Kağıt üstünde denizcilik siber güvenliği vs köprüüstündeki USB

Denizcilik siber güvenliği kağıt üstünde çok yol aldı. Yeni-inşalar giderek güvenlik tasarıma gömülü olarak şart koşuluyor; IACS E26 ve E27 Birleşik Gereklilikleri siber dayanıklılığı gemi sistemlerine itiyor; çoğu şirket artık siber politika taşıyor ve talep edildiğinde sunuyor. Yazılı standart gerçekten yükseldi. Sorulmaya değer soru — ve bunların herhangi birinin önemli olup olmadığını belirleyen soru — o standardın ne kadarının çalışan bir gemide gerçekten zorlandığı.

Çünkü pratikte denizcilik siber güvenliğinin büyük kısmı hâlâ kağıt üstünde yaşıyor. Çerçeve var, denetim geçiyor, politika dosyalanıyor. Ve sonra, sıradan bir günde sıradan bir baskı altında, bir dosyayı taşımak, bir güncelleme yüklemek ya da rapor paylaşmak için bir USB bellek köprüüstü veya makine dairesi PC’sine giriyor — ve kağıttaki koruma öylece atlanıyor. İşte o boşluk, yazılan politika ile zorlanan pratik arasındaki boşluk, asıl riskin bulunduğu yerdir.

Yazılı standart yükseliyor — önce yeni gemiler için

İlerlemeye hakkını vermek gerekir. Tasarımdan-siber gerçek bir dönüşüm: güvenliği bir gemiye teslimattan sonra eklemek yerine en erken tasarım aşamalarından itibaren kurmak doğru yöndür ve bunu yeni-inşalara iten klas gerekleri zamanla temel çıtayı yükseltecek. Bu yazı bunların hiçbirine karşı değil.

Ama iki şey buradan çıkıyor. Birincisi, bu standardın en güçlü sürümü yeni gemilerle gelir; oysa filonun çoğu zaten denizdedir ve o standart var olmadan önce inşa edilmiştir. İkincisi, teslimatta şart koşulan bir gereklilik ancak serviste zorlanabildiği kadar iyidir — ve bir belgenin garanti edemeyeceği şey tam da zorlamadır.

Kağıdın çalışan gemiyle buluştuğu yer

Removable media sorunu en net örnek. Sektörün kendi “Guidelines on Cyber Security Onboard Ships” kılavuzu, removable media yoluyla giren zararlı yazılım riskini açıkça işaret ediyor ve bunu yönetecek prosedürler istiyor. Risk bilinmiyor değil; iyi belgelenmiş. Yine de USB bellek varlığını sürdürüyor; çünkü elverişli ve çünkü bir ekip bitirilecek bir işle zaman baskısı altındayken, o an kimsenin etkin biçimde zorlamadığı bir politikaya karşı elverişlilik kazanıyor.

Sonuçlar da varsayımsal değil. Kimlik ve veri sızıntıları sektöre inmeye devam ediyor: yalnızca FortiBleed sızıntısının 250’den fazla denizcilik firmasını açığa çıkardığı ve ele geçirilen kimliklerle armatörlerin savunmalarını riske attığı bildirildi. Sızmış bir parola ya da yönetilmeyen bir USB portu daha kolay bir giriş sunarken, saldırganların gelişmiş bir mimariyi aşmasına gerek kalmıyor. En zayıf halka nadiren kağıttaki çerçevedir; çerçevenin varsaydığı ama zorlayamadığı gündelik pratiktir.

Günlük pratikte ne anlama geliyor

Çıkarım, politikanın anlamsız olduğu değil — zorlamasız politikanın yanlış bir güvenlik hissi olduğudur. Bir armatör veya yönetici için faydalı sorular, kimse bakmıyorken neyin tuttuğuyla ilgilidir:

• Removable media kuralınız yalnız yazılı mı, teknik olarak zorlanabilir mi? “İzinsiz USB kullanmayın” diyen bir politika, bilinmeyen bir cihaz takıldığında ne yapabileceğini sınırlayan bir kontrolden daha zayıftır.
• Kimlikler ve erişim gerçekten yönetiliyor mu? Sızmış veya paylaşılmış parolalar tekrarlayan bir giriş yoludur. Disiplinli erişim kontrolü gösterişsizdir ve gerçek riskin çoğunun kapatıldığı yerdir.
• Siber hijyen kağıt işi değil, gemicilik gibi mi ele alınıyor? Ekipler anladıkları ve sahiplendikleri prosedürleri uygular. Siberi rutin pratiğin parçası yapan eğitim, bir kez okunup imzalanan bir politikadan daha iyi sonuç verir.
• Koruma elinizdeki gemiye uyuyor mu? Mevcut filo için yeni donanım ya da gemide bir BT uzmanı varsayan kontroller işletilmez. Koruma, zaten gemide olan insanlar tarafından kullanılabilir olmak zorundadır.
• Gemiden ne çıkıyor ve karşı tarafta kim tutuyor, biliyor musunuz? Kağıtla saha arasındaki açığın büyük kısmı gemi-kıyı hattında ve hattın öbür ucundaki sistemlerde duruyor. Gemi-kıyı veri güvenliği kontrol listesi bunu işaretlenecek bir kontrol değil, satıcıya sorulacak sorular hâline getiriyor: mülkiyet, yargı yetkisi, OT/BT ayrımı, çıkış şartları.

Bizim görüşümüzle

Dürüst tablo şu: denizciliğin siber güvenliği kağıt üstünde güçlü, sahada dengesiz. Çerçeveler iyileşiyor ve yeni-inşa standardı yükseliyor; bu sevindirici — ama dayanıklılık teslimatta şart koşulan belgeyle kazanılmaz. Yoğun bir günde, denetçi gittiğinde ve işi bitirmenin en hızlı yolu USB bellek olduğunda kuralın tutup tutmadığıyla kazanılır. Bize göre sektörün siber dayanıklılıkta bir sonraki gerçek kazanımı bir katman politika daha değil; yazılan ile zorlanan arasındaki mesafeyi kapatmaktır — sürekli teyakkuza bağlı olmayan teknik kontrollerle ve mevcut filoya gerçekten işletebileceği bir koruma vererek. Kağıt standardı yükseltir. Gemiyi güvende tutan ise zorlamadır.

Neye dikkat

Siber gerekliliklerin belgeden gemide gerçekten zorlanabilir hâle — removable media, erişim ve güncellemelerde gerçek kontroller — geçip geçmediğini; yoksa bir kez denetlenip sessizce görmezden mi gelindiğini izleyin. IACS E26/E27’nin yeni-inşa pratiğini ne ölçüde yeniden biçimlendirdiğini ve o disiplinin zaten ticaret yapan gemilere ulaşıp ulaşmadığını izleyin. Ve sektörün kimlik ile removable media hijyenini, çoğu zaman düştüğü dipnot yerine, açıkça olduğu ön cephe olarak ele alıp almadığını izleyin.