Denetimlerde siber saldırı konusunun pek de bilinmediğini ve siber güvenliğe dair önlemlerin yeterince alınmadığını fark ettim ve bu konuyla ilgili biraz araştırma yapınca gıda sektörünün de büyük risk altında olduğunu ve sadece büyük ölçekli gıda şirketlerinin değil, küçük ve orta ölçekli gıda şirketlerinin de gittikçe artan siber saldırıların odak noktası haline geldiğini gördüm.

Minnesota Üniversitesi’ndeki Gıda Koruma ve Savunma Enstitüsü (FPDI)’nün 2019 yılında yayınladığı “Gıda İşleme ve Üretime Yönelik Siber Risk” raporuna göre gelişen teknoloji ve gıda işletmelerinde otomasyon sistemlerinin kullanımının artmasıyla beraber siber saldırıların da arttığını ve bunun olası sonuçlarının şunlar olabileceği belirtilmiş:

• Şirket için büyük finansal zarar
• Tüketici için güvenli olmayan ürün
• Makine ve ekipmanlarda tahribat
• Çalışanlara fiziksel zarar
• Fikri mülkiyet hırsızlığı sonucu ürünün taklit edilmesi

Raporda, gıda endüstrisinde ürün işleme, üretim, sevkiyat, tedarik zinciri gibi birçok alanda kullanılan otomasyon sistemlerinin, robotların, yazılım programlarının birçok güvenlik açığının olduğu ve bu nedenle siber saldırıların kolayca hedefi haline gelebileceği; bu sistemleri kullanan operasyondan sorumlu kişilerin gıda güvenliği konusunda eğitim almış olmalarına rağmen siber güvenlik konusunda eğitim almadığı ifade ediliyor.

Siber saldırı nedir?

Siber saldırı, siber suçlular tarafından bir veya daha fazla bilgisayar kullanılarak tek veya birden fazla bilgisayara veya ağa yapılan saldırıdır. Bir siber saldırı, kötü niyetli olarak bilgisayarları devre dışı bırakabilir, verileri çalabilir veya ihlal edilen bir bilgisayarı diğer saldırılar için başlatma noktası olarak kullanabilir. Siber suçlular, diğer yöntemlerin yanı sıra kötü amaçlı yazılım, kimlik avı, fidye yazılımı gibi bir siber saldırı başlatmak için çeşitli yöntemler kullanır.

Siber güvenlik nedir?

Siber güvenlik, ağları, cihazları, programları ve verileri saldırı, hasar veya yetkisiz erişimden korumak için tasarlanmış teknolojiler, süreçler ve uygulamalar bütünü anlamına gelir. Siber güvenlik, bilgi teknolojisi güvenliği olarak da adlandırılabilir.

Bir siber güvenlik riskinin olabilmesi için

• Zaafiyet (güvenlik açığı) ve
• Saldırgan olması gerekir.

Siber saldırı suçunu işleyecek kişi ya da gruplar şirket dışından olabildiği gibi şirket içinden de olabilir. Saldırı; casusluk (fikri mülkiyet hırsızlığı), siber dolandırıcılık, fidye saldırısı (veri hırsızlığı) amaçlı olabilir. Örneğin 2020 yılında, bira üreten Lion şirketine bir siber saldırı (fidye yazılımı saldırısı) gerçekleştirildi. Bunun sonucunda şirketin üretim ve dağıtım faaliyetleri bir süre durdu.

Gıda güvenliği yönetim sistemleri standartları içinde siber güvenlik:

BRCGS-Gıda Standardı 8.versiyon’a siber saldırı ve siber güvenlik konusunun da potansiyel acil durum ve vaka yönetimi içerisinde ele alınması gerekliliği eklendi.

FSSC 22000 Standardı 5.versiyon’da siber güvenlik konusunun iç ve dış husus olarak dikkate alınması gerekliliği ISO 22000:2018 Standardının kuruluşun bağlamı maddesi içine eklendi.

Siber Güvenlik için Neler yapılmalı?

• Siber saldırılara karşı bir güvenlik açığı değerlendirmesi yapmak
• Siber saldırının acil durum yönetimi ve planı içinde ele alınması
• Siber saldırılara karşı alınacak siber güvenlik önlemlerin belirlenmesi
• Siber güvenlik sisteminin test edilmesi (penetrasyon-sızma testi)
• Siber saldırı ve siber güvenlik konusunda çalışanlara eğitim verilmesi
• Otomasyon sistemi-yazılım programını kullanan kilit personel ile IT-bilgi işlem personeli arasında iletişim
• Otomasyon sistemine sahip yeni bir makine-ekipman satın alım sürecine siber güvenlik konusunda uzman kişinin de dahil edilmesi
• Siber saldırı konusunun gıda savunma içinde de ele alınması
• Gıda güvenliği kültürü kavramı içinde siber güvenliğin de ele alınması
• FSSC 22000 ve ISO 22000 Standardı uygulayan firmaların iç ve dış husus olarak siber güvenlik konusunu ele alması ve siber saldırıyı risk olarak değerlendirmesi (madde 4.1 ve 6.1)

Kaynak:

FPDI -Adulterating More Than Food The Cyber Risk to Food Processing and Manufacturing

https://www.food.gov.uk/sites/default/files/media/document/pas962017_0.pdf