Kritik Altyapı Sektörleri ve Sanayide Siber Güvenlik

Kritik altyapı sektörleri; kesintiye uğraması halinde kamu düzeni, milli güvenlik, ekonomik istikrar ve toplum sağlığı üzerinde telafisi imkansız zararlar doğurabilecek stratejik sanayi, enerji, ulaştırma ve su yönetimi gibi alanları kapsar. Bu stratejik tesislerin siber dayanıklılığını artırmak, operasyonel sürekliliği ve veri güvenliğini korumak için uluslararası standartlara uyum sağlamak yasal bir zorunluluktur.

Endüstriyel tesisler geçmişte yalnızca tel örgüler ve fiziki kontrol noktalarıyla korunabiliyordu. Üretim hatlarının internete açılması, PLC (Programlanabilir Mantıksal Denetleyici) cihazlarının uzaktan yönetimi ve IoT sensörleri bu sınırları ortadan kaldırdı. Bu sistemlerde oluşacak birkaç saatlik duruş, tedarik zincirlerinde zincirleme aksamalara yol açar. Tesislerin siber dayanıklılığını artırmak amacıyla uluslararası standartlara uyum süreçleri temel bir dayanak haline gelmektedir.

İçerik

Kritik Altyapı Sektörleri Nedir ve Kimleri Kapsar?

Enerji üretimi ve iletim hatları, su arıtma tesisleri, telekomünikasyon şebekeleri, finansal sistemler ve acil sağlık hizmetleri bu kapsama giren birincil alanlardır. Son yıllarda küresel tedarik zincirlerinin kırılganlığı, büyük ölçekli imalat sanayisini de bu ekosistemin ayrılmaz bir parçası haline getirmiştir. Fabrikalarda meydana gelecek uzun süreli bir duruş, yalnızca ilgili şirketi değil, o şirketten parça tedarik eden düzinelerce sektörü doğrudan etkiler.

Kamu otoriteleri, bu kritik süreçlerin kesintiye uğramasını önlemek adına ulusal düzeyde sıkı siber güvenlik yönergeleri yayımlamaktadır. Türkiye'de Cumhurbaşkanlığı Dijital Dönüşüm Ofisi tarafından hazırlanan Bilgi ve İletişim Güvenliği Rehberi, kamu kurumları ve kritik altyapı hizmeti veren işletmeler için uyulması zorunlu kuralları içerir. Bu kurallara uyum sağlamak ve kurumsal siber direnci artırmak için bgys danismanlik hizmetlerinden faydalanarak yapılandırılmış bir yol haritası çizilmelidir.

Endüstriyel Tesislerde IT ve OT Dünyasının Çatışması

Fabrikalarda güvenliği sağlamanın önündeki en büyük teknik engel, Bilgi Teknolojileri (IT) ile Operasyonel Teknolojiler (OT) arasındaki öncelik farklarıdır. IT dünyası bilginin gizliliğini ve bütünlüğünü korumayı hedeflerken, OT sahası sistemlerin kesintisiz çalışmasına odaklanır. Bu yapısal zıtlık doğru yönetilmediğinde üretim bandı aksayabilir veya büyük güvenlik açıkları oluşabilir.

Üretim sahasındaki makineler genellikle uzun yıllar hizmet verecek şekilde planlanır ve kurulur. Fabrika ortamlarında güncelliğini yitirmiş işletim sistemlerine sahip endüstriyel bilgisayarlarla sıkça karşılaşılır. Üretici desteği bitmiş bu cihazlara yama uygulamak her zaman teknik olarak mümkün olmayabilir. Vardiyalı personelin ortak kullandığı terminaller ve dış tedarikçilerin denetimsiz uzaktan bağlantıları risk profilini yükseltir. Sanayi bölgelerindeki bu riskleri yönetmek için Gebze ve Kocaeli OSB firmaları için BGYS kurulumu gibi saha şartlarına uygun yapılandırmalar tercih edilmelidir.

Kritik Altyapı Sektörleri İçin 7 Adımda Uyum Süreci

Ulusal mevzuat düzenlemeleri ve uluslararası standartlar ışığında fabrikaların hayata geçirmesi gereken temel adımlar şunlardır:

1. Kapsamlı Varlık Envanteri Çıkarılması: Sorumlu: Bilgi İşlem ve Bakım Onarım Ekipleri Çıktı: Donanım, yazılım, PLC ve SCADA bileşenlerini listeleyen varlık tablosu. Saha genelindeki tüm cihazların IP adresleri, donanım kimlikleri ve yazılım sürümleri kayıt altına alınmalıdır. Envanterde yer almayan bir varlığın güvenliği sağlanamaz.

2. Ağ Segmentasyonunun Kurulması: Sorumlu: Ağ ve Siber Güvenlik Uzmanları Çıktı: VLAN topolojisi ve güvenlik duvarı kural kayıtları. Ofis ağı ile üretim hattı ağı birbirinden kesin sınırlarla ayrılmalıdır. Ofis bilgisayarlarından üretimdeki kontrol cihazlarına doğrudan geçiş engellenmelidir. Yapılandırma sürecinde uzman siber güvenlik hizmetleri desteği almak mimari hataları önler.

3. Ayrıcalıklı Erişimlerin Sınırlandırılması: Sorumlu: Sistem Yöneticisi Çıktı: Yetki matrisi ve çok faktörlü doğrulama (MFA) logları. Yönetici hesapları sınırlandırılmalı, vardiyalı çalışanların ortak hesap kullanma alışkanlığına son verilmelidir. Her operatör kendi hesabı üzerinden işlem yapmalıdır.

4. Dış Tedarikçi Bağlantılarının Denetlenmesi: Sorumlu: Bilgi Güvenliği Yöneticisi ve Satın Alma Çıktı: Süreli VPN erişim onay formları ve gizlilik sözleşmeleri. Makine bakım ve yazılım firmalarının fabrikaya kurduğu sürekli açık uzaktan erişim hatları kapatılmalıdır. Bağlantılar yalnızca onaylı zaman pencerelerinde ve çok faktörlü doğrulama eşliğinde açılmalıdır.

5. Sızma Testleri ve Zafiyet Analizleri: Sorumlu: Bağımsız Sızma Testi Ekibi Çıktı: Zafiyet raporu ve doğrulama test tutanakları. Sistemlerdeki açıkların saldırganlardan önce belirlenmesi için düzenli analizler şarttır. Üretim bandını aksatmayacak pasif yöntemlerin seçildiği bağımsız bir sızma testi (pentest) hizmeti alınmalıdır.

6. Personel Bilgi Güvenliği Farkındalığı: Sorumlu: İnsan Kaynakları ve BGYS Yöneticisi Çıktı: Eğitim katılım formları ve oltalama testi sonuçları. Tüm çalışanlar oltalama ve sosyal mühendislik taktiklerine karşı eğitilmelidir. İnsan faktörünü güçlendirmek adına kurumsal bilgi güvenliği farkındalık eğitimi organize edilmelidir.

7. İş Sürekliliği ve İzole Yedekleme: Sorumlu: BGYS Komitesi Çıktı: İş Etki Analizi raporu ve yedekten geri dönme tutanağı. Fidye yazılımı saldırılarına karşı çevrimdışı ve değiştirilemez (immutable) yedekleme altyapısı kurulmalıdır. Bu adımların sistematiği için ISO22301 İş Sürekliliği Yönetim Sistemi metodolojisinden faydalanılmalıdır.

Denetim Kanıtları ve Teknik Sıkılaştırma

Kritik altyapı sektörleri denetimlerinde kağıt üzerindeki beyanlar yerine teknik doğrulama kayıtları incelenir. Denetçiler, ofis ağı ile SCADA ağının ayrıldığını gösteren güvenlik duvarı kural tablolarını ve sistem sıkılaştırma çıktılarını talep eder.

Sistem yöneticileri, kritik bir Windows sunucu üzerinde çalışan gereksiz servisleri ve dış dinlemeye açık portları PowerShell üzerinden listeleyerek denetim kanıtı oluşturabilir:

## Dinleme durumundaki TCP portlarını ve ilişkili süreçleri listeleme
Get-NetTCPConnection -State Listen | Select-Object LocalAddress, LocalPort, OwningProcess | Format-Table -AutoSize

Linux tabanlı ağ geçitlerinde ise uzaktan doğrudan root girişinin kapatıldığı, /etc/ssh/sshd_config dosyasındaki PermitRootLogin no satırı ve servis durumu gösterilerek kanıtlanır:

## SSH root giriş yetkisini kontrol etme
grep -i "PermitRootLogin" /etc/ssh/sshd_config

Kritik Altyapı Yönetiminde Sık Yapılan Hatalar

Kritik altyapı sektörleri standartlarına uyum sağlarken tesis yönetimlerinin düştüğü tipik yanılgılar şunlardır:

• Üretim Ağını İzole Etmemek: SCADA cihazlarını ofis bilgisayarlarıyla aynı alt ağda barındırmak, bir ofis kullanıcısının zararlı bağlantıya tıklaması durumunda saldırının doğrudan üretim hattına sıçramasına yol açar. Bu hatayı önlemek için endüstriyel güvenlik duvarlarıyla tam izolasyon sağlanmalıdır.
• Ortak Kullanıcı Hesaplarına Güvenmek: Vardiyalı çalışma alanlarında tüm personelin tek bir oturumla çalışması, log kayıtlarında hangi işlemi kimin yaptığını tespit etmeyi imkansız hale getirir. Her personele benzersiz hesap atanmalıdır.
• Yedekleri Sadece Ağ Bağlantılı Sunucularda Tutmak: Yedekleme sistemlerinin üretim ağıyla sürekli iletişimde kalması, fidye yazılımlarının yedekleri de şifrelemesiyle sonuçlanır. Çözüm, fiziksel olarak yalıtılmış çevrimdışı yedekleme düzenine geçmektir.
• Dış Kaynak Bakım Sözleşmelerini Boş Bırakmak: Makine bakım firmalarıyla yapılan anlaşmalara bilgi güvenliği taahhütleri ve olay bildirim süreleri eklenmediğinde, tedarikçi kaynaklı ihlallerde yasal sorumluluk fabrikanın üzerinde kalır.
• Masa Başı Dokümanlarla Yetinmek: Sahadaki gerçek işleyişle uyuşmayan hazır şablon prosedürler oluşturmak, denetim sırasında log ve sistem çıktısı sunulamadığı için doğrudan uygunsuzluk oluşturur.
• Güvenlik Testlerini Sadece Ofisle Sınırlamak: Endüstriyel ağları test etmeden güvenli olunduğunu varsaymak yanıltıcıdır. Bu nedenle Gebze OSB sızma testi gibi üretim ekosisteminin hassasiyetlerini bilen ekiplerle çalışılmalıdır.

ISO 27001 Standardı ve Yasal Düzenlemeler

ISO/IEC 27001:2022 Bilgi Güvenliği Yönetim Sistemi, kritik altyapı sektörleri için hazırlanan teknik gereksinimleri karşılamak adına uluslararası kabul görmüş en tutarlı metodolojiyi sunar. Standardın temel yönetim maddeleri ve Ek-A kontrolleri, yasal denetimlerde aranan şartları sistematik biçimde tamamlar.

Süreçte öne çıkan bazı Ek-A kontrolleri şunlardır:

• A.5.1 Bilgi güvenliği politikaları: Üretim ve ofis sistemlerinin nasıl korunacağını kurumsal kurallara bağlar.
• A.8.22 Ağların ayrılması: IT ve OT trafiğinin güvenli donanımlarla izole edilmesini zorunlu kılar.
• A.8.13 Bilgi yedekleme: İş açısından kritik verilerin düzenli ve test edilmiş biçimde yedeklenmesini güvenceye alır.
• A.5.30 İş sürekliliği için BİT hazırlığı: Beklenmedik bir kesinti esnasında kritik bilgi sistemlerinin ayakta kalmasını planlar.

Kuruluşunuzun eksiklerini belirlemek ve mevzuata tam uyumlu bir altyapı inşa etmek için ISO 27001 danışmanlık hizmeti üzerinden yapılandırılmış bir destek süreci yürütülebilir.

Kritik Altyapı Kontrol Listesi

Fabrikanızın temel siber güvenlik seviyesini gözden geçirmek için aşağıdaki kontrol adımlarını inceleyebilirsiniz:

• Üretim hattı (OT) ile ofis ağı (IT) güvenlik duvarı ve VLAN kurallarıyla izole edildi mi?
• Vardiyalı çalışan tüm operatörler için bağımsız kullanıcı hesapları tanımlandı mı?
• Kritik üretim veritabanlarının ağdan yalıtılmış çevrimdışı yedekleri alınıyor mu?
• Makine ve otomasyon tedarikçilerinin uzaktan erişimleri iki aşamalı doğrulamayla sınırlandırıldı mı?
• Tesis genelinde yılda en az bir defa bağımsız sızma testi icra edildi mi?
• Fabrika personeline yönelik oltalama simülasyonları ve farkındalık çalışmaları yürütülüyor mu?
• Siber olay anında kimin ne yapacağını tanımlayan acil müdahale akışları dokümante edildi mi?

Sıkça Sorulan Sorular

Kritik altyapı sektörleri kapsamına giren imalat sanayi için süreç ne zaman başlar?

Resmi çerçeve çizildikten sonra sektörel eşik değerleri ve teknik uygulama kılavuzları yayımlanır. Kılavuzların yürürlüğe girmesini beklemeden ağ izolasyonu ve erişim yönetimi gibi teknik tedbirlere başlamak, olası denetim risklerini ve ceza risklerini ortadan kaldıracaktır.

İşletmemizin kritik altyapı sektörleri kapsamına girdiğini nasıl öğrenebiliriz?

Yürürlüğe giren ikincil mevzuatta çalışan sayısı, üretim hacmi, tesis büyüklüğü veya enerji tüketimi gibi somut kriterler duyurulur. İlgili bakanlıklar veya düzenleyici otoriteler bu şartları taşıyan kuruluşlara resmi bildirim göndererek uyum sürecini başlatır.

ISO 27001 sertifikası kritik altyapı yükümlülüklerini karşılar mı?

ISO/IEC 27001:2022 sertifikasyonu, kritik altyapı düzenlemelerinde aranan teknik ve idari kontrollerin büyük kısmını yapılandırılmış bir modelle kapsar. Bu standarda sahip kuruluşlar, yasal denetimlerde istenen kanıtları önceden hazırlamış olur.

Üretim sahasındaki eski işletim sistemlerini yenilemek şart mı?

Makineye gömülü eski yazılımları güncellemek teknik imkansızlıklar nedeniyle mümkün olmayabilir. Bu durumlarda cihazları güncellemek yerine internet çıkışını engellemek, USB girişlerini fiziki olarak kapatmak ve tamamen yalıtılmış bir ağa almak telafi edici kontrol olarak kabul edilir.

Kritik altyapı statüsündeki fabrikalar için pentest yaptırmak zorunlu mu?

Ulusal ve sektörel düzenlemeler, kritik altyapı kuruluşlarının siber açıklarını tespit etmek amacıyla yılda en az bir defa bağımsız ve yetkin uzmanlara sızma testi yaptırmasını zorunlu tutmaktadır.

OSB yönetiminin sağladığı güvenlik duvarı fabrikalar için yeterli midir?

OSB yönetimlerinin sunduğu merkezi çözümler sadece çevre hattını korur. Tesisin iç ağ güvenliği, kullanıcı izinleri, SCADA iletişimi ve veri yedekleme sorumlulukları doğrudan firmanın kendi yönetimindedir.

Kaynaklar

• https://cbddo.gov.tr (yeni sekmede açılır)
• https://www.iso.org (yeni sekmede açılır)
• https://www.mevzuat.gov.tr (yeni sekmede açılır)

Kritik Altyapı Uyumu İçin Yol Haritası

Kritik altyapı sektörleri standartlarına uyum sağlamak, imalatçıların hem ticari itibarını hem de operasyonel sürekliliğini teminat altına alır. Ekibimiz, üretim bantlarınızı durdurmadan IT ve OT entegrasyonunu sağlamak, ISO 27001 sisteminizi kurmak ve denetimlere eksiksiz hazırlanmanız için yanınızdadır. Ücretsiz ön görüşme ve teklif için formu doldurun.

Hazırlayan: ISO 27001 Danışmanlık uzman ekibi (BGYS danışmanları ve sızma testi uzmanları).