Fabrikalarda IEC 62443 endüstriyel siber güvenlik standardı: Zones ve conduits mimarisi, güvenlik seviyeleri (SL) ve denetim hazırlık kılavuzunu inceleyin.
Hızlı Özet (TL;DR)
ISA/IEC 62443, Endüstriyel Otomasyon ve Kontrol Sistemlerinin (IACS - Industrial Automation and Control Systems) siber güvenliğini sağlamak üzere geliştirilmiş en kapsamlı küresel standartlar ailesidir. Ofis bilişimini (IT) odak noktasına alan ISO/IEC 27001’den farklı olarak IEC 62443; doğrudan üretim sahasındaki PLC, SCADA, DCS, CNC tezgâhları ve robotik hatların kesintisiz çalışmasını (Availability), insan/işçi can güvenliğini (Safety) ve fiziksel ekipman bütünlüğünü merkezine koyar. Standardın en temel mühendislik prensibi; üretim sahasını düz bir ağ (Flat Network) olmaktan çıkarıp mantıksal/fiziksel Güvenlik Bölgelerine (Zones) ayırmak ve bu bölgeler arasındaki tüm veri akışını denetlenen güvenli Kanallarla (Conduits) sınırlandırmaktır.
Neden Fabrikalar İçin ISO 27001 Tek Başına Yeterli Değildir ve IEC 62443 Gerekir?
Bilgi teknolojileri (IT) dünyasında güvenlik öncelik sıralaması C-I-A (Gizlilik -> Bütünlük -> Erişilebilirlik) şeklindedir. Bir muhasebe sunucusunda şüpheli bir hareket görüldüğünde sunucunun ağ bağlantısını 15 dakikalığına kesmek veya bilgisayarı yeniden başlatmak normal bir prosedürdür.
Ancak Operasyonel Teknolojiler (OT / IACS) dünyasında bu sıralama tam tersine döner: S-A-I-C (Can Güvenliği -> Erişilebilirlik -> Bütünlük -> Gizlilik). 1.200 derecede erimiş metal döken bir indüksiyon ocağının, yüksek basınçlı bir buhar kazanının veya 5 eksenli bir havacılık işleme merkezinin kontrol ağını “şüpheli paket geçti” diye aniden kesemezsiniz; bu durum fiziksel patlamaya, iş kazasına ve milyonlarca liralık kalıp/makine hasarına yol açar. İşte ISA/IEC 62443 standardı, 15–20 yıl boyunca sahada çalışan, yama yüklenemeyen ve milisaniyelik gerçek zamanlı tepki süresi gerektiren endüstriyel sistemlerin nasıl güvene alınacağını tanımlayan mühendislik anayasasıdır.
IEC 62443 Standart Ailesinin 4 Katmanlı Yapısı ve Rol Dağılımı
IEC 62443 tek bir belgeden oluşmaz; endüstriyel ekosistemdeki üç ana paydaşı (Varlık Sahibi/Fabrika, Sistem Entegratörü ve Donanım/Yazılım Üreticisi) kapsayan 4 ana seriden meydana gelir:
- Bölüm 1 (Genel Kavramlar ve Modeller): Terimler, kısaltmalar ve temel güvenlik yaşam döngüsü kavramlarını tanımlar (
IEC 62443-1-1). - Bölüm 2 (Politikalar ve Prosedürler — Fabrika Yönetimi Odaklı): Tesis sahibinin (Asset Owner) kurması gereken IACS güvenlik yönetim sistemini (
IEC 62443-2-1) ve makine kurulum/bakım hizmeti veren entegratörlerin uyması gereken yama ve güvenlik prosedürlerini (IEC 62443-2-4) belirler. - Bölüm 3 (Sistem Seviyesi Gereksinimler — Ağ ve Mimari Odaklı): Fabrika ağında risk değerlendirmesi yapılmasını, Zones and Conduits mimarisinin tasarlanmasını (
IEC 62443-3-2) ve sistemin sağlaması gereken teknik güvenlik gereksinimlerini (IEC 62443-3-3) düzenler. - Bölüm 4 (Bileşen Seviyesi Gereksinimler — Üretici Odaklı): PLC, HMI, sensör veya endüstriyel switch üreten firmaların güvenli yazılım geliştirme yaşam döngüsünü (
IEC 62443-4-1) ve cihaz donanım güvenliğini (IEC 62443-4-2) şart koşar.
IEC 62443 Güvenlik Seviyeleri (Security Levels - SL 1’den SL 4’e)
Standart, fabrikadaki her makineyi aynı seviyede korumaya çalışmanın ekonomik olmadığını kabul eder ve tehdit profiline göre 4 farklı Güvenlik Seviyesi (Security Level - SL) ile 7 Temel Gereksinim (Foundational Requirements - FR) tanımlar:
| Güvenlik Seviyesi | Hedeflenen Tehdit Profili | Saldırganın Kaynak, Yetenek ve Motivasyonu | Fabrika Sahasında Zorunlu Teknik Koruma Önlemleri |
|---|---|---|---|
| SL 1 | Kasıtsız veya tesadüfi insan hataları | Kötü niyeti olmayan dikkatsiz operatör veya bakım personeli | Rol tabanlı HMI şifreleri, fiziksel USB port kilitleri, temel VLAN ayrımı, yanlışlıkla kablo takılmasını önleyen switch port güvenliği |
| SL 2 | Basit siber saldırganlar ve genel zararlı yazılımlar | Düşük kaynaklı korsanlar, hazır istismar araçları veya ofis ağından sıçrayan standart fidye yazılımları | Zones & Conduits ağ segmentasyonu, endüstriyel güvenlik duvarı, SMB/RDP blokajı, merkezi loglama ve güvenli VPN |
| SL 3 | Gelişmiş siber suç örgütleri ve endüstriyel casusluk | IACS protokollerini (Modbus, Profinet, OPC UA) bilen, orta/yüksek kaynaklı ve yüksek motivasyonlu gruplar | Derin Paket İnceleme (OT DPI), pasif OT IDS anomali tespiti, çok faktörlü kimlik doğrulama (MFA), mTLS şifreleme, uygulama beyaz listesi |
| SL 4 | Devlet destekli gelişmiş tehdit aktörleri (APT) | Sınırsız finansal kaynak, özel geliştirilmiş sıfır gün (0-day) açıkları ve fiziksel sabotaj kapasitesi | Tam fiziksel izolasyon, donanımsal tek yönlü veri diyotları (Data Diode), TPM 2.0 donanım doğrulaması, 7/24 SOC korelasyonu |
SL-T (Hedef), SL-C (Kapasite) ve SL-A (Gerçekleşen) Farkı
IEC 62443 denetimlerinde güvenlik seviyesi üç boyutta ölçülür:
- SL-T (Target Security Level): Risk analizi sonucunda bir üretim bölgesi için belirlenen hedef güvenlik seviyesidir (örneğin Savunma Sanayii Talaşlı İmalat Bölgesi için
SL-T = 3). - SL-C (Capability Security Level): Satın alınan güvenlik duvarının, switch’in veya PLC’nin teknik olarak desteklediği maksimum kapasitedir.
- SL-A (Achieved Security Level): Kurulum ve sıkılaştırma bittikten sonra sahada yapılan sızma testi ve denetim sonucunda fiilen ulaşılan güvenlik seviyesidir. Denetimden geçmek için
SL-A >= SL-Tşartı sağlanmalıdır.
Purdue Modeli ile Zones and Conduits (Bölgeler ve Kanallar) Mimarisi
IEC 62443-3-2 standardına göre fabrika ağı tek bir IP bloğundan (örneğin tüm fabrikanın 192.168.1.x olması) kesinlikle oluşamaz. Fabrika, Purdue Referans Mimarisi temel alınarak dikey katmanlara ve yatay Güvenlik Bölgelerine (Zones) bölünür:
1. Kurumsal IT Bölgeleri (Seviye 4 ve Seviye 5)
E-posta, internet çıkışı, muhasebe, İK ve ofis bilgisayarlarının bulunduğu bölgedir. Siber tehditlere en açık katmandır; bu bölgeden üretim sahasına doğrudan hiçbir ağ bağlantısı olamaz.
2. Endüstriyel DMZ Bölgesi (Seviye 3.5 — Tampon Bölge)
IT ağı ile OT üretim ağı arasındaki gümrük kapısıdır. Veri toplama ara sunucuları, DNC dosya aktarım köprüleri, MQTT Broker ve uzaktan bakım bağlantı sunucuları (Jump Host) burada konumlanır. Hem üstteki IT ağıyla hem alttaki OT ağıyla doğrudan konuşamaz; trafiği çift güvenlik duvarı kuralıyla sonlandırır.
3. Üretim Operasyonları ve MES Bölgesi (Seviye 3)
Fabrika genelindeki Üretim Takip Yazılımı (MES), merkezi SCADA, tarihçe veritabanı (Historian) ve mühendislik iş istasyonlarının bulunduğu bölgedir.
4. Hücre/Hat Kontrol Bölgeleri (Seviye 2, 1 ve 0 — OT Zones)
Her bir üretim hattı (örneğin “Bölge A: Plastik Enjeksiyon Hattı”, “Bölge B: 5 Eksen CNC Hücresi”, “Bölge C: Robotik Kaynak Hattı”, “Bölge D: Kazan ve Enerji Odası”) birbirinden bağımsız birer Zone (Bölge) olarak tasarlanır. Böylece Kaynak Hattı’ndaki bir PLC’ye bakım bilgisayarından zararlı bulaşsa dahi, Enjeksiyon veya CNC bölgesi bundan %100 izole kalır.
5. Conduit (Güvenli İletişim Kanalı) Tasarımı
İki farklı bölge (Zone) arasındaki bilgi alışverişini sağlayan sıkı denetimli ağ borusuna Conduit (Kanal) denir. Bir Conduit üzerinde hangi IP’nin hangi IP ile, hangi porttan ve hangi endüstriyel fonksiyon koduyla konuşabileceği Berqnet Güvenlik Duvarı ve endüstriyel güvenlik kurallarıyla beyaz listeye (Whitelist) alınır; geri kalan tüm trafik varsayılan olarak bloklanır.
KOBİ’ler ve Sanayi Tesisleri İçin 5 Adımda IEC 62443 Uyum Yol Haritası
- Kapsamlı OT Varlık Envanteri Çıkarma: Fabrikadaki tüm PLC, CNC, HMI, robot kontrolcüsü, VFD sürücü, IIoT gateway ve endüstriyel switch’lerin marka, model, firmware sürümü, IP ve MAC adresleri çıkarılır.
- Yüksek Seviyeli Risk Değerlendirmesi: Hangi üretim hattının durması veya manipüle edilmesi durumunda en yüksek finansal kayıp veya iş güvenliği riski oluşacağı hesaplanır.
- Bölge ve Kanal (Zone & Conduit) Diyagramının Çizilmesi: Mevcut düz ağ topolojisi yeniden tasarlanarak üretim hücreleri VLAN ve firewall arayüzleriyle birbirinden ayrılır, her bölgeye uygun
SL-Thedefi atanır. - 7 Temel Gereksinimin (FR 1–7) Uygulanması: Kimlik doğrulama (IAC), kullanım kontrolü (UC), sistem bütünlüğü (SI), veri gizliliği (DC), kısıtlı veri akışı (RDF), olaylara zamanında yanıt (TRE) ve kaynak erişilebilirliği (RA) kontrolleri devreye alınır.
- Doğrulama ve Sürekli İzleme: Yapılan segmentasyonun çalışıp çalışmadığı güvenli OT denetim yöntemleriyle test edilir ve OT olay logları merkezi olarak izlenir.
Fabrika sahanızda IEC 62443 ve Purdue modeline tam uyumlu ağ segmentasyonu kurmak için Savunma Sanayii ve İmalat Ağ Güvenliği ile Güvenlik Duvarı Firewall sayfalarımızı inceleyebilir, endüstriyel zafiyet analizi için Sızma Testi ve Pentest uzmanlarımızla iletişime geçebilirsiniz.
Kaynaklar
Sıkça Sorulan Sorular
Bir fabrikanın IEC 62443 uyumlu olması için tüm eski PLC ve CNC’lerini yenilemesi gerekir mi?
Hayır, IEC 62443 standardının en güçlü yanı “Telafi Edici Önlemler (Compensating Countermeasures)” kavramını kabul etmesidir. 15 yıllık bir PLC veya Windows XP tabanlı bir CNC tezgâhı tek başına modern şifreleme ve kullanıcı doğrulaması (SL 2 / SL 3) desteklemese bile, o tezgâhı izole bir Güvenlik Bölgesine (Zone) alıp önüne endüstriyel bir güvenlik duvarı (Conduit koruyucu) ve erişim kontrolü koyarak bölge bazında hedef güvenlik seviyesini yakalayabilirsiniz.
Standart bir KOBİ üretim tesisi için hangi Güvenlik Seviyesi (SL) hedeflenmelidir?
Genel imalat, otomotiv yan sanayii, gıda, tekstil ve makine imalatı yapan KOBİ tesislerinde standart üretim hatları için genellikle SL 2 (Güvenlik Seviyesi 2) hedeflenir. Ancak savunma sanayii, havacılık parçası üretimi, tehlikeli kimyasal/patlayıcı prosesler ve kritik enerji tesislerindeki ana kontrol bölgelerinde SL 3 seviyesinin uygulanması şart koşulmaktadır.
IEC 62443 denetiminde makine tedarikçilerinin uzaktan bakım bağlantıları nasıl değerlendirilir?
Denetçilerin ilk kontrol ettiği noktalardan biri üçüncü parti makine üreticilerinin uzaktan erişim yöntemidir. Üretim sahasındaki bir bilgisayarda 7/24 açık bırakılan TeamViewer, AnyDesk veya doğrudan port yönlendirilmiş RDP bağlantıları IEC 62443’e göre kritik ihlaldir. Uzaktan bakım bağlantıları mutlaka DMZ katmanındaki bir yetkilendirme sunucusu (Jump Server) üzerinden, çok faktörlü kimlik doğrulama (MFA), oturum video kaydı ve fabrika IT sorumlusunun anlık onayıyla açılıp iş bitince kapatılacak şekilde kurgulanmalıdır.