IEC 62443’te Zon ve Kanal Yaklaşımı

IEC 62443, endüstriyel otomasyon ve kontrol sistemlerinin siber güvenliği için uluslararası standart ailesidir. Kapsamı geniştir; ancak sahada en çok işe yarayan fikirlerinden biri basittir: sistemi, güvenlik gereksinimi aynı olan gruplara (zon) ayırmak ve bu gruplar arasındaki iletişim yollarını (kanal) tanımlayıp kontrol etmek.

Zon nedir?

Zon, aynı güvenlik gereksinimlerini paylaşan varlıkların mantıksal grubudur. Örneğin bir üretim hattının PLC’leri ve HMI’ları bir zon, tesis seviyesindeki SCADA ve historian sunucuları başka bir zon, uzaktan bakım altyapısı ayrı bir zon olabilir. Zon sınırları ağ cihazlarına göre değil, risk ve işlevsel bağlılığa göre çizilir.

Kanal nedir?

Kanal, zonlar arasındaki iletişim yoludur. Her kanal için hangi verinin, hangi protokolle, hangi yönde ve kimin başlatmasıyla akacağı tanımlanır; kanal üzerinde uygulanacak koruma (firewall kuralı, şifreleme, kimlik doğrulama, kayıt) belirlenir. Tanımlanmamış her bağlantı, kontrol edilmemiş bir risk demektir.

Uygulanabilir bir başlangıç planı

1. Kapsamı ve envanteri belirleyin

Değerlendirilecek sistemin sınırını çizin: bir hat, bir tesis veya tüm üretim. Kapsamdaki varlıkları, ağ bağlantılarını ve dış bağlantıları (uzaktan erişim, bulut, tedarikçi bağlantıları) listeleyin.

2. Üst düzey risk değerlendirmesi

Sistemin zarar görmesi durumunda can güvenliği, çevre, üretim kaybı ve itibar açısından olası etkileri değerlendirin. Bu değerlendirme, hangi bölümlerin daha sıkı korunacağını belirler.

3. Zonları ve kanalları çizin

• Güvenlik açısından kritik sistemler (ör. emniyet sistemleri) ayrı zonlarda tutulur.
• Farklı sorumluluk ve yönetim modeline sahip sistemler ayrılır.
• Kurumsal IT ve internet bağlantıları OT zonlarından ayrı tutulur; aradaki geçiş DMZ zonu üzerinden yapılır.
• Geçici bağlantılar (dizüstü bilgisayar, USB, tedarikçi erişimi) da kanal olarak ele alınır.

4. Hedef güvenlik seviyesini belirleyin

Standart, güvenlik seviyelerini (Security Level, SL) karşı koyulması beklenen tehdidin yetkinliğine göre tanımlar. Her zon için risk değerlendirmesine göre bir hedef seviye belirlenir; mevcut durumla hedef arasındaki fark, yapılacak işlerin listesini oluşturur.

5. Önlemleri uygulayın ve sürdürün

Kanallar üzerindeki kurallar, erişim yönetimi, yama ve yedekleme süreçleri, izleme ve olay müdahalesi hedef seviyeye göre planlanır. Zon ve kanal modeli bir kerelik çizim değildir; yeni makine, yeni bağlantı veya yeni tedarikçi geldiğinde güncellenmelidir.

Sahadan pratik notlar

• İlk çalışmada mükemmel model aramayın; az sayıda, net sınırlı zonla başlayıp ilerleyin.
• Üretim, bakım ve BT ekiplerini zon çizimine birlikte dahil edin.
• Her kanal için sorumlu bir kişi belirleyin.
• Uzaktan bakım kanallarını, sürekli açık değil, ihtiyaç anında açılan ve kayıt altına alınan bir yapıya taşıyın.

Sık sorulan sorular

Zon ile VLAN aynı şey mi?

Hayır. Zon, aynı güvenlik gereksinimlerini paylaşan varlıkların mantıksal grubudur. Bir zon bir veya birden fazla VLAN ile uygulanabilir; ama zonu belirleyen ağ yapısı değil, risk ve güvenlik gereksinimidir.

Her fabrika en yüksek güvenlik seviyesini mi hedeflemeli?

Hayır. Hedef güvenlik seviyesi risk değerlendirmesine göre zon bazında belirlenir. Tüm zonlara en yüksek seviyeyi uygulamak gereksiz maliyet ve işletme yükü getirebilir.

IEC 62443 sertifikası almak zorunlu mu?

Sektöre ve müşteri gereksinimlerine göre değişir. Sertifika hedeflenmese bile zon ve kanal yaklaşımı, OT güvenliğini düzenli bir şekilde planlamak için kullanışlı bir çerçevedir.