CISA olay bildirim formunu MITRE ATT&CK ile yeniledi; zorunlu bildirim kuralı CIRCIA hâlâ onay bekliyor
ABD siber güvenlik ajansı CISA, siber olay bildirim formunu olay türlerini daha ayrıntılı soran ve gözlenen faaliyeti MITRE ATT&CK diliyle tanımlatan yeni bir sürümle güncelledi. Kritik altyapı için 72 saatlik zorunlu bildirim getirecek CIRCIA kuralı ise Beyaz Saray incelemesinde.
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), kurumların siber olayları ajansa iletmek için kullandığı web tabanlı bildirim formunu yeniledi. Infosecurity Magazine'in aktardığına göre 9 Kasım'da duyurulan yeni form, Incident Reporting Portal üzerinden kullanılabiliyor ve olay türü hakkında öncekinden daha ayrıntılı sorular soruyor.
Ajansın gerekçesi veri kalitesi: CISA, tek tek bakıldığında ayrı olaylar gibi görünen bildirimleri daha iyi ilişkilendirip daha geniş kampanyaları görebilmeyi hedeflediğini söylüyor. Değişikliğin yıllar içinde topluluktan gelen geri bildirimlere dayandığı belirtiliyor.
Formda ne değişti?
- Olayın malware, social engineering, hacking teknikleri ya da insider threat içerip içermediği ayrı ayrı soruluyor.
- Gözlenen faaliyetle ilgili sorular artık MITRE ATT&CK çerçevesinin terimleriyle soruluyor. ATT&CK, saldırgan davranışını taktik ve teknik düzeyinde tanımlayan, savunma ekiplerinin büyük kısmının zaten kullandığı ortak bir dil.
CISA'nın siber güvenlikten sorumlu vekil yöneticisi Chris Butera, açıklamasında bir kurumun tespitinin başka bir kurumun korunması anlamına geldiğini vurguladı ve bildirimlerin yeni kampanyaları erken görmek ve olası hedefleri uyarmak için kullanıldığını söyledi.
Kim bildirmek zorunda?
Şu an CISA'ya olay bildirmek yalnızca federal sivil kurumlar için zorunlu. Diğer kurumlar gönüllü bildirim yapabiliyor; bu bildirimler Protected Critical Infrastructure Information (PCII) programı kapsamında ifşaya karşı korunabiliyor.
Zorunluluğu genişletecek düzenleme ise CIRCIA (Cyber Incident Reporting for Critical Infrastructure Act). Habere göre nihai kural Beyaz Saray onayını bekliyor. Kural yürürlüğe girdiğinde kapsamdaki kritik altyapı kurumları, nitelikli bir siber olayı makul şekilde fark ettikten sonra 72 saat içinde, fidye ödemesini ise ödemeden sonra 24 saat içinde bildirmek zorunda olacak. CISA taslak kuralı Nisan 2024'te yayımlamış, ancak Ekim 2025'teki yasal son tarihi kaçırmıştı. CISA'nın duyurusunda yeni formun CIRCIA kapsamında kullanılıp kullanılmayacağına değinilmedi.
Bu gelişme, ajansın başına Palantir CIO'su Michael LoSapio'nun aday gösterildiği güne denk geldi.
Neden önemli?
Bildirimlerin ATT&CK diliyle toplanması, farklı kurumlardan gelen olayların aynı teknik ortak paydada eşleştirilebilmesi demek. Bu, ABD'de faaliyet gösteren ya da ABD kritik altyapısına hizmet veren şirketlerin olay müdahale raporlarını şimdiden bu yapıya göre tutmasını mantıklı kılıyor.
Ne yapılmalı?
- ABD'de kritik altyapı sektöründe faaliyetiniz varsa CIRCIA'nın 72 saat ve 24 saat sürelerini olay müdahale planınıza şimdiden yazın; kural yürürlüğe girdiğinde hazırlık süresi kısa olabilir.
- Olay kayıtlarınızda gözlenen davranışı MITRE ATT&CK teknik kimlikleriyle etiketleyin; bu hem CISA formunu doldurmayı hem de iç raporlamayı hızlandırır.
- Fidye ödemesi kararı sürecinize hukuk ve bildirim adımını ekleyin; ödeme sonrası bildirim süresi kısa tutuluyor.
- Türkiye'deki kurumlar için de aynı ilke geçerli: KVKK'ya veri ihlali bildirimi ve sektör düzenleyicilerinin süreleri olay müdahale planında ayrı satır olarak yer almalı.
