Albert Heijn saldırısı yeni siber güvenlik yasasının ilk büyük sınavı oldu

Albert Heijn'e yapılan siber saldırı, Ağustos ayında yürürlüğe giren yeni Siber Güvenlik Yasası'nın (Cyberbeveiligingswet) ilk büyük sınavlarından biri oldu. Yasa, Hollanda için hayati önem taşıyan binlerce kamu kurumu ve şirketi kapsıyor. Sağlık, içme suyu ve bankacılık sektörlerinin yanı sıra süpermarketlerin de aralarında bulunduğu gıda sektörü de bu kapsamda.

Danışmanlık ve sertifikasyon şirketi Kiwa'dan Bart Scholten, yasanın kapsamını şöyle açıklıyor: "Hollanda'nın kesintisiz çalışması için vazgeçilmez olan sektörler söz konusu. Bu kurumların Ulusal Siber Güvenlik Merkezi'ne (NCSC) kaydolmaları zorunlu."

Büyük olayları 24 saat içinde bildirme zorunluluğu

Hogan Lovells Cadwalader avukatı Joke Bodewits, yeni yasanın farklı sektörler için aynı kuralları getirdiğini belirtiyor. Bodewits'e göre şirketler aslında siber risklerin ve almaları gereken önlemlerin farkındaydı, ancak yasa yeni yükümlülükler getiriyor. Şirketler, büyük etki yaratan siber olayları veya şüphelerini 24 saat içinde bildirmek zorunda. Bu durumlar büyük maddi zarara yol açan veya hizmet sunumunu ciddi şekilde aksatan olayları kapsıyor. Albert Heijn de sistemlerinde bir sorun tespit ettiğinde IT sistemlerinin bir bölümünü devre dışı bırakmıştı.

Olayın sonuçları ağır oldu: Albert Heijn'in internet sitesi ve uygulaması erişilemez hale geldi, online siparişler teslim edilemedi. Ayrıca birçok dağıtım merkezi tamamen durdu ve süpermarketlere tedarik bir süre zorlaştı. Albert Heijn yöneticisi Margaret Versteden-van Duijn bu bilgiyi pazartesi günü paylaştı.

NCSC'ye yapılan bildirim, etkilenen şirketin merkezin bilgi ve uzmanlığından yararlanmasını da sağlıyor. Bodewits, "Orada yardım etmeye ve birlikte düşünmeye hazır çok iyi ve motive insanlar var. Örneğin, saldırıya uğradığınıza dair işaretleri gözden geçirmek için" diyor. İlk bildirimin ardından şirketlerin 72 saat sonra NCSC'ye güncelleme sunması gerekiyor.

NCSC'ye ulaşan bilgiler, yasanın uygulanmasını denetleyen denetim kurumlarına da iletilir. Süpermarketler için bu kurum, Hollanda Gıda ve Tüketici Ürünleri Güvenliği Otoritesi'dir (NVWA). Kiwa'dan Scholten, "Denetçiler şirketlerin doğru önlemleri alıp almadığını kontrol eder. Yasa, kuruluşların siber olayları önlemek için 'uygun' önlemler almasını şart koşuyor" diyor. Uygun önlemler duruma göre değişebiliyor. Scholten, "Her halükârda bir siber saldırıyı önlemeye çalışmalı, aynı zamanda gerçekleşirse diye bir planınız olmalı" diye ekliyor.

Yaklaşık 8 bin şirket kapsamda

Scholten, sorumluluğun şirketin kendisinden daha geniş bir alana yayıldığını vurguluyor: "Yaklaşık 8 bin şirket yasanın kapsamına giriyor, ancak birçoğu girmiyor. Bunlar daha küçük şirketler, büyük şirketlerin tedarikçileri. Yasaya tabiyseniz, iş yaptığınız şirketlerin risklerini de haritalandırmalısınız. Böylece onların siber güvenlikleri konusunda da taleplerde bulunabilirsiniz."

Denetim kurumu siber güvenliğin yetersiz olduğundan şüphelenirse ceza uygulayabiliyor. Hatta yöneticiler kişisel olarak sorumlu tutulabiliyor. Avukat Bodewits, bunun ancak yöneticilerin ağır kusuru veya kasıt durumunda söz konusu olabileceğini söylüyor. "Yöneticilerden siber olayları önlemeye çalışmaları ve konuyu ciddiye almaları bekleniyor."

Scholten'a göre yasa, siber güvenliği en üst düzeyde ele alınması gereken bir konu haline getiriyor: "Şirketler ve kuruluşlar artık 'bu güvenlik veya BT departmanının işi' diyemez. Konu yönetim kurulunda görüşülmeli ve Hollanda'yı dijital olarak daha dirençli kılmayı hedeflemeli."

NOS, bu hafta Albert Heijn'den online sipariş veremeyen okuyucularından deneyimlerini paylaşmalarını istedi. Okuyucular, pazartesi günü NOS Journaal için yaşadıklarını anlatmak üzere e-posta yoluyla başvurabiliyor.