1. GİRİŞ

Kritik altyapı güvenliği bugün sadece BT güvenliği sorunu değildir; enerji, su, ulaşım, sağlık ve iletişim gibi hayati hizmetlerin sürekliliğini sağlayan endüstriyel kontrol sistemlerinin (ICS/SCADA) korunması ulusal güvenlik meselesidir. Dijitalleşme, IoT ve bulut entegrasyonları OT (Operational Technology) ile IT'nin birbirine yaklaşmasını hızlandırdı; bu da yeni saldırı yüzeyleri ve karmaşık risk profilleri yarattı.

Bu konu neden bugün önem kazanıyor?

• Proliferasyon: Endüstriyel sistemler internete doğrudan bağlanabiliyor veya üçüncü taraf servislerle entegrasyon gerektiriyor.
• Tehdidin olgunlaşması: Fidye yazılımları, tedarik zinciri saldırıları ve devlet destekli sofistike aktörler kritik altyapıyı hedef alıyor.
• Regülasyon ve uyumluluk baskısı: NIS2, CISA direktifleri ve yerel regülasyonlar daha sıkı güvenlik gerektiriyor.

Kimler için önemli?

Altyapı operatörleri, OT mühendisleri, güvenlik ekipleri, yazılım ve ağ mimarları, regülatörler ve tedarikçi ekosistemleri bu konudan doğrudan etkilenir. Ayrıca politika yapıcılar ve sivil toplum da altyapı rezilyansı açısından ilgilidir.

Hangi problemleri çözüyor?

• Sistem sürekliliğini sağlama ve kesinti riskini düşürme
• Tedarik zinciri ve üçüncü taraf risklerini yönetme
• Güvenli uzaktan erişim ve değişiklik kontrolü sağlama
• Olası fiziksel zarar ve insan güvenliği risklerini en aza indirme

2. KAVRAMSAL TEMELLER

2.1 Tanımlar

• Kritik Altyapı: Kamu sağlığı, güvenlik veya ekonomik istikrar için gerekli hizmet ve tesisler (enerji, su, iletişim, ulaşım, sağlık vb.).
• OT (Operational Technology): Fiziksel süreçleri kontrol eden, PLC/RTU/SCADA gibi cihaz ve yazılımların oluşturduğu ekosistem.
• ICS (Industrial Control Systems): Endüstriyel süreçleri izleyen ve kontrol eden sistemlerin genel adı; SCADA, DCS ve PLC'leri içerir.
• IT/OT Konverjansı: Bilgi teknolojisi ve operasyon teknolojisinin entegrasyonu; avantajları kadar güvenlik karmaşıklığı da getirir.

2.2 Mimari bileşenler ve terminoloji

• PLC (Programmable Logic Controller): Endüstriyel cihaz kontrolü için kullanılan deterministik kontrolör.
• RTU (Remote Terminal Unit): Uzaktan veri toplama ve kontrol için saha cihazı.
• HMI (Human Machine Interface): Operatör panelleri ve görselleştirme araçları.
• Historian: Zaman serisi verilerini saklayan özel veri tabanları.
• Protocol örnekleri: Modbus, DNP3, OPC UA, IEC 61850.

3. NASIL ÇALIŞIR?

3.1 Standart mimari katmanları

Geleneksel kritik altyapı mimarisi üç katmanlı olarak düşünülebilir: saha katmanı (field/devices), kontrol katmanı (PLC/RTU/HMI) ve kontrol merkezi/enterprise katmanı (SCADA, MES, ERP). IT/OT konverjansı nedeniyle bu üç katman arasında kontrollü iletişim, proxy'lar ve güvenlik geçitleri (DMZ, data diodes) gereklidir.

3.2 Veri akışı ve kontrol döngüsü

Saha cihazları sensör/veri üretir; kontrolörler bu veriyi işler ve aktüatörlere komut gönderir. SCADA merkezi sahadan telemetri toplar, operatöre görselleştirir ve manuel/otomatik müdahaleye izin verir. Bu döngüde gecikme, veri bütünlüğü ve doğruluk kritik önemdedir.

3.3 Güvenlik entegrasyon noktaları

• Network segmentation: OT ağı ile kurumsal ağ arasında katmanlı güvenlik
• Identity and Access Management (IAM): Operatör ve servis hesaplarının güçlü yönetimi
• Secure remote access: Jump box, VPN, bastion host ve MFA
• Endpoint hardening: Secure boot, signed firmware, device inventory
• Monitoring: Network flow, protocol-aware IDS (örn. Zeek, Suricata + ICS signature setleri)

4. GERÇEK DÜNYA KULLANIMLARI

4.1 Enerji sektörü

Elektrik şebekeleri dağıtılmış SCADA ve dağıtım kontrol merkezleriyle yönetilir. 2015 ve 2016'da Ukrayna'da yaşanan şebeke saldırıları, operasyonları doğrudan etkileyen saldırı örnekleridir. Enerji operatörleri sıklıkla fiziksel güvenlik, yedekleme enerji kaynakları ve hızlı müdahale planları uygular.

4.2 Su arıtma ve dağıtım tesisleri

2021'de Oldsmar, Florida olayı su kimyası kontrolünde yetkisiz erişim örneği sundu. Su tesisleri sensör ve aktüatörlerine yetkisiz erişim insan sağlığını tehlikeye atabilir; bu yüzden ağ ayrıştırma ve erişim kontrolleri kritik önemdedir.

4.3 Ulaşım ve lojistik

Demiryolu sinyalizasyonu, liman operasyonları ve havaalanı sistemleri OT bileşenleri kullanır. Bu sistemlerin kesintisi tedarik zinciri ve kamu güvenliği üzerinde geniş etkiler yaratır.

4.4 Sağlık sektörü

Hastane altyapıları (bina otomasyonu, ventilatörler, görüntüleme cihazları) kritik hizmet sunar. Ransomware saldırıları sağlık hizmetlerini aksatıp ölüm riskini artırabilir; bu alanda segmentasyon ve kritik cihazlar için özel yedekleme stratejileri şarttır.

5. AVANTAJLAR VE SINIRLAMALAR

Avantajlar

• Rezilyans: Doğru mimari ile sistemler saldırı veya arıza sonrası hızlıca restore edilebilir.
• Güvenlik farkındalığı: IT/OT entegrasyonu ile güvenlik iyi uygulamaları saha seviyesine taşınır.
• Operasyonel görünürlük: Telemetri artırılarak anomali tespit ve müdahale hızlanır.

Sınırlamalar

• Legacy sistemler: Eski cihazlar yamalanamaz veya modern güvenlik özellikleri yoktur.
• Gerçek zamanlı gereksinimler: Bazı güvenlik kontroller gecikme eklediği için kabul edilemez olabilir.
• Tedarik zinciri riski: COTS yazılım ve donanım tedarikçilerinden kaynaklanan zayıflıklar.

6. ALTERNATİFLER VE KARŞILAŞTIRMA

Farklı yaklaşım ve mimarilerin avantaj/dezavantajları aşağıdaki tabloda özetlenmiştir:

7. EN İYİ PRATİKLER

Üretim (Production) için öneriler

• Asset inventory ve continuous discovery: Tüm saha cihazlarını envantere alın ve otomatik keşif uygulayın.
• Network segmentation: Güvenlik zonları (perimeter, DMZ, OT zone, field zone) tanımlayın ve trafik beyaz listeye alın.
• Patch & change management: Test ortamlarında staging ve canary rollout kullanarak güncellemeleri yönetin.
• Least privilege: Servis ve insan hesaplarına en düşük yetki prensibini uygulayın.

Performans optimizasyonu

• Protocol-aware monitoring ile gereksiz veri yükünü azaltın.
• Edge processing ile latency‑kritik kararları saha cihazlarına yakın tutun.

Güvenlik

• Secure boot, signed firmware ve hardware root of trust (TPM) uygulayın.
• Multi‑factor authentication (MFA) ve bastion host ile uzaktan erişimi sıkılaştırın.
• Network IDS/IPS ve ICS spesifik signature setleri kullanın.

Ölçeklenebilirlik

• Policy as code ve otomatik konfigürasyon yönetimi ile tutarlılığı sağlayın.
• Telemetri altyapısını bulut‑native olarak tasarlayın; veri yaşam döngüsünü yönetin.

8. SIK YAPILAN HATALAR

• Legacy cihazları yamalanmadan bırakmak ve compensating control uygulamamak.
• IT güvenlik kontrollerini doğrudan OT'ye uygulamak; gerçek zamanlı gereksinimleri göz ardı etmek.
• Yetersiz test: Yamalama veya konfigürasyon değişikliklerini saha ortamında geniş kapsamlı test etmemek.
• Tedarikçi ve üçüncü taraf erişimlerini izlememek.

9. GELECEK TRENDLER

9.1 AI ve anomaly detection

Makine öğrenmesi tabanlı anomali tespiti OT telemetrisinde hızla yaygınlaşıyor. Ancak bu modeller doğru etiketli veri ve sürekli bakım gerektirir; yanlış alarmlar operasyonu olumsuz etkileyebilir.

9.2 Secure by design cihazlar

Yeni nesil saha cihazları donanım tabanlı güvenlik, güncellenebilir firmware ve güvenli yönetim API'leri ile gelecek; vendor sorumluluğu artacak.

9.3 Tedarik zinciri şeffaflığı

SBOM (Software Bill of Materials) ve tedarikçi güvenlik değerlendirmeleri regülatif beklenti haline gelecek; tedarik zinciri risk yönetimi kritik olacaktır.

EK BÖLÜMLER

Sık Sorulan Sorular (FAQ)

1. Kritik altyapı neden farklı korunmalı?

   Kritik altyapı operasyonel süreklilik ve insan güvenliği açısından farklıdır; downtime doğrudan fiziksel zarar veya kamu hizmetlerinde büyük aksamalara neden olabilir.

2. Air‑gap gerçekçi mi?

   Air‑gapping en yüksek izolasyonu sağlar ancak işletme maliyeti ve yönetim zorlukları nedeniyle her zaman uygulanamaz. Hibrit yaklaşımlar daha yaygındır.

3. Legacy PLC'ler nasıl güvenli hale getirilir?

   Network segmentation, protocol proxy, bilinen zafiyetler için compensating controls ve mümkünse vendor ile firmware güncellemesi en iyi yöntemlerdir.

4. OT için MFA uygulanabilir mi?

   Evet; operatör erişimi ve uzak bağlantıları MFA ile güçlendirmek mümkündür. Ancak cihaz‑cihaz iletişimleri için farklı kimlik çözümleri gerekir.

5. Hangi regülasyonlara bakmalıyım?

   Ülkeden ülkeye değişir: NIS2 (AB), CISA rehberleri (ABD), IEC 62443 standartları ve yerel enerji/water regülasyonları önceliklidir.

6. ICS protokollerini nasıl izleyebilirim?

   Protocol‑aware IDS/IPS çözümleri ve flow analysis ile Modbus, DNP3, IEC 61850 gibi protokoller analiz edilmelidir.

7. Ransomware'e karşı en etkili önlem nedir?

   Segmentasyon, yedekleme stratejileri, hızlı izolasyon yetenekleri ve düzenli tabletop tatbikatları en etkili savunmalardır.

8. OT'de bulut kullanımı güvenli mi?

   Bulut kullanımı mümkün ancak network ve veri akışı kontrollü olmalı, veri classification ve latency gereksinimleri gözetilmelidir.

Anahtar Kavramlar

ICS

Endüstriyel kontrol sistemlerinin genel adı; SCADA, DCS ve PLC'leri kapsar.

SCADA

Supervisory Control And Data Acquisition — merkezi izleme ve kontrol sistemi.

OT

Fiziksel süreçleri yöneten teknoloji katmanı.

SBOM

Yazılım bileşen envanteri; tedarik zinciri görünürlüğü sağlar.

IEC 62443

Endüstriyel otomasyon için güvenlik standartları serisi.

Öğrenme Yol Haritası

1. 0–1 ay: Temel ağ, TCP/IP, endüstriyel protokoller (Modbus, OPC UA) ve SCADA mimarilerini öğrenin.
2. 1–3 ay: ICS güvenlik araçları, network segmentation, IDS temelleri ve asset discovery üzerine uygulama yapın.
3. 3–6 ay: IEC 62443, MITRE ATT&CK for ICS, güvenlik testleri (non‑disruptive) ve incident response planları öğrenin ve çalıştırın.
4. 6–12 ay: OT endpoint hardening, secure firmware yönetimi, tedarik zinciri risk yönetimi ve tabletop tatbikatları organize edin.
5. 12+ ay: AI‑tabanlı anomali tespiti, predictive maintenance ile güvenlik‑operasyon entegrasyonu ve regülasyon ön hazırlığı yapın.