İç Güvenlik Bakanlığı Genel Müfettişlik Ofisi’nin 29 Eylül tarihli raporuna göre, Ulaştırma Güvenliği İdaresi’nin (TSA) hassas bilgi teknolojisi sistemlerine kimlerin erişebileceği konusunda daha güçlü kontrollere ihtiyacı var. Denetim, hesap yönetişimini, ayrıcalıklı erişimi ve personel kurumdan ayrıldığında erişimin kaldırılmasını inceledi.
Genel müfettiş, ayrıcalıklı hesaplar için onay belgelendirmesinde, yıllık erişim incelemelerinde ve kurumdan ayrılan personel için erişimin zamanında kaldırılmasında zayıflıklar bildirdi. Bunlar idari kontrollerdir, ancak teknik korumaların kurumun amaçladığı erişim politikasını güvenilir bir şekilde uygulayıp uygulayamayacağını doğrudan etkiliyorlar.
Beş Öneri Sunuldu
Rapor, hesap yetkilendirmesini, tekrarlanan incelemeleri, kanıt saklamayı ve işten çıkış süreçlerini güçlendirmeyi amaçlayan beş öneride bulundu. Denetime göre TSA, beş önerinin tümüne katıldı. Kurum ayrıca, hesap yönetimi ve inceleme iş akışlarını iyileştirmek için Temmuz 2026’da başlatılan ServiceNow tabanlı bir süreç dahil düzeltici çalışmaları da açıkladı.
Raporun bazı bölümleri gizlendiğinden, kamuya açık belge ayrıntılı sistem yapılandırmalarını ifşa etmiyor. Bununla birlikte, açık bir yönetişim dersi sunuyor: erişim kontrolünün etkinliği sadece kimlik doğrulama teknolojisine değil, güncel kimlik kayıtlarına, belgelenmiş onaylara ve hızlı iptale de bağlıdır.
Bulgular Neden TSA’nın Ötesinde Önemli
Ulaştırma kuruluşları, operasyonel, idari ve fiziksel güvenlik sistemlerini giderek daha fazla birbirine bağlıyor. Bu nedenle, eski veya aşırı ayrıcalıklı bir hesap, gerçek dünya operasyonlarını destekleyen hassas verilere veya sistemlere bir geçiş yolu haline gelebilir. Olgun programlar, rol değişikliklerinin ve ayrılmaların öngörülebilir erişim güncellemelerini tetiklemesi için insan kaynakları olaylarını, kimlik yönetişimini ve teknik uygulamayı birbirine bağlar.
Güvenlik ekipleri, ayrıcalıklı hesapları envanterleyerek, hesap verilebilir sahipler atayarak, onay kanıtlarını saklayarak ve işten çıkışı ölçülebilir hizmet hedefleriyle test ederek aynı ilkeleri uygulayabilir. Bağımsız inceleme, belgelenmiş prosedürün canlı sistemlerde beklenen sonucu üretip üretmediğini doğrulamalıdır. İstisnaların isimlendirilmiş sahipleri, son kullanma tarihleri ve belgelenmiş telafi edici kontrolleri olmalıdır.
Bulgular ayrıca, SectechMedia’nın siber-fiziksel güvenlik yakınsaması kılavuzunda ele alınan siber ve fiziksel risk arasındaki bağlantıyı da güçlendiriyor.
Bir yanıt yazın