Üretim sanayisinde tedarik zinciri siber riskleri: Fason üreticilere verilen ağ yetkileri, üçüncü taraf yazılım güvenliği ve risk azaltma adımları burada.
Hızlı Özet (TL;DR)
Bir ana sanayi fabrikasının kendi güvenlik duvarı, sunucu odası ve siber güvenlik ekibi ne kadar güçlü olursa olsun; birlikte çalıştığı fason talaşlı imalat atölyesinin, kalıpçının, hammadde tedarikçisinin veya uzaktan bakım yapan makine servis firmasının (OEM) zayıf siber güvenliği, ana üreticiyi doğrudan siber saldırıların hedefi haline getirir. Küresel siber güvenlik tarihinde milyarlarca dolarlık zarara yol açan en büyük veri sızıntıları ve fidye yazılımı vakaları, doğrudan ana hedefe değil, tedarik zincirindeki en zayıf halkaya sızılarak gerçekleştirilmiştir. İmalatta Tedarik Zinciri Siber Risk Yönetimi; fason firmalarla paylaşılan 3D CAD/STEP teknik resimlerinin DLP ile şifrelenmesini ve filigranlanmasını, tedarikçilere verilen kontrolsüz VPN yetkilerinin Sıfır Güven (Zero Trust) mimarisiyle kapatılmasını, BEC (Sahte Fatura/IBAN) dolandırıcılığının önlenmesini ve güvenli B2B tedarikçi portallarının devreye alınmasını zorunlu kılar.
Neden Saldırganlar Ana Fabrikayı Değil, Fason Atölyeyi Hedef Alır?
Savunma sanayii, otomotiv, havacılık, beyaz eşya ve makine imalat sektörlerinde hiçbir fabrika tüm parçaları tek başına üretmez; ısıl işlem, yüzey kaplama, fason CNC işleme, sac kesim ve kalıp imalatı için onlarca alt yüklenici (Yan Sanayi / Fason) ile çalışır.
Ana sanayi firması siber güvenliğe ciddi bütçe ayırırken, 15 kişinin çalıştığı bir fason CNC atölyesinde veya kalıp bakım firmasında genellikle kurumsal bir güvenlik duvarı bile yoktur; tüm bilgisayarlar aynı ev tipi modeme bağlıdır, lisanssız yazılımlar kullanılmaktadır ve e-posta hesaplarında çok faktörlü kimlik doğrulama (MFA) kapalıdır. Siber saldırganlar ana fabrikaya doğrudan girmek yerine bu küçük tedarikçiyi kolayca ele geçirir ve oradan ana fabrikaya sıçramak (Island Hopping) için üç kanalı kullanır:
- Tedarikçi VPN ve Uzaktan Bakım Tünelleri: Makine arızalarına müdahale etmesi için otomasyon firmasına veya stok/sipariş girmesi için tedarikçiye verilen tam yetkili SSL/IPsec VPN bağlantıları.
- E-Posta Ele Geçirme ve Zararlı Teknik Resim Dosyaları: Ele geçirilen fason üreticinin gerçek e-posta adresinden ana fabrikanın satın alma veya kalite mühendisine gönderilen, içine makro/exploit gizlenmiş
"Revize_Olcu_Raporu_STEP.zip"dosyaları. - Fikri Mülkiyet (Know-How) Hırsızlığı: Ana fabrikanın yıllarca AR-GE yaparak geliştirdiği kritik savunma veya makine parçalarının 3D CAD çizimlerinin, fason atölyenin korumasız bilgisayarından doğrudan rakip firmalara veya yabancı aktörlere çalınması.
Tedarik Zincirinde Karşılaşılan 4 Kritik Siber Tehdit ve Korunma Matrisi
Üretim ekosisteminde dış paydaşlardan, taşeronlardan ve üçüncü taraf servis sağlayıcılardan kaynaklanan temel siber riskler ve mühendislik çözümleri:
| Tehdit Vektörü | Saldırının Gerçekleşme Mekanizması | İşletme İçin Olası Yıkıcı Sonuç | Mühendislik Korunma ve İzolasyon Yöntemi |
|---|---|---|---|
| Üçüncü Taraf VPN ve Bakım Sızıntısı | Fason üreticinin veya makine servisinin virüslü bilgisayarından ana fabrikaya L2/L3 VPN tüneli açılması | Fidye yazılımının doğrudan fabrika sunucularına ve PLC ağına sıçraması | Tam ağ VPN’i yerine uygulama bazlı ZTNA / Bastion Host, MFA ve ekran kayıtlı geçici oturum |
| CAD / Teknik Çizim Sızıntısı (IP Theft) | Fasona e-posta veya WhatsApp ile gönderilen STEP, IGES, SolidWorks ve DWG dosyalarının çalınması | Yıllarca süren AR-GE’nin kopyalanması, savunma sanayii gizlilik ihlali ve ağır tazminatlar | DLP Veri Sızıntısı Önleme ile kriptografik hak yönetimi, indirme kilidi ve dinamik filigran |
| Tedarikçi E-Posta Taklidi (BEC / Sahte IBAN) | Tedarikçinin e-postasını ele geçiren saldırganın “Banka hesabımız değişti” diyerek sahte fatura göndermesi | Milyonlarca liralık hammadde veya kalıp ödemesinin dolandırıcıların hesabına aktarılması | SPF/DKIM/DMARC doğrulaması, ERP içinde IBAN değişiklik kilidi ve telefonla çift teyit protokolü |
| Zararlı USB ve Saha Servis Bilgisayarları | Bakım için fabrikaya gelen dış servis teknisyeninin virüslü USB belleği CNC/HMI panosuna takması | Hava boşluklu (Air-Gapped) üretim ağının içeriden enfekte edilmesi | Fiziksel USB port kilitleri, fabrika girişinde Kiosk antivirüs tarama istasyonu (Sanitization Kiosk) |
Fason Üreticiler İçin Güvenli B2B Tedarikçi Portalı Mimarisi
Teknik çizimleri, kalite kontrol speklerini ve fason üretim iş emirlerini kontrolsüz e-posta ekleriyle, WeTransfer ile veya mesajlaşma uygulamalarıyla göndermek modern sanayide kabul edilemez bir güvenlik açığıdır. Bunun yerine İmalat ERP Çözümleri ile doğrudan konuşan, izole bir B2B Fason ve Tedarikçi Portalı devreye alınır:
1. Tarayıcı İçi 3D/2D Görüntüleme (Zero-Download CAD Viewer)
Fason üretici kendi kurumsal kullanıcısı ve cep telefonuna gelen SMS/Authenticator (MFA) koduyla portala giriş yaptığında, yalnızca kendisine atanmış aktif iş emirlerini görür. Parçanın teknik resmini veya 3D modelini incelemek istediğinde dosya bilgisayarına ham .step veya .sldprt olarak inmez; güvenli web tarayıcısı içindeki WebGL tabanlı görüntüleyicide açılır.
2. Dinamik Filigran (Forensic Watermarking) ve İzin Süresi
Üretim gereği fason firmaya PDF teknik resim veya CAM verisi verilmesi zorunluysa, sistem dosyayı oluşturduğu saniyede çizimin arka planına ve meta verilerine fason firmanın ticari ünvanını, vergi numarasını, indiren kullanıcının IP adresini ve indirme tarih/saatini silinemez filigran (Watermark) olarak basar. Bu psikolojik ve teknik caydırıcılık sayesinde, çizim üçüncü bir şahsın elinde yakalandığında sızıntının hangi alt yükleniciden çıktığı saniyesinde kanıtlanır.
3. Süre Sonunda Otomatik Erişim İptali
Fason iş emri tamamlanıp parçalar fabrikaya teslim edildiği ve kalite kabulü yapıldığı anda, tedarikçinin o parçanın teknik resimlerine olan erişim yetkisi portal üzerinden otomatik olarak kapatılır. Tedarikçide yıllar boyu eski projelerin çizim arşivinin birikmesi engellenir.
Üçüncü Taraf Uzaktan Erişimlerde “Sıfır Güven” (Zero Trust) Kuralları
Fabrikanızdaki bir ERP modülüne, veritabanına veya otomasyon hattına dışarıdan bir danışmanın ya da tedarikçinin bağlanması gerektiğinde uygulanması gereken Savunma Sanayii ve İmalat Siber Güvenlik standartları şunlardır:
- Ağ Seviyesi VPN Yerine Uygulama Seviyesi İzolasyon: Dış firmaya tüm fabrika IP bloğuna erişebilen açık bir VPN profili asla verilmez. Yalnızca çalışacağı tek bir sunucunun tek bir portuna (örneğin sadece test sunucusunun RDP/SSH portuna) erişim izni tanımlanır.
- Tam Zamanında Erişim (Just-In-Time - JIT Access): Tedarikçi veya servis hesabı normal şartlarda
Devre Dışı (Disabled)durumdadır. Yalnızca bakım talebi açıldığında bilgi işlem onayıyla örneğin “Bugün saat 14:00 – 16:00 arası (2 saatliğine)” aktif olur ve süre dolduğunda oturum otomatik olarak sonlandırılır. - Video Kayıtlı Oturum İzleme (Session Recording): Dış uzmanın sunucu ekranında yaptığı her fare hareketi, çalıştırdığı her komut ve kopyaladığı her dosya değiştirilemez video logu olarak kaydedilir.
Sahte Fatura ve IBAN Değişikliği (BEC) Dolandırıcılığını Önleme
İmalat sektöründe özellikle yurt dışı hammadde ithalatlarında ve yüksek tutarlı fason ödemelerinde en sık yaşanan finansal siber saldırı Business Email Compromise (BEC) yöntemidir. Saldırganlar tedarikçinizin e-posta sunucusuna sızar ve aylarca sizin satın alma departmanınızla olan yazışmalarınızı sessizce izler. Tam ödeme günü geldiğinde, tedarikçinin gerçek e-postasından (veya tek harfi değiştirilmiş çok benzer bir alan adından) muhasebenize şu mesajı atar: “Mevcut banka hesabımızda denetim/bloke olduğu için bu faturanın ödemesini ekteki yeni SWIFT/IBAN hesabımıza yapmanızı rica ederiz.”
Bu tuzağı tamamen etkisiz hale getirmek için yazılım ve süreç düzeyinde şu iki kural işletilir:
- ERP Cari Kart IBAN Kilidi: ERP sisteminde bir tedarikçinin kayıtlı banka IBAN numarası sıradan bir muhasebe personeli tarafından değiştirilemez. IBAN değişikliği girildiğinde sistem ödemeyi otomatik olarak bloklar ve finans müdürünün ekranına “Doğrulama Bekleyen Hesap Değişikliği” uyarısı düşürür.
- Bant Dışı (Out-of-Band) Sesli Teyit Zorunluluğu: E-posta üzerinden gelen hiçbir banka hesap değişikliği kabul edilmez; e-postadaki telefon numarası değil, sistemde önceden kayıtlı olan resmi sabit telefon numarası aranarak tedarikçinin finans yetkilisiyle sesli teyit yapılmadan ödeme kilidi açılmaz.
Tedarik zincirinizi siber tehditlere karşı güvenceye almak, AR-GE ve CAD çizimlerinizi sızıntılara karşı korumak için DLP Veri Sızıntısı Önleme, güvenli B2B tedarikçi portalları için Özel Yazılım Geliştirme ve mevcut dış bağlantılarınızın güvenlik denetimi için Sızma Testi ve Pentest sayfalarımızı ziyaret edebilirsiniz.
Sıkça Sorulan Sorular
Fason üreticimize gönderdiğimiz 3D STEP veya SolidWorks dosyasını kendi bilgisayarında açması gerektiğinde sızıntıyı nasıl önleriz?
Fason üreticinin CAM programı (Mastercam, SolidCAM, NX vb.) çıkarmak için dosyayı kendi bilgisayarında açması gereken durumlarda iki yöntem uygulanır: Birincisi, fason üreticiye dosyayı kendi bilgisayarına indirmek yerine, sizin veri merkezinizde çalışan bulut tabanlı bir Sanal Mühendislik Masaüstü (VDI) üzerinden çalışma yetkisi verilir; böylece dosya sizin sunucunuzdan dışarı hiç çıkmaz. İkincisi ise kurumsal DLP/IRM (Bilgi Hakları Yönetimi) ajanı ile şifrelenmiş dosya paylaşılır; dosya yalnızca yetkili fason bilgisayarda açılır, ekran görüntüsü alınamaz, USB’ye kopyalanamaz ve 7 gün sonra kendi kendini imha eder.
Savunma sanayii veya otomotiv ana sanayi denetimlerinde (EYDEP, TISAX, ISO 27001) alt yüklenici güvenliği nasıl denetlenir?
Ana sanayi denetimlerinde sadece kendi fabrikanızın güvenliği değil, kritik parçaları ürettirdiğiniz alt yüklenicilerin bilgi güvenliği olgunluğu da sorgulanır. Bu kapsamda tüm fason firmalarla hukuki bağlayıcılığı olan Tedarikçi Bilgi Güvenliği ve Gizlilik Sözleşmesi (NDA & SLA) imzalanmalı, tedarikçiler risk seviyelerine göre sınıflandırılmalı ve kritik çizim paylaşımları mutlaka loglanan kapalı devre B2B portalları üzerinden yürütülmelidir.
Fabrikamıza bakım için gelen makine servis mühendislerinin kendi dizüstü bilgisayarlarını PLC ağına takmasına izin vermeli miyiz?
Doğrudan takmalarına kesinlikle izin verilmemelidir; çünkü dış servis mühendisinin bilgisayarı bir gün önce başka bir fabrikadaki virüslü ağa bağlanmış olabilir. En güvenli uygulama, fabrika bünyesinde gerekli tüm lisanslı mühendislik yazılımlarının kurulu olduğu “Temiz Bakım Bilgisayarları” bulundurmak ve dış uzmanın bu cihazı kullanmasını sağlamaktır. Eğer kendi bilgisayarını kullanması zorunluysa, bağlantı yalnızca endüstriyel güvenlik duvarı üzerinden izole edilmiş tek makinelik bakım VLAN’ına yapılmalı ve USB bellekler Kiosk tarama istasyonundan geçirilmelidir.