Haberler

Eğer bir Star Wars hayranıysanız, muhtemelen 66. Emir'i biliyorsunuzdur. Klonların davranışlarını kontrol etmek ve talimatlar yerleştirmek için beyinlerine bir çip yerleştirildi. Bu çip, Jedi'ları ortadan kaldırma talimatı olan 66. Emir'i de içeriyordu. Jedi'lar Klon Ordusu kurmak için Kaminoanları işe almış olsalar da, İmparator Palpatine, gelecekteki çıkarı için çipteki talimatları manipüle etmek amacıyla güç konumunu kötüye kullandı. İşte bu, donanımınızı tesislerinize veya diğer ekipmanlarınıza kurulmadan çok önce neden korumanız gerektiğine dair bir örnektir.

Gartner'a göre, 2019'da akıllı ürünlerin %65'i "hacklenilebilir" durumdaydı. Örneğin, 2015 yılında bir oyuncak üreticisi, saldırılara karşı savunmasız olduğu ortaya çıkan etkileşimli bir bebek piyasaya sürdü. Siber Güvenlik Blog Serimizde tartıştığımız gibi, son zamanlardaki ünlü saldırılar yazılım ve ağ seviyelerine odaklanıyor çünkü fiziksel erişimden ziyade dijital erişim elde etmek daha kolay. Bununla birlikte, donanım saldırılarının da nadir olmadığını ve sonuçlarının işletmeler için yıkıcı olabileceğini kanıtladık.

Ayrıca, bloglarımızda şirketinizin donanım seviyesinden başlayarak korunması için kullanabileceğiniz stratejiler, teknolojiler ve en iyi uygulamaları ele aldık. Bununla birlikte, tedarik zinciri aşamasındayken donanımı nasıl koruyacağımızdan henüz bahsetmedik.

Yukarıda belirtildiği gibi, fiziksel erişim elde etmek zor ancak imkansız değil ve bazen bu, tıpkı İmparator Palpatine'in Klon Ordusu ile yaptığı gibi, donanım üretilirken müdahale etmek ve daha sonra güvenlik açığından yararlanmak anlamına gelir.

İlk bakışta bu, hayran kurgusu bir komplo teorisi gibi görünebilir. Bununla birlikte, donanım saldırılarının iş operasyonlarını aksatabileceğini, büyük mali kayıplara, fiziksel hasara, şirketin itibarının zedelenmesine ve diğer yıkıcı sonuçlara yol açabileceğini unutmayın.

Tedarik zincirinde güvenlik açısından karşılaşılan zorluklar nelerdir?

Şirketler otomasyon ve dijital stratejileri uyguladıkça, saldırı yüzeylerini ve güvenlik açığı risklerini de artırırlar. Sonuç olarak, veri ve BT altyapısı koruması (uygulamalar, sunucular, ağlar, müşteri verileri, tedarikçi verileri, malzeme listeleri, ulaşım yönetim sistemleri) yıllardır tedarik zinciri bilgi koruması için büyük bir öncelik olmuştur. Bununla birlikte, internete bağlanabilen veya "akıllı" olarak kabul edilen ürünlerin sayısı artmaya devam etmesine rağmen, ürün koruması önceliklendirilmemiştir.

Bu “akıllı” ürünler genellikle gömülü kod, mantık taşıyan bileşenler veya mikrodenetleyiciler içerir. Eskiden sadece yüksek teknoloji şirketleri tedarik zincirindeki ürünlerin korunmasıyla ilgili zorluklarla ilgilenirdi. Ancak günümüzde ulaşım, sağlık ve tüketici ürünleri daha akıllı hale geliyor ve bu da onları koruma ihtiyacını artırıyor.

Tedarik zincirini korumada karşılaşılan bir diğer zorluk da operasyon teknolojisidir. Uç Bilişim ve Nesnelerin İnterneti (IoT), kullanıcıya daha yakın bir bilişim deneyimi sunarken, yeni güvenlik açıkları da ortaya çıkmaktadır. Üretim ve lojistik için kullanılan ekipmanlar artık genellikle, en azından performanslarını izlemek ve sorunları tahmin etmek için, dahili ağlara bağlıdır. Bu ekipmanların internete bağlanmasının olası tehditlerini, izleme yazılımı ve donanımının kurulumunun getireceği verimlilik kazanımlarıyla birlikte analiz ettiğinizden emin olun.

Bilgi teknolojilerini, işletim teknolojilerini ve ürünleri korumanın bir sonucu olarak, yönetişim bir zorluk olarak ortaya çıkmaktadır. Birçok şirkette her departman kendi alanıyla ilgilenir ve güvenliği bütünsel ve kurumsal çapta ele alan çok fonksiyonlu bir ekipten yoksundur. Bu durum, BT, mühendislik, araştırma ve geliştirme, tesis ve operasyon departmanlarının kendi sorumluluk alanları içinde güvenlik açıklarını çözmesine ve ürün korumasını ihmal etmesine yol açar. Aslında, genellikle BT departmanları veri ve BT altyapısı ve operasyonlarıyla ilgilenir.Bazı şirketlerde, BT ekibi ve OT/IOT/fiziksel teknoloji güvenliğiyle ilgilenen ayrı bir operasyon ekibi bulunur. Bazı şirketlerde ise BT grubunun bir parçası olabilen bir güvenlik grubu da mevcuttur.

Saldırıların artışı ve yayılma hızı ile yenilik girişimlerini düzenli operasyonlarla dengeleme çabaları göz önüne alındığında, bu özellikle zorlu bir konudur. Tedarik zinciri kuruluşlarının, güvenliğin sorumluluklarından biri olduğunu anlamaları her zamankinden daha önemlidir. Dahası, tüm kuruluşun, acil tehditlere veya saldırılara yanıt verirken ürünleri bütünsel olarak korumak için birlikte çalışması gerekir.

Akıllı Ürünlerin Donanımını Korumak

66. Emir örneğinde olduğu gibi, saldırının ardındaki motivasyon, donanıma müdahale ederek operasyonlarınızı sabote etmek, bu da mali kayıplara, itibar zedelenmesine, iş aksamalarına ve diğer sorunlara yol açmak olabilir. Bununla birlikte, saldırılar aynı zamanda sahte ürünler üretmeyi veya tasarım bilgilerini çalmayı hedefleyerek sizi pazarda geride bırakmayı veya büyük miktarda satış kaybına uğratmayı da amaçlayabilir.

Donanım güvenliği riskleri, ilk tasarım ve üretimden geri dönüşüm ve imhaya kadar tüm yaşam döngüsü boyunca mevcuttur. En gelişmiş entegre devreler karmaşıktır; bu da tek bir şirketin bir çipi tasarlaması, üretmesi ve test etmesinin imkansız olduğu anlamına gelir. Sonuç olarak, çip üretimi artık çok uluslu şirketlerin oluşturduğu bir değer zinciridir.

Pandemi başlamadan önce bile şirketler, gelişmiş ve daha ucuz elektronik ürünler aramaya zorlanmıştı. Bu durum, benzeri görülmemiş düzeyde donanım dış kaynak kullanımına yol açtı. Şimdi ise seyahat kısıtlamalarının ve iş aksamalarının yan etkilerini yaşıyoruz ve bu da bileşen kıtlığına neden oluyor. Sonuç olarak, elektronik sistemler geliştiren şirketler, talebi karşılamak, teslim sürelerini iyileştirmek veya fiyatı düşürmek için orijinal tedarikçiler yerine aracı firmalar ve üçüncü taraf tedarikçilerle çalışıyor. Bu uygulamaların riski, spesifikasyon dışı, geri dönüştürülmüş veya klonlanmış (İroni!) sahte çiplerin elde edilmesidir. Bu sahte çipler daha sonra hassas veya kritik sistemlere takılabilir ve saldırılar için güvenlik açıkları oluşturabilir (Tıpkı Yıldız Savaşları'ndaki gibi).

Donanım Tedarik Zincirindeki Güvenlik Açıklarını Azaltmaya Yönelik Öneriler

En önemli öneri, ürün güvenliğini tüm kuruluş için bir öncelik olarak ele almaktır. Operasyon, BT, araştırma ve geliştirme, pazarlama, halkla ilişkiler ve insan kaynakları dahil olmak üzere farklı departmanlardan oluşan ekiplerin, ürün yaşam döngüsünün tamamında güvenlik açıklarını belirlemek ve çözmek için birlikte çalışmasını sağlayacak engelleri ortadan kaldırın.

Ayrıca, genişletilmiş tedarik zincirinin, özellikle "akıllı" ürünleriniz olmak üzere tüm ürünleriniz için tasarım aşamasından hizmet dışı bırakma ve imha aşamasına kadar verimlilik, maliyet, hizmet, kalite ve güvenlik gereksinimlerini karşılayabildiğinden emin olmanız gerekir.

Afet kurtarma planları ve iş sürekliliği değerlendirmeleri oluşturun ve uygulayın. Pandemi gibi dış faktörlerin veya mücbir sebeplerin iş stratejinizi ve ihtiyaçlarınızı hızla değiştirebileceğini unutmayın. En azından, değişen lojistik veya tedarik zinciri durumuna nasıl hızlı bir şekilde uyum sağlayabileceğiniz konusunda bilgi edinin ve olası tehditler ve güvenlik açıkları hakkında bilgi toplayın. Tedarikçi risk değerlendirmesi ve yönetimi, iş sürekliliği planlarının bir parçası olmalıdır. Bu sayede, düzenli tedarikçilerinizin bekleme süresini bekleyemezseniz, önceden onaylanmış güvenli ikinci seçenekleriniz olur. Son olarak, tüm bu planların ve değerlendirmelerin sektör onaylı standartlara uygun olduğundan emin olun, çünkü bunlar genellikle iş kapsamı ve zaman çerçeveleri konusunda faydalı bir kılavuz sağlar.

Donanım üreticisinin (HDO) donanım seviyesinden başlayarak güvenliğinizi nasıl iyileştirebileceği hakkında daha fazla bilgi edinmek isterseniz, bu blogu okuyun. Ayrıca yazımızı okumaya devam edebilirsiniz. Siber Güvenlik Blog Serisi.