(Makalenin tamamını okumak için tıklayın)

Risk, tarih boyunca insanlığın gelişim hikayesinin başrolü olmuştur

Ateşi bulmamızı sağlayan karanlık, tıbbın ilerlemesine yol açan ise hastalıklarla gelen ölüm tehlikesiydi. Bugün ise teknolojinin yarattığı yeni risklerle karşı karşıyayız. Ekonomilerimizi ayakta tutan ve topluma temel yaşam kaynaklarını sağlayan enerji sektöründeyse bu riskler her zamankinden daha kritik.

Dijitalleşme enerji sistemlerini daha verimli hale getirirken, aynı zamanda yeni siber güvenlik zafiyetlerine de kapı araladı. Buna rağmen, gelişim ve dönüşümle ortaya çıkan risk düşmanımız değil. Bunu görmek ve doğru şekilde tanımlamak zayıflığı güce çevirmenin ilk adımıdır. Tam da bu noktada Birleşik Arap Emirlikleri’nin bu dönüşümün ilk adımlarını atarken öncü bir rol üstlendiği görülmektedir.

Birleşik Arap Emirlikleri’nin güçlenen rolü

Birleşik Arap Emirliklerinde siber dayanıklılık ihtiyacı her geçen gün daha net biçimde ortaya çıkmaktadır. Güneş enerjisi santrallerinden veri merkezlerine kadar, ülkenin iddialı ulusal vizyonlarıyla uyumlu yeni nesil ve büyük ölçekli altyapılar tüm coğrafyada hızla inşa edilmektedir. Bu altyapılar, doğaları gereği gelişmiş koruma yaklaşımlarına ihtiyaç duyar.

Su güvenliği bu tabloyu daha da önemli hale getirir. Ülkedeki içme suyunun yüzde kırktan fazlası deniz suyu arıtma tesislerinden sağlanmaktadır. Bu tesislerde yaşanacak olası bir kesinti, toplumun günlük yaşamını doğrudan etkileyebilir ve bu durum, siber zafiyet arayan kötü niyetli aktörler için cazip bir hedef oluşturur.

Geçtiğimiz ay Abu Dhabi’de düzenlenen MEICA Expo’da, enerji hizmeti sağlayıcılarının liderleri tarafından sıkça aynı soru dile getirildi:
“Görünmeyen tehditlere karşı kritik altyapıyı nasıl koruyabiliriz?”

Bu soru, içinde bulunduğumuz yılların en önemli liderlik sorularından biri olarak karşımıza çıkmaktadır.

Dayanıklılık yönetim masasında başlar 

OT güvenliğini yalnızca teknik bir konu olarak görmek kolaydır. Oysa dayanıklılık yalnızca kontrol odalarında inşa edilmez. Yönetim kurullarında, kamu kurumlarında ve riskin nasıl tanımlanıp yönetileceğine ilişkin alınan liderlik kararlarında şekillenir.

Gerçek dayanıklılık şu unsurlarla mümkün olur:

• Uyum süreçlerini bir kutu işaretleme pratiğinden çıkarıp yaşayan bir güvenlik kültürüne dönüştüren çerçeveler. (IEC 62443, NIS2 ve NIST CSF gibi standartlar önemlidir, ancak bunlar taban seviyeyi oluşturur; hedefi değil.)

• İnsanları yalnızca tepki vermek için değil, riskleri önceden öngörebilmek için donatan eğitim yaklaşımları. Bugün birçok siber olayda insan hatası hâlâ belirleyici rol oynamaktadır.

• Endüstriyel gerçekliklere uygun, katmanlı savunma yapıları. Bir petrol terminali ya da bir solar inverter, bir dizüstü bilgisayar gibi davranmaz; bu nedenle güvenlik mimarisi de IT kalıntılarıyla değil, operasyonun gerçek ihtiyaçlarıyla şekillenmelidir.

Küresel görünüm: Potansiyel neden Körfez bölgesinden çıktı?

Avrupa ve Amerika’da endüstriyel kuruluşlara yönelik fidye saldırıları son bir yılda neredeyse iki katına çıkmıştır. Bu durum, düzenleyici kurumların da güvenlik gerekliliklerini sıkılaştırmasına yol açmıştır; Avrupa’daki NIS2 direktifi buna önemli bir örnektir.

Birleşik Arap Emirlikleri ve genel olarak Körfez İşbirliği Konseyi ülkeleri ise bu küresel tablonun ön cephesinde yer almaktadır. Bölge liderleri, siber güvenliği ulusal bir öncelik olarak ele almakta ve plansız duruş sürelerinin yatırımcılardan vatandaşlara kadar tüm ekosistemi kısa sürede etkileyen zincirleme sonuçlar yaratabileceğini açıkça kabul etmektedir.

Bu nedenle, Birleşik Arap Emirlikleri ve Körfez ülkelerinin OT güvenliği alanında atacağı adımların küresel ölçekte bir referans noktası oluşturması beklenmektedir. Çünkü bu bölgede riskler ertelenemez, çözümler ise gecikmeksizin hayata geçirilmelidir.

Risk sürecin yalnızca başlangıcı

Bu yazının başında da belirttiğim gibi, risk her zaman ilerlemenin çıkış noktası olmuştur. Bizi asıl tanımlayan ise bu riske nasıl karşılık verdiğimizdir.

OT sistemleri belirsizliği azaltmak için geliştirilmiştir. Bu misyon bugün de geçerlidir ancak aynı disiplinin artık OT siber güvenliğine de uygulanması gerekmektedir.

Hem operatörler hem de kamu otoriteleri için OT güvenliği yalnızca teknik bir koruma değil, toplumu ve kritik hizmetlerin sürekliliğini güvence altına alan bir yönetim sorumluluğudur.