Savunma üretim tesisleri, siber saldırganların en yüksek öncelikli hedefleri arasındadır. Burada risk yalnızca veri sızıntısı değildir. Bir PLC’ye yapılan müdahale üretimi durdurabilir, test sonuçlarını bozabilir veya iş güvenliğini tehlikeye atabilir.
IT güvenliği için yıllardır kullanılan ISO 27001 gibi çerçeveler bu riskleri tek başına karşılamaz. Endüstriyel otomasyon ve kontrol sistemleri (IACS) için geliştirilmiş referans standart serisi IEC 62443’tür.
IT ile OT güvenliği neden farklı?
| Ölçüt | IT ağı | OT ağı |
|---|---|---|
| Öncelik | Gizlilik | Erişilebilirlik ve emniyet |
| Ekipman ömrü | 3–5 yıl | 15–25 yıl |
| Yama yönetimi | Düzenli, otomatik | Planlı duruş gerektirir, çoğu zaman ertelenir |
| Kesintiye tolerans | Yeniden başlatma kabul edilebilir | Saniyelik kesinti üretimi veya testi bozabilir |
| Protokoller | TCP/IP tabanlı, şifreli | Profinet, Modbus, EtherNet/IP gibi çoğu şifresiz endüstriyel protokoller |
IEC 62443 serisinin yapısı
Seri dört gruptan oluşur ve her grup farklı bir role hitap eder:
- 62443-1-x (Genel): Terimler, kavramlar ve modeller.
- 62443-2-x (Politika ve prosedürler): Tesis sahibinin güvenlik programı (2-1), yama yönetimi (2-3) ve hizmet sağlayıcı gereklilikleri (2-4).
- 62443-3-x (Sistem): Risk değerlendirmesi ile bölge ve kanalların tanımı (3-2), sistem güvenlik gereklilikleri (3-3).
- 62443-4-x (Bileşen): Ürün üreticisi için güvenli geliştirme yaşam döngüsü (4-1) ve bileşen teknik gereklilikleri (4-2).
Bu yapı, sorumluluğu üç rol arasında paylaştırır: tesis sahibi (savunma üreticisi), sistem entegratörü ve ürün tedarikçisi. Tek bir rolün çabası yeterli değildir.
Güvenlik seviyeleri (SL 1–4)
IEC 62443, korumayı saldırganın kapasitesine göre derecelendirir:
| Seviye | Neye karşı koruma sağlar? |
|---|---|
| SL 1 | Kazara veya kasıtsız ihlaller |
| SL 2 | Basit araçlar ve genel bilgiyle yapılan kasıtlı saldırılar |
| SL 3 | Gelişmiş araçlar ve endüstriyel sistemlere özgü bilgiyle yapılan saldırılar |
| SL 4 | Geniş kaynaklara sahip, devlet destekli saldırılar |
Savunma sanayii, devlet destekli tehdit aktörlerinin doğrudan hedefidir. Bu nedenle kritik üretim ve test bölgeleri için hedef seviye genellikle SL 3, en kritik alanlarda SL 4 olarak belirlenir.
Bölge ve kanal (zones & conduits) yaklaşımı
IEC 62443’ün temel fikri, tüm ağı tek bir güvenlik seviyesiyle korumak yerine onu bölgelere ayırmaktır. Aynı güvenlik ihtiyacına sahip varlıklar bir bölgede toplanır. Bölgeler arasındaki her iletişim yolu bir kanal olarak tanımlanır ve denetlenir.
Örnek bir savunma tesisinde bölgeler şöyle ayrılabilir: kurumsal IT, MES ve üretim planlama, hat kontrol (PLC/HMI), emniyet sistemleri ve balistik test laboratuvarı. Her bölge için ayrı bir hedef güvenlik seviyesi belirlenir. Kanallarda güvenlik duvarı, tek yönlü veri diyotu veya uzaktan erişim ağ geçidi gibi kontroller kullanılır.
Yedi temel gereklilik
Standart, her güvenlik seviyesi için gereklilikleri yedi başlık altında toplar: kimlik doğrulama, kullanım kontrolü, sistem bütünlüğü, veri gizliliği, kısıtlı veri akışı, olaylara zamanında müdahale ve kaynak erişilebilirliği.
Nereden başlamalı?
- Varlık envanteri: Ağdaki tüm PLC, HMI, sürücü, mühendislik istasyonu ve uzaktan erişim noktalarını listeleyin. Bilinmeyen cihaz korunamaz.
- Bölge ve kanal haritası: Mevcut ağ topolojisini 62443-3-2 mantığıyla bölgelere ayırın.
- Risk değerlendirmesi: Her bölge için hedef güvenlik seviyesini (SL-T) belirleyin.
- Boşluk analizi: Mevcut durumu hedefle karşılaştırın; uzaktan erişim ve yamasız sistemler genellikle ilk sıradadır.
- Tedarik şartnamesi: Yeni ürün ve entegrasyon alımlarında 62443-4-2 ve 62443-2-4 uyumunu şart koşun.
Yeni Makine Emniyeti Yönetmeliği’nin emniyet fonksiyonlarını bozulmaya karşı koruma şartı da bu çalışmayla doğrudan örtüşür. İki konuyu ayrı projeler yerine tek bir yol haritasında ele almak kaynak tasarrufu sağlar.
Zirvede bu konuyu konuşuyoruz
Ankara Savunma Zirvesi’nin 12:15 oturumu, savunma tesislerinde IEC 62443 uygulamasını sahadan örneklerle ele alıyor. Planlı B2B görüşme özelliğiyle OT güvenliği çözüm sağlayıcılarıyla zirve günü için önceden görüşme ayarlayabilirsiniz.