Enerji Siber Güvenliği ve OT
Enerji Şebekelerinde ve SCADA Sistemlerinde Siber Güvenlik: IEC 62443 ve Kritik Altyapı Savunması
Enerji sektörünün dijitalleşmesi ve IoT/AMI cihazlarının şebekeye bağlanması, geleneksel olarak izole olan Operasyonel Teknoloji (OT) ve SCADA altyapılarını siber saldırılara açık hale getirmiştir. Elektrik santrallerine, trafo merkezlerine ve dağıtım otomasyonuna yönelik sofistike siber saldırılar, bölgesel elektrik kesintilerine, fiziksel trafo hasarlarına ve ulusal güvenlik krizlerine yol açabilir. Bu teknik rehber; IEC 62443 uluslararası siber güvenlik standardını, BT/OT ayrımını sağlayan Purdue modelini, endüstriyel protokol güvenliğini (Modbus, DNP3, IEC 60870-5-104) ve sıfır güven (Zero Trust) mimarisini ayrıntılı biçimde ele alır.
OT ve BT Siber Güvenliği Arasındaki Temel Farklar: Availability vs. Confidentiality
Kurumsal bilgi teknolojilerinde (BT) birinci öncelik Gizlilik (Confidentiality) iken, enerji Operasyonel Teknolojisinde (OT) öncelik hiyerarşisi tersine döner: Kesintisiz Çalışabilirlik (Availability) ve Fiziksel Güvenlik (Safety) her şeyden önce gelir. Bir BT sunucusuna gecikmeli güvenlik yaması yüklemek kabul edilebilirken, 50 Hz frekansında çalışan bir elektrik iletim SCADA sisteminde milisaniyelik bir gecikme veya beklenmedik bir yeniden başlatma (reboot) trafoların patlamasına ve enterkonnekte şebekenin çökmesine neden olabilir.
Teknik Değerlendirme & Metodoloji Notu
OT ve BT Siber Güvenliği Arasındaki Temel Farklar: Availability vs. Confidentiality kapsamında saha verileri ve resmi mevzuat parametreleri doğrultusunda analiz gerçekleştirilmiştir.
Purdue Modeli, Ağ Segmentasyonu ve Güvenlik Bölgeleri (IEC 62443)
IEC 62443 standardı, endüstriyel ağların Purdue Model mimarisine göre 'Bölgeler ve Kanallar' (Zones & Conduits) prensibiyle katı şekilde ayrılmasını şart koşar. Seviye 0 (sensörler, aktüatörler), Seviye 1 (PLC/RTU kontrolörleri), Seviye 2 (operatör HMI istasyonları) ve Seviye 3 (saha SCADA sunucuları); kurumsal Seviye 4/5 BT ağından endüstriyel bir DMZ (Demilitarized Zone) ve çift güvenlik duvarı (dual firewall) ile izole edilmelidir. Hiçbir kurumsal BT cihazı saha kontrolörlerine doğrudan erişemez.
Teknik Değerlendirme & Metodoloji Notu
Purdue Modeli, Ağ Segmentasyonu ve Güvenlik Bölgeleri (IEC 62443) kapsamında saha verileri ve resmi mevzuat parametreleri doğrultusunda analiz gerçekleştirilmiştir.
Endüstriyel Protokol Zaafiyetleri: Modbus TCP, DNP3 ve IEC 60870-5-104 Güvenliği
Geleneksel endüstriyel protokoller (Modbus TCP, DNP3, IEC 60870-5-104), siber tehditlerin olmadığı 1980'li yıllarda tasarlandığı için şifreleme ve kimlik doğrulama barındırmaz. Bir saldırgan ağa sızdığında sahte açma/kapama komutları enjekte edebilir. Modern savunma stratejisinde bu protokoller; IEC 62351 standardı kapsamında TLS şifreleme tünellerine (Modbus Security, Secure DNP3) alınmalı ve endüstriyel derin paket inceleme (Deep Packet Inspection - DPI) güvenlik duvarlarıyla yalnızca izin verilen komut kodlarına filtrelenmelidir.
Teknik Değerlendirme & Metodoloji Notu
Endüstriyel Protokol Zaafiyetleri: Modbus TCP, DNP3 ve IEC 60870-5-104 Güvenliği kapsamında saha verileri ve resmi mevzuat parametreleri doğrultusunda analiz gerçekleştirilmiştir.
Trafo Merkezlerinde IEC 61850 Güvenliği ve Dijital Veri Yolu Savunması
Dijital trafo merkezlerinde bakır kabloların yerini alan IEC 61850 standardı; koruma röleleri arasında GOOSE (Generic Object Oriented Substation Events) ve Örneklenmiş Değerler (Sampled Values - SV) mesajlarını yüksek hızlı Ethernet veri yolu üzerinden iletir. 4 milisaniyeden kısa sürede iletilmesi gereken bu paketler gecikmeye tahammül edemez. Bu nedenle geleneksel ağır şifreleme yerine donanımsal MACsec (IEEE 802.1AE) şifreleme ve özel donanımsal imza kontrolü uygulanarak trafo açtırma komutlarının sahteciliğe karşı korunması sağlanır.
Teknik Değerlendirme & Metodoloji Notu
Trafo Merkezlerinde IEC 61850 Güvenliği ve Dijital Veri Yolu Savunması kapsamında saha verileri ve resmi mevzuat parametreleri doğrultusunda analiz gerçekleştirilmiştir.
Tehdit İzleme, Anomali Tespiti ve Olay Müdahale Eylem Planı (Incident Response)
OT ortamlarında geleneksel antivirüs yazılımlarının PLC ve RTU cihazlarına yüklenmesi mümkün değildir. Bunun yerine ağ anahtarlarının SPAN/ayna portlarına bağlanan pasif ağ izleme sensörleri kullanılır. Bu sensörler ağ trafiğini kesintisiz dinleyerek kural dışı yazma komutlarını, beklenmedik firmware yükleme girişimlerini ve sıra dışı trafik hacimlerini yapay zekâ destekli anomali tespitiyle Security Operations Center (SOC) ekiplerine anında bildirir.
Teknik Değerlendirme & Metodoloji Notu
Tehdit İzleme, Anomali Tespiti ve Olay Müdahale Eylem Planı (Incident Response) kapsamında saha verileri ve resmi mevzuat parametreleri doğrultusunda analiz gerçekleştirilmiştir.
Enerji Tesisleri İçin OT Siber Güvenlik Denetim Kontrol Listesi
Bir enerji santrali veya trafo merkezi siber güvenliğini sağlarken: 1) Purdue modeline göre BT ve OT ağları arasında çift güvenlik duvarlı IDMZ kurun; 2) Uzaktan bakım erişimlerinde (remote access) mutlaka çok faktörlü kimlik doğrulama (MFA) ve oturum kaydı uygulayın; 3) Tüm SCADA ve PLC şifrelerini fabrika varsayılanlarından çıkararak karmaşıklaştırın; 4) Kritik konfigürasyon ve PLC lojik yazılımlarının çevrimdışı (offline/air-gapped) yedeklerini düzenli olarak saklayın; 5) TEİAŞ ve EPDK siber güvenlik yönergelerine uygun yıllık penetrasyon testi ve tatbikat yapın.
Teknik Değerlendirme & Metodoloji Notu
Enerji Tesisleri İçin OT Siber Güvenlik Denetim Kontrol Listesi kapsamında saha verileri ve resmi mevzuat parametreleri doğrultusunda analiz gerçekleştirilmiştir.
Birincil ve teknik kaynaklar
- IEC — IEC 62443 Industrial Network and System Security Standards
- CISA — Industrial Control Systems (ICS) Cybersecurity Guidelines
- NERC — Critical Infrastructure Protection (CIP) Reliability Standards
- TEİAŞ — Elektrik İletim Sistemi Siber Güvenlik Yönergesi
- ENISA — Cybersecurity in the Energy Sector: Good Practices and Recommendations
STR Energy Editoryal Ekibi
Kurumsal yayıncı
Editoryal ilkeler ve kaynak kontrolü kapsamında gözden geçirildi.
Bu rehber eğitim amaçlıdır; yatırım, hukuk veya bağlayıcı mühendislik tavsiyesi değildir. Güncel mevzuat ve resmi kayıtlar karar öncesinde ayrıca doğrulanmalıdır.
İlgili makaleler
Konuyu tamamlayan diğer STR Energy rehberleri.
Türkiye Elektrik Piyasası
PTF, GİP, YEKDEM ve Dengesizlik: Elektrik Maliyetini Okuma Rehberi
Makaleyi okuAvrupa ve Küresel Elektrik Verisi
ENTSO-E Elektrik Verilerini Doğru Karşılaştırma Rehberi
Makaleyi okuEndüstriyel Enerji Yönetimi