Güvenlik Politikası Kritik Altyapıdır

TechRadar'da yayımlanan bir analize göre düzenlemeye tabi kuruluşların güvenlik politikasını kritik altyapı olarak ele alması gerekiyor.

Temel sistem, arızasının müşterilere, piyasalara veya kamu güvenliğine tahammül edilemez zarar vereceği sistemdir. Bu nedenle takas bankalarındaki ödeme platformları ve elektrik dağıtımındaki SCADA ağları; sürekli izleme, doğrulanmış değişiklik kontrolü ve kanıtlanabilir dayanıklılık gibi en yüksek yönetim ve denetim yükümlülüklerini taşır.

Güvenlik politikası ortamı; güvenlik duvarları, bulut kontrolleri ve mikro segmentasyon üzerinden hangi sistemlerin iletişim kurabileceğini, hangi bağlantıların engelleneceğini ve hangi istisnaların geçerli kalacağını belirler. Hatalı bir segmentasyon kuralı ödeme hizmetini mutabakat platformundan ayırabilir. Geliştirme alt ağından üretime geniş erişim sağlayan geçici bir kural da kaldırılmasından sorumlu kimse yoksa kullanıma geçişten aylar sonra hâlâ etkin olabilir.

Makale, birçok kuruluşun bu ortamları hâlâ operasyonel bir düzenleme işi gibi yönettiğini savunuyor. Kurallar değişiklik talepleriyle birikiyor, sorumluluk belirsizleşiyor ve bir kuralın ilk nedenini açıklayan bilgi yalnızca bir kayıtta bulunabiliyor.

Birleşik Krallık'taki düzenleyici çerçeveler erişimin amaçlandığına dair sürekli kanıt istiyor. FCA, Ofgem'in NCSC Cyber Assessment Framework değerlendirmesi ve planlanan Cyber Security and Resilience Bill bu yöndeki beklentiyi destekliyor.