Hazar World - Sayı: 26 - Ocak 2015

SİBER GÜVENLİK / CYBER SECURITY
• Bütüncül Güvenlik Anlayışı: Siber güvenlik
anlayışı ve politikaları, bütüncül bir güvenlik
sistemi içinde görülmeli ve şirket güvenlik
politikalarına dâhil edilmeli. Çoğu zaman ayrı
başlıklar altında incelenen SCADA sistemi
güvenliği ve IT güvenliği bütüncül olarak
değerlendirilmeli.
• Siber Güvenlik Kültürü: Siber saldırılara
karşı kurumsal ölçüde farkındalık yaratılmalı.
Şirket içi belirli standartlar yaratılıp, çalışanlar
için ‘doğru davranış kodları’ oluşturulabilmeli.
Çalışanlar arası bilinçsiz şifre paylaşımları,
kötü amaçlı e-postalar gibi ufak
riskler dahi bertaraf edilmeli.
• Siber Güvenlik Risk Yönetimi: Öncelikler
belirlenmeli, şirket profili gözden geçirilmeli,
riskler ve zafiyetler değerlendirilmeli, bir
eylem planı ortaya koyulmalı.
• İzolasyon: SCADA sistemleri ve kritik veri
tabanları diğer ağ bağlantılarından mümkün
olduğunca izole edilmeli.
• Eğitim: Siber güvenlik sağlanmalı, insan
kaynakları yetiştirilmeli ve şirket kendi kaynaklarını
geliştirmeli.
• Senaryolar ve Tatbikat: Şirketlerin karşı
karşıya kalabilecekleri siber saldırılar senaryolaştırılarak
acil durum eylem planları oluşturmalı
ve sonuç yönetimi süreçleri geliştirilmeli.
Bu çerçevede bir şirket yöneticisinin,
‘SCADA sisteminin bir gün devre dışı kalması’,
‘kritik verilerin çalınması’ ve ‘düzenli olarak
alınan hizmetin bir gün alınamaması’ gibi
senaryolara karşı eylem planı olmalı.
• Bilgi Paylaşımı: Enerji sektörü dâhil olmak
üzere kritik altyapıların ‘karşılıklı bağımlılık’
ilişkisi içinde olduğu düşünüldüğünde hem
sektör içi hem de sektörler arası düzenli bilgi
ve deneyim paylaşımı riskleri önemli ölçüde
azaltacaktır.
ULUSAL SİBER
OLAYLARA
MÜDAHALE
MERKEZİ’NE EYLÜL
2014’E KADAR GELEN
SİBER SALDIRI
İHBAR SAYISI
23,475’İ BULDU.
THE NUMBER OF
CYBER ATTACKS
REPORTED TO THE
NATIONAL CYBER
INCIDENT RESPONSE
CENTER WAS AS
HIGH AS 23.475
UNTIL SEPTEMBER
2014.
system and IT security, which are mostly
considered separately, should be handled
together.
• Cyber Security Culture: Awareness should
be raised against cyber attacks at the institutional
level. Certain in-house standards and
‘acceptable code of conduct’ should be created
for the personnel. Even minor risks such
as password sharing and malicious e-mails
should be eliminated.
• Cyber Security Risk Management:
Priorities should be set, the company profile
should be reviewed, risks and weaknesses
should be evaluated, and an action plan
should be constituted.
• Isolation: SCADA systems and critical
databases should be isolated from other networks
as far as possible.
• Training: Cyber security should be maintained,
human resources should be developed
and the company should develop its
own resources.
• Scenarios and Drills: Emergency action
plans should be constituted through developing
scenarios regarding the cyber attacks
that companies might face, and result management
processes should be developed. In
this framework, executives should have
action plans against scenarios such as
“SCADA system is disabled for one day”,
“critical information gets stolen”, “regularly
received services become unavailable for one
day”.
• Information Sharing: When it is considered
that the critical infrastructures are interdependent
including the energy sector, regular
intra-sectoral and inter-sectoral information
and experience sharing would substantially
decrease the risks.
30 OCAK 2015 SAYI 26 - JANUARY 2015 ISSUE 26