Siber güvenlik: Kritik altyapı yetişiyor ancak “risk bölgesi” büyüyor

Avrupa siber güvenlik ajansı Enisa, Perşembe günü yayınlanan NIS360 raporunda Avrupa'nın dijital dayanıklılığına ilişkin iyimser ancak incelikli bir tablo çiziyor. NIS2 adı verilen AB Ağ ve Bilgi Güvenliği Direktifinin tam olarak uygulanması etkili oluyor ve tüm sektörlerde kritik altyapıya (Kritis) yatırım yapılmasını garanti ediyor. Ancak sistemle ilgili birçok sektörde, gerçek tehdit durumu ile krize direnme kapasitesi arasında hala tehlikeli bir uçurum var.

Enisa, olgunluk düzeyini ölçülebilir kılmak amacıyla çalışma için tüm endüstri ekosistemini değerlendirdi. Bunlar yasaların kalitesinden şirketlerin hazırlıklılığına ve denetleyici otoritelerin etkinliğine kadar uzanır. Tam tersine, dijitalleşmenin derecesi ve başarısızlığın vatandaşlar için ardı ardına gelen ölümcül etkileriyle ölçülen sosyal kritikliği tanımlar.

Risk bölgesi dinamikleri ve çocukların uzay yolculuğu sorunları

Enisa, bağımlılık ve güvenlik düzeyi arasındaki ilişkiden olgunluğu AB ortalamasının altında olan sektörler için bir “risk bölgesi” çıkarıyor. Genel seviye arttıkça resmi uzmanlar demiryolu taşımacılığını, içme suyu teminini ve atık su bertarafını bu tehlikeli bölgeye kaydırdı. Eleştiriler her iki sektörün de pazarın hızına ayak uyduramamasından kaynaklanıyor. Olumlu nokta, daha yoğun bilgi alışverişi sayesinde risk bölgesinden çıkmayı başaran gaz arzıdır.

Analize göre, kalite açısından muazzam farklılıklarla karakterize edilen uzay sektöründeki durum endişe verici olmaya devam ediyor. Dijital toplumun navigasyon, finansal ticaret ve klimatoloji için uydu verilerine giderek daha fazla bağımlı hale geldiği söyleniyor. Bu kilit rol, bölgeyi, örneğin Baltık Denizi'nde birkaç yıldır sorunlara neden olan GPS karıştırma yoluyla jeopolitik siber saldırıların hedefi haline getiriyor. NIS2 şu ana kadar tedarik zincirinin yalnızca kısımlarını kapsadığından bir dengesizlik mevcut: havacılık devleri mükemmel bir şekilde korunuyor. Öte yandan daha küçük sağlayıcıların önemli güvenlik eksiklikleri vardı.

Eşit olmayan savunmalar

Ulaştırma sektöründeki gelişmeler de aynı derecede çeşitlidir. Genel olarak Havacılık burada örnek bir öğrenci olarak parlıyor. Ancak demiryolu taşımacılığı, askeri lojistik açısından taşıdığı önem nedeniyle giderek daha fazla çapraz ateşte kalıyor. Saldırganlar modası geçmiş operasyonel teknolojilere ve kilitleme tekniklerine odaklanıyor. Bu ciddi bir sorundur çünkü eski radyo sistemlerinin ve kontrol merkezi tabanının onarılması son derece zordur. Saldırganlara trenleri uzaktan durdurma yeteneği veriyorlar.

Denizcilik ekonomisinde, ağ bağlantılı liman sektörlerine yönelik siber saldırılar, küresel tedarik zincirlerini bile bozma tehdidinde bulunuyor. Liman vinçleri ve gemi sistemlerinin bulutla giderek daha fazla ağ oluşturması yeni kapılar açıyor. Ulusal liman otoriteleri genellikle ciddi BT becerileri eksikliğine sahiptir.

Orta alanda sağlık sistemleri ve BT hizmet sağlayıcıları yapısal engellerle mücadele ediyor. Hastaneler bütçe ve yetenek sıkıntısı çekiyor, bu da hasta bakımının zaman baskısı göz önüne alındığında onları fidye yazılımı gaspçıları için ideal bir hedef haline getiriyor. BT hizmet sağlayıcıları ise siber saldırganların bakım erişimi yoluyla aynı anda yüzlerce müşteri ağını ele geçirmesi için stratejik bir fırlatma rampası görevi görüyor.

Eyalet hükümetleri de geride kalıyor. Kamu sektörü üst düzey siber güvenlik uzmanlığından yoksundur; bu nedenle güvenlik güncellemeleri genellikle aylar sürer ve devlet portalları düzenli olarak başarılı kimlik avı ve aşırı yükleme saldırılarının kurbanı olur.

Yarının tehditleri

Analize göre, bankacılık, telekomünikasyon ve elektrik tedariki gibi geleneksel olarak yoğun şekilde düzenlenen sektörlerin kaya gibi sağlam olduğu ortaya çıkıyor. Yüksek siber güvenlik olgunluğuna sahip bu üst grup için yeni olan, finansal piyasa altyapıları ve güven hizmetleridir. Dora finansal piyasa düzenlemesi sayesinde güvenlik, üst düzey yönetim için bir iş riski olarak başarıyla sabitlendi.

Enisa ileriye dönük olarak güvenlik yapısını sarsacak üç mega trend görüyor: Saldırganlara deepfake gibi yeni araçlar sağlayan yapay zekanın hızlı gelişimi, son derece karmaşık yazılım tedarik zincirleri ve jeopolitik çalkantılar. Bu nedenle kritik sektörlerin acilen tamamen bürokratik bir uyum kültüründen yaşanmış ve dirençli bir uygulamaya geçmesi gerekiyor.

(mki)