ABD Su Tesisleri Birincil Siber Saldırı Hedefi, Uzmanlar

Suyla ilgili ABD kritik altyapısını yöneten endüstriyel kontroller, siber saldırı hedefleri olarak ne yazık ki hafife alınıyor. Politika yapıcılar, saldırı potansiyelinin, toplumlar için potansiyel olarak yıkıcı sonuçlar doğuracak şekilde göz ardı edilemeyecek kadar büyük olduğunu söylüyor.

Çarşamba günü, Siber ve Teknoloji İnovasyonu Merkezi (CCTI) ve Siberuzay Solaryum Komisyonu (CSC 2.0), yakın tarihli bir panel tartışmasına dayanan politika açıklamalarını yayınladı.Amerikan Su Tesislerinin Siber Güvenliğinin Güçlendirilmesi".

CCTI başkanı Samantha Ravich, suyun ulusal altyapımızdaki en büyük güvenlik açığı olabileceğini söyledi. Sorunun çoğu, ademi merkeziyetçi su sistemlerinin ne kadar olduğuyla ilgili olduğunu açıkladı.

“Bu sistemlerin her biri, genellikle bu tehditlere yanıt vermek için sınırlı bütçeler ve hatta daha sınırlı siber güvenlik personeli ile benzersiz bir tehdit ortamında çalışır” dedi. “Böyle dağıtılmış bir kamu hizmetleri ağının federal gözetimini yürütmek ve buna yeterli federal yardım sağlamak, doğası gereği zordur.”

Panelistler arasında Çevre Koruma Ajansı (EPA), Amerikan Su İşleri Birliği ve Amerika Birleşik Devletleri Temsilciler Meclisi'ndeki kongre üyeleri dahil olmak üzere hükümet ve çevre kurumlarından temsilciler yer aldı.

Radar Altında ve Koruma Altında

Panelistler, kritik su altyapı sistemlerini siber saldırılara karşı korumanın, sağlık hizmetleri ve nükleer tesisleri içeren elektrik şebekesine kıyasla daha büyük bir zorunluluk olduğunu ileri sürdüler.

Ravich, ABD'nin yaklaşık 52,000 içme suyuna ve 16,000 atık su sistemine sahip olduğuna dikkat çekti. “Bu sistemlerin her biri, genellikle bu tehditlere yanıt vermek için sınırlı bütçeler ve hatta daha sınırlı siber güvenlik personeli ile benzersiz bir tehdit ortamında çalışır” dedi.

Su arıtma tesisleri olgun bir hedef çünkü bunların çoğu 50,000'den az sakini olan daha küçük topluluklara hizmet ediyor. Bu durum genellikle bütçe sorunu yaşayan federalleri, eyaletleri ve belediyeleri, yerel düzeyde siber güvenlik finansmanı sağlama konusunda zor seçimler yapmaya zorlar.

“Böyle dağıtılmış bir kamu hizmetleri ağının federal gözetimini yürütmek ve buna yeterli federal yardım sağlamak, doğası gereği zor” dedi.

ABD Su Sistemi Ne Kadar Hassas?

Kongre üyesi Jim Langevin (D-RI) açılış konuşmasında konuyu gündeme getirdi.

“Su sektörü ciddi endişe yaratmalı” dedi. “Bilinen ve bilinmeyen siber aktörler, su arıtma tesislerinde hem bilgi teknolojisi hem de operasyonel teknoloji varlıklarını tehlikeye atmaya çalışıyor” diye ekledi.

Langevin, 2021'de Oldsmar, Florida'daki bir su arıtma tesisine saldırı yapıldığında kritik su altyapısına yönelik bir siber saldırıdan bahsetti. Bu olayda, bir bilgisayar korsanı Oldsmar'ın su arıtma tesisinin BT sistemine girdi ve bilgisayar sistemine uzaktan erişti.

"[Tesis] operatörü, arıtılan suyu kontrol eden çeşitli sistemlere erişmek için farenin ekranda hareket ettiğini gözlemledi." Raporlara göre. Bilgisayar korsanı, sodyum hidroksit seviyelerini milyonda 100 parçadan 11,100'e ayarlayarak arzı zehirlemeye çalıştı. Tesis operatörü neler olup bittiğini gözlemlediği için saldırı zamanında önlendi.

Operatörler Dikkat Etmediğinde?

Ya tesis siber güvenliğe yeterli zaman ve para ayırmadıysa? Langevin'in değerlendirmesine göre Oldsmar, "su sektörü siber güvenliğine yapılan yatırımların altında felakete yol açabileceğini gösterdi."

Su güvenliğinde “alttaki yatırımları” düzeltmek o kadar kolay olmayacak. Langevin, kamu hizmeti sağlayıcılarının, EPA gibi kuruluşlar tarafından oluşturulan düzenleyici yönergeleri karşılayacak kaynaklardan genellikle yoksun olduğunun altını çizdi. Ve EPA, kendi adına, “federal hükümet ile su sektörleri arasındaki günlük ilişki söz konusu olduğunda sorumluluklarını yerine getirmede zorluklarla karşı karşıya”.

Langevin, "Su sektörünün karşı karşıya olduğu siber tehditler hakkında ne bildiğimizi bilmek" diyerek sözlerini tamamladı. “Bu statüko devam edemez. Riskler çok büyük. Bu nedenle, ülke genelinde su hizmetleri şirketleri arasında çıtayı yükseltmemiz, bir kapasite oluşturmamız ve endüstri çapındaki standartlara bağlılığı güçlendirmemiz gerekiyor. Ve EPA'nın su için bir sektör risk yönetimi ajansı olarak kritik misyonunu yerine getirmesi için uygun kaynaklara sahip olduğundan ve yetkilendirildiğinden emin olmamız gerekiyor."

Tam panel tartışması şu adreste bulunabilir: YouTube.

Panelistler arasında Çevre Koruma Ajansı (EPA), Amerikan Su İşleri Birliği ve Amerika Birleşik Devletleri Temsilciler Meclisi dahil olmak üzere hükümet ve çevre kurumlarından temsilciler yer aldı.