Kritik altyapı fiziksel-siber koruma, enerji, su, ulaşım, haberleşme ve finans gibi bir ülkenin işleyişi için hayati sistemleri hem siber saldırılara hem de fiziksel müdahalelere karşı ayrı ayrı değil, birbirine bağlı iki yüzü olan tek bir tehdit olarak koruma yaklaşımıdır. Bu alanda dijital ve fiziksel güvenlik artık ayrı departmanların işi değildir; çünkü bir kablonun kesilmesiyle bir yazılımın ele geçirilmesi aynı sonucu, hizmetin durmasını doğurabilir.

Kritik altyapıda fiziksel ve siber sınır silinmiştir; bir yazılım komutu türbini durdurabilir, bir tel kesme ise güvenlik yazılımını kör edebilir.

İki Dünyanın Kesişmesi

Kritik altyapıları benzersiz kılan, siber ve fiziksel olayların birbirini tetiklemesidir. Bir saldırgan güvenlik kameralarını ve alarm sistemlerini siber yolla devre dışı bırakıp ardından fiziksel olarak tesise sızabilir; ya da tersine, bir kontrol panosuna fiziksel erişim sağlayıp oradan izole ağa zararlı yazılım yükleyebilir. Bu iç içe geçmişlik, Kritik altyapı güvenliği disiplinini klasik BT güvenliğinden ayırır; çünkü tehdit modeli hem bir hacker’ı hem de tesise giren bir kişiyi aynı anda hesaba katmalıdır.

Endüstriyel kontrol sistemlerinde (ICS/SCADA) bu birleşme daha da kritiktir. Bir su arıtma tesisinde kimyasal dozaj değerini uzaktan değiştiren bir saldırı, ekrandaki bir sayı değişikliği gibi görünse de fiziksel dünyada halk sağlığını tehdit eden gerçek bir sonuç üretir. Bu yüzden koruma, sadece veriyi değil fiziksel süreci ve onu yöneten operatörü de kapsamalıdır.

Türkiye’deki Düzenleyici Çerçeve

Türkiye’de kritik altyapı sahibi kurumlar boşlukta hareket etmez; uyulması gereken bir mevzuat çerçevesi vardır. Kamu ve kritik sektör kuruluşları için Cumhurbaşkanlığı tarafından yayımlanan Bilgi ve İletişim Güvenliği Rehberi, varlık envanterinden ağ segmentasyonuna kadar zorunlu tedbirleri tanımlar. Olay bildirimi ve koordinasyon ise Kurumsal SOME ve USOM yapısı üzerinden yürür; kurumlar tespit ettikleri olayları merkezi ekiplere raporlamak ve ülke çapındaki uyarılarla senkron çalışmakla yükümlüdür.

Bütünsel Savunma Nasıl Kurulur?

Fiziksel ve siberi birleştiren koruma, hem sahayı hem ağı kapsayan katmanlardan oluşur. Modern yaklaşımda merkezî prensip, hiçbir erişimi konumuna göre otomatik güvenilir saymamaktır; bu, Sıfır güven mimarisi ilkesidir. Tesis içindeki bir cihaz bile, tesis dışındaki bir cihaz kadar sıkı doğrulanır, çünkü fiziksel olarak içeri giren biri artık ‘güvenilir ağda’ sayılamaz.

• Fiziksel erişim denetimi ile ağ erişim denetiminin ortak izlenmesi
• Kurumsal BT ile OT/SCADA ağlarının katmanlara ayrılması
• Kamera, alarm ve giriş sistemlerinin siber dayanıklılığının sağlanması
• Olayların SOME/USOM’a bildirilmesi için hazır müdahale prosedürleri
• Konumdan bağımsız, her erişimi doğrulayan sıfır güven kontrolleri

Tasarımın Bağımsız Doğrulanması

Kritik altyapıda en tehlikeli açık, fiziksel ve siber ekiplerin birbirinin varsaydığı bir sorumluluğu kimsenin üstlenmemesiyle oluşan boşluklardır; kamera ağının hangi VLAN’da olduğu ya da bakım kapısının hangi ağa köprü kurduğu çoğu zaman haritalanmamıştır. Bu kör noktaların ortaya çıkarılması için Altyapı ve mimari gözden geçirme hizmetimiz fiziksel ve dijital katmanların kesiştiği zayıf bağlantıları bütünsel olarak değerlendirir.