Bu rehberde, akıllı fabrikalar ve üretim tesislerinde kullanılan IIoT mimarisinin siber güvenlik riskleri ele alınmaktadır. IT/OT farklarından başlanarak Purdue modeli, ağ segmentasyonu, aktif/pasif izleme ve zafiyet analizi adımları ayrıntılı şekilde anlatılmaktadır.
Lojistik altyapılarında artan dijitalleşme ve IoT kullanımı, siber saldırganların kurumsal ağlara sızma riskini artırmaktadır. Yanal hareketlerin engellenmesi için IT ve OT ağlarının IDMZ ile ayrılması ve iş yükü seviyesinde mikro segmentasyon uygulanması kritik önem taşır. Bu stratejiler olası ihlallerin yayılmasını durdurarak operasyonel sürekliliği güvenceye alır.
Lojistik altyapılarında IT ve OT birleşimi siber saldırı alanını genişletmektedir. Akıllı depolardaki ağ trafiği, robotik birimler ve yazılım katmanları; şifreleme, yetki sınırlandırması ve pasif anomali izleme sistemleriyle korunarak iş duruşları ile fiziksel kazaların önüne geçilir.
PACS altyapılarında görülen güvenlik açıklarının ve siber tehditlerin incelendiği, sağlık verilerinin korunması için alınması gereken önlemlerin detaylandırıldığı rehber yazı.
LIS güvenliği, hassas hasta verilerinin korunması ve laboratuvar süreçlerinin kesintisiz yürütülmesi için şifreleme, çok faktörlü kimlik doğrulama ve düzenli denetimler gibi katmanlı önlemler gerektirir.
7545 Sayılı Kanun Kapsamında Yükümlülükler Nelerdir?
7545 Sayılı Siber Güvenlik Kanunu kapsamında yükümlülükler; kamu kurumları, kritik altyapı operatörleri ve belirli ölçekteki özel sektör kuruluşları için siber savunmayı statik bir denetim hazırlığı olmaktan çıkarıp Sürekli Risk Yönetimi haline getiren yasal ve operasyonel bir çerçevedir. Kanun uyumu; FIDO2/MFA tabanlı koşullu erişim, Just-in-Time PAM mekanizmaları, verilerin HSM/KMS ile çok katmanlı şifrelenmesi ve logların WORM depolamada en az 2 yıl değiştirilemez saklanması gibi sert teknik kontrolleri mecbur kılar. Siber olayların tespiti ve Siber Güvenlik Kurumu’na (USOM) kritik süreler içinde bildirilmesi süreçlerini SOAR playbook’ları ile otomatize eden, üçüncü taraf tedarikçi risklerini sözleşmesel ve teknik düzeyde izleyen ve uyumluluğu Compliance-as-Code ile sürekli doğrulamaya tabi tutan bir yönetim modeli, kurumsal yasal risk maruziyetini minimuma indirirken sürdürülebilir siber direnci garanti altına alır.
Türkiye’de Siber Güvenlik Regülasyonları
Türkiye’de siber güvenlik yönetimi; 7545 Sayılı Siber Güvenlik Kanunu ile merkezi bir koordinasyona bağlanırken, KVKK ile kişisel verilerin korunması, Ulusal Siber Güvenlik Stratejisi (2024-2028) ile de milli savunma hedefleri yasal bir zemine oturtulmuştur. Kurumlar; BDDK, EPDK ve BTK gibi sektörel otoritelerin belirlediği sıkı denetim mekanizmalarına uyum sağlamak, NIS2 gibi uluslararası direktiflerin tedarik zinciri etkilerini yönetmek ve tüm bu süreçleri sürekli izleme ile otomasyona dayalı bir “Uyum Döngüsü” (Compliance Cycle) içerisinde yürütmek zorundadır. Bu regülatif çerçeveye uyum, yalnızca yasal cezalardan korunmak değil, aynı zamanda kurumsal siber direnci ve küresel rekabet avantajını korumak adına stratejik bir gerekliliktir.
Enerji Sektöründe Siber Saldırı Simülasyonu
Enerji sektörü, dijitalleşen şebekeler ve birbirine bağlı kontrol sistemleri nedeniyle siber korsanların en stratejik hedeflerinden biridir. Enerji Sektöründe Siber Saldırı Simülasyonu, sistemlerin sadece teknik açıklarını değil; sahte telemetri verisi gönderilmesi veya yük atma mekanizmalarının manipüle edilmesi gibi Operasyonel Teknoloji (OT) odaklı riskleri test eden kontrollü bir süreçtir. Bu simülasyonlarda temel kural, enerji arz güvenliğini tehlikeye atmamak adına “Kesintisizlik” (No-disruption) ilkesine sadık kalmaktır.
Simülasyonlar; EMS/SCADA sistemleri, Yenilenebilir Enerji invertörleri ve Akıllı Sayaç altyapıları gibi çok katmanlı alanları kapsar. Özellikle fidye yazılımlarının (Ransomware) IT ağından sızıp üretim hattına (OT) sıçrama senaryoları, kurumun izolasyon ve mikro-segmentasyon başarısını ölçer. EPDK ve IEC 62443 gibi standartlar nezdinde, bu testler “makul teknik tedbirlerin” kanıtı kabul edilirken, aynı zamanda siber sigorta süreçlerinde kurumun elini güçlendirir.
PLC Cihazlarında Güvenlik Testleri: Saldırı Vektörlerini Anlamak ve Savunma Stratejileri
Endüstriyel otomasyonun temel taşı olan PLC (Programlanabilir Mantık Denetleyici) cihazları, fiziksel süreçleri dijital komutlarla yönetir. Bu cihazların güvenliği; kimlik doğrulama barındırmayan eski protokoller (Modbus, DNP3), varsayılan parolalar ve güncellenemeyen firmware yapıları nedeniyle büyük risk altındadır. PLC’ye yönelik bir saldırı, sadece veri hırsızlığı değil; sahte sensör verisi göndererek fiziksel bir felaketi tetikleme (Man-in-the-Middle) veya mantık programını (Logic) değiştirerek üretimi sabote etme amacı taşır.
PLC güvenlik testleri, üretimi aksatmamak adına Pasif Trafik Analizi ile başlar. Bu aşamada ağdaki komut kalıpları ve cihaz envanteri, sisteme paket göndermeden tespit edilir. Aktif testler ise ancak izole edilmiş test ortamlarında veya onaylı bakım pencerelerinde gerçekleştirilir. Savunma tarafında ise Purdue Modeli’ne uygun ağ segmentasyonu, mühendislik portlarının fiziksel ve mantıksal olarak kısıtlanması ve firmware bütünlük kontrolleri hayati önem taşır.
IEC 62443 gibi uluslararası standartlar nezdinde PLC’lerin düzenli olarak denetlenmesi, kritik altyapıların siber direncini artırır. Modern savunma stratejileri, PLC’leri sadece birer “kara kutu” olarak görmemeli; onları merkezi loglama (SIEM) ve anomali tespit sistemleriyle (IDS) sürekli izlenen, şifreli haberleşme protokollerini destekleyen ve fiziksel erişimi sıkı denetlenen güvenli düğümler haline getirmelidir.
OT (Operational Technology) Pentest Rehberi
Dijitalleşen endüstriyel tesislerde güvenliği sağlamak, geleneksel BT yöntemlerinden farklı olarak fiziksel süreçlerin korunmasını gerektirir. OT (Operasyonel Teknoloji) Pentest, endüstriyel kontrol sistemleri (ICS) ve kritik altyapıların siber direncini ölçmek için yürütülen, uzmanlık odaklı bir sızma testi sürecidir. Bu süreçte en temel kural “No-Disruption” prensibidir; yani yapılan hiçbir teknik test üretimi durdurmamalı veya fiziksel bir hasara (vanaların yanlış açılması, aşırı ısınma vb.) yol açmamalıdır.
OT pentest süreci, ağ segmentasyonunun doğrulanması (IT/OT ayrımı), endüstriyel protokollerin (Modbus, DNP3, IEC 61850) güvenlik analizi ve fiziksel erişim kontrollerinin denetlenmesini kapsar. Testler genellikle Pasif İzleme (Packet Capture) ile başlar; bu sayede sisteme paket göndermeden cihaz envanteri ve trafik desenleri çıkarılır. Aktif testler ise ancak çok sıkı kontrol edilen bakım pencerelerinde ve operasyon ekiplerinin onayıyla gerçekleştirilir.
IEC 62443, NIS2 ve EPDK regülasyonları nezdinde kritik altyapıların periyodik olarak test edilmesi yasal bir zorunluluktur. OT pentest raporları, sadece teknik açıkları değil, bu açıkların “proses üzerindeki fiziksel etkisini” de analiz eder. Endüstriyel dünyada siber güvenlik, sadece bir yazılım yaması değil; toplumsal refahı ve ulusal güvenliği sağlayan üretim hatlarının kesintisiz devam etmesini garanti altına alan stratejik bir savunma kalkanıdır.