Tedarik zinciri güvenlik yönetimi: ISO 28000 standardı, üçüncü taraf risk yönetimi (TPRM), fasoncu siber güvenlik denetimleri ve kontrol listesi rehberi.
Hızlı Özet (TL;DR)
Modern sanayi ekosisteminde siber suç örgütleri ve endüstriyel casusluk grupları, milyonlarca dolarlık siber güvenlik yatırımı yapmış olan büyük ana sanayi kuruluşlarına (OEM) doğrudan saldırmak yerine; onların güvenlik duvarları zayıf olan fason üreticilerini, kalıp atölyelerini, lojistik partnerlerini ve yazılım tedarikçilerini hedef almaktadır (Supply Chain Attack / Tedarik Zinciri Saldırısı). Bu yapısal riski kontrol altına almak amacıyla geliştirilen ISO 28000 (Tedarik Zinciri Güvenlik Yönetim Sistemi) standardı ve kurumsal TPRM (Third-Party Risk Management - Üçüncü Taraf Risk Yönetimi) programları, tedarikçilerin hem fiziksel hem de siber güvenlik olgunluğunu sözleşme öncesi ve sonrasında sürekli denetlemeyi zorunlu kılar.
Tedarik Zinciri Neden Siber Saldırganların Birincil Hedefidir?
Bir otomotiv, savunma veya makine ana sanayi kuruluşu; üretimini yüzlerce Tier-1 ve Tier-2 yan sanayi tedarikçisiyle entegre şekilde yürütür. Ana sanayi ile tedarikçi arasında;
- EDI (Elektronik Veri Değişimi) ve B2B tedarikçi portalları,
- Ortak kullanılan 3D CAD/CAM mühendislik çizim havuzları,
- Uzaktan bakım veya ERP entegrasyonu için açılmış Site-to-Site VPN tünelleri,
- Sürekli karşılıklı gidip gelen teklif, fatura ve sevkiyat e-postaları bulunur.
Eğer bir fason üreticinin bilgi işlem altyapısında güncel bir güvenlik duvarı veya uç nokta koruması yoksa, saldırganlar önce bu fason üreticiyi ele geçirir (Ada Atlama / Island Hopping). Ardından tedarikçinin güvenilir e-posta adresini veya VPN tünelini kullanarak ana sanayi kuruluşunun iç ağına sızar ya da tedarikçideki üretimi fidye yazılımıyla durdurarak ana sanayinin montaj hattını kilitler.
ISO 28000 Standardı ve TPRM Mimarisi Neyi Kapsar?
ISO 28000, hammadde tedarikinden üretime, depolamadan lojistik sevkiyata kadar tedarik zincirinin her halkasındaki fiziksel, operasyonel ve bilgi güvenliği risklerini bütünsel bir çerçevede yöneten uluslararası yönetim standardıdır. TPRM (Üçüncü Taraf Risk Yönetimi) ise bu standardın özellikle bilişim, veri paylaşımı ve alt yüklenici ekosistemine odaklanan denetim metodolojisidir.
Fason Üretici ve Tedarikçi Denetim Alanları
Bir ana sanayi kuruluşunun veya denetim ekibinin, tedarikçisini (yan sanayi/fasoncu) TPRM ve ISO 28000 kapsamında denetlerken puanladığı temel teknik kriterler şunlardır:
| Denetim Kategorisi | İncelenen Teknik Parametre | Kabul Edilemez Zafiyet (Red Flag) | İstenen Asgari Güvenlik Seviyesi |
|---|---|---|---|
| Ağ ve VPN İzolasyonu | Ana sanayi ile kurulan VPN tünelleri ve tedarikçi iç ağı | Tedarikçide tüm bilgisayarların ve misafir Wi-Fi ağının aynı düz ağda çalışması | VLAN segmentasyonu, sadece izinli IP/portlara kısıtlı ve MFA korumalı VPN |
| Teknik Çizim ve Fikri Mülkiyet | Fasona gönderilen gizli CAD dosyalarının saklanma ve işlenme biçimi | Çizimlerin kişisel bilgisayarlarda, WhatsApp’ta veya USB belleklerde gezmesi | Merkezi yetkili dosya sunucusu, USB blokajı ve DLP Veri Güvenliği |
| Yedekleme ve İş Sürekliliği | Tedarikçide yaşanacak siber saldırının parça teslimatını durdurma riski | Yedeklerin ağa açık standart bir NAS cihazında şifrelenebilir halde tutulması | Değiştirilemez (Immutable) yedekleme, test edilmiş RTO/RPO ve felaket kurtarma planı |
| Siber Savunma ve Testler | Güvenlik duvarı, antivirüs/EDR ve sistem açıklarının durumu | Lisanssız güvenlik duvarı, güncellenmeyen Windows sunucular | Aktif UTM/NGFW güvenlik duvarı, EDR koruması ve yıllık Sızma Testi (Pentest) |
| Alt Yüklenici (4th Party) Kontrolü | Tedarikçinin işi bir başka alt fasoncuya (Tier-3) devretmesi | Ana sanayiden habersiz olarak gizli teknik resimlerin üçüncü atölyelere gönderilmesi | Yazılı onay şartı, alt fasoncu gizlilik sözleşmesi (NDA) ve izlenebilir dosya paylaşımı |
Şirketiniz İçin 4 Adımda Kurumsal TPRM Uygulama Rehberi
Hem kendi fasoncularını denetleyen bir ana üreticiyseniz hem de büyük kurumsal müşterilerin denetimlerinden geçmek isteyen bir tedarikçiyseniz, aşağıdaki 4 adımlı yol haritasını uygulamanız gerekir:
1. Tedarikçi Kritiklik ve Risk Sınıflandırması (Tiering)
Tüm tedarikçiler aynı risk seviyesinde değildir. Tedarikçilerinizi erişebildikleri verinin gizliliğine ve operasyonel kritikliğine göre sınıflandırın:
- Kritik (Tier-1) Tedarikçiler: Şirket ağına doğrudan VPN bağlantısı olanlar, gizli Ar-Ge/CAD çizimlerini işleyen fason üreticiler ve ERP/yazılım desteği veren firmalar.
- Orta Riskli (Tier-2) Tedarikçiler: Standart katalog parçası üreten veya sınırlı ticari veri paylaşılan firmalar.
- Düşük Riskli (Tier-3) Tedarikçiler: Ağ erişimi ve teknik veri paylaşımı olmayan genel hizmet sağlayıcılar (yemek, peyzaj, sarf malzeme).
2. Kanıta Dayalı Teknik Güvenlik Denetimi
Yalnızca “Verileriniz bizimle güvende” yazılı kağıt taahhütnameler (Self-Assessment Questionnaire) siber saldırıları durdurmaz. Kritik tedarikçilerden aktif Güvenlik Duvarı (Firewall) lisans durumu, ağ topolojisi şeması, yedekleme doğrulama ekran görüntüleri ve bağımsız sızma testi sonuç özetleri talep edilmelidir.
3. Güvenli Veri Paylaşım Mimarisi (Secure Data Room)
Tedarikçilere teknik resimleri e-posta eki olarak göndermek yerine; indirme kısıtlı, ekran görüntüsü korumalı, üzerine alıcı firmanın adını basan dinamik filigranlı (Watermark) ve iş bittiğinde erişimi otomatik kapanan güvenli paylaşım portalları kullanılmalıdır.
4. Sözleşmesel Siber Güvenlik Ekleri (Security Addendum)
Tedarik sözleşmelerine klasik gizlilik sözleşmesinin (NDA) ötesinde; “Siber ihlal veya fidye saldırısı durumunda en geç 12 saat içinde bildirim zorunluluğu”, “Alt yükleniciye veri aktarım yasağı” ve “Yıllık siber güvenlik denetim hakkı” maddeleri eklenmelidir.
Müşterilerinizin tedarikçi denetimlerinden (ISO 28000, TISAX, EYDEP, TPRM) tam puanla geçmek veya kendi fason üretim ağınızı siber risklere karşı zırhlamak için uzman mühendislik ekibimizle iletişime geçebilirsiniz.
Sıkça Sorulan Sorular
Küçük ve orta ölçekli bir yan sanayi firmasıyız; ana sanayi neden bizden siber güvenlik raporu istiyor?
Avrupa Birliği’nin NIS2 ve DORA regülasyonları ile savunma/otomotiv standartları (TISAX, EYDEP), ana sanayi firmalarını kendi tedarik zincirlerinin siber güvenliğinden doğrudan sorumlu tutmaktadır. Ana sanayi kendi denetiminden geçebilmek için sizin de siber güvenlik önlemlerinizi (güvenlik duvarı, yedekleme, DLP) kanıtlamanızı istemek zorundadır.
Fason üreticimize gönderdiğimiz CAD çizimlerinin başka bir rakibe sızmasını teknik olarak nasıl önleriz?
Dosyaları açık formatta e-posta ile göndermek yerine, kurumsal DLP ve DRM (Dijital Hak Yönetimi) entegrasyonlu güvenli veri odaları kullanılmalıdır. Böylece tedarikçi çizimi yalnızca yetkili bilgisayarda görüntüleyebilir; dosyayı USB’ye kopyalayamaz ve süresi dolduğunda dosya tedarikçinin bilgisayarında dahi açılamaz hale gelir.
Tedarikçimizin siber saldırıya uğradığını öğrendiğimizde ilk yapmamız gereken teknik müdahale nedir?
Derhal güvenlik duvarı üzerinden ilgili tedarikçiyle olan tüm Site-to-Site VPN tünelleri ve API bağlantıları kesilmeli, tedarikçiye ait kullanıcı hesapları dondurulmalı ve son 15 gün içinde o tedarikçiden gelen tüm e-posta ekleri ile dosyalar zararlı yazılım (Sandboxing) taramasından geçirilmelidir.