Endüstriyel Kontrol Sistemleri (OT/ICS) Güvenliği

Endüstriyel kontrol sistemleri↗ (ICS); enerji santrallerinden su arıtma tesislerine, üretim hatlarından ulaşım sistemlerine kadar fiziksel dünyayı yöneten teknolojilerdir. Bu operasyonel teknoloji↗ (OT) ortamında bir siber saldırı↗, bir dosyayı şifrelemekle kalmaz; bir türbini durdurabilir, bir vanayı açabilir, yani fiziksel ve can güvenliği sonuçları doğurabilir.

OT, BT’den neden farklıdır?

• Öncelik sırası terstir: BT’de genellikle gizlilik önce gelir; OT’de ise öncelik süreklilik ve emniyettir (safety). Bir sistemi “güvenlik için” kapatmak, OT’de kabul edilemez olabilir.
• Uzun ömür, eski sistemler: OT cihazları 15-20 yıl çalışır; çoğu, internet düşünülmeden tasarlanmıştır ve kolayca yamalanamaz.
• Özel protokoller: Modbus, DNP3 gibi endüstriyel protokoller çoğu zaman kimlik doğrulama↗ içermez.
• BT/OT yakınsaması: Verimlilik için OT ağları giderek BT’ye ve internete bağlanıyor; bu da saldırı yüzeyini büyütüyor.

Temel savunma ilkeleri

1. Ağ bölümleme↗ (Purdue modeli): BT ve OT ağlarını ayırın; aralarına bir DMZ↗ koyun. Seviyeler arası trafiği sıkı kurallarla sınırlayın.
2. Güvenli uzaktan erişim: OT’ye doğrudan internetten erişimi kaldırın; gerekli erişimi sıkı denetlenen, çok faktörlü ve geçici yollarla verin.
3. Varlık envanteri ve pasif izleme: Önce neyin bağlı olduğunu bilin. OT’de aktif tarama riskli olabileceğinden, çoğunlukla pasif (trafiği dinleyen) izleme tercih edilir.
4. En az yetki ve sertleştirme↗: Kullanılmayan servis ve portları kapatın; varsayılan parolaları değiştirin.
5. Yama↗ yerine telafi edici önlemler: Yamalanamayan sistemler için sanal yama, sıkı segmentasyon ve izleme gibi telafi edici kontroller uygulayın.

Uluslararası IEC 62443 standart ailesi, OT güvenliği için kapsamlı bir çerçeve sunar. Hava boşluğu↗ (air gap) güçlü bir önlemdir ama mutlak değildir: USB bellekler ve bakım dizüstüleri bu boşluğu aşabilir.

Rehber 3 dk okuma

Kritik Altyapı Nedir ve Operatörlerin Siber Güvenlik Yükümlülükleri

Enerjiden sağlığa, finanstan ulaştırmaya: kritik altyapılar bir ülkenin can damarıdır. Türkiye’de belirlenen 15 kritik altyapı sektörü, yasal çerçeve (7545 sayılı Kanun) ve operatörlerin sorumlulukları.

Rehber 1 dk okuma

Sıfır Güven Mimarisi (Zero Trust) ile Kurumsal Güvenlik

“Asla güvenme, her zaman doğrula.” Ağ içinde olmanın güven kazandırmadığı modern bir güvenlik yaklaşımının kurumsal temelleri.

OT güvenliğinde hedef yalnızca veriyi değil, fiziksel süreci ve insan hayatını korumaktır; bu yüzden “önce zarar verme” ilkesi her değişiklikte geçerlidir.