EPDK Enerji Sektörü Siber Güvenlik Yetkinlik Modeli ve Uyum Rehberi ~ Yunus Emre UĞUR

Enerji Sektörü Siber Güvenlik Yetkinlik Modeli Nedir?

EPDK (Enerji Piyasası Düzenleme Kurumu), 6 Haziran 2023 tarihli Resmî Gazete’de “EPDK Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliği”ni yayımlayarak enerji sektöründeki endüstriyel kontrol sistemlerinin (EKS) siber güvenliğine ilişkin asgari gereksinimleri ve uyulacak usulleri belirlemiştir. Bu model, kritik enerji altyapılarında sürekli gelişen tehditlere karşı sistemlerin dayanıklılığını ve olgunluğunu artırmayı hedefleyen kapsamlı bir çerçevedir. Yönetmelik zaman içinde güncellenmiş; 28 Ocak 2024’te kapsam genişletilmiş ve uyum süreleri revize edilmiş, 8 Eylül 2024’te ise ek sektörler ve kurallar eklenmiştir. Aşağıda, bu düzenlemeye tabi sektörler ve kuruluşlar, uyum yol haritası (teknik ve organizasyonel gereklilikler) ve modelin yetkinlik seviyeleri detaylı olarak açıklanmaktadır.

Kapsam ve Tabiyet Şartları

Yönetmelik, enerji piyasasında faaliyet gösteren belirli sektörleri ve bu sektörlerde kritik öneme sahip kamu veya özel kuruluşları kapsamaktadır. Aşağıdaki lisansa sahip kuruluşlar yönetmelik hükümlerine tabidir:

Elektrik İletim Sektörü: Elektrik iletim lisansı sahibi kuruluşlar.
Elektrik Dağıtım Sektörü: Elektrik dağıtım lisansı sahibi tüm dağıtım şirketleri (OSB dağıtım lisanslıları hariç).
Elektrik Üretim Sektörü: Geçici kabulü yapılmış ve işletmede kurulu gücü 100 MW_e ve üzeri lisansa sahip her bir elektrik üretim tesisi (santral) bu kapsamdadır. Ayrıca ulusal şebekenin yeniden devreye alınması için kritik olan Black-Start özellikli (şebeke destek gücü sağlayabilen) üretim santralleri de kapsama dahil edilmiştir. Bu şart, kurulu gücü 100 MW’ın altında olsa bile Black-Start kabiliyetine sahip tesisleri de yönetmeliğe tabi kılar.
Doğal Gaz İletim Sektörü: Boru hattı ile iletim yapan doğal gaz iletim lisansı sahibi kuruluşlar.
Doğal Gaz Dağıtım Sektörü: Sevkiyat kontrol merkezi kurmakla yükümlü doğal gaz dağıtım lisansı sahibi kuruluşlar (yani belirli büyüklükteki tüm şehir gaz dağıtım şirketleri). Bu şart, gaz dağıtımında SCADA/EKS işleten şirketlerin tamamını fiilen kapsar.
Doğal Gaz Depolama Sektörü: Doğal gaz depolama lisansı sahibi kuruluşlar (LNG terminalleri ve yer altı gaz depolama tesisleri).
Petrol İletim Sektörü: Ham petrol iletim lisansı sahibi kuruluşlar (ör. boru hatlarıyla petrol taşıyan şirketler).
Rafineri Sektörü: Rafinerici lisansı sahibi kuruluşlar (petrol rafinerileri).

Not: Organize Sanayi Bölgeleri (OSB) dağıtım lisansı veya OSB üretim lisansı sahipleri kapsam dışı bırakılmıştır. Bunun dışında yukarıdaki lisanslara sahip tüm tüzel kişiler (kamu veya özel fark etmeksizin) yönetmeliğe tabidir.

Yönetmelik kapsamına giren bu kuruluşlar, enerji arzının sürekliliğini ve kritik sistemlerin güvenliğini sağlamak amacıyla belirlenmiştir. Yetkinlik modeli, Cumhurbaşkanlığı Dijital Dönüşüm Ofisi’nin Bilgi ve İletişim Güvenliği Rehberi, ulusal EKS güvenlik test esasları ile TS ISO/IEC 27001 ve TS ISO/IEC 27019 gibi standartlar temel alınarak hazırlanmıştır. Bu sayede enerji sektöründeki siber güvenlik kontrolleri ulusal ve uluslararası en iyi uygulamalarla uyumlu hale getirilmektedir.

Uyum Yol Haritası ve Gereklilikler

Yükümlü kuruluşlar, yönetmelik yayımlandıktan sonra belirtilen süreler içinde siber güvenlik yetkinlik modeline uyum sağlamakla yükümlüdür. EPDK, uyum sürecini kademeli hale getirmek için kontrol maddelerini üç seviyede sınıflandırmış ve her seviye için sektöre göre farklı tamamlanma süreleri öngörmüştür. Yönetmeliğin nihai halinin yayımlanmasını takiben kapsamdaki kurumlar, aşağıdaki aşamaları izleyerek teknik ve organizasyonel gereklilikleri yerine getirmelidir:

Mevcut Durum Analizi (Öz Değerlendirme): İlk adım olarak kuruluşlar, kendi EKS ortamlarının yönetmelikteki kontrol listelerine göre durumunu değerlendirmelidir. Bir boşluk/fark analizi (gap analysis) yapılarak mevcut uygulamalar ile yönetmelik gerekleri arasındaki eksikler tespit edilir. Bu süreçte kurumun dokümantasyonunun, sahadaki fiziksel ve ağ altyapısının uzmanlarca incelenip raporlanması önemlidir. Bu öz denetim sayesinde kuruluş hangi kontrolleri zaten sağladığını, hangileri için geliştirme yapması gerektiğini saptar.
Aksiyon Planı ve Kademeli İyileştirme: Gap analizi sonuçlarına dayanarak, kuruluşlar bir yol haritası ve aksiyon planı oluşturmalıdır. Yönetmelikteki kontroller Seviye 1, 2, 3 şeklinde önceliklendirilmiştir. Kuruluş, ilk olarak Seviye 1 (öncelikli temel kontroller) ile başlamalı; ardından Seviye 2 (orta seviye geliştirmeler) ve Seviye 3 (ileri seviye kontroller) uygulamalara geçmelidir. Bu kademeli yaklaşım, hızlı uygulanabilecek temel güvenlik önlemlerinin öncelikle devreye alınmasını, daha zor ve uzun vadeli adımların ise planlı şekilde takip etmesini sağlar. Her seviye tamamlandıkça, bir sonraki seviyenin gerekliliklerine geçilir.
Zorunlu Uyum Süreleri: EPDK her seviye için sektöre özel zaman çizelgesi belirlemiştir. Örneğin elektrik sektörü kuruluşlarının Seviye 1 kontrollerini 12 ay, Seviye 2’yi 18 ay, Seviye 3’ü 24 ay içinde tamamlaması beklenir. Doğal gaz sektörü için ise Seviye 1 18 ay, Seviye 2 24 ay, Seviye 3 30 ay içinde tamamlanmalıdır. Bu süreler, 06/2023’teki ilk yayın tarihinden itibaren hesaplanmaktadır. Belirtilen takvime uyum, EPDK’nın denetim planlaması açısından kritiktir. (Not: Ek Kontrol olarak tanımlanan dördüncü kategori, uygulanması zorunlu olmayan ancak faydalı görülen ileri kontrolleri içerir.)
Teknik Gerekliliklerin Hayata Geçirilmesi: Aksiyon planına uygun olarak, aşağıda detayları açıklanan teknik önlemler kurum altyapısında uygulanır (örn. ağ segmentasyonu yapmak, güvenlik yazılımları kurmak, sistem yapılandırmalarını güçlendirmek vb.). Teknik gereklilikler, EKS’lerin güvenliğini doğrudan artırmaya yönelik mühendislik ve teknoloji adımlarını kapsar (bir sonraki bölümde ayrıntılı ele alınmıştır).
Organizasyonel Gerekliliklerin Hayata Geçirilmesi: Teknik adımlarla eş zamanlı olarak, kuruluş bünyesinde yönetimsel ve süreçsel iyileştirmeler yapılır. Güvenlik politikalarının oluşturulması, personel eğitimleri, dokümantasyon ve süreç yönetimi gibi konular bu aşamada ele alınır (aşağıda detaylandırılmıştır).
İç Kontrol ve Testler: Kuruluş, seviyeler bazında gerekli kontrolleri uygularken bir yandan da iç denetimler, sızma testleri ve tatbikatlar gerçekleştirmelidir. Özellikle EKS ortamına özel sızma testleri ve zafiyet taramaları kontrollü şekilde yapılarak güvenlik açıkları proaktif tespit edilmelidir. Bu testler, Seviye 1-2-3 uygulamalarının gerçekten etkili olup olmadığını doğrular ve eksik kalan noktaları gösterir.
Bağımsız Denetim ve Raporlama: Kuruluş kendi uyum çalışmalarını tamamladıktan sonra, bağımsız bir denetim sürecine girmek zorundadır. Yeni yönetmelik kurallarına göre yükümlü kuruluşlar, öngörülen seviye süreçlerini bitirdikten sonra en geç 12 ay içinde EPDK tarafından yetkilendirilmiş bağımsız bir denetim firmasına denetim yaptırmak zorundadır. Bu denetimde, kuruluşun yetkinlik modelindeki tüm kriterlere uyup uymadığı değerlendirilir. Denetim sonunda hazırlanan rapor, denetimden itibaren bir ay içinde EPDK’ya sunulmalıdır. Ayrıca şeffaflık için, eğer kuruluş uyum sürecinde danışmanlık hizmeti aldıysa bu danışman firmadan farklı bir denetçi firma ilk denetimi yapmak zorundadır; danışmanlık veren şirketin kendi denetimini yapması yasaktır. Bu kural, denetimin bağımsızlığını sağlamak ve çıkar çatışmasını önlemek amacıyla getirilmiştir.
Sürekli İyileştirme ve Sürdürülebilirlik: Yetkinlik modeline uyum sağlamak bir “an”dan ziyade süreklilik gerektiren bir süreçtir. Denetim sonrasında elde edilen bulgular ışığında aksiyonlar alınmalı, EKS güvenlik durumu düzenli olarak gözden geçirilerek iyileştirmeler sürdürülmelidir. Tehdit ortamı değiştikçe ve teknoloji geliştikçe, EPDK’nın getirdiği kontroller de güncellenebilir; bu nedenle kuruluşlar güncel gelişmeleri takip ederek güvenlik seviyelerini korumalı ve artırmalıdır.

Teknik Gereklilikler (Sistem, Altyapı ve Güvenlik Çözümleri)

Yetkinlik modeli kapsamındaki teknik kontroller, endüstriyel kontrol sistemlerinin bilişim altyapısını korumak amacıyla çeşitli alanlarda toplanmıştır. Yönetmeliğin 6. maddesinde sayılan ana teknik kontrol başlıkları şunlardır:

Endüstriyel Ağ Güvenliği: EKS altyapılarında yerel ağların, geniş alan ağlarının ve iletişim protokollerinin güvenliğini sağlamaya yönelik önlemleri içerir. Bu kapsamda, ağ segmentasyonu yapılması (ör. ofis BT ağı ile operasyonel EKS ağlarının ayrılması), endüstriyel firewall/DMZ mimarileri kurulması, kritik haberleşme protokollerinde şifreleme ve kimlik doğrulama sağlanması, kablosuz erişim kullanılıyorsa bunların sıkı güvenlik ile yapılandırılması gibi kontroller yer alır. Hedef, kontrol sistemlerinin dış ağlardan gelebilecek saldırılara karşı yalıtılması ve sadece yetkili sistemlerle güvenli iletişim kurabilmesidir.
Endüstriyel İstemci ve Sunucu Güvenliği: SCADA sunucuları, mühendislik istasyonları, operatör panelleri, veri tabanları gibi endüstriyel altyapıdaki tüm sunucu ve istemci bilgisayarların hem mantıksal (yazılım) hem de fiziksel güvenliğini kapsar. Bu başlık altında, sistemlerin güncel tutulması (yama yönetimi), sadece gerekli servislerin çalıştırılması, zararlı yazılımlara karşı koruma (antivirüs/whitelisting çözümleri) sağlanması, USB bellek gibi harici medya kullanımının kontrolü, yetkisiz fiziksel erişimin engellenmesi (sunucuların kilitli odalarda tutulması vb.) gibi önlemler uygulanır. Ayrıca sunucu/istasyon bazında güvenlik yapılandırma ayarları (secure configuration baselines) hayata geçirilmeli, gerekirse endüstriyel sistemlere uygun güvenlik duvarları ve uygulama beyaz listeleme teknolojileri kullanılmalıdır.
Endüstriyel Tehdit ve Zafiyet Yönetimi: EKS ortamında geçerli olabilecek siber tehditlerin ve sistem açıklarının yönetimini ifade eder. Bu kapsamda, düzenli zafiyet taramaları (ICS ortamına uygun araçlarla), kritik sistemlere yönelik sızma testleri ve güvenlik değerlendirmeleri yapılmalıdır. Üretici firmalardan gelen güvenlik uyarıları takip edilmeli, kontrol sistemleriyle ilgili yayınlanan CVE/IACS güvenlik bültenleri incelenmelidir. Tespit edilen açıklara karşı yamalar uygulanmalı veya alternatif risk azaltıcı tedbirler (ör. sistem izole etmek, kural yazmak) devreye alınmalıdır. Ayrıca global siber tehdit istihbaratı takip edilerek enerji sektörünü hedef alan zararlı aktiviteler konusunda hazırlıklı olunmalıdır.
Endüstriyel Siber Güvenlik Risk Yönetimi: Bu, kuruluşa özgü EKS risklerinin belirlenmesi ve yönetilmesi sürecini kapsar. Teknik açıdan, tüm kritik varlıklar ve olası tehditler değerlendirilip risk analizleri yapılmalı; her bir risk için olasılık/etki puanları belirlenerek risk haritası oluşturulmalıdır. Yüksek riskler için gerekli teknik kontroller (ör. ek izleme, yedek sistem gibi) planlanmalı ve devreye alınmalıdır. Bu süreç aynı zamanda yönetsel bir faaliyet olup, aşağıdaki organizasyonel gereklilikler bölümünde de ele alınmaktadır; teknik ve idari ekipler risk yönetimini birlikte yürütmelidir.
Endüstriyel Varlık, Değişim ve Konfigürasyon Yönetimi: EKS altyapısındaki tüm cihaz ve sistemlerin envanterinin tutulması, bunların değişiklik ve yapılandırma yönetiminin güvenli şekilde yapılmasını içerir. Teknik olarak, kuruluşun EKS varlık envanteri (PLC, RTU, IED, sunucu, ağ cihazı vs.) detaylı biçimde çıkarılmalıdır. Her bir varlığın yazılım/firmware versiyonları takip edilmeli, kritik cihazların yedek konfigurasyonları güvenli şekilde saklanmalıdır. Değişiklik yönetimi kapsamında, EKS ortamında yapılacak her değişiklik (yazılım güncelleme, cihaz konfigürasyonu, yeni cihaz ekleme vb.) önceden planlanıp yetkili onayına tabi olmalı, değişiklik sonrası güvenlik değerlendirmesi yapılmalıdır. Bu kontroller, plansız değişikliklerden veya yanlış yapılandırmalardan kaynaklanabilecek zafiyetleri önlemeye yöneliktir.
Endüstriyel Kimlik ve Erişim Yönetimi: EKS içindeki tüm bileşenler ve kullanıcılar için uygun kimlik doğrulama ve erişim yetkilendirmesi uygulanmasını sağlar. Teknik önlemler arasında, kullanıcı hesaplarının bireysel ve izlenebilir olması (ortak hesapların kaldırılması), güçlü parolalar ve mümkünse çok faktörlü kimlik doğrulama kullanımı, rol tabanlı erişim kontrolü ile her personelin ve servisin sadece görevine uygun sistemlere erişebilmesi sayılabilir. Özellikle kontrol odası operatörleri, mühendisler ve bakım ekiplerinin sistem hesapları sıkı yönetilmeli, ayrıcalıklı hesaplar (admin hakları olanlar) için ek güvenlik adımları (ör. izinsiz erişim tespit sistemi, oturum kayıtları) uygulanmalıdır. Ağ seviyesinde de cihazlara erişim, ağ erişim kontrol listeleri ve jump-server gibi yöntemlerle sınırlandırılmalıdır.
Endüstriyel Olay Yönetimi ve Süreklilik: Endüstriyel siber olaylara müdahale, yedekleme ve acil durum süreklilik planlarını içerir. Teknik açıdan, kuruluşun bir EKS olay yönetim planı olmalı; SCADA ya da DCS ortamında meydana gelebilecek siber güvenlik olayları için önceden belirlenmiş senaryolar ve müdahale adımları tanımlanmalıdır. SIEM gibi izleme sistemleriyle olay algılama gerçekleştirilmeli, anormal ağ trafiği, beklenmedik sistem davranışları derhal fark edilmelidir. Kritik kontrol sistemlerinin düzenli yedekleri alınmalı ve yedeklerin çalışırlığı test edilmelidir. Ayrıca, felaket senaryoları için iş sürekliliği planları hazırlanmalı (ör. önemli SCADA merkezi devre dışı kalırsa kontrolün devralınacağı yedek kontrol merkezi veya prosedürleri belirlemek). Bu planlar düzenli olarak masaüstü tatbikatları veya saha tatbikatlarıyla test edilerek eksikler giderilmelidir.
Akıllı Cihaz Güvenliği: Enerji altyapılarında kullanılan akıllı ölçüm cihazları (sayaçlar) ve IoT sensörleri gibi bileşenlerin güvenlik kontrollerini kapsar. Bu cihazlar, dağıtık yapıda ve sahada oldukları için özel önem taşır. Teknik gereklilikler arasında, akıllı cihazların yetkisiz erişime karşı korunması, mümkünse kriptografik doğrulama ile haberleşmesi, uzaktan güncellemelerinin güvenli bir mekanizmayla yapılması sayılabilir. Özellikle elektrik dağıtımında yaygın olan akıllı sayaçlar, güvenli protokollerle merkeze bağlanmalı, sahada manipülasyona karşı (kurcalama algılama gibi) donanımsal/yazılımsal korumalar içermelidir. IoT tabanlı sensör ve kontrolörler kullanılıyorsa, bunların da en güncel firmware ile çalışması, varsayılan kimlik bilgilerinin değiştirilmesi ve gerekirse ağda segment edilerek izole edilmesi önemlidir.
Endüstriyel Operasyon Güvenliği: Sahadaki endüstriyel operasyonların güvenli şekilde sürdürülmesine yönelik kontrolleri içerir. Bu başlık biraz geniş kapsamlı olup, güvenli çalışma prosedürleri oluşturulmasını gerektirir. Örneğin, bakım ve operasyon ekiplerinin sahada yaptığı işlemlerde siber güvenlik risklerini minimize edecek prosedürler (bir cihazın kontrol portuna laptop bağlanacaksa önce antivirüs taraması yapılması gibi), tehlikeli durumlarda sistemlerin güvenli moda alınması için otomatik mekanizmalar (emergency shutdown sistemlerinin siber manipülasyona karşı emniyete alınması) bu kapsamda düşünülebilir. Ayrıca operasyonel veri bütünlüğünün korunması, mesela SCADA ekranda görülen değerlerin gerçek süreci yansıtmasının sağlanması için dijital imza/sağlamlık kontrolleri gibi teknikler de bu kategoriye girer.
PLC Güvenliği: PLC’ler ve RTU/IED benzeri kontrol cihazlarının güvenliğine ilişkin özel kontrollerdir. (Not: Bu başlık, yönetmelikte özellikle Elektrik üretim santralleri, doğal gaz dağıtım şebekeleri ve rafineriler için vurgulanmıştır.) PLC güvenliği kapsamında, PLC programlama portlarının fiziksel güvenliği, kontrol yazılımlarının yetkisiz kopyalanmasını/ değiştirilmesini önleyecek şifreleme veya erişim şifreleri kullanılması, PLC’lerin sadece yetkili cihaz ve kişilerce programlanabilmesi, kritik kontrol lojiklerinin yedeklenmesi ve değişiklik tespiti (audit trail) gibi önlemler uygulanır. Ayrıca PLC’lere yönelik kötü amaçlı yazılımlara karşı (ör. Triton/TRISIS gibi endüstriyel zararlılar) ağ seviyesinde izleme yapılmalı, anomali tespit sistemleriyle PLC komut setleri denetlenmelidir.

Yukarıdaki teknik gereklilikler, enerji altyapılarının siber saldırılara karşı korunması için somut güvenlik çözümleri sunar. Bu çözümler uygulanırken, yönetmelikte öngörülen asgari kriterlerin sağlanmasının yanı sıra mümkün olduğunca daha ileri seviyede koruma sağlamak hedeflenmelidir. Örneğin, bir zorunlu kontrol güvenlik duvarı kurulmasını öngörüyorsa, kuruluş bunu en iyi performansla yaparken, opsiyonel olarak endüstriyel protokol izleme sistemlerini de entegre ederek güvenliği artırabilir (opsiyonel “Ek Kontrol” yaklaşımı). Sonuç olarak teknik gereklilikler, EKS’ye dair donanım, yazılım ve ağ unsurlarının bütüncül bir siber savunma düzenine kavuşmasını amaçlamaktadır.

Organizasyonel Gereklilikler (İnsan Kaynağı, Süreç, Dokümantasyon)

Teknik önlemler kadar, organizasyonel yapı ve süreçlerin iyileştirilmesi de yetkinlik modelinin başarısı için kritiktir. Yönetmelik, sadece teknolojiye değil, onu yönetecek insan ve süreç boyutuna da kapsamlı gereklilikler getirmektedir. Bu kapsamda dikkat edilmesi gereken başlıca organizasyonel unsurlar şunlardır:

Güvenlik Yönetimi, Süreç ve Dokümantasyon: Kuruluşlar, EKS siber güvenliği için kurumsal bir yönetim çerçevesi oluşturmalıdır. İlk olarak üst yönetimin desteğiyle bir siber güvenlik politika seti geliştirilmelidir (EKS Bilgi Güvenliği Politikası, EKS Erişim Politikası, Yedekleme Politikası vb.). Bu politikalar, yönetmeliğin gerektirdiği tüm konuları kapsamalı ve düzenli aralıklarla gözden geçirilmelidir. Ayrıca her bir teknik kontrol alanı için yazılı prosedürler ve talimatlar hazırlanmalıdır (ör. yama yönetimi prosedürü, olay müdahale prosedürü, değişiklik yönetimi süreci gibi). Kuruluş, kritik tüm süreçleri tanımlayıp dokümante etmelidir. Dokümantasyon aynı zamanda varlık envanteri listeleri, ağ topolojisi diyagramları, risk değerlendirme raporları, olay kayıtları, eğitim kayıtları gibi bilgi setlerini içerir ve bunların güncel tutulması gerekir. Bu kapsamlı doküman yönetimi, sadece uyum için değil, aynı zamanda bir olay anında veya personel değişiminde bilgi devamlılığı için de hayati önemdedir. Özetle, kurumsal süreç yönetimi ile teknik kontroller desteklenmeli; “kağıt üzerinde” de olsa tüm kontrollerin nasıl ve kim tarafından uygulanacağı belirlenmelidir.
İnsan Kaynağı ve Eğitim: EKS’lerin güvenliği, onları işleten insanların güvenlik farkındalığı ve yetkinliğiyle doğrudan ilişkilidir. Bu nedenle yönetmelik, insan kaynakları güvenliği konusunda da gereklilikler tanımlar. Kritik enerji altyapılarında çalışan tüm personelin istihdam öncesi, sırası ve sonrasında uygulanması gereken kontroller belirlenmiştir. Öncelikle, hassas sistemlere erişecek personel için güvenlik soruşturması ve arka plan kontrolleri yapılmalıdır (ör. sabıka kaydı, referans kontrolü). İşe girişte ve periyodik olarak personele siber güvenlik eğitimleri verilmelidir; bu eğitimler genel farkındalık eğitimlerinin ötesinde EKS’ye özel konuları (SCADA sistemlerinde güvenlik, endüstriyel sosyal mühendislik saldırıları, acil durum prosedürleri vb.) kapsamalıdır. Personelin aldığı eğitimler kayıt altına alınmalı ve düzenli aralıklarla tazeleme eğitimleri planlanmalıdır. Roller ve sorumluluklar net tanımlanmalıdır: Bir Siber Güvenlik Sorumlusu (CISO) veya EKS Güvenlik Sorumlusu atanmalı, ekip içinde kimlerin hangi sistemden sorumlu olduğu belirlenmelidir. Her vardiyada bir yetkili olay müdahale sorumlusu olduğundan emin olunmalı, iletişim matrisleri oluşturulmalıdır. Personel ayrılırken de (işten çıkış) hesaplarının kapatılması, bilgi erişimlerinin sonlandırılması ve gizlilik yükümlülüklerinin devamı gibi süreçler işletilmelidir. Son olarak, farkındalık kültürü oluşturmak için düzenli siber tatbikatlar, phishing testleri veya masaüstü senaryolar yapılabilir; böylece çalışanlar olası saldırılara karşı hazırlıklı hale gelir.
Tedarikçi ve Üçüncü Taraf Güvenliği: Enerji şirketleri, pek çok dış tedarikçiyle (ör. SCADA yazılım üreticileri, bakım destek firmaları, ekipman sağlayıcılar) çalışır. Bu nedenle yönetmelikte tedarikçi yönetimi de önemli bir başlık olarak yer almaktadır. Kuruluşlar, kritik teknoloji ve hizmet sağlayıcılarından gelen siber güvenlik risklerini yönetmelidir. Bunun için tedarikçilerle yapılan sözleşmelere siber güvenlik hükümlerin eklenmesi gerekir (ör. tedarikçinin belli bir güvenlik standardına uyacağını, ihlal durumunda bildirim yapacağını, kritik yamaları belirli sürede uygulayacağını taahhüt etmesi gibi maddeler). Tedarikçi firma personeli sahada çalışacaksa, bunların da aynı iç personel gibi güvenlik eğitimlerinden geçmesi, sahada refakat kuralının uygulanması sağlanmalıdır. Uzaktan erişim gerekiyorsa, üçüncü tarafların sadece gerekli sistemlere, sınırlı süreli ve izlenebilir şekilde erişmesine izin veren çözümler (ör. sınırlı VPN hesapları, tek seferlik şifreler) kullanılmalıdır. Tedarikçilerin güvenlik performansı periyodik olarak değerlendirilmeli, mümkünse kritik tedarikçilerin kendi güvenlik denetim raporları istenmelidir. Bu sayede tedarik zinciri kaynaklı siber riskler minimize edilecektir.
Fiziksel Güvenlik: Unutulmamalıdır ki fiziksel erişim, siber güvenlikte önemli bir yer tutar. Yönetmelik, endüstriyel altyapıların fiziksel ortam güvenliğine dair de kontroller öngörür. Bu kapsamda, kontrol merkezleri, trafo merkezleri, veri merkezleri, terminal istasyonları gibi kritik sahalar yetkisiz girişe karşı korunmalıdır. Çit, kapı kilidi, biyometrik erişim, güvenlik kartı sistemi, 7/24 kamera izleme, güvenlik personeli bulundurma gibi önlemler uygulanmalıdır. Özellikle SCADA kontrol odalarına, veri merkezlerine ve kritik ekipman odalarına sadece yetkili personelin girebilmesi sağlanmalı; ziyaretçiler kayıt altına alınmalı ve refakat edilmelidir. Fiziksel güvenlik kontrolleri, siber saldırganların sahaya sızarak doğrudan cihazlara müdahale etmesini veya sahada zararlı cihaz (ör. izinsiz modem, logger) takmasını önler. Ayrıca doğal afet, yangın gibi durumlara karşı da fiziksel tedbirler (yangın söndürme sistemleri, iklimlendirme, yedek güç kaynakları) bulunmalı ki bu da geniş anlamda güvenliğin bir parçasıdır.
Uyum ve Denetim Süreçleri: Organizasyonel olarak, şirketin üst yönetimi ve ilgili birimleri bu model kapsamındaki yükümlülüklerin yerine getirilmesini sağlamak için bir uyum yönetim süreci işletmelidir. Bu amaçla iç denetim birimleri veya bilgi güvenliği ekipleri periyodik olarak değerlendirmeler yaparak EPDK gerekliliklerinin karşılandığını doğrulamalıdır. EPDK’nın istediği raporlamalar veya bildirimler (ör. yıllık durum raporu, ciddi bir olay sonrası bildirim gibi) varsa bunlar zamanında yapılmalıdır. Yetkinlik modelinin bir diğer yönü de sürekli iyileştirme olduğundan, organizasyon öğrenen bir yapıda olmalıdır: Meydana gelen güvenlik olaylarından ders çıkarıp prosedürleri güncellemek, yeni çıkan teknolojileri değerlendirmek, personelin sertifikasyonlarını teşvik etmek gibi adımlar da geniş kapsamda organizasyonel olgunluğu artırır.

Yukarıdaki organizasyonel adımlar, teknik kontrollerin kağıt üzerinde kalmayıp sahada etkin bir şekilde uygulanmasını sağlar. İnsan unsuru, süreç disiplini ve kurumsal destek olmadan sadece cihaz ve yazılım yatırımı ile siber güvenlik sağlanamayacağı açıktır. EPDK modeli, bu dengeyi gözeterek enerji şirketlerinden hem teknik hem idari anlamda yetkinlik talep etmektedir. Sonraki bölümde, bu yetkinlik kavramının seviyeleri ve sınıflandırması açıklanmaktadır.

Yetkinlik Seviyeleri ve Sınıflandırması

EPDK’nın siber güvenlik yetkinlik modeli, uygulanacak kontrolleri üç ana seviye altında gruplandırmıştır (Seviye 1, Seviye 2, Seviye 3) ve ayrıca “Ek Kontrol” adıyla bir opsiyonel dördüncü kategori tanımlanmıştır. Bu sınıflandırma, kontrollerin uygulanma önceliği ve zorluk derecesine göre yapılmıştır. Her bir seviyenin anlamı ve gereksinimleri kısaca şöyledir:

Seviye 1 – Giriş Seviyesi Kontroller: Yetkinlik modelinin ilk seviyesidir. Bu seviyedeki maddeler, kuruluşların hali hazırda uyguladığı veya kısa sürede kolayca uygulayabileceği temel kontrollerden oluşur. Başka bir deyişle, Seviye 1, bir kuruluşun asgari güvenlik düzeyini oluşturur. Örnek olarak, antivirus kullanımı, temel güvenlik duvarı kuralları, basit şifre politikaları gibi işletmesi görece kolay kontroller bu grupta toplanabilir. Tamamlanma süresi: Elektrik sektörü için 12 ay, doğal gaz sektörü için 18 ay içinde uygulanmaları zorunludur.
Seviye 2 – Orta Seviye Kontroller: İkinci aşama kontroller bu gruptadır. Seviye 2 maddeleri, mevcut sistemlerde veya süreçlerde belirli değişiklikler yapmayı gerektiren kontrolleri içerir. Bu, kuruluşun biraz daha çaba ve kaynak ayırarak gerçekleştireceği iyileştirmelerdir. Örneğin, network mimarisinde segmentasyon düzenlemesi, gelişmiş izleme sistemleri kurulması, personel güvenlik taramalarının devreye alınması gibi adımlar Seviye 2 olarak değerlendirilebilir. Tamamlanma süresi: Elektrik sektörü için 18 ay, doğal gaz sektörü için 24 ay içinde tamamlanmalıdır.
Seviye 3 – İleri Seviye Kontroller: En üst düzey kontrolleri ifade eder. Seviye 3 kapsamındaki maddeler, uygulaması için yeni projeler başlatmayı veya uzun vadeli dönüşümleri gerektirebilecek, kompleks ve ileri seviye güvenlik önlemleridir. Örneğin, SCADA sisteminin tamamen yenilenmesi, çift faktörlü kimlik doğrulamanın bütün EKS ortamına entegre edilmesi, tam kapsamlı ISO 27001 sertifikasyonunun sağlanması gibi uzun soluklu işler bu seviyede olabilir. Bu seviye, kuruluşun siber güvenlik olgunluğunu üst noktaya taşımayı hedefler. Tamamlanma süresi: Elektrik sektörü için 24 ay, doğal gaz sektörü için 30 ay içinde gerçekleştirilmesi gerekmektedir.
Ek Kontrol – Opsiyonel İlaveler: Yönetmelikte tanımlanan ek kontrol maddeleri, uygulanması zorunlu olmayan ancak hayata geçirilmesi durumunda kuruma fayda sağlayabilecek ileri güvenlik önlemleridir. Bu kontroller genellikle zorluk derecesi yüksek veya çok spesifik durumlarda geçerli önlemlerdir. Örneğin, büyük ölçekli saldırı simülasyonları (red-team faaliyetleri) yürütmek, yapay zekâ tabanlı anomali tespit sistemleri geliştirmek gibi ileri uygulamalar ek kontrole örnek verilebilir. Ek kontroller için herhangi bir yasal tamamlanma süresi öngörülmemiştir ve bunlar yaptırımlara tabi değildir. Ancak EPDK, sektördeki olgunluğu teşvik etmek adına kurumların imkanlar ölçüsünde ek kontrolleri de değerlendirmesini bekleyebilir.

Yukarıdaki seviye yapısı, enerji sektörü şirketlerinin siber güvenlik olgunluk seviyelerini göstermesi açısından da bir sınıflandırma sunar. EPDK, her yükümlü kuruluşa sektör bazında asgari bir seviye hedefi koymuştur; örneğin elektrik dağıtım şirketlerinin Seviye 3’ü tamamlaması nihai hedeftir. Kuruluşların, belirtilen sürelerde ilgili seviye kontrollerini yerine getirmesi zorunludur. Aksi takdirde EPDK tarafından yaptırım veya idari para cezası uygulanması söz konusu olabilir (yönetmelikte uyumsuzluk durumları için cezai hükümler de tanımlanmıştır).

Özetle, EPDK Enerji Sektörü Siber Güvenlik Yetkinlik Modeli, Türkiye’nin elektrik, doğal gaz ve petrol sektörlerindeki kritik altyapıların siber güvenliğini yükseltmeyi amaçlayan kapsamlı bir düzenlemedir. Bu model, kimlerin bu yükümlülüklere tabi olduğunu net şekilde tanımlamış, uyum sağlamak için teknik ve organizasyonel bir yol haritası çizmiş ve kontrolleri bir olgunluk seviyelendirmesi ile sınıflandırmıştır. Kuruluşlar, bu model çerçevesinde kendi sistemlerini gözden geçirip iyileştirerek, enerji arzının sürekliliğini ve güvenliğini koruma sorumluluğunu yerine getirmektedir. Bu kapsamlı yaklaşım, sürekli değişen tehdit ortamına karşı enerji altyapılarının dirençli (siber dayanıklı) olmasını sağlayacak kurumsal yetkinliklerin oluşturulmasını desteklemektedir.

Sık Sorulan Sorular (FAQ)

EPDK Enerji Sektörü Siber Güvenlik Yetkinlik Modeli nedir?

EPDK Enerji Sektörü Siber Güvenlik Yetkinlik Modeli, enerji sektöründe faaliyet gösteren kuruluşların endüstriyel kontrol sistemleri (EKS/OT) için asgari siber güvenlik gerekliliklerini ve olgunluk seviyelerini tanımlayan düzenleyici bir çerçevedir.

EPDK siber güvenlik yetkinlik modeline kimler tabidir?

Elektrik iletim, dağıtım ve üretim (100 MW ve üzeri veya Black-Start özellikli), doğal gaz iletim, dağıtım, depolama, petrol iletim ve rafineri lisansına sahip kuruluşlar bu modele tabidir. OSB dağıtım ve üretim lisanslı kuruluşlar kapsam dışındadır.

Yetkinlik modeli hangi sistemleri kapsar?

Model; SCADA, DCS, PLC, RTU, IED, kontrol merkezleri, endüstriyel ağ altyapıları ve bu sistemlerle ilişkili sunucu, istemci ve iletişim bileşenlerini kapsar.

EPDK yetkinlik modelinde kaç seviye vardır?

Model üç zorunlu seviye (Seviye 1, Seviye 2, Seviye 3) ve bir isteğe bağlı Ek Kontrol kategorisinden oluşur. Seviyeler, uygulanacak kontrollerin öncelik ve olgunluk düzeyini ifade eder.

Seviye 1, Seviye 2 ve Seviye 3 arasındaki fark nedir?

Seviye 1 temel ve hızlı uygulanabilir kontrolleri, Seviye 2 orta seviye teknik ve organizasyonel geliştirmeleri, Seviye 3 ise ileri seviye ve kapsamlı güvenlik önlemlerini kapsar.

Uyum süreleri ne kadardır?

Elektrik sektörü için Seviye 1: 12 ay, Seviye 2: 18 ay, Seviye 3: 24 ay; doğal gaz sektörü için ise Seviye 1: 18 ay, Seviye 2: 24 ay, Seviye 3: 30 ay olarak belirlenmiştir.

EPDK uyumu için ilk yapılması gereken nedir?

İlk adım, mevcut durumun tespiti için EKS/OT ortamında kapsamlı bir GAP (fark) analizi yapılmasıdır. Bu analiz, eksik kontrollerin ve önceliklerin belirlenmesini sağlar.

Teknik gereklilikler nelerdir?

Ağ segmentasyonu, endüstriyel firewall ve DMZ kullanımı, PLC ve SCADA güvenliği, kimlik ve erişim yönetimi, loglama ve izleme, zafiyet yönetimi, yedekleme ve olay müdahale süreçleri temel teknik gerekliliklerdir.

Organizasyonel gereklilikler neleri kapsar?

Politika ve prosedürlerin oluşturulması, personel eğitimi, rol ve sorumlulukların tanımlanması, tedarikçi güvenliği, fiziksel güvenlik önlemleri ve sürekli denetim süreçleri organizasyonel gereklilikler arasındadır.

Denetim süreci nasıl işler?

Kuruluşlar, ilgili seviye gerekliliklerini tamamladıktan sonra EPDK tarafından yetkilendirilmiş bağımsız bir denetim firması tarafından denetlenir ve denetim raporu EPDK’ya sunulur.

Uyumsuzluk durumunda yaptırım var mı?

Evet. Belirlenen sürelerde yetkinlik seviyelerinin tamamlanmaması durumunda EPDK tarafından idari yaptırımlar ve para cezaları uygulanabilir.

EPDK yetkinlik modeli hangi standartlarla uyumludur?

Model; ISO/IEC 27001, ISO/IEC 27019, IEC 62443, NIST SP 800-82 ve Cumhurbaşkanlığı Dijital Dönüşüm Ofisi Bilgi ve İletişim Güvenliği Rehberi ile uyumludur.

Danışmanlık almak zorunlu mu?

Danışmanlık almak zorunlu değildir ancak GAP analizi, yol haritası oluşturma ve teknik uygulamalarda uzman destek alınması uyum sürecini hızlandırır ve riskleri azaltır.

Bu model OT siber güvenliği için neden önemlidir?

Çünkü enerji sektöründeki siber saldırılar sadece bilgi kaybına değil, fiziksel kesintilere ve ulusal güvenlik risklerine yol açabilir. Yetkinlik modeli, bu riskleri sistematik şekilde azaltmayı hedefler.