Üretim ağını ofis ağından ayırmak: IEC 62443'e pratik giriş

Birçok fabrikada PLC’ler, SCADA sunucusu ve muhasebe bilgisayarları aynı ağda durur. Kurulduğu gün pratik görünen bu yapı, bugün üretim için en büyük risklerden biri. Ofis tarafına bulaşan bir fidye yazılımı, hiçbir engelle karşılaşmadan HMI ekranlarına ve mühendislik bilgisayarlarına ulaşabilir.

IEC 62443 ne söyler?

IEC 62443, endüstriyel otomasyon ve kontrol sistemlerinin güvenliği için uluslararası standart ailesidir. Temel fikri basittir: ağı bölgelere (zones) ayırın, bölgeler arasındaki her geçişi tanımlı bir kanal (conduit) üzerinden yapın.

Bölge: Aynı güvenlik gereksinimini paylaşan varlıklar. Örneğin bir üretim hattının PLC’leri ve HMI’ları.
Kanal: İki bölge arasındaki izinli iletişim yolu. Neyin, hangi yönde, hangi protokolle geçebileceği açıkça tanımlanır.

Bu yaklaşım ISA-95 katmanlarıyla da örtüşür. Seviye 0–2 üretim bölgelerini, Seviye 4 kurumsal ağı oluşturur. Aradaki geçiş genellikle “Seviye 3.5” denen bir endüstriyel DMZ üzerinden yapılır.

İlk beş adım

Varlık envanteri çıkarın. Ağda hangi cihazların olduğunu bilmeden onları koruyamazsınız. PLC, HMI, mühendislik istasyonu, uzaktan erişim modemi; hepsi listeye girmeli.
Üretim ve ofis ağını ayırın. İlk aşamada VLAN ve güvenlik duvarı kuralları bile büyük fark yaratır. Varsayılan kural “her şey kapalı, gerekeni aç” olmalı.
Uzaktan erişimi tek kapıya toplayın. Makine üreticilerinin bıraktığı modemler ve kalıcı uzaktan masaüstü bağlantıları kapatılmalı; erişim kayıt altına alınan tek bir atlama sunucusundan yapılmalı.
PLC programlarını yedekleyin. Bir saldırı ya da arıza sonrası hattı ayağa kaldırmanın en hızlı yolu, güncel ve denenmiş bir yedektir.
Yama stratejisi belirleyin. Üretim sistemleri ofis bilgisayarları gibi her ay güncellenemez. Hangi sistemin ne zaman, hangi test ortamında güncelleneceği yazılı olmalı.

Güvenlik entegrasyonun önkoşuludur

Sahadan buluta veri taşımak isteyen her proje, önce bu soruyu cevaplamak zorundadır: veri hangi kanaldan, kimin yetkisiyle çıkıyor? Doğru kurulmuş bir bölge yapısı entegrasyonu yavaşlatmaz; tersine, yeni bağlantıları güvenle açmayı mümkün kılar.

Durum Analizi’nin mühendis yolunda üretim ağınızın ofis ağından ayrık olup olmadığını da soruyoruz. Cevabınız “aynı ağdayız” ise raporunuzdaki ilk önerilerden biri bu olur.