IEC 62443 Nedir? Endüstriyel Siber Güvenlik, OT/ICS Güvenliği ve IEC 62443-4-1 Danışmanlık Rehberi

IEC 62443 Nedir?

IEC 62443, endüstriyel otomasyon ve kontrol sistemlerinin (IACS) siber güvenliğini yönetmek amacıyla geliştirilen uluslararası standartlar ailesidir.

Bu standart ailesi; endüstriyel tesis işletmecilerinin, sistem entegratörlerinin, ürün geliştiricilerinin ve hizmet sağlayıcılarının güvenlik sorumluluklarını farklı açılardan ele alır.

IEC 62443 yalnızca ağ güvenliğine odaklanmaz. Endüstriyel sistemlerin tasarımından işletimine, ürün geliştirmeden bakım süreçlerine kadar uzanan güvenlik gereksinimlerini kapsar.

Üretim tesisleri, enerji sistemleri, otomasyon altyapıları, ulaşım sistemleri ve kritik endüstriyel süreçlerde bilgi teknolojileri (IT) ile operasyonel teknolojiler (OT) giderek daha fazla entegre olmaktadır.

Bu entegrasyon operasyonel verimlilik sağlarken siber saldırı yüzeyini de genişletebilir.

Kısa cevap: IEC 62443; endüstriyel sistemlerin risk temelli korunmasını, güvenli mimarilerle tasarlanmasını, ürünlerin güvenli geliştirilmesini ve işletme boyunca güvenlik kontrollerinin sürdürülmesini sağlayan standartlar bütünüdür.

1. Endüstriyel Siber Güvenlik Neden Önemlidir?

Endüstriyel sistemlerde yaşanan siber güvenlik olaylarının etkileri klasik ofis sistemlerinden farklı olabilir.

Bir kurumsal bilgi sisteminin erişilemez hale gelmesi iş süreçlerini aksatabilir.

Ancak endüstriyel kontrol sistemlerinde yaşanan bir güvenlik olayı üretimin durmasına, ekipmanların zarar görmesine veya fiziksel güvenlik risklerine neden olabilir.

Endüstriyel ortamlardaki temel riskler

• Üretim sürekliliğinin bozulması
• PLC yapılandırmalarının değiştirilmesi
• SCADA sistemlerine yetkisiz erişim
• Operatör ekranlarının manipüle edilmesi
• Endüstriyel ağlarda zararlı yazılım yayılması
• Uzaktan bakım bağlantılarının kötüye kullanılması
• Kritik proses verilerinin değiştirilmesi
• Emniyet sistemlerinin etkilenmesi

Örnek senaryo

Bir üretim tesisinde uzaktan bakım için kullanılan VPN hesabı ele geçirilmiş olabilir.

Saldırgan bu hesap üzerinden OT ağına erişim sağlayabiliyorsa kontrol sistemleri üzerinde yetkisiz işlem yapma riski oluşur.

Bu nedenle uzaktan erişim, kimlik doğrulama, ağ segmentasyonu ve izleme kontrolleri birlikte değerlendirilmelidir.

Kritik nokta

Endüstriyel siber güvenlikte gizlilik, bütünlük ve erişilebilirliğin yanı sıra insan emniyeti, proses bütünlüğü ve operasyonel süreklilik de dikkate alınmalıdır.

2. IT ve OT Güvenliği Arasındaki Farklar

IT ve OT sistemleri farklı operasyonel önceliklere sahiptir.

Kriter	IT Ortamı	OT Ortamı
Temel amaç	Bilgi işleme ve kurumsal hizmetler	Fiziksel proseslerin izlenmesi ve kontrolü
Öncelikler	Gizlilik, bütünlük, erişilebilirlik	Emniyet, proses bütünlüğü, erişilebilirlik ve diğer güvenlik hedefleri
Sistem ömrü	Genellikle daha kısa	Uzun yaşam döngüleri görülebilir
Yama yönetimi	Düzenli bakım pencereleri	Üretim ve emniyet gereksinimlerine bağlı
Ağ protokolleri	HTTP, DNS, TLS ve benzeri	Modbus, OPC UA, PROFINET ve diğerleri
Kesinti toleransı	İş sürecine göre değişir	Kritik proseslerde çok düşük olabilir
Güvenlik testleri	Kontrollü BT testleri	Proses etkisi nedeniyle özel planlama gerekir

Önemli ayrım

IT ortamlarında kullanılan bütün güvenlik kontrolleri OT ortamlarına doğrudan uygulanamaz.

Örneğin aktif zafiyet taraması veya agresif ağ testi, hassas endüstriyel cihazlarda beklenmeyen davranışlara yol açabilir.

Bu nedenle OT güvenlik değerlendirmelerinde üretici kısıtları, bakım pencereleri ve operasyonel emniyet gereksinimleri dikkate alınmalıdır.

3. IEC 62443 Standart Ailesi Nasıl Yapılandırılmıştır?

IEC 62443 standart ailesi farklı sorumluluk ve uygulama alanlarını kapsar.

Genel yapı

Standart	Temel konu	Hedef taraf
IEC 62443-2-1	IACS varlık sahipleri için güvenlik programı gereksinimleri	Tesis işletmecileri
IEC 62443-2-4	IACS hizmet sağlayıcılarına yönelik güvenlik programı gereksinimleri	Entegratörler ve hizmet sağlayıcıları
IEC 62443-3-2	Sistem tasarımına yönelik güvenlik risk değerlendirmesi	Sistem tasarımcıları ve varlık sahipleri
IEC 62443-3-3	Sistem güvenliği gereksinimleri ve güvenlik seviyeleri	Sistem entegratörleri ve işletmeciler
IEC 62443-4-1	Güvenli ürün geliştirme yaşam döngüsü	Ürün üreticileri ve geliştiriciler
IEC 62443-4-2	IACS bileşenleri için teknik güvenlik gereksinimleri	Ürün üreticileri

Bu standartların tamamı aynı amaca hizmet etmekle birlikte farklı soruları yanıtlar.

IEC 62443-2-1: Tesis güvenlik programı nasıl yönetilir?

IEC 62443-3-2: Sistem riskleri nasıl değerlendirilir?

IEC 62443-3-3: Endüstriyel sistem hangi teknik güvenlik gereksinimlerini karşılamalıdır?

IEC 62443-4-1: Endüstriyel ürünler nasıl güvenli geliştirilmelidir?

IEC 62443-4-2: Geliştirilen bileşen hangi teknik güvenlik özelliklerini sağlamalıdır?

Kritik nokta

Bir standardın gereksinimlerini karşılamak, IEC 62443 ailesinin tamamına uygunluk anlamına gelmez.

Her değerlendirme belirli standart, sürüm ve kapsam üzerinden yürütülmelidir.

4. IEC 62443-2-1 Nedir?

IEC 62443-2-1, endüstriyel otomasyon ve kontrol sistemleri için varlık sahibi tarafından yürütülen siber güvenlik programına odaklanır.

Temel değerlendirme alanları

Siber güvenlik yönetişimi.

Roller ve sorumluluklar.

Risk yönetimi.

Varlık envanteri.

Güvenlik politikaları.

Tedarikçi ilişkileri.

Olay yönetimi.

İşletme ve bakım süreçleri.

Örnek

Bir üretim tesisinde PLC, HMI, SCADA sunucuları, mühendislik istasyonları ve ağ cihazları bulunuyor.

Bu varlıkların envanteri çıkarılır.

Sorumlular belirlenir.

Risk değerlendirmesi yapılır.

Uygun güvenlik kontrolleri tanımlanır.

Önemli nokta

IEC 62443-2-1 yalnızca teknik cihaz güvenliği değil, işletmenin endüstriyel güvenlik yönetim yaklaşımıyla ilgilidir.

5. IEC 62443-3-2 Nedir?

IEC 62443-3-2, endüstriyel otomasyon ve kontrol sistemlerinin tasarımına yönelik güvenlik risk değerlendirmesini ele alır.

Temel konular

Sistem tanımlama.

Bölge ve iletişim kanallarının belirlenmesi.

Risk değerlendirmesi.

Hedef güvenlik seviyelerinin belirlenmesi.

Güvenlik gereksinimlerinin oluşturulması.

Örnek

Bir tesisin üretim kontrol ağı ile kurumsal IT ağı arasında iletişim bulunuyor.

Risk değerlendirmesinde bu iletişimin hangi iş amacıyla kullanıldığı belirlenir.

İletişim kanalları incelenir.

Yetkisiz erişim senaryoları değerlendirilir.

Gerekli segmentasyon ve erişim kontrolleri tanımlanır.

6. IEC 62443-3-3 Nedir?

IEC 62443-3-3, endüstriyel otomasyon ve kontrol sistemleri için teknik güvenlik gereksinimlerini ve güvenlik seviyelerini ele alır.

Yedi temel gereksinim grubu

Kod	Temel gereksinim
FR 1	Identification and Authentication Control
FR 2	Use Control
FR 3	System Integrity
FR 4	Data Confidentiality
FR 5	Restricted Data Flow
FR 6	Timely Response to Events
FR 7	Resource Availability

Örnek

Bir SCADA sisteminde kullanıcıların kimlik doğrulaması FR 1 kapsamında değerlendirilebilir.

Kullanıcıların gerçekleştirebildiği işlemler FR 2 ile ilişkilidir.

Ağ segmentasyonu FR 5 kapsamındaki gereksinimlerle ilişkilendirilebilir.

Önemli nokta

Bu gereksinimler sistemin bütünsel güvenliğini değerlendirmeyi amaçlar.

Tek bir ürünün güvenlik özellikleriyle sistemin tüm gereksinimlerinin karşılandığı varsayılmamalıdır.

7. IEC 62443 Güvenlik Seviyeleri Nedir?

IEC 62443 kapsamında güvenlik seviyeleri, belirli saldırgan kabiliyetleri ve tehdit koşulları karşısında gerekli güvenlik dayanıklılığını ifade etmek için kullanılır.

Güvenlik seviyesi kavramları

SL-T: Hedef güvenlik seviyesi.

SL-C: Bir bileşenin veya sistemin sağlayabildiği güvenlik seviyesi.

SL-A: Uygulanan sistemin fiilen ulaştığı güvenlik seviyesi.

Bu kavramlar ilgili standartların bağlamına göre değerlendirilmelidir.

Güvenlik seviyeleri

SL 1: Tesadüfi veya kazara ihlallere karşı koruma.

SL 2: Basit araçlar, düşük kaynak ve genel beceriler kullanan kasıtlı saldırganlara karşı koruma.

SL 3: Daha gelişmiş araçlar, orta düzey kaynaklar ve IACS'ye özgü beceriler kullanan saldırganlara karşı koruma.

SL 4: Gelişmiş araçlar, yüksek kaynaklar ve IACS'ye özgü yüksek beceriler kullanan saldırganlara karşı koruma.

Kritik nokta

Bütün endüstriyel sistemler için otomatik olarak SL 4 hedeflenmesi gerekli veya ekonomik açıdan uygun olmayabilir.

Hedef seviye risk değerlendirmesiyle ilişkilendirilmelidir.

8. Zones and Conduits Yaklaşımı Nedir?

IEC 62443 mimarisinde Zones and Conduits, endüstriyel sistemlerin güvenlik gereksinimlerine göre gruplandırılması ve aralarındaki iletişimin kontrol edilmesi yaklaşımıdır.

Zone

Benzer güvenlik gereksinimlerine sahip varlıkların oluşturduğu mantıksal veya fiziksel bölgedir.

Conduit

Bölgeler arasındaki iletişim yolunu ifade eder.

Örnek bölgeler

Kurumsal IT bölgesi.

Endüstriyel DMZ.

SCADA bölgesi.

PLC kontrol bölgesi.

Emniyet sistemleri bölgesi.

Örnek mimari

Kurumsal IT ağı → Endüstriyel DMZ → SCADA ağı → Kontrol cihazları.

Bu mimaride her iletişim geçişi için gerekli protokoller, erişim kuralları ve güvenlik kontrolleri değerlendirilir.

Önemli nokta

Zones and Conduits yaklaşımı yalnızca VLAN oluşturmak değildir.

İletişim gereksinimleri, güven sınırları ve riskler birlikte değerlendirilmelidir.

9. IEC 62443-4-1 Nedir?

IEC 62443-4-1, endüstriyel otomasyon ve kontrol sistemlerinde kullanılan ürünlerin güvenli biçimde geliştirilmesine yönelik yaşam döngüsü gereksinimlerini tanımlayan standarttır.

Bu standart ürünün yalnızca son hâlinin test edilmesine odaklanmaz.

Ürünün gereksinimlerinin belirlenmesinden tasarımına, geliştirilmesinden güvenlik testlerine, yayınlanmasından bakımına kadar uzanan süreçleri değerlendirir.

Hedef kuruluşlar

PLC üreticileri.

Endüstriyel yazılım geliştiricileri.

SCADA yazılım üreticileri.

Endüstriyel ağ cihazı üreticileri.

IoT/IIoT ürün geliştiricileri.

Endüstriyel kontrol bileşeni üreticileri.

Temel amaç

Ürün güvenliğinin tek seferlik bir test faaliyeti olmaktan çıkarılarak geliştirme yaşam döngüsünün sistematik bir parçası haline getirilmesi.

10. IEC 62443-4-1 Güvenli Ürün Geliştirme Süreçleri

IEC 62443-4-1 sekiz uygulama alanı üzerinden ele alınır.

Kod	Uygulama alanı	Açıklama
SM	Security Management	Güvenlik yönetimi
SR	Specification of Security Requirements	Güvenlik gereksinimlerinin tanımlanması
SD	Secure by Design	Güvenli tasarım
SI	Secure Implementation	Güvenli gerçekleştirme
SVV	Security Verification and Validation Testing	Güvenlik doğrulama ve geçerleme testleri
DM	Management of Security-Related Issues	Güvenlikle ilgili sorunların yönetimi
SUM	Security Update Management	Güvenlik güncelleme yönetimi
SG	Security Guidelines	Güvenlik rehberleri

Önemli nokta

Bu alanlar birbirinden bağımsız doküman kümeleri olarak görülmemelidir.

Güvenlik gereksinimleri, tasarım kararları, test sonuçları ve güncelleme süreçleri arasında izlenebilirlik kurulmalıdır.

11. Security Management (SM) Nasıl Uygulanır?

Security Management, ürün geliştirme süreçlerinde güvenlik sorumluluklarının ve yönetim yaklaşımının tanımlanmasını destekler.

Değerlendirme alanları

Güvenlik politikaları.

Ürün güvenliği sorumlulukları.

Güvenlik yetkinlikleri.

Eğitim.

Süreç yönetimi.

Güvenlik kayıtları.

Örnek

Bir üretici üç farklı endüstriyel ürün ailesi geliştiriyor.

Her ürün ailesi için güvenlik sorumluları belirlenir.

Merkezi ürün güvenliği politikası oluşturulur.

Geliştirme ekiplerinin güvenlik yetkinlikleri değerlendirilir.

Beklenen yaklaşım

Güvenlik yönetimi kişilere bağımlı olmamalıdır.

Tanımlı ve sürdürülebilir süreçlerle yürütülmelidir.

12. Security Requirements (SR) Nasıl Belirlenir?

Güvenlik gereksinimleri ürün geliştirme faaliyetlerinin erken aşamalarında tanımlanmalıdır.

Örnek gereksinimler

Kimlik doğrulama.

Yetkilendirme.

Güvenli iletişim.

Güvenli güncelleme.

Güvenlik logları.

Oturum yönetimi.

Hata yönetimi.

Kriptografik koruma.

Örnek

Endüstriyel ağ cihazının uzaktan yönetim arayüzü bulunuyor.

Güvenlik gereksinimi:

“Yönetim arayüzüne erişim yalnızca yetkilendirilmiş kullanıcılar tarafından gerçekleştirilebilmelidir.”

Bu gereksinim tasarım, uygulama ve test aşamalarıyla ilişkilendirilmelidir.

Kritik nokta

Güvenlik gereksinimleri yalnızca genel ifadelerden oluşmamalıdır.

Mümkün olduğunca doğrulanabilir ve izlenebilir olmalıdır.

13. Secure by Design (SD) Nedir?

Secure by Design, güvenliğin ürün geliştirme sürecinin başlangıcından itibaren tasarım kararlarına dahil edilmesini ifade eder.

Örnek tasarım ilkeleri

En az ayrıcalık.

Güvenli varsayılan yapılandırma.

Güven sınırlarının belirlenmesi.

Saldırı yüzeyinin azaltılması.

Güvenli hata davranışı.

Güvenli güncelleme mimarisi.

Örnek

Bir PLC yönetim arayüzünün varsayılan olarak internete açık olması yerine yalnızca yetkili yönetim ağlarından erişilebilir biçimde tasarlanması değerlendirilebilir.

Threat Modeling

Tehdit modelleme, ürün mimarisindeki olası saldırı senaryolarının belirlenmesini destekler.

Örneğin:

Yetkisiz yönetici erişimi.

Firmware manipülasyonu.

Kimlik doğrulama atlatma.

Güvensiz protokol kullanımı.

Önemli nokta

Güvenli tasarım çalışmaları ürünün geliştirilmesinden sonra değil, mimari kararlar alınırken yürütülmelidir.

14. Secure Implementation (SI) Nedir?

Secure Implementation, güvenli geliştirme uygulamalarının yazılım ve firmware geliştirme süreçlerine dahil edilmesini amaçlar.

Teknik uygulamalar

Güvenli kodlama kuralları.

Kaynak kod gözden geçirmesi.

Statik kod analizi.

Bağımlılık güvenliği.

Gizli bilgi yönetimi.

Güvenli derleme süreçleri.

Örnek

Bir endüstriyel cihazın firmware kaynak kodunda sabit parola bulunması güvenlik riski oluşturabilir.

Güvenli geliştirme sürecinde bu tür hataların önlenmesine yönelik kontroller tanımlanmalıdır.

Kritik nokta

Yalnızca bir SAST aracı kullanmak, IEC 62443-4-1 güvenli gerçekleştirme gereksinimlerinin tamamının karşılandığı anlamına gelmez.

Araçlar tanımlı geliştirme süreçlerini desteklemelidir.

15. Security Verification and Validation Testing (SVV)

SVV, güvenlik gereksinimlerinin doğrulanması ve ürünün güvenlik açısından değerlendirilmesi süreçlerini kapsar.

Örnek testler

Güvenlik gereksinimi testleri.

Kimlik doğrulama testleri.

Yetkilendirme testleri.

İletişim güvenliği testleri.

Girdi doğrulama testleri.

Zafiyet taraması.

Fuzz testing.

Penetrasyon testi.

Örnek

Ürün gereksiniminde yönetim arayüzüne yalnızca yetkili kullanıcıların erişebileceği belirtiliyor.

Test sırasında farklı kullanıcı rolleriyle erişim senaryoları değerlendirilir.

Sonuçlar kayıt altına alınır.

Kritik nokta

Test sonuçlarının yalnızca başarılı veya başarısız olarak belirtilmesi yeterli olmayabilir.

Test kapsamı, yöntem, sonuç ve gerekli düzeltmeler arasında izlenebilirlik oluşturulmalıdır.

16. Security-Related Issues Management (DM)

DM, ürünlerde tespit edilen güvenlikle ilgili sorunların yönetilmesini kapsar.

Örnek süreç

Güvenlik bildirimi alınır.

Bulgu doğrulanır.

Etkilenen ürünler belirlenir.

Risk değerlendirmesi yapılır.

Düzeltme planlanır.

Gerekli iletişim yürütülür.

Kapanış doğrulanır.

Örnek

Bir araştırmacı endüstriyel cihazın web arayüzünde kimlik doğrulama zafiyeti tespit etti.

Üretici bildirimi değerlendirir.

Etkilenen sürümleri belirler.

Düzeltici güncelleme geliştirir.

Müşterilere uygun güvenlik bilgilendirmesi yapar.

Önemli nokta

Güvenlik sorunlarının yönetimi yalnızca geliştirme ekibinin iç hata takip sisteminden ibaret olmamalıdır.

Dış bildirimler ve ürün yaşam döngüsü dikkate alınmalıdır.

17. Security Update Management (SUM)

Güvenlik güncelleme yönetimi, ürünlerde tespit edilen güvenlik sorunlarının kontrollü biçimde giderilmesini destekler.

Değerlendirme alanları

Güncelleme geliştirme.

Güncelleme testleri.

Sürüm yönetimi.

Güncelleme bütünlüğü.

Dağıtım süreçleri.

Müşteri bilgilendirmesi.

Örnek

Bir endüstriyel cihaz için güvenlik güncellemesi hazırlandı.

Güncellemenin üretim ortamında uygulanması planlanırken operasyonel kesinti ve uyumluluk riskleri değerlendirilmelidir.

Kritik nokta

Endüstriyel ürünlerde güncelleme süreçleri yalnızca siber güvenlik açısından değil, operasyonel süreklilik ve emniyet açısından da planlanmalıdır.

18. Security Guidelines (SG)

Security Guidelines, ürünün güvenli kurulumu, yapılandırılması, kullanımı ve bakımı için gerekli bilgilerin sağlanmasını amaçlar.

Örnek rehber içerikleri

Güvenli kurulum.

Güvenli yapılandırma.

Kimlik doğrulama ayarları.

Ağ erişim gereksinimleri.

Güvenlik güncelleme yöntemi.

Loglama.

Yedekleme.

Desteklenen güvenli kullanım koşulları.

Örnek

Bir endüstriyel ağ cihazının yönetim arayüzü için varsayılan güvenlik ayarları ve önerilen ağ segmentasyonu belgelenebilir.

Önemli nokta

Ürün güvenliği yalnızca üreticinin geliştirme sürecine bağlı değildir.

Ürünün müşteriler tarafından güvenli kurulabilmesi ve işletilebilmesi de önemlidir.

19. IEC 62443-4-2 Nedir?

IEC 62443-4-2, endüstriyel otomasyon ve kontrol sistemlerinde kullanılan bileşenlerin teknik güvenlik gereksinimlerini ele alır.

Bileşen türleri

Embedded devices.

Host devices.

Network devices.

Software applications.

Örnek ürünler

PLC.

Endüstriyel firewall.

SCADA yazılımı.

Endüstriyel gateway.

HMI.

Endüstriyel sunucu.

Önemli ayrım

IEC 62443-4-1 geliştirme sürecine odaklanırken IEC 62443-4-2 bileşenin teknik güvenlik yeteneklerine odaklanır.

Bir ürünün güvenli geliştirme sürecine sahip olması, teknik gereksinimlerin otomatik olarak karşılandığı anlamına gelmez.

20. IEC 62443-4-1 ile IEC 62443-4-2 Arasındaki Fark

Kriter	IEC 62443-4-1	IEC 62443-4-2
Odak	Güvenli geliştirme yaşam döngüsü	Bileşen güvenlik gereksinimleri
Değerlendirilen	Süreçler	Ürün veya bileşen
Hedef	Üretici geliştirme organizasyonu	Endüstriyel ürün
Kanıt	Politikalar, süreçler, kayıtlar	Teknik özellikler ve testler
Temel soru	Ürün nasıl güvenli geliştiriliyor?	Ürün hangi güvenlik yeteneklerine sahip?

Örnek

Bir üretici güvenli geliştirme prosedürleri oluşturmuş olabilir.

Ancak geliştirdiği cihazın kimlik doğrulama veya güvenli iletişim özellikleri ayrıca değerlendirilmelidir.

Sonuç

İki standart birbirini tamamlayabilir ancak aynı uygunluk değerlendirmesini ifade etmez.

21. IEC 62443 Danışmanlığı Neleri Kapsar?

IEC 62443 danışmanlığı, kuruluşun hedeflediği standart ve değerlendirme kapsamına göre planlanmalıdır.

Danışmanlık alanları

Mevcut durum analizi.

Standart gereksinimlerinin değerlendirilmesi.

Risk analizi.

Güvenli geliştirme süreçleri.

Teknik güvenlik kontrolleri.

Dokümantasyon.

Kanıt yönetimi.

İç değerlendirme.

Sertifikasyon hazırlığı.

Kritik nokta

IEC 62443 danışmanlığının kapsamı tesis işletmecisi, sistem entegratörü ve ürün üreticisi için farklı olabilir.

Bu nedenle proje başlangıcında hedef standart ve kapsam açıkça belirlenmelidir.

22. IEC 62443 GAP Analizi Nasıl Yapılır?

GAP analizi, mevcut uygulamaların hedef standart gereksinimleriyle karşılaştırılmasıdır.

Aşama 1: Hedef standardın belirlenmesi

IEC 62443-4-1 mi?

IEC 62443-4-2 mi?

IEC 62443-3-3 mü?

Birden fazla standart mı?

Aşama 2: Kapsamın belirlenmesi

Ürün aileleri.

Geliştirme ekipleri.

Lokasyonlar.

İlgili süreçler.

Teknik sistemler.

Aşama 3: Kanıtların değerlendirilmesi

Politikalar.

Prosedürler.

Geliştirme kayıtları.

Test raporları.

Risk analizleri.

Aşama 4: Eksikliklerin belirlenmesi

Eksik gereksinimler.

Kısmen karşılanan gereksinimler.

Kanıt eksiklikleri.

Süreç iyileştirme ihtiyaçları.

Aşama 5: Aksiyon planı

Sorumlular.

Öncelikler.

Hedef tarihler.

Doğrulama yöntemleri.

23. IEC 62443-4-1 İçin Ürün Ailesi Bazlı Pilot Uygulama

Birden fazla endüstriyel ürün geliştiren kuruluşlarda pilot uygulama yaklaşımı yararlı olabilir.

Örnek kuruluş

Üç farklı ürün ailesi bulunuyor:

Endüstriyel ağ cihazları.

Kontrol sistemleri.

Endüstriyel yazılım uygulamaları.

Önerilen pilot yaklaşım

Her ürün ailesinden bir temsilci ürün seçilir.

Toplam üç pilot ürün üzerinden mevcut geliştirme süreçleri değerlendirilir.

Güvenlik gereksinimleri belirlenir.

Tehdit modelleme yapılır.

Güvenli geliştirme uygulamaları değerlendirilir.

Test süreçleri oluşturulur.

Güvenlik sorunları ve güncelleme yönetimi incelenir.

Örnek pilot tablosu

Ürün ailesi	Pilot ürün	Öncelikli değerlendirme
Endüstriyel ağ	Gateway	Güvenli iletişim ve yönetim erişimi
Kontrol sistemleri	PLC	Firmware güvenliği ve güncelleme
Endüstriyel yazılım	SCADA uygulaması	Kimlik doğrulama ve yazılım güvenliği

Pilot uygulamanın faydası

Kuruluş genelinde uygulanabilecek ortak süreçlerin belirlenmesi.

Ürün ailelerine özgü farklılıkların anlaşılması.

Dokümantasyon yaklaşımının oluşturulması.

İyileştirme ihtiyaçlarının erken tespit edilmesi.

Önemli nokta

Üç temsilci ürünün değerlendirilmesi, bütün ürünlerin otomatik olarak sertifikalandırıldığı anlamına gelmez.

Pilotun sertifikasyon kapsamına nasıl yansıyacağı ilgili değerlendirme kuruluşunun kurallarına göre belirlenmelidir.

24. IEC 62443-4-1 Danışmanlık Projesi Nasıl Planlanır?

Proje aşamalı biçimde yürütülebilir.

Faz 1: Proje Başlatma

Kapsam belirleme.

Paydaş analizi.

Ürün ailelerinin tanımlanması.

Proje planı.

Faz 2: GAP Analizi

Mevcut geliştirme süreçlerinin değerlendirilmesi.

Gereksinim eşleştirmesi.

Eksiklik raporu.

Faz 3: Süreç Tasarımı

Güvenlik yönetimi.

Güvenlik gereksinimleri.

Güvenli tasarım.

Güvenli gerçekleştirme.

Test süreçleri.

Güncelleme yönetimi.

Faz 4: Pilot Uygulama

Temsilci ürünlerin seçilmesi.

Süreçlerin uygulanması.

Kanıtların oluşturulması.

Teknik doğrulama.

Faz 5: İç Değerlendirme

Süreç denetimi.

Kanıt kontrolü.

Eksikliklerin belirlenmesi.

Faz 6: Sertifikasyon Hazırlığı

Belgelendirme kapsamının doğrulanması.

Kanıtların düzenlenmesi.

Denetim hazırlığı.

Kritik nokta

Sertifikasyon kararı danışmanlık hizmetini sunan kuruluş tarafından değil, ilgili yetkin ve bağımsız değerlendirme kuruluşu tarafından verilir.

25. IEC 62443-4-1 İçin Hazırlanabilecek Dokümanlar

Yönetim dokümanları

Ürün güvenliği politikası.

Güvenlik rol ve sorumlulukları.

Güvenli geliştirme prosedürü.

Eğitim kayıtları.

Teknik dokümanlar

Güvenlik gereksinimleri.

Tehdit modelleme raporları.

Güvenli tasarım kayıtları.

Kod inceleme kayıtları.

Güvenlik test planları.

Test sonuçları.

Operasyonel dokümanlar

Zafiyet bildirim prosedürü.

Güvenlik sorunu takip kayıtları.

Güncelleme yönetimi.

Güvenlik duyuruları.

Ürün güvenlik rehberleri.

Önemli nokta

Dokümantasyonun yalnızca mevcut olması yeterli değildir.

Tanımlanan süreçlerin gerçek ürün geliştirme faaliyetlerinde kullanıldığını gösteren kanıtlar bulunmalıdır.

26. IEC 62443 İçin Threat Modeling Nasıl Yapılır?

Tehdit modelleme, ürün veya sistem mimarisindeki güvenlik risklerinin sistematik biçimde belirlenmesini sağlar.

Aşamalar

Sistem mimarisinin belirlenmesi.

Varlıkların tanımlanması.

Güven sınırlarının belirlenmesi.

Tehdit senaryolarının oluşturulması.

Risklerin değerlendirilmesi.

Güvenlik kontrollerinin belirlenmesi.

Örnek

Ürün: Endüstriyel gateway.

Arayüz: Web yönetim paneli.

Tehdit: Yetkisiz yönetici erişimi.

Olası sonuç: Ağ yapılandırmasının değiştirilmesi.

Kontroller: Güçlü kimlik doğrulama, erişim sınırlandırma, güvenli oturum yönetimi ve loglama.

Kritik nokta

Tehdit modelleme yalnızca geliştirme başlangıcında yapılan tek seferlik çalışma olmamalıdır.

Önemli mimari değişikliklerde güncellenmelidir.

27. IEC 62443 İçin Kaynak Kod Analizi

Kaynak kod güvenlik analizi, güvenli gerçekleştirme süreçlerini destekleyen yöntemlerden biridir.

İncelenebilecek konular

Güvensiz bellek işlemleri.

Kimlik doğrulama hataları.

Yetkilendirme eksiklikleri.

Girdi doğrulama.

Gizli bilgi yönetimi.

Kriptografi kullanımı.

Güvensiz bağımlılıklar.

Analiz yöntemleri

SAST.

SCA.

Manuel kod incelemesi.

Güvenli kodlama kontrol listeleri.

Örnek

Firmware geliştirme sürecinde kullanılan üçüncü taraf bir kütüphanede bilinen güvenlik açığı bulunabilir.

Bağımlılık güvenliği süreçleri bu riski belirlemeye yardımcı olur.

Önemli nokta

Kaynak kod analizi tek başına ürün güvenliği sertifikasyonu anlamına gelmez.

28. IEC 62443 İçin Güvenlik Testleri

Güvenlik testleri ürünün gereksinimlerine ve kullanım koşullarına göre planlanmalıdır.

Örnek testler

Kimlik doğrulama.

Yetkilendirme.

Güvenli iletişim.

Firmware bütünlüğü.

Güncelleme güvenliği.

Protokol güvenliği.

Fuzz testing.

Zafiyet analizi.

OT test güvenliği

Testler mümkün olduğunda laboratuvar veya izole ortamda gerçekleştirilmelidir.

Canlı üretim sistemlerinde test yapılacaksa operasyonel etki değerlendirilmelidir.

Kritik nokta

Endüstriyel cihazlarda kontrolsüz testler operasyonel kesinti veya emniyet riski oluşturabilir.

Test planı bu riskleri dikkate almalıdır.

29. IEC 62443 Sertifikasyonu Nasıl Yapılır?

IEC 62443 kapsamında farklı standartlara ve değerlendirme programlarına yönelik uygunluk değerlendirme mekanizmaları bulunmaktadır.

Genel yaklaşım

Hedef standardın belirlenmesi.

Kapsamın tanımlanması.

Uygunluk değerlendirme programının seçilmesi.

Gereksinimlerin uygulanması.

Kanıtların hazırlanması.

Bağımsız değerlendirme.

Uygunsuzlukların ele alınması.

Sertifikasyon kararı.

Önemli nokta

IEC 62443 için bütün standartları kapsayan tek bir genel sertifika modeli bulunduğu varsayılmamalıdır.

Sertifika türü, kapsamı ve geçerlilik koşulları ilgili program üzerinden doğrulanmalıdır.

30. IEC 62443 ile ISO 27001 Arasındaki Farklar

Kriter	ISO/IEC 27001	IEC 62443
Temel odak	Bilgi güvenliği yönetim sistemi	Endüstriyel otomasyon ve kontrol sistemleri güvenliği
Uygulama alanı	Farklı sektörler	Endüstriyel sistemler
Risk yönetimi	BGYS riskleri	Endüstriyel sistem ve ürün riskleri
Ürün geliştirme	Dolaylı ilişkili kontroller	IEC 62443-4-1 ile doğrudan süreç gereksinimleri
Teknik sistem gereksinimleri	Risk temelli kontrol yaklaşımı	IEC 62443-3-3 ve 4-2 ile ayrıntılı gereksinimler

Sonuç

ISO 27001 kurumsal bilgi güvenliği yönetimini destekler.

IEC 62443 ise endüstriyel sistemlerin ve ürünlerin güvenliğine özgü gereksinimler sunar.

İki yaklaşım birlikte uygulanabilir.

31. IEC 62443 ile NIS2 Arasındaki İlişki

NIS2, Avrupa Birliği'nde belirli sektör ve kuruluşlara yönelik siber güvenlik yükümlülüklerini düzenler.

IEC 62443 ise endüstriyel sistemlerin güvenliğine yönelik teknik ve süreç temelli standartlar içerir.

Ortak alanlar

Risk yönetimi.

Tedarik zinciri güvenliği.

Olay yönetimi.

İş sürekliliği.

Güvenlik kontrolleri.

Önemli nokta

IEC 62443 uygunluğu, NIS2 yükümlülüklerinin tamamının otomatik karşılandığı anlamına gelmez.

Uygulanabilir hukuki gereksinimler ayrıca değerlendirilmelidir.

32. IEC 62443 Danışmanlığında En Sık Yapılan Hatalar

1. Hedef standardı belirlememek

IEC 62443-4-1 ile 3-3 farklı gereksinimler içerir.

2. Yalnızca dokümantasyon hazırlamak

Süreçlerin gerçek operasyonlarda uygulanması gerekir.

3. Pilot ürün kapsamını belirsiz bırakmak

Ürün ailesi ve temsilci ürün ilişkisi açık olmalıdır.

4. Teknik testleri süreç değerlendirmesinin yerine koymak

Ürün testleri ve güvenli geliştirme süreçleri farklı değerlendirmelerdir.

5. OT emniyetini dikkate almamak

Testler operasyonel riskler gözetilerek yürütülmelidir.

6. Güvenlik gereksinimlerini izlememek

Gereksinim, tasarım ve test ilişkisi kurulmalıdır.

7. Güncelleme yönetimini ihmal etmek

Ürün güvenliği yaşam döngüsü boyunca sürdürülmelidir.

8. Güvenlik sorunları için bildirim süreci oluşturmamak

Dış güvenlik bildirimleri yönetilmelidir.

9. Sertifikasyon kapsamını doğrulamamak

Değerlendirme programının kuralları incelenmelidir.

10. Ürün aileleri arasındaki farklılıkları görmezden gelmek

Ortak süreçler ile ürün özelindeki kontroller ayrı değerlendirilmelidir.

33. IEC 62443 Danışmanlığı İçin 120 Günlük Örnek Yol Haritası

Gün 1–20: Kapsam ve GAP Analizi

Hedef standart belirlenir.

Ürün aileleri değerlendirilir.

Mevcut süreçler incelenir.

Eksiklik raporu hazırlanır.

Gün 21–45: Süreç Geliştirme

Güvenlik yönetimi süreçleri oluşturulur.

Güvenlik gereksinimleri tanımlanır.

Tehdit modelleme yaklaşımı hazırlanır.

Güvenli geliştirme kuralları belirlenir.

Gün 46–75: Pilot Uygulama

Temsilci ürünler seçilir.

Gereksinimler uygulanır.

Tehdit modelleme yapılır.

Güvenli geliştirme kanıtları oluşturulur.

Gün 76–100: Teknik Doğrulama

Güvenlik testleri gerçekleştirilir.

Bulgu yönetimi uygulanır.

Güncelleme süreçleri değerlendirilir.

Kanıtlar düzenlenir.

Gün 101–120: İç Değerlendirme

Süreç uygunluğu değerlendirilir.

Eksiklikler belirlenir.

Düzeltici faaliyetler planlanır.

Sertifikasyon hazırlığı gözden geçirilir.

Önemli açıklama

Bu takvim örnek bir proje planıdır.

120 gün içerisinde sertifikasyon garantisi vermez.

Ürün sayısı, teknik karmaşıklık, süreç olgunluğu ve değerlendirme kuruluşunun takvimi süreyi etkiler.

34. IEC 62443-4-1 Hazırlık Kontrol Listesi

Yönetim

• Ürün güvenliği politikası mevcut mu?
• Güvenlik sorumluları belirlendi mi?
• Geliştirme ekiplerinin yetkinlikleri değerlendirildi mi?

Gereksinimler

• Güvenlik gereksinimleri tanımlandı mı?
• Gereksinimler izlenebilir mi?
• Ürün aileleri arasındaki farklılıklar belirlendi mi?

Tasarım

• Tehdit modelleme yapılıyor mu?
• Güven sınırları belirleniyor mu?
• Güvenli varsayılan yapılandırmalar değerlendiriliyor mu?

Geliştirme

• Güvenli kodlama kuralları mevcut mu?
• Kaynak kod inceleme süreçleri tanımlandı mı?
• Üçüncü taraf bağımlılıklar değerlendiriliyor mu?

Test

• Güvenlik test planları mevcut mu?
• Test sonuçları kayıt altına alınıyor mu?
• Bulgular takip ediliyor mu?

Güncelleme ve bakım

• Güvenlik sorunları için bildirim süreci var mı?
• Güncelleme yönetimi tanımlandı mı?
• Güvenlik rehberleri hazırlanıyor mu?

35. SECURESYS IEC 62443 Danışmanlık Hizmetleri

SECURESYS, endüstriyel siber güvenlik alanında kuruluşların risk temelli güvenlik süreçlerini geliştirmesine yönelik danışmanlık ve teknik değerlendirme hizmetleri sunar.

IEC 62443 GAP Analizi

Kuruluşun mevcut süreçleri hedef standart gereksinimleriyle karşılaştırılır.

IEC 62443-4-1 Danışmanlığı

Güvenli ürün geliştirme yaşam döngüsü süreçlerinin oluşturulması ve iyileştirilmesi desteklenir.

IEC 62443-4-2 Teknik Hazırlık

Endüstriyel bileşenlerin teknik güvenlik gereksinimleri açısından değerlendirilmesi desteklenebilir.

IEC 62443-3-3 Sistem Güvenliği

Endüstriyel sistem mimarileri ve teknik güvenlik gereksinimleri değerlendirilebilir.

OT/ICS Risk Analizi

Endüstriyel ağlar, kontrol sistemleri ve operasyonel süreçlere ilişkin siber güvenlik riskleri incelenir.

Güvenli Geliştirme ve Kaynak Kod Analizi

Ürün geliştirme süreçlerinde güvenli kodlama, kaynak kod güvenliği ve bağımlılık yönetimi uygulamaları desteklenebilir.

Endüstriyel Güvenlik Testleri

Uygun test ortamları ve yetkilendirme çerçevesinde endüstriyel ürünlerin güvenlik değerlendirmeleri planlanabilir.

Pilot Ürün Uygulamaları

Ürün ailelerinden seçilen temsilci ürünler üzerinden güvenli geliştirme süreçlerinin uygulanması desteklenebilir.

Sertifikasyon Hazırlığı

Dokümantasyon, süreç kanıtları, teknik doğrulama ve iç değerlendirme faaliyetleri yürütülebilir.

SECURESYS yaklaşımı

IEC 62443 danışmanlığında hedef yalnızca sertifikasyon hazırlığı değil; endüstriyel ürünlerin güvenli geliştirilmesini ve OT sistemlerinin güvenli işletilmesini destekleyen sürdürülebilir süreçlerin oluşturulmasıdır.

SECURESYS'in danışmanlık ve teknik değerlendirme faaliyetleri, bağımsız sertifikasyon kararından ayrı yürütülür.

Sık Sorulan Sorular (SSS)

1. IEC 62443 nedir?

Endüstriyel otomasyon ve kontrol sistemlerinin siber güvenliğine yönelik uluslararası standartlar ailesidir.

2. IEC 62443 kimler için uygundur?

Endüstriyel tesis işletmecileri, sistem entegratörleri, otomasyon üreticileri ve endüstriyel ürün geliştiricileri için ilgili standartlar bulunur.

3. IEC 62443-4-1 nedir?

Endüstriyel ürünlerin güvenli geliştirme yaşam döngüsüne ilişkin süreç gereksinimlerini tanımlar.

4. IEC 62443-4-2 nedir?

Endüstriyel otomasyon ve kontrol sistemi bileşenlerinin teknik güvenlik gereksinimlerini ele alır.

5. IEC 62443-3-3 nedir?

Endüstriyel sistem güvenliği gereksinimlerini ve güvenlik seviyelerini ele alır.

6. IEC 62443-2-1 nedir?

Endüstriyel sistem varlık sahiplerinin güvenlik programına ilişkin gereksinimleri ele alır.

7. IEC 62443 sertifikasyonu zorunlu mudur?

Genel ve bütün sektörleri kapsayan tek bir zorunluluk bulunmaz. Sözleşmesel, sektörel veya düzenleyici gereksinimler ayrıca değerlendirilmelidir.

8. IEC 62443-4-1 ile ISO 27001 aynı mı?

Hayır. ISO 27001 bilgi güvenliği yönetim sistemine, IEC 62443-4-1 ise güvenli endüstriyel ürün geliştirme süreçlerine odaklanır.

9. IEC 62443 güvenlik seviyesi nedir?

Endüstriyel sistem veya bileşenlerin belirli tehdit koşullarına karşı güvenlik dayanıklılığını değerlendirmek için kullanılan kavramdır.

10. IEC 62443 SL 1–4 ne anlama gelir?

Farklı saldırgan kabiliyetleri ve kaynak düzeyleri karşısında hedeflenen koruma seviyelerini ifade eder.

11. IEC 62443 için sızma testi gerekir mi?

Teknik güvenlik doğrulama ihtiyaçları hedef standart, ürün ve risklere göre belirlenir. Tek başına sızma testi bütün gereksinimleri karşılamaz.

12. IEC 62443 için kaynak kod analizi yapılmalı mı?

Kaynak kod analizi güvenli geliştirme süreçlerini destekleyebilir. Uygun yöntemler ürünün yapısına ve gereksinimlerine göre seçilmelidir.

13. IEC 62443-4-1 için kaç ürün değerlendirilmelidir?

Değerlendirme kapsamı hedef programın kurallarına ve kuruluşun ürün geliştirme yapısına göre belirlenir.

14. Ürün ailesi bazlı pilot uygulama yapılabilir mi?

Evet. Temsilci ürünler üzerinden süreçlerin uygulanması yararlı olabilir. Ancak sertifikasyon kapsamı ayrıca doğrulanmalıdır.

15. IEC 62443 danışmanlığı ne kadar sürer?

Süre kuruluşun mevcut süreç olgunluğu, ürün sayısı, teknik karmaşıklık ve hedef gereksinimlere göre değişir.

16. IEC 62443 sertifikasını kim verir?

İlgili uygunluk değerlendirme programı kapsamında yetkin ve bağımsız değerlendirme kuruluşları tarafından belgelendirme yapılabilir.

17. IEC 62443 ile NIS2 aynı mı?

Hayır. NIS2 hukuki bir düzenleme, IEC 62443 ise endüstriyel siber güvenlik standartları ailesidir.

18. IEC 62443 için OT ağı segmentasyonu gerekli midir?

Segmentasyon, sistem riskleri ve ilgili güvenlik gereksinimlerine göre değerlendirilen önemli kontrol yaklaşımlarından biridir.

19. IEC 62443 danışmanlığı kimlerden alınmalıdır?

Endüstriyel sistem güvenliği, hedef standartlar, güvenli geliştirme ve teknik değerlendirme alanlarında yetkin ekiplerden destek alınmalıdır.

20. IEC 62443 belgesi bütün ürünleri kapsar mı?

Hayır. Kapsam, ilgili değerlendirme programı ve sertifikada tanımlanan ürün, süreç veya sistem sınırlarına bağlıdır.

Sonuç: IEC 62443 Endüstriyel Siber Güvenlik İçin Neden Önemlidir?

IEC 62443 standart ailesi, endüstriyel sistemlerin ve ürünlerin siber güvenliğinin sistematik biçimde yönetilmesini destekler.

Başarılı bir uygulamada öncelikle kuruluşun rolü belirlenmelidir.

Tesis işletmecisi, sistem entegratörü ve ürün üreticisi için farklı gereksinimler değerlendirilmelidir.

Hedef standart ve kapsam açıkça tanımlanmalıdır.

Mevcut durum analizi gerçekleştirilmelidir.

Riskler belirlenmelidir.

Güvenli geliştirme veya sistem güvenliği süreçleri oluşturulmalıdır.

Teknik kontroller uygulanmalıdır.

Güvenlik testleri planlanmalıdır.

Kanıtlar ve dokümantasyon düzenlenmelidir.

Sertifikasyon hazırlığı bağımsız değerlendirme gereksinimleriyle uyumlu yürütülmelidir.

IEC 62443'ün temel değeri yalnızca sertifikasyon sürecinde değil; endüstriyel sistemlerin ve ürünlerin tasarım, geliştirme, işletme ve bakım aşamalarında güvenliğin sürdürülebilir hale getirilmesindedir.

Resmî Kaynaklar ve Referanslar

International Electrotechnical Commission (IEC): https://www.iec.ch

IEC Webstore: https://webstore.iec.ch

ISA – International Society of Automation: https://www.isa.org

ISASecure: https://isasecure.org

NIST SP 800-82 – Guide to Operational Technology (OT) Security: https://csrc.nist.gov/pubs/sp/800/82/r3/final

CISA – Industrial Control Systems: https://www.cisa.gov