Bursa’da orta ölçekli bir otomotiv yan sanayi firması düşünün: üretim hattı PLC’lerle yönetiliyor, SCADA sistemi fabrika genelindeki makineleri izliyor, kalite kontrol verileri merkezi bir sunucuda toplanıyor. Yönetim, bu altyapının kurumsal ağa bağlanmasını verimliliği artırmak için mantıklı bir adım olarak görüyor. Sorun şu ki aynı bağlantı, dışarıdan bir saldırganın üretim hattına ulaşmasının da kapısını aralıyor. Stuxnet vakasının 2010’da kamuoyuna yansımasından bu yana endüstriyel kontrol sistemlerine yönelik saldırılar hem nitelik hem nicelik olarak değişiyor; artık yalnızca veri çalmak değil, fiziksel süreçleri bozmak da hedef haline geliyor.
Endüstri 4.0 kavramının iş dünyasında tartışılmaya başladığı bu dönemde, ‘akıllı fabrika’ söylemi çoğunlukla verimlilik ve maliyet tasarrufu ekseninde ele alınıyor. Makinelerin birbirleriyle konuşması, üretim verilerinin gerçek zamanlı izlenmesi, merkezi kontrol sistemleri — bunların hepsi operasyonel verimlilik açısından gerçek kazanımlar sunuyor. Ancak aynı bağlantısallık, operasyonel teknoloji (OT) altyapısını daha önce hiç maruz kalmadığı bir saldırı yüzeyine açıyor. Geleneksel BT güvenliğinde bir sunucunun ele geçirilmesi veri kaybı anlamına gelir; OT ortamında ise bir PLC’nin manipüle edilmesi üretim hattının durması, ürün kalitesinin bozulması, hatta fiziksel ekipman hasarı anlamına gelebilir.
Bu ayrımı anlamak kritik. BT güvenliği; gizlilik, bütünlük ve erişilebilirlik üçgeninde gizliliği önceliklendirir. OT güvenliğinde öncelik sırası tersine döner: süreklilik ve fiziksel güvenlik öne geçer. Bir üretim hattını güncellemek için sistemi durdurmak, kurumsal bir sunucuyu yamak için yeniden başlatmaktan çok daha maliyetlidir. Ayrıca endüstriyel sistemlerin ömrü on yılları bulur; on beş yıllık bir SCADA yazılımına modern güvenlik yamaları uygulamak teknik olarak mümkün olmayabilir. Bu yapısal farklılık, iki dünyayı tek bir güvenlik politikasıyla yönetmeyi neredeyse imkânsız kılıyor.
Endüstriyel kontrol sistemlerine yönelik saldırıların kayıt altına alındığı ICS-CERT raporları, bu tehditlerin artık yalnızca enerji ve kritik altyapıyla sınırlı olmadığını ortaya koyuyor. İmalat, gıda işleme, otomotiv yan sanayi gibi sektörler de hedef listesinde yer alıyor. Saldırıların önemli bir kısmı doğrudan teknik istismardan değil, kurumsal ağ ile OT ağı arasındaki zayıf segmentasyondan kaynaklanıyor. Bir muhasebe bilgisayarına bulaşan zararlı yazılım, ağ içinde yatay hareket ederek SCADA sistemine ulaşabiliyor. Bu tür bir olayın üretim kesintisi olarak yansıması, etkilenen firmaya günlük üretim kaybı, müşteri cezaları ve ekipman onarım maliyeti biçiminde somut bir toplam sahip olma maliyeti (TCO) yükü bindiriyor.
Türkiye’deki imalat firmaları için bu riskin pratik anlamı şu: kurumsal ağı koruyan güvenlik duvarı, OT ağını korumak için yeterli değil. Ağ segmentasyonu — yani kurumsal BT ağı ile OT ağının birbirinden fiziksel veya mantıksal olarak ayrılması — bu konudaki en temel adım. Bunun yanı sıra endüstriyel sistemlere erişim yetkilerinin sıkı biçimde tanımlanması, uzaktan erişim kanallarının denetim altına alınması ve olağandışı trafik örüntülerini izleyen bir sistem kurulması, mevcut altyapıda devreye alınabilecek somut önlemler arasında sayılabilir. Bu adımların hiçbiri sıfır risk sağlamaz; ancak saldırı yüzeyini anlamlı ölçüde daraltır.
Asıl zorluk teknik değil, organizasyonel. Çoğu imalat firmasında BT departmanı ile üretim mühendisleri farklı dillerde konuşuyor; birinin ‘sistem güncellemesi’ dediği şey, diğeri için ‘hat durması’ anlamına geliyor. Bu iki dünyayı bir araya getirecek ortak bir güvenlik çerçevesi oluşturmak, hem teknik hem yönetsel kapasite gerektiriyor. Dışarıdan danışmanlık almak bu geçişi hızlandırabilir, ancak süreci sahiplenecek iç bir yapı olmadan danışmanlık raporları rafta kalıyor. Üretim müdürünün siber güvenliği ‘BT’nin işi’ olarak gördüğü bir ortamda bu dönüşüm gerçekleşmiyor.
Bir üretim firması yöneticisi olarak bu konuya nasıl yaklaşmalısınız? İlk adım, mevcut OT altyapısının kurumsal ağla hangi noktalarda kesiştiğini haritalandırmak. İkinci adım, bu kesişim noktalarında hangi güvenlik kontrollerinin bulunduğunu — ya da bulunmadığını — dürüstçe değerlendirmek. Üçüncü adım, üretim sürekliliği riskini somut bir iş riski olarak yönetim kuruluna taşımak; çünkü bu konu artık yalnızca teknik bir mesele değil, operasyonel bir öncelik. Siber güvenlik yatırımının ROI’sini hesaplamak güç görünebilir, ama bir üretim hattı durduğunda o hesap kendiliğinden netleşiyor.