TLP White: Bu hafta, Hacking Healthcare, Birleşik Krallık (BK) hükümetinin, aşılamadan sonra vatandaşlarının davranışlarını değerlendirmek için büyük ölçekli bir COVID-19 takip programı yürüttüğünü ve verileri kullanılan bireyleri bilgilendirmediğini itiraf etmesiyle başlıyor; bu durum gizlilik ve etik endişelerini gündeme getiriyor. Ayrıca, Colonial Pipeline saldırısının ardından boru hattı güvenliğini artırmak amacıyla ABD'de uygulanan yeni bir güvenlik yönergesini de inceliyoruz. Yönerge, önemli ölçüde zorunlu raporlama gerektiriyor ve sağlık hizmetleri gibi diğer kritik altyapı sektörleri için uzun vadeli sonuçlar doğurabilir.
Hatırlatma olarak, bu Hacking Healthcare blogunun herkese açık versiyonudur. Daha derinlemesine analiz ve görüş için H-ISAC üyesi olun ve bu blogun TLP Amber versiyonunu edinin (Üye Portalında mevcuttur.)
Tekrar hoşgeldiniz Sağlık Hizmetlerini Hacklemek.
1. İngiltere Hükümeti'nin COVID-19 Takibi Endişelere Yol Açıyor
Dünya genelinde birçok eyalet hükümeti, nüfuslarının bir kısmındaki aşı tereddüdünün üstesinden gelmekte zaten zorlanırken, kamu güvenini zedeleyen bir faaliyete girişmek pervasızca olarak değerlendirilebilir. Ne yazık ki, Birleşik Krallık hükümeti, ciddi etik ve gizlilik endişelerini gündeme getiren gizli bir COVID-19 takip programıyla tam da bunu yapmış gibi görünüyor. Programdan elde edilen veriler yararlı olabilir ve Genel Veri Koruma Yönetmeliği (GDPR) gibi mevcut yasaların parametreleri dahilinde olduğu iddia edilse de, bu uygulama, 'araştırma' adı altında kabul edilebilir bir faaliyetin ne olduğu ve ne olmadığı ile verilerin 'anonimleştirilmesi' koşuluyla neyin izin verilebilir veya izin verilemez olarak kabul edilmesi gerektiği konusunda zor soruları gündeme getiriyor. [1]
22 Mayıs'ta Telegraph, "[Milyonlarca İngiliz'in, aşı olduktan sonra aşılanan kişilerin daha fazla hareket edip etmediğini görmek için cep telefonları aracılığıyla hareketlerinin 'istemeden izlendiğini'" bildirdi. [2] Bu durum, İngiliz hükümetine göre "tıbbi veya epidemiyolojik uzmanlar tarafından önerilen müdahalelere uyulmasını öngörmeyi ve insanlara yardımcı olmayı amaçlayan davranışsal bilim tavsiyeleri sağlayan" [3] Bilimsel Pandemik İnfluenza Davranış Grubu (SPI-B) tarafından yayınlanan bir rapor aracılığıyla ortaya çıkmış gibi görünüyor. Görünüşe göre araştırmacılar , "İngiliz nüfusunun yüzde 10'unun cep telefonu hareketlilik verilerini" kullandılar ve aşılanmış ve aşılanmamış bireyler arasındaki hareket ve seyahat mesafelerini karşılaştırmak için "karşılık gelen konum gözlemleriyle birlikte CDR'lerini [arama veri kayıtları]" izlediler. [4]
Hükümet sözcüleri programı savunurken, “[Bu araştırmada kullanılan tüm veri kümeleri, kullanılan cep telefonu konum verilerinin GDPR uyumlu olduğunu ve verileri toplayan, temizleyen ve anonimleştiren bir şirket tarafından sağlandığını açıkça ortaya koyan belgede belirtilmiştir.]” [5] Hükümet ayrıca, toplanan verilerin kaba çözünürlüğünün bireyleri tanımlamayı imkansız kıldığına ve programın Oxford Üniversitesi Etik Komitesi tarafından onaylandığına dair kesin inancını da ifade etti. [6] Dahası, hükümet bu tür verilerin “insanlar cep telefonlarını kullandıklarında tesadüfi ve otomatik olarak oluşturulduğunu ve genel şartlar ve koşulların bir parçası olduğunu” ekledi. [7]
Eylem ve Analiz
**Üyelik gereklidir**
2. Sömürge Saldırısı DHS Boru Hattı Düzenlemelerine Yol Açtı
Colonial Pipeline saldırısına yanıt olarak, İç Güvenlik Bakanlığı'nın (DHS) Ulaştırma Güvenlik İdaresi (TSA), boru hattı siber güvenliğini artırmak amacıyla 28 Mayıs'ta bir güvenlik yönergesi yayınladı. DHS, güvenlik yönergesine ilişkin basın açıklamasında, yönergenin "boru hattı sektöründeki kritik şirketlere yönelik tehditleri daha iyi belirlemeyi, bunlara karşı koruma sağlamayı ve bunlara yanıt vermeyi mümkün kılacağını" belirtti. [8] Güvenlik yönergesi yalnızca "TSA tarafından boru hattı sistemlerinin veya tesislerinin kritik olduğu bildirilen tehlikeli sıvı ve doğal gaz boru hattı veya sıvılaştırılmış doğal gaz tesisinin sahipleri ve işletmecileri" için geçerli gibi görünse de, tüm kritik altyapı sektörleri bunu dikkate almalıdır. [9]
Güvenlik direktifi, TSA tarafından belirlenen sahip/operatörlerden üç "kritik" eylem talep ediyor:[10]
- 1. Sahipler ve işletmeciler “siber güvenlik olaylarını İç Güvenlik Bakanlığı Siber Güvenlik ve Altyapı Güvenlik Ajansı'na (CISA) bildirmelidir”;
- 2. Sahipler ve operatörler, “TSA ve CISA'ya siber güvenlik uygulamalarını koordine etmek ve ortaya çıkan herhangi bir olayı ele almak için 24/7 hazır bulunması gereken bir Siber Güvenlik Koordinatörü atayacak;” ve
- 3. Sahipler ve operatörler, “siber riskleri değerlendirmek, boşlukları belirlemek, iyileştirme önlemleri geliştirmek ve sonuçları TSA ve CISA'ya bildirmek için mevcut faaliyetlerini TSA'nın boru hattı siber güvenliğine ilişkin önerileriyle karşılaştırarak gözden geçireceklerdir.”
Bu eylemler 6 sayfalık güvenlik direktifinde daha ayrıntılı olarak açıklanıyor, ancak birkaç önemli gereklilik bulunuyor.
İlk olarak, yönergede “bu Güvenlik Yönergesi uyarınca CISA'ya sağlanan bilgiler TSA ile paylaşılacak (ve tersi) ve uygun görüldüğü takdirde Ulusal Müdahale Merkezi ve diğer kurumlarla da paylaşılabilecektir” ifadesi yer almaktadır. [11] Bu bilgiler, “49. başlık, Federal Düzenlemeler Kanunu'nun 1520. bölümünün korumasına tabi hassas güvenlik bilgileri” olarak ele alınacaktır. [12]
İkinci olarak, raporlama açısından, sahipler ve işletmeciler, “Sahibin/İşletmecinin işletme ve bakım sorumluluğunda olduğu sistemleri içeren” siber güvenlik olaylarını rapor etmelidir; bu şunları içerir: [13]
- 1. Bilgi veya Operasyonel Teknolojiler sistemine yetkisiz erişim;
- 2. Bilgi veya Operasyonel Teknolojiler sisteminde kötü amaçlı yazılımların keşfedilmesi;
- 3. Herhangi bir Bilgi veya Operasyonel Teknoloji sistemine hizmet reddiyle sonuçlanan faaliyet;
- 4. Sahibi/Operatörün ağ altyapısına karşı fiziksel bir saldırı, örneğin iletişim hatlarına kasıtlı olarak zarar verilmesi; ve
- 5. Sahip/Operatörün Bilgi veya Operasyonel Teknoloji sistemlerinde veya Sahip/Operatörün boru hattı sistemleri veya tesislerinin diğer yönlerinde operasyonel kesintiye yol açan veya başka şekilde sıvıların ve gazların güvenli ve verimli bir şekilde taşınmasını olumsuz yönde etkileyen operasyonel kesintiye neden olma potansiyeline sahip olan, ancak bunlarla sınırlı olmamak üzere çok sayıda müşteriye, kritik altyapıya veya temel hükümet işlevlerine etki eden veya ulusal güvenliği, ekonomik güvenliği veya kamu sağlığını ve emniyetini etkileyen herhangi bir diğer siber güvenlik olayı.
Ayrıca, işletme sahipleri/operatörlerin, bir siber güvenlik olayının tespit edilmesinden en geç 12 saat sonra yukarıda listelenen bilgileri bildirmeleri gerekmektedir. Yeni güvenlik yönergelerine uyulmaması durumunda para cezası uygulanacaktır. [14]
Eylem ve Analiz
**Üyelik gereklidir**
Kongre -
Salı, 1 Haziran :
– İlgili duruşma yok
Çarşamba, 2 Haziran :
– İlgili duruşma yok
Perşembe, 3 Haziran:
– İlgili duruşma yok
Uluslararası Duruşmalar/Toplantılar -
AB -
Çarşamba, 3 Haziran :
– Avrupa Parlamentosu – Çevre, Halk Sağlığı ve Gıda Güvenliği Komitesi
Konferanslar, Web Seminerleri ve Zirveler –
Bizimle iletişime geçin: @HealthISAC'ı takip edin ve contact@h-isac.org adresine e-posta gönderin.
[1] Aşılamadan sonra milyonlarca kişi telefonla 'istemeden takip ediliyor' . The Telegraph. 22/5/2021
[2] Aşılamadan sonra milyonlarca kişi telefonla 'istemeden takip ediliyor' . The Telegraph. 22/5/2021
[3] https://www.gov.uk/government/groups/independent-scientific-pandemic-influenza-group-on-behaviours-spi-b
[4] Aşılamadan sonra milyonlarca kişi telefonla 'istemeden takip ediliyor' . The Telegraph. 22/5/2021
[5] Aşılamadan sonra milyonlarca kişi telefonla 'istemeden takip ediliyor' . The Telegraph. 22/5/2021
[6] Aşılamadan sonra milyonlarca kişi telefonla 'istemeden takip ediliyor' . The Telegraph. 22/5/2021
[7] Aşılamadan sonra milyonlarca kişi telefonla 'istemeden takip ediliyor' . The Telegraph. 22/5/2021
[8] https://www.dhs.gov/news/2021/05/27/dhs-announces-new-cybersecurity-requirements-critical-pipeline-owners-and-operators
[9] https://www.documentcloud.org/documents/20791875-security-directive-on-enhancing-pipeline-cybersecurity
[10] https://www.documentcloud.org/documents/20791875-security-directive-on-enhancing-pipeline-cybersecurity
[11] https://www.documentcloud.org/documents/20791875-security-directive-on-enhancing-pipeline-cybersecurity
[12] https://www.documentcloud.org/documents/20791875-security-directive-on-enhancing-pipeline-cybersecurity
[13] https://www.documentcloud.org/documents/20791875-security-directive-on-enhancing-pipeline-cybersecurity
[14] https://www.cyberscoop.com/tsa-cyber-regulations-colonial-pipeline/
- İlgili Kaynaklar ve Haberler
- Sağlık-ISAC, Haziran ayındaki siber tatbikatın ardından restore edilen klinik sistemlerin doğrulanmasını istedi.
- Tehdit grupları sağlık sektörüne yönelik sosyal mühendislik saldırılarını artırıyor
- Tıbbi Cihaz Tedarikinde Yeni Kritik Unsur? Siber Güvenlik
- 2026 Amerika Hobi Egzersizi Eylem Raporu
- Health-ISAC® Avrupa Operasyonları Direktörü, ISAC'lar Avrupa Konseyi Başkanı Seçildi
- CTEM 101: Elektronik Tablolardan Sürekli Risk Azaltmaya Geçiş
- Aylık Haber Bülteni – Ekim 2026
- OpenAI, siber savunmada ön saflarda yer alan uzmanlara kaynak ve eğitim sağlamak için 1 milyar dolar taahhüt etti.
- Sağlık-ISAC Sağlık Hizmetlerini Hackliyor 9-29-2026
- Sağlık Sektöründe Siber Güvenlik, Kolektif Savunma Çağına Giriyor