı cihazlar, bilgi teknolojisi (IT) ve operasyonel teknolojilerin (OT) yakınlaşmasının merkezinde yer almaktadır.

Ancak geleneksel BT prensiplerinin aksine, bu uyarının belirli bir cihaza uygulanıp uygulanmadığını doğrulamak günler sürebilir ve çoğu zaman kesin bir cevaptan ziyade tahmine dayalı sonuçlar doğurur.

Bu tür belirsizlik temel hijyen kurallarına aykırılık olsa da, ne yazık ki siber-fiziksel sistemler için çoğu zaman norm haline gelmiştir.

Peki bu, siber-fiziksel sistemler (CPS) için neden yaygın bir sorun ve güvenlik ekipleri bu kritik varlıkları BT ağlarıyla nasıl yeniden uyumlu hale getirebilir?

Siber-fiziksel sistemlerdeki düşük görünürlük endişe verici derecede yaygın.

Siber-fiziksel sistemlere (CPS) yönelik gelen güvenlik açıklarını yönetememe durumu bir anormallik veya en kötü senaryo değildir ve özellikle bu varlıklar enerji ve sağlık hizmetleri gibi kritik altyapıların merkezinde yer aldığında endişe vericidir .

Sorun, ağların ortamda hangi fiziksel siber sistemlerin (CPS) bulunduğunu belirlemesine yardımcı olan ürün kodlarında yatmaktadır; bu da güvenlik yamalarının belirlenmesi ve uygulanması için çok önemli bir unsurdur.

17 milyon fiziksel siber varlıktan oluşan bir veri kümesinde yaptığımız araştırmada, satıcıların %88'inin doğru ürün kodunu göndermediği ve %76'sının da satıcının kendi kaydıyla eşleşmeyen bir kod gönderdiği tespit edildi.

Bu, bu sistemlerin başlangıçta nasıl tasarlandığı ve daha sonra modern BT ortamlarına nasıl entegre edildiğinin bir yan etkisidir. Programlanabilir mantık denetleyicileri (PLC'ler), tıbbi tarayıcılar ve endüstriyel sensörler, yapılandırılmış dijital sınıflandırma için değil, on yıllarca fiziksel güvenilirlik için tasarlanmıştır. Ağ tanımlaması nadiren tasarım şartnamesinin bir parçasıydı, bu nedenle aynı cihaz, bilgiyi talep eden protokole veya entegrasyona bağlı olarak kendini farklı şekilde rapor edebilir.

Fiziksel cihazları destekleyen işletim sistemleriyle ilgili olarak da benzer bir durumla karşılaştık. Araştırmamızda, cihazların %41'inde işletim sistemi (OS) sürümü hakkında bilgi bulunmazken, %24'ünde ise işletim sistemi adı hiç yoktu.

Bu ayrıntılar olmadan, cihazı bilinen bir güvenlik açığıyla eşleştirmek, veritabanlarında hızlı bir arama veya otomatik işlemler yoluyla imkansız hale gelir ve yalnızca tahmine dayalı veya zahmetli manuel aramalara dönüşür.

Dahası, güvenlik açıklarını izlemek için sektör standardı olan CVE uyarıları da aynı eksik satıcı verilerinden derlenmektedir. Bu nedenle, resmi uyarı da koruması gereken ağ kadar kusurlu olabilir.

Ürün kodlama karmaşasını yönetim kurulu düzeyinde risklere dönüştürmek

Bu tür bir kör nokta, zaten tehdit görünürlüğü konusunda stres altında olan liderlik için bir başka kaygı katmanı daha ekliyor. Küresel olarak anket yapılan 1100 güvenlik liderinin %44'ü, kuruluşlarının güvenlik açıklarını anlamayı, uyumluluk baskıları veya bütçe kısıtlamalarının bile üzerinde, en büyük operasyonel endişelerinden biri olarak gösterdi.

Dahası, katılımcıların %45'i en kritik varlıkları ve operasyonlarına yönelik siber riskleri azaltmakta zorlandıklarını belirtmiştir; ancak bu zorluk ile tamamen güvenilmez bir varlık envanteri arasındaki bağlantı genellikle göz ardı edilmektedir. Liderlik, altta yatan nedeni görmeden, risklerin yönetilemez olduğuna dair artan bir hissi yani belirtiyi görmektedir.

İşte bu noktada güvenlik ve iş ekipleri farklı diller konuşmaya başlayabilir ve birbirlerini anlayamayabilirler. Sorunu eksik ürün kodları ve tutarsız adlandırma kuralları üzerinden tanımlamaya başlayan güvenlik ekipleri fazla ilerleme kaydedemez.

İş dünyası liderleri bunların hiçbirini duymuyor; duydukları tek şey risklerin güvenilir bir şekilde ölçülemeyeceği. Bu iki konuşma birbirine bağlanana kadar, Bilgi Güvenliği Yöneticisinin üst yönetime sunduğu her risk raporu, odadaki başka hiç kimsenin göremediği bir yıldız işaretiyle işaretleniyor.

Bağlam, aradaki boşluğu kapatmanın anahtarıdır.

Bu sorunun çözümü, kapsamlı görünürlük kavramında bir değişimle başlar. Bir cihazın ağda var olduğunu bilmek, mücadelenin sadece yarısıdır. Cihazın işlevini, desteklediği süreçleri ve tehlikeye atılması durumunda ne olacağını anlamak, risk değerlendirmesini gerçekten değerli kılan şeydir.

Bu dönüşümü büyük ölçekte gerçekleştirmek, endüstriyel kontrol sistemleri (CPS) varlıklarının çeşitliliğini ve özgün doğasını yönetmek için özel araçlar ve bu geniş yelpazeyle başa çıkmak için otomatik bir yaklaşım gerektirir.

Örneğin, yapay zeka destekli eşleme tekniklerinin orijinal ekipman üreticisinin (OEM) cihaz kataloğuna uygulanması, ürün kodu tanımlama oranını %4'ten %83'e çıkararak, neredeyse kör bir noktayı neredeyse eksiksiz bir tabloya dönüştürdü. Takip süreci de aynı derecede önemliydi: Sonuç olarak, cihazların %56'sına yazılımlarının güncellenmesi veya değiştirilmesi önerisi yapıldı ve güvenlik açığı tespitinin doğruluğu %25 arttı.

Bu rakamlar önemlidir çünkü güvenlik ekiplerinin yanıtlayabileceği soru türlerini değiştirir. Ekipler, ağa bağlı cihazlar hakkında soru sormak yerine, hangi sistemlerin tehlikeye atılması durumunda en büyük aksamaya neden olacağını sorabilir ve bu cevaba dayanarak, sadece tahmine dayalı değil, güvenle hareket edebilirler. Bu, kağıt üzerindeki bir varlık envanteri ile baskıya dayanıklı, sağlam bir envanter arasındaki farktır.

Sadece alarmı kapatmak yeterli değil, temeli onarın.

Bu sorunların hiçbiri, mevcut araç setine başka bir araç ekleyerek çözülemez. Bunun yerine, varlık veri kalitesini sadece rutin bir BT görevi olarak değil, yönetim kurulu düzeyinde bir risk sorunu olarak ele almak ve bütçeler, uyumluluk ve üçüncü taraf erişimine uygulanan aynı titizliği uygulamak gerekir.

Bunu başarmak, yeni bir CVE uyarısının hangi kritik cihazların etkilenebileceği konusunda kafa karışıklığı yaratmaması, aksine iyi bir güvenlik açığı yönetimi programından bekleyeceğiniz gibi, güvence altına alınmış ve önceliklendirilmiş bir yanıt verilmesi anlamına gelir.

Hastane görüntüleme ekipmanlarında veya fabrika üretim hattı kontrol sistemlerinde ortaya çıkan bir uyarıyla başa çıkmak, bir dizüstü bilgisayardaki uyarıyla başa çıkmaktan daha zor olmamalıdır. Buna ulaşmak, görünmeyeni görünür hale getirmekle başlar.