Bu makale genel mesleki ve yönetsel değerlendirme niteliğindedir. Belirli bir kurumun gizli verilerini veya gerçekleştirilmiş bir proje sonucu iddiasını içermez.
BT güvenliği ile OT güvenliği neden aynı değildir?
Kurumsal BT ortamında gizlilik ve veri bütünlüğü yüksek öneme sahipken endüstriyel teknoloji ortamında güvenli çalışma, üretim sürekliliği ve fiziksel süreçlerin korunması çoğu durumda ilk sırada yer alır. Bir ofis uç noktasına uygulanabilecek standart güvenlik güncellemesi, kontrol sisteminde aynı biçimde ve aynı hızla uygulanamayabilir.
OT ortamında PLC, SCADA, historian, mühendislik istasyonu ve tesis ekipmanları uzun yaşam döngülerine sahiptir. Bu bileşenlere yalnızca bilgi güvenliği penceresinden bakmak, sahadaki bakım duruşlarını, tedarikçi bağımlılığını veya süreç güvenliğini gözden kaçırabilir.
Kritik varlık envanteri ve etki analizi
Bilinmeyen bir varlık yönetilemez. İlk adım OT varlık envanterini oluşturmaktır: cihaz tipi, yazılım sürümü, sorumlu birim, ağ bağlantısı, uzaktan erişim yöntemi, yedek durumu ve destek bağımlılığı kayda alınır. Pasif keşif teknikleri, aktif taramanın riskli olabileceği ortamlarda ayrıca değerlendirilir.
Varlıkların önemi yalnızca teknik kritiklikle belirlenmez. Bir kontrol bileşeni arızalandığında hangi süreç etkileniyor, güvenli kapanma mekanizması var mı, geri dönüş süresi ne kadar? Risk değerlendirmesinin bu operasyonel etkiyi içermesi gerekir.
Ağ segmentasyonu ve güven sınırları
Kurumsal IT ağı ile üretim OT ağı arasında kontrolsüz bağlantı oluşturulmamalıdır. Ağ bölgeleri, güven sınırları ve izin verilen trafik akışları açık biçimde tanımlanır. Bu yaklaşım; hücre/bölge ayrımı, endüstriyel DMZ, erişim geçidi ve merkezi izleme gibi bileşenlerle desteklenebilir.
İdeal tasarım yalnızca güvenlik duvarı yerleştirmek değildir. Hangi protokolün hangi yönde ve hangi iş ihtiyacı için gerekli olduğu bilinmelidir. “Her şeyi kapat” yaklaşımı üretimi etkileyebilir; “her şey açık” yaklaşımı ise siber dayanıklılığı zayıflatır.
Üçüncü taraf erişimi ve değişiklik yönetimi
Endüstriyel tesislerde bakım ve üretici destek süreçleri zaman zaman uzaktan erişim gerektirir. Kalıcı ve denetimsiz erişim yerine talebe bağlı yetkilendirme, çok faktörlü kimlik doğrulama, oturum kaydı ve zaman sınırı gibi kontroller gündeme alınmalıdır. Bu kontrollerin operasyonel uygulanabilirliği saha ekipleriyle birlikte test edilmelidir.
Yama yönetimi ve konfigürasyon değişikliklerinde üretici uyumluluğu, test prosedürü, bakım penceresi ve geri dönüş planı belirleyicidir. Kritik sistemlerde iyi niyetli fakat test edilmemiş bir değişiklik de erişim zafiyeti kadar ciddi bir operasyonel sorun yaratabilir.
Olay müdahalesi ve toparlanma
OT siber güvenliği olay yaşanmaması varsayımıyla tasarlanamaz. Rol ve sorumluluklar, ilk bildirim kanalı, üretim ekibiyle koordinasyon, izolasyon seçenekleri ve delil koruma yaklaşımı önceden tanımlanmalıdır. Geleneksel BT olay müdahalesi prosedürleri saha güvenliğiyle uyumlu hale getirilmelidir.
Yedekleme politikasında yalnızca dosya ve sistem imajları değil, endüstriyel konfigürasyonlar ve geri yükleme testleri de ele alınmalıdır. Kurtarma hedeflerinin gerçek üretim gereksinimleriyle uyumlu olması gerekir. Tatbikatlar; BT, OT, güvenlik, bakım ve işletme birimlerinin ortak katılımıyla yürütülmelidir.
Stratejik çerçeve
ISO/IEC 27001 yönetim sistemi bakışı ve enerji sektörü için ISO/IEC 27019 gibi alan odaklı kontroller ile IEC 62443 yaklaşımı birbirini tamamlayabilir; hangi standardın uygulanacağı kapsam ve yükümlülüklere göre belirlenmelidir.
BT/OT güvenliğinin başarısı, tekil güvenlik ürünlerinin sayısından çok; saha gerçeklerine uygun yönetişim, kritik varlık bilgisi, güvenli değişiklik ve geri dönüş kapasitesiyle ölçülür.
Risk temelli önceliklendirme: ne önce gelir?
Endüstriyel ağların tamamına aynı anda güvenlik ürünü yerleştirmek iyi bir dönüşüm planı değildir. Saha tarafında ilk öncelik kritik kontrol bileşenlerinin ve uzaktan erişim kanallarının bilinmesi, güven sınırlarının çizilmesi ve olay anında hangi hizmetlerin korunacağının tanımlanmasıdır. Bu unsurlar netleşmeden yapılan kapsamlı araç alımları, hem operasyonel yük doğurabilir hem gerçek riski azaltmayabilir.
Yönetici seviyesinde hazırlanan BT/OT güvenlik raporu açık durum, etkilenen üretim süreci, riskin iş etkisi, mevcut telafi edici kontroller, sorumlu kişi ve hedef kapanış tarihini içermelidir. Tesis müdürü, bakım birimi, bilgi güvenliği ve BT operasyonları farklı önceliklere sahip olabilir; karar mekanizması bu farklılıkları aynı tabloda yönetmelidir. Başarı, sıfır uyarı sayısında değil, kritik süreçlerin güvenilir ve geri döndürülebilir biçimde yönetilmesindedir.
- Kritik varlık ve iş etkisi eşlemesi
- Uzaktan erişim için kimlik, süre ve oturum kontrolü
- Üretimle uyumlu değişiklik, test ve geri alma planı
- Ağ sınırlarının ve istisnaların belgelenmesi
- BT-OT-işletme ortak olay müdahale tatbikatı
