NIS2 Direktifi ve Ağ Çözümleriniz Siber Güvenlik

Avrupa Birliği, hem özel hem de kamu sektöründeki birçok şirket için Ekim 2024'e kadar NIS2 Direktifi'ne uyumu zorunlu kılmıştır. Bu yeni siber güvenlik düzenlemesi, bir şirketin güvenlik politikalarına odaklanan birçok yönü kapsamaktadır. Gereksinimler ve Teltonika'nın NIS2 Direktifi standartlarını karşılamanıza nasıl yardımcı olabileceği hakkında bilgi edinin.

Bunu bir kez daha söylüyoruz: Siber güvenlik hafife alınmamalıdır.

Ne yazık ki, hem özel hem de kamu sektöründe siber saldırılar artmaya ve yayılmaya devam ediyor; bunun en belirgin örneği 2023 yılında Avrupa'da bu tür saldırılarda yaşanan %57'lik artıştır. Bu iyi bir işaret değil, ancak olumlu bir yanı varsa, o da bu olayların şirketlerin Nesnelerin İnterneti (IoT) güvenlik önlemlerini yeniden değerlendirmeleri ve iyileştirmeleri gerektiğinin altını çizmesidir.

Günümüzde, Nesnelerin İnterneti (IoT) güvenliği ve her türlü siber güvenlik konusundaki artan endişe, özel ve kamu sektörlerinin ötesine geçerek hükümet organlarını da kapsıyor. Avrupa Birliği de, özellikle kritik altyapılarla çalışan şirketleri istenmeyen risklerden korumak için büyük siber güvenlik önlemleri almaya büyük önem veriyor.

Ekim 2024'e kadar yürürlüğe girecek yeni AB siber güvenlik düzenlemeleriyle birlikte, NIS2 Direktifi, amacı, düzenlemeleri ve uyumsuzluğun potansiyel sonuçları hakkında bilgi sahibi olmalısınız.

NIS2'Yİ NIS'TEN FARKLI KILAN NEDİR?

NIS Direktifi, Avrupa Birliği kapsamında faaliyet gösteren şirketlerin belirli siber güvenlik standartlarına ulaşmasını zorunlu kılan ilk AB çapındaki mevzuattır.

Bu standartlar, riskleri kontrol etme ve önleme tedbirlerini ve yetkililerle işbirliği yaparken olayları bildirme yükümlülüğünü içeriyordu. Bu direktif, özellikle ulaşım , enerji ve finans sektörlerindeki kritik altyapı ve önemli dijital hizmet sağlayıcılarında faaliyet gösteren şirketler için geçerliydi.

Orijinal NIS Direktifi yaklaşık 7 yıl önce, 2017'de yürürlüğe girmişti. O zamandan beri dijital dünyada çok şey değişti. Bu nedenle, Avrupa Birliği'nin Nesnelerin İnterneti (IoT) güvenliğini sağlamak için NIS Direktifini güncellemesi kaçınılmazdı. Ve gerçekten de öyle oldu.

AB tarafından uygulamaya konulan NIS'in bu ikinci sürümü daha büyük, daha güçlü ve daha katı olup, şirketlerin Ekim 2024'e kadar uyması gereken gelişmiş ağ altyapısı koruması için daha yüksek siber güvenlik standartları oluşturmayı amaçlamaktadır.

NIS2 YÖNERGESİ DÜZENLEMELERİNE ŞİRKETLERİN UYMASI GEREKMEKTEDİR

NIS2 Direktifi'nde bir şirketin uyması gereken en önemli dört temel gereklilik türü bulunmaktadır:

1) Risk yönetimi – şirketler, ağ altyapısı korumasını, tedarik zinciri güvenliğini ve ağ çözümlerinin erişim kontrolü ve veri şifreleme yöntemlerini güçlendirmeye odaklanarak riskleri azaltmalıdır.

2) Kurumsal sorumluluk – şirket yönetimi, çalışanlarının günlük görevlerinde güvenlik önlemlerini uygulamalarını ve tespit ettikleri siber güvenlik risklerini ele almalarını denetlemeli ve onlara bu konuda talimat vermelidir.

3) Bildirim yükümlülükleri – Temel ve önemli kuruluşlar, yaşadıkları güvenlik olaylarını derhal bildirmekle yükümlüdür ve 24 saatlik erken uyarı gibi olay bildirimine ilişkin belirli son tarihlere uymalıdır.

4) İş sürekliliği – şirketler, sistem kurtarma işlemlerini gerçekleştirmek, acil durum prosedürlerini uygulamak ve kriz yönetiminden sorumlu özel bir ekip görevlendirmek de dahil olmak üzere, büyük bir siber olay durumunda alınacak önlemleri önceden planlamalıdır.

Teltonika'nın BT Altyapı ve Güvenlik Başkanı Artūras Golyšenko şu tavsiyede bulunuyor:

“Şirketlerin NIS2 Direktifi'ne hazırlık sürecine yalnızca BT personelini dahil etmesi ve bunu sadece bir başka teknolojik bilmece olarak görmesi muhtemeldir. Ancak, tüm kuruluşun siber tehditlere karşı direncini artırmak için ekipte sadece teknik uzmanlar değil, aynı zamanda çeşitli departmanların yöneticileri, avukatlar, şirketin hizmetlerinden sorumlu çalışanlar ve hatta yöneticiler de yer almalıdır.”

“Siber saldırıların kapsamına insan hatası da dahil olduğundan, yalnızca BT departmanı hazırlık için yeterli olmayacaktır. Şirketlerde siber güvenlik kültürünü geliştirmek ve çalışanlara belirli durumlarla başa çıkma konusunda temel ve özel bilgiler sağlamak önemlidir.”

“Bu sayede şirketteki tüm paydaşlar ihtiyaç duydukları bilgilere sahip olacak ve sorunlu alanları belirleyip çözebileceklerdir. Bu da siber güvenlik sürecinin geliştirilmesinde sürekliliği garanti eder.”

Daha fazla bilgi için, NIS2 Direktifi'nin içeriğine dair bu kapsamlı genel bakışa göz atabilirsiniz.

Bu da bizi bir sonraki soruya götürüyor…

BU DURUM SİZİ NASIL ETKİLİYOR?

Bu soruyu dikkatlice değerlendirin, çünkü orijinal NIS Direktifi daha dar bir etki alanına sahipti ve enerji , sağlık, ulaşım, finans, su temini ve dijital altyapı gibi sektörlerde uzmanlaşmış daha az sayıda kritik altyapı şirketini etkiliyordu.

Şimdi ise NIS2 Direktifi sadece bu altı sektöre odaklanmaya devam etmekle kalmıyor, aynı zamanda atık yönetimi , üretim, araştırma, dijital sağlayıcılar ve daha fazlası gibi dokuz ek sektörü de kapsayacak şekilde genişliyor. Dolayısıyla liste, önceki haline göre çok daha büyük.

NIS2 Direktifi'ne uyumluluğu belirlerken şirketinizin büyüklüğünü de dikkate almak çok önemlidir. Yaklaşık 250 çalışanı ve 50 milyon Euro yıllık cirosu olan şirketler olarak tanımlanan temel kuruluşlar bu Direktife uymak zorundadır. Benzer şekilde, yaklaşık 50 çalışanı ve 10 milyon Euro cirosu olan önemli kuruluşların da Direktife uyması gerekmektedir.

Ancak, bu kategorilere uymayan şirketlerin de, bir üye devletteki toplumsal veya ekonomik faaliyetler için hayati önem taşıyan kritik hizmetler sağlamaları durumunda yine de uyum sağlamaları gerekebileceğini belirtmek önemlidir.

NIS2 Direktifi'ne tabi şirketler gerekliliklere uymadıkları takdirde cezalarla karşı karşıya kalabilirler. Bu cezalar parasal olmayan yaptırımlar, idari para cezaları veya hatta cezai yaptırımlar şeklinde olabilir.

Tüm bunlara rağmen, şirketinizin faaliyet gösterdiği sektörün listede olmaması, sorumluluktan kurtulduğunuz anlamına gelmez; çünkü hizmetlerinizin veya ürünlerinizin etkilenen sektörlerden birinde kullanılma olasılığı yüksektir. Başka bir deyişle, şirketinizin de NIS2 Direktifi düzenlemelerine uyması gerekmektedir.

ŞİRKETİNİZ NIS2'YE UYUM SAĞLAYAMAZSA NE OLUR?

Daha önce de belirtildiği gibi, NIS2'ye tabi şirketler, güvenli bir tedarik zinciri sağlamak ve para cezalarından kaçınmak için tedarikçilerinin ve ortaklarının bu düzenlemelere uymasını şart koşacaktır. Uyumsuzluk, potansiyel veya mevcut müşterilerinizin sözleşmelerini yenilememesine ve işletmenizi olumsuz etkilemesine neden olabilir.

Bir diğer önemli husus da şirketinizin itibarıdır. Şirketiniz NIS2'ye uymuyorsa, güvenilmez veya yüksek düzeyde siber güvenlik sağlama konusunda yetersiz olarak değerlendirilebilir.

Dolayısıyla, NIS2 Direktifi düzenlemelerini göz ardı etmek şirketinizi dezavantajlı duruma düşürecek ve bu durum, müşterilerle olan ilişkilerini ve genel işleyişini kesinlikle etkileyecektir.

ŞİRKETİNİZ TELTONIKA YÖNETMELİKLERİNE UYACAKTIR

Teltonika, ağ cihazlarımızın ve IoT güvenliğinin yanı sıra siber güvenlik politikalarımızı da geliştirmeye önemli miktarda zaman ve emek harcıyor. Genel merkezimiz Litvanya'da bulunduğu için, NIS2 Direktifi de dahil olmak üzere tüm AB düzenlemelerine uymak zorundayız.

AB NIS2 Direktifi henüz Litvanya yasalarına aktarılmadı. Litvanya Ulusal Siber Güvenlik Merkezi'nin ilgili düzenlemelerinin 2024 yılının dördüncü çeyreğinde açıklanması bekleniyor. Bu süreçte, en iyi siber güvenlik uygulamalarına bağlı kalarak, en son teknolojileri kullanıyor ve sistemlerimizi ISO27001 ve ISO9001 standartlarına uygun olarak yönetiyoruz.

Teltonika'nın ağ cihazları birimi yakın zamanda CVE programı topluluğunun resmi bir üyesi oldu . Bu üyelik, kendi başımıza CVE'ler oluşturmamıza, kaydetmemize ve yayınlamamıza olanak tanıyarak hızlı olay bildirimini sağlamamızı mümkün kılıyor.

Uzaktan Yönetim Sistemimizin (RMS) büyük bir avantajını da vurgulamak önemlidir; bu sistem sayesinde müşterilerimiz, tüm ağ çözümlerinin güvenli uzaktan yönetim yeteneklerine sahip olabilir ve her bir bileşenin sağlığını ve durumunu denetleyebilirler.

RMS, ilgili tüm IoT cihazlarının sürekli olarak gerektiği gibi çalışıp çalışmadığını izlemek için kullanılabilir. Çalışmıyorsa, RMS önceden yapılandırılmış kurallara dayanarak müşteriyi herhangi bir olay veya potansiyel risk konusunda etkili bir şekilde uyarabilir.

TELTONIKA'NIN SSDL HAKKINDAKİ GÖRÜŞÜ

Ağ cihazlarımız için yazılım sistemleri geliştirirken, Ar-Ge ve siber güvenlik mühendislerimiz Güvenli Yazılım Geliştirme Yaşam Döngüsü (SSDL) sürecini takip eder. Bu, ağ cihazlarımızın, ek güvenlik önlemleri eklenmeden önce bile, en başından itibaren güvenli olmasını sağlamak içindir.

SSDL yaklaşımımızı, olası siber güvenlik risklerini titizlikle belirlememize ve azaltmamıza yardımcı olan altı aşamadan oluşan bir süreç olarak ele alıyoruz:

1) Siber güvenlik mühendislerimiz, güvenli çalışma verimliliğini sağlamak amacıyla güvenlik konularını ve en iyi uygulamaları kapsayan eğitimler vererek yazılım geliştirme ekiplerini eğitiyor ve test ediyor;

2) Yaklaşan yazılım güncellemeleri veya sürümleri için temel güvenlik ve gizlilik gereksinimlerini belirliyoruz;

3) Ar-Ge ekibi, potansiyel güvenlik tehditlerini araştırırken, cihazların yaklaşan yazılım sürümleriyle nasıl performans göstermesi gerektiğini sürekli olarak gözden geçirir ve analiz eder;

4) Ağ cihazlarımızdaki kodu korumak, incelemek ve optimize etmek için sürekli olarak statik kod analizi gerçekleştiriyoruz;

5) Sonuçları kesinleştirmek için kapsamlı bulanıklaştırma ve nüfuz etme testleri de dahil olmak üzere birden fazla test gerçekleştiriyoruz;

6) Bu titiz testler tamamlandıktan sonra, dokümantasyon son haline getirilir, arşivlenir ve yeni döngü başladığında referans olarak kullanılır.

KRİTİK ALTYAPILARINIZIN NIS2 UYUMLU IoT CİHAZLARINA SAHİP OLDUĞUNDAN EMİN OLUN

Kritik altyapınızın, özellikle ağ çözümlerinin güvenliğini sağlamak ilk başta göz korkutucu görünebilir. Ancak, kritik altyapı çözümlerinizde Teltonika cihazlarını seçmek endişelerinizi ortadan kaldırabilir. Ve biz buna eminiz.

NIS2 Direktifi'ne nasıl uyduğumuz ve IoT cihazlarımızı rakiplerimizden üstün kılmak için aldığımız ek siber güvenlik önlemleri hakkında daha fazla ayrıntı öğrenmek ister misiniz?

Bizimle iletişime geçmekten çekinmeyin. Güvenliğe olan bağlılığımızın, daha güvenli bir dijital geleceğe doğru yolculuğunuzda bizi neden ideal ortak haline getirdiğini size anlatacağız.