1. Ağ ayrımı
Ofis ağı ile üretim ağı ayrı olmalı, aralarında güvenlik duvarı ve sadece gerekli trafiğe izin veren kurallar bulunmalıdır. Üretim ağındaki cihazlar internete doğrudan çıkmamalıdır.
2. Uzaktan erişim
- Cihazları doğrudan internete açmayın; şifreli ve kimlik doğrulamalı bağlantı (VPN ya da benzeri) kullanın.
- Her kullanıcı için ayrı hesap; ortak şifre kullanmayın.
- Erişimi kayıt altına alın ve gereksiz hesapları kapatın.
- Tedarikçi erişimi gerektiği süre kadar açık kalsın.
3. Kimlik ve yetki
- Varsayılan şifreleri değiştirin (PLC, HMI, ağ cihazı).
- Rol bazlı yetki: operatör, bakımcı, mühendis farklı yetkide olsun.
- Programlama modu ve şifre bilgisi güvenli ve belgeli saklansın.
4. Yedekleme ve kurtarma
PLC programları, HMI/SCADA projeleri ve yapılandırmalar düzenli yedeklenmeli ve yedek, ağın dışında da saklanmalıdır. Geri yükleme en az yılda bir denenmelidir; denenmemiş yedek varsayımdır.
5. Envanter ve güncelleme
Hangi cihaz, hangi yazılım sürümü, hangi ağda? Bilinmeyen bir cihazı korumak mümkün değildir. Güncellemeler, üretimi aksatmayacak şekilde planlı ve test edilerek uygulanmalıdır.
Not: Bu yazı genel bir başlangıç rehberidir. Kritik altyapı ya da düzenlemeye tabi tesislerde kapsamlı bir risk analizi ve ilgili standartlara uygun tasarım gerekir.
Sık sorulan sorular
Küçük bir tesis için de gerekli mi?
Evet. Saldırıların çoğu otomatik taramayla bulunan açık cihazlara yönelir; büyüklük ölçüt değildir. Temel önlemler küçük tesis için de düşük maliyetlidir.
Uzaktan destek güvenli yapılabilir mi?
Evet; şifreli bağlantı, kimlik doğrulama, kayıt ve süreli erişim ile. Önemli olan ‘doğrudan internete açık’ bağlantıdan kaçınmaktır.