Siber Güvenlik Yönetimi

ISO 27001, Bilgi Güvenliği Yönetim Sistemi (ISMS) için en iyi uygulamaları tanımlayan uluslararası standarttır.

ISO 27001 akreditasyonlu sertifikaya sahip olmak, kuruluşumuzun bilgi güvenliği konusunda en iyi uygulamaları takip ettiğinin ve bilgi güvenliğinin uluslararası en iyi uygulamalar ve iş hedefleri doğrultusunda yönetildiğinin bağımsız uzmanlar tarafından doğrulandığını gösterir.
Siemens'in Siber Güvenlik Yönetimi süreçleri Kasım 2017'den bu yana ISO 27001 sertifikalıdır.
Kasım 2023'ten itibaren yeni ISO 27001:2022 standardına uygun bir sertifika düzenlenmiştir.

• Sertifikayı indirin
• Sistem Sertifikaları hakkında daha fazla bilgi edinin

Siemens'i korumak amacıyla güçlü bir mimari ile dayanıklı ve veri odaklı bir siber güvenlik sağlamaya kararlıyız.

Bunu gerçekleştirmek için, projede Siber Güvenlik stratejimizi uyguluyor ve yeni oluşturulan Kurumsal Mimari hizmetini kullanarak stratejik hedeflerimizi hedef mimariye aktarıyoruz. Böylece tüm Siber Güvenlik ekibine uygulama çalışmalarında yol gösteriyoruz.

Projenin ana hedefleri; kaynak kullanımının otomasyon ve verimlilik önlemleriyle en iyi duruma getirilmesi, Siemens genelinde siber güvenlik risklerinin görünürlüğünün ve şeffaflığının artırılması ve veri odaklı karar alma süreçleriyle reaktif ve proaktif risk azaltmanın güçlendirilmesidir.

Proje yapımız beş iş akışı üzerine kuruludur:

• Kavram ve süreçler:

  Hedefimiz, Siemens Siber Güvenlik'teki mimari süreci tanımlamak ve sürdürmek, bunu strateji ve portföyle uyumlu hale getirmek ve veri odaklı siber güvenlik mimarisinin yapı taşlarını (özellikler, uygulamalar, girdiler, çıktılar, bağımlılıklar) açıklamaktır.

• Yönetim:

  Hedefimiz, siber güvenlik verilerinin nasıl birleştirilebileceğini tanımlayarak otomatik risk tanımlama ve değerlendirmeyi mümkün kılmak, risklerin azaltılmasına yönelik karar alma süreçlerini güçlendirmek ve ilke uyumunu artırmaktır.

• Durumsal farkındalık:

  Hedefimiz EA projesinin liderliğini üstlenmek, kullanıcı beklentilerini toplamak ve uç kullanıcıların günlük operasyonlarını iyileştirmek için kapsamlı bir risk duruşu sağlamaktır.

• Güvenlik istihbaratı:

  Hedefimiz, karar alma süreçlerini güçlendirerek Siemens için otomatik siber güvenlik risklerini tanımlayıp azaltan yapay zeka destekli ve veri odaklı bir karar alma sistemi uygulamaktır.

• Veri:

  Veri İş Akışı, siber güvenlikte veri odaklı yaklaşımın benimsenmesini destekler, veri şeffaflığını sağlar, veri çoğaltımını engeller ve ekiplerin veri stratejilerine yön verir.

Siber Güvenlik İlkesi Çerçevesi, Siemens ve bağlı kuruluşları için geçerlidir. Özellikle, belirli ilke, standart ve temel kurallarda belirtilen siber güvenlik gereksinimlerini içerir.

Tüm ilkeler, ISO 2700x veya IEC 62443 gibi ilgili endüstri standartlarını temel alır. Diğer önemli standartlara uyumu sağlamak için ilgili referanslar da yönetilir. Bu standartlar arasında, NIST 800‑53, EBA ICT ve güvenlik riskİ yönetimi kılavuzları gibi standartlar yer alır.

Siemens ürünleri, çözümleri ve hizmetleri önemli ölçüde yazılım ve IT ile ilgili bileşenler içerir. Bu bileşenler çoğu durumda kritik altyapılar bağlamında kullanılır ve siber tehditlere daha fazla maruz kalma eğilimindedirler. Siemens'in giderek artan düzenleyici ve müşteri odaklı güvenlik gereksinimlerine odaklanması bir zorunluluk haline gelmiştir.

Rekabet gücünü ve güvenilirliği korumak amacıyla hayata geçirilen Siemens genelindeki PSS Girişimi, sunulan ürün, çözüm ve hizmetlerin, müşterilerimizin kendi tesislerini güvenli bir ortamda işletmelerine olanak tanımasını sağlar.

Bu amaç doğrultusunda, PSS için bağlayıcı gereksinimler ve uygulama önerileri yürürlüğe konulmuştur. Sürekli gelişim ve sürekli öğrenme, bu hedeflerin başarıyla hayata geçirilmesi için temel ön koşullardır.

Siber güvenliğin temel unsurları konusunda tüm çalışanlar arasında ortak bir farkındalık ve anlayış oluşturmak, siber güvenlikle ilgili rollere özel eğitimler sunmak hayati önem taşımaktadır. Müşterilerimizin Siemens'ten beklediği teknoloji ve güvenlik açısından en yeni ürün, çözüm ve hizmet taleplerini karşılamak için çeşitli faaliyetler hayata geçirdik. Amacımız, şirketimizdeki siber güvenlik bilincini sürekli artırarak ve çalışanlarımızın tüm değer zincirindeki her adımda, her süreçte ve her faaliyette siber güvenliği gözetmesini sağlayarak bu kaliteyi sunma becerimizi güçlendirmektir. Örneğin:

• Tüm çalışanlarımızı genel ve kritik siber güvenlik konularında bilgilendirmeyi amaçlayan küresel bir farkındalık kampanyası zorunlu tutulmuştur. Bu eğitim oturumları web tabanlıdır, genel erişime açıktır ve çok dilli bir yapıda sunulmaktadır. Ayrıca, belirli rollere sahip gruplar için "Siber Güvenlik Lisansı" eğitimi sunulur. Tamamlanması zorunlu olan bu eğitim, ilgili grubun tüm Siemens IT/OT güvenlik yönergelerini uygulama becerisini kazanmasını sağlar. Eğitimi başarıyla bitiren katılımcılar, iki yıl boyunca geçerliliği olan bir sertifika almaya hak kazanırlar.
• Ayrıca, tüm Siemens çalışanları için sürekli güncellenen çeşitli eğitim kursları ve öğrenme fırsatları sunulur. Bu eğitimlere gönüllülük esasına göre ulaşılabilir. İlgili içerikler temel bilgilerin yanı sıra Ürün ve Çözüm Güvenliği gibi özel ve uzmanlık gerektiren alanları da kapsar.
• Sürekli öğrenmenin başarının anahtarı olduğuna inanıyoruz; bu nedenle çalışanlarımızı eğitmek ve bilgilerini güncel için sürekli yeni yollar arıyoruz.

Her zaman genel bir bakış açısına sahip olun: Bunu başarmaya yardımcı olmak için Siemens'teki siber güvenlik verileri ve süreçlerine dair bütünsel bir görünüm sunan "CyberMart" adlı şirket içi bir siber güvenlik platformu kullanıyoruz.

Bu platform, siber güvenlikle ilgili bilgileri işleyen ve

• güvenli uygulamalar ile veriler için güvenli bir havuzun yanı sıra güvenlik süreçlerine
• (örneğin varlık koruma, istisna yönetimi) dair olgunluk ve durum raporları sunarak
• bilinçli ve hedefe yönelik ticari kararlar alınmasını sağlar.

Platformun bir parçası olan siber güvenlik panosu, hem operasyonel duruma hem de stratejik veri noktalarına dair genel bir bakış sunar. Bu bilgiler, Siemens Yönetim Kurulu ve Siemens Denetim Kurulu'na yapılan düzenli şirket içi yönetim raporlamalarının temelini oluşturur.

Siemens Kurumsal Risk Yönetimi'nin (ERM) bir parçası olan Siber Güvenlik Risk Yönetimi'nin temel amacı, Siemens'in siber güvenlik riskleri konusunda şeffaflık elde etmesini sağlamak ve bu riskleri kabul edilebilir bir seviyede yönetmektir.
Siemens Siber Güvenlik Risk Yönetimi çerçevesi, operasyonel seviyeden kurumsal seviyeye kadar tüm kademeleri kapsayan uluslararası standartları (ISO/IEC 27005 ve ISF IRAM2) temel alır. Ayrıca, mevcut ERM süreçlerinden ve rollerinden etkin bir şekilde yararlanır.
ERM düzeyine kadar raporlanan ve yönetilen siber güvenlik riskleri aşağıdaki süreçlerle tanımlanır ve ilgili araçlar dahilinde yönetilir:

• Genel Siber Güvenlik Risk Yönetimi süreci
• IT ve belge ve bilgi varlıkları için Varlık Sınıflandırma ve Koruma süreci
• Ürünler, çözümler ve hizmetler için Tehdit ve Risk Analizi
• Siemens siber güvenlik çerçevesinden geçici sapmalar için İstisna İşleme süreci
• Siber Güvenlik Tedarikçisi Risk Yönetimi

Siber Güvenlik Tedarikçisi Risk Yönetimi:

Siber güvenlik risklerinin tüm tedarik zinciri boyunca yönetilmesi büyük önem taşımaktadır. Siemens; yatay ve dikey bileşenlerin, ürünlerin ve hizmetlerin tedarik edilmesinde bu konuyu IT, OT ve PSS katmanlarını kapsayacak şekilde bütünsel olarak ele alır. Bu doğrultuda, tedarik zinciri genelinde siber güvenlik seviyesini artırmaya yönelik temel faaliyetler şunları içerir:

• Tedarik zinciri boyunca siber güvenlik riskine maruz kalma konusunda şeffaflık
• 3. taraf tedarikçi değerlendirme yöntemleriyle desteklenen ve tedarikçilere yönelik sözleşmeye bağlı siber güvenlik gereklilikleri için ilgili araçları ve şablonları içeren sistematik risk yönetimi uygulamaları
• “Dijital tedarik zinciri boyunca sorumluluk” ve çeşitli uzman topluluklarının yanı sıra 2. ilkeyi yönlendiren Charter of Trust kapsamında etkin katılım
• Çeşitli hedef gruplara ve kullanım örneklerine yönelik düzenli eğitimler ve farkındalık kampanyaları

Bilgi Güvenliği Olayı Nedir?

Bilgi Güvenliği Olayı şu şekilde tanımlanır: Bilginin sınıflandırmasına uygun olarak gizliliğinin, bütünlüğünün ve/veya erişilebilirliğinin doğrudan veya dolaylı olarak tehlikeye girmesi (ISO 27001 ve NIST 800-61 rev2 standartlarına göre). Olay örnekleri bunlarla sınırlı olmamakla birlikte şunları içerir:

1. Bir sisteme veya verilerine yetkisiz erişim elde etmek için başarılı girişimler
2. Hizmet kesintisi veya reddi
3. Verilerin işlenmesi veya depolanması için bir sistemin yetkisiz kullanımı
4. Sahibinin bilgisi, talimatı veya izni olmadan sistem donanımı, ürün yazılımı veya yazılım özelliklerinde yapılan değişiklikler

Olay Müdahalesi

Siber güvenlik olaylarının derinlemesine analizini gerçekleştiriyoruz. Bunu başarmak için, müdahale faaliyetlerini koordine etmek, olayların uygun şekilde kontrol altına alınmasını sağlamak ve iyileştirme görevlerini başlatmak amacıyla iş birimi sorumluları, şirket içi ve dışı olay raporlayıcıları ve paydaşlarla birlikte çalışıyoruz. Ayrıca, ciddi ve karmaşık olayların organizasyonel ve iletişimsel boyutlarında destek sağlayan Olay Proje Yöneticisi desteği sunuyoruz.

Olayları Yönetme Süreci

• Algılama

  Gizlilikten, bütünlüğün ve/veya bilginin kullanılabilirliğinden ödün vermek.

• Müdahale

  Saldırıyı analiz etmek ve önlem almaya başlamak.

• Düzeltme

  Kontrol Altına Alma: Kötü amaçlı etkinliği sınırlamak, Risk Azalta: Daha fazla hasarı önlemek, Onarma: Düzeltmek ve tekrarlanmasını önlemek

• Kurtarma

  Etkilenen sistemlerin bütünlüğünü eski çalışma durumuna geri döndürmek.

Güvenlik tehditleri sektörü harekete geçmeye zorluyor.

Değer zincirinin tamamını manipüle edebilen siber suçluların gerçekleştirdiği saldırılar, genellikle sadece üretim kesintilerine yol açmakla kalmaz, aynı zamanda marka imajınızda da ciddi hasarlara neden olur. Operasyonel teknolojinizi (OT) mümkün olan en iyi şekilde korumak için, varlıklarınızın maruz kaldığı riskler konusunda şeffaflık elde etmeniz gerekir. Bu sayede siber güvenlik tehditleri, büyük bir hasara yol açmadan önce tespit edilebilir ve ortadan kaldırılabilir. Üretim süreçleriniz için daha kapsamlı siber güvenlik çözümleri sunuyoruz. Bütünsel yaklaşımımız, prosedürlerle ilgili güvenlik açıklarını ve teknik zayıflıkları, kötü niyetli aktörler tarafından istismar edilmeden önce tespit etmek üzere tasarlanmıştır.

Daha fazla bilgi

Yapay zeka, Siemens'in siber güvenlik çalışmalarında kritik bir rol oynar. Ağımız ve sistemlerimizdeki sıra dışı durumları tespit ederek güvenlik tehditlerini dinamik bir şekilde tanımlar ve bu tehditlere karşı anında müdahale eder. Güvenlik ihlallerine yönelik bu hızlı eylem, olası zararların sınırlandırılmasına yardımcı olur.

Ayrıca yapay zeka, rutin görevleri otomatikleştirerek siber güvenlik süreçlerimizin etkinliğini artırır. Bu otomasyon, güvenlik ekiplerimizin daha karmaşık ve acil konulara odaklanmasına olanak tanır. Buna ek olarak, kullanıcı davranışı analizini temel alan özelleştirilmiş güvenlik protokolleri oluşturarak Siemens bünyesindeki her bir departman için hassas ve nokta atışı bir güvenlik stratejisi geliştirilmesini sağlar.

Avantajlarına rağmen, yapay zekanın siber saldırganlar için de bir araç olabileceğini ve kötü niyetli eylemlerinin karmaşıklığını artırabileceğini unutmamak önemlidir. Bu saldırganlar, saldırılarını otomatikleştirmek, geleneksel güvenlik sistemlerini atlatmak ve hatta yakalanmamak için insan davranışlarını taklit etmek amacıyla yapay zeka teknolojisinden yararlanabilirler.

Buna rağmen Siemens, bu karmaşık senaryoya karşı son derece hazırlıklıdır. Yapay zekanın güvenli ve sorumlu bir şekilde uygulanmasını sağlamak amacıyla sıkı güvenlik protokolleri oluşturduk. Geleceğe odaklanan yaklaşımımız, sistemlerimizin bütünlüğünü sağlamamıza ve potansiyel risklere karşı korunmamıza yardımcı olarak, siber güvenlik operasyonlarımızda yapay zekanın avantajlarından tam anlamıyla yararlanmamıza olanak tanır.

Siemens'in yapay zekadan elde ettiği avantajlar risklerinden fazladır. Titiz bir uygulama süreci ve kesintisiz denetim sayesinde bu riskleri en aza indirirken yapay zekanın sunduğu avantajları ise en üst seviyeye çıkarıyoruz. Sonuç olarak yapay zeka, güvenlik tehditlerini önleme becerilerimizi önemli ölçüde artıran değerli bir araç olarak öne çıkıyor.