Eston araştırma: siber güvenlik şartları bilgi ve kaynak eksikliğine takılıyor

Estonya, sunduğu dijital hizmetlerin çeşitliliği bakımından dünyanın en üst sıralarında yer alsa da birçok kurum siber güvenliğin ne anlama geldiğini ve nasıl uygulanacağını daha yeni öğreniyor. Tartu Üniversitesi'nde siber güvenlik değerlendirmesi üzerine çalışan Mari Seeba, güvenlik gerekliliklerine karşı çıkışın genellikle kötü niyetten değil, bilgi, uzman ve kaynak eksikliğinden kaynaklandığını belirtiyor.

Avrupa Birliği'nin NIS2 direktifi (AB genelinde kritik sektörlerde siber güvenliği güçlendirmeyi amaçlayan yönetmelik) ve Estonya'da bu direktifin hedeflerini yürürlüğe koyan siber güvenlik yasası, birçok kurumu siber risklerini değerlendirmeye ve güvenlik önlemleri almaya zorunlu kılıyor. Söz konusu gereklilikler dijital devleti, ekonomiyi ve kritik hizmetleri korumaya yardımcı olmayı hedefliyor; ancak kurumlar bunları karmaşık bir ek yükümlülük olarak da görebiliyor.

Önce kavramlar netleşmeli

Seeba'ya göre zorluklar çoğu zaman kavramlarda başlıyor. Tehdit, teknik arıza, insan hatası veya siber saldırı gibi olası zararlı bir olayı ifade ediyor. Risk ise doğrudan kurumun kendisine bağlı: verilerin ve hizmetlerin ne kadar değerli olduğu, zararın ne kadar büyük olabileceği ve tehdidin gerçekleşme olasılığı. "Saldırganın ağa sızıp zarar verebileceğine dair soyut bir uyarı, tek başına kimseyi harekete geçirmeyebilir" diyen Seeba, daha önce ciddi bir olay yaşamamış kurumlar için siber güvenliğin teorik bir konu gibi görünebileceğini ekliyor. Basit önlemler bile karmaşık algılanabiliyor; örneğin bilgisayar diskini şifrelemek pratikte yalnızca kurulum sırasında tek bir seçim yapmak anlamına gelebiliyor.

Araştırmaya göre kurum, kendi güvenlik seviyesine dair net bir tablo edindiğinde direnç azalıyor. Önlemlerin bir kısmının hâlihazırda mevcut olduğunu gören kurumda "bunu neden yapmak zorundayız?" sorusunun yerini "durumu nasıl iyileştirebiliriz?" alıyor.

Öz değerlendirme çerçevesi ve 200 soru

Seeba bunun için F4SLE (Framework for Security Level Evaluation - Güvenlik Seviyesi Değerlendirme Çerçevesi) adlı bir öz değerlendirme çerçevesi geliştirdi. Çerçeve, güvenlik önlemlerinin on alanda nasıl uygulandığına dair genel bir bakış sağlıyor: bilgi güvenliği yönetimi, organizasyon ve personel, olay yönetimi, altyapı, ağlar, BT sistemleri, uygulamalar ve endüstriyel otomasyon. Mümkün olan tüm güvenlik önlemlerini tek tek denetlemek yerine Seeba, kuruma net bir bütünsel görünüm sunmayı amaçladı ve bu nedenle 200 soruyla sınırlı kaldı. Değerlendirme sonucunda kurum, hangi güvenlik alanlarında durumun daha iyi, hangilerinde daha büyük eksiklikler olduğunu görebiliyor. Sonuçlar benzer kurumların ortalamasıyla karşılaştırılabiliyor ve buna göre uygun iyileştirmeler seçilebiliyor.

Teknoloji ve saldırı yöntemleri hızla değiştiği için Seeba ayrıca MUSE yöntemini geliştirdi. Bu yöntem, farklı yıllarda toplanan sonuçların hâlâ karşılaştırılabilir olmasını sağlayacak şekilde değerlendirme aracının güncellenmesine yardımcı oluyor; tek tek güvenlik önlemleri yerine daha büyük güvenlik alanlarını değerlendiriyor.

Seeba, meslektaşlarıyla birlikte F4SLE çerçevesini Estonya, Çekya ve Orta Amerika'daki küçük işletmelerde 284 kez denedi. Veriler, ayrıntılı yanıtlar kurumların kendi bilgisayarlarında kalacak şekilde toplandı. Merkezi sunucuya yalnızca özet göstergeler ve genel meta veriler gönderildi; güvenlik önlemlerini tanımlayan ham veriler değil. Seeba'ya göre toplulaştırılmış güvenlik sonuçları hem devlete, hem denetim kurumlarına, hem paydaşlara hem de kurumların kendisine değerli bilgi sağlıyor. Örneğin farklı sektörlerin hazırlık düzeyi karşılaştırılabiliyor, tedarik zinciri ortakları değerlendirilebiliyor ve kurumlara hedefli eğitim ile danışmanlık sunulabiliyor.

Ancak veri paylaşımı için kurumların net bir gerekçeye ihtiyacı var. Benzer kurumlarla kendini karşılaştırma imkânı, eğitimlere katılma veya ortakların güvenlik durumu hakkında daha iyi bir görünüm elde etme gibi unsurlar ek değer yaratıyor. Sonuçlar merkezi biçimde ve uzun bir zaman aralığında paylaşılacaksa verilerin doğruluğu mutlaka güvence altına alınmalı.

Seeba, hukukçular ile mühendislerin siber güvenlikten sıklıkla farklı dillerde konuştuğunu belirtiyor. Hukukçu düzenlemede öncelikle kuralları ve gerekliliklere uyumu görürken, mühendis sistemlerin önleyici biçimde iyileştirilmesine odaklanıyor. Teknik çözümü, insan ihtiyaçlarını ve hukuki amacı bir araya getiren kullanım senaryoları bu bakış açılarını birleştirmeye yardımcı oluyor.

Gelecekte siber güvenliğin yapay zekâ ve otomatik denetimlerle desteklenebileceği belirtiliyor. Bunlar, kurumlara doğrudan kendi faaliyet alanlarından ve mevcut güvenlik durumlarından yola çıkan öneriler sunmayı mümkün kılabilir. Ancak kurumlar, kendilerine net bir değer yaratmayan veri toplama yüküyle de bunaltılmamalı.

"Siber güvenlik artık çoktan yalnızca BT uzmanlarının alanı olmaktan çıktı" diyen Seeba, yöneticinin kurum için hayati önem taşıyan süreçleri, kritik verilerin nerede bulunduğunu ve acil durumda işlerin nasıl sürdürüleceğini bilmesi gerektiğini vurguluyor.

"A multi-stakeholder framework for comparable and repeatable security level evaluation in organizations" başlıklı doktora tezi Tartu Üniversitesi dijital koleksiyonunda yer alıyor. Mari Seeba'nın danışmanlığını Tartu Üniversitesi bilgi güvenliği profesörü Raimundas Matulevicius yaptı; tezin karşıt görüşcüleri Oslo Üniversitesi'nden Audun Jøsang ile Stockholm Üniversitesi'nden Simon Hacks oldu.