Şu anda işletmenizde veya ağınızda hangi BT cihazlarının olduğunu biliyor musunuz? Değilse, siber suçlularınız olabilir ve Beyaz Saray çok yakında kapınızı çalıyor.
Bağlayıcı Operasyonel Direktif 23-01veya BOD 23-01, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı’nın (CISA) federal kurumlara BT varlıklarını ve ağlarındaki güvenlik açıklarını takip etmelerini emreden yeni bir direktiftir. Kılavuz, sistemlerin izlenme, yönetilme ve yetkisiz erişime ve fidye yazılımı gibi saldırılara karşı korunma şeklini iyileştirmek için tasarlanmıştır.
Geniş kapsamlı BOD 23-01 siber güvenlik yönergesi, tüm ABD Federal Sivil Yürütme Şubesi (FCEB) kurumlarının tüm yazılım varlıklarının eksiksiz ve doğru bir envanterini oluşturmasını emreder. Yeni direktifin amacı, çeşitli devlet kurum ve kuruluşlarının yazılım sistemlerine enjekte edilen kötü amaçlı kodlar tarafından ele geçirildiği 2020 SolarWinds saldırısı gibi durumları önlemektir.
BOD 23-01 aynı zamanda federal sivil ajansları kendi sistemlerinden ve ağlarında bulunanlardan ve sistemlerine yönelik herhangi bir siber ihlal veya saldırıdan daha sorumlu kılmak için tasarlanmıştır. Yönerge yalnızca ABD’deki federal sivil kurumları kapsar, ancak CISA ayrıca özel sektörü ve eyalet hükümetlerini benzer varlık ve güvenlik açığı uygulamalarını gözden geçirmeye ve uygulamaya çağırdı.
Tehdit aktörleri, bilinmeyen, korumasız veya yetersiz korunan varlıklardaki zayıflıklardan yararlanmak için kritik altyapıyı, ağları ve cihazları hedef almaya devam ediyor. Sızma ve saldırıları engellemeye yönelik önceki ve hatta mevcut yöntemlerin farklı başarı düzeyleri olmuştur – bu nedenle, başka bir koruma katmanına ihtiyaç vardır.
Temel düzeyde, işletmeler hala kendi çatıları altındaki cihazları ve yazılımları izlemiyor. her üç BT ekibinden biri yazılımı aktif olarak takip etmediğini söylüyor işletme içinde çalışanlar tarafından kullanılır.
Yeni direktifle ilgili umut, en azından kurumların ve devlet dairelerinin güncel bir varlık envanterine erişebilmesidir. Göremediğiniz şeyi koruyamazsınız, dolayısıyla bu görünürlüğü sağlayarak kuruluşlar bir adım önde olacaktır.
Elbette, bir saldırıyı önleyemiyor veya durduramıyorsanız neyin tehdit altında olduğunu bilmenin bir anlamı yok.
Şirketlerin büyük çoğunluğu dış saldırganlara karşı savunmasızdır. ağ çevrelerini ihlal etmek ve hassas verilere erişim elde etmek.
Saldırı yüzeyi – saldırı vektörleri olarak hizmet veren giriş noktaları ve güvenlik açıkları – hızla genişliyor. Yeni teknolojiler, uzak ve hibrit işyerlerini uygulamaya yönelik son değişiklikler ve yeniden ivme kazanan BYOD modeli, BT ekiplerini alt etmekle tehdit ediyor; bu nedenle, yeni siber varlık saldırısı yüzey yönetimi (CAASM) yöntemleri, kuruluşları yönetme ve korumada hayati önem kazanıyor.
Yeni direktifle uyumlu hale gelmek isteyen ajanslar için, bir BT varlık envanteri oluşturmak önemli bir idari zorluk olarak görülecektir. Potansiyel olarak yüzlerce veya binlerce donanım ve yazılım parçasını bulmak, belirlemek, kaydetmek ve raporlamak zorunda olmaktan bahsediyoruz.
BT ekiplerinin odaklanması gereken iki temel alan vardır: varlık envanteri ve güvenlik açığı taramaları. Bunlar birlikte, federal kuruluşları dış tehditlere karşı korumak için gereken görünürlüğü elde etmede hayati önem taşıyor.
3 Nisan 2023 itibarıyla, varlık keşif taramalarının yedi günde bir, bu varlıklar genelinde güvenlik açığı değerlendirmelerinin ise her 14 günde bir gerçekleştirilmesi gerekecek. Acenteler ayrıca talep üzerine bu tür testleri yapabileceklerini kanıtlamak zorunda kalacaklar ve CISA yazılı bir talep aldıktan sonra 72 saat içinde kanıt talep edecek.
BT ekiplerinin halihazırda bir envanteri yoksa, ağlarındaki BT varlıklarının güncel bir envanterini oluşturmaları ve sürdürmeleri, ayrıca güvenlik açıklarını belirlemeleri ve ilgili bilgileri düzenli aralıklarla CISA ile paylaşmaları gerekecektir.
BT ekipleri zaten baskı altında ve kuruluşların uyumlu hale gelmesinin tek gerçekçi ve uygun maliyetli yolu, BT envanterini otomatikleştirmektir. Neredeyse her gün eklenen yeni cihazlar ve sürekli güncellenmesi gereken mevcut teknoloji ile, bunu manuel olarak halletmek neredeyse imkansız.
Ağınızda ne olduğunu bilmek, herhangi bir kuruluşun riski azaltması için gereklidir. Günümüzün dijitale öncelik veren dünyasında, her zamankinden daha fazla saldırı yüzeyiyle, sahip olduklarınızın değerlendirmesini yapmak, korumanın ve en kötüsünün gerçekleşmesini önlemenin ilk adımıdır.
siber-1