Danimarka ile Almanya arasındaki 18 kilometrelik batık karayolu ve demiryolu bağlantısı Fehmarnbelt Tüneli'nde çalışmalar, inşaat projesini vuran bir siber saldırının ardından yeniden başlıyor; haberi heise online duyurdu. Avrupa'nın en büyük inşaat mühendisliği işlerinden biri olan tünel, Danimarka'nın Lolland adasındaki Rødby ile Almanya'nın Fehmarn adasındaki Puttgarden arasındaki feribot geçişinin yerini alacak: arabayla on dakika, trenle yedi dakika. Açılış şu an 2029 için planlanıyor.
Kamuoyunun henüz yanıtlamadığı soru, o tarihe güvenen herkes için en kritik olanı: saldırının arkasında kim vardı, hangi sistemlere ulaştı ve kaç günlük iş kaybına yol açtı. Bu ölçekte bir proje dağınık ve heterojen bir BT varlığı üzerinde yürür — sınırın iki yakasında paylaşılan BIM modelleri ve ölçüm verileri, tünel elemanlarını konumlandıran dubalardaki makine kontrol sistemleri, onlarca yüklenici için belge portalları, işveren kuruluş olan Danimarka devletine ait Femern A/S'nin personel ve saha giriş sistemleri. Bu zincirin herhangi bir halkasına sızmak, tünele hiç dokunmadan bir şantiyeyi durdurabilir.
Bu, güvenlik araştırmacılarının inşaat sektörü için defalarca tarif ettiği örüntü. Sektör hızla dijitalleşti; tedarik zinciri aynı hızda dijitalleşmedi, aynı standartta da dijitalleşmedi. İyi korunan bir ana yükleniciye bile bir taşeronun paylaşımlı sürücüsü, tek bir yaması yapılmamış uzaktan erişim cihazı ya da önceki bir ihlalden yeniden kullanılan bir kimlik bilgisi üzerinden ulaşılabilir. Böyle bir projede sözleşmeyle yüzlerce kuruluş oturum açma yetkisi taşır ve her biri bir kapıdır.
Neden önemli: sınır aşan altyapı aynı zamanda siyasi altyapıdır. Fehmarnbelt'teki bir gecikme, Hamburg–Kopenhag koridorundaki bir gecikmedir ve iki hükümet de büyüme vaatlerini bu bağlantıya bağladı. Siber olaylar artık hava koşulları, jeoloji ve finansmanla aynı risk defterinde — ve hava koşullarından farklı olarak birileri tarafından kasıtlı olarak yaratılabilirler.
İzlenecek üç veri noktası, bunun bir dipnot mu yoksa vaka incelemesi mi olacağını belirleyecek: kesintinin uzunluğu (yeniden başlama duyurusu bunu dolaylı olarak ölçüyor); ağdan herhangi bir yüklenici veya personel verisinin çıkıp çıkmadığı — yani olayın bir erişilebilirlik kesintisi mi yoksa GDPR kapsamında hukuki sonuçları olan bir ihlal mi olduğu; ve projenin giriş noktasına dair bir açıklama yayımlayıp yayımlamayacağı. Üçüncüsündeki sessizlik, tek bir olayı bir sonrakine dönüştüren şeydir.
