Endüstriyel siber güvenlik (OT güvenliği), PLC, SCADA, HMI ve sahadaki diğer kontrol cihazlarını; yani bilgi işlemin değil, üretimin kendisini yöneten sistemleri korumaktır. Önceliği veri gizliliği değil, hattın güvenle ve kesintisiz çalışmasıdır. Kısacası amaç, saldırganın ofis ağından üretim hattına ulaşmasını engellemek ve bir olay yaşansa bile üretimi hızla geri getirebilmektir.
Pratikte işe cihaz envanteriyle başlanır, ofis ağı ile üretim ağı kontrollü bir geçiş bölgesiyle ayrılır, tedarikçi uzaktan erişimi kayıt altına alınır ve PLC programları ile SCADA projeleri ayrı yedeklenir; bunların hepsi üretimi durdurmadan, bakım pencerelerine göre planlanır.
Fabrika ağında gerçekte ne var?
Birçok fabrikada üretim ağı yıllar içinde katman katman büyümüştür. On beş yıllık bir PLC, işletim sistemi desteği bitmiş bir bilgisayarda çalışan SCADA istemcisi, makine üreticisinin kurduğu bir uzaktan erişim modemi, sonradan eklenen enerji analizörleri ve farklı markalardan IP kameralar aynı düz ağda durur. Ofis ağıyla aradaki "ayrım" çoğu zaman tek bir yönlendiricidir ve raporlama için ERP'ye veri akıtan bağlantı iki tarafı sessizce birleştirir.
Bu yapının kendine özgü zorlukları vardır. Üretimdeki bir bilgisayar, makine üreticisi onay vermediği için güncellenemez. Modbus TCP gibi yaygın endüstriyel protokoller kimlik doğrulama ve şifreleme içermez; ağa erişebilen biri komut gönderebilir. Klasik BT araçları, örneğin agresif bir ağ taraması, eski bir PLC'yi kilitleyebilir. Bu yüzden BT güvenliği yöntemleri OT'ye doğrudan kopyalanamaz; BT'de öncelik gizlilikken OT'de öncelik süreklilik ve iş güvenliğidir.
Saldırganın OT'yi özel olarak hedeflemesi de gerekmez. Ofiste bir oltalama mailiyle başlayan fidye yazılımı, düz ağ üzerinden SCADA sunucusuna ulaşıp operatör ekranlarını şifrelediğinde hat, PLC'ler sağlam olsa bile durur; çünkü operatör süreci göremez.
Üretimin durmasının maliyeti
OT'de ihlalin bedeli, çalınan kayıttan çok duran üretimle ölçülür.
Siemens'in hesabına göre dünyanın en büyük 500 şirketi plansız duruşlar yüzünden yılda yaklaşık 1,4 trilyon dolar, yani gelirlerinin %11'ini kaybediyor. (Siemens The True Cost of Downtime 2024)
Aynı Siemens raporuna göre büyük bir otomotiv fabrikasında bir saatlik plansız duruş 2,3 milyon dolara, hızlı tüketim ürünleri fabrikalarında ise saatte 36 bin dolara mal oluyor. Bu rakamlar tüm duruş nedenlerini kapsar; siber olay bunlardan yalnızca biridir, ama saatlerle değil günlerle ölçülen türüdür.
Tehdidin yaygınlığı da ortada: Verizon 2026 Data Breach Investigations Report verisine göre fidye yazılımı tüm ihlallerin %48'inde yer aldı. ENISA Threat Landscape 2025 verisine göre ise Avrupa'da incelenen olaylarda zafiyet istismarı %21,3 ile yaygın bir sızma yolu. Yaması yıllardır yapılmamış endüstriyel bilgisayarlar ve internete açık uzaktan erişim modemleri, bu iki eğilimin kesiştiği noktadır.
BT güvenliği ile OT güvenliği arasındaki fark
| BT (ofis) | OT (üretim) | |
|---|---|---|
| Öncelik | Gizlilik, bütünlük, erişilebilirlik | Erişilebilirlik ve iş güvenliği, sonra bütünlük |
| Yama | Aylık, otomatik | Bakım penceresinde, üretici onayıyla, bazen hiç |
| Cihaz ömrü | 3–5 yıl | 15–20 yıl ve üzeri |
| Protokoller | Şifreli ve kimlik doğrulamalı | Modbus, Profinet gibi çoğu zaman şifresiz |
| Tarama | Rutin aktif tarama | Aktif tarama cihazı kilitleyebilir; pasif dinleme tercih edilir |
| Kesinti | Rahatsız edici | Fire, sipariş kaybı, iş güvenliği riski |
Bu tablo, OT güvenliğinin neden "BT'nin güvenlik politikasını fabrikaya da uygulayalım" diye çözülemeyeceğini gösterir. Yaklaşım, cihazı değiştirmek yerine çevresini korumaya dayanır.
Endüstriyel siber güvenlik için 8 adımlık çerçeve: SCADA ve OT ağları
Uluslararası IEC 62443 standart ailesi ve Purdue modeli bu işin genel çerçevesini verir; aşağıdaki adımlar, bir KOBİ ölçeğindeki fabrikada uygulanabilir sıradır:
- Envanter çıkarın. Her PLC, HMI, SCADA sunucusu, mühendislik bilgisayarı, sürücü, analizör ve kamera; modeli, yazılım sürümü, IP adresi ve kimin sorumlu olduğu. Envanter pasif ağ dinlemesi ve saha turuyla çıkarılır, üretimi etkileyecek aktif tarama yapılmaz. Ofis tarafında rutin olan zafiyet taraması OT'de ancak bakım penceresinde ve üreticiyle birlikte planlanır.
- Ağları ayırın. Ofis ağı ile üretim ağı arasına bir geçiş bölgesi (DMZ) koyun. ERP'ye veri, doğrudan PLC'den değil, bu bölgedeki bir ara sunucu üzerinden gitsin. Üretimden internete doğrudan çıkış olmasın.
- Hat ya da hücre bazında bölümlendirin. Bir hattaki sorun diğer hatlara yayılmasın; güvenlik duvarı kuralları yalnızca gerekli protokol ve adreslere izin versin.
- Uzaktan erişimi tek kapıya toplayın. Makine üreticilerinin kurduğu modemleri kaldırın; tüm tedarikçi erişimi çok faktörlü doğrulamalı, zaman sınırlı ve kayıt altına alınan tek bir noktadan geçsin. Erişim iş bitince kapansın. AB'deki müşterilere üretim yapıyorsanız bu kontrol NIS2 tedarikçi gereksinimleri kapsamında da sorulur.
- Varsayılan parolaları değiştirin, gereksiz servisleri kapatın. HMI, kamera, anahtar ve modemlerde fabrika parolası bırakmayın; kullanılmayan USB portlarını ve servisleri kapatın. Pano, sunucu ve kontrol odalarına fiziksel girişi de sınırlayın; SmartPass gibi bölge bazlı bir kartlı geçiş sistemi bu alanlara yalnızca yetkili ekibin girmesini ve girişlerin denetim iziyle kaydedilmesini sağlar. Sunucu ve kontrol odası için bölge tasarımını veri merkezi erişim kontrolü yazımızda ayrıntılı anlattık.
- Yamayı riske göre planlayın. Yaması yapılamayan cihazları listeleyin ve bunları ağ ayrımı ve erişim kısıtıyla telafi edin. Yamaları üreticiyle birlikte, bakım penceresinde uygulayın.
- OT'ye özgü yedek alın. PLC programları, HMI ve SCADA projeleri, sürücü parametreleri ve ağ cihazı ayarları sürümlü ve çevrimdışı bir kopyayla saklansın; geri yükleme gerçekten denensin. Genel yedek stratejisini fidye yazılımına karşı yedekleme yazımızda anlattık.
- İzleyin ve olay planı yazın. Üretim ağında beklenmeyen yeni cihaz, yeni bağlantı ya da mesai dışı programlama denemesi uyarı üretsin. Olay anında hattı kimin, hangi sırayla güvenli duruma alacağı yazılı olsun ve operatörler bunu bilsin.
Sorumluluk kimde olmalı?
OT güvenliğinde en sık görülen sorun teknik değil, organizasyoneldir: BT ekibi "üretim ağı bizim alanımız değil" der, bakım ekibi "güvenlik BT'nin işi" der ve arada kimse kalmaz. İyi işleyen yapılarda üretim ağının sahibi bellidir; ağ ayrımı ve erişim kurallarını BT ile birlikte bakım ya da otomasyon sorumlusu onaylar, her değişiklik kısa bir kayıtla yapılır. Makine üreticileri ve sistem entegratörleriyle yapılan sözleşmelere de uzaktan erişim, parola ve yedek teslimi konusunda açık maddeler eklenmelidir.
İlk 30 günde yapılabilecekler
Çerçevenin tamamı zaman alır, ama üç iş hemen yapılabilir: internete açık uzaktan erişim modemlerini bulup kapatmak ya da tek kapıya bağlamak, PLC ve SCADA projelerinin güncel bir kopyasını ağdan ayrı bir yere almak ve varsayılan parolaları değiştirmek. Bu üçü, en sık görülen saldırı yollarının önemli bir kısmını kapatır. Ofis tarafında aynı dönemde ele alınacak temel kontrolleri KOBİ siber güvenlik kontrol listemizde topladık. Makineleri birbirine ve ERP'ye bağlamayı planlıyorsanız bu üç işi dijitalleşmenin ön şartı olarak görün; bağlantılı fabrikaya giden sırayı KOBİ'ler için Endüstri 4.0 yol haritası yazımızda anlattık.
Uzaktan erişilen inverter ve veri toplayıcılar da aynı risk sınıfındadır; güneş santrallerine özgü önlemleri GES izleme sistemi yazısında özetledik.
Digital Bridge'de OT güvenliğini nasıl ele alıyoruz?
Endüstriyel sistemleri hem geliştiren hem de test eden bir ekip olarak, üretimi riske atmayan bir sırayla çalışıyoruz:
- Denetim: Siber güvenlik danışmanlığı kapsamındaki IoT ve OT güvenlik denetiminde akıllı cihazlar, PLC'ler, SCADA sistemleri ve endüstriyel ağlarda saldırı yüzeyini inceliyoruz: güncel olmayan yazılımlar, şifresiz haberleşen protokoller, ofis ve üretim ağı arasındaki ayrım. Kapsamı ve zaman aralığını yazılı olarak belirliyor, doğrulamaları hizmeti kesmeden yapıyoruz. Genel test yaklaşımımızı sızma testi nedir yazımızda anlattık.
- Düzeltme: Bulguları kritiklik sırasıyla ve uygulanabilir düzeltme adımıyla raporluyoruz. Düzeltme SCADA tarafında değişiklik gerektiriyorsa, SCADA ve HMI ekibimiz bunu aynı çatı altında yapabiliyor; firmaya özel geliştirdiğimiz SCADA'da kaynak kodu müşteriye aittir ve ek lisans bedeli yoktur.
- Güvenli veri akışı: Üretim verisini ofise ya da yönetim ekranlarına taşırken, uzaktan izleme ve MES üretim yönetimi projelerinde veri akışını ağ ayrımını bozmadan tasarlıyoruz.
- Saha cihazları: Kendi IoT cihazlarımızı ve elektroniğimizi tasarladığımız için sahadaki cihazların nasıl haberleştiğini ve nerede zayıf kalabileceğini ilk elden biliyoruz. Fabrikadaki IP kamera izleme altyapısı da aynı ağ ayrımı kurallarına dahil edilir.
SCADA'nın temel yapısını tanımak isteyenler için SCADA nedir yazımız iyi bir başlangıç noktasıdır; ofis tarafındaki güvenlik ve uyum konularının tamamı ise Siber Güvenlik ve KVKK rehberimizde.
Sonraki adım
Bu hafta üretim sorumlusu ve BT ile birlikte tek bir soruyu yanıtlayın: "Fabrikamıza dışarıdan hangi yollarla bağlanılabiliyor?" Makine üreticilerinin modemleri, uzak masaüstü bağlantıları ve bulut panelleri dahil hepsini listeleyin. Ardından her bağlantının yanına kimin kullandığını, en son ne zaman kullanıldığını ve kapatılırsa neyin etkileneceğini yazın; bu tablo, ağ ayrımı projesinin ilk taslağı olur. Liste beklediğinizden uzun çıkarsa bizimle iletişime geçin; sahanızı birlikte inceleyelim ve aşamaları ile bedeli net yazılı bir teklif hazırlayalım.