IEC 62443-3-3, endüstriyel otomasyon ve kontrol sistemlerinin bir bütün olarak sağlaması gereken teknik güvenlik gereksinimlerini tanımlayan standarttır. Tek bir cihazın değil, bir üretim hattını ya da bir tesisin otomasyonunu oluşturan sistemin tümünün nasıl korunacağını ele alır ve bu gereksinimleri ölçülebilir güvenlik seviyelerine bağlar.

IEC 62443-3-3, bir kontrol sisteminin hangi güvenlik yeteneklerini, hangi olgunluk seviyesinde kanıtlaması gerektiğini şart koşan sistem düzeyinde bir sözleşmedir.

Ailedeki Yeri

Bu belge tek başına durmaz; IEC 62443 standardı ailesinin bir parçasıdır. Ailenin farklı bölümleri farklı rollere hitap eder: bazıları tesis işletmecisinin süreçlerini, bazıları ürün geliştiricinin güvenli tasarım pratiklerini kapsar. 3-3 bölümü ise entegratöre ve işletmeciye bakar; kurulan sistemin sağlaması gereken teknik yetenekleri listeler. Karşılığındaki 4-2 bölümü aynı gereksinimleri tek tek bileşen düzeyine indirir, böylece sistem ile parça arasında tutarlı bir zincir kurulur.

Yedi Temel Gereksinim

Standardın çekirdeğinde, tüm gereksinimlerin altında toplandığı yedi temel başlık (foundational requirements) vardır. Bunlar rastgele bir kontrol listesi değil, bir savunma stratejisinin bütünüdür: kimin sisteme dokunduğunu, ne yaptığını, verinin bozulmadığını ve sistemin bir saldırı anında bile ayakta kaldığını güvence altına almayı hedefler.

• Kimlik doğrulama ve erişim denetimi: sisteme erişen her insan ve cihazın doğrulanması
• Kullanım kontrolü: doğrulanmış kimliklerin yalnızca yetkili işlemleri yapabilmesi
• Sistem bütünlüğü: verinin ve yazılımın izinsiz değiştirilememesi
• Veri gizliliği: hassas bilginin yetkisiz gözlerden korunması
• Veri akışının kısıtlanması: bölgeler arası trafiğin denetlenmesi
• Olaylara zamanında yanıt: saldırıların kaydedilmesi ve raporlanması
• Kaynak erişilebilirliği: saldırı altında bile üretimin sürdürülebilmesi

Güvenlik Seviyeleri Neden Var?

Standart, her gereksinim için tek bir katı eşik dayatmak yerine güvenlik seviyeleri tanımlar. Bu seviyeler, sistemin ne kadar yetenekli bir saldırgana dayanması gerektiğine göre kademelenir: kaza sonucu oluşan bir hatayı savuşturmak ile devlet destekli, yüksek kaynaklı bir saldırıya direnmek çok farklı yatırımlar gerektirir. Bir tesis, her bölgesi için bir hedef seviye belirler ve sistemi o seviyenin gereksinimlerini karşılayacak şekilde kurar. Bu yaklaşım aşırı korumanın maliyetiyle yetersiz korumanın riskini dengeler.

Gereksinimlerin pratikte anlamlı olabilmesi için sistemin doğru mimariyle kurulmuş olması gerekir. Örneğin veri akışının kısıtlanması gereksinimi, ancak sistem bölgelere ve kanallara ayrılmışsa uygulanabilir; bu da bölge sınırlarında duran programlanabilir mantık denetleyici gibi cihazların doğru katmanda konumlanmasıyla mümkündür. Bu tür sistemler operasyonel teknoloji güvenliği disiplininin merkezinde yer alır ve BT dünyasının varsayımlarıyla değil, süreç güvenliği önceliğiyle korunur.

Elektrik, su, petrokimya gibi sektörlerde bu gereksinimler yalnızca iyi mühendislik değil, çoğu zaman kritik altyapı güvenliği yükümlülüğüdür. Mevcut bir tesisin 3-3 gereksinimleriyle arasındaki boşluğu ölçmek ve hedef güvenlik seviyesine giden yol haritasını çıkarmak, bir altyapı ve mimari gözden geçirme çalışmasının somut sonucudur.