Endüstriyel otomasyon ve kontrol sistemleri (IACS), bilgi teknolojisi (IT) dünyasından farklı tehdit ve kısıtlara sahiptir. IEC 62443, bu sistemlere özel olarak geliştirilmiş ve sektörde en geniş kabul gören siber güvenlik standardıdır.
IEC 62443 Neden Farklı?
IT güvenlik standartları genellikle gizliliğe öncelik verir. OT ortamlarında ise kullanılabilirlik ve bütünlük önceliklidir: bir üretim hattını durdurmak, veri sızıntısından daha büyük maliyet yaratabilir. IEC 62443, bu öncelik farkını temel alarak tasarlanmıştır.
Standardın Bölümleri
- Genel (Part 1): Kavramlar, terminoloji ve model tanımları.
- Politikalar ve Prosedürler (Part 2): Güvenlik yönetim sistemi, yaşam döngüsü süreçleri ve olay yönetimi.
- Sistem (Part 3): Güvenlik seviyeleri (SL), bölge ve kanal (zone and conduit) modeli, sistem güvenlik gereksinimleri.
- Bileşen (Part 4): Ürün geliştirme yaşam döngüsü güvenliği ve bileşen düzeyinde gereksinimler.
Güvenlik Seviyeleri (SL)
IEC 62443, dört güvenlik seviyesi tanımlar:
- SL 1: Kazara oluşan olaylara karşı koruma.
- SL 2: Sınırlı kaynaklara sahip, kasıtlı saldırganlara karşı koruma.
- SL 3: Karmaşık yöntemler kullanan, yetenekli saldırganlara karşı koruma.
- SL 4: En yüksek düzeyde yeteneğe sahip aktörlere karşı koruma.
Gerçekte amaç, her tesiste en yüksek seviyeye ulaşmak değil; risk analizine dayalı olarak her bölge için uygun seviyeyi belirlemektir.
Bölge ve Kanal Modeli
Standart, sistemi bölgeler (aynı güvenlik gereksinimine sahip varlık grupları) ve kanallar (bölgeler arası iletişim yolları) olarak modeller. Bu yaklaşım, güvenlik duvarlarını ve erişim kurallarını mantıklı bir yapıya oturtmayı sağlar.
Uygulama Yaklaşımı
- Mevcut OT mimarisini ve veri akışlarını haritalayın.
- Risk değerlendirmesi yaparak bölgeler ve hedef güvenlik seviyelerini belirleyin.
- Bölge- kanal modeline göre ağ güvenliği ve erişim kontrollerini uygulayın.
- Yönetim süreçlerini oluşturun: değişiklik yönetimi, zafiyet yönetimi, olay müdahale.
- Sürekli izleme ve düzenli gözden geçirme ile durumu koruyun.
Sertifikasyon ve Tedarikçi Uyumu
IEC 62443 sertifikasyonu, ürün ve sistem düzeyinde ikiye ayrılır. Ürün sertifikası, bir bileşenin belirli güvenlik gereksinimlerini karşıladığını gösterir. Sistem sertifikasyonu ise kurulumun bütünsel güvenlik durumunu doğrular. Tedarikçi seçiminde IEC 62443 uyumluluğunu bir kriter olarak kullanmak, güvenliği tedarik zincirine taşır.
IEC 62443'ü bir denetim listesi olarak değil, OT güvenliğini sürdürülebilir kılan bir çerçeve olarak görmek gerekir. Önemli olan doküman değil, süreçlerin gerçekten işlemesidir.
Sonuç
IEC 62443, OT güvenliğinde ortak bir dil sağlar; müşteriler, tedarikçiler ve denetçiler arasında beklentileri netleştirir. Endüstriyel tesisler için uyumluluk yolculuğuna küçük, yönetilebilir adımlarla başlamak en gerçekçi yaklaşımdır.
