IEC 62443 Standardı ile Endüstriyel Kontrol Sistemlerinde Siber Güvenlik

Bir fabrikayı durdurmak için artık fiziksel bir saldırı şart değil. Bir PLC’ye gönderilen hatalı komut, bir boru hattını felç edebilir; şebeke yazılımına sızan zararlı kod, binlerce kişiyi karanlıkta bırakabilir. Endüstriyel kontrol sistemleri, onlarca yıl izole ağlarda çalıştı. Dijitalleşme bu izolasyonu kaldırdı ve beraberinde ciddi güvenlik açıkları getirdi. IEC 62443, tam da bu noktada devreye giren uluslararası bir siber güvenlik standartlar ailesidir.

Bu makale, standardın ne olduğunu, hangi katmanları kapsadığını ve endüstriyel tesislerin bu çerçeveyi neden ciddiye alması gerektiğini açıklar. Teknik bilgi sahibi olmayan okuyucular da metni takip edebilir; ancak sistem entegratörleri, otomasyon mühendisleri ve tesis güvenlik sorumluları için özellikle pratik bir rehber niteliği taşır.

Endüstriyel Kontrol Sistemleri Neden Siber Saldırılara Açık?

Endüstriyel kontrol sistemleri, SCADA, DCS ve PLC gibi bileşenlerden oluşur. Bu sistemler; üretim hatlarını, enerji dağıtımını, su arıtma tesislerini ve boru hatlarını yönetir. Tasarlandıkları dönemde internet bağlantısı yoktu. Güvenlik anlayışı, fiziksel erişim kontrolüyle sınırlıydı.

Sonraki on yıllar içinde tablo değişti. Kurumsal ağlarla entegrasyon, uzaktan erişim gereksinimleri ve nesnelerin interneti uygulamaları, bu sistemleri dış dünyaya açtı. Ne var ki protokoller güncellenmedi. Modbus, Profibus ve DNP3 gibi endüstriyel iletişim protokolleri kimlik doğrulama veya şifreleme içermez. Bir saldırgan ağa girdiğinde, sistemin kendisi ona dur demez.

Buna ek olarak, yazılım güncellemeleri endüstriyel ortamda son derece yavaş ilerler. Bir güvenlik yaması uygulamak için üretimi durdurmak gerekebilir. Bu durum, bilinen açıkların aylarca hatta yıllarca açık kalmasına yol açar. Stuxnet saldırısı 2010’da bu gerçeği dünyaya gösterdi: İran’ın nükleer tesisindeki santrifüjler, yalnızca yazılım aracılığıyla fiziksel hasara uğratıldı.

Öte yandan insan faktörü de göz ardı edilemez. Bir operatörün USB belleği, bir tedarikçinin uzak bağlantısı veya yanlış yapılandırılmış bir güvenlik duvarı, en sağlam ağı bile savunmasız bırakabilir. Bu nedenle siber güvenlik yalnızca teknoloji sorunu değil, aynı zamanda bir süreç ve kültür sorunudur.

IEC 62443 Nedir ve Nasıl Yapılandırılmıştır?

IEC 62443, endüstriyel otomasyon ve kontrol sistemlerinin (IACS) siber güvenliğini ele alan uluslararası bir standartlar ailesidir. Uluslararası Elektroteknik Komisyonu tarafından yayımlanır ve ISA/IEC 62443 olarak da anılır. Tek bir belge değil, birbiriyle bağlantılı dört ana seriden oluşan kapsamlı bir çerçevedir.

Bu dört seri şu şekilde özetlenebilir:

Seri 1 — Genel Kavramlar: Terminolojiyi, modelleri ve standartlar ailesinin temel ilkelerini tanımlar. Tüm paydaşlar için ortak bir dil oluşturur.

Seri 2 — Politika ve Prosedürler: Varlık sahipleri için güvenlik yönetim sistemi gereksinimlerini kapsar. Güvenlik politikalarının nasıl oluşturulacağını ve sürdürüleceğini açıklar.

Seri 3 — Sistem Gereksinimleri: Güvenlik düzeyleri ve risk değerlendirme yöntemleri gibi sistem genelindeki teknik gereksinimleri ele alır.

Seri 4 — Bileşen Gereksinimleri: Yazılım geliştirme süreçleri ve ürün güvenlik gereksinimleri dahil olmak üzere bileşen düzeyindeki teknik kriterleri tanımlar.

Standardın en önemli kavramlarından biri Güvenlik Düzeyi (Security Level, SL) sistemidir. SL 1’den SL 4’e kadar dört kademe bulunur. SL 1 temel korumayı temsil ederken, SL 4 devlet destekli saldırılara karşı dayanıklılığı hedefler. Bu kademeleme, her tesise aynı güvenlik yükünü yüklememek için tasarlanmıştır. Çünkü bir şeker fabrikasının güvenlik gereksinimi, bir nükleer santralinkiyle aynı değildir.

Ayrıca standart, sorumlulukları üç paydaş grubu arasında net biçimde paylaştırır: varlık sahipleri, sistem entegratörleri ve ürün üreticileri. Bu yaklaşım, güvenliğin yalnızca bir tarafın omzuna yüklenmesini engeller.

IEC 62443 Standardına Göre Güvenlik Bölgeleri ve Kanallar

IEC 62443’ün en pratik katkılarından biri, endüstriyel ağları yapılandırmak için sunduğu bölge ve kanal modelidir. Bu model, güvenliği soyut bir hedef olmaktan çıkarır ve mühendislerin uygulayabileceği somut bir mimariye dönüştürür.

Güvenlik bölgesi (security zone), benzer güvenlik gereksinimlerine sahip varlıkların bir arada gruplandırıldığı mantıksal ya da fiziksel bir alandır. Örneğin bir üretim tesisinde operatör iş istasyonları bir bölge oluştururken, saha cihazları ve sensörler ayrı bir bölgede yer alır. Kurumsal ofis ağı ise üçüncü bir bölgedir. Bu ayrım rastgele değildir; her bölge kendi risk profiline ve güvenlik düzeyine göre tanımlanır.

Kanal (conduit) ise iki bölge arasındaki iletişimi düzenleyen kontrollü geçiş noktasıdır. Kanallar, hangi verinin hangi koşullarda akabileceğini belirler. Bu sayede bir bölgedeki güvenlik ihlali, tüm sisteme otomatik olarak yayılmaz. Bölgeler arası trafik izlenir, filtrelenir ve gerektiğinde kesilir.

Bu mimari, geleneksel BT güvenliğindeki “sıfır güven” yaklaşımıyla örtüşür. Ancak endüstriyel ortama özgü bir fark vardır: gerçek zamanlı iletişim gereksinimleri, güvenlik kontrollerinin gecikmeye yol açmadan çalışmasını zorunlu kılar. Bir güvenlik duvarı, SCADA sisteminin yanıt süresini bozmamalıdır.

Bölge ve kanal modelinin doğru uygulanması için önce kapsamlı bir varlık envanteri gerekir. Ağda hangi cihazlar var, birbirleriyle nasıl iletişim kuruyor ve bu iletişimin hangi kısmı gerçekten zorunlu? Bu soruların yanıtı olmadan bölgeleri anlamlı biçimde tanımlamak mümkün değildir.

IEC 62443’te Risk Değerlendirmesi ve Güvenlik Düzeylerinin Belirlenmesi

Bir güvenlik standardı, risk değerlendirmesini atlarsa yalnızca kağıt üzerinde var olur. IEC 62443, bu nedenle risk analizini sürecin merkezine yerleştirir. Hangi varlıkların korunacağı, hangi tehditlerin önceliklendirileceği ve hangi güvenlik düzeyinin hedefleneceği; hepsinin yanıtı sistematik bir risk değerlendirmesinden çıkar.

Standart, bu süreç için Hedef Güvenlik Düzeyi (Target Security Level, SL-T) kavramını kullanır. Tesis önce mevcut tehditleri ve bu tehditlerin gerçekleşme olasılığını değerlendirir. Ardından olası bir saldırının sonuçlarını ölçer: üretim kaybı, çevre hasarı, insan güvenliği ve itibar riski. Bu iki boyutun kesişimi, her bölge için hedef güvenlik düzeyini belirler.

Dört güvenlik düzeyi şu şekilde tanımlanır:

Risk değerlendirmesi yalnızca bir kez yapılmaz. Tehdit ortamı değişir, sistemler güncellenir, yeni bileşenler eklenir. Bu nedenle standart, değerlendirmenin belirli aralıklarla yenilenmesini ve her önemli sistem değişikliğinin ardından tekrarlanmasını gerektirir.

Bununla birlikte, risk değerlendirmesinin en zor aşaması genellikle teknik hesaplamalar değildir. Farklı departmanların aynı masada buluşması, üretim öncelikleriyle güvenlik gereksinimlerini birlikte tartışması ve ortak bir risk toleransı tanımlaması çok daha fazla organizasyonel olgunluk gerektirir.

Uygulamada IEC 62443 — Sistem Entegratörleri ve Varlık Sahipleri İçin Pratik Adımlar

IEC 62443’ü bir belgeler bütünü olarak okumak ile onu sahada uygulamak arasında ciddi bir mesafe vardır. Bu mesafeyi kapatmak için standart, farklı paydaşlara farklı sorumluluklar yükler. Varlık sahipleri ve sistem entegratörleri, bu sorumluluklardan en büyük payı üstlenir.

Varlık sahipleri için süreç genellikle şu adımlarla ilerler:

• Varlık envanteri oluşturma: Ağdaki tüm cihazlar, yazılımlar ve iletişim bağlantıları belgelenir. Bilinmeyen bir varlık, korunamayan bir varlıktır.
• Bölge ve kanal tasarımı: Envanter tamamlandıktan sonra cihazlar güvenlik gereksinimlerine göre gruplandırılır ve aralarındaki iletişim kanalları tanımlanır.
• Açık yönetimi: Mevcut sistemlerdeki güvenlik açıkları tespit edilir, önceliklendirilir ve kapatılır. Üretimi durdurmadan yamalanabilecekler ile bakım duruşlarına bırakılması gerekenler ayrıştırılır.
• Erişim kontrolü: Kim, hangi sisteme, hangi koşullarda erişebilir? Rol tabanlı erişim politikaları tanımlanır ve uygulanır.
• İzleme ve olay müdahalesi: Anormal davranışları tespit edecek izleme altyapısı kurulur. Bir ihlal yaşandığında kimin ne yapacağı önceden belirlenir.

Sistem entegratörleri ise tasarım aşamasından itibaren güvenliği sürecin içine entegre eder. Bir otomasyon projesi teslim edilirken güvenlik gereksinimleri ayrı bir ek olarak değil, teknik şartnamenin ayrılmaz bir parçası olarak ele alınmalıdır. Bu nedenle entegratörlerin IEC 62443 Seri 2 ve Seri 3 gereksinimlerini proje metodolojilerine yansıtması beklenir.

Uygulamada en sık karşılaşılan engel bütçe değil, önceliklendirmedir. Güvenlik yatırımları somut bir üretim çıktısı doğrurmadığından ertelenebilir. Oysa bir siber saldırının yol açtığı üretim durması, veri sızıntısı veya fiziksel hasar; önlem maliyetini çoğu durumda kat kat aşar.

IEC 62443 ve Diğer Siber Güvenlik Standartlarıyla İlişkisi

Siber güvenlik standartları boşlukta var olmaz. IEC 62443, kurumsal BT güvenliğini ele alan diğer çerçevelerle hem örtüşür hem de onlardan ayrışır. Bu ilişkiyi anlamak, standartları çakışan yükümlülükler yığını olarak değil, birbirini tamamlayan katmanlar olarak görmek açısından önemlidir.

ISO 27001 ile ilişki en sık sorulan konuların başında gelir. ISO 27001, bilgi güvenliği yönetim sistemleri için genel bir çerçeve sunar. Kurumsal ağları, insan kaynaklarını ve iş süreçlerini kapsar. IEC 62443 ise operasyonel teknoloji ortamlarına odaklanır; gerçek zamanlı kontrol sistemlerinin kendine özgü gereksinimlerini karşılar. Bu nedenle iki standart çelişmez, birbirini tamamlar. ISO 27001 sertifikasına sahip bir kuruluş, endüstriyel sistemler söz konusu olduğunda IEC 62443’ü ayrıca uygulamak durumundadır.

NIST Siber Güvenlik Çerçevesi (CSF) ile de anlamlı bir örtüşme mevcuttur. NIST CSF’nin beş işlevi olan Tanımla, Koru, Tespit Et, Yanıt Ver ve Kurtar; IEC 62443’ün risk değerlendirme, bölge tasarımı ve olay müdahalesi adımlarıyla doğrudan eşleşir. Özellikle ABD merkezli şirketler veya ABD pazarına hitap eden tedarikçiler için her iki çerçeveyi paralel yürütmek yaygın bir uygulamadır.

NIS2 Direktifi, Avrupa Birliği’nin kritik altyapı güvenliğine yönelik yasal düzenlemesidir. 2024 itibarıyla yürürlüğe giren direktif, enerji, ulaşım, su yönetimi ve üretim gibi sektörlerdeki kuruluşlara bağlayıcı siber güvenlik yükümlülükleri getirir. IEC 62443 uyumluluğu, NIS2 gereksinimlerini karşılamada güçlü bir teknik dayanak sağlar. Avrupa’da faaliyet gösteren endüstriyel işletmeler için bu ilişki artık teorik değil, hukuki bir gerçekliktir.

Sonuç olarak bu standartları rakip belgeler olarak değil, farklı kapsam ve derinliklerde çalışan katmanlar olarak konumlandırmak gerekir. Hangisinden başlanacağı sorusunun yanıtı ise her zaman aynıdır: mevcut durumu anlamadan hiçbir standart anlamlı biçimde uygulanamaz.

IEC 62443 Uyumluluğu Nasıl Belgelenir ve Sertifikasyon Süreci

IEC 62443 uyumluluğu, bir kuruluşun kendi beyanıyla değil, bağımsız değerlendirme süreçleriyle kanıtlanır. Bu ayrım önemlidir. Çünkü standarda “uyduğunu düşünmek” ile bunu belgelenmiş biçimde göstermek, tedarik zinciri güvenliği ve yasal yükümlülükler açısından birbirinden farklı sonuçlar doğurur.

Sertifikasyon süreci iki ana eksen üzerinde ilerler. Birincisi ürün sertifikasyonudur. Bir PLC üreticisi, güvenlik duvarı geliştiricisi veya SCADA yazılımı sağlayıcısı; ürününün IEC 62443 Seri 4 gereksinimlerini karşıladığını bağımsız test laboratuvarları aracılığıyla doğrulayabilir. Bu sertifika, ürünün güvenlik özelliklerini somutlaştırır ve alıcıya teknik bir güvence sunar. İkincisi sistem sertifikasyonudur. Bir tesisin kurulu otomasyon altyapısı, bölge tasarımı ve güvenlik politikaları bütünü olarak değerlendirilir. Bu değerlendirme, akredite belgelendirme kuruluşları tarafından gerçekleştirilir.

Sertifikasyon sürecinde en yetkili uluslararası kuruluşlardan biri IECEE’dir. IECEE bünyesindeki OC (Operational Criteria) programı, IEC 62443 uyumluluğunu değerlendiren akredite laboratuvarları tanır. TÜV, Exida ve Bureau Veritas bu alanda yaygın olarak tercih edilen bağımsız değerlendirme kuruluşları arasındadır.

Belgelendirme sürecinde kuruluşların hazır bulunması gereken temel çıktılar şunlardır: güncel varlık envanteri, bölge ve kanal diyagramları, risk değerlendirme raporu, güvenlik politika belgeleri ve periyodik denetim kayıtları. Bu belgeler hem sertifikasyon denetiminin temelini oluşturur hem de olası bir siber olay sonrasında kurumun özen yükümlülüğünü yerine getirip getirmediğini ortaya koyar.

Sertifikasyon bir bitiş noktası değil, sürekli bir döngünün parçasıdır. Sistem değişiklikleri, yeni tehditler ve standart güncellemeleri periyodik yeniden değerlendirmeyi zorunlu kılar.

Türkiye’deki Endüstriyel Tesisler İçin IEC 62443’ün Önemi

Türkiye, güçlü bir imalat tabanına ve büyüyen bir enerji altyapısına sahip bir ülkedir. Otomotiv, tekstil, kimya, gıda işleme ve savunma sanayi gibi sektörlerde faaliyet gösteren binlerce tesis, endüstriyel kontrol sistemlerine bağımlıdır. Bu tablonun siber güvenlik açısından ne anlama geldiği ise henüz yeterince tartışılmamaktadır.

Türkiye’de endüstriyel siber güvenliği doğrudan düzenleyen sektöre özgü bir mevzuat henüz tam anlamıyla olgunlaşmamıştır. Bununla birlikte Bilgi Teknolojileri ve İletişim Kurumu’nun (BTK) kritik altyapı güvenliğine ilişkin düzenlemeleri ve Cumhurbaşkanlığı Dijital Dönüşüm Ofisi’nin siber güvenlik stratejileri, bu alandaki yasal çerçevenin genişlediğine işaret eder. Ayrıca uluslararası tedarik zincirlerine entegre olan Türk üreticiler, yurt dışındaki müşterilerinin talep ettiği güvenlik standartlarını karşılamak zorunda kalmaktadır. Bu baskı özellikle Avrupa pazarına ihracat yapan firmalar için NIS2 direktifi üzerinden somutlaşmaktadır.

Türkiye’deki endüstriyel tesislerin IEC 62443’e yaklaşımında üç temel engel öne çıkmaktadır. Birincisi farkındalık eksikliğidir; operasyonel teknoloji güvenliği, BT güvenliğinin gölgesinde kalmaktadır. İkincisi yetkin insan kaynağı sorunudur; hem endüstriyel sistemleri hem de siber güvenliği anlayan uzman sayısı sınırlıdır. Üçüncüsü ise eski sistem gerçekliğidir; onlarca yıllık donanım ve yazılımla çalışan tesislerde modernizasyon maliyetli ve karmaşık bir süreçtir.

Öte yandan bu engellerin her biri aşılabilir niteliktedir. IEC 62443, tüm sistemi tek seferde dönüştürmeyi değil, risk önceliklerine göre kademeli ilerlemeyi mümkün kılar. Küçük bir adımla başlamak, hiç başlamamaktan her zaman daha iyi bir konuma taşır.

Endüstriyel Siber Güvenlikte IEC 62443’ün Ötesindeki Anlam

Bir standart, yalnızca uyulması gereken bir liste değildir. IEC 62443, endüstriyel sistemlerin güvenliğini ele alış biçimini köklü biçimde değiştirir. Güvenliği bir proje olarak değil, sürekli işleyen bir süreç olarak konumlandırır. Bu fark, uygulamada her şeyi belirler.

Endüstriyel kontrol sistemlerine yönelik saldırılar artık teorik senaryo değildir. Colonial Pipeline, Ukraine power grid ve Oldsmar su arıtma tesisi vakaları; kritik altyapının ne kadar kırılgan olabileceğini belgelemiş gerçek olaylardır. Bu olayların ortak paydası, teknik açıkların değil, süreç boşluklarının belirleyici rol oynamasıdır. Doğru yapılandırılmamış erişim izinleri, izlenmeyen ağ trafiği ve güncellenmemiş yazılımlar; sofistike saldırı araçlarından çok daha fazla hasara yol açmıştır.

IEC 62443, bu süreç boşluklarını kapatmak için tasarlanmıştır. Ancak standardın gerçek değeri sertifika belgesinde değil, uygulanma sürecinde ortaya çıkar. Bir tesisin varlıklarını envanterlemesi, bölgelerini tanımlaması ve risk değerlendirmesi yapması; henüz hiçbir teknik önlem alınmadan önce bile güvenlik olgunluğunu artırır. Çünkü bilinmeyen korunamaz.

Sonuç olarak IEC 62443, endüstriyel işletmelere net bir mesaj verir: siber güvenlik artık BT departmanının sorunu değildir. Üretim mühendisleri, tesis yöneticileri, tedarik zinciri sorumluları ve üst yönetim bu sorumluluğu birlikte taşır. Standart bu paylaşımı zorunlu kılar ve her paydaşa somut görevler biçer.

Dijital dönüşüm endüstriyel tesislere verimlilik kazandırırken aynı zamanda yeni riskler getirir. Bu riskleri görmezden gelmek bir tercih olmaktan çıkmıştır. IEC 62443, o riskleri yönetilebilir kılmanın en sistematik yolunu sunar.