Savunma Sanayii Başkanlığı EYDEP denetimi nedir? A, B ve C seviyesi tedarikçi değerlendirmesi, siber güvenlik kriterleri ve hazırlık kılavuzunu keşfedin.
Hızlı Özet (TL;DR)
EYDEP (Endüstriyel Yetkinlik Değerlendirme ve Destekleme Programı), T.C. Cumhurbaşkanlığı Savunma Sanayii Başkanlığı (SSB) tarafından yürütülen, Türk savunma, havacılık ve uzay ekosisteminde yer alan veya bu ekosisteme alt yüklenici olarak girmek isteyen sanayi firmalarının yönetsel, üretim, kalite ve bilişim yetkinliklerini yerinde ölçen ulusal denetim mekanizmasıdır. Firmalar denetim sonucunda aldığı puana göre A, B, C veya D seviyesinde sınıflandırılır ve ana entegratörlerin (ASELSAN, TUSAŞ, ROKETSAN, HAVELSAN, STM, BMC, TEI) onaylı tedarikçi listelerine bu seviyeyle kaydedilir. Güncel EYDEP değerlendirme matrisinde Bilişim Altyapısı, Ağ İzolasyonu, Veri Sızıntısı Önleme (DLP), Siber Olay Yönetimi ve Dijital Üretim İzlenebilirliği, firmanın puanını ve doğrudan iş alma kapasitesini belirleyen en kritik başlıklardır.
EYDEP Seviyeleri (A, B, C) Ne Anlama Gelir ve Neden Hayati Önem Taşır?
Savunma sanayii projelerinde yerlileştirme oranlarının artmasıyla birlikte, vakıf şirketleri ve ana yükleniciler alt yüklenici seçerken artık yalnızca “iyi CNC tezgahı olmasına” veya “uygun fiyat vermesine” bakmamaktadır. Bir alt yükleniciye teslim edilen milli mühimmat parçası teknik resmi, radar gövdesi 3B CAD modeli veya zırhlı araç alt sistem şartnamesi ulusal güvenlik niteliğinde gizli veridir. Eğer bu teknik resim, alt yüklenicinin korumasız bir bilgisayarından siber saldırganların eline geçerse veya fidye yazılımı (Ransomware) nedeniyle üretim durup teslimat gecikirse tüm ana proje tehlikeye girer.
Bu nedenle EYDEP denetimi sonucunda belirlenen seviyeler tedarik zincirinde doğrudan şu ticari sonuçları doğurur:
- EYDEP A Seviyesi (Stratejik Çözüm Ortağı): Tüm yönetim, kalite, üretim izlenebilirliği ve siber güvenlik kriterlerini en üst düzeyde karşılayan firmalardır. Ana entegratörlerin doğrudan tasarım ve kritik alt sistem ihale çağrılarına öncelikli davet edilirler.
- EYDEP B Seviyesi (Yetkin Alt Yüklenici): Belirli gelişim alanları bulunmakla birlikte savunma sanayii standartlarında güvenle üretim yapabilen onaylı tedarikçilerdir.
- EYDEP C Seviyesi (Gelişime Açık / Şartlı Aday): Üretim kabiliyeti olan ancak özellikle dijital izlenebilirlik, kalite kayıtları veya bilgi güvenliği/siber güvenlik altyapısında ciddi eksikleri bulunan firmalardır; kritik projelerde doğrudan sipariş alabilmeleri için eksiklerini kapatarak seviyelerini yükseltmeleri beklenir.
EYDEP Denetiminde IT, OT ve Siber Güvenlik Kriterleri Matrisi
EYDEP denetçileri fabrikanızı ziyaret ettiğinde yalnızca sözlü beyanları dinlemez; sistem odasını, saha kabinlerini, log kayıtlarını, yedekleme ünitelerini ve ERP ekranlarını bizzat inceleyerek kanıt talep eder:
| Denetim Alanı | Puanlanan Temel Kriter | Denetçinin İstediği Teknik Altyapı ve Kanıt | Seviye Etkisi |
|---|---|---|---|
| Ağ Güvenliği ve OT/IT Segmentasyonu | Üretim (OT/CNC) ağı ile Ofis (IT) ve Misafir ağlarının fiziksel/mantıksal yalıtımı | Yeni nesil Güvenlik Duvarı Firewall, L2/L3 Yönetilebilir Switch, VLAN topolojisi ve sıkı erişim kuralları | A ve B Seviyesi Zorunlu |
| Yasal Loglama ve Zaman Damgası | İç/dış ağ trafiğinin ve sunucu erişimlerinin 5651 uyumlu saklanması | Merkezi SIEM/Syslog sunucusu ve TÜBİTAK Kamu SM zaman damgalı değiştirilemez log arşivi | Tüm Seviyeler İçin Temel |
| Kurumsal Yedekleme ve Felaket Kurtarma | Fidye yazılımı ve yangın senaryolarında veri kaybının önlenmesi | 3-2-1 kuralına uygun, şifreli, çevrimdışı/değiştirilemez (Immutable) yedekleme ve geri dönüş testi tutanağı | A ve B Seviyesi Zorunlu |
| Uç Nokta, Port ve DLP Güvenliği | Gizli CAD/CAM teknik resimlerinin USB veya e-posta ile dışarı sızmasının engellenmesi | Merkezi EDR/Antivirüs, USB port kilitleme, ekran görüntüsü ve dosya transferi denetimi | A Seviyesi Kritik Kriter |
| ERP / MES ve Üretim İzlenebilirliği | Hammadde sertifikası, lot, operatör, kalibrasyon ve kalite kayıtlarının dijital takibi | Kağıtsız veya barkodlu Özel ERP & CRM İmalat Çözümleri, rol bazlı yetkilendirme | Genel Yetkinlik Puanı |
| Zafiyet Tarama ve Sızma Testi | Dış ve iç ağdaki güvenlik açıklarının düzenli tespiti ve kapatılması | Yıllık bağımsız Sızma Testi (Pentest) raporu ve yama yönetimi (Patch Management) kayıtları | A ve B Seviyesi Puan Artırıcı |
Savunma Sanayii Alt Yüklenicilerinde En Sık Tespit Edilen 4 Kritik Eksiklik
Saha denetimleri öncesinde savunma yan sanayi fabrikalarında yaptığımız ön incelemelerde puan kaybına yol açan en yaygın hatalar şunlardır:
- Düz (Flat) Ağ Yapısı ve Korumasız CNC Tezgahları: Muhasebe bilgisayarı, misafirlerin bağlandığı Wi-Fi modemi, kamera kayıt cihazı (NVR) ve milyonluk 5 eksenli CNC tezgahlarının aynı IP bloğunda (
192.168.1.x) hiçbir VLAN ayrımı olmadan çalışması denetimde doğrudan kritik bulgu (Major Non-Conformity) sebebidir. - Ortak Şifreli ve Yetkisiz Dosya Paylaşımları: Müşteriden gelen gizli teknik resimlerin ağ üzerindeki herkese açık (“Everyone - Tam Denetim”) bir klasörde tutulması; hangi mühendisin veya operatörün hangi çizimi ne zaman açtığının, kopyaladığının veya sildiğinin loglanmaması veri güvenliği puanını sıfırlar.
- USB Belleklerle Tezgaha Program Taşıma: CAM bilgisayarından alınan G-Code programlarının kontrolsüz şahsi USB belleklerle tezgahlara taşınması hem veri sızıntısı (Data Exfiltration) hem de endüstriyel virüs bulaşma riski nedeniyle kabul edilmez.
- Sadece Sunucunun Yanındaki Diske Yedek Almak: Sunucu kabininin hemen üstüne konulan harici bir USB diske yedek almak felaket kurtarma kriterini karşılamaz; olası bir yangında veya ağa bağlı diski de şifreleyen fidye yazılımı saldırısında ana veriyle birlikte yedek de yok olur.
EYDEP Denetiminden Yüksek Puanla Geçmek İçin 5 Adımlı Hazırlık Yol Haritası
Fabrikanızın EYDEP değerlendirmesinde A veya üst B seviyesine yerleşmesi ve SSB Siber Güvenlik Olgunluk Modeli şartlarını sağlaması için uygulanması gereken mühendislik adımları:
- Ağ Topolojinizi Yenileyin ve Varlık Envanterinizi Belgeleyin: Denetim ekibine ağda bulunan tüm sunucu, güvenlik duvarı, yönetilebilir anahtar (Switch), erişim noktası, bilgisayar ve CNC tezgahlarının güncel fiziksel/mantıksal ağ topoloji şemasını ve donanım/yazılım envanter listesini sunabilmelisiniz.
- Geleneksel Klasörler Yerine Yetkilendirilmiş Dosya Sunucusuna Geçin: Vakıf şirketlerinden alınan teknik şartnameler ve CAD/CAM projeleri, Ortak Dosya Sunucusu ve Yedekleme mimarisi üzerinde departman/proje bazlı en az yetki prensibiyle (Least Privilege) kriptolu olarak barındırılmalı ve tüm dosya erişimleri denetim izine (Audit Log) kaydedilmelidir.
- Merkezi DNC ve Makine Ağ İzolasyonu Kurun: USB bellek kullanımını sonlandırarak CNC tezgahlarını izole bir üretim VLAN’ına alın ve program aktarımını yetkilendirilmiş ağ üzerinden gerçekleştirin.
- Bağımsız Sızma Testi (Pentest) ve Yedek Geri Dönüş Tatbikatı Yapın: Yılda en az bir kez sızma testi yaptırarak bulguları kapattığınızı raporlayın. Ayrıca alınan yedeklerin gerçekten çalıştığını kanıtlamak için 3 ayda bir “Yedekten Geri Dönüş Test Tutanağı (Restore Test)” düzenleyerek denetim dosyasına ekleyin.
- 5651 Yasal Loglama ve KVKK Uyumunu Belgeleyin: İnternet çıkış loglarını, VPN bağlantılarını ve yerel DHCP IP dağıtım kayıtlarını zaman damgalı olarak arşivleyin; çalışanlar ve ziyaretçiler için bilgi güvenliği taahhütnamelerini ve mavi/beyaz yaka farkındalık eğitimi katılım listelerini hazır bulundurun.
Savunma sanayiinde denetim standartlarına yüzde 100 uyumlu endüstriyel ağ altyapısı ve CNC izolasyonu için Savunma Sanayii İmalat Ağ Güvenliği sayfamızı, yasal loglama için KVKK ve 5651 Çözümleri hizmetimizi ve üretim izlenebilirliği için Üretim Takip Yazılımı çözümlerimizi ziyaret edin.
Sıkça Sorulan Sorular
EYDEP denetimine hazırlık ve bilişim altyapısının uyumlu hale getirilmesi ne kadar sürer?
Orta ölçekli bir imalat tesisinde mevcut ağın analizi, Firewall ve VLAN segmentasyonunun kurulması, yetkilendirilmiş dosya ve yedekleme sunucusunun devreye alınması, 5651 loglama sisteminin yapılandırılması ve dokümantasyon/tatbikat dosyalarının hazırlanması Maysa Yazılım uzmanlığıyla ortalama 3 ila 6 hafta içinde tamamlanmaktadır.
Daha önce EYDEP denetimine girip C seviyesi alan bir firma seviyesini A veya B’ye yükseltebilir mi?
Evet, EYDEP denetimi sonrasında firmaya güçlü ve gelişime açık yönlerini gösteren bir geri bildirim raporu sunulur. Firma özellikle bilişim güvenliği, ERP/üretim izlenebilirliği ve kalite sistemlerindeki eksiklerini tamamladıktan sonra iyileştirme kanıtlarıyla birlikte yeniden değerlendirme (Seviye Güncelleme Denetimi) başvurusunda bulunarak sınıfını yükseltebilir.
Küçük ve orta ölçekli (KOBİ) bir yan sanayi firması için bu güvenlik yatırımları çok yüksek bütçeli midir?
Hayır, amaç fabrikanın ihtiyacı olmayan milyon dolarlık veri merkezi cihazları satın almak değil; EYDEP kriterlerinin tam olarak istediği ağ izolasyonunu, 3-2-1 yedeklemeyi, port güvenliğini ve izlenebilirliği rasyonel, endüstriyel sınıf donanım ve özel yazılım mimarisiyle en optimum maliyetle kurmaktır.