NSA’dan endüstriyel sistemlere 26 öncelik: Eski cihazı değiştirmek şart değil

ABD Ulusal Güvenlik Ajansı (NSA), 8 Ekim 2026’da operasyonel teknolojiye yönelik sıfır güven bilgi notunu yayımladı. Belgenin öncelikli muhatapları ABD ulusal güvenlik sistemleri, savunma kurumları ve savunma sanayii ağlarının işletmecileri. Sürekli doğrulama yaklaşımı, Türkiye’de üretim, enerji ve bina otomasyonu işleten ekiplerin eski kontrol cihazlarına erişimi nasıl koruyabileceği açısından da önem taşıyor.

Digerati One’ın 9 Ekim değerlendirmesine göre NSA, 84 hedef faaliyet arasından eski varlıkların çevresine koruma ekleyebilen 26 yüksek etkili adımı seçti. Bunun pratik karşılığı, bir PLC’ye modern kimlik doğrulama yazılımı yüklenemese bile ona giden bağlantının denetlenebilmesi. Eski cihazı değiştirmek her kontrol için ön koşul değil; ağ geçidi eklemek veya erişim kurallarını değiştirmek yine de tesisin çalışma düzenine göre planlanmalı.

Öncelikler kimlik, ağ, cihaz, veri ve görünürlüğe yayılıyor

Sıfır güven yaklaşımında tesis ağının içinde bulunmak tek başına erişim yetkisi sağlamıyor. Kullanıcı, cihaz ve iletişim yolu her bağlantıda tanımlı kurallara göre değerlendiriliyor. Seçilen faaliyetler Türkiye’deki teknik ekiplerin çalışma alanlarına şöyle ayrılabilir; bu gruplar NSA’nın zorunlu bir uygulama sırası değil:

• Kimlik: Kullanıcılar, hizmet hesapları ve tedarikçi bağlantıları belirlenir; uzaktan ve ayrıcalıklı erişim yalnızca yetkili kişilere açılır.
• Ağ: Kontrol sistemleri işlevlerine göre ayrılır, gerekli iletişim yolları tanımlanır ve doğrudan internet bağlantıları azaltılır.
• Cihaz: Akıllı kontrolörlerin mevcut güvenlik ayarları kullanılır; mühendislik istasyonları ve operatör arayüzlerine erişim sınırlandırılır.
• Veri: Hassas OT verisi korunur; eski protokol şifreleme desteklemiyorsa güvenli aracı veya tünel değerlendirilir.
• Görünürlük: Varlıklar ve bağlantıları kaydedilir, ağ trafiği izlenir ve kontroller hassas cihazları etkilemeyecek yöntemlerle doğrulanır.

Bu alanların ortak noktası, güvenlik kararını yalnızca kontrolörün üzerindeki özelliklere bırakmamaları. Eski bir cihazın hangi istasyondan komut alabileceği veya hangi ağa veri gönderebileceği, çevresindeki erişim ve ağ katmanlarında da sınırlandırılabiliyor.

Kimlik ve envanter, bakım bağlantısını denetlenebilir kılıyor

İlk ihtiyaç, yalnızca PLC’leri saymak değil, her cihaza ulaşabilen hesapları ve bağlantı yollarını birlikte görmek. Mühendislik istasyonu, operatör arayüzü, hizmet hesabı ve tedarikçi erişimi aynı envanterde ilişkilendirildiğinde hangi yetkinin işletme için gerekli olduğu anlaşılabilir. Bu bilgi olmadan kapatılan bir bağlantı, güvenlik açığını azaltırken bakım veya üretim işlevini de kesebilir.

Uzaktan bakımda denetim noktası eski kontrolörün kendisi olmak zorunda değil. Bağlantı bir erişim geçidinden geçirilebilir; oturum açan kişiye çok faktörlü doğrulama uygulanabilir ve ayrıcalıklı yetki bakım işiyle sınırlanabilir. Böylece tedarikçinin sürekli açık bir bağlantı yerine belirli bir iş için yetkilendirilmesi mümkün olur. Geçit yeni bir bileşen gerektirebilir, ancak korunan kontrol cihazının değiştirilmesini gerektirmez.

Bina otomasyonunda aynı ayrım, ısıtma veya havalandırma kontrolörü çalışmayı sürdürürken bakım yolunun yeniden düzenlenmesi anlamına gelir. Doğrudan internete açılmış bir arayüzün yerine denetimli erişim konması, internete açık endüstriyel sistemlerdeki riske doğrudan yanıt verir. Bağlantı kuralı değiştirilmeden önce acil bakım yolu ve cihazın diğer sistemlerle bağımlılıkları bilinmelidir.

Ağ ve veri koruması eski kontrolörün çevresine kurulabiliyor

Industrial Cyber’ın 12 Ekim incelemesi, ağ bölümleme, güvenli geçitler ve izlemeyi eski OT varlıkları için öne çıkan korumalar arasında sayıyor. İnceleme, şifreleme desteklemeyen protokollerde hassas verinin güvenli aracılar, ağ geçitleri veya tüneller üzerinden korunabileceğini de aktarıyor. Koruma bu durumda eski cihazın içinde değil, verinin geçtiği yolda uygulanıyor.

Ağ bölümlemesinin ölçüsü yalnızca tesisin fiziksel yerleşimi değil, sistemlerin gerçekten ihtiyaç duyduğu iletişimdir. Bir operatör arayüzü bağlı olduğu kontrolörle konuşmak zorunda olabilir; başka bir üretim hattındaki kontrolöre erişmesi gerekmeyebilir. İzinli yollar tanımlandığında ele geçirilmiş bir bağlantının diğer sistemlere geçiş alanı daralır. Bu sınırların kurulabilmesi için normal trafik ve işletme bağımlılıklarının önceden bilinmesi gerekir.

Çevresel koruma, cihazın desteklediği ayarları gereksiz kılmaz. Varsayılan parolaların değiştirilmesi, kullanılmayan hizmetlerin kapatılması ve yapılandırma değişikliklerinin izlenmesi, kontrolörün özellikleri elverdiğinde ayrıca değerlendirilebilir. Yama veya ayar değişikliği fiziksel süreci etkileyebilecekse test ve bakım zamanı gerekir; erişim kısıtları bekleme süresindeki riski azaltmaya yardımcı olur.

Pasif izleme, değişiklikten önce çalışma düzenini gösteriyor

Görünürlük yalnızca şüpheli bağlantıyı yakalamak için değil, güvenlik kuralının hangi meşru iletişimi etkileyebileceğini anlamak için de gerekli. Yapılandırma incelemesi, mevcut kayıtların analizi ve pasif ağ izlemesi, hassas kontrol cihazına yeni sorgular göndermeden bağlantıların görünmesini sağlayabilir. Böylece ağ sınırları varsayıma göre değil, gözlenen işletme düzenine göre belirlenir.

Aktif tarama ve kontrol testleri farklı bir risk taşır: hassas OT varlıklarına gönderilen trafik beklenmedik tepki yaratabilir. Bu nedenle pasif yöntemlerle elde edilemeyen bilginin aktif testle aranması, onaylı bakım zamanına bırakılmalıdır. Üretim, enerji ve bina otomasyonu için aynı güvenlik kuralı aynı anda uygulanamayabilir; kesinti toleransı ve güvenlik gereksinimi değişikliğin zamanını belirler.

Türkiye’de eski sistem işleten bir tesis için karar, bütün kontrolörleri hemen yenilemekle mevcut erişimi olduğu gibi bırakmak arasında sıkışmıyor. Varlık ve hesap envanteri, denetimli bakım bağlantısı, izinli ağ yolları ve pasif izleme, cihaz hizmette kalırken kurulabilecek bir koruma katmanı oluşturuyor. Bu katmanın sınırı işletme kayıtlarında görünür hâle gelir: gerekli bir bağlantı ancak tanındığında güvenle korunabilir veya kısıtlanabilir.

Ayrıca okuyun:

• İnternete açık endüstriyel sistemler saldırı altında: NCSC uyardı
• OpenAI’dan siber savunmaya 1 milyar dolar: Öncelik ABD’de
• Bending Spoons’un büyüme motoru: Eski uygulamalar nasıl nakit üretiyor?