Uzaktan erişim artık bir lüks değil: tedarikçi desteği, vardiya dışı müdahale, merkezden izleme ve mühendislik çalışmaları uzaktan yürütülüyor. Sorun erişimin kendisi değil, nasıl sağlandığıdır. Kurumsal ağdan sahaya uzanan tek bir kontrolsüz VPN tüneli, yıllarca yapılmış tüm ağ bölümlendirmesini bir anda geçersiz kılabilir.
Kural: uzak kullanıcı OT ağına doğrudan girmez. Kimlik doğrulanır, tek bir kontrollü geçitten geçer, yalnızca ihtiyacı olan sisteme, ihtiyacı olan süre boyunca erişir ve yaptığı her şey kayıt altına alınır.
Hedef mimari
İyi bir uzaktan erişim tasarımı, ağ bölgeleri arasında kontrollü bir “kapı” kurar. Uzak kullanıcı önce DMZ’deki erişim geçidine bağlanır; oradan yalnızca onaylı sistemlere, onaylı protokollerle ulaşır.
Tasarım ilkeleri
- Doğrudan bağlantı yok. İnternetten veya kurumsal ağdan OT ağına doğrudan VPN yerine DMZ’de bir atlama sunucusu (jump host) veya uzaktan erişim geçidi kullanın. Dışarıdan içeri doğrudan açık port bırakmayın.
- Güçlü kimlik doğrulama. Çok faktörlü kimlik doğrulama (MFA) zorunlu olsun; paylaşılan hesaplardan kaçının, her kullanıcının kendi hesabı bulunsun.
- En az yetki. Erişim, kişiye ve sisteme özel tanımlansın. Varsayılan salt-okunur; yazma/müdahale yetkisi gerektiğinde ayrıca açılsın.
- Süreli ve onaylı erişim. Tedarikçi hesapları kalıcı açık kalmasın. Bir iş emri onayı ile belirli bir zaman penceresinde etkinleştirilsin, iş bitince kapansın.
- Oturum kaydı ve denetim. Kim, ne zaman, hangi sisteme, neyi yaptı? Oturumlar kaydedilmeli ve günlükler OT ağının dışında da saklanmalıdır.
- Protokol kısıtı. Uzaktan masaüstü veya mühendislik yazılımı gibi gereken protokollere izin verin; her şeye değil. Güvenlik duvarı kuralları belgelenmiş ve gerekçelendirilmiş olsun.
- Yama ve sertleştirme. Erişim geçidi, internete en yakın bileşendir; yamaları güncel, gereksiz servisleri kapalı olmalıdır.
- Acil durumda kapatma. Tek bir işlemle tüm uzak erişimi kesebilmeli ve bu prosedür prova edilmiş olmalıdır.
Tedarikçi erişimi için süreç
| Adım | Ne olur? | Kanıt |
|---|---|---|
| 1. Talep | Tedarikçi, sistemi ve nedeni belirten bir iş emri açar | İş emri numarası |
| 2. Onay | Tesis sorumlusu zaman penceresini ve kapsamı onaylar | Onay kaydı |
| 3. Etkinleştirme | Hesap yalnızca bu pencerede açılır, MFA ile giriş yapılır | Kimlik doğrulama günlüğü |
| 4. Çalışma | Oturum, atlama sunucusu üzerinden yürür; ekran/komut kaydı alınır | Oturum kaydı |
| 5. Kapanış | Hesap kapatılır, yapılan değişiklikler iş emrine yazılır | Kapanış notu ve değişiklik kaydı |
Sık görülen hatalar
- “Geçici” olarak açılıp unutulan modem, VPN veya uzaktan masaüstü portları.
- Tedarikçiyle paylaşılan tek ortak hesap ve parola.
- OT ağına doğrudan düz erişim veren “site-to-site” VPN tünelleri.
- Güvenlik duvarı kurallarının “any-any” bırakılması ve kural gerekçesinin yazılmaması.
- Kayıt tutulmaması; bir olay sonrasında ne olduğunun yeniden kurulamaması.
Standartlarla ilişki
IEC 62443 serisi, bölge ve geçit (zone/conduit) kavramlarıyla bu yaklaşımın çerçevesini tanımlar: bölgeler arası her iletişim, tanımlı ve kontrollü bir geçitten geçmelidir. Uzaktan erişim, bu geçitlerin en görünür örneğidir. Bölümlendirmeyi nasıl planlayacağınız için OT ağını bölümlendirmeden önce bağlantıları haritalayın yazısına bakın.
Nereden başlamalı?
Önce mevcut uzaktan erişim yollarının envanterini çıkarın: kim, hangi sisteme, hangi araçla, hangi hesapla bağlanıyor? Çoğu tesiste listede unutulmuş bir yol çıkar. Ardından en riskli yolları DMZ geçidine taşıyın ve süreli tedarikçi erişimi sürecini yazılı hale getirin. ASP Otomasyon danışmanlık hizmetiyle bu envanteri ve hedef mimariyi birlikte çıkarabilir; servis kapsamında tedarikçi erişim süreçlerini sözleşmelere bağlayabilir.
Sık sorulan sorular
VPN yeterli değil mi?
VPN şifreli bir tünel sağlar ama erişimi sınırlamaz. Tünel sonunda kullanıcı OT ağına düz erişim kazanıyorsa risk aynıdır. VPN, DMZ’deki bir geçide bağlanmalı; asıl erişim denetimi orada yapılmalıdır.
Salt-okunur erişim güvenli midir?
Yazma yetkisini kaldırdığı için riski belirgin biçimde azaltır; ancak yine de kimlik doğrulama, kayıt ve kapsam sınırları gerekir. Okunan veri de hassas olabilir.
Acil durumda tedarikçiye hızlı erişim nasıl sağlanır?
Hızlı ama kontrollü bir “acil” prosedürü tanımlayın: telefon onayı, kısa süreli hesap, tam oturum kaydı ve olay sonrası gözden geçirme. Prosedürü olay anında değil, önceden hazırlayın.
