Enerji sektörü tedarik zinciri riski, bir santral ya da şebekeye dışarıdan giren donanım, yazılım ve bakım hizmetlerinin beraberinde getirdiği güvenlik tehlikelerini ifade eder. Enerji operatörleri; türbin denetleyicilerinden SCADA yazılımına, uzaktan bakım sağlayan yüklenicilerden gömülü bileşenlere kadar çok sayıda üçüncü tarafa bağımlıdır ve bu tedarikçilerden birindeki zafiyet, doğrudan operasyonel ortama taşınabilir.

Enerji sektörü tedarik zinciri riski, kendi ağınıza girmiş güvenilir bir tedarikçinin kendi zafiyetinin sizin zafiyetiniz hâline gelmesidir.

Genel çerçevesiyle bir tedarik zinciri saldırısı, hedefe doğrudan değil güvendiği bir aracı üzerinden ulaşır. Enerji bağlamında bu, yaygın olarak kurulan bir denetleyici yazılımına yerleştirilmiş bir arka kapının onu kullanan tüm tesislere aynı anda bulaşması ya da bir bakım firmasının uzak erişiminin ele geçirilerek onun bağlandığı tüm sahalara sıçraması biçiminde görülür. Tek bir zayıf halka, çok sayıda kritik tesise açılan bir kapı olabilir.

Enerji Ortamını Ayıran Ne?

Enerji ortamında bu riski ağırlaştıran, sistemlerin uzun ömürlü ve zor güncellenen doğasıdır. Bir enerji tesisindeki cihazlar on yıllarca hizmette kalır; tedarikçi desteği bittiğinde bile çalışmaya devam eder ve bu süre boyunca içindeki bileşenlerin taşıdığı zafiyetler açık kalır. Bu yönüyle tedarik zinciri riski, daha geniş operasyonel teknoloji güvenliği sorununun ayrılmaz parçasıdır. Bu tesisler bir ülkenin enerji arzını taşıdığından, tedarikçi kaynaklı bir olay hızla kritik altyapı güvenliği meselesine dönüşür.

Riski Azaltma Yolları

Tedarik zinciri riskini yönetmenin ilk adımı görünürlüktür: hangi cihazın, hangi yazılımın ve hangi bileşenlerin ortamda bulunduğunun eksiksiz envanteri çıkarılır. Buna, yazılımların içindeki alt bileşenleri listeleyen malzeme listeleri de dahildir. Tedarikçilerin güvenlik olgunluğu satın alma sürecinde değerlendirilir; sözleşmelere zafiyet bildirim ve yama yükümlülükleri eklenir. Uzaktan bakım erişimleri kalıcı değil, talep bazlı ve denetimli tutulur. Ortama giren cihaz ve yazılımların bilinen zafiyetlerinin sürekli taranması, saldırganların bu açıkları kullanmasından önce onları görmeyi sağlar.

Kurumsal Bakış

Operatör için tedarik zinciri riski, tümüyle kendi kontrolündeki bir alan değildir; bu yüzden yönetimi de tek seferlik değil süreklidir. Yeni her tedarikçi, güncelleme ve bakım penceresi yeni bir değerlendirme gerektirir. Ortamdaki cihaz ve yazılım bileşenlerinin zafiyetlerini düzenli ve tekrarlanabilir biçimde görmek için düzenli zafiyet tarama hizmetimiz tedarikçi kaynaklı açıkları erken aşamada ortaya çıkarır.