TISAX Prototip Verisi İçin Teknik Kontroller: CAD, Ağ ve Cihaz

Prototip odası kilitlidir, kartlı geçiş vardır, kamera kayıttadır. Aynı parçanın CAD modeli ise “Muhendislik” paylaşımında, departmandaki herkesin okuyabildiği bir klasörde durur. Otomotiv tedarikçisinde prototip bilgisi yalnız fiziksel parça değildir: CAD modeli, PLM’deki revizyon geçmişi, simülasyon sonuçları, test tezgâhı ölçüm verisi ve atölyede çekilmiş bir fotoğraf da prototip bilgisidir. Bu rehber, TISAX prototip koruma hedefleriyle değerlendirilecek kurumların BT ve güvenlik ekipleri için dijital prototip verisinin teknik kontrollerini anlatır: proje bazlı erişim, prototip alanında ağ ayrımı, müşteriyle veri aktarımı, mobil cihaz ve görüntü kaydı kısıtları ve bunların kanıtları.

Prototip korumada dijital verinin kapsamı

TISAX’ta prototip korumaya yönelik değerlendirme hedefleri prototip parça ve bileşenler, prototip araçlar, test araçları ile etkinlik ve çekimler başlıklarında tanımlıdır. VDA ISA kataloğunun prototip koruma bölümü ağırlıklı olarak fiziksel güvenliği, organizasyonel düzenlemeleri ve araç/parça kullanım kurallarını kapsar. Dijital prototip verisi ise pratikte kataloğun bilgi güvenliği bölümündeki gereklilikler (erişim yönetimi, kriptografi, ağ güvenliği, mobil cihazlar, veri aktarımı) üzerinden sorgulanır ve genellikle yüksek veya çok yüksek koruma ihtiyacı sınıfına girer. Kullandığınız ISA sürümündeki soru numaralarını ve etiket–soru eşlemesini ENX ve VDA’nın güncel dokümanlarından doğrulayın; sürümler arasında numaralar kayar.

Fiziksel ve organizasyonel taraf (güvenlik bölgeleri, ziyaretçi kuralları, gizlilik taahhütleri) uyum sitesindeki TISAX prototip koruma gereklilikleri yazısında. Burada yalnız teknik kontroller var. İşe prototip verisinin nerede oluştuğunu ve nereye dolaştığını çıkararak başlayın:

Veri türü	Tipik konum	Başlıca risk
CAD modeli ve çizim	PLM/PDM, mühendis iş istasyonu	Yetkisiz proje erişimi, yerel kopya
Simülasyon ve hesap	HPC kümesi, paylaşımlı disk	Geniş paylaşım izinleri
Test ve ölçüm verisi	Test tezgâhı PC’si, laboratuvar sunucusu	Ayrı ağda olmayan, yamasız cihazlar
Fotoğraf ve video	Telefonlar, kalite kameraları	Kontrolsüz çekim ve paylaşım
Müşteri yazışmaları	E-posta, müşteri portalı	Yanlış alıcı, şifresiz ek

Proje bazlı erişim ayrımı

Teknik temel tek cümledir: “mühendislik departmanı her şeyi görür” modelinden “yalnız projeye atanmış kişi o projenin verisini görür” modeline geçmek. Müşteri, kendi projesinin bilgisinin aynı tedarikçide başka bir müşterinin projesinde çalışan kişilere ulaşmamasını bekler. Rakip OEM’in projesi bir koridor ötededir.

Uygulama adımları:

1. Proje başına grup: Her müşteri projesi için dizinde ayrı güvenlik grupları (örneğin okuma ve yazma) açılır. Grup sahibi proje yöneticisidir; üyelik talepleri onun onayıyla işlenir, BT kendi başına üye eklemez.
2. PLM’de proje bazlı erişim: Teamcenter, Windchill, 3DEXPERIENCE gibi PLM sistemlerinde proje veya bağlam bazlı erişim modelleri vardır. Rol bazlı geniş erişim (tüm “tasarımcı” rolüne tüm ürün ağacı gibi) yerine bu modeller kullanılır ve dizin gruplarıyla eşlenir.
3. Dosya paylaşımları: PLM dışındaki proje klasörlerinde devralma kesilir; yalnız proje grupları ve yönetim için ayrılmış yönetici grubu yetkilendirilir.
4. Proje kapanışı: Proje bitince gruplar boşaltılır, veri arşive taşınır, arşiv erişimi ayrıca kısıtlanır. Kapanmayan proje grubu, yıllarca açık kalan kapıdır.

Ayrımın gerçekten uygulandığını göstermenin basit ve güçlü yolu, klasör izinlerini düzenli dışa aktarmaktır:

$projeler = Get-ChildItem -Path "\\fs01\Prototip" -Directory
$sonuc = foreach ($p in $projeler) {
  (Get-Acl -Path $p.FullName).Access |
    Select-Object @{n='Proje';e={$p.Name}}, IdentityReference,
                  FileSystemRights, AccessControlType, IsInherited
}
$sonuc | Export-Csv -Path .\prototip_acl.csv -NoTypeInformation -Encoding UTF8

Çıktıda “Domain Users”, “Everyone”, “Authenticated Users” ya da departman geneli bir grup görüyorsanız, ya da devralınmış (IsInherited = True) geniş izinler varsa, bunlar düzeltilecek bulgulardır. Sahada en sık çıkan tablo: klasör doğru kurulmuş, ama üst klasörden devralınan “Muhendislik_Okuma” grubu hâlâ listede.

Mühendis iş istasyonundaki yerel kopyalar ayrı bir risktir. Disk şifreleme, USB depolama engeli ve CAD dosya türlerini (örneğin .CATPart, .prt, .jt, .stp) tanıyan veri kaybı önleme kuralları birlikte uygulanır. Biri eksikse zincir kopar. Yüksek hassasiyetli projelerde verinin iş istasyonuna hiç inmediği sanal masaüstü veya uzaktan grafik iş istasyonu modeli de değerlendirilir.

Prototip alanlarında ağ ayrımı

Prototip atölyesi, test laboratuvarı ve araç alanlarındaki bilgisayarlar, ölçüm cihazları ve kameralar çoğu zaman kurum ağına “düz” bağlıdır. Sonuç iki yönlü risktir: prototip verisine kurumun her yerinden erişilebilir, yamasız test cihazları da kurum ağı ve kurumsal siber güvenlik için açık kapı olur. Test tezgâhında hâlâ destek dışı işletim sistemi çalışan PC görmek sahada şaşırtıcı değildir.

• Ayrı segment: Prototip alanları için ayrı VLAN, bölgeler arası trafik firewall üzerinden. Yalnız VLAN ayırmak yetmez; bölgeler arası kurallar tanımlanmalı (bkz. VLAN ve gerçek ağ güvenliği farkı). Kural yoksa ayrım da yoktur.
• İzin listesi kuralları: Prototip segmentinden yalnız PLM sunucusu, lisans sunucusu, yama ve güvenlik altyapısı gibi gerekli hedeflere izin verilir. İnternet erişimi kapalıdır veya proxy üzerinden kısıtlıdır.
• Kablosuz ağ: Prototip alanında misafir ağı yayınlanmaz; kurumsal kablosuz ağ 802.1X ile yalnız yönetilen cihazlara açılır.
• Port güvenliği: Atölyedeki boş ağ prizleri kapatılır veya NAC ile korunur; ziyaretçi dizüstünü takıp ağa giremez.
• Test cihazları: Üreticinin uzaktan bakım bağlantısı gereken cihazlarda kalıcı tünel yerine onaylı, süreli ve kayıtlı erişim kullanılır. Unutulmuş bakım VPN’i, sahada en sık bulduğumuz arka kapıdır.

Müşteriyle güvenli veri aktarımı

Prototip verisinin en kırılgan anı kurum dışına çıktığı andır. Otomotivde mühendislik verisi aktarımının yerleşik yöntemleri vardır ve yöntemi çoğu zaman müşteri belirler:

Yöntem	Güçlü yanı	Dikkat edilecek nokta
OFTP2 (ODETTE)	Şifreleme, imza ve teslim makbuzu protokolde	Sertifika yönetimi ve süre takibi
Müşteri portalı	Erişimi müşteri yönetir	Portal hesapları kişiye özel, MFA açık
Kurumsal güvenli dosya paylaşımı	Süreli, kişiye özel bağlantı	Anonim bağlantı kapalı, indirme logu
E-posta eki	Kolay	Prototip verisi için kaçınılmalı

Yöntem ne olursa olsun, aktarımı kimin, hangi dosyayla, hangi alıcıya yaptığı kayıt altında olmalıdır. Bulut paylaşımında anonim (“bağlantıya sahip herkes”) paylaşımı prototip proje alanlarında teknik olarak kapatmak, politikayla yasaklamaktan daha güvenilirdir. Yasak unutulur, ayar unutulmaz. Aktarımda kullanılan TLS ve şifreleme ayarlarının doğrulanması şifreleme kontrolleri rehberinde.

Mobil cihaz ve görüntü kaydı kısıtları

Prototip alanında en sık sızıntı yolu teknik değildir. Bir telefon kamerasıdır. Burada fiziksel ve teknik kontroller birlikte çalışır:

• Kişisel cihazlar: Teknik olarak yönetilemedikleri için kontrol fizikseldir: girişte cihaz bırakma dolapları veya kameraları kapatan güvenlik etiketleri.
• Kurumsal telefon ve tabletler: MDM ile kamera kısıtlaması uygulanabilir. Microsoft Intune’da cihaz kısıtlama profilleriyle iOS/iPadOS ve Android Enterprise kurumsal cihazlarda kamera engellenebilir. Prototip alanında çalışan personelin cihazları ayrı gruba alınır ve profil bu gruba atanır.
• Onaylı çekim cihazları: Dokümantasyon için fotoğraf gerekiyorsa kurum envanterindeki, ağa bağlanmayan veya yalnız prototip segmentine bağlanan belirli kameralar kullanılır; görüntüler doğrudan proje klasörüne aktarılır, cihazdan silinir.
• Video güvenlik kameraları: Prototip alanını izleyen CCTV kayıtları da prototip bilgisidir; kayıt cihazına erişim ve kayıt dışa aktarımı yetkiyle sınırlanır. NVR’ın varsayılan yönetici şifresi bu yüzden ciddi bir bulgudur.
• Toplantı ve ekran paylaşımı: Prototip verisi içeren toplantılarda kayıt alma ve dış katılımcı izinleri kısıtlanır; duyarlılık etiketleri kullanılıyorsa etiket, toplantı ve dosya paylaşım davranışını belirler.

Kontrollerin teknik kanıtları

Değerlendirmede politikanın değil, kontrolün çalıştığının gösterilmesi beklenir. Kanıtları önceden hazırlayıp güncel tutmak, değerlendirme haftasındaki ekran görüntüsü telaşını önler. Genel hazırlık için TISAX hazırlık süreci ve teknik kanıtlar yazısına bakın; prototip verisi için tipik kanıt seti şöyledir:

• Proje grupları listesi, üyeleri ve son gözden geçirme tarihi; proje klasörü ACL dışa aktarımı.
• PLM erişim modelinin yapılandırma çıktısı ve örnek bir projede yetkisiz kullanıcının erişemediğini gösteren test kaydı.
• Prototip segmentinin firewall kuralları ve bölgeler arası trafik loglarından örnek.
• Prototip alanındaki ağ prizlerinin NAC veya port durumu raporu.
• MDM kamera kısıtlama profili, atandığı grup ve uyumlu cihaz listesi.
• Veri aktarım kayıtları: OFTP2 veya portal logları, dış paylaşım raporu.
• CAD dosya türleri için DLP kural tanımı ve son dönem olay raporu.
• Mühendis iş istasyonlarında disk şifreleme ve USB depolama engeli durum raporu.

Bu kanıtları değerlendirme öncesinde bağımsız bir gözle sınamak için kontrol ve konfigürasyon denetimi, CAD ve mühendislik verisine yönelik içerik tabanlı kuralların tasarımı için veri kaybı önleme (DLP) çalışması yapılabilir. TISAX değerlendirme hedefleri ve süreç belgeleri ENX Association sitesinde yayımlanır.

Sık sorulan sorular

Dijital CAD verisi TISAX prototip etiketinin kapsamında mı?

Prototip koruma bölümü ağırlıklı olarak fiziksel prototipleri, araçları ve çekim kurallarını kapsar. CAD ve test verisi gibi dijital prototip bilgisi pratikte bilgi güvenliği gereklilikleri üzerinden değerlendirilir. Bu yüzden prototip etiketi hedefleyen kurum dijital veriyi de yüksek koruma ihtiyacıyla ele almalıdır.

Prototip alanı için ayrı VLAN yeterli mi?

Hayır. VLAN yalnız yayın alanını ayırır. Segmente giren ve çıkan trafik firewall kurallarıyla izin listesi mantığında sınırlanmalı, internet erişimi kısıtlanmalı, boş portlar NAC veya kapatma ile korunmalıdır.

Kişisel telefonların kamerası teknik olarak engellenebilir mi?

Kurumun yönetmediği kişisel cihazlarda kamera güvenilir biçimde teknik olarak engellenemez. Bu cihazlar için girişte bırakma dolapları veya kamera kapatma etiketleri gibi fiziksel kontroller uygulanır; kurumsal cihazlarda MDM ile kamera kısıtlaması kullanılabilir.

Müşteri e-postayla CAD dosyası gönderirse ne yapılmalı?

Dosya proje klasörüne veya PLM’e taşınır, e-postadaki kopya kurumun saklama kuralına göre ele alınır. Kalıcı çözüm, müşteriyle OFTP2, müşteri portalı veya kişiye özel ve süreli güvenli paylaşım gibi kayıt tutan bir aktarım yöntemi üzerinde anlaşmaktır.