Endüstriyel Kontrol Sistemleri (EKS) Bilişim Güvenliği Yönetmeliği, Enerji Piyasası Düzenleme Kurumu (EPDK) tarafından enerji firmalarına yönelik olarak hazırlanmış ve 13 Temmuz 2017 tarihinde Resmi Gazete’de yayınlanarak yürürlüğe girmiştir. Söz konusu Yönetmelik, enerji piyasasında faaliyet gösteren firmaların EKS’lerinde kullanılan bilişim sistemlerine yönelik risklerin değerlendirilerek azaltılması veya ortadan kaldırılmasını amaçlamaktadır. Yönetmelikle yapılan çalışmaları denetleme ya da denetlettirme yetkisi EPDK’na verilmiştir. Kapsamlı bir çalışmanın ilk adımı olarak değerlendirilebilecek bu yönetmeliğin, EKS’lere yönelik tehditlerle ilgili önemli bir farkındalık yaratacağı ve kritik altyapılarla ilgili önlemlerin alınması için yol gösterici olacağı değerlendirilmektedir.
Yönetmeliğe ilişkin detaylı bilgilere bu doküman üzerinden ulaşabilirsiniz.
Siber güvenlik dünyasında öne çıkan haberler, etkinlikler ve daha çok blog yazısı için Biznet Bilişim’i sosyal medyada takip edin. LinkedIn, Facebook, Google+ ve Twitter’da sizleri bekliyoruz.
2016 yılı, ülkemizde ve dünyada maalesef pek çok tatsız olayın yaşandığı bir yıl oldu. 2017’yi iple çektiğimiz şu günlerde, 2016’da siber güvenlik dünyasında neler yaşandığını kısaca özetlemek isterim.
Ülkemizde pek yankı bulmasa da İran’a yapılan Stuxnet saldırısı gibi, Ukrayna elektrik şebeke sistemine, Aralık 2015’ten itibaren başlayan bir siber saldırı gerçekleşti ve 80 bin kişi 6 saat boyunca elektriksiz kaldı. Olayın basit bir spear-phishing saldırısından kaynaklandığı düşünülüyor. (https://en.wikipedia.org/wiki/December_2015_Ukraine_power_grid_cyber_attack)
2016 yılı boyunca, yakın çevremden sık sık “Aaaaa, dosyalarımın uzantısı .locky olmuş ve hiçbirini açamıyorum” şikayetini duydum. Maalesef Cryptolocker gibi Ransomware’ler 10 yılın sorunu haline geldi ve 2016’da da birçok varyantı can sıkmaya devam etti. 2016’daki en önemli vaka olarak, Amerika’da bir hastanenin şifrelenmiş dosyaların çözülmesi için saldırganlara 17.000 USD vermesini gösterebiliriz. Bu halka duyurulmuş ve meblağ olarak yüksek diyebileceğimiz ilk olaydı.
FBI, bir terör olayının çözülmesi için Apple’dan bir iPhone 5C kullanıcısının şifrelediği telefonuna ait şifreyi çözebilecek yeni bir işletim sistemi istedi. Apple ve FBI’i karşı karşıya getirecek duruşmaya bir gün kala, FBI, şifreyi başka bir firma sayesinde bulduğunu söyledi ve duruşma iptal oldu. (https://twitter.com/BiznetBilisim/status/714712475384602626 https://en.wikipedia.org/wiki/FBI%E2%80%93Apple_encryption_dispute)
Nesnelerin İnterneti (Internet of Things – IoT) nin yaygınlaşmasının bir sonucu olarak, webcam’ler bir saldırı aracı olarak kullanıldı ve yüz binlerce (belki milyonlarca) cihaz, ünlü web sitelerini servis dışı bırakmak için kullanıldı. (http://www.bbc.com/news/technology-37750798 https://en.wikipedia.org/wiki/2016_Dyn_cyberattack)
2016’nin en büyük maddi kayba neden olan siber güvenlik olayı ise, ülkemizde de en az bir bankanın (https://twitter.com/BiznetBilisim/status/809670470668849152 https://www.kap.org.tr/tr/Bildirim/572625) etkilendiği, SWIFT sistemine yapılan saldırı oldu. Bangladeş’te bir banka 81 Milyon USD kayba uğradı. (https://en.wikipedia.org/wiki/2016_Bangladesh_Bank_heist) . Türkiye’deki banka da maksimum 4 milyon zarara uğrayabileceğini söyledi. BDDK’nin bu sistem üzerinde yeni güvenlik kontrolleri uygulayacağı kulağımıza gelen bilgiler arasında.
Ve yine maalesef, sosyal mühendislik kullanılarak Türkiye’deki yüzlerce kişi, paralarını başkalarına kaptırdı. Terör, korku gibi insanları harekete geçirecek yöntemler kullanan dolandırıcılar 2016’da da boş durmadı.
Diğer olaylara da kısaca değinecek olursak;
2017’nin de bu seneden geri kalmayacağını tahmin etmek zor olmaz. Maalesef hala yeni sistem kurulumlarında güvenlik parametrelerini ayarlamayı unutuyoruz ya da her gün karşımıza çıkan yeni saldırı tiplerine önlem almakta gecikiyoruz. Bazen de bir insan hatasından kaynaklı veri kayıpları yaşıyoruz. Farkındalığı artırmaya çalışsak da, maalesef en zayıf halka kadar güçlüyüz.
Her sene olduğu gibi 2017’de yeni teknolojiler bizi bekliyor ve bunların getireceği yeni tehditler de kapımızda. Örneğin webcam’lerin “akıllanması” yukarıda anlattığım gibi 2016’da siber saldırılara neden oldu. Yeni çıkan teknolojilerdeki olası güvenlik açıkları nedeniyle yine risk altında olacağız. Evimize kurduğumuz güvenlik sistemi, ne kadar “akıllı” hale gelirse gelsin, Internet’ bağlı olduğu sürece saldırganlar bir yolunu bulup sızacak ve kendimizi güvenli hissettiğimiz evimizde bile izlenebiliyor olacağız.
IoT’nin sağlık sektörüne de girdiğini biliyoruz. Telefonumuzdaki bir aparat sayesinde, tansiyonumuz, şekerimiz ya da hayatsal öneme sahip bir gösterge, doktorumuzun sistemine gönderilecek ve bize almamız gereken ilaçları söyleyecek. Peki, bu bilgiler doktorumuz yerine kötü niyetli kişilerin eline geçerse? Ya da sürücüsüz Uber arabamız, bizi gerçek fidyecilerin yerine götürürse? Sanal gözlüğümüz bize göstermesi gerekenden başka bir şey gösterirse? Bu senaryoların sayısı daha da arttırılabilir. Yeni Truva Atı’mız, IoT! (http://www.imdb.com/title/tt2679552/)
Terk edilen yazılımlar (abandonware) da 2017’deki saldırılar için bir atak vektörü olmaya devam edecek. (https://www.forcepoint.com/resources/whitepapers/2017-forcepoint-security-predictions-report) Artık desteklenmeyen yazılım ve işletim sistemlerindeki açıklar, siber güvenlik için önemli bir tehdit oluşturuyor. “Halen Windows XP kullanıyorum; Internet Explorer 6 arayüzü çok sade ve güzel; Adobe’un ya da Firefox’un eski sürümleri daha hızlı çalıştığı için silmiyorum; iPhone güncellendiğinde yavaşlıyormuş, o yüzden güncellemiyorum” diyenlerdenseniz, 2017’de ataklara hazır olun.
Fidye isteyen yazılımların 2017’de azalması öngörülüyor. (http://www.mcafee.com/uk/about/news/2016/q4/20161129-01.aspx). Bunun sebebi aslında her bir fidye yazılımının aynı şekilde çalışması ve artık anti-virüs çözümlerinin, eposta spam önleyicilerinin ya da davranış inceleyen programcıkların (https://www.varonis.com/ransomware-solutions/) bu zararlı yazılımları daha kolay tespit edebiliyor olması. Ama bu maalesef phishing saldırılarının ya da sahte telefon faturalarının azalacağı anlamına gelmiyor. Çünkü saldırganlar hala bu tuzağa düşürebilecekleri kişiler olduğunu biliyorlar.
2015 ve 2016’da elektrik, su ya da doğalgaz şebekelerinin zafiyetleri keşfedildi. Bunun bir sonucu olarak, 2017’de kişisel bilgisayarlara yapılan saldırılar azalırken, altyapıya ve özellikle bulut ortamlara ve mobil cihazlara yapılacak saldırıların artmasını bekliyoruz.
Geçen günlerde Amazon, drone teknolojisini kullanarak ilk kargosunu gönderdi. (http://www.bbc.com/news/technology-38320067). Drone’ların da güvenlik zafiyetleri barındırdığını düşünecek olursak, 2017’de drone’lara ait bir “kaçırılma” olayı yaşamamız çok olası gibi görünüyor. Örneğin, değerli bir kargonuz drone’un yönlendirilmesi sonucunda başkasının eline geçebilir.
Biraz da savunma tarafına göz atalım…
2017’de savunma için en önemli konulardan birinin tehdit istihbahratının geliştirilmesi ve uygun şekilde paylaşılması olacağını düşünüyoruz. 2016’da örneklerini gördüğümüz paylaşımların artacağını ve USOM – SOME ve özel sektör istihbarat işbirliğinin biraz daha gelişeceğini tahmin ediyoruz. Hem ulusal, hem de uluslararası tehdit istihbaratı paylaşımları (https://otx.alienvault.com/ https://cymon.io/ ) sayesinde kalemizi daha korunaklı hale getireceğiz. Bir yandan da ülkelerin siber güvenlik konusunda aldıkları önlemler artıyor ve peş peşe siber ordular kuruluyor. (https://www.btk.gov.tr/tr-TR/Sayfalar/SG-SIBER-GUVENLIK-KURULU https://www.ssi.gouv.fr/actualite/cybersecurite-des-oiv-de-nouveaux-arretes-sectoriels/ )
Ama bu gelişmeler, maalesef siber güvenlikteki devlet destekli saldırıları durdurmayacak. Siber güvenlikteki “büyük” oyuncular ya da siber casuslar, başka devletleri hedef almaya, “sıfırıncı gün” atakları yapıp bilgi sızdırmaya devam edecek. Amerikan seçimlerinde dahi, 2017’nin siber güvenlik anlamında zor bir sene olacağı tartışılmıştı. (http://venturebeat.com/2016/09/27/heres-what-trump-and-clinton-had-to-say-about-cybersecurity-and-cyberwarfare-in-the-debate/ )
Son olarak, hem ülkemizde (Kişisel Verilerin Korunması Kanunu), hem de Avrupa’da (GDPR) kişisel verilerin korunması hakkındaki mevzuat sayesinde verilerin işlenmesi kısıtlanabilecek ve bu sayede kişisel verilerimizin bizim isteğimiz dışında kullanılmasına karşı önlemlerimizi alabileceğiz.
Yasaların, mevzuatın, düzenlemelerin artacağı ve bizim de bunlara uymak için canla başla uğraşacağımız bir yıl bizi bekliyor.
Bütün bu siber risklerden bir noktaya kadar korunmanın yolu, siber risk sigortası yaptırmak olabilir. Operasyonel risklerinizi minimuma indirmek, itibar kayıplarını azaltmak, siber saldırı sonrası masraflarınızı karşılamak için siber risk sigortaları çözümler sunuyor ve 2017’de bu alandaki poliçe sayısının artacağına inanıyoruz.
Hepinize siber risklerden uzak, bilgi güvenliği farkındalığının en üst seviyede olduğu, sağlık, mutluluk ve huzur dolu bir 2017 dilerim.
Siber güvenlik dünyasında öne çıkan haberler, etkinlikler ve daha çok blog yazısı için Biznet Bilişim’i sosyal medyada takip edin. LinkedIn, Facebook, Google+ ve Twitter’da sizleri bekliyoruz.
Uzun yıllardır bilgi güvenliği alanında faaliyet gösteren ve misyonu “bilgi güvenliğinde büyük resmi tamamlamak” olan Biznet Bilişim siber güvenlikle ilgili çalışmalarına hızlı bir şekilde devam ediyor.
Siber Güvenlik…
Bilgi ve İletişim Teknolojilerinin tüm dünyada giderek yaygınlaşan kullanımı, bu sistemlerinin birbirlerine bağlanarak oluşturdukları ağ ortamını “Siber Ortam” olarak tanımlayacak kadar genişletmektedir. Söz konusu teknolojilerin kullanımından kaynaklanan verim ve rahatlık, beraberinde giderek karmaşıklaşan ve ağırlaşan siber risk ve tehditleri de getirmektedir. “Hedef Odaklı Siber Tehditler” olarak adlandırılan “Advanced Persistent Threat: APT” türü tehditler, kurumları hedef alarak, kötücül yazılımları (malware) ve “sosyal mühendislik” yeteneklerini en ileri derecede kullanmaktadırlar.
Bu tehditler, bilgi ve iletişim teknolojilerini kullanan tüm kamuyu ve özellikle kritik altyapıya sahip sektörleri (enerji, finans, ulaşım, iletişim vb.) gerek itibar ve güvenirlilik açısından olumsuz yönde etkilemekte, gerekse gizli bilgilerin ele geçirilmesi ya da kritik hizmetlerin sunulamaz duruma gelmesi gibi yıkıcı sonuçlara yol açabilmektedir. Dolayısıyla, kamu kurum ve özel sektör firmalarının, gerekli tüm güvenlik önlemlerini alması gerekmektedir. İlgili yasal mevzuata göre de bu önlemlerin alınması zorunludur.
Biznet Bilişim Yaklaşımı…
Biznet Bilişim siber güvenlik alanında yaptığı çalışmalarla, en geniş bir çerçeve mimari yaklaşımıyla, yapısal büyüklük ve beklentileri farklı kamu ve özel sektör kurumlarının ihtiyaçlarına esnek olarak uyarlanabilecek “ölçeklenebilir” büyüklükteki Siber Güvenlik Operasyon Merkezlerinin (Security Operations Centre: SOC) mimari ve tasarımına odaklanmaktadır. Bu mimari ve tasarımlar, aynı zamanda Haziran ve Kasım 2013 tarihlerinde Resmî Gazetede yayımlanan kamu kurumları ve kritik altyapıya sahip sektörlerin siber güvenlik yapılanmasına ilişkin “Siber Olaylara Müdahale Ekibi: SOME” konseptine karşılık gelmektedir. SOME’lerin ilgili mevzuatla belirlenen görev ve sorumluluklarını tam olarak yerine getirebilmesi, sadece kurumların bu konuyla ilgili personel tahsisiyle mümkün olmamakta, ayrıca görevin yürütülmesine uygun yapıda ve ölçekte bilişim donanım ve yazılımından oluşan bir paket ya da setin de temin edilmesini gerektirmektedir. Biznet Bilişim kurumun ihtiyaçlarına analiz ederek, gerekli olan teknolojiyi ve hizmetleri bir paket halinde sunabilmektedir.
Bu çalışmalarda, bir taraftan inovasyon yaklaşımıyla Avrupa Birliği projelerinde siber güvenlik uygulama yazılımlarının entegrasyonu ve görselleştirilmesi üzerine AR-GE faaliyetleri yürütülmekte; diğer yandan değişik kurumların ihtiyaçları için halen danışmanlık ve destek hizmetleri sağlanmakta, pilot uygulamalar yapılmaktadır.
Biznet Bilişim hizmet verdiği kurumların bilişim sistemlerini siber tehdit ve saldırılardan korumayı ve bu süreçte kurumlara her türlü desteği sağlamayı hedeflemektedir. Konuya ilişkin yasal düzenlemelerle bu düzenlemelerin gerektirdiği teknolojik modellemeler sürekli olarak takip edilmekte, söz konusu çalışmalarda konuya ilişkin ulusal ve uluslararası standart ve kriterler esas alınmaktadır.
Biznet Bilişim, halen SaSaD üyesi bir bilişim güvenliği firması olarak siber güvenlik kapsamındaki uluslararası etkinliklere ve NATO kapsamında yürütülen ihale ve tedarik süreçlerine katılmaktadır.
Eğer siz de “Siber tehlike bir tık kadar yakında…” gerçeğini benimsiyorsanız, Biznet Bilişim’i aramalısınız.
Bugün bir çok yabancı ülkede resmî askerî kaynaklar Kara, Deniz, Hava ve Uzay harekât alanlarından sonra Siber harekât alanını da 5’inci boyut, 5’inci cephe olarak kabul etmektedirler. Bu nedenle, “Siber Güvenlik Merkezi” kapsamındaki yapılanmalar, barış ve savaş zamanı sivil ve askerî tüm ortamlarda ayrı bir öneme sahip durumdadır.
Konuya ilişkin yabancı resmî kaynaklar, ihtiyacın türünü ve kapsamını da göz önünde bulundurarak birbirine yakın anlamlarda da olsa değişik terminoloji kullanmaktadırlar. Örneğin, İngilizcesinden tercümeyle, Tehdit Savunma Merkezi, Altyapı Koruma Merkezi, Güvenlik Operasyon Merkezi, vb. Son kullanılan terim, Güvenlik Operasyon Merkezi (Security Operations Centre (SOC)), yabancı kaynaklarda konuya ilişkin olarak en yaygın kullanılan adlandırma olup bu yazının içeriği doğrultusunda “Siber Güvenlik Merkezi” olarak adlandırılacaktır. Read more
