# ISA/IEC 62443 Danışmanlık Hizmeti

**URL:** https://securesys.com.tr/tr/hizmetler/isa-iec-62443-danismalik-hizmeti

**Endüstriyel Kontrol Sistemleri ve OT Siber Güvenliği için IEC 62443 Uyum Danışmanlığı**

Üretim tesisleri, enerji altyapıları, fabrikalar, kritik altyapılar ve endüstriyel otomasyon sistemleri artık yalnızca fiziksel süreçlerden oluşmuyor. PLC, SCADA, DCS, HMI, RTU, endüstriyel ağ cihazları, mühendislik istasyonları, historian sistemleri, IIoT cihazları, uzaktan erişim altyapıları ve merkezi yönetim sistemleri giderek daha fazla birbirine ve kurumsal IT altyapılarına bağlanıyor.

Bu dönüşüm operasyonel verimlilik sağlarken **OT siber güvenlik risklerini** de önemli ölçüde artırıyor.

SecureSys, kurumların **ISA/IEC 62443 standart ailesine uyum sağlamasına**, mevcut OT güvenlik seviyesini belirlemesine, eksikliklerini ortaya çıkarmasına ve sürdürülebilir bir **Endüstriyel Kontrol Sistemleri Siber Güvenlik Yönetim Modeli** oluşturmasına yönelik uçtan uca **ISA/IEC 62443 Danışmanlık Hizmeti** sunar.

IEC 62443 danışmanlık yaklaşımımız yalnızca dokümantasyon hazırlamaya odaklanmaz. Mevcut OT mimarisi, endüstriyel varlıklar, ağ segmentasyonu, uzaktan erişim yöntemleri, kullanıcı ve yetki yapısı, güvenlik politikaları, tedarikçi erişimleri, yama ve zafiyet yönetimi, olay müdahale süreçleri, yedekleme altyapısı ve OT güvenlik kontrolleri birlikte değerlendirilir.

Amaç; üretim sürekliliğini bozmadan, operasyonel gereksinimleri dikkate alan ve kurumun gerçek riskleriyle uyumlu bir **IEC 62443 siber güvenlik mimarisi** oluşturmaktır.

### ISA/IEC 62443 Nedir?

**ISA/IEC 62443**, Industrial Automation and Control Systems – IACS olarak tanımlanan endüstriyel otomasyon ve kontrol sistemlerinin siber güvenliğinin sağlanmasına yönelik uluslararası standartlar ailesidir.

Standart ailesi; yalnızca bir firewall kurulmasını, antivirüs kullanılmasını veya OT ağının IT ağından ayrılmasını yeterli görmez.

IEC 62443 yaklaşımında güvenlik;

- İnsan,
- Süreç,
- Teknoloji,
- Sistem mimarisi,
- Ürün geliştirme,
- Risk yönetimi,
- Tedarikçi yönetimi,
- Operasyon,
- Bakım,
- Güvenli geliştirme yaşam döngüsü

gibi farklı boyutlarda ele alınır.

Bu nedenle IEC 62443, klasik bilgi güvenliği standartlarından farklı olarak özellikle **endüstriyel otomasyon sistemlerinin ve operasyonel teknoloji ortamlarının güvenliği** için geliştirilmiş kapsamlı bir yaklaşım sunar.

Standart; enerji üretim ve dağıtım sistemlerinden fabrikalara, petrol ve gaz tesislerinden ulaştırma sistemlerine, bina otomasyonundan endüstriyel üretim hatlarına kadar IACS kullanılan çok farklı sektörlerde uygulanabilir.

### IEC 62443 Danışmanlık Hizmeti Nedir?

IEC 62443 Danışmanlık Hizmeti; kurumun mevcut endüstriyel otomasyon ve kontrol sistemi altyapısının IEC 62443 gereksinimleri doğrultusunda değerlendirilmesi, risklerin belirlenmesi, uygun güvenlik seviyelerinin tanımlanması ve gerekli teknik ve organizasyonel kontrollerin oluşturulması sürecidir.

SecureSys IEC 62443 danışmanlık çalışmalarında öncelikle kurumun mevcut durumunu anlamaya odaklanır.

Çünkü her OT ortamı aynı değildir.

Bir üretim fabrikasının riskleri ile enerji üretim tesisinin, bir su arıtma tesisinin, lojistik otomasyon altyapısının veya savunma sanayii üretim hattının riskleri birbirinden farklı olabilir.

Bu nedenle IEC 62443 uyum çalışmalarında standart bir kontrol listesinin uygulanması yerine **risk bazlı OT güvenliği yaklaşımı** benimsenmelidir.

### Neden IEC 62443?

OT sistemleri geçmişte çoğunlukla kapalı ve izole ağlarda çalışıyordu.

Ancak günümüzde üretim sistemleri;

ERP sistemleri, MES platformları, merkezi veri merkezleri, bulut servisleri, uzaktan bakım sistemleri, üretici destek altyapıları, IoT ve IIoT cihazları ve üçüncü taraf servis sağlayıcılarla giderek daha fazla iletişim kuruyor.

Bu durum IT ve OT arasındaki sınırların değişmesine neden oluyor.

Bir siber saldırının OT ortamına ulaşması durumunda sonuç yalnızca veri kaybı olmayabilir.

Saldırı;

**üretimin durmasına, fiziksel süreçlerin etkilenmesine, ürün kalitesinin bozulmasına, ekipmanların zarar görmesine, iş sağlığı ve güvenliği risklerine, çevresel etkilere ve ciddi finansal kayıplara** neden olabilir.

IEC 62443 tam olarak bu noktada devreye girer.

Standart, kurumların OT güvenliğini sistematik ve risk temelli bir şekilde yönetmesine yardımcı olur.

### ISA/IEC 62443 Kimler İçin Gereklidir?

IEC 62443 yalnızca büyük fabrikalar için hazırlanmış bir standart değildir.

Endüstriyel otomasyon veya kontrol sistemi kullanan ya da bu sistemler için ürün ve hizmet geliştiren birçok kuruluş için uygulanabilir.

Özellikle;

**üretim tesisleri, enerji şirketleri, elektrik üretim ve dağıtım kuruluşları, petrol ve doğal gaz şirketleri, petrokimya tesisleri, savunma sanayii kuruluşları, otomotiv üreticileri, gıda üretim tesisleri, ilaç üreticileri, madencilik şirketleri, su ve atık su tesisleri, ulaşım altyapıları, lojistik merkezleri, bina otomasyon sistemleri, makine üreticileri, endüstriyel yazılım geliştiricileri, otomasyon üreticileri ve sistem entegratörleri** için IEC 62443 önemli bir siber güvenlik çerçevesidir.

Ayrıca müşterilerine PLC, HMI, endüstriyel gateway, endüstriyel switch, SCADA yazılımı, IIoT platformu veya benzeri ürünler geliştiren üreticiler açısından IEC 62443'ün ürün ve güvenli geliştirme gereksinimleri özellikle önem taşır.

### IEC 62443 Standart Ailesi

ISA/IEC 62443 tek bir dokümandan oluşmaz.

Standart ailesi farklı paydaşların sorumluluklarını ve IACS güvenliğinin farklı katmanlarını ele alan birden fazla bölümden oluşur.

Genel yaklaşım dört ana grupta değerlendirilebilir:

**IEC 62443-1 – Genel Kavramlar**

Terminoloji, kavramlar, modeller ve IEC 62443 yaklaşımının temel yapısı ele alınır.

**IEC 62443-2 – Güvenlik Yönetimi**

Asset Owner ve servis sağlayıcıların IACS siber güvenliğini nasıl yönetmesi gerektiğine ilişkin süreçler üzerinde yoğunlaşır.

**IEC 62443-3 – Sistem Güvenliği**

Risk değerlendirmesi, sistem tasarımı, güvenlik seviyeleri, Zone & Conduit mimarisi ve sistem güvenlik gereksinimleri ele alınır.

**IEC 62443-4 – Ürün ve Bileşen Güvenliği**

Endüstriyel ürünlerin güvenli geliştirme yaşam döngüsü ve IACS bileşenlerinin teknik güvenlik gereksinimleri ele alınır.

Bu yapı sayesinde IEC 62443 yalnızca tesis işletmecisini değil; ürün üreticisini, sistem entegratörünü, servis sağlayıcıyı ve diğer OT ekosistemi paydaşlarını da kapsar.

### IEC 62443-2-1 Danışmanlığı

**IEC 62443-2-1**, IACS varlık sahiplerinin endüstriyel otomasyon ve kontrol sistemlerine yönelik siber güvenlik yönetim programı oluşturmasına odaklanan önemli bölümlerden biridir.

SecureSys IEC 62443-2-1 danışmanlık çalışmalarında kurumun mevcut OT güvenlik yönetim yapısını değerlendirir.

Çalışma kapsamında;

OT siber güvenlik politikaları, roller ve sorumluluklar, varlık yönetimi, risk yönetimi, kullanıcı yönetimi, erişim kontrolü, uzaktan erişim, olay yönetimi, değişiklik yönetimi, yedekleme, iş sürekliliği, tedarikçi güvenliği, güvenlik farkındalığı, güvenlik izleme ve sürekli iyileştirme süreçleri incelenir.

Amaç kurum içerisinde sürdürülebilir bir **OT Cybersecurity Management System** yaklaşımı oluşturmaktır.

### IEC 62443-3-2 Risk Değerlendirmesi

OT güvenliğinin en önemli aşamalarından biri doğru risk değerlendirmesidir.

**IEC 62443-3-2**, sistem tasarımında güvenlik risk değerlendirmesinin gerçekleştirilmesi ve sistemin güvenlik bölgelerine ayrılması açısından kritik öneme sahiptir.

SecureSys danışmanlık metodolojisinde öncelikle değerlendirilecek **System Under Consideration – SuC** belirlenir.

Ardından sistem içerisinde bulunan kritik varlıklar, iletişim ilişkileri, güven bölgeleri, dış bağlantılar ve potansiyel tehdit senaryoları değerlendirilir.

Risk değerlendirmesi sonucunda hangi sistemlerin daha yüksek koruma seviyesine ihtiyaç duyduğu belirlenir.

Bu yaklaşım sayesinde güvenlik yatırımları rastgele değil, **risk öncelikli** olarak planlanabilir.

### Zone & Conduit Mimarisi Nedir?

IEC 62443 denildiğinde en önemli kavramlardan biri **Zones and Conduits – Bölgeler ve İletişim Kanalları** yaklaşımıdır.

Birçok OT ortamında tüm cihazların aynı ağ içerisinde bulunması ciddi güvenlik riskleri oluşturabilir.

Örneğin;

PLC'ler, HMI sistemleri, mühendislik istasyonları, historian sunucuları, operatör bilgisayarları, CCTV sistemleri ve kurumsal IT sistemlerinin kontrolsüz şekilde birbirine erişebilmesi saldırganların ağ içerisinde yatay hareket gerçekleştirmesini kolaylaştırabilir.

IEC 62443 yaklaşımında benzer güvenlik gereksinimlerine sahip sistemler **Zone** içerisinde gruplandırılır.

Zone'lar arasındaki kontrollü iletişim yolları ise **Conduit** olarak değerlendirilir.

Bu yapı OT ağ segmentasyonunun temelini oluşturur.

SecureSys danışmanlık çalışmasında mevcut ağ mimarisi analiz edilerek uygun Zone & Conduit tasarımı hazırlanabilir.

Örneğin;

**Enterprise IT Zone → OT DMZ → Manufacturing Operations Zone → Control Zone → Cell/Area Zone → Safety Systems**

şeklinde güvenlik katmanları oluşturulabilir.

Ancak nihai mimari tesisin gerçek yapısına, üretim süreçlerine ve risk seviyesine göre belirlenmelidir.

### IEC 62443 Security Level Nedir?

IEC 62443 yaklaşımında güvenlik gereksinimlerinin değerlendirilmesinde **Security Level – SL** kavramı önemli yer tutar.

Security Level yaklaşımı, sistem veya bileşenin belirli tehdit kabiliyetlerine karşı hangi seviyede güvenlik sağlaması gerektiğinin belirlenmesine yardımcı olur.

Genel olarak SL1'den SL4'e kadar artan güvenlik seviyeleri söz konusudur.

**SL 1**

Tesadüfi veya kasıtsız güvenlik ihlallerine karşı temel koruma.

**SL 2**

Basit araçlara ve sınırlı kaynaklara sahip saldırganlara karşı koruma.

**SL 3**

OT sistemleri konusunda bilgi ve yeteneğe sahip, daha gelişmiş saldırganlara karşı daha yüksek güvenlik seviyesi.

**SL 4**

Yüksek motivasyona, gelişmiş yeteneklere ve önemli kaynaklara sahip saldırganlara karşı en yüksek seviyede koruma yaklaşımı.

Her sistemin SL4 olması gerekmez.

IEC 62443'ün önemli avantajlarından biri budur.

Hedef güvenlik seviyesi **risk değerlendirmesi sonucunda** belirlenmelidir.

Gereksiz yüksek güvenlik seviyesi operasyonel karmaşıklık ve maliyet oluşturabilirken, gereğinden düşük güvenlik seviyesi kritik risklerin açık kalmasına neden olabilir.

### IEC 62443-3-3 Sistem Güvenliği

IEC 62443-3-3, endüstriyel otomasyon ve kontrol sistemlerinin teknik güvenlik gereksinimleri ve güvenlik seviyeleri açısından önemli standart bölümlerinden biridir.

IEC 62443 yaklaşımında sistem güvenliği yedi temel gereksinim alanı üzerinden ele alınır:

**FR 1 – Identification and Authentication Control**

Kullanıcıların, cihazların ve yazılım süreçlerinin güvenilir biçimde tanımlanması ve doğrulanması.

**FR 2 – Use Control**

Yetkilendirme ve erişim haklarının kontrol altında tutulması.

**FR 3 – System Integrity**

Sistemlerin ve verilerin yetkisiz değişikliklere karşı korunması.

**FR 4 – Data Confidentiality**

Korunması gereken verilerin gizliliğinin sağlanması.

**FR 5 – Restricted Data Flow**

Ağ segmentasyonu ve veri akışlarının kontrol edilmesi.

**FR 6 – Timely Response to Events**

Güvenlik olaylarının tespit edilmesi, kayıt altına alınması ve gerekli müdahalenin gerçekleştirilebilmesi.

**FR 7 – Resource Availability**

Kritik sistem ve kaynakların kullanılabilirliğinin korunması.

SecureSys IEC 62443 danışmanlık çalışmasında bu temel gereksinimler kurumun mevcut OT ortamıyla eşleştirilerek teknik kontrol matrisi oluşturulabilir.

### IEC 62443-4-1 Güvenli Ürün Geliştirme

Endüstriyel yazılım, cihaz veya otomasyon ürünü geliştiren şirketler açısından en önemli standartlardan biri **IEC 62443-4-1**'dir.

IEC 62443-4-1, ürün geliştirme yaşam döngüsünde güvenliğin nasıl yönetileceğini ele alır.

Bu kapsam özellikle;

PLC üreticileri, HMI üreticileri, SCADA yazılım geliştiricileri, IIoT ürün üreticileri, endüstriyel gateway üreticileri, OT güvenlik ürünü geliştiricileri ve endüstriyel yazılım firmaları açısından önemlidir.

SecureSys IEC 62443-4-1 danışmanlık yaklaşımında güvenli geliştirme yaşam döngüsünün oluşturulmasına destek sağlar.

Bu kapsamda;

güvenlik gereksinimlerinin belirlenmesi, tehdit modelleme, güvenli tasarım, güvenli kodlama, kod inceleme, güvenlik testleri, zafiyet yönetimi, güncelleme yönetimi, güvenlik dokümantasyonu ve ürün yaşam döngüsü süreçleri değerlendirilir.

Böylece güvenlik ürün tamamlandıktan sonra eklenen bir özellik olmaktan çıkar ve geliştirme sürecinin doğal parçası haline gelir.

### IEC 62443-4-2 Bileşen Güvenliği

**IEC 62443-4-2**, IACS ortamlarında kullanılan bileşenlerin teknik güvenlik gereksinimlerini ele alır.

Bu kapsamda;

- Yazılım uygulamaları,
- Embedded cihazlar,
- Host cihazlar,
- Network cihazları

gibi farklı bileşen türleri değerlendirilebilir.

Kimlik doğrulama, erişim kontrolü, bütünlük, veri gizliliği, iletişim güvenliği, olay kayıtları, güvenli güncelleme ve kullanılabilirlik gibi güvenlik özellikleri ürün seviyesinde incelenir.

Bu nedenle IEC 62443-4-2, endüstriyel ürünlerini uluslararası pazara sunan üreticiler için özellikle önemli olabilir.

### IEC 62443 GAP Analizi

IEC 62443 uyum yolculuğunun ilk adımlarından biri **IEC 62443 GAP Analizi** gerçekleştirmektir.

SecureSys IEC 62443 GAP Analizi ile kurumun mevcut güvenlik olgunluğu ile hedeflenen IEC 62443 gereksinimleri arasındaki fark belirlenir.

GAP analizi sırasında yalnızca doküman kontrolü yapılmaz.

OT altyapısının teknik ve operasyonel yapısı birlikte değerlendirilir.

Çalışma kapsamında;

mevcut politikalar, prosedürler, ağ topolojileri, OT envanteri, kullanıcı hesapları, erişim yöntemleri, firewall kuralları, uzaktan bağlantılar, yedekleme altyapısı, log yönetimi, güvenlik izleme sistemleri, yama süreçleri, zafiyet yönetimi ve tedarikçi erişimleri incelenebilir.

Analiz sonucunda kurum için önceliklendirilmiş bir **IEC 62443 Uyum Yol Haritası** hazırlanır.

### IEC 62443 Uyum Süreci Nasıl İlerler?

SecureSys tarafından gerçekleştirilen IEC 62443 danışmanlık projeleri kurumun kapsamına göre özelleştirilmekle birlikte genel olarak aşağıdaki aşamalardan oluşur.

**\1. Kapsam Belirleme**

Öncelikle değerlendirilecek tesisler, sistemler, üretim hatları ve kritik OT varlıkları belirlenir.

**\2. OT Varlık Envanteri**

PLC, SCADA, DCS, HMI, RTU, mühendislik istasyonları, endüstriyel switch'ler, historian sistemleri ve diğer OT varlıkları değerlendirilir.

**\3. Mevcut Durum Analizi**

Mevcut teknik ve organizasyonel güvenlik kontrolleri incelenir.

**\4. IEC 62443 GAP Analizi**

Mevcut durum ilgili IEC 62443 gereksinimleriyle karşılaştırılır.

**\5. Risk Değerlendirmesi**

Kritik sistemler, tehdit senaryoları ve olası etkiler değerlendirilir.

**\6. Zone & Conduit Tasarımı**

OT ağının güvenlik bölgelerine ayrılması ve bölgeler arasındaki iletişimlerin kontrol edilmesi için hedef mimari hazırlanır.

**\7. Security Level Belirleme**

Risk sonuçlarına göre hedef güvenlik seviyeleri değerlendirilir.

**\8. Politika ve Prosedürlerin Oluşturulması**

OT güvenliğine özgü politika, prosedür, talimat ve kayıt yapıları hazırlanır.

**\9. Teknik İyileştirme Planı**

Network segmentation, firewall, OT DMZ, PAM, NAC, güvenli uzaktan erişim, log yönetimi, [SIEM](/tr/hizmetler/siem-soar-guvenlik-hizmeti), OT monitoring, yedekleme ve diğer kontroller için aksiyon planı hazırlanır.

**\10. Uygulama Desteği**

Belirlenen kontrollerin uygulanması sırasında teknik danışmanlık sağlanır.

**\11. Kontrol ve Doğrulama**

Uygulanan kontrollerin hedef gereksinimleri karşılayıp karşılamadığı değerlendirilir.

**\12. Denetim / Belgelendirme Hazırlığı**

Kuruluşun hedeflediği uygunluk veya sertifikasyon modeline göre gerekli hazırlık çalışmaları gerçekleştirilir.

### OT Varlık Envanteri Neden Önemlidir?

**Görmediğiniz bir sistemi koruyamazsınız.**

OT güvenliğinin temel problemlerinden biri birçok kuruluşun endüstriyel ağında hangi cihazların bulunduğunu tam olarak bilmemesidir.

Yıllar içerisinde eklenen PLC'ler, mühendislik bilgisayarları, eski Windows sistemleri, bakım laptopları, vendor modemleri, unmanaged switch'ler veya geçici uzaktan erişim bağlantıları zaman içerisinde kalıcı hale gelebilir.

Bu nedenle IEC 62443 danışmanlık çalışmalarında doğru OT envanteri kritik öneme sahiptir.

Envanter çalışmasında mümkün olduğunda;

cihaz türü, üretici, model, firmware, IP adresi, MAC adresi, işletim sistemi, protokol, lokasyon, kritikliği, sorumlusu, network segmenti ve destek durumu gibi bilgiler değerlendirilir.

### IT ve OT Güvenliği Arasındaki Fark

IT güvenliği ile OT güvenliği aynı değildir.

IT dünyasında gizlilik çoğu zaman önemli bir güvenlik hedefidir.

OT dünyasında ise **availability – kullanılabilirlik**, operasyonun devamlılığı ve fiziksel süreç güvenliği son derece kritik olabilir.

Bir kurumsal bilgisayar güvenlik güncellemesi nedeniyle yeniden başlatılabilir.

Ancak üretimi yöneten bir PLC veya SCADA sunucusu plansız şekilde yeniden başlatılamayabilir.

Bu nedenle klasik IT güvenlik uygulamalarının OT ortamına doğrudan uygulanması üretim sürekliliği açısından risk oluşturabilir.

IEC 62443 yaklaşımının gücü burada ortaya çıkar.

Siber güvenlik kontrolleri operasyonel gereksinimler ve endüstriyel sistemlerin gerçek çalışma koşulları dikkate alınarak tasarlanır.

### OT Network Segmentation

Endüstriyel ağ güvenliğinin temel prensiplerinden biri doğru ağ segmentasyonudur.

Flat network olarak adlandırılan düz ağ mimarileri saldırganın ele geçirdiği bir sistemden diğer kritik sistemlere ulaşmasını kolaylaştırabilir.

SecureSys IEC 62443 danışmanlık kapsamında mevcut OT network topolojisini değerlendirerek;

IT/OT ayrımı, OT DMZ, üretim bölgeleri, güvenlik bölgeleri, hücre/alan segmentleri, yönetim ağları, Safety Instrumented Systems ayrımı, vendor erişimleri ve dış sistem bağlantıları için güvenli mimari önerileri geliştirir.

Buradaki amaç yalnızca VLAN oluşturmak değildir.

Gerçek segmentasyon;

**network erişim kuralları + firewall politikaları + güven ilişkileri + kullanıcı yetkileri + veri akış kontrolü + monitoring**

ile birlikte ele alınmalıdır.

### Güvenli OT Uzaktan Erişim

OT ortamlarında en kritik saldırı yüzeylerinden biri uzaktan erişim altyapılarıdır.

Bakım firmaları, sistem entegratörleri ve üretici destek ekipleri zaman zaman PLC, SCADA veya diğer kontrol sistemlerine uzaktan erişmek zorunda olabilir.

Ancak kontrolsüz VPN hesapları, paylaşımlı kullanıcılar, doğrudan RDP erişimleri veya sürekli açık vendor bağlantıları ciddi güvenlik riskleri oluşturabilir.

SecureSys danışmanlık yaklaşımında uzaktan erişim;

MFA, VPN, PAM, Jump Server, erişim sürelerinin sınırlandırılması, oturum kaydı, onay mekanizması, least privilege ve merkezi loglama gibi kontrollerle değerlendirilir.

### OT Zafiyet Yönetimi

OT sistemlerinde zafiyet yönetimi IT ortamlarından farklı ele alınmalıdır.

Her güvenlik açığı bulunan cihaza anında patch uygulanması mümkün olmayabilir.

Bazı sistemlerin üretim nedeniyle durdurulamaması, üretici desteğinin sona ermiş olması veya yeni firmware'in proses üzerinde risk oluşturması mümkündür.

Bu nedenle OT vulnerability management yaklaşımı;

**keşfet → değerlendir → risklendir → önceliklendir → test et → planla → uygula → doğrula**

döngüsüyle yönetilmelidir.

Patch uygulanamayan sistemler için compensating controls yani telafi edici güvenlik kontrolleri oluşturulabilir.

Network segmentation, erişim kısıtlamaları, IPS kuralları, application allowlisting ve monitoring bunlara örnek olabilir.

### OT Olay Müdahale Süreci

Bir OT güvenlik olayına müdahale etmek klasik IT olay müdahalesinden farklı olabilir.

Üretim ortamında saldırıya uğradığı düşünülen bir sistemin doğrudan kapatılması fiziksel süreci etkileyebilir.

Bu nedenle IEC 62443 uyum çalışmalarında OT ortamına özel **Incident Response Plan** oluşturulması önemlidir.

Plan içerisinde;

olay sınıflandırması, sorumluluklar, iletişim yöntemleri, izolasyon prosedürleri, delil toplama, üretim ekipleriyle koordinasyon, üçüncü taraf iletişimi, recovery süreçleri ve olay sonrası değerlendirme gibi adımlar tanımlanabilir.

### OT Log Yönetimi ve Güvenlik İzleme

IEC 62443 uyumunun sürdürülebilir olması için yalnızca önleyici kontroller yeterli değildir.

OT ortamında gerçekleşen güvenlik olaylarının görünür hale getirilmesi gerekir.

Bu nedenle;

firewall logları, Windows event logları, authentication kayıtları, remote access logları, OT network monitoring kayıtları, kritik konfigürasyon değişiklikleri ve mümkün olan diğer güvenlik olayları merkezi olarak izlenebilir.

SIEM, SOC ve OT Network Detection teknolojileri bu noktada önemli rol oynayabilir.

Amaç yalnızca log toplamak değil;

**normal davranışın belirlenmesi, anormal hareketlerin tespit edilmesi ve güvenlik olaylarına hızlı müdahale edilmesidir.**

### IEC 62443 ve ISO 27001 Arasındaki Fark Nedir?

ISO/IEC 27001 ile IEC 62443 birbirinin alternatifi değildir.

[ISO 27001](/tr/hizmetler/iso-27001-bgys-danismanlik-hizmeti) kurumsal bilgi güvenliği yönetim sistemine yönelik kapsamlı bir çerçeve sunarken IEC 62443 özellikle **Industrial Automation and Control Systems** güvenliğine odaklanır.

Bir üretim şirketi ISO 27001 sertifikasına sahip olabilir ancak bu durum OT ortamındaki PLC, SCADA, HMI, mühendislik istasyonları ve endüstriyel network mimarisinin IEC 62443 yaklaşımına göre güvenli olduğu anlamına gelmez.

Bu nedenle kritik OT altyapısına sahip kuruluşlarda ISO 27001 ve IEC 62443 birbirini tamamlayan yaklaşımlar olarak değerlendirilebilir.

### IEC 62443 Belgelendirme ve Sertifikasyon Hazırlığı

“IEC 62443 sertifikası” ifadesi tek bir sertifikayı ifade edecek şekilde değerlendirilmemelidir.

Kuruluşun rolüne, ürüne, sisteme ve hedeflenen standarda göre uygunluk değerlendirme kapsamı değişebilir.

Örneğin;

ürün geliştirme yaşam döngüsü, IACS bileşeni, kontrol sistemi veya varlık sahibi organizasyon için farklı değerlendirme yolları söz konusu olabilir.

Bu nedenle SecureSys danışmanlık sürecinin başlangıcında kuruluşun hedefi belirlenir.

**Asset Owner mısınız?**

**System Integrator mısınız?**

**Service Provider mısınız?**

**Product Supplier mısınız?**

**Endüstriyel yazılım veya cihaz mı geliştiriyorsunuz?**

Bu soruların cevabına göre ilgili IEC 62443 bölümleri ve uygunluk hedefi belirlenir.

### IEC 62443 Danışmanlık Çıktıları

Projenin kapsamına göre SecureSys tarafından aşağıdaki çıktılar oluşturulabilir:

- IEC 62443 GAP Analiz Raporu
- OT Siber Güvenlik Mevcut Durum Raporu
- OT Asset Inventory
- Risk Değerlendirme Raporu
- Risk Treatment Plan
- Zone & Conduit Tasarımı
- Network Segmentation Önerileri
- Hedef Security Level Değerlendirmesi
- OT Cybersecurity Policy
- Access Control Policy
- Remote Access Procedure
- Vulnerability Management Procedure
- Patch Management Procedure
- Backup & Recovery Procedure
- Incident Response Plan
- Supplier Security Requirements
- Secure Configuration Standard
- Log Management Requirements
- OT Monitoring Requirements
- Secure Development Lifecycle dokümantasyonu
- IEC 62443 Uyum Matrisi
- Aksiyon ve İyileştirme Planı
- Yönetici GAP Analiz Özeti
- Denetim Hazırlık Raporu

Proje çıktıları kuruluşun rolüne ve hedeflenen IEC 62443 kapsamına göre özelleştirilir.

### IEC 62443 Danışmanlık Süresi Ne Kadardır?

IEC 62443 danışmanlık projesinin süresi kuruluşun büyüklüğüne, tesis sayısına, OT varlık sayısına, hedeflenen standart bölümlerine ve mevcut güvenlik olgunluğuna bağlıdır.

Tek bir üretim hattının değerlendirilmesi ile birden fazla fabrikaya sahip kurumsal yapının değerlendirilmesi aynı proje büyüklüğünde değildir.

Bu nedenle proje başlangıcında kapsam belirleme çalışması gerçekleştirilerek;

tesis sayısı, üretim hattı sayısı, kritik sistemler, network yapısı, mevcut dokümantasyon ve hedeflenen IEC 62443 bölümleri değerlendirilir.

Bunun ardından proje planı ve iş gücü belirlenir.

### IEC 62443 GAP Analizi Sonrasında Ne Yapılır?

GAP analizi yalnızca eksiklerin listesini çıkarmak için yapılmamalıdır.

Asıl değer, belirlenen eksikliklerin uygulanabilir bir dönüşüm programına çevrilmesidir.

Bu nedenle SecureSys GAP analizi sonrasında bulguları;

**kritik, yüksek, orta ve düşük öncelik**

gibi risk seviyelerine göre sınıflandırabilir.

Ayrıca aksiyonlar;

**Quick Win, Kısa Vadeli, Orta Vadeli ve Stratejik**

şeklinde planlanabilir.

Böylece yönetim hangi güvenlik yatırımının önce yapılması gerektiğini daha kolay değerlendirebilir.

### IEC 62443 ve OT Siber Güvenlik Testleri

IEC 62443 uyum programı teknik doğrulama faaliyetleriyle desteklenebilir.

SecureSys tarafından danışmanlık kapsamına bağlı olarak;

OT/ICS güvenlik değerlendirmesi, ağ güvenlik analizi, konfigürasyon analizi, segmentasyon kontrolü, firewall rulebase analizi, zafiyet analizi, güvenli mimari incelemesi ve kontrollü OT/ICS [sızma testi](/tr/hizmetler/sizma-testi-penetrasyon-testi-hizmeti) gibi çalışmalar gerçekleştirilebilir.

Ancak OT penetrasyon testi klasik IT penetrasyon testi gibi gerçekleştirilmemelidir.

Üretim sistemlerinin kullanılabilirliği ve proses güvenliği her zaman önceliklidir.

Bu nedenle aktif güvenlik testleri kontrollü kapsam, bakım penceresi ve risk değerlendirmesi ile gerçekleştirilmelidir.

### IEC 62443 Danışmanlığı Neden Önemlidir?

IEC 62443 uyumu sadece bir denetim gereksinimi olarak görülmemelidir.

Doğru uygulandığında kurumun gerçek OT siber güvenlik seviyesini yükselten bir dönüşüm programıdır.

Kuruma;

daha iyi OT görünürlüğü, daha güçlü network segmentasyonu, kontrollü uzaktan erişim, daha iyi tedarikçi yönetimi, daha sistematik zafiyet yönetimi, olaylara daha hızlı müdahale, güvenli ürün geliştirme ve sürdürülebilir OT güvenlik yönetimi kazandırabilir.

En önemlisi de siber güvenliğin üretim sürekliliğinin bir parçası haline gelmesini sağlar.

### Neden SecureSys IEC 62443 Danışmanlık Hizmeti?

IEC 62443 danışmanlığı yalnızca standart maddelerini yorumlamak değildir.

Başarılı bir OT siber güvenlik projesinde danışmanlık ekibinin hem yönetişim hem de teknik güvenlik perspektifine sahip olması gerekir.

SecureSys, **IEC 62443 uyum gereksinimlerini gerçek OT/ICS siber güvenlik kontrolleriyle birlikte** değerlendirir.

Yaklaşımımız;

**Mevcut Durumu Gör → Riski Belirle → Hedef Mimarini Tasarla → Kontrolleri Uygula → Teknik Olarak Doğrula → Sürekli İyileştir**

modeline dayanır.

Bu sayede hazırlanan politika ve prosedürlerin sahadaki OT mimarisiyle uyumlu olması hedeflenir.

PLC'den SCADA'ya, OT firewall'dan uzaktan erişime, Zone & Conduit tasarımından Security Level değerlendirmesine kadar süreç bütüncül olarak ele alınır.

### Sık Sorulan Sorular

#### IEC 62443 nedir?

IEC 62443, endüstriyel otomasyon ve kontrol sistemlerinin siber güvenliğine yönelik uluslararası standartlar ailesidir. OT ve IACS ortamlarının güvenliğini insan, süreç ve teknoloji boyutlarında ele alır.

#### ISA/IEC 62443 ile IEC 62443 aynı mı?

ISA/IEC 62443 ifadesi standart ailesinin ISA ve IEC tarafındaki gelişim ve yayın yapısına işaret eder. İnternet aramalarında “IEC 62443”, “ISA 62443” ve “ISA/IEC 62443” ifadeleri yaygın şekilde kullanılmaktadır.

#### IEC 62443 kimler için uygundur?

Üretim tesisleri, enerji şirketleri, kritik altyapı işletmecileri, endüstriyel ürün üreticileri, otomasyon firmaları, sistem entegratörleri ve OT hizmet sağlayıcıları için uygulanabilir.

#### IEC 62443 ile ISO 27001 arasındaki fark nedir?

ISO 27001 bilgi güvenliği yönetim sistemine odaklanırken IEC 62443 özellikle endüstriyel otomasyon ve kontrol sistemleri ile OT güvenliğini ele alır.

#### IEC 62443 GAP analizi nedir?

Kuruluşun mevcut OT siber güvenlik kontrollerinin ilgili IEC 62443 gereksinimleriyle karşılaştırılması ve eksikliklerin belirlenmesidir.

#### IEC 62443-3-2 nedir?

IACS ortamlarında güvenlik risk değerlendirmesi, sistemin değerlendirme kapsamının belirlenmesi ve Zone & Conduit yaklaşımının uygulanması açısından önemli standart bölümlerinden biridir.

#### IEC 62443-3-3 nedir?

Endüstriyel otomasyon ve kontrol sistemlerine yönelik sistem güvenlik gereksinimleri ve güvenlik seviyelerini ele alır.

#### IEC 62443-4-1 nedir?

Endüstriyel kontrol sistemi ürünleri geliştiren üreticilerin güvenli ürün geliştirme yaşam döngüsüne ilişkin gereksinimleri ele alır.

#### IEC 62443-4-2 nedir?

IACS içerisinde kullanılan yazılım, embedded device, host device ve network device gibi bileşenlerin teknik güvenlik gereksinimlerini ele alır.

#### Zone ve Conduit nedir?

Benzer güvenlik gereksinimlerine sahip varlıkların güvenlik bölgelerinde gruplandırılması ve bu bölgeler arasındaki iletişimlerin kontrollü kanallar üzerinden gerçekleştirilmesi yaklaşımıdır.

#### IEC 62443 Security Level nedir?

Bir sistem veya bileşenin karşılaması gereken güvenlik seviyesinin ifade edilmesinde kullanılan yaklaşımdır. IEC 62443 içerisinde SL1'den SL4'e kadar artan güvenlik seviyeleri bulunur.

#### IEC 62443 danışmanlık hizmeti neleri kapsar?

Kapsam belirleme, GAP analizi, risk değerlendirmesi, OT envanteri, Zone & Conduit tasarımı, Security Level değerlendirmesi, politika ve prosedür geliştirme, teknik iyileştirme, uygulama desteği ve uygunluk hazırlığı gibi çalışmalar kapsama alınabilir.

### ISA/IEC 62443 Danışmanlık Hizmeti ile OT Güvenliğinizi Güçlendirin

OT siber güvenliği yalnızca firewall kurmak, PLC ağını internete kapatmak veya yılda bir kez zafiyet taraması gerçekleştirmek değildir.

Gerçek OT güvenliği;

**varlıklarınızı bilmek, risklerinizi anlamak, sistemlerinizi doğru bölümlere ayırmak, erişimleri kontrol etmek, güvenlik olaylarını izlemek, tedarikçileri yönetmek ve tüm bu süreçleri sürdürülebilir hale getirmekle başlar.**

SecureSys **ISA/IEC 62443 Danışmanlık, IEC 62443 GAP Analizi, OT Siber Güvenlik, ICS/SCADA Güvenliği, Zone & Conduit Tasarımı, Security Level Değerlendirmesi ve IEC 62443 Uyum Danışmanlığı** hizmetleriyle kurumların endüstriyel sistemlerini daha güvenli ve sürdürülebilir hale getirmelerine destek olur.

**Üretiminizi durdurmadan güvenliğinizi güçlendirin.**

**OT altyapınızın IEC 62443 uyum seviyesini birlikte değerlendirelim.**

**IEC 62443 GAP Analizi ve Danışmanlık Teklifi Alın**

Mevcut OT/ICS altyapınızın IEC 62443 gereksinimlerine ne kadar hazır olduğunu belirlemek, kritik eksikleri görmek ve kurumunuza özel uyum yol haritası oluşturmak için SecureSys uzmanlarıyla [iletişime geçin](/tr/iletisim).

**IEC 62443 yolculuğunuza GAP Analizi ile başlayın.**