OT Siber Güvenlik Risk Değerlendirmesi: Sonuç Odaklı Yöntem

IT risk değerlendirmeleri genellikle bilginin gizliliği, bütünlüğü ve erişilebilirliği üzerine kurulur. Üretim tesisinde asıl soru başkadır: Bir siber olay sonucunda biri yaralanabilir mi, çevreye salım olur mu, üretim ne kadar durur, hatalı ürün müşteriye ulaşır mı? Aşağıda OT siber risk değerlendirmesini bu fiziksel sonuçlar üzerinden yürüten senaryo tabanlı yöntemi adım adım anlatıyor ve yöntemin IEC 62443-3-2 ile ilişkisini açıklıyoruz.

IT risk yöntemleri OT’de neden yetersiz kalır

Varlık bazlı IT yaklaşımında her sunucu veya uygulama için tehdit ve zafiyet listelenir, gizlilik etkisi yüksek olan varlık öne çıkar. OT’de bu yaklaşım üç noktada yanıltır:

• Etki yanlış yerde ölçülür: PLC’nin içinde gizli bilgi yoktur; ama bütünlüğü bozulursa bir vana yanlış anda açılabilir. Gizlilik ağırlıklı puanlama bu varlığı düşük önemde gösterir.
• Varlıklar tek başına anlam taşımaz: Bir HMI’nın riski, bağlı olduğu prosesin ne yaptığına ve operatörün HMI olmadan prosesi güvenle durdurup durduramayacağına bağlıdır.
• Mühendislik korumaları hesaba katılmaz: Basınç tahliye vanası, mekanik limitler veya bağımsız emniyet sistemi, siber olayın fiziksel sonucunu sınırlar. Bunları görmeyen değerlendirme ya riski abartır ya da yatırımı yanlış yere yönlendirir.

Sahada en sık gördüğümüz tablo şudur: IT’nin risk kaydında e-posta sunucusu “kritik”, dozaj pompasını süren PLC “orta” görünür. Yöntem yanlıştır, sonuç da. Sonuç odaklı yöntem bu yüzden tersten başlar: önce önlenmesi gereken kötü sonucu tanımlar, sonra o sonuca götürebilecek siber senaryoları arar.

Sonuç kategorileri: emniyet, çevre, üretim, kalite

İlk adım, kurumun zaten kullandığı risk dilini OT’ye uyarlamaktır. Çoğu tesiste İSG, çevre ve operasyon için hazırlanmış sonuç ölçekleri vardır; siber değerlendirme bunları yeniden icat etmemeli, kullanmalıdır. Aşağıdaki tablo örnek bir ölçek yapısıdır; eşik değerlerini kurumun kendi kriterleriyle doldurun.

Seviye	Emniyet	Çevre	Üretim / kalite
1 – Düşük	Yaralanma yok	Saha içinde, kayıt gerektirmeyen	Kısa duruş, ürün etkilenmez
2 – Orta	İlk yardım düzeyi	Saha içinde, temizlenebilir	Vardiya düzeyinde duruş
3 – Yüksek	İş göremezlik	Bildirim gerektiren salım	Günlerce duruş veya hatalı sevkiyat
4 – Kritik	Ağır yaralanma veya ölüm	Saha dışına yayılan salım	Uzun süreli duruş, geri çağırma

Bir senaryonun sonuç seviyesi, kategoriler arasındaki en yüksek değerdir. Kalite kategorisi gıda, ilaç ve otomotiv tedarikçilerinde ayrıca ağırlık taşır: fark edilmeden değiştirilmiş bir reçete parametresi, fiziksel hasar olmadan müşteri tarafında ciddi sonuç doğurabilir. Hasar yok, ama geri çağırma var.

Senaryo tabanlı değerlendirme adımları

Değerlendirme bir sistem sınırı için yürütülür: bir hat, bir proses ünitesi veya bir tesis. Adımlar:

1. Kapsamı tanımlayın: Sistem sınırı, içindeki varlıklar ve dış bağlantılar. Güncel envanter yoksa değerlendirme varsayıma dayanır; envanter yöntemi için OT ağlarında pasif varlık keşfi yazısına bakın.
2. Kötü sonuçları listeleyin: Operasyon ve proses güvenliği ekipleriyle bu sistemde yaşanabilecek en ciddi fiziksel sonuçları belirleyin.
3. Kontrol noktalarını eşleyin: Her sonuç için hangi kontrol fonksiyonunun (PLC mantığı, HMI komutu, set değeri, emniyet kilidi) değişmesi gerektiğini bulun.
4. Saldırı yolunu çıkarın: O kontrol fonksiyonuna hangi yoldan ulaşılır: uzak erişim, mühendislik istasyonu, kurumsal ağdan geçiş, taşınabilir medya, tedarikçi.
5. Mevcut korumaları sayın: Hem siber kontroller (segmentasyon, kimlik doğrulama, izleme) hem mühendislik korumaları (mekanik koruma, bağımsız emniyet sistemi).
6. Olasılık ve sonucu puanlayın: Korumaları hesaba katarak artık riski belirleyin.
7. Kabul edilebilir riskle karşılaştırın: Eşiği aşan senaryolar için ek kontrol önerin ve öneriden sonraki riski yeniden puanlayın.

Olasılık puanlaması nitel kriterlere dayanmalı. Örneğin: saldırı yolu internetten doğrudan erişilebilir bir servisten başlıyorsa yüksek; kurumsal ağda ayrıcalıklı hesap ele geçirmeyi ve ardından IDMZ’yi aşmayı gerektiriyorsa orta; yalnız tesise fiziksel erişimle mümkünse düşük. Kriterler yazılı olursa farklı kişiler benzer puan verir. Yazılı değilse puan, çalıştayda en yüksek sesle konuşanın puanıdır.

Proses güvenliği çalışmalarıyla bağlantı

Proses endüstrisindeki tesislerde HAZOP ve LOPA gibi proses güvenliği çalışmaları kötü sonuçları ve onlara karşı koruma katmanlarını zaten belgeler. Siber değerlendirme bu çalışmaları girdi olarak kullanmalıdır:

• HAZOP sapmaları: “Yüksek basınç”, “akış yok”, “ters akış” gibi sapmalar ve nedenleri incelenir. Nedeni bir kontrol döngüsü arızası olan sapmalar siber yolla da tetiklenebilir; bunlar senaryo adayıdır.
• LOPA koruma katmanları: Her katmanın programlanabilir olup olmadığı belirlenir. Mekanik bir tahliye vanası siber saldırıdan etkilenmez; PLC’de çalışan bir kilitleme mantığı etkilenebilir.
• Emniyet enstrümanlı sistem (SIS): IEC 61511 kapsamındaki SIS’in kontrol sisteminden bağımsızlığı siber açıdan da doğrulanmalıdır. 2017’de kamuoyuna açıklanan TRITON/TRISIS olayında saldırganlar bir tesiste emniyet denetleyicilerini hedef almıştı; bu olay SIS’in siber risk değerlendirmesine neden dahil edilmesi gerektiğini gösterir.

Bağlantı iki yönlü çalışır. Siber değerlendirme, HAZOP’ta “bağımsız” kabul edilen bir koruma katmanının aslında kontrol sistemiyle aynı mühendislik istasyonundan programlandığını ortaya çıkarabilir. Kâğıtta bağımsız, sahada değil. Bu bulgu proses güvenliği ekibine geri bildirilmelidir.

Örnek senaryolar ve değerlendirme tablosu

Aşağıdaki senaryolar yöntemin uygulanışını göstermek için hazırlanmış genel örneklerdir; puanlar varsayımsal bir tesis içindir.

Senaryo	Saldırı yolu	Mevcut korumalar	Sonuç / olasılık
Fırın sıcaklık set değerinin yükseltilmesi	Tedarikçi uzak erişimi → HMI	Bağımsız aşırı sıcaklık rölesi	2 / Orta
Dolum hattı reçete parametresinin değiştirilmesi	Kurumsal ağ → MES → PLC	Son ürün kalite kontrolü (örneklemeli)	3 / Orta
Kimyasal dozaj pompasının sürekli çalıştırılması	Mühendislik istasyonu → PLC programı	PLC içi kilitleme (programlanabilir)	4 / Düşük–orta
Tüm HMI’ların fidye yazılımıyla şifrelenmesi	Ortak AD → OT Windows sunucuları	Manuel durdurma prosedürü	3 / Yüksek

Bu puanlar örnek bir olasılık–sonuç matrisine yerleştirilir. Matrisin hücreleri kurumun risk iştahına göre “kabul edilebilir”, “ALARP / iyileştirme değerlendirilmeli” ve “kabul edilemez” bölgelerine ayrılır. Örnekteki dozaj senaryosu, olasılığı düşük olsa da sonuç seviyesi kritik olduğu için genellikle kabul edilemez bölgeye düşer; çünkü tek koruma katmanı, saldırının hedef aldığı PLC’nin içindedir. Koruma ile hedef aynı yerde. Fidye senaryosu ise emniyet açısından düşük, üretim açısından yüksek sonuçlu ve yüksek olasılıklıdır; önlem önceliği farklı bir gerekçeyle yine yüksektir. Bu senaryonun yayılma yolları fidye yazılımının OT’ye yayılma yolları yazısında ayrıntılı anlatılıyor.

IEC 62443-3-2 ile ilişki

IEC 62443-3-2, bir sistemi zon ve kanallara bölmek ve her biri için hedef güvenlik seviyesini (SL-T) belirlemek için risk değerlendirmesini kullanır. Standardın iş akışı kabaca şöyledir: değerlendirilen sistemin tanımlanması, ilk risk değerlendirmesi, zon ve kanallara bölümleme, ilk riskin kabul edilebilir riskle karşılaştırılması, ayrıntılı risk değerlendirmesi, güvenlik gerekliliklerinin belgelenmesi ve varlık sahibinin onayı.

Yukarıdaki senaryo yöntemi en çok ilk ve ayrıntılı risk değerlendirmesi adımlarına karşılık gelir. İlk değerlendirmede en kötü durum sonuçları kontroller dikkate alınmadan belirlenir; ayrıntılı değerlendirmede senaryolar, mevcut korumalar ve olasılık işin içine girer. Zon ve kanal tasarımının ağ mühendisliği tarafı bu rehberin kapsamı dışında; o konu için IT/OT segmentasyonu rehberine ve IEC 62443 endüstriyel güvenlik danışmanlığı sayfasına bakabilirsiniz.

Bulguların kontrol ve yatırım kararına dönüşmesi

Endüstriyel siber güvenlik değerlendirmesinin değeri, çıktısını karar vericilerin anlayabilmesine bağlıdır. Fiziksel sonuç dili burada avantaj sağlar: “PLC’de kimlik doğrulama eksik” yerine “dozaj pompasının kontrolsüz çalışması, tek bir mühendislik istasyonunun ele geçirilmesiyle mümkün” cümlesi yönetimin önceliklendirmesini kolaylaştırır. Bulguları karara dönüştürürken şu adımları izleyin:

• Kabul edilemez bölgedeki her senaryo için en az bir ek kontrol ve bu kontrolden sonraki beklenen risk seviyesi
• Siber olmayan seçeneklerin de değerlendirilmesi: bir mekanik limit veya bağımsız röle, karmaşık bir siber kontrolden daha güvenilir olabilir
• Kontrollerin sahibi, bütçesi ve takvimi; yamanamayan sistemler için telafi edici kontroller (OT zafiyet yönetimi ve yama kararı)
• Kabul edilen risklerin varlık sahibinin imzasıyla kayda geçmesi ve yeniden değerlendirme tetikleyicilerinin tanımlanması
• En yüksek riskli senaryoların olay müdahale planına ve tatbikat senaryolarına aktarılması

Rapor rafta kalırsa değerlendirme yapılmamış sayılır. Her bulgunun bir sahibi ve tarihi olmalı. Kurumsal düzeyde risk değerlendirme sürecini kurgulamak veya OT kapsamını mevcut bilgi güvenliği risk yönetimiyle birleştirmek için siber güvenlik risk değerlendirmesi hizmetine bakabilirsiniz. Yöntemin genel çerçevesi için NIST SP 800-82 Rev. 3 OT risk yönetimi bölümü de yararlı bir başvuru kaynağıdır.

Sık sorulan sorular

OT risk değerlendirmesi ne sıklıkla yenilenmeli?

Sabit takvim yerine tetikleyici olaylara bağlayın: yeni hat veya sistem devreye alınması, ağ mimarisinde değişiklik, proses güvenliği çalışmasının güncellenmesi, önemli bir olay veya yeni bir tehdit bilgisi. Bunlara ek olarak kurumun belirlediği periyotta gözden geçirme yapılır.

IEC 62443-3-2’ye uymak için bu yöntem yeterli mi?

Tek başına değil. Yöntem, standardın ilk ve ayrıntılı risk değerlendirmesi adımlarıyla uyumludur; ama standart ayrıca sistem sınırının tanımlanmasını, zon ve kanal bölümlemesini, hedef güvenlik seviyelerinin belirlenmesini ve gerekliliklerin varlık sahibince onaylanmasını ister. Uyum iddiası için tüm adımların belgelenmesi gerekir.

Olasılığı OT’de nasıl puanlamalıyız?

Siber olaylarda tarihsel frekans verisi genellikle yetersizdir. Olasılığı; saldırganın ulaşması gereken erişim noktası, gereken bilgi ve beceri, mevcut kontroller ve saldırı yolunun uzunluğu gibi faktörlere dayanan nitel bir ölçekle puanlayın. Ölçeğin kriterleri yazılı olsun ki farklı değerlendiriciler benzer sonuca ulaşsın.

Emniyet enstrümanlı sistem varsa siber risk düşük kabul edilebilir mi?

Ancak bağımsızlığı korunuyorsa. Bağımsız ve sağlam tasarlanmış SIS güçlü bir koruma katmanıdır; ama kontrol sistemiyle aynı ağda olması, aynı mühendislik istasyonundan programlanması veya uzaktan erişilebilir olması bu korumayı zayıflatır. Değerlendirmede SIS’in siber bağımsızlığını ayrıca doğrulayın.