Siber Güvenliğe Genel Bakış ve Giriş

Bu makalenin ana amacı, PSAP süpervizörlerine  siber güvenlik riskleri ve güvenlik açıklarına maruziyetin nasıl tespit edileceğini, önleneceğini ve en aza indirileceğini bildirmektir. PSAP’ların politika ve prosedürleri geliştirmesine yardımcı olmak ve daha fazla düşünülmesi gereken alanların farkındalığını arttırmak için kullanılabilir. Teorik savunmasızlıkların operasyonel olarak etkili olaylara nasıl tezahür ettiğini göstermek için vaka çalışmaları da yapılmıştır.

“9-1-1 bizim aşağıdayız.” 9-1-1 çağrı merkezini duymak için daha fazla bir şey yok. Elbette, çoğu PSAP’ın bu senaryoyu ele alacak prosedürleri vardır. Fakat sistem geri döndükten ve koştuktan sonra, en zor olanı “Bu önlenebilir miydi?” Sorusu olacak sorular olacak. Her merkez aynı zamanda bir siber saldırı olasılığını da göz önünde bulundurmalıdır. Ransomware saldırıları1 gibi birçok saldırı geç haberleri vermiştir. PSAP’lar, bu tip saldırıların yanı sıra, bir çokları ile birlikte ve sağlam bir iş sürekliliği planına sahip olup olmadıklarını dikkate almalıdır. Saldırı durumunda merkeziniz topluma ve çalışanlarınıza hizmet vermeye devam edebilir mi? Merkeziniz siber saldırıya karşı hassas olan tüm sistemleri ve bu tür bir olayın hem kısa hem de uzun vadeli etkisini göz önünde bulundurdu mu? Bu senaryolar, 9-1-1 merkezde çalışan herkes için korku yaratabilirken, bunları göz önünde bulundurarak ve bunları nasıl önleyebileceklerini ve hazırlanacaklarını incelemek risk değerlendirme sürecinde kritik bir adımdır.

Bu belgeyi savunmasız sistemler üzerinde değerlendirmek için bir araç olarak kullanmak, merkezinizin siber saldırı riskini en aza indirecek şekilde tasarlanmış proaktif ve önleyici bir program oluşturmasına yardımcı olacaktır. Saldırılara hazırlıksız olmak, cevap yetenekleri, imaj, kişisel bilgiler ve hatta ölümle sonuçlanan kayıplara yol açabilecek felaketler olabilir. Fiziksel güvenlik Fiziksel güvenlik , ajansınızın genel güvenlik politikasının önemli bir bileşenidir. Fiziksel güvenlik bina güvenliği, vekil erişim, satıcı erişimi ve güvenlik önlemlerini içermektedir. Bina Güvenliği Fiziksel güvenlik , genel ağ güvenliğinin kritik bir bileşenidir. Fiziksel güvenlik , Akıllı Bina Yönetim Sisteminin (iBMS) cihazlarına, ağlarına ve bilgilerine yetkisiz erişimi engeller. Bu olmadan, davetsiz misafirlerin diğer tüm korunma yöntemlerini atlatma araçları vardır. Tüm çalışanların fiziksel güvenlik politikalarına uyması ve bunlara uyması çok önemlidir. Politikalar geliştirilirken birden çok açıdan dikkate alınmalıdır.

Bir politika yazılmadan önce tam bir güvenlik ve altyapı değerlendirmesi gereklidir. Tasarım kararları verirken aşağıdakileri dikkate alın: Erişimi kısıtlamak için çoklu engelleri birleştirin; bina, oda ve kabin erişim kontrolü gibi.

Siber Güvenliğe Giriş

• Erişim kontrollü alanlarda veya kilitli dolaplarda görev kritik cihazlarını bulun. Yönlendiriciler, güvenlik duvarları ve anahtarlar gibi ağ aygıtlarına yetkisiz fiziksel erişimi engellemek şarttır.
• Haberleşme kablosu çalışmalarını kablo veya sağlamlaştırılmış kablo zincirleriyle koruyun. Proxy Access Security, anahtar ve proxy kart erişimi ve kontrolü dahil olmak üzere çeşitli alt bileşenlerden oluşur. Anahtarların kontrolünü sağlamak için, bir envanter ve makbuz formu sürecinin yerinde olması gerekmektedir. Parolalar gibi, anahtarlar ve vekil kartlar da erişim seviyelerine sahiptir ve gerektiğinde yayınlanmalıdır.

Ayrıca, yetkisiz erişimi önlemek için düzenli olarak planlanmış denetimler (en az üç ayda bir) yapılmalıdır. Ziyaretçi Erişimi Tesisinizdeki ziyaretçi etkinliklerini görüntülemek ve kaydetmek için bir ziyaretçi rozeti işlemi gereklidir. Erişim verilmeden önce resmi kimlik belirtilmelidir ve ziyaretçilere her zaman eşlik edilmelidir. güvenlik Önlemleri Kayıt cihazlı güvenlik kameraları, tesisinize harici bir güvenlik katmanı sağlar. güvenlik ve güvenlik için doğru aydınlatma esastır. Duvarlar, kapılar ve direkler, yetkisiz bir aracın binaya girmesine ya da zarar vermesine karşı riski azaltır. Tekrar eden kapsamlı bir çalışan güvenlik eğitimi sınıfı, ajansınızın başarısının anahtarıdır. İyi eğitimli çalışanlar, güvenlik ihlallerini ve şüpheli etkinlikleri nasıl tanımlayacaklarını ve bildireceklerini bilirler. Çalışan Bütünlüğü Bir ajansın ağı ve iBMS ile günlük olarak etkileşimde bulunan kişiler, genel sistem güvenliğini sürdürmede kritik bir rol oynamaktadır. güvenlik politikaları ve prosedürleri, bilerek veya bilmeden, tek bir birey tarafından kolayca zayıflatılabilir.

Politikalar ve prosedürler, ajansın ağlarının kabul edilebilir kullanımı, uygun e-posta kullanımı ve çıkarılabilir medyanın onaylı kullanımı olarak neyin açıkça belirtilmesi gerektiğini açıklamalıdır. Kabul edilebilir Kullanım İnternet kullanımındaki kısıtlamalar açıkça tanımlanmalı ve izlenmelidir. Bazı PSAP’ler yalnızca önceden onaylanmış web sitelerine erişimi sınırlandırırken, diğerleri iş ile ilgili olmayan veya potansiyel bir güvenlik tehdidi oluşturan sitelerin engellenmesi için kriterler oluşturmuşlardır. Risk kök setleri ve virüsler temsil ettiğinden dolayı, PSAP iç ağının ötesine ulaşan herhangi bir sistem, operasyonları olumsuz yönde etkilemeksizin, mümkün olduğunca yakından izlenmeli ve kısıtlanmalıdır. E-posta kullanımıyla ilgili kısıtlamaları detaylandıran politikaların da uygulanması ve uygulanması zorunludur. Kimlik avı e-postaları, iç ağlar için ciddi bir tehdittir ve sıradan olmaya devam eder. Çalışanlar sadece bilinen kaynaklardan e-postalara bakmalı ve şüpheli e-postaları nasıl belirleyecekleri konusunda eğitilmelidir. Örneğin, kimlik avı e-postaları genellikle ABD dışındaki e-postalar için gelir. Bu nedenle “.uk” ile biten bir adres veya “.com” dışında bir adres, bir kimlik avı girişiminin bir göstergesi olabilir. Bazı kuruluşlar, çalışanların farkındalığını, uyanıklığını ve ajans duyarlılığını değerlendirmek için bir güvenlik testi olarak kendi kimlik avı e-postalarını oluşturuyor.

Ayrı USB sürücüleri, sabit sürücüler, SD kartlar vb. Dahil olmak üzere çıkarılabilir medya yalnızca ajansın belirli yetkilendirmesiyle kullanılmalıdır. Çalışanların işyerinde kişisel çıkarılabilir medya kullanmasına izin verilmemelidir. Çalışanların telefonlarını, tabletlerini, dizüstü bilgisayarlarını veya diğer elektronik cihazlarını ajansın ekipmanına takmaları da yasaklanmalıdır. Ayrıca, ajansın kablosuz sistemlerine erişim de kısıtlanmalı ve çalışanların kişisel cihazlarında kullanılamaz. Farkındalık Eğitimi Personel eğitimi, her bir kişinin bir kurum içinde güvenliğin sağlanmasında oynadığı rol hakkında farkındalık yaratmanın anahtarıdır.

Eğitim şunları içermelidir:

• Telefonların, tabletlerin ve diğer kişisel ekipmanların kurumun sistemlerine takılmasının tehlikeleri
• Hesap bilgilerinin doğru kullanımı
• Her bir kişinin güvenlik sağlamadaki rolleri ve sorumlulukları o Her zaman kimlik bilgileri kullanma o Kullanıcıyı izlemek için anahtar kart erişimini kullanma Giriş o Proxy kartlarını kullanmadan başkalarının arkasına giren herkes de dahil olmak üzere çalışma ortamındaki çalışan bilinci
• Çeşitli güvenlik politikalarının ve prosedürlerinin ardındaki nedenler • Bir sistemin taviz vermesi amacıyla başkalarının özel bilgi edinme girişimlerini tanıma ve cevap verme yolları (sosyal mühendislik)
• Devam eden tazeleme eğitimi, hatırlatmalar ve genel farkındalık oluşturma güvenlik eğitimi, katılımın zorunlu kılınması ve eğitimin etkinlik açısından izlenmesi durumunda en iyi şekilde çalışır. Kalite Güvence / Kalite İyileştirme programları, güvenlik prosedürlerinin gerekli izlenmesi içermelidir. güvenlik Denetimleri Gerçekleştirin Periyodik güvenlik denetimleri, güvenliğe adamış sistemlerin, ilkelerin ve yordamların etkili olmasını ve hiçbir açıklığın bulunmadığından emin olmanızı sağlar. güvenlik denetimleri şunları içerebilir: • Ağ veya sunucu erişimi elde etme girişimleri (penetrasyon testi)
• İstismar potansiyelinin ortadan kaldırılıp kaldırılmadığını belirlemek için geçmiş ihlallerin değerlendirilmesi
• Kullanıcılardan şifreler alınmaya çalışılır
• güvenlik prosedürlerinin takip edildiğini ve güvenlik sistemlerinin bypass edilmediğini kontrol eder
• Yeni tehdit türlerine karşı korumanın değerlendirilmesi. Etkin bir denetim, bir kurumun güvenliğini kapsamlı bir şekilde değerlendirir ve sürekli iyileştirme sürecini bildirir.
• En azından, anahtar kart erişiminin üç ayda bir denetlenmesi Satıcı Erişimi Günümüz ortamında, hemen hemen tüm kuruluşlar, dış satıcılara dayanan ağlara, sistemlere ve tesislere sahiptir.

fiziksel erişim, özel ağ erişimi, ağ bulut erişimi veya üçünün herhangi bir bileşimini gerektirebilir. Bir satıcı kullanırken, ilişkide bir risk seviyesi vardır. Satıcılar, ürün imalat şirketinin (Cisco Networks ve Donanım’ı destekleyen Cisco Kurumsal Destek Ekibi) bir hizmet bölümü olabilir. Satıcılar, birden fazla platformu destekleyen Üçüncü Taraf ekipmanı da olabilir. Bir satıcıya sistem erişimi vermeden önce kapsamlı bir tarama ve sözleşme süreci tamamlanmalıdır. Politikalar normalde satıcı sözleşmelerinde bulunur. Risk yönetiminin mümkün olduğunca fazla riski ortadan kaldırmak için kullanılması gerekmektedir. Ajans için risk ile satıcı için atanan görevlerini tamamlaması için gereken erişim seviyesi arasında iyi bir çizgi vardır. Ağa uzaktan erişim, bir Güvenli Kabuk (SSH) Tüneli, bir Sanal Özel Ağ (VPN) veya noktadan noktaya özel bir noktadan gerçekleştirilebilir. güvenlik yamaları güncel tutulmazsa, bu erişim ağdaki riski artırabilir. Satıcı personeli de dikkate alınmalıdır. Satıcı personeli ajans güvenliğinizi ve arka plan kontrol gereksinimlerini karşılamalıdır. Çalışan sürekliliği çok önemlidir ve bir satıcı ile görüştüğünüzde birkaç soru sorulmalıdır. Bir satıcının çalışanı işten ayrılmalıysa, satıcı destek vermeye devam edebiliyor mu? Destek belgeleri tek bir çalışandan daha fazla kullanılabilir mi?

Siber Güvenliğe Genel Bakış

Satıcı şirketi istikrarlı ve finansal olarak sağlam mı? Satıcı işten çıkarsa, bu durum ajansınızı nasıl etkiler? Bir satıcı, yöntemden bağımsız olarak ajans ağınıza eriştiğinde (tünel, VPN, noktaya nokta, bulut) güçlü bir parola ilkesi gerekir (bkz. Parola İlkesi bölümü). Tüm şifrelerin bir son kullanma tarihi olmalıdır. Parola ne kadar hassas olursa, son kullanma süresi kısalır. Satıcılar için tek kullanımlık parolalar da, satıcı erişim riskini en aza indirmenin etkili bir yoludur. Şifreler oluşturmak, atamak, izlemek ve denetlemek için bir prosedür bulunmalıdır. Satıcıya parola vermek için bir mekanizma gereklidir. Çeşitli güvenlik yöntemleri uygulanabilir. Parolalar kağıda yazılmamalı ve bir satıcıya verilmemelidir. Şifreler telefon üzerinden sağlanabilir. Aramayı önceden belirlenmiş satıcı telefon numarası kişilerine koyarsınız. Üçüncü taraf yazılımlar, şifreli şifrelerin e-posta ile gönderilmesine izin verir. Şifre yöneticiniz, eski şifreleri ve kullanıcıları kaldırmak için düzenli olarak planlanmış denetimler gerçekleştirmelidir. Ajansınızın verileri, güvenlik politikanızın bir parçası olarak korunmalıdır. Veriler kaybedilebilir, çalınabilir, sızdırılabilir veya değiştirilebilir. Verilere erişimi “gerektiği gibi” koşullarla sınırlamak için adımlar atılmalıdır. Yöneticiler, ajansın verilerine erişimi sınırlamak için kullanılan şifre düzeylerini oluşturabilir. Fiziksel araçlar ek veri koruma katmanları ekler. Yerel ve barındırılan veri depolama cihazları şifrelenmelidir. Veri depolama tesislerine erişim, fiziksel güvenlik politikanızda sınırlandırılmalı ve tanımlanmalıdır. Tesislerinizin hassas alanında çalışırken satıcılara her zaman eşlik edilmelidir.

Düzenli olarak zamanlanmış veri yedeklemeleri, tercihen saha dışı yedeklemeler, başka bir düzeyde güvenlik sağlar. Mümkünse, satıcıların ağa erişmek için yerinde bulunan bilgisayarları / terminalleri kullanma zorunluluğu bulunmalıdır. Kullanılmayan seri, USB ve Ethernet veri bağlantı noktalarına erişim, elektronik ve fiziksel olarak güvenli bir şekilde kapatılmalıdır. Site dışı satıcı bilgisayarları, ağınıza erişirken ek ağlara veya internete bağlı olmamalıdır. Satıcılar ve bilgisayarları, terminalleri, sunucuları vb. Için bir virüs koruma ilkesi bir zorunluluktur. Tedarikçinin yalnızca üretici tarafından onaylanmış yazılımı çalıştırdığına veya yüklediğine emin olun. İyi bir satıcı politikası gerekliliği, ağ erişimi için kullanılan bilgisayarlara / terminallere yakın olmadığında ağdan çıkış yapılmasını gerektiren bir ifadedir.

• Kapsamlı tedarikçi taraması ve sözleşme süreci
• Satıcı personelinin arka plan kontrolleri
• Sözleşmelerde politikaları dahil edin
• güvenlik yamaları güncel tutulmalıdır
• Sınırlı süreler ve belirli şifre teslimi yöntemleri ile parola yönergelerini belirleyin
• Satıcı erişiminin düzenli olarak planlanmış denetimleri
• Limit ağlara ve kullanılmayan bağlantılara erişim