Siber Güvenlik: Endüstriyel Ağları Korumak

Endüstriyel ağları korumak; ağdaki her cihazı bilmek, ağı birbirinden ayrılmış bölgelere bölmek, uzaktan erişimi daraltmak ve bir olay yaşandığında üretimi güvenle sürdürebilmek demektir. Operasyonel teknoloji (OT) ağlarında öncelik çoğu zaman verinin gizliliği değil, sürecin kesintisiz ve emniyetli çalışmasıdır. Bu yüzden ofis BT’sinde alışılmış yöntemler OT’ye olduğu gibi taşınamaz.

Bu yazının ilk sürümünü Mart 2026’da yayımlamıştık. Ekim 2026’da genişlettik: OT’nin BT’den farkını, sık görülen riskleri ve uluslararası rehberlere dayanan temel önlemleri artık daha somut anlatıyoruz.

OT güvenliği BT güvenliğinden neden farklı?

OT; üretim hattını, pompaları, enerji dağıtımını ya da bina otomasyonunu yöneten PLC, SCADA ve HMI gibi, fiziksel süreçleri izleyen veya kontrol eden sistemlerdir. ABD Ulusal Standartlar ve Teknoloji Enstitüsü’nün OT güvenliği rehberi NIST SP 800-82 Rev. 3, OT’de güvenlik hedeflerinin genellikle önce bütünlük ve erişilebilirlik, ardından gizlilik şeklinde sıralandığını, emniyetin ise hepsinin üzerinde tutulması gerektiğini belirtir.

NIST aynı rehberde OT sistemlerinin ömrünün 20 yılı aşabildiğini, bu yüzden üreticinin artık desteklemediği ve yama alamayan bileşenlerin sık görüldüğünü not eder. Bazı durumlarda üretici lisansı ve servis sözleşmeleri üçüncü taraf güvenlik yazılımı kurulmasına bile izin vermez. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA da tedarik, tasarım ve kurulum sırasında yapılan güvenlik hatalarının OT sisteminin onlarca yıl süren ömrü boyunca kalıcı olabileceğini ve mimarinin işletme başladıktan sonra değiştirilmesinin zor olduğunu vurgular. Kısacası güvenliği eklemenin en ucuz zamanı tasarım aşamasıdır.

Endüstriyel ağlarda sık görülen riskler

• Düz (flat) ağlar. Ofis bilgisayarları, sunucular ve PLC’ler aynı ağdaysa, bir e-posta ekiyle bulaşan zararlı yazılım üretim cihazlarına kadar ulaşabilir.
• İnternete açık cihazlar ve uzaktan erişim. Bakım kolaylığı için doğrudan internete açılmış HMI ekranları ya da korumasız uzaktan bağlantılar. CISA, korumasız biçimde internete açık HMI ve PLC’leri sahada sık gördüğü sorunlar arasında sayar.
• Varsayılan parolalar. Fabrikadan gelen kullanıcı adı ve parolanın hiç değiştirilmemesi. CISA’nın FBI, EPA ve ABD Enerji Bakanlığı ile yayımladığı Mayıs 2025 tarihli bilgi notu, varsayılan parolaların hemen değiştirilmesini öncelikli önlemler arasında sayar.
• Her şeye izin veren güvenlik duvarı kuralları. Her yerden her yere trafiğe izin veren kurallar, CISA’nın saydığı yaygın kurulum sorunlarından biridir ve segmentasyonu kâğıt üzerinde bırakır.
• Yönetilmeyen IoT cihazları. Enerji analizörü, kamera ya da sensör ağ geçidi gibi sonradan eklenen cihazlar envantere girmeden ağa bağlanır ve güncellemelerini kimse takip etmez.

Temel önlemler: envanter ve segmentasyon

Varlık envanteri

Neyi koruduğunuzu bilmeden koruyamazsınız. CISA’nın Ağustos 2025’te ortak kurumlarla yayımladığı OT varlık envanteri rehberi, envanteri kuruluşun sistemlerinin, donanımının ve yazılımının düzenli güncellenen listesi olarak tanımlar ve envanter olmadan kuruluşların neye sahip olduğunu bilemeyeceğini belirtir. Her cihaz için üretici, model, yazılım sürümü, ağ adresi, konum, kullandığı protokoller ve kritiklik bilgisini tutmak iyi bir başlangıçtır; üretici ve sürüm bilgisi, hangi bilinen açıkların sizi etkilediğini görmenin de yoludur.

Bölgeler ve kanallar

ISA/IEC 62443, endüstriyel otomasyon ve kontrol sistemlerinin güvenliği için uluslararası standart serisidir; varlık sahipleri, sistem entegratörleri ve ürün tedarikçileri arasında paylaşılan bir sorumluluk anlayışına dayanır. Serinin temel kavramlarından biri bölge (zone) ve kanaldır (conduit). ISA’nın yayımladığı rehbere göre bölge; risk, kritiklik, işlev, fiziksel ya da mantıksal konum, erişim ihtiyacı gibi ölçütlere göre gruplanmış varlıklardır. Kanal ise iki ya da daha fazla bölgeyi bağlayan ve ortak güvenlik gereksinimlerini paylaşan iletişim kanallarının mantıksal grubudur. Serinin 3-2 bölümü, iş sistemleriyle kontrol sistemlerinin ve emniyetle ilgili varlıkların ayrılmasını şart koşar; kablosuz cihazların ve dış ağlar üzerinden bağlanan cihazların ayrılmasını da önerir.

Purdue modeli ve DMZ

Ağı katmanlara ayırmak için sık kullanılan bir referans da Purdue modelidir: sahadaki sensörler ve son kontrol elemanları en altta (Seviye 0), kontrol cihazları bunun hemen üzerinde, kurumsal sistemler ise üst seviyelerde yer alır. NIST SP 800-82, güvenlik duvarı kurallarının yalnızca komşu seviyeler arasında bağlantıya izin vermesini, örneğin Seviye 4’teki cihazların Seviye 2, 1 ya da 0’daki cihazlarla doğrudan konuşmamasını önerir. Kurumsal ağ ile OT ağı arasına bir ara bölge (DMZ) koymak da hem NIST’in hem de CISA’nın önerileri arasındadır: iki ağ arasındaki iletişim doğrudan değil, DMZ’deki servisler üzerinden geçer.

Uzaktan erişim, yama ve değişiklik yönetimi

Uzaktan erişim. Üreticinin ya da entegratörün uzaktan bakım yapması çoğu zaman gereklidir; sorun, bu erişimin kalıcı ve denetimsiz olmasıdır. CISA’nın önerisi, OT cihazlarını genel internetten çıkarmak; uzaktan erişim gerekiyorsa özel bir ağ bağlantısı ve oltalamaya dayanıklı çok faktörlü kimlik doğrulamalı VPN kullanmak, erişimi de en az yetki ilkesine göre sınırlamaktır. Pratikte bu; tek ve denetimli bir giriş noktası, kişiye özel hesaplar, yalnızca bakım süresince açılan erişim ve oturum kayıtları demektir. NIST de kurumsal ağ ve OT ağı kullanıcıları için ayrı kimlik bilgileri kullanılmasını önerir.

Yama yönetimi. OT’de güncelleme “çıktı, yükle” kadar basit değildir. NIST, yamaların mümkünse önce bir test sisteminde, saha koşullarında denendikten sonra kurulmasını; kullanılmayan port ve servislerin, OT işleyişini etkilemediği test edildikten sonra kapatılmasını önerir. Üreticinin artık desteklemediği bileşenler için ise ek, telafi edici kontrollerin düşünülmesini ister. Ağ bölgelerine ayırmak ve trafiği izlemek, yama alamayan eski bir cihazı korumanın pratik yollarıdır.

Değişiklik yönetimi. NIST’e göre OT’de değişiklik yönetimi donanımı ve cihaz yazılımını da kapsar ve kontrol mühendislerinin güvenlik ve BT ekipleriyle birlikte dikkatli değerlendirmesini gerektirir. PLC programında, güvenlik duvarı kuralında ya da cihaz yazılımında yapılan her değişiklik kayda geçirilmeli, onaylanmalı ve bir geri dönüş planı olmalıdır; envanter de bu değişikliklerle birlikte güncellenmelidir.

İzleme, yedekleme ve olay müdahalesi

İzleme ve anomali tespiti. NIST’e göre OT trafiği BT trafiğine kıyasla daha deterministiktir: tekrarlı, öngörülebilir ve tasarlanmıştır. Bu da normalden sapmaları yakalamayı kolaylaştırır. Rehber, ağın normal durumunu anlamayı izlemenin ön koşulu sayar ve ilk adım olarak trafiği pasif biçimde, yani dinleyerek ve öğrenerek izlemeyi önerir. Davranışsal anomali tespiti, SIEM ve saldırı tespit sistemleri bu izlemeyi destekleyen araçlardır.

Yedekleme ve elle işletme. CISA, OT sistemlerini gerektiğinde elle işletebilme becerisinin korunmasını; iş sürekliliği planlarının, yedeklerin ve yedek sistemlerin düzenli olarak test edilmesini önerir. PLC programlarının, HMI projelerinin ve cihaz yapılandırmalarının güncel ve ağdan ayrı tutulan kopyaları, bir olaydan sonra üretime dönüşü hızlandırır.

Olay müdahale planı. Bir olay olduğunda kimin karar vereceği, hangi sistemlerin ağdan ayrılacağı, üretimin nasıl güvenle durdurulacağı ya da elle sürdürüleceği önceden yazılmalı ve tatbikatla denenmelidir. Bu plan, BT ekibiyle üretim ve bakım ekiplerinin ortak işidir.

Sık sorulan sorular

Küçük bir tesis nereden başlamalı?

Önce envanter: ağda hangi cihazların olduğunu ve hangilerinin internete açık olduğunu çıkarın. Ardından varsayılan parolaları değiştirin, uzaktan erişimi tek ve denetimli bir noktaya toplayın, ofis ağı ile üretim ağını ayırın. Bu adımlar CISA’nın öncelikli önerileriyle örtüşür ve çoğu büyük bir yatırım gerektirmez.

Antivirüs ve güvenlik duvarı yeterli değil mi?

Tek başına değil. NIST, antivirüs gibi araçların OT’de ancak teknik olarak mümkün olduğu yerlerde kullanılmasını önerir; bazı üreticiler kendi onayları olmadan yazılım kurulmasına izin vermez. Bu yüzden OT’de koruma, cihazın üzerine yazılım kurmaktan çok ağ ayrımına, erişim kontrolüne ve izlemeye dayanır.

IoT cihazlarını OT ağına bağlamak güvenli mi?

Riskleri yönetilebilir, ancak plansız yapılmamalıdır. ISA/IEC 62443’ün önerdiği gibi kablosuz ve dış ağlara bağlanan cihazları ayrı bir bölgeye almak, yalnızca gerekli bağlantılara izin vermek ve veriyi bir ara katman üzerinden aktarmak gerekir. Ayrıntılar için IoT ile uzaktan izleme yazımıza bakabilirsiniz.

Sonuç

Endüstriyel ağları korumak tek bir ürünle değil, bir dizi temel alışkanlıkla olur: envanteri bilmek, ağı bölgelere ayırmak, uzaktan erişimi daraltmak, değişiklikleri yönetmek, ağı izlemek ve yedekleri düzenli denemek. ISA/IEC 62443, NIST SP 800-82 ve CISA rehberleri bu adımlar için ortak bir çerçeve sunar.

Biz bir siber güvenlik firması değiliz; sızma testi ya da güvenlik denetimi için bu alanda uzman kuruluşlarla çalışmanızı öneririz. Bizim işimiz, endüstriyel ve IoT yazılımlarını ve mimarilerini baştan bu ilkeleri gözeterek tasarlamak: cihazdan sunucuya şifreli iletişim, yetkiye göre erişim, ayrılmış ağ bölgeleri ve bağlantı kopmasına dayanıklı yapı. Yeni bir sistem planlıyorsanız yazılım mimarisi ve DevOps ile akıllı şehir ve IoT sayfalarımıza göz atabilir ya da bize yazabilirsiniz; isterseniz birlikte bakalım.