31 Mart 2015 günü tüm Türkiye’yi etkilediği düşünülen elektrik kesintisine neden olabilecek açıklamaların içerisinde yer alan siber saldırı olasılığı için dünyadaki durumu analiz etmekte fayda var.

L abris Networks Siber Güvenlik Raporunda 2014 yılı içerisinde bir takım siber-fiziksel sistemlerde saldırganlar tarafından bilinçli oluşturulan durumlara yer verilmişti. Örneğin Alman BSI raporu atfedilerek verilen bilgide, Alman Stahlwerks isimli bir demir-çelik tesisinin bir kısım önemli ekipmanında siber saldırılar nedeniyle büyük hasar oluştuğu bildirilmişti.

Günümüzde her sistemde olduğu gibi fabrikalar, barajlar, elektrik şebekeleri, Telekom şebekeleri ve diğer kritik altyapılar akıllanmaktadır. Yani artık bilgisayarlar aracılığı ile ve bir ağ üzerinden yönetilir hale gelmektedir. Bu tür yapılardaki sensörlerin birbirine bağlanması için kullanılan ağlar, bundan önce, süreç otomasyonu, otomobil, endüstriyel kontrol, bina otomasyonu gibi alanlara ve üreticiye göre değişen endüstriyel iletişim protokolleri kullanırken gittikçe internetin de temelini oluşturan IP protokolü üzerine taşınmaktadır. Bu sensörler ve uzak kontrol üniteleri (RTU) gibi diğer bileşenlerin de IP konuşmaya başlamasıyla Nesnelerin İnternet denilen IoT (Internet of Things) kavramı güçlenmekte, 2020’de 50 milyar ağa bağlı cihazın olacağı öngörülmektedir.

Makine ve sistemleri yöneten akıllı birimler ve otomasyon sistemleri (SCADA), ağ üzerinden aldıkları emirleri sisteme uygulamakta, sistemden aldıkları istatistiki ve durum bilgilerini de SCADA sistemlerine aktarmaktadır. Dolayısıyla bir sistemin yönetiminin yapıldığı ağ içerisinde sensörler ve SCADA bileşeni yazılımları görmekteyiz.

İşte hem sensörler hem de SCADA yazılımları bilişim ve güvenlik camiasının dışında elektrik, elektronik, otomasyon şirketleri tarafından geliştirilmekte. Tüm dünyada hem sensörler hem de SCADA yazılımlarında güvenlik bilgisinin ön planda tutulmadan yapıldığı tasarımlar da işte bu bileşenleri zayıflatmaktadır.

Yine yıl başında yayınladığımız 2015 yılı Siber Güvenlik Öngörüleri raporunda, tüm dünyada, 2015 ve sonrasında, hem kritik altyapılarda hem de akıl kazanmış fabrikalar gibi siber-fiziksel yapılarda önemli tehditler yaşanacağını öngörmüş idik.

31 Mart 2015 ‘te yaşadığımız saldırı bilinçli bir saldırgan tarafından yapılmamış olsa bile şu unutulmamalıdır ki ağa bağlı bir sistemdeki tasarım veya bileşenlerdeki muhtemelen yazılımsal hatalar bu durumun oluşmasına yol açmıştır. Ayrıca aynı gün elektriklerin kesilmesi nedeniyle Antalya’da bir barajın kapaklarının istemsiz şekilde açıldığı haber edilmiştir.

Bu sistemleri daha güvenilir kılmak için Türkiye’de Siber Güvenlik ve bunun alt bileşenleri olan Ağ Güvenliği, Bilgi Güvenliği, Kritik Altyapı Güvenliği, SCADA Güvenliği konu başlıklarında yetkin insan gücüne ihtiyaç vardır. Bu da ancak oldukça nitelikli Türk mühendislerinin bu alanlarda odaklanması ile mümkün olacaktır. Bu odağı ancak bu alanlarda üretim yaparak, iş üreterek, yetişmeye fırsat sağlayarak yapabiliriz.

Ayrıca konu tek bir kurumun çalışmasıyla çözülecek bir konu olarak görülmemeli bir ekosistemin oluşturulması sağlanmalıdır. Güvenlik ürün üreticileri, Scada sistem üreticileri, standartlara uygun Zayıflık Analizi yapan teknik firmalar, Güvenlik Farkındalığı eğitimi firmaları, Olaya Müdahale takımları, üniversiteler ve regülasyon otoritelerini içeren bir ekosistem teşvik edilmelidir. İlgili EPDK ve diğer ilgili regülasyon kurumlarının tüm paydaşları için minimum yetkinlik seviyelerini koyması ve bunların dış denetim onayını sağlaması önemlidir.

Diğer yandan kritik altyapılar ve endüstriyel sistemlerin ağlarının korunması ile ilgili olarak da milli ürünlerin önemi açıktır.