NIST'in Nihai Transit Profili, Toplu Taşıma Kurumlarına OT Riskini Önceliklendirme Yolu Sunuyor
NCCoE'nin tamamladığı Transit Profili, toplu taşıma kurumlarına sinyalizasyon, çekiş gücü ve bilet sistemleri genelinde siber güvenlik riskini sıralamak için pratik bir çerçeve sunuyor — yolcuların çoğunun aklına bile gelmeyen bu OT dünyası için.
Metro veya hafif rayli hat kullanan çoğu insan, o treni öndeki trene çarpmaktan alıkoyan kontrol sistemi ekipmanının ne kadar geniş olduğundan habersizdir. Sinyalizasyon sistemleri, çekiş gücü kontrolörleri, makas interlock sistemleri, hatta tünel havalandırması için HVAC — bunların hepsi OT’dir ve giderek daha fazlası bakım, çizelgeleme ve yolcu bilgilendirme amacıyla IT ağlarıyla konuşmaktadır. NIST’in National Cybersecurity Center of Excellence (NCCoE) birimi, toplu taşıma kurumlarının bu karmaşık yapı içinde kısıtlı güvenlik bütçelerini nereye harcayacaklarını belirlemelerine yardımcı olacak bir doküman yayınladı.
Transit Profili, NIST Cybersecurity Framework üzerine inşa edilmiş durumda; ancak buradaki değer çerçevenin kendisinde değil, yapılan uyarlamada. Toplu taşıma kurumları enerji şirketleri gibi değil. Çoğu sıkı belediye bütçeleriyle çalışıyor, modern ağ teknolojisinden onlarca yıl önce kurulmuş devralınmış eski sinyalizasyon ekipmanına sahip ve IT ekipleri güvenlik açısından kritik kontrol sistemlerini düşünmek üzere hiçbir zaman kadrolanmamış. CSF kategorilerini gerçek toplu taşıma varlıklarıyla — positive train control, çekiş gücü için SCADA, otomatik araç konumlandırma — eşleştiren bir profil, kurumlara kendi yönetimleriyle konuşacak bir dil sunuyor: bir bilet toplama ihlali ile bir sinyalizasyon ihlalinin, ikisi de bir sunumda “siber olay” başlığı altında görünse bile, kesinlikle aynı risk seviyesinde olmadığını anlatmak için.
Bu Neden Sadece Uyumluluk Kağıt İşi Değil
Toplu taşıma sistemleri, güvenlik ilgisi açısından tarihsel olarak elektrik şebekeleri veya su altyapılarının gerisinde kalmıştır; bunun temel nedeni tek bir toplu taşıma ihlalinin, bir boru hattı kapanması gibi ulusal haber olmamasıdır. Ancak karşılıklı bağımlılık gerçek. Çekiş gücü arızaları zincirleme etkiler yaratır. Sinyalizasyon manipülasyonu sadece bir erişilebilirlik sorunu değil, doğrudan bir güvenlik (safety) sorunudur. Ve toplu taşıma kurumları tam olarak daha “yumuşak” hedefler oldukları için caziptir — daha küçük güvenlik ekipleri, daha eski ekipman ve yoğun saatlerde bir şey ters giderse muazzam kamu görünürlüğü.
NCCoE’nin taslak süreci boyunca önizlediklerine bakılırsa, bu profilin iyi yaptığı şey kurumları “bu sistem internete dokunuyor ve yolcu verisi sızdırabilir” ile “bu sistem manipüle edilirse bir treni raydan çıkarabilir” ayrımını zorunlu kılması. Bu, IT kökenli birçok güvenlik programının hiçbir zaman net bir şekilde yapmadığı bir ayrım; çünkü risk modelleri gizlilik öncelikli ortamlar için kurulmuş ve sonradan güvenlik açısından kritik kontrol sistemlerine eklenmiştir.
Bir risk önceliklendirme çerçevesi, ancak onu besleyen varlık envanteri kadar iyidir — ve kurumların genellikle atladığı kısım tam olarak burasıdır.
Burada dürüst olmak gerekirse: bir profil önceliklendirme aracıdır, bir güvenlik kontrolü değil. Size nereye bakmanız gerektiğini gösterir, ama orada bulduğunuz şeyin baskı altında gerçekten işe yarayıp yaramadığını göstermez. Birçok kurum bunu okuyacak, varlıklarını bu profille eşleştirecek, düzenli bir risk kaydı çıkaracak ve yine de bilet sistemi ile sinyalizasyon ağı arasındaki segmentasyonun gerçek bir sızma girişimine karşı dayanıp dayanmayacağını bilmeyecek. “Korunduğu belgelenmiş” ile “korunduğu kanıtlanmış” arasındaki bu fark, toplu taşıma olsun olmasın, kontrol hatalarının asıl yaşandığı yerdir.
Buna rağmen, toplu taşımaya özgü OT riski için ortak bir kelime dağarcığına sahip olmak bir ilerleme. Yıllardır kendi risk taksonomilerini improvize eden kurumların artık kıyaslayabilecekleri bir referans noktası var, ve bu alana satış yapan tedarikçiler de her ihale şartnamesinde risk dilini sıfırdan icat etmek zorunda kalmadan ortak bir referans noktasına sahip oluyor. Bundan sonraki gerçek sınav, toplu taşıma kurumlarının bu profilin öncelik verdiği kontrolleri gerçekten doğrulayıp doğrulamayacağı, yoksa eşleştirme çalışmasını bitiş çizgisi olarak görüp görmeyeceği olacak.