Operatör ve Bakım Ekibi İçin OT Güvenlik Farkındalık Programı

Ofis çalışanları için hazırlanmış güvenlik eğitimleri üretim sahasında çoğu zaman karşılık bulmaz. Operatörün kurumsal e-postası olmayabilir, bakım teknisyeni günün büyük kısmını panoların başında geçirir, vardiya devrinde 45 dakikalık bir e-öğrenme modülüne yer yoktur. Oysa HMI’daki beklenmedik davranışı, panoya takılmış bilinmeyen cihazı ya da habersiz gelen servis mühendisini ilk fark eden kişi sahadaki personeldir. Aşağıda operatör ve bakım ekibine uygun bir OT güvenlik farkındalık programının nasıl kurulacağını anlatıyoruz.

Saha personeli için farkındalık neden farklıdır

Üretim sahasında farkındalığın amacı personeli siber güvenlik uzmanı yapmak değildir. Hedef üç davranıştır: fark etmek, kendi başına müdahale etmemek ve doğru kanala hızla bildirmek. Bu davranışlar İSG kültüründen tanıdıktır. Program onların üstüne kurulursa kabulü kolaylaşır.

Ofis eğitimlerinden ayrıldığı noktalar:

• Risk kaynağı: Ofiste e-posta ve web ana risk kaynağıdır; sahada taşınabilir medya, uzak erişim, tedarikçi ziyaretleri ve paylaşılan istasyonlar öne çıkar.
• Sonuç: Ofiste veri kaybı ve dolandırıcılık konuşulur; sahada duruş, hatalı ürün ve emniyet riski.
• Erişim: Saha personelinin bireysel bilgisayarı veya e-posta hesabı olmayabilir; eğitim ve duyuru kanalı farklı olmalıdır.
• Zaman: Vardiya düzeni uzun oturumlara izin vermez; içerik kısa ve tekrarlı olmalıdır.

Ofis kullanıcısına yönelik phishing ve sahte fatura senaryoları için kurumsal e-postada phishing riskini azaltmak ve BEC ve sahte fatura dolandırıcılığı yazıları daha uygun; burada yalnız saha personeline odaklanıyoruz.

Rol bazlı içerik: operatör, bakım, mühendis

Herkese aynı içeriği vermek, operatöre gereksiz ayrıntı, mühendise yetersiz derinlik demektir. Aşağıdaki tablo rol bazlı bir içerik dağılımı örneğidir.

Rol	Odak konular	Beklenen davranış
Operatör	HMI’da anormallik belirtileri, USB yasağı, ortak hesap kullanımı	Fark et, prosesi güvenli tut, bildir
Bakım teknisyeni	Taşınabilir medya prosedürü, pano içi yabancı cihaz, tedarikçi refakati	Prosedüre uy, yabancı cihazı sökmeden bildir
Otomasyon mühendisi	EWS güvenliği, PLC parolaları, program yedekleri, değişiklik kaydı	Değişikliği kayıtla yap, yetkisiz değişikliği raporla
Vardiya amiri	Bildirim akışı, ilk karar, eskalasyon, manuel çalışma	Bildirimi değerlendir, doğru kişiyi çağır
Tedarikçi / yüklenici	Tesis kuralları, uzak erişim ve medya politikası	Kurallara yazılı olarak uy

Vardiya amirleri ayrı bir yerde durur. Sahadan gelen bildirimi ilk değerlendiren ve “hattı durduralım mı?” sorusuyla ilk karşılaşan onlardır. Bu rol için kısa bir karar kartı hazırlamak, olay müdahale planını sahaya bağlar; planın genel yapısı OT olay müdahale planı yazısında anlatılıyor.

Sahaya özgü senaryolar

İçeriği personelin kendi tesisinde karşılaşabileceği somut durumlar üzerine kurun. Genel siber tehdit anlatımları yerine şu tür senaryolar işe yarar:

1. Bilinmeyen USB bellek: Vardiya değişiminde kontrol odasında sahipsiz bir USB bellek bulunur. Doğru davranış: takmamak, kimin bıraktığını sormak, güvenlik sorumlusuna teslim etmek.
2. Kendi kendine hareket eden imleç: HMI ekranında imleç hareket eder veya pencereler açılır. Doğru davranış: ekrana müdahale etmeden prosesi gözlemek, vardiya amirine bildirmek, gerekirse prosedüre göre prosesi güvenli duruma almak.
3. Habersiz servis ziyareti: Kendini makine üreticisinin servis mühendisi olarak tanıtan biri, iş emri olmadan panoya dizüstü bilgisayar bağlamak ister. Doğru davranış: iş emrini ve onayı sormak, refakatçi olmadan izin vermemek.
4. Telefonla gelen talep: “IT’den arıyorum, uzaktan bağlanmam için HMI’daki programı açın” denir. Doğru davranış: geri arayarak doğrulamak, bilinen kanal dışından gelen talebi uygulamamak.
5. Açıklanamayan değer değişikliği: Bir set değeri, kimse dokunmadığı halde değişmiş görünür. Doğru davranış: değişikliği kayda almak ve bildirmek; “herhalde biri değiştirmiştir” deyip devam etmemek.

Sahada en sık karşılaştığımız tepki beşinci senaryodadır. Değer değişmiştir, herkes bir öncekinin değiştirdiğini düşünür, kimse sormaz. Sormak işin parçasıdır. Taşınabilir medya senaryosunun teknik ve prosedürel arka planı üretim ortamında USB ve taşınabilir medya kontrolü yazısında; eğitimde anlatılan kurallar o prosedürle birebir aynı olmalı.

Anormallik bildirme kanalı ve kültürü

Farkındalık programının asıl çıktısı bildirimdir. Kanalı tasarlarken şu ilkeleri gözetin:

• Tek ve kolay kanal: Dahili bir telefon numarası veya vardiya amirine doğrudan bildirim. Saha personelinin erişemediği bir e-posta adresi veya portal kanal sayılmaz.
• Açık kriterler: Neyin bildirileceğini örneklerle tanımlayın: bilinmeyen cihaz, beklenmeyen ekran davranışı, habersiz ziyaret, kaybolan taşınabilir bilgisayar, açıklanamayan parametre değişikliği.
• Suçlamasız yaklaşım: Yanlışlıkla bir HMI’ya veya istasyona USB bellek takan personelin bunu bildirmesi, gizlemesinden çok daha değerlidir. Bildirim nedeniyle disiplin süreci başlatılmayacağını açıkça duyurun.
• Geri bildirim: Her bildirime kısa bir sonuç dönün. Personel bildiriminin işe yaradığını görmezse bildirmeyi bırakır.
• Kayıt: Vardiya amiri bildirimleri basit bir formla kaydeder; kayıtlar OT güvenlik sorumlusuna ulaşır ve gerektiğinde SOC’a aktarılır.

Bildirim akışını İSG’deki ramak kala bildirim sistemine bağlamak, mevcut alışkanlıktan yararlanmanın en pratik yoludur. Yeni sistem kurmayın. Var olana ekleyin.

Vardiya düzenine uygun eğitim formatları

Uzun sınıf eğitimleri yerine kısa ve sık tekrarlanan formatlar sahada daha iyi sonuç verir. Formatlar birbirini tamamlayacak şekilde birlikte kullanılabilir:

Format	Süre / sıklık	Uygun içerik
Vardiya başı kısa konuşma	Birkaç dakika, periyodik	Tek senaryo, tek kural
İşe giriş eğitimi	İşe başlarken bir kez	Temel kurallar, bildirim kanalı
Saha tatbikatı	Yılda birkaç kez	Bildirim ve ilk müdahale
Afiş ve kontrol odası kartı	Sürekli	Bildirim numarası, USB kuralı
Rol bazlı atölye	Yılda bir	Mühendis ve amirler için derinlik

Kontrol odasında HMI’nın yanında duran tek sayfalık kart, eğitimde öğretilenin olay anında hatırlanmasını sağlar: kimi arayacağım, prosesi nasıl güvenli tutacağım, neye dokunmayacağım. Tedarikçi ve yüklenicilere tesis girişinde verilen güvenlik brifingine birkaç siber güvenlik kuralı eklemek de etkili ve düşük maliyetli bir adımdır.

Sık yapılan hatalar

• Ofis içeriğini sahaya kopyalamak: Parola karmaşıklığı ve e-posta ekleri üzerine kurulu bir sunum, HMI başındaki operatöre ne yapması gerektiğini söylemez.
• Tek seferlik eğitim: Yılda bir yapılan oturum, vardiya değişimleri ve yeni işe girenlerle hızla etkisini yitirir.
• Korku diliyle anlatım: Felaket senaryolarıyla açılan eğitim, personelde “benim yapabileceğim bir şey yok” algısı yaratır. Somut ve uygulanabilir davranışa odaklanın.
• Yöneticileri ve yüklenicileri dışarıda bırakmak: Kuralı en sık esnetenler çoğu zaman acil arızada baskı altındaki amirler ve tesise geçici gelen yüklenicilerdir.
• Bildirim kanalını test etmemek: Afişteki dahili numaranın gece vardiyasında açılıp açılmadığını tatbikatla doğrulayın. Açılmayan numara, numara değildir.

Etkinliğin ölçülmesi

Programın işe yarayıp yaramadığı katılım listesinden anlaşılmaz. Davranışı ölçen göstergeler kullanın:

• Bildirim sayısı ve türü: Program başladıktan sonra bildirimlerin artması genellikle olumlu bir işarettir; gerçek olayların arttığı anlamına gelmez.
• Bildirim süresi: Anormalliğin fark edilmesiyle bildirimin ulaşması arasındaki süre.
• Tatbikat sonuçları: Planlı bir senaryoda (örneğin kontrol odasına bırakılan işaretli bir USB bellek veya refakatsiz bir “ziyaretçi”) personelin doğru davranıp davranmadığı. Bu tür tatbikatları yönetim, İSG ve gerekiyorsa çalışan temsilcileriyle önceden planlayın; sonuçları kişileri değil süreci değerlendirmek için kullanın.
• Teknik göstergeler: Cihaz kontrolü günlüklerinde engellenen USB denemeleri, onaysız uzak erişim girişimleri gibi kayıtların eğilimi.
• Kısa bilgi kontrolleri: Vardiya konuşması sonrasında iki üç soruluk sözlü kontrol.

Göstergeleri mutlak değerden çok eğilim olarak yorumlayın ve her dönem sonunda içeriği güncelleyin. Sahada yaşanan bir olay veya ramak kala, bir sonraki dönemin senaryosu olabilir.

Kurum genelindeki farkındalık ve phishing simülasyonu programını saha personelini de kapsayacak şekilde kurgulamak için siber güvenlik eğitimi ve phishing simülasyonu hizmetine, programın teknik kontrollerle uyumu için OT/ICS ve endüstriyel siber güvenlik sayfasına bakabilirsiniz. IEC 62443-2-1, varlık sahibinin güvenlik programında personel eğitimini bir gereklilik olarak ele alır; OT’ye özgü genel rehberlik için CISA’nın endüstriyel kontrol sistemleri sayfası başvuru noktasıdır.

Sık sorulan sorular

Operatörlere phishing simülasyonu yapmak anlamlı mı?

Operatörlerin kurumsal e-posta hesabı ve bu hesaba eriştikleri ortak bilgisayarlar varsa evet. Ancak sahada daha sık karşılaşılan riskler taşınabilir medya, beklenmeyen uzak bağlantılar ve sahte servis ziyaretleridir. Simülasyon programını bu saha senaryolarını da içerecek şekilde tasarlayın.

Farkındalık eğitimi İSG eğitimine eklenebilir mi?

Eklenebilir ve çoğu zaman en verimli yol budur; İSG eğitimleri zaten vardiya düzenine göre planlanır ve sahada kabul görür. Siber güvenlik modülü kısa, sahaya özgü ve İSG mesajlarıyla tutarlı olmalı: bir anormallik fark edildiğinde dur, bildir, kendi başına müdahale etme.

Programın başarısı nasıl ölçülür?

Katılım oranı tek başına bir şey söylemez. Bildirim sayısı ve kalitesi, bildirim ile müdahale arasındaki süre, saha tatbikatlarında doğru davranış gösteren personel ve taşınabilir medya kuralı ihlali gibi teknik kayıtlardan çıkan göstergeleri birlikte izleyin ve eğilimine bakın.

Yanlış alarm bildiren personele nasıl davranılmalı?

Bildirimi her durumda teşekkürle karşılayın ve sonucu personele kısaca geri bildirin. Yanlış alarm yüzünden eleştirilen personel bir sonraki gerçek olayı bildirmekten kaçınır. Gereksiz bildirimler çoğalırsa çözüm, bildirim kriterlerini ve örnekleri netleştirmektir.