-
Sadrazamv4
ig:sadrazam_v4 tg: Sadrazam.spy
IEC 62443: Endüstriyel Otomasyon ve Kontrol Sistemleri (IACS) Siber Güvenlik Standardı (Özet)
Bahsettiğiniz ve Endüstriyel Kontrol Sistemleri (ICS) ile Operasyonel Teknoloji (OT) dünyasının en kritik siber güvenlik standardı olan belge IEC 62443'tür (eski adıyla ISA-99).
Bilgi Teknolojileri (IT) sistemleri için ISO 27001 ne kadar temel bir standartsa, enerji santralleri, su arıtma tesisleri, fabrikalar, elektrik şebekeleri ve petrol rafineleri gibi kritik altyapılarda kullanılan SCADA, DCS ve PLC sistemleri için de IEC 62443 odur. Amacı, doğrudan fiziksel dünyayı kontrol eden bu altyapıları siber saldırılara karşı korumak ve operasyonel sürekliliği sağlamaktır.
Standardın 4 Ana Bölümü
IEC 62443 tek bir doküman değil, devasa bir standartlar ailesidir ve dört ana kategoriye ayrılır:
Genel (General - 62443-1): Standardın temel kavramlarını, terminolojisini, metriklerini ve referans modellerini tanımlar.
Politikalar ve Prosedürler (Policies & Procedures - 62443-2): Tesis sahipleri (Asset Owners) ve operatörler için güvenlik yönetim sistemlerinin (CSMS) nasıl kurulacağını, yama (patch) yönetimini ve tedarik zinciri güvenliğini kapsar.
Sistem (System - 62443-3): Sistem entegratörleri için ağ mimarisinin tasarımı, risk değerlendirmesi metodolojileri ve sistemin entegre edildikten sonraki güvenlik gereksinimlerini belirler.
Bileşen (Component - 62443-4): Cihaz üreticileri (Siemens, Schneider, Rockwell vb.) için donanım ve yazılımların (PLC, sensör, SCADA arayüzü) güvenli geliştirme yaşam döngüsü (SDL) ile nasıl üretilmesi gerektiğini ve cihazların taşıması gereken teknik güvenlik şartlarını (şifreleme, kimlik doğrulama) tanımlar.
IEC 62443'ün Temel Kavramları
Bölgeler ve Kanallar (Zones and Conduits): Ağ segmentasyonunun kalbidir. Aynı işlevi gören ve aynı güvenlik gereksinimlerine sahip ICS bileşenleri mantıksal veya fiziksel bir "Bölge" (Zone) içine alınır. Bölgeler arasındaki tüm iletişim, sıkı şekilde denetlenen ve güvenlik duvarları/tek yönlü ağ geçitleri (Data Diode) ile korunan "Kanallar" (Conduits) üzerinden yapılmak zorundadır.
Derinlemesine Savunma (Defense in Depth): Tek bir güvenlik önlemine (örneğin sadece dış ağdaki bir güvenlik duvarına) güvenmek yerine; fiziksel güvenlik, ağ güvenliği, uç nokta koruması ve katı erişim politikalarının iç içe geçerek çok katmanlı bir savunma hattı oluşturması prensibidir.
Güvenlik Seviyeleri (Security Levels - SL)
Standart, sistemin veya bileşenin hangi düzeyde bir tehdit aktörüne karşı koyabileceğini belirleyen 4 farklı hedef güvenlik seviyesi tanımlar:
SL 1 (Rastgele İhlal): Kasıtlı olmayan, kazara yapılan hatalara veya genel zararlı yazılımlara (hedefsiz fidye yazılımları, solucanlar) karşı koruma.
SL 2 (Düşük Kaynaklı Kasıtlı İhlal): Basit araçlar ve genel teknikler kullanan, düşük motivasyonlu ve kısıtlı kaynaklara sahip saldırganlara (örneğin hacktivistler) karşı koruma.
SL 3 (Orta Kaynaklı Kasıtlı İhlal): ICS sistemlerine özel spesifik bilgiye sahip, karmaşık araçlar kullanan organize suç örgütleri veya terörist gruplara karşı koruma.
SL 4 (Yüksek Kaynaklı Kasıtlı İhlal): Ulus-devlet (nation-state) destekli, çok yüksek motivasyona ve sınırsız kaynağa sahip, özel 0-day zafiyetleri kullanabilen gelişmiş kalıcı tehditlere (APT) karşı koruma.
Neden IT Standartlarından (Örn: ISO 27001) Farklıdır?
IT Güvenliğinde Öncelik (CIA Üçlüsü): 1. Gizlilik (Confidentiality), 2. Bütünlük (Integrity), 3. Erişilebilirlik (Availability). Kredi kartı verilerinin çalınması en büyük risktir. Bir sunucu saldırı altındaysa, veriyi korumak için sistem doğrudan fişten çekilebilir (kapatılabilir).
ICS/OT Güvenliğinde Öncelik (AIC veya SRP Üçlüsü): 1. Erişilebilirlik/Süreklilik (Availability), 2. Bütünlük (Integrity), 3. Gizlilik (Confidentiality). Bir türbinin durması veya bir nükleer reaktörün soğutma vanasının hacklenmesi doğrudan fiziksel yıkıma, patlamalara ve can kaybına (Safety ihlaline) yol açar. Bu nedenle cihazların verisi çalınsa bile sistem durmamalıdır. IEC 62443, veri gizliliğinden çok, sahadaki endüstriyel sürecin kesintisiz ve güvenli sürmesi üzerine inşa edilmiştir.
Bahsettiğiniz ve Endüstriyel Kontrol Sistemleri (ICS) ile Operasyonel Teknoloji (OT) dünyasının en kritik siber güvenlik standardı olan belge IEC 62443'tür (eski adıyla ISA-99).
Bilgi Teknolojileri (IT) sistemleri için ISO 27001 ne kadar temel bir standartsa, enerji santralleri, su arıtma tesisleri, fabrikalar, elektrik şebekeleri ve petrol rafineleri gibi kritik altyapılarda kullanılan SCADA, DCS ve PLC sistemleri için de IEC 62443 odur. Amacı, doğrudan fiziksel dünyayı kontrol eden bu altyapıları siber saldırılara karşı korumak ve operasyonel sürekliliği sağlamaktır.
Standardın 4 Ana Bölümü
IEC 62443 tek bir doküman değil, devasa bir standartlar ailesidir ve dört ana kategoriye ayrılır:
Genel (General - 62443-1): Standardın temel kavramlarını, terminolojisini, metriklerini ve referans modellerini tanımlar.
Politikalar ve Prosedürler (Policies & Procedures - 62443-2): Tesis sahipleri (Asset Owners) ve operatörler için güvenlik yönetim sistemlerinin (CSMS) nasıl kurulacağını, yama (patch) yönetimini ve tedarik zinciri güvenliğini kapsar.
Sistem (System - 62443-3): Sistem entegratörleri için ağ mimarisinin tasarımı, risk değerlendirmesi metodolojileri ve sistemin entegre edildikten sonraki güvenlik gereksinimlerini belirler.
Bileşen (Component - 62443-4): Cihaz üreticileri (Siemens, Schneider, Rockwell vb.) için donanım ve yazılımların (PLC, sensör, SCADA arayüzü) güvenli geliştirme yaşam döngüsü (SDL) ile nasıl üretilmesi gerektiğini ve cihazların taşıması gereken teknik güvenlik şartlarını (şifreleme, kimlik doğrulama) tanımlar.
IEC 62443'ün Temel Kavramları
Bölgeler ve Kanallar (Zones and Conduits): Ağ segmentasyonunun kalbidir. Aynı işlevi gören ve aynı güvenlik gereksinimlerine sahip ICS bileşenleri mantıksal veya fiziksel bir "Bölge" (Zone) içine alınır. Bölgeler arasındaki tüm iletişim, sıkı şekilde denetlenen ve güvenlik duvarları/tek yönlü ağ geçitleri (Data Diode) ile korunan "Kanallar" (Conduits) üzerinden yapılmak zorundadır.
Derinlemesine Savunma (Defense in Depth): Tek bir güvenlik önlemine (örneğin sadece dış ağdaki bir güvenlik duvarına) güvenmek yerine; fiziksel güvenlik, ağ güvenliği, uç nokta koruması ve katı erişim politikalarının iç içe geçerek çok katmanlı bir savunma hattı oluşturması prensibidir.
Güvenlik Seviyeleri (Security Levels - SL)
Standart, sistemin veya bileşenin hangi düzeyde bir tehdit aktörüne karşı koyabileceğini belirleyen 4 farklı hedef güvenlik seviyesi tanımlar:
SL 1 (Rastgele İhlal): Kasıtlı olmayan, kazara yapılan hatalara veya genel zararlı yazılımlara (hedefsiz fidye yazılımları, solucanlar) karşı koruma.
SL 2 (Düşük Kaynaklı Kasıtlı İhlal): Basit araçlar ve genel teknikler kullanan, düşük motivasyonlu ve kısıtlı kaynaklara sahip saldırganlara (örneğin hacktivistler) karşı koruma.
SL 3 (Orta Kaynaklı Kasıtlı İhlal): ICS sistemlerine özel spesifik bilgiye sahip, karmaşık araçlar kullanan organize suç örgütleri veya terörist gruplara karşı koruma.
SL 4 (Yüksek Kaynaklı Kasıtlı İhlal): Ulus-devlet (nation-state) destekli, çok yüksek motivasyona ve sınırsız kaynağa sahip, özel 0-day zafiyetleri kullanabilen gelişmiş kalıcı tehditlere (APT) karşı koruma.
Neden IT Standartlarından (Örn: ISO 27001) Farklıdır?
IT Güvenliğinde Öncelik (CIA Üçlüsü): 1. Gizlilik (Confidentiality), 2. Bütünlük (Integrity), 3. Erişilebilirlik (Availability). Kredi kartı verilerinin çalınması en büyük risktir. Bir sunucu saldırı altındaysa, veriyi korumak için sistem doğrudan fişten çekilebilir (kapatılabilir).
ICS/OT Güvenliğinde Öncelik (AIC veya SRP Üçlüsü): 1. Erişilebilirlik/Süreklilik (Availability), 2. Bütünlük (Integrity), 3. Gizlilik (Confidentiality). Bir türbinin durması veya bir nükleer reaktörün soğutma vanasının hacklenmesi doğrudan fiziksel yıkıma, patlamalara ve can kaybına (Safety ihlaline) yol açar. Bu nedenle cihazların verisi çalınsa bile sistem durmamalıdır. IEC 62443, veri gizliliğinden çok, sahadaki endüstriyel sürecin kesintisiz ve güvenli sürmesi üzerine inşa edilmiştir.
