# Endüstriyel Siber Güvenlik Nedir? SCADA ve OT Ağlarını Üretimi Durdurmadan Korumanın 8 Adımı

> Endüstriyel siber güvenlik nedir? SCADA ve OT ağlarını envanter, ağ ayrımı, güvenli uzaktan erişim ve yedekle üretimi durdurmadan korumanın 8 adımı.

Kaynak: https://digitalbridge.com.tr/blog/ot-guvenligi-scada.html
Yayıncı: Digital Bridge Teknoloji (https://digitalbridge.com.tr)
Konu: Siber Güvenlik ve KVKK
Yayın: 2026-10-12 · Güncelleme: 2026-10-22

Endüstriyel siber güvenlik (OT, yani operasyonel teknoloji güvenliği), PLC, SCADA, HMI ve sahadaki diğer kontrol cihazlarını, yani bilgi işlemi değil üretimin kendisini yöneten sistemleri siber saldırılara karşı korumaktır. Önceliği veri gizliliği değil, hattın güvenle ve kesintisiz çalışmasıdır. Amaç, saldırganın ofis ağından üretim hattına ulaşmasını engellemek ve bir olayda üretimi hızla geri getirmektir.

## Kısaca

- OT güvenliğinde öncelik verinin gizliliği değil, üretimin kesintisiz ve iş güvenliği içinde sürmesidir; BT yöntemleri fabrikaya olduğu gibi kopyalanamaz.
- Siemens'in 2024 raporuna göre büyük bir otomotiv fabrikasında bir saatlik plansız duruş 2,3 milyon dolara mal oluyor.
- Verizon DBIR 2026'ya göre fidye yazılımı ihlallerin %48'inde yer aldı; düz bir fabrika ağında ofisteki saldırı SCADA'ya kadar ulaşabilir.
- Temel çerçeve: pasif envanter, ofis ile üretim arasında DMZ, hat bazında bölümlendirme, tek kapıdan uzaktan erişim ve çevrimdışı PLC yedeği.
- İlk 30 günde internete açık modemleri kapatmak, PLC ve SCADA yedeği almak ve varsayılan parolaları değiştirmek en hızlı kazanımdır.

## Fabrika ağında gerçekte ne var ve neden risklidir?

Birçok fabrikada üretim ağı yıllar içinde katman katman büyümüştür. On beş yıllık bir programlanabilir lojik denetleyici ([PLC](https://digitalbridge.com.tr/sozluk.html#plc)), işletim sistemi desteği bitmiş bir bilgisayarda çalışan SCADA (merkezi denetim ve veri toplama) istemcisi, makine üreticisinin kurduğu bir uzaktan erişim modemi, sonradan eklenen enerji analizörleri ve [farklı markalardan IP kameralar](https://digitalbridge.com.tr/blog/ip-kamera-onvif-merkezi-yonetim.html) aynı düz ağda durur. Ofis ağıyla aradaki "ayrım" çoğu zaman tek bir yönlendiricidir ve raporlama için ERP'ye veri akıtan bağlantı iki tarafı sessizce birleştirir.

Bu düz fabrika ağının kendine özgü zorlukları vardır. Üretimdeki bir bilgisayar, makine üreticisi onay vermediği için güncellenemez. [Modbus](https://digitalbridge.com.tr/sozluk.html#modbus) TCP gibi yaygın endüstriyel protokoller kimlik doğrulama ve şifreleme içermez; ağa erişebilen biri komut gönderebilir. Klasik BT araçları, örneğin agresif bir ağ taraması, eski bir PLC'yi kilitleyebilir.

Bu nedenlerle BT güvenliği yöntemleri OT'ye doğrudan kopyalanamaz: BT'de öncelik gizlilikken OT'de öncelik süreklilik ve iş güvenliğidir.

Saldırganın OT'yi özel olarak hedeflemesi de gerekmez. Ofiste bir [oltalama mailiyle](https://digitalbridge.com.tr/blog/oltalama-maili-nasil-anlasilir.html) başlayan fidye yazılımı, düz ağ üzerinden SCADA sunucusuna ulaşıp operatör (HMI, insan-makine arayüzü) ekranlarını şifrelediğinde hat, PLC'ler sağlam olsa bile durur; çünkü operatör süreci göremez.

## Siber saldırıyla duran üretimin maliyeti nedir?

OT'de ihlalin bedeli, çalınan kayıttan çok duran üretimle ölçülür.

> Siemens'in hesabına göre dünyanın en büyük 500 şirketi plansız duruşlar yüzünden yılda yaklaşık 1,4 trilyon dolar, yani gelirlerinin %11'ini kaybediyor. ([Siemens The True Cost of Downtime 2024](https://assets.new.siemens.com/siemens/assets/api/uuid:1b43afb5-2d07-47f7-9eb7-893fe7d0bc59/TCOD-2024_original.pdf))

Aynı [Siemens raporuna](https://assets.new.siemens.com/siemens/assets/api/uuid:1b43afb5-2d07-47f7-9eb7-893fe7d0bc59/TCOD-2024_original.pdf) göre büyük bir otomotiv fabrikasında bir saatlik plansız duruş 2,3 milyon dolara, hızlı tüketim ürünleri fabrikalarında ise saatte 36 bin dolara mal oluyor. Bu rakamlar tüm duruş nedenlerini kapsar; siber olay bunlardan yalnızca biridir, ama saatlerle değil günlerle ölçülen türüdür.

2026 itibarıyla tehdidin yaygınlığı da ortada: [Verizon 2026 Data Breach Investigations Report (DBIR)](https://www.verizon.com/business/resources/T1ae/reports/2026-dbir-data-breach-investigations-report.pdf) verisine göre fidye yazılımı tüm ihlallerin %48'inde yer aldı ve zafiyet istismarı %31 ile en yaygın ilk erişim yolu oldu. Aynı raporda üçüncü tarafların dahil olduğu ihlaller bir önceki yıla göre %60 artarak toplamın %48'ine ulaştı. Fabrikada bu üçüncü tarafın en tanıdık örneği, uzaktan bağlanan makine üreticisi ve sistem entegratörüdür.

Avrupa Birliği Siber Güvenlik Ajansı'nın [ENISA Threat Landscape 2025](https://www.enisa.europa.eu/sites/default/files/2026-01/ENISA%20Threat%20Landscape%202025_v1.2.pdf) raporuna göre de incelenen olaylarda zafiyet istismarı %21,3 ile başlıca ilk sızma yollarından biri. Yaması yıllardır yapılmamış endüstriyel bilgisayarlar ve internete açık uzaktan erişim modemleri, fidye yazılımı ile zafiyet istismarı eğilimlerinin kesiştiği noktadır.

## OT güvenliği ile BT güvenliği arasındaki fark nedir?

Ofis bilgi işlemi (BT) ile üretimdeki operasyonel teknoloji (OT) aynı güvenlik hedeflerini farklı sırayla önceliklendirir. Temel farklar şöyle özetlenebilir:

| | BT (ofis) | OT (üretim) |
|---|---|---|
| Öncelik | Gizlilik, bütünlük, erişilebilirlik | Erişilebilirlik ve iş güvenliği, sonra bütünlük |
| Yama | Aylık, otomatik | Bakım penceresinde, üretici onayıyla, bazen hiç |
| Cihaz ömrü | 3–5 yıl | 15–20 yıl ve üzeri |
| Protokoller | Şifreli ve kimlik doğrulamalı | Modbus, Profinet gibi çoğu zaman şifresiz |
| Tarama | Rutin aktif tarama | Aktif tarama cihazı kilitleyebilir; pasif dinleme tercih edilir |
| Kesinti | Rahatsız edici | Fire, sipariş kaybı, iş güvenliği riski |

BT ile OT arasındaki bu farklar, OT güvenliğinin neden "BT'nin güvenlik politikasını fabrikaya da uygulayalım" diye çözülemeyeceğini gösterir. OT'de yaklaşım, cihazı değiştirmek yerine çevresini korumaya dayanır.

## Endüstriyel siber güvenlik nasıl sağlanır? SCADA ve OT ağları için 8 adım

Uluslararası Elektroteknik Komisyonu'nun (IEC) IEC 62443 standart ailesi ve fabrika ağını seviyelere ayıran Purdue modeli, endüstriyel siber güvenliğin genel çerçevesini verir. Aşağıdaki 8 adım, bir KOBİ ölçeğindeki fabrikada uygulanabilir sıradır:

1. **Envanter çıkarın.** Her PLC, HMI, SCADA sunucusu, mühendislik bilgisayarı, sürücü, analizör ve kamera; modeli, yazılım sürümü, IP adresi ve kimin sorumlu olduğu. Envanter pasif ağ dinlemesi ve saha turuyla çıkarılır, üretimi etkileyecek aktif tarama yapılmaz. Ofis tarafında rutin olan [zafiyet taraması](https://digitalbridge.com.tr/blog/zafiyet-taramasi-nedir.html) OT'de ancak bakım penceresinde ve üreticiyle birlikte planlanır.
2. **Ağları ayırın.** Ofis ağı ile üretim ağı arasına bir geçiş bölgesi (DMZ, arındırılmış bölge) koyun. ERP'ye veri, doğrudan PLC'den değil, bu bölgedeki bir ara sunucu üzerinden gitsin. Üretimden internete doğrudan çıkış olmasın.
3. **Hat ya da hücre bazında bölümlendirin.** Bir hattaki sorun diğer hatlara yayılmasın; güvenlik duvarı kuralları yalnızca gerekli protokol ve adreslere izin versin.
4. **Uzaktan erişimi tek kapıya toplayın.** Makine üreticilerinin kurduğu modemleri kaldırın; tüm tedarikçi erişimi [çok faktörlü doğrulamalı (MFA)](https://digitalbridge.com.tr/blog/iki-adimli-dogrulama-mfa.html), zaman sınırlı ve kayıt altına alınan tek bir noktadan geçsin. Erişim iş bitince kapansın. AB'deki müşterilere üretim yapıyorsanız bu kontrol [NIS2 tedarikçi gereksinimleri](https://digitalbridge.com.tr/blog/nis2-tedarikci-gereksinimleri.html) kapsamında da sorulur.
5. **Varsayılan parolaları değiştirin, gereksiz servisleri kapatın.** HMI, kamera, anahtar ve modemlerde fabrika parolası bırakmayın; kullanılmayan USB portlarını ve servisleri kapatın. Pano, sunucu ve kontrol odalarına fiziksel girişi de sınırlayın; [SmartPass](https://digitalbridge.com.tr/smartpass.html) gibi bölge bazlı bir [kartlı geçiş](https://digitalbridge.com.tr/endustriyel-urunler/kartli-gecis.html) sistemi bu alanlara yalnızca yetkili ekibin girmesini ve girişlerin denetim iziyle kaydedilmesini sağlar. Sunucu ve kontrol odası için bölge tasarımını [veri merkezi erişim kontrolü](https://digitalbridge.com.tr/blog/veri-merkezi-erisim-kontrolu.html) yazımızda ayrıntılı anlattık.
6. **Yamayı riske göre planlayın.** Yaması yapılamayan cihazları listeleyin ve bunları ağ ayrımı ve erişim kısıtıyla telafi edin. Yamaları üreticiyle birlikte, bakım penceresinde uygulayın; önceliklendirme ve test sırasını [yama yönetimi süreci](https://digitalbridge.com.tr/blog/yama-yonetimi-sureci.html) yazımızda anlattık.
7. **OT'ye özgü yedek alın.** PLC programları, HMI ve SCADA projeleri, sürücü parametreleri ve ağ cihazı ayarları sürümlü ve çevrimdışı bir kopyayla saklansın; geri yükleme gerçekten denensin. Genel yedek stratejisini [fidye yazılımına karşı yedekleme yazımızda](https://digitalbridge.com.tr/blog/fidye-yazilimi-yedekleme.html) anlattık.
8. **İzleyin ve olay planı yazın.** Üretim ağında beklenmeyen yeni cihaz, yeni bağlantı ya da mesai dışı programlama denemesi uyarı üretsin. Olay anında hattı kimin, hangi sırayla güvenli duruma alacağı yazılı olsun ve operatörler bunu bilsin.

### OT güvenliğinde sorumluluk kimde olmalı?

OT güvenliğinde en sık görülen sorun teknik değil, organizasyoneldir: BT ekibi "üretim ağı bizim alanımız değil" der, bakım ekibi "güvenlik BT'nin işi" der ve arada kimse kalmaz. İyi işleyen yapılarda üretim ağının sahibi bellidir; ağ ayrımı ve erişim kurallarını BT ile birlikte bakım ya da otomasyon sorumlusu onaylar, her değişiklik kısa bir kayıtla yapılır. Makine üreticileri ve sistem entegratörleriyle yapılan sözleşmelere de uzaktan erişim, parola ve yedek teslimi konusunda açık maddeler eklenmelidir.

### OT güvenliği için ilk 30 günde neler yapılabilir?

8 adımlık çerçevenin tamamı zaman alır, ama üç iş hemen yapılabilir: internete açık uzaktan erişim modemlerini bulup kapatmak ya da tek kapıya bağlamak, PLC ve SCADA projelerinin güncel bir kopyasını ağdan ayrı bir yere almak ve varsayılan parolaları değiştirmek. Bu üç önlem, en sık görülen saldırı yollarının önemli bir kısmını kapatır.

Ofis tarafında aynı dönemde ele alınacak temel kontrolleri [KOBİ siber güvenlik kontrol listemizde](https://digitalbridge.com.tr/blog/kobi-siber-guvenlik-kontrol-listesi.html) topladık. Makineleri birbirine ve ERP'ye bağlamayı planlıyorsanız bu üç işi dijitalleşmenin ön şartı olarak görün; bağlantılı fabrikaya giden sırayı [KOBİ'ler için Endüstri 4.0 yol haritası](https://digitalbridge.com.tr/blog/endustri-4-0-kobi-yol-haritasi.html) yazımızda anlattık.

Güneş enerjisi santrallerinde uzaktan erişilen inverter ve veri toplayıcılar da aynı risk sınıfındadır; güneş santrallerine özgü önlemleri [GES izleme sistemi](https://digitalbridge.com.tr/blog/gunes-enerjisi-santrali-izleme.html) yazısında özetledik.

## Digital Bridge'de OT güvenliğini nasıl ele alıyoruz?

Digital Bridge, endüstriyel sistemleri hem geliştiren hem de test eden bir ekip olarak OT güvenliğinde üretimi riske atmayan bir sırayla çalışır:

- **Denetim:** [Siber güvenlik danışmanlığı](https://digitalbridge.com.tr/danismanlik/siber-guvenlik.html) kapsamındaki IoT ve OT güvenlik denetiminde akıllı cihazlar, PLC'ler, SCADA sistemleri ve endüstriyel ağlarda saldırı yüzeyini inceliyoruz: güncel olmayan yazılımlar, şifresiz haberleşen protokoller, ofis ve üretim ağı arasındaki ayrım. Kapsamı ve zaman aralığını yazılı olarak belirliyor, doğrulamaları hizmeti kesmeden yapıyoruz. Genel test yaklaşımımızı [sızma testi nedir yazımızda](https://digitalbridge.com.tr/blog/sizma-testi-nedir.html) anlattık.
- **Düzeltme:** Bulguları kritiklik sırasıyla ve uygulanabilir düzeltme adımıyla raporluyoruz. Düzeltme SCADA tarafında değişiklik gerektiriyorsa, [SCADA ve HMI](https://digitalbridge.com.tr/endustri-40/scada-hmi.html) ekibimiz bunu aynı çatı altında yapabiliyor; [firmaya özel geliştirdiğimiz SCADA'da](https://digitalbridge.com.tr/blog/ticari-scada-mi-ozel-scada-mi.html) kaynak kodu müşteriye aittir ve ek lisans bedeli yoktur.
- **Güvenli veri akışı:** Üretim verisini ofise ya da yönetim ekranlarına taşırken, [uzaktan izleme](https://digitalbridge.com.tr/endustri-40/uzaktan-izleme.html) ve [MES üretim yönetimi](https://digitalbridge.com.tr/endustri-40/mes-uretim-yonetimi.html) projelerinde veri akışını ağ ayrımını bozmadan tasarlıyoruz.
- **Saha cihazları:** Kendi [IoT cihazlarımızı ve elektroniğimizi](https://digitalbridge.com.tr/teknoloji-donanim/cihaz-imalati-iot.html) tasarladığımız için sahadaki cihazların nasıl haberleştiğini ve nerede zayıf kalabileceğini ilk elden biliyoruz. Fabrikadaki [IP kamera izleme](https://digitalbridge.com.tr/endustri-40/ip-kamera-izleme.html) altyapısı da aynı ağ ayrımı kurallarına dahil edilir.

SCADA'nın temel yapısını tanımak isteyenler için [SCADA nedir yazımız](https://digitalbridge.com.tr/blog/scada-nedir.html) iyi bir başlangıç noktasıdır; ofis tarafındaki güvenlik ve uyum konularının tamamı ise [Siber Güvenlik ve KVKK rehberimizde](https://digitalbridge.com.tr/blog/konu/guvenlik-kvkk.html).

## Sonraki adım

OT güvenliğine başlamak için bu hafta üretim sorumlusu ve BT ile birlikte tek bir soruyu yanıtlayın: "Fabrikamıza dışarıdan hangi yollarla bağlanılabiliyor?" Makine üreticilerinin modemleri, uzak masaüstü bağlantıları ve bulut panelleri dahil hepsini listeleyin. Ardından her bağlantının yanına kimin kullandığını, en son ne zaman kullanıldığını ve kapatılırsa neyin etkileneceğini yazın; bu tablo, ağ ayrımı projesinin ilk taslağı olur. Liste beklediğinizden uzun çıkarsa [bizimle iletişime geçin](https://digitalbridge.com.tr/iletisim.html); sahanızı birlikte inceleyelim ve aşamaları ile bedeli net yazılı bir teklif hazırlayalım.

## Sık Sorulan Sorular

### Endüstriyel siber güvenlik nedir?

Endüstriyel siber güvenlik, ya da OT güvenliği, PLC, SCADA, HMI ve sahadaki diğer kontrol cihazlarını siber saldırılara karşı korumaktır. Bu sistemler veriyi değil üretimin kendisini yönettiği için önceliği hattın güvenle ve kesintisiz çalışmasıdır. Temel amaç, saldırganın ofis ağından üretim hattına ulaşmasını engellemek ve bir olay yaşanırsa üretimi hızla geri getirebilmektir.

### OT güvenliği ile BT güvenliği arasındaki fark nedir?

BT güvenliğinde öncelik verinin gizliliğidir; OT güvenliğinde ise üretimin kesintisiz ve iş güvenliği içinde sürmesidir. OT cihazları 15–20 yıl kullanılır, sık yamalanamaz ve Modbus gibi pek çok endüstriyel protokol şifresizdir. Bu yüzden OT'de cihazı değiştirmek yerine ağ ayrımı ve erişim kontrolüyle cihazın çevresi korunur.

### Güvenlik testi üretim hattını durdurur mu?

Doğru planlanan bir OT güvenlik testi üretim hattını durdurmaz. Cihaz envanteri pasif ağ dinlemesi ve saha turuyla çıkarılır; eski PLC'leri kilitleyebilecek aktif taramalar ya hiç yapılmaz ya da üreticiyle birlikte bakım penceresine bırakılır. Testin kapsamı, zaman aralığı ve yasak işlemler testten önce yazılı olarak belirlenir.

### Yamalanamayan eski PLC'ler nasıl korunur?

Yamalanamayan eski PLC'ler telafi edici kontrollerle korunur. Cihazın bulunduğu hat ya da hücre ağdan ayrılır, ona yalnızca gerekli mühendislik bilgisayarının ve SCADA sunucusunun erişmesine izin verilir, uzaktan erişim tek ve kayıtlı bir noktadan geçirilir ve programın güncel yedeği çevrimdışı saklanır. Bu önlemler, cihaz yenilenene kadar riski önemli ölçüde düşürür.

### IEC 62443 nedir, KOBİ'ler için gerekli mi?

IEC 62443, endüstriyel otomasyon ve kontrol sistemlerinin güvenliği için uluslararası bir standart ailesidir; bölgeler, geçişler ve güvenlik seviyeleri gibi kavramları tanımlar. KOBİ'ler için sertifika zorunlu olmasa da standart, ofis ile üretim ağını ayırırken ve erişim kurallarını planlarken iyi bir çerçeve sunar.

### Makine üreticisinin uzaktan erişimi nasıl güvenli hale getirilir?

Makine üreticisinin uzaktan erişimi, üreticinin kendi modemi kaldırılıp tek bir uzaktan erişim noktasına taşınarak güvenli hale getirilir. Bu nokta çok faktörlü doğrulama ister, yalnızca ihtiyaç anında açılır, süresi sınırlıdır ve tüm oturumları kayıt altına alır. Erişim yalnızca ilgili makineye verilir ve iş bitince kapatılır.

### OT güvenliğine ilk 30 günde nereden başlanmalı?

OT güvenliğine üç hızlı işle başlanabilir: internete açık uzaktan erişim modemlerini bulup kapatmak ya da tek kapıya bağlamak, PLC ve SCADA projelerinin güncel bir kopyasını ağdan ayrı bir yere almak ve cihazlardaki varsayılan parolaları değiştirmek. Bu üç önlem, en sık görülen saldırı yollarının önemli bir kısmını kapatır ve ağ ayrımı projesine zemin hazırlar.