Yetersiz Siber Güvenlik, Sanayiye Yılda 497 Bin Dolar Ödetiyor

Geçtiğimiz sene içerisinde endüstriyel kontrol sistemleri (EKS) alanında faaliyet gösteren her iki şirketten biri, bir ila beş saldırıya maruz kaldı.

Kaspersky Lab’ın araştırmasına göre, sanayi kuruluşları yetersiz siber güvenlik sebebiyle yılda ortalama 497.000 dolar kaybediyor.

Endüstri 4.0 kavramı, dünya çapında sanayi kuruluşlarının siber güvenliğe öncelik vermesini sağlarken, aynı zamanda EKS konusunda aşılması gereken yeni zorluklarla karşı karşıya bıraktı. BT ile operasyonel teknolojilerin (OT) birleşmesi ve endüstriyel kontrol ağlarının harici sağlayıcılara açılması da bunlara dahil.

Kaspersky Lab ve Business Advantage, endüstriyel siber güvenlik konusunda önlemler aldığını belirten 359 kuruluşun katılımıyla, söz konusu zorluk ve fırsatlar hakkında küresel bir anket düzenledi.

2017 yılı Şubat ve Nisan ayları arasında yürütülen anketin ana bulgularından biri, EKS ile ilgili olaylar hakkındaki gerçekler ile bu konudaki algının arasında büyük farklar olması.

Örneğin, katılımcıların %83’ünün OT/EKS ile ilgili bir siber güvenlik olayına karşı iyi bir şekilde hazırlanmış olduklarına inanmasına karşın, ankete katılan şirketlerin yarısı, son 12 ay içerisinde 1 ila 5, %4’ü ise 6’dan fazla  BT güvenliği olayıyla karşılaşmış.

Bu da akıllara şu soruyu getiriyor: Söz konusu şirketlerin BT güvenliği stratejilerinde ve koruma yöntemlerinde ne gibi değişiklikler yapılması gerekiyor ki, kritik önem taşıyan verilerini ve teknolojik süreçlerini daha etkin bir şekilde koruyabilsinler?

Üretim bölümünde siber tehditler

EKS alanında faaliyet gösteren şirketler, karşı karşıya oldukları risklerin farkındalar. Katılımcıların %74’ü altyapılarını hedefleyen bir siber saldırı gerçekleştirilebileceğine inanıyor. Hedefli saldırılar ve fidye yazılımları gibi yeni tehditler konusundaki yüksek farkındalığa rağmen, bu şirketler için en büyük sıkıntıyı yine de sıradan zararlı yazılımlar oluşturuyor. Katılımcıların %56’sı bunu en endişe verici saldırı vektörü olarak görüyor. Bu örnek özelinde, algı ve gerçek birbiriyle örtüşüyor: ankete katılan her iki şirketten biri, geçtiğimiz yıl içerisinde sıradan zararlı yazılımların vermiş olduğu zararları telafi etmek durumunda kalmış.

Fakat kendi çalışanlarının yaptığı hatalar ve kasıtsız davranışlar konusunda ilginç bir tablo ortaya çıkıyor. Bu tür tehditler EKS şirketleri için harici faillerin vereceği zararlardan daha büyük bir tehlike oluşturmasına rağmen, söz konusu şirketlerin en çok endişe duyduğu ilk üç konu içerisinde bünyeleri dışındaki faillerin verebileceği zararlar bulunuyor.

Son 12 ay içerisinde endişe duyulan ilk 3 konunun EKS altyapılarında çıkan olaylarla karşılaştırması;

Diğer yandan, karşılaşılan olayların sonuçları özelinde ilk üç sırayı, ürün ve hizmet kalitesine zarar verilmesi, tescilli veya gizli bilgilerin çalınması ve üretimin azalması veya durması oluşturuyor.

Güvenlik Stratejileri: Hava Boşluğundan Ağ Anormallikleri Tespitine

Ankete katılan şirketlerin %86’sının onaylı ve belgelenmiş bir EKS siber güvenlik politikası bulunuyor. Fakat tecrübeler, bir siber güvenlik politikasına sahip olmanın yeterli olmadığını gösteriyor. Gerek dahili, gerek harici BT güvenliği uzmanlığı tarafında yaşanan yetersizlikle mücadele eden sanayi kuruluşları, yetenek eksikliği çekmenin EKS güvenliği konusunda en büyük sorunları olduğunu itiraf ediyor. Bu son derece endişe verici, çünkü her an tehdit altında olan sanayi kuruluşlarının tehditlerle mücadele etmeye her zaman hazırlıklı olmadıklarını gösteriyor; ki bazen bu tehditlerin sebebi kendi çalışanları da olabiliyor. Almanya’da bir üretim tesisinde çalışan bir EKS görevlisi şöyle bir açıklamada bulunuyor: “İç tehditler daha tehlikeli. Dış tehditlere karşı gayet iyi korunuyoruz fakat içeride yapılanları durduracak bir ateş duvarı yok. Burada tehdit hiç kimse farkında olmadan çalışanlar tarafında oluşuyor.”