EPDK Siber Güvenlik Yetkinlik Modeli — Elektrik Dağıtım (Ek-1)

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerinde (EKS) hizmet veren kontrol merkezlerinde yetkisiz kişi ve cihazların endüstriyel ağa girişi (Network Access) kısıtlanmalı (Port security, kullanılmayan portların devre dışı bırakılması, fiziksel olarak kapatılması vb.) veya fiziksel güvenlik önlemleri ile yetkisiz erişimler engellenmelidir. Bu kontroller hem kablolu hem de kablosuz ağlar için uygulanmalıdır.

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerinde hizmet veren acil durum/yedek kontrol merkezlerinde yetkisiz kişi ve cihazların endüstriyel ağa girişi (Network Access) kısıtlanmalı (Port security, kullanılmayan portların devre dışı bırakılması, fiziksel olarak kapatılması vb.) veya fiziksel güvenlik önlemleri ile yetkisiz erişimler engellenmelidir. Bu kontroller hem kablolu hem de kablosuz ağlar için uygulanmalıdır.

Elektrik dağıtım şebekesi içerisinde mevcut SCADA sistemine bağlı veya ethernet tabanlı ağ yapısı olan tüm trafo merkezleri tüketim yoğunluklarına göre tüketimi çok olandan başlanarak listelenmelidir. (Yükümlü kuruluşlar kendi dağıtım bölgelerinin dinamikleri uyarınca ilave kritiklik belirleme parametreleri de kullanabilir.)

Kritiklik seviyesi A sınıfı olan kuruluşlar bir önceki adımda belirlenen trafo merkezi tüketim yoğunluk listesinin ilk %20'sinde bulunan trafo merkezlerinde ağa giriş kontrolleri uygulamalıdır. (Port security, kullanılmayan portların devre dışı bırakılması, fiziksel olarak kapatılması vb.) Kritiklik seviyesi B-C sınıfı olan kuruluşlar bir önceki adımda belirlenen trafo merkezi tüketim yoğunluk listesinin ilk %25'inde bulunan trafo merkezlerinde ağa giriş kontrolleri uygulamalıdır.

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerinde (EKS), kontrol merkezleri ve her türlü uç sahalarla olan haberleşmeler güvenlik duvarı (Referans_Topoloji_Elektrik_Dağıtım: EKS-GD-01) üzerinden sağlanmalıdır. Bu güvenlik duvarı sadece endüstriyel ağların izolasyonu/ayrıştırılması için konumlandırılmalı ve KBS güvenlik duvarından farklı olmalıdır. Kullanılan güvenlik duvarı ilgili kuruluşun endüstriyel protokollerini desteklemelidir. (IEC 104, DNP3 vb.)

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemleri ana kontrol merkezi ve acil durum/yedek kontrol merkezi arasındaki haberleşmeler yukarıda adreslenen endüstriyel ağın izolasyonu/ayrıştırılması için kullanılan güvenlik duvarı (Referans_Topoloji_Elektrik_Dağıtım: EKS-GD-01) üzerinden ve güvenli bir iletişim kanalı kullanılarak (IPsec vb.) sağlanmalıdır.

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemleri (EKS) kontrol merkezleri arasında Layer2 bağlantı olması durumunda, hem ana kontrol merkezi hem de acil durum/yedek kontrol merkezlerinde aynı ağ güvenlik kontrolleri uygulanıyor olmalıdır.

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerinde (EKS) endüstriyel ağlar ve harici ağlar arasındaki (güvensiz ağlar) haberleşmeler güvenlik duvarı (Referans_Topoloji_Elektrik_Dağıtım: EKS-GD-01) üzerinden sağlanmalıdır. Bu güvenlik duvarı endüstriyel ağı izole eden güvenlik duvarıdır.

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerinde (EKS) farklı kontrol sistemleri ile ICCP üzerinden veri okuma entegrasyonları endüstriyel ağı izole eden güvenlik duvarı (Referans_Topoloji_Elektrik_Dağıtım: EKS-GD-01) üzerinden sağlanmalıdır.

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerinde (EKS) farklı kontrol sistemleri ile ICCP üzerinden veri yazma entegrasyonları, ICCP protokolünü tanıyan ve sadece belirli parametrelere izin verebilen bir güvenlik duvarı veya benzeri güvenliği sağlayabilen bir güvenlik bileşeni üzerinden sağlanmalıdır.

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerinde (EKS) uç sahalarla olan haberleşmeler için kullanılan endüstriyel protokollerde yetkisiz endüstriyel komutları durdurabilecek güvenlik cihazları (Referans_Topoloji_Elektrik_Dağıtım: EKS-GD-01) konumlandırılmalıdır. (IEC 104, DNP3 protokolleri ile elektrik açma/kesme operasyonları vb.)

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerinde (EKS) GES, RES gibi santraller üzerinden elektrik dağıtım şebekesine ait kontrol sistemi bileşenlerine olan bağlantılar güvenlik duvarı (Referans_Topoloji_Elektrik_Dağıtım: EKS-GD-01) üzerinden sağlanmalıdır.

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerinde (EKS) endüstriyel ağlara ilişkin mantıksal topolojiler katmanlı güvenlik mimarisiyle tasarlanmalı ve uygun şekilde dokümante edilmelidir.

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerinde (EKS) endüstriyel ağlara ilişkin fiziksel topolojiler dokümante edilmelidir.

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerinde (EKS) endüstriyel bileşenlere güvensiz ağlar ya da yarı güvenli ağlar (DMZ: Demilitarized zone) üzerinden olan erişim trafiği bir saldırı tespit katmanından geçirilmelidir. Bunu sağlamak adına mevcut güvenlik bileşenlerinde IDS imzaları devreye alınabileceği gibi alternatif olarak açık kaynak kodlu teknolojiler de kullanılabilir.

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerinde (EKS) endüstriyel ağlarda trafik aynalanması (mirroring) yöntemi ile saldırı tespiti gerçekleştirilebilmelidir. Bu izleme minimum olarak kontrol merkezi ve acil durum kontrol merkezi ağları ile kontrol merkezlerinin uç sahalarla WAN haberleşmelerini de kapsamalıdır.

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerinde (EKS) trafo merkezleri ağlarında trafik aynalanması (mirroring) yöntemi ile saldırı tespiti gerçekleştirilebilmelidir.

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerinde (EKS) endüstriyel ağları izole etmek/ayrıştırmak için konumlandırılan güvenlik duvarı üzerinde (Referans_Topoloji_Elektrik_Dağıtım: EKS-GD-01) endüstriyel protokollere yönelik tehditleri de içeren IPS ve antivirüs vb. güvenlik önlemleri devreye alınmalıdır.

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemleri (EKS) içerisinde bulunan bileşenler görevlerine göre sanal ağlara (VLAN) ayrılmalı ve bu ağlar arasında geçiş kontrolleri uygulanmalıdır. Söz konusu katmanlı yapı acil durum/yedek kontrol merkezlerinde de gerçekleştirilmelidir. (Bu kontrol, altyapı yenileme projeleri sırasında ya da bu düzenleme yürürlüğe girdiği andan itibaren kurulacak olan altyapılarda aranacaktır.)

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerinde (EKS) mühendislik iş istasyonları endüstriyel ağlardan izole edilmelidir. Sadece iş ihtiyacı olduğu durumlarda kullanıma tahsis edilmelidir.

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerinde (EKS) endüstriyel ağlardan kurumsal ağlara doğru olan haberleşmeler bu haberleşmelere özel oluşturulmuş OT-DMZ ağları ya da izole sanal ağlar (VLAN) üzerinden sağlanmalıdır. Aynı şekilde kurumsal ağlardan endüstriyel ağlara doğru olan haberleşmeler de OT-DMZ ağları ya da izole sanal ağlar (VLAN) üzerinden sağlanmalıdır.

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerinde (EKS) sanal ağların (VLAN) devreye alınmasını takiben ağ ve güvenlik cihazlarının yönetim arayüzleri de (management interface) ayrı bir sanal ağ üzerinde konumlandırılmalıdır. (Bu kontrol, altyapı yenileme projeleri sırasında ya da bu düzenleme yürürlüğe girdiği andan itibaren kurulacak olan altyapılarda aranacaktır.)

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemleri (EKS) altyapısında her bir uç istasyon ağ seviyesinde farklı bir alt ağ olarak oluşturulmalıdır.

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemleri (EKS) altyapısında her bir uç istasyon için endüstriyel protokol trafiği ve diğer trafikler (kamera, fiziksel güvenlik, sayaç vb.) farklı sanal ağlar (VLAN) olarak yapılandırılmalı ve bu sanal ağlar (VLAN) arası geçiş mevcut ağ/güvenlik cihazları üzerinden kontrollü olarak sağlanmalıdır.

Endüstriyel ağlarla iletişim halinde olan tüm KBS bileşenleri ayrı bir sanal ağ (VLAN) içerisinde konumlandırılmalı ve OT-DMZ ağı üzerinden endüstriyel ağlar ile haberleşmelidir. (CRM, CBS, WorkForce Management, ERP, OMS, Güvenli Uzak Erişim vb.)

Endüstriyel ağlar ve KBS ağları arasında haberleşmenin yönü endüstriyel ağdan kurumsal ağa olacak şekilde OT-DMZ üzerinden sağlanmalıdır. Kurumsal ağlardan endüstriyel ağlara doğru veri çekme operasyonlarının gerekli olması durumunda bu veri akışı ek kontroller ile gerçekleştirilmelidir.

Endüstriyel ağlar içerisinde yer alan sunucu ve uygulamalar doğrudan internet üzerinden erişilebilir durumda olmamalıdır.

Endüstriyel ağlarla iletişimi olan tüm bileşenlerin doğrudan internete olan erişimleri sonlandırılmalıdır.

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemi (EKS) bileşenlerine internet üzerinden gerçekleştirilecek tüm uzak erişimler öncelikli olarak KBS/kurumsal ağ üzerinde sonlandırılmalıdır. (VPN vb.) Bu uzak erişim yöntemleri üreticiler, çalışanlar ve alt yükleniciler için farklı yetkilendirme politikalarını destekleyebilmelidir. KBS ağı üzerinden endüstriyel ağlara yönelik uzak erişimler OT-DMZ ağı içerisinde konumlandırılmış güvenli bir atlama noktası/sunucusu/uygulaması üzerinden kontrollü olarak sağlanmalıdır. Uzaktan erişimlere ilişkin tüm süreçler diğer mevcut teknik maddelere uyumlu olarak işletilmelidir.(Olay yönetimi ve süreklilik, kimlik ve erişim yönetimi vb.)

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerine (EKS) yapılacak uzak erişimler için bu işe özelleşmiş teknolojiler kullanılmalıdır. (Oturum kaydetme, oturum yönetimi, çift faktörlü doğrulama, güvenli dosya transferi vb.)

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerinde (EKS) endüstriyel ağlar üzerinde tüm güvensiz servisler (açık metin protokoller, uzak erişim servisleri, güncelliğini yitirmiş protokoller) periyodik denetim ya da ağ trafiğinin analizi ile tespit edilmelidir.

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerinde (EKS) endüstriyel ağlar üzerinde tespit edilen BT tabanlı (TELNET, HTTP, TFTP, vb.) güvensiz servisler devre dışı bırakılmalıdır.

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerinde (EKS) endüstriyel ağlar üzerinde tespit edilen gereksiz veya kullanılmayan servisler devre dışı bırakılmalıdır.

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerinde (EKS) endüstriyel ağlar üzerinde mevcut varlıkların servisleri sürekli olarak izlenmelidir.

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerinde (EKS) güvenli ve güvensiz ağlar arasında mevcut olan koruma mekanizmalarının bypass edilmesine olanak tanıyabilecek tüm dual-homed arayüzler (interface) devre dışı bırakılmalıdır. İkinci bir arayüz kullanılmasını zorunlu kılan bir durum mevcut ise söz konusu arayüzün bağlantısı güvenlik duvarı (Referans_Topoloji_Elektrik_Dağıtım: EKS-GD-01) üzerinden kontrollü olarak sağlanmalıdır.

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerinde (EKS) Seviye-2 ile Seviye-1 (Purdue modeline göre) ağlar arasında mevcut olan koruma mekanizmalarının bypass edilmesine olanak tanıyabilecek tüm dual-homed arayüzler interface'ler devre dışı bırakılmalıdır. İkinci bir arayüz kullanılmasını zorunlu kılan bir durum mevcut ise söz konusu arayüzün bağlantısı güvenlik duvarı üzerinden kontrollü olarak sağlanmalıdır. (Bu kontrol, altyapı yenileme projeleri sırasında ya da bu düzenleme yürürlüğe girdiği andan itibaren kurulacak olan altyapılarda aranacaktır.)

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerinde (EKS) endüstriyel ağ içerisinde bulunan ağ cihazları "Olay Yönetimi ve Süreklilik" başlığının ilgili maddelerini karşılamalıdır.

Elektrik dağıtım şebekeleri endüstriyel kontrol sistemlerinde (EKS) ana kontrol merkezi ve uç sahalarla olan haberleşmeler şifreli olarak gerçekleştirilmelidir. Şifreli iletilemeyen trafikler izole ağlar üzerinden taşınmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) geniş alan ağında (WAN) erişim noktası adı (APN) teknolojisi kullanılması durumunda, endüstriyel protokol trafiği bir APN bloğunda izole edilmelidir. Bu izolasyon işlemi aşağıda belirtilen maddeleri de kapsamalıdır; * EKS trafiklerinin taşındığı APN bloku/bloklarında sadece ilgili kuruluşa ait trafiklerin olması * EKS trafiklerinin taşındığı APN bloku/bloklarında sadece EKS trafiklerinin olması (Sayaç, mobil ekip cihazları vb. trafiğinin de bu ağlardan izolasyonu sağlanmalıdır.) * APN bloğundaki EKS trafikleri sadece bir tesise ait olmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) geniş alan ağında (WAN) erişim noktası adı (APN) teknolojisi kullanılması durumunda, trafo merkezleri arası erişimler uygun bir teknoloji ile kontrol altına alınarak kısıtlanmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) geniş alan ağında (WAN) erişim noktası adı (APN) teknolojisi kullanılması durumunda, İnternet Servis Sağlayıcısı (ISP) bünyesinde bulunan APN uç noktaları bir güvenlik duvarı üzerinde sonlandırılmalıdır. (Bu kontrol, altyapı yenileme projeleri sırasında ya da bu düzenleme yürürlüğe girdiği andan itibaren kurulacak olan altyapılarda aranacaktır.)

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) geniş alan ağında (WAN) erişim noktası adı (APN) teknolojisi kullanılması durumunda, İnternet Servis Sağlayıcısı (ISP) bünyesinde toplanan tüm trafiklerin, ISP güvenlik duvarı üzerinden kuruluşun güvenlik duvarına güvenli teknolojiler (IPsec VPN vb.) kullanılarak iletilmesi sağlanmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) geniş alan ağında (WAN) erişim noktası adı (APN) teknolojisi kullanılması durumunda, APN ağlarına giriş kısıtlaması uygulanmalıdır. Bunu sağlanması amacıyla kuruluş bünyesinde kimlik doğrulama mekanizmaları kurgulanmalı ve oluşturulacak yapı kuruluş tarafından yönetilmelidir. (Örneğin GSM numaralarının ağa erişimin kısıtlanabilmesi için kullanılabilmesi amacı ile RADIUS sunucular konumlandırılması. Söz konusu RADIUS sunucularının yönetimi kuruluşta olmalı ve kuruluş ağında konumlandırılmalıdır.)

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) geniş alan ağında (WAN), (APN) teknolojisi kullanılması durumunda, APN trafiğinin karıştırıcı (Jammer) sistemleri ile baskılanması sebebiyle servis kesintileri oluşabileceği kuruluş tarafından değerlendirilmeli ve ilgili trafik akışının sürekliliğinin sağlanabilmesi için gerekli tedbirler alınmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) geniş alan ağında (WAN) Radyo Frekans (RF) teknolojilerinin kullanılması durumunda endüstriyel protokol trafiği RF ağında izole edilmelidir. Bu izolasyon işlemi kapsamında haberleşme telsizleri gibi bileşenler endüstriyel trafik ağının dışında tutulmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) geniş alan ağında (WAN) Radyo Frekans (RF) teknolojilerinin kullanılması durumunda trafo merkezleri arası erişimler uygun bir teknoloji ile kontrol altına alınarak kısıtlanmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) geniş alan ağında (WAN) Radyo Frekans (RF) teknolojilerinin kullanılması durumunda, RF ağında olan trafo merkezlerine ait endüstriyel trafik kuruluşa ait güvenlik duvarı (Referans_Topoloji_Elektrik_Dağıtım: EKS-GD-01) üzerinde sonlandırılmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) geniş alan ağında (WAN) Radyo Frekans (RF) teknolojilerinin kullanılması durumunda, RF ağında araya girme ve elektromanyetik yayılım (Tempest) saldırılarına karşı önlem alınmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) geniş alan ağında (WAN) Radyo Frekans (RF) teknolojilerinin kullanılması durumunda, RF ağından gerçekleştirilecek endüstriyel haberleşme için trafiği şifreli olarak iletebilen teknolojiler kullanılmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) geniş alan ağında (WAN) Radyo Frekans (RF) teknolojilerinin kullanılması durumunda, servis kesintisine neden olabilecek saldırılara karşı önlem alınmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) geniş alan ağında (WAN) Radyo Frekans (RF) teknolojilerinin kullanılması durumunda, RF altyapısı olay yönetimi ve süreklilik alanının (domain) ilgili maddelerine uyumlu olacak şekilde tasarlanmalıdır. Mimari tasarımda tekil hata noktası (single point of failure) bulunmamalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) geniş alan ağında, yazılım tanımlı geniş alan ağı (SD-WAN) teknolojilerinin kullanılması durumunda, endüstriyel protokol trafiği için özelleştirilmiş izole bir SD-WAN mimarisi oluşturulmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) geniş alan ağında, yazılım tanımlı geniş alan ağı (SD-WAN) teknolojilerinin kullanılması durumunda, SD-WAN yapısı içerisinde gerçekleştirilen endüstriyel protokol haberleşmesi için trafiği şifreli olarak iletebilen teknolojiler kullanılmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) geniş alan ağında, yazılım tanımlı geniş alan ağı (SD-WAN) teknolojilerinin kullanılması durumunda SD-WAN ağında olan trafo merkezlerine ait endüstriyel trafik kuruluşa ait güvenlik duvarı (Referans_Topoloji_Elektrik_Dağıtım: EKS-GD-01) üzerinde sonlandırılmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) geniş alan ağında, yazılım tanımlı geniş alan ağı (SD-WAN) teknolojilerinin kullanılması durumunda trafo merkezleri arası erişimler uygun bir teknoloji ile kontrol altına alınarak kısıtlanmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) WAN trafiğinde MPLS teknolojilerinin kullanılması durumunda, MPLS omurgasında kuruluşa hizmet eden ağ cihazlarında güncelleme ve yama yönetimi gerçekleştirilmelidir. MPLS sağlayıcısı firma yaması bulunan acil ve kritik seviyeli güvenlik açıklıklarını giderdiğine dair yazılı kanıt sunabilmeli ve kanıtları saklayabilmelidir. (Bu kontrol, altyapı yenileme projeleri sırasında ya da bu düzenleme yürürlüğe girdiği andan itibaren kurulacak olan altyapılarda aranacaktır.)

Elektrik dağıtım şebekelerinde WAN trafiğinde MPLS teknolojilerinin kullanılması durumunda, MPLS omurgasında kuruluşa hizmet eden ağ cihazlarında güvenli yapılandırma prensipleri uygulanmalıdır. Ağ cihazlarındaki güvenlik yapılandırmaları belirli periyotlarla kuruluş ile paylaşılmalı ya da kuruluşa kalıcı "read-only" bir hesap tanımlanması sağlanmalıdır. (Bu kontrol, altyapı yenileme projeleri sırasında ya da bu düzenleme yürürlüğe girdiği andan itibaren kurulacak olan altyapılarda aranacaktır.)

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) WAN trafiğinde MPLS teknolojilerinin kullanılması durumunda, MPLS omurgasında kullanılan ağ cihazlarında basit ya da tahmin edilebilir kullanıcı adı ve parola bulundurulmamalıdır. Her bir ağ cihazında özel bir kullanıcı adı ve parola atanmalıdır. (Bu kontrol, altyapı yenileme projeleri sırasında ya da bu düzenleme yürürlüğe girdiği andan itibaren kurulacak olan altyapılarda aranacaktır.)

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) WAN trafiğinde MPLS teknolojilerinin kullanılması durumunda, MPLS omurgasında iletilen trafiğin şifreli olarak taşınması sağlanmalıdır. (Bu kontrol, altyapı yenileme projeleri sırasında ya da bu düzenleme yürürlüğe girdiği andan itibaren kurulacak olan altyapılarda aranacaktır.)

Elektrik dağıtım şebekesi endüstriyel kontrol sisteminde (EKS) endüstriyel ağların izolasyon ve segmentasyonunda yazılım tabanlı teknolojilere ek olarak donanım tabanlı teknolojiler de devreye alınmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sisteminde (EKS) kullanılan tüm ağ cihazları Tehdit ve Zafiyet Yönetimi başlığına uygun olarak işletilmelidir. Yükümlü kuruluşlar acil olan yamalar dışında yılda en az bir kez yama ve güncelleme yapmalıdırlar.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren sunucular için endüstriyel üretici tarafından onaylanan ve operasyonel sürekliliği tehlikeye atmayacak uç nokta (endpoint) güvenlik önlemleri (kötü amaçlı yazılım koruma uygulamaları, uç nokta tehdit tespit sistemi, uç nokta güvenlik duvarı vb.) tanımlanmalı ve uygulanmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren istemciler için endüstriyel üretici tarafından onaylanan ve operasyonel sürekliliği tehlikeye atmayacak uç nokta (endpoint) güvenlik önlemleri (kötü amaçlı yazılım koruma uygulamaları, uç nokta tehdit tespit sistemi, uç nokta güvenlik duvarı vb.) tanımlanmalı ve uygulanmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren istemcilerde harici medya kullanımları devre dışı bırakılmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren sunucularda harici medya kullanımları devre dışı bırakılmış olmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren sunucu ve istemcilerde yeni nesil USB tabanlı saldırılara karşı önlem alınmalıdır. (Rubber Ducky vb. )

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren sunucu ve istemcilerde "Olay Yönetimi ve Süreklilik" başlığı altındaki maddelere uygun olarak loglar tutulmalı ve yönetilmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren taşınabilir mühendislik iş istasyonları (dizüstü vb.) ilgili kuruluş envanterine kayıtlı olmalıdır. Mühendislik operasyonlarında alt yüklenicilere ait güvensiz iş istasyonları endüstriyel ağa dahil edilmemeli ve EKS bileşenlerine bağlanmamalıdır. Kuruluşa ait taşınabilir mühendislik iş istasyonlarının güvenlik seviyesi kuruluş içi ve kuruluş dışında aynı olmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren mühendislik iş istasyonları günlük operasyonel işlerde kullanılmamalıdır. (E-posta vb.)

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren sunucu ve istemcilerde disk şifreleme yöntemleri uygulanmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren sunucu ve istemcilerde güvenli BIOS yapılandırmaları devreye alınmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren sunucu ve istemcilerde sadece yetkili kullanıcıların uygulama kurmasına izin verilmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren sunucu ve istemcilerde sadece güvenlik onayından geçmiş uygulamaların yüklenmesine ve kullanılmasına izin verilmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren sunucu ve istemciler için kuruluşa özel güvenli bir kurulum imaj dosyası oluşturulmalı, periyodik olarak kontrol edilmeli ve güncellenmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren sunucu ve istemciler üzerinde internet üzerinden güvensiz uzak erişime imkan verecek yazılım ve servisler bulundurulmamalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren sunuculara bulundukları ağ içerisinden uzak erişim (VNC, SSH, RDP vb.) yapılması durumunda ek güvenlik kontrolleri uygulanmalıdır. (sanal ağ ayrıştırma, güvenli atlama noktası, uç nokta güvenlik duvarı ile erişim kısıtlamaları vb.)

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren sunucu ve istemciler üzerinde bulunan tüm uygulamalar lisanslı olmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren sunucu ve istemciler merkezi bir zamanlama sunucusundan senkronize edilmelidir. Bu senkronizasyon işlemi sırasında ağ seviyesinde sadece gerekli servis ve portlara izin verilmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren sunucu ve istemciler için kullanılan merkezi zamanlama sunucusunun GPS tabanlı olması halinde, GPS temelli saldırılara karşı koruma önlemleri alınmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren sunucu ve istemciler üzerinde bulunan kötü amaçlı yazılım koruma uygulamaları endüstriyel üreticinin de onayladığı aralıklarla güncellenmelidir. Bu aralıklar 4 aydan daha uzun süreli olarak tanımlanmamalıdır. (Bu kontrol, altyapı yenileme projeleri sırasında ya da bu düzenleme yürürlüğe girdiği andan itibaren kurulacak olan altyapılarda aranacaktır.)

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren sunucu ve istemciler üzerinde bulunan kötü amaçlı yazılım koruma uygulamaları yüksek yetkili kullanıcılar tarafından da dahil olmak üzere devre dışı bırakılamamalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren sunucu ve istemcilerin işletim sistemleri endüstriyel üreticinin de onayladığı tanımlı aralıklarla güncellenmelidir. Bu aralıklar 4 aydan daha uzun süreli olarak tanımlanmamalıdır. (Bu kontrol, altyapı yenileme projeleri sırasında ya da bu düzenleme yürürlüğe girdiği andan itibaren kurulacak olan altyapılarda aranacaktır.)

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren sunucu ve istemciler üzerinde bulunan uygulamalar, üretici güncelleme ve yamalarının yayınlanmış olma ihtimaline karşı belirlenen aralıklarla kontrol edilmelidir. Güvenlik açısından önem arz eden güncellemeler endüstriyel üretici gözetiminde gerçekleştirilmelidir. (Bu kontrol, altyapı yenileme projeleri sırasında ya da bu düzenleme yürürlüğe girdiği andan itibaren kurulacak olan altyapılarda aranacaktır.)

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren sunucu ve istemcilerin tüm gereksiz kablolu ve kablosuz ağ arayüzleri devre dışı bırakılmalıdır. Ek olarak tüm gereksiz servis ve portlar devre dışı bırakılmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren sunucu ve istemcilerin ağ servisleri yönetiminde "Endüstriyel Ağ Güvenliği" başlığının ilgili maddelerine uygun hareket edilmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren sunucu ve istemcilerde IPv6 ağ arayüzleri devre dışı bırakılmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren sunucu ve istemcilerde imha yönetimi kuruluşun belirlediği politikalar doğrultusunda gerçekleştirilmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) içerisinde hizmet veren sunucu ve istemcilerde beyaz liste (Whitelisting) uygulamaları devreye alınmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) etki alanı (domain) mimarisi kullanılması durumunda endüstriyel etki alanı ile KBS etki alanı birbirinden tamamiyle izole edilmelidir. (Bu amaçla trust, parent-child, farklı OU gibi yöntemler kullanılmamalıdır.)

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) etki alanı (domain) mimarisi kullanılması durumunda, endüstriyel etki alanının kapsamı sadece ilgili endüstriyel kontrol sistemini işleten kuruluş ile sınırlı olmalıdır. Üreticinin şablon olarak hazırladığı ya da farklı ortamlarda kullandığı etki alanı yapıları kuruluş endüstriyel kontrol sistemleri içerisinde kullanılmamalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) etki alanı (domain) mimarisi kullanılması durumunda, ortak erişime açık klasörler içerisindeki dosyalarda yüksek yetkili kullanıcı bilgileri gömülü olarak saklanmamalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) etki alanı (domain) mimarisi kullanılması durumunda, etki alanı yöneticisine (domain controller) sadece gerekli protokoller üzerinden erişimi mümkün kılacak kısıtlamalar uygulanmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) etki alanı (domain) mimarisi kullanılması durumunda, etki alanı yöneticisi (domain controller) üzerinde gerekli olmayan tüm ağ servisleri devre dışı bırakılmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) etki alanı (domain) mimarisi kullanılması durumunda, etki alanı yöneticisi (domain controller) yedekli mimaride tasarlanmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) etki alanı (domain) mimarisi kullanılması durumunda, etki alanı bileşenlerinde üretici tarafından sıkça kullanılan kullanıcı adı ve parolalar bulundurulmamalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) etki alanı (domain) mimarisi kullanılması durumunda, etki alanı yöneticisi (domain controller) sunucusunun tekil görev için kullanılması sağlanmalıdır. DHCP, DNS ve dosya paylaşım vb. servisler için farklı sunucular konumlandırılmalıdır. (Bu kontrol, altyapı yenileme projeleri sırasında ya da bu düzenleme yürürlüğe girdiği andan itibaren kurulacak olan altyapılarda aranacaktır.)

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) etki alanı (domain) mimarisi kullanılması durumunda, etki alanına ait tüm bileşenler yama yönetim politikalarına uygun olarak yönetilmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) etki alanı (domain) mimarisi kullanılması durumunda, etki alanında bulunan tüm bileşenler "Tehdit ve Zafiyet Yönetim" başlığına uygun olarak güvenlik denetimi ve sızma testlerine tabi tutulmalıdır. (İstemci, sunucu, konfigürasyon, GPO vb.)

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) etki alanı (domain) mimarisi kullanılması durumunda, etki alanında bulunan sunucular için güvenli konfigürasyon kontrol listesi oluşturmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) etki alanı (domain) mimarisi kullanılması durumunda, etki alanında bulunan sunucular oluşturulan güvenli konfigürasyon kontrol listesine göre periyodik gözden geçirilmelidir. Konfigürasyon değişikliklerini anlık olarak loglayacak yapılandırmalar devreye alınmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) etki alanı (domain) mimarisi kullanılması durumunda, etki alanında bulunan Grup İlkeleri (GPO) güvenli bir şekilde uygulanmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS), operatörler günlük operasyonları gerçekleştirdikleri arayüzler (HMI) üzerinde operasyonu gerçekleştirmek için gerekli olan en düşük yetki ile çalışmalıdır. Arayüzler (HMI) yetki aşımına izin vermeyecek şekilde yapılandırmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) kullanılan arayüzler (HMI) devre dışı bırakma (bypass) ve kaçış saldırılarını engelleyebilecek şekilde yapılandırılmalıdır. Bu yapılandırmalar "Tehdit ve Zafiyet Yönetim" başlığına uygun şekilde periyodik olarak test edilmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) yönelik tehditlerin yönetilebilmesi için gerekli bilgi kaynakları belirlenmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) yönelik tehditlerin yönetilebilmesi amacı ile belirlenen kaynaklardan siber güvenlik tehdit bilgisi toplanmalı ve işlenmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinin (EKS) güvenliği ve sürekliliği için risk teşkil edebilecek tehditler belirlenmeli ve bu tehditlerin yönetimi için iyileştirme aksiyonları belirtilmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) yönelik tehditlerin profillendirilmesi için tehdit hakkında en az aşağıdaki bilgiler edinilmelidir. -Tehdidin hedefi -Kabiliyetleri -Tehdit hedefinin endüstriyel operasyondaki önemi

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) yönelik tehditlerin yönetilebilmesi için belirlenen bilgi kaynakları önceliklendirilmeli ve sürekli olarak takip edilmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) yönelik risk teşkil edebileceği değerlendirilen tehditler analiz edilmeli, sınıflandırmalı ve önceliklendirilmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) yönelik zafiyetlerin yönetilebilmesi için gerekli bilgi kaynakları belirlenmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) yönelik tehditlerin yönetilebilmesi amacı ile belirlenen kaynaklardan siber güvenlik zafiyet bilgisi toplanmalı ve işlenmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinin (EKS) güvenliği ve sürekliliği için risk teşkil edebilecek zafiyetler belirlenmeli ve bu zafiyetlerin yönetimi için iyileştirme aksiyonları belirtilmelidir.

"Enerji Sektöründe Kullanılan Endüstriyel Kontrol Sistemleri İçin Güvenlik Analiz ve Test Usul ve Esasları"nın ilgili maddeleri doğrultusunda elektrik dağıtım şebekesi endüstriyel kontrol sistemleri (EKS) için güvenlik analizleri ve testleri gerçekleştirilmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) yönelik risk teşkil edebileceği değerlendirilen zafiyetler analiz edilmeli, sınıflandırılmalı ve önceliklendirilmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) yönelik risk teşkil edebileceği değerlendirilen zafiyetler önceliklerine göre yönetilmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) bileşenlerine ait siber güvenlik yamaları "İstemci ve Sunucu Güvenliği" başlığına uygun olacak şekilde yamaların operasyonlara olan etkisi de gözden geçirilerek uygulanmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) ilişkin tehdit ve zafiyet yönetim yaklaşımı dokümante edilmiş olmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) ilişkin tehdit ve zafiyet yönetim sürecinde ihtiyaç duyulabilecek tüm üçüncü taraflar belirlenmeli ve bu sürece dahil edilmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) ilişkin tehdit ve zafiyet yönetimi için gerekli standart, kılavuz ve yasal mevzuatlar belirlenmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) ilişkin tehdit istihbaratı, bir bütün olarak izlenmelidir.

Tehdit yönetimi kapsamında arz güvenliğini riske atabilecek, doğal afetler, terör vb. gibi bilgiler de bütüncül bir yaklaşım sergileyecek şekilde değerlendirilmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) ilişkin yerel ve küresel tehdit istihbarat kaynakları bir bütün olarak yönetilmelidir. (Bu kaynaklar üretici sayfaları, küresel bilgilendirme sayfaları gibi kaynaklar olabilir.)

KBS ve EKS'e ilişkin tehdit istihbarat kaynakları bir bütün olarak yönetilmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) ilişkin tehditler (saldırgan aktiviteleri) gerçek zamanlı olarak izlenebilmelidir. Bu izleme, istemci ve sunucu üzerinden bilgi toplanarak ve ağ trafiği takip edilerek gerçekleştirilebilir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) ilişkin bir saldırı tespiti yapılması durumunda, söz konusu saldırılar sınıflandırılmalıdır. (operasyonel tehditler, siber güvenlik tehditleri, fiziksel, ağ tehditleri vb.)

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) ilişkin zafiyet analizi "Enerji Sektöründe Kullanılan Endüstriyel Kontrol Sistemleri İçin Güvenlik Analiz ve Test Usul ve Esasları"nın ilgili maddelerine göre aktif veya pasif yöntemlerle (manuel ya da otomatize araçlarla) en az yılda bir kez gerçekleştirilebilir durumda olmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) ilişkin zafiyet analizi "Enerji Sektöründe Kullanılan Endüstriyel Kontrol Sistemlerinde Bilişim Güvenliği Yönetmeliği"nin ilgili maddelerine uygun yöntemlerle gerçekleştirilmeli ve en az aşağıda belirtilen bileşenleri kapsamalıdır. -EKS sunucu ve istemci işletim sistemleri -Kontrol katmanı bileşenleri (PLC/RTU, Röle, Giriş/Çıkış (I/O) Modüleri vb.) -Sayaçlar, ölçüm cihazları -Dönüştürücüler (Protokol ve seri/ethernet) -Ağ cihazları -Endüstriyel uygulama yazılımları -Siber güvenlik teknolojileri

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) ilişkin zafiyet analizleri farklı kaynakları girdi olarak kullanmalıdır. (Sızma testleri, güvenlik testleri, analizleri, zafiyet taramaları vb.)

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) ilişkin zafiyet analizleri için otomatize bir araç kullanılacaksa seçilen aracın teknolojisi, protokol desteği ilgili altyapıya uygun olmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) ilişkin siber güvenlik zafiyetleri bir yaşam döngüsü şeklinde yönetilmelidir. (Tespit, iyileştirme, doğrulama, kapatma, kabul vb.)

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) ilişkin tespit edilen her bir siber güvenlik zafiyeti için ilgili birim ve personellere sorumluluk ataması gerçekleştirilmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) ilişkin risk analizi, sızma testi, güvenlik analizi çıktılarının eğilimi sürekli olarak izlenmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) ilişkin zafiyet yönetimi faaliyetleri ana kontrol ve acil/yedek kontrol merkezleri bileşenlerini içermelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) ilişkin zafiyet yönetimi faaliyetleri uç saha bileşenlerini (ağ, haberleşme, çevirici, protokol vb.) içermelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) ilişkin zafiyet yönetimi faaliyetleri endüstriyel kontrol sistemlerinin bulunduğu tüm fiziksel lokasyonları içermelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerine (EKS) ilişkin zafiyet yönetimi faaliyetleri, EKS varlıklarının sürüm bilgisinden zafiyet tespitine imkan vermelidir. Bu amaçla manuel veya otomatize yöntemler kullanılabilmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemleri (EKS) için dokümante edilmiş bir endüstriyel siber güvenlik risk yönetimi stratejisi olmalıdır. Risk yönetim metodolojisi endüstriyel altyapılar için özelleştirilmiş olmalıdır.

Endüstriyel siber güvenlik risk yönetim stratejisi, endüstriyel operasyonlara etkinin dikkate alınması da dahil olmak üzere, risk önceliklendirmesi için bir yaklaşıma sahip olmalıdır. Bu strateji endüstriyel operasyonlar dikkate alınarak hazırlanmalıdır.

Belirlenen riskler, risk azaltma, risk kabulü, riskten kaçınma veya riskin transferi işlemleri çerçevesinde yönetilmelidir. Bu sürece ilişkin gerekli dokümantasyon oluşturulmalı ve bu dokümanlar üç yıl süreyle saklanmalıdır.

Risk değerlendirme dokümanı asgari olarak, “risk numarası, risk kategorisi, riskin oluşması için koşullar, zafiyet, tehdit, risk, riski taşıyan bileşen/bileşen grubu, riskten etkilenen bileşen/bileşen grubu, riskin etki değeri, riskin gerçekleşme olasılığı” başlıklarını içermelidir.

Risk değerlendirme dokümanı, endüstriyel operasyonlarda veya bilgi sisteminde (yeni tehdit ve zafiyetler belirlendiği durumlar dahil olmak üzere) önemli değişiklikler olduğunda veya sistemin güvenlik durumunu etkileyebilecek diğer koşullar oluştuğunda güncellenmelidir.

Riskin gerçekleşme olasılığı “normal, yüksek ya da çok yüksek” dereceleri kullanılarak değerlendirilmelidir.

Risk işleme planları, risklerin azaltılmasına ilişkin uygulanması veya alınması gereken önlem ve kontrolleri içermelidir.

Tespit edilen riskler analiz edilerek, risk yönetimi stratejisine uygun olarak işleme faaliyetleri önceliklendirilmelidir.

Tespit edilen riskler, risk yönetimi stratejisine uygun olarak izlenmelidir.

Risk analizi sonuçları, ağ (KBS ve/veya EKS) mimarisine ait risk değerlendirme sonuçlarını da içermelidir. Risk analizlerinde mimari hatalar ve zafiyetler de girdi olarak kullanılmalıdır.

Endüstriyel siber güvenlik risk yönetimi faaliyetleri için oluşturulan dokümanlar düzenli olarak takip edilmelidir. (Strateji dokümanları, politika ve prosedürler, formlar vb.)

Risk yönetimi faaliyetleri için paydaşlar belirlenmeli ve risk yönetimi sürecine dahil edilmelidir.

Risk yönetimi faaliyetlerini desteklemek için yeterli kaynak (insan kaynağı, finansman vb.) sağlanmalıdır.

Risk yönetimi faaliyetlerinin içeriğinde yer alacak standartlar ve/veya kılavuzlar belirlenmelidir. (NIST 800-53, NIST800-82, ISA 62443, ISO 27019, C2M2 vb.)

Risk yönetim metodolojisi nitel ve nicel olarak ölçüme olanak tanımalıdır.

Risk yönetim metodolojisi risk kabul kriterlerini ve risk kabul değerini tanımlamalıdır.

Risk yönetim metodolojisi risk sahibini tanımlamalıdır. Riskler ilgili risk sahibine atanmalıdır.

Endüstriyel siber güvenlik risk belirleme sürecinde endüstriyel operasyonlara etkiye göre derecelendirme yapılmalıdır.

Risk yönetim metodolojisi tekrar edilebilir, karşılaştırılabilir ve tutarlı sonuçlar üretebilir olmalıdır.

Risk yönetim faaliyetleri, ana kontrol/yedek kontrol odalarını ve bileşenlerini içermelidir.

Risk yönetim faaliyetleri, trafo merkezleri ve bileşenlerini içermelidir.

Risk yönetim faaliyetleri, endüstriyel sistemlerin olduğu tüm fiziksel lokasyonlar için fiziksel güvenlik risklerini içermelidir.

Risk yönetim faaliyetleri endüstriyel iletişim protokollerini içermelidir.

Risk Yönetim faaliyetleri uç sahalarla haberleşme ve ağ güvenlik risklerini içermelidir.

Risk yönetimi faaliyetlerinde, Enerji Sektöründe EKS Güvenlik Kontrolleri başlıkları en az aşağıdaki bileşenler için uygulanmalıdır. - İş istasyonu riskleri - İnsan Makine arayüzü (HMI) iş istasyonu riskleri - Sunucu tabanlı riskler (SCADA, OPC, Historian vb.) - Endüstriyel yazılım uygulamaları riskleri (SCADA yazılımı) - Siber güvenlik uygulama ve çözümleri - Mühendislik iş istasyonu riskleri - Endüstriyel ağ ve ekipmanları güvenlik riskleri - Endüstriyel altyapı kontrol katmanı ekipmanları güvenlik riskleri (PLC, RTU, Röle) - Sayaçlar - KBS ağları entegrasyon riskleri (CRM, CBS, OMS, ERP, Çağrı Merkezi vb.)

Risk yönetimi üçüncü taraf bilgi güvenliği risklerini içermelidir.

Risk yönetim süreci ISO 27001 BGYS ve CB-DDO formlarına uygun olarak işletilmelidir.

Risk yönetim süreci kapsamında artık risk yönetim ilkeleri tanımlanmalıdır. Risk işleme sonrası kalan artık riskler; risk sahibi ve üst yönetim tarafından onaylanmalıdır.

Risk yönetim süreci, operasyonel süreklilik risklerini içermelidir.

Siber güvenlik riskleri ethernet ve seri iletişim tabanlı saldırı vektörleri dikkate alınarak belirlenmelidir.

Risk yönetim sürecinde; sızma testleri, güvenlik analizleri, iç denetim çıktıları da girdi olarak kullanılmalıdır.

Risk değerlendirme sürecinde her bir endüstriyel siber güvenlik riskinin, çevre etkisi, finansal etkisi ve insana etkisi (abone sayısı) belirlenmelidir.

Risk değerlendirme sürecinde her bir endüstriyel siber güvenlik riskinin diğer kritik altyapılara olan etkisi de değerlendirilmelidir. (Su yönetimi, haberleşme, ulaşım, bankacılık vb.)

Risk yönetim süreci insan temelli riskleri de içermelidir. (Personel, operator, mühendis, KBS çalışanı, siber güvenlik çalışanı, üretici ve alt yüklenici çalışanları)

EKS (EKS ile etkileşimi olan KBS varlıklarını da içerecek şekilde) ve bilgi varlıkları için envanter oluşturulmalıdır. Envanter Yönetimi amaca özel olarak oluşturulmalıdır.

Bu envanter, siber saldırı hedefi olabilecek her türlü bileşeni de içermelidir. (Yazıcı, IoT Cihazlar, kartlı geçiş sistemi vb.)

EKS (EKS ile etkileşimi olan KBS varlıklarını da içerecek şekilde) ve bilgi varlıkları envanteri, siber güvenlik süreçlerini destekleyen öznitelikler içermelidir. (Konum, varlık önceliği, işletim sistemi ve donanım yazılımı sürümleri, varlık sahibi, varlık emanetçisi vb.) Envanterdeki KBS ve EKS varlıklarına, bilgi varlıklarının fonksiyon ve görev önemine göre tanımlanmış CB DDO kriterlerini de göz önünde bulundurarak öncelik verilmelidir.

EKS (EKS ile etkileşimi olan KBS varlıklarını da içerecek şekilde) ve bilgi varlıkları için oluşturulan envanter periyodik olarak ve sistem değişikliği durumunda güncellenmelidir.

EKS (EKS ile etkileşimi olan KBS varlıklarını da içerecek şekilde) ve bilgi varlıkları envanteri, varlık kullanım ömrü (end-of-life) ve üretici desteğinin sonlanması (end-of-support) gibi bilgileri içermelidir.

Envanterde kullanım ömrü sonuna gelmiş veya değişimi yapılacak olan KBS ve EKS varlıklarına ait veriler güvenli bir şekilde silinmelidir.

Elektrik dağıtım prosesinin devamlılığı için önemli olan bilgi varlıklarının envanteri oluşturulmalıdır. (Bu bilgi varlıkları, SCADA analog komutlar, özel konfigürasyon parametreleri ve müşteri bilgileri olabilir) Envanter yönetimi endüstriyel prosese özel olmalıdır.

Temel konfigürasyon mimarisi oluşturulmalıdır. Konfigürasyonlarda siber güvenlik açısından gerekli olan minimum isterler dokümante edilmelidir. (IP adresleri, parolalar, servis/port, kritik set değerleri vb.)

Temel konfigürasyon mimarisi, varlıklara konfigürasyon dağıtımı ve geri yükleme süreçlerinde kullanılmalıdır.

Yeni gerçekleştirilen varlık konfigürasyonlarının, temel konfigürasyon mimarisine göre tutarlılıkları izlenmelidir.

Temel konfigürasyon mimarisi, periyodik olarak, sistem değişiklikleri ve siber güvenlik mimarisindeki değişikliklere göre gözden geçirilmeli ve güncellenmelidir.

Varlıklarda yapılacak temel mimari konfigürasyon değişiklikleri, uygulanmadan önce, kurum tarafından tanımlanmış ve dokümante edilmiş olan sistem etkisi ve siber güvenlik isterlerine göre değerlendirilmeli, test edilmeli ve onaylanmalıdır. Bu testler siber güvenlik gereksinimlerini karşılamalıdır. Değişikliklere ilişkin kayıtlar tutulmalıdır.

Değişim yönetimi takibi, varlıkların tüm yaşam döngüsünü ele almalıdır. (Satın alma, dağıtım, operasyon, kullanımdan kaldırılması vb. )

Değişiklik kayıtları, varlıkların siber güvenlik gereksinimlerini etkileyen değişikliklerle ilgili bilgileri de içermelidir.

Varlık yönetim sürecinde dokümante edilmiş prosedürler oluşturulmalıdır. İlgili prosedüreler takip edilmeli ve sürdürülmelidir. Varlık yönetim sürecinde gerekli üst yönetim desteği sağlanmalıdır. Süreçten sorumlu personeller atanmalı ve gerekli yetkilendirilmeler yapılmalıdır. Varlık yönetim sürecinin etkinliği değerlendirilmeli ve izlenmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) kullanılan operatör iş istasyonlarında, sunucularda, mühendislik iş istayonlarında, uygulamalarda ve ağ cihazlarında tahmin edilebilir ya da basit kullanıcı adı/parola kullanılmamalıdır. Sistem tarafından karmaşık parola atamaları zorlanmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) kullanılan operatör iş istasyonlarında, sunucularda, mühendislik iş istayonlarında, uygulamalarda ve ağ cihazlarında alt yükleniciler tarafından atanan parolalar değiştirilmelidir. Her bir tesis kendine özel kullanıcı adı ve parolalara sahip olmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) kullanılan bileşenlerde operatör yetkisi ve mühendislik yetkisi ayrıştırılmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) uygulamalarında (SCADA) operatörlerin yaptıkları işlemlere göre yetki ayrıştırması yapılmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) uygulamalarına (SCADA) ait kullanıcı ve yetkilendirme dosyaları, kullanıcıların erişebildiği alanlarda saklanmamalıdır. Bu tür dosyalara erişimler kısıtlanmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sisteminde (EKS) işletim sistemi kullanıcılarıyla endüstriyel uygulama (SCADA) kullanıcıları birbirinden ayrıştırılmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) operatör kullanıcılarına ait hesaplar tekil kullanıcı esasına göre oluşturulmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) bileşenlerine ait kullanıcı adı ve parolalar ilgili sistemden farklı bir dijital ortamda ya da fiziksel olarak saklanmamalıdır. (Dosya sunucusu, excel dosyaları, kağıt ve panolarda saklama vb.)

Elektrik dağıtım şebekesi endüstriyel kontrol sisteminde (EKS) gerçekleştirilecek kontrol işlemleri (yüksek yetkili manevra vb.) için ikinci bir kimlik doğrulama mekanizması kurgulanmalı ya da söz konusu işlemler için "izleme" ve "kontrol" yetkileri ayrıştırılmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) uygulamalarında (SCADA) mevcut kullanıcıdan farklı bir kullanıcı ya da yetkiye geçiş yapılırken parola doğrulaması yapılmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) uygulamalarına (SCADA) ait parola bilgileri tersine mühendislik ile elde edilemeyecek şekilde oluşturulmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) bileşenlerine uzaktan erişim için kullanılacak kullanıcı adı ve parolalar, endüstriyel bileşenlere ait kullanıcı adı ve parolalardan farklı olmalıdır.

KBS altyapılarında kullanılan ve elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) bileşenlerine entegrasyonu olan sistem ve uygulamalara ait kullanıcı adı ve parolalar, endüstriyel bileşenler üzerinde tanımlı kullanıcı adı ve parolalardan farklı olmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) bileşenlerine uzaktan erişim sağlanması durumunda iki faktörlü kimlik doğrulama mekanizmaları devreye alınmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) bileşenlerine uzaktan erişim sağlanması durumunda uzak erişim sağlayan her bir kullanıcıya özel kullanıcı adı ve parola bilgisi atanmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) bileşenlerine uzaktan erişim için kullanılacak hesaplar geçici süre ile oluşturulmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) bileşenlerine uzaktan erişim sağlanması durumunda erişime ilişkin tüm kayıtlar saklanmalıdır. (Erişim talebi, erişim onayı, erişim sırasında oluşan sistem kayıtları vb.)

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) bileşenlerine uzaktan erişim için bir atlama noktası (jump box) kullanılıyorsa ilgili bileşen üzerinde bulunan hesapların ele geçirilmesini önlemek amacıyla gerekli sıkılaştırmalar devreye alınmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) bileşenlerine uzaktan erişim sağlanması durumunda, uzak erişimin sadece izin verilen bileşen ve sisteme yapılmasını garanti altına alacak ağ ve sistem tabanlı erişim kısıtlamaları uygulanmalıdır.

Olay müdahale politika ve prosedürleri, elektrik dağıtım şebekesi endüstriyel kontrol sistemlerini (EKS) kapsayacak şekilde hazırlanmalıdır.

Kurumsal SOME rehberinde adreslendiği şekilde kurum içi rol ve sorumluluklara uygun olarak olay müdahale eğitimleri alınmalıdır.

Olay müdahale eğitimleri siber güvenlik kaynaklı olarak oluşabilecek kriz yönetimini de içermelidir.

Olay müdahale eğitimleri elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) siber güvenlik kaynaklı olarak oluşabilecek "görünürlük kaybı" ve "kontrol kaybı" etkilerine sahip senaryoları içermelidir.

Kuruluş, olay müdahale testleri kapsamında, kendi yetkinliklerini belirli periyotlarla simülasyonlar aracılığı ile test etmelidir.

Olay müdahale testleri, iş sürekliliği, acil durum yönetimi, kriz yönetimi gibi süreç ve planlarla koordine olarak gerçekleştirilmelidir.

Olay müdahale testleri kapsamında performans ölçümleri gerçekleştirilmelidir. (Ekip performansı, sistem yeterlilikleri, testlerin uygunluğu, birimler arası koordinasyon yeteneği vb.)

Olay müdahale için gerekli yöntemler tanımlanmalı ve uygulanmalıdır. (Log toplama, ağ trafiği toplama, adli bilişim verisi toplama vb.)

Olay müdahale kapsamında olaylara otomatik cevap verme süreçleri tanımlanmalıdır. (Route ekleme çıkarma, kural ekleme çıkarma vb.)

Olay müdahale kapsamında, endüstriyel operasyonların sürekliliğine ilişkin senaryolar tanımlanmalıdır. (Manuel operasyona geçiş, yedek kontrol merkezine geçiş vb.)

Olay müdahale yaklaşımı iç tehditlerin (çalışanlar, ağa erişim yetkisi olan alt yükleniciler ve üreticiler vb.) tespitini içerecek şekilde tasarlanmalıdır.

Olay müdahale kapsamında, kurum içi birimlerin koordinasyonu tanımlanmalıdır. (İK, İşletme Birimleri, Hukuk vb.) Her bir olay için bilgi verilen, raporlanan, sorumlu kişi/birim şeklinde sınıflandırmalar yapılmalıdır.

Olay müdahale ve sonrasında, kurum dışı otoritelerle iletişim ve koordinasyon gereklilikleri tanımlanmalıdır.

Olay müdahale ve sonrasında, gerek duyulması halinde kuruluşa hizmet veren alt yüklenici ve üreticilerle gerçekleştirilecek koordinasyon süreci tanımlanmalıdır.

Olay müdahale ekibi, Kurumsal SOME yönergeleri kapsamında oluşturulmalıdır.

Tüm olay müdahale süreçleri Kurumsal SOME Rehberine uyumlu olmalıdır.

Olay müdahale süreçleri, zararlı yazılım analizi ve adli bilişim analizini kapsamalıdır.

Olay müdahale kapsamında, kurum anormal durum tespit yeteneklerine sahip olmalıdır. Kurumlar bunu sağlamak için istemci/sunucu, uygulama veya ağ tabanlı bir çözüm kullanabilir.

Olay müdahale süreçleri, medya ve müşteri/abone iletişimlerini içermelidir.

Olay yönetimi süreci, elektrik dağıtım operasyonlarına özel endüstriyel proses, varlık ve ekipmanlara uyumlu şekilde tanımlanmalıdır.

Olay izleme süreçleri endüstriyel kontrol sistemleri (EKS) için de devreye alınmalıdır.

Olay raporlama süreçleri Kurumsal SOME rehberine uyumlu olmalıdır.

Olay raporlama süreçleri, olayın yaşanmasına neden olan zafiyetlerin bilgisini içermelidir.

Kurum kendine özgü olay müdahale planlarını geliştirmelidir. Bu planlar en az aşağıdaki başlıkları içermelidir. - Olay müdahale organizasyonu (Roller ve görevler) - Olay tanımı (Olay sınıflandırma) - Raporlama (Olay bildirimi, analizi) - Kaynakların sağlanması - Bilgi paylaşımı (Kurum ve kurum dışı iletişim esasları) - Doküman yönetimi (Doküman güncelleme ve dağıtımı) - Kök neden analizi (Olayların kök neden analiz yöntemi ve raporlaması. Üçüncü taraflarda meydana gelebilecek olayların kök neden analizi hususuna sözleşmelerde yer verilmelidir.) - Olaylardan alınan dersler (lessons learned) ve olayların tekrarlanmasının engellenmesi - Olay müdahale simülasyonu ve başarı performans ölçümü

Tespit edilen olaylar belirli bir rol ya da kişiye atanmalıdır.

Olay tespiti için kriterler belirlenmelidir. (Olay tanımı, nereye bakılacağı vb.)

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) bünyesindeki kontrol merkezleri ve "Endüstriyel Ağ Güvenliği" başlığında belirlenen kritik trafo merkezlerinde bulunan ağ ve güvenlik cihazları log üretme kapasitesine sahip olmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) bünyesindeki kontrol merkezlerinde bulunan ağ ve güvenlik cihazları log yönlendirme kapasitesine sahip olmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) bünyesindeki kontrol merkezlerinde bulunan ağ ve güvenlik cihazları log derecelendirme veya sınıflandırma kapasitesine sahip olmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) bünyesindeki kontrol merkezlerinde bulunan ağ ve güvenlik cihazlarına ilişkin loglar merkezi olarak toplanmalı, işlenmeli ve anlamlandırılmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) bünyesinde bulunan ve kritik olarak belirlenen trafo merkezlerinde bulunan ağ cihazları log yönlendirme kapasitesine sahip olmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) bünyesinde bulunan ve kritik olarak belirlenen trafo merkezlerinde bulunan ağ cihazları log derecelendirme veya sınıflandırma kapasitesine sahip olmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) bünyesinde bulunan ve kritik olarak belirlenen trafo merkezlerinde bulunan ağ cihazlarına ilişkin log'lar merkezi olarak toplanmalı, işlenmeli ve anlamlandırılmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) bünyesinde bulunan trafo merkezlerindeki endüstriyel cihazlar (RTU, IED, Röle) log tutma kapasitesine sahip olmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) bünyesinde bulunan trafo merkezlerindeki endüstriyel cihazlar (RTU, IED, Röle) log yönlendirme kapasitesine sahip olmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) bünyesinde bulunan trafo merkezlerindeki endüstriyel cihazlar (RTU, IED, Röle) log derecelendirme veya sınıflandırma kapasitesine sahip olmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) bünyesinde bulunan trafo merkezlerindeki endüstriyel cihazlara (RTU, IED, Röle) ilişkin loglar merkezi olarak toplanmalı, işlenmeli ve anlamlandırılmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) bünyesinde bulunan yazılım ve uygulamalar (SCADA yazılımları, veri toplama yazılımları, sayaç yönetim uygulamaları vb.) log üretme kapasitesine sahip olmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) bünyesinde bulunan yazılım ve uygulamalar (SCADA yazılımları, veri toplama yazılımları, sayaç yönetim uygulamaları vb.) log yönlendirme kapasitesine sahip olmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) bünyesinde bulunan yazılım ve uygulamalar (SCADA yazılımları, veri toplama yazılımları, sayaç yönetim uygulamaları vb.) log derecelendirme veya sınıflandırma kapasitesine sahip olmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemi (EKS) bünyesinde bulunan yazılım ve uygulamalara (SCADA yazılımları, veri toplama yazılımları, sayaç yönetim uygulamaları vb.) ilişkin loglar merkezi olarak toplanmalı, işlenmeli ve anlamlandırılmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) kullanılan akıllı sayaçlar log tutma, yönlendirme, derecelendirme ve sınıflandırma kapasitesine sahip olmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) kullanılan akıllı sayaçlara ilişkin loglar merkezi olarak toplanmalı, işlenmeli ve anlamlandırılmalıdır.

Olay yönetimi gerçekleştirebilmek için kullanılan tüm log kaynakları aynı saat dilimi üzerinden senkronize edilmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) bulunan istemci ve sunucularda aşağıdaki tipteki loglar tutulmalıdır. - İşletim sistemi logları - Bileşen üzerindeki güvenlik yazılımları logları (kötü amaçlı yazılım koruma uygulamaları, whitelisting uygulamaları) - Bileşen üzerinde bulunan diğer yazılımlara ilişkin loglar

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) bulunan istemci ve sunucular log yönlendirme kapasitesine sahip olmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) bulunan istemci ve sunucular log derecelendirme ve sınıflandırma kapasitesine sahip olmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) bulunan istemci ve sunucularda kayıt altına alınan loglar merkezi olarak toplanmalı, işlenmeli ve anlamlandırılmalıdır.

Olay tespit yetenekleri, tehdit, zafiyet ve risk yönetim süreçleri ile bütünleşik olmalıdır.

Hangi olayların USOM'a bildirileceğine dair ilişkin kriter tanımlanmalıdır. (operasyonların etkilenmesi, hizmet verememe, endüstriyel operasyonlara etki ve etkilerin dereceleri vb.) Olay bildirim kriteri belirli periyotlarla gözden geçirilmeli ve gerekli durumlarda güncellenmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) gerçekleşen siber güvenlik bildirimleri sürekli izlenerek ve analiz edilerek bildirim sürecinde girdi olarak kullanılabilmelidir.

Siber güvenlik bildirimlerinin siber güvenlik olayı olup olmadığına karar vermek için kriterler belirlenmelidir.

Olayların yaşam döngüsü uçtan uca takip edilmelidir. (Kime atandığı, nasıl çözüldüğü, kimin çözdüğü vb.)

Belirli olay ve bildirimlerin yaşanması durumunda kullanılacak iş sürekliliği planları geliştirilmelidir. (Hizmet kesintisi, operasyonel arıza vb.)

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) bulunan tüm ağ ve güvenlik cihazlarının konfigürasyonları periyodik olarak alınmalı, güvenli şekilde saklanmalı ve periyodik geri dönüş testleri gerçekleştirilmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) bulunan tüm endüstriyel ekipman, uygulama ve bileşenlerin lojik ve/veya konfigürasyonları periyodik olarak yedeklenmeli , yedekler güvenli şekilde saklanmalı ve periyodik geri dönüş testleri gerçekleştirilmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) bulunan istemci ve sunucuların imaj ve veri yedekleri periyodik olarak alınmalı, güvenli şekilde saklanmalı ve periyodik geri dönüş testleri gerçekleştirilmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) iş sürekliliği planları hazırlanırken olası olayların etkileri girdi olarak kullanılmalıdır. (Hizmet kesintisi, görüntü kaybı, kontrol kaybı, üretim kaybı vb.)

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) operasyonların devamlılığı için gerekli olan varlık ve süreçler iş sürekliliği planına dahil edilmelidir.

Hazırlanan süreklilik planları periyodik olarak test edilmeli ve gerekli durumlarda güncellenmelidir.

Alınan veri, imaj konfigürasyon/lojik yedekleri orijinal veri seviyesinde korunmalıdır.

Alınan tüm yedekler, mantıksal ve fiziksel olarak orjinal verilerden ayrıştırılmalıdır.

Operasyon açısından önem arz eden varlıklar için kurtarma süresi hedefleri (RTO) ve kurtarma noktası hedefleri (RPO) süreklilik planlarına dahil edilmelidir.

Hazırlanan süreklilik planlarının ne zaman devreye alınacağına dair kriter tanımlanmalıdır.

Hazırlanan süreklilik planı, tehdit, zafiyet ve risk yönetim süreçleri ile bütünleşik olarak işletilmelidir.

Süreklilik planının testleri ya da icrası sonucu oluşan sonuçlar plan ile karşılaştırmalı gerekli durumlarda güncellenmelidir.

(Ülkemizin yer aldığı coğrafyada yaşanan ve yaşanması olası doğal afetler göz önünde bulundurulduğunda)Kuruluşlar, ISO 22301 standardına sahip olmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) endüstriyel operasyonun sürekliliği için önem arz eden tüm kritik bileşenler yedekli yapıda olmalıdır. (Ağ ve güvenlik cihazları, sunucular, mühendislik iş istasyonları, kritik endüstriyel ekipmanlar vb.)

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) endüstriyel operasyonun sürekliliği için önem arz eden ağ bileşenleri için en az 1 adet olacak şekilde soğuk yedek (cold backup) tutulmalıdır. (Switch, router vb.)

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) endüstriyel operasyonun sürekliliği için önem arz eden güvenlik bileşenleri için en az bir adet soğuk yedek tutulmalıdır. (Güvenlik duvarı, IPS vb.)

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) endüstriyel operasyonun sürekliliği için önem arz eden supervisory katmanda yer alan sunucu/istemci için en az bir adet soğuk yedek tutulmalıdır.

Kurum, kurumsal misyon, iş süreci veya sistem düzeyinde tanımlanan acil durum planlama politikası; amaç, kapsam, roller, sorumluluklar, yönetim desteği, kurumsal varlıklar arasındaki koordinasyon ve uyumluluğu ele almalıdır . Acil durum planlama politikası; kurumun diğer politika ve prosedürleri ile uyumlu olmalıdır.

Mevcut acil durum planı, politika ve prosedürleri Kurum tarafından tanımlanan olay veya zaman periyotlarına göre gözden geçirilmeli ve güncellenmelidir.

Acil durum planlarında ilgili kişi ve birimlerin iletişim bilgileri yer almalıdır.

Acil durum planları, bir sistem kesintisinde, siber saldırı veya arıza durumlarına rağmen işletmenin misyon ve fonksiyonlarını sürdürmeyi ele almalıdır.

Acil durum planı, yetkisiz ifşa ve içeriğinin değiştirilmesine karşı korunmalıdır.

Acil durum planı, normal operasyonlara dönüş planlarını içermelidir.

Acil durum gereksinimlerini sağlamak için acil durum planı, harici hizmet sağlayıcıların acil durum planlarıyla koordine edilmelidir.

Kriz durumlarında personelin etkin müdahalesini kolaylaştırmak için acil durum eğitimleri periyodik olarak düzenlenmelidir.

Acil durum planları, simülasyon ortamlarında ya da yedek/acil durum kontrol merkezinde test edilmelidir.

Acil durum planları, bölge çapında genel bir hizmet kesintisi veya felaket durumunda planların çalıştırılabilmesi için gerekli önlemleri içermelidir.

Süreklilik gereksinimlerine uygun olarak kritik hizmet sağlayıcılar yedeklenmelidir. (Telekom hizmetleri vb.)

Kuruluşlar, hizmet sağlayıcılardan acil durum planlarını oluşturmalarını istemelidir. Hizmet sağlayıcıların acil durum planları periyodik olarak gözden geçirilmelidir.

Acil durum testleri kapsamında tüm yedeklilik senaryoları test edilmelidir.

Elektrik dağıtım şebekesi akıllı sayaç yapısında yer alan tüm bileşenlerin ve iletişim cihazlarının bir envanteri oluşturulmalıdır.

Elektrik dağıtım şebekesi akıllı sayaç mimarisinde yer alan tüm bileşenler "Enerji Sektöründe Kullanılan Endüstriyel Kontrol Sistemleri İçin Güvenlik Analiz ve Test Usul ve Esasları"nın ilgili maddelerine uygun şekilde periyodik olarak güvenlik testlerine tabi tutulmalıdır.

Elektrik dağıtım şebekesi akıllı sayaç yapısında yer alan tüm bileşenler risk yönetim süreci içerisinde değerlendirilmelidir.

Elektrik dağıtım şebekesi akıllı sayaç yapısı içerisinde gömülü yazılıma (firmware) sahip bileşenler için güvenli yapılandırma kontrol listesi hazırlanmalı ve işletme için minimum güvenlik kontrolleri belirlenmelidir. (Örnek referans: https://www.opencompute.org/documents/csis-firmware-security-best-practices-position-paper-version-1-0-pdf)

Elektrik dağıtım şebekesi akıllı sayaç yapısı içerisinde bulunan cihazlar üzerindeki debug arayüzleri (JTAG, SWD) müşteri ortamında devre dışı bırakılmalı veya uygun yetkilendirme yöntemleri ile aktif edilebilmelidir. (JTAG Enabling, SWD authentication vb.)

Elektrik dağıtım şebekesi akıllı sayaç yapısı içerisinde bulunan cihazlarda code Integrity/kod bütünlük koruma mekanizmaları sahaya gönderilmeden önce devreye alınmalı ve bu durumun korunması sağlanmalıdır. (Secure boot, boot konfigürasyonlarının devre dışı bırakılması vb.)

Akıllı cihazlar üzerinde kritik parametrelerin saklanması, cihaz kimliğinin değiştirilemez şekilde eşsiz bir anahtar ile ayırt edilebilmesi ve trust anchor (Root of Trust) amacıyla SE (Secure Element), HSM (Hardware Security Module), TPM (Trusted Platform Module), TEE (Trusted Execution Environment - ARM Trustzone) gibi bileşenler akıllı cihaz tarafından kullanılmalıdır.

Elektrik dağıtım şebekesi akıllı sayaç yapısında yer alan bileşenlerin üzerinde kullanılan üçüncü taraf kodlar statik kod analizi ile gözden geçirilmeli ve herhangi bir arka kapı (backdoor) olmadığı doğrulanmalıdır.

Elektrik dağıtım şebekesi akıllı sayaç yapısında yer alan bileşenler merkezi bir noktadan güvenli bir şekilde güncellenme yeteneğine sahip olmalıdır. [Secure-FOTA (Firmware Over the Air Update) vb.]

Elektrik dağıtım şebekesi akıllı sayaç mimarisinde yer alan sayaçlar log toplama mekanizmalarını desteklemelidir. Başarılı, başarısız kullanıcı giriş denemeleri, debug fonksiyonlarına erişim denemeleri gibi aktiviteler kayıt altına alınmalıdır. Bunlara ek olarak akıllı cihazlar fiziksel saldırılara karşı da log üretebilmelidir.

Elektrik dağıtım şebekesi akıllı sayaç yapısında yer alan bileşenlerden alınan log kayıtları en az olay tipi, zaman damgası, kaynak, sonuç bilgilerini içermelidir.

Elektrik dağıtım şebekesi akıllı sayaç yapısında yer alan bileşenler güvenilir bir zaman sunucusu üzerinden senkronize edilmelidir.

Elektrik dağıtım şebekesi akıllı sayaç yapısında yer alan bileşenlerden alınan loglar üzerinde kritik/hassas bilgilerin olmadığı doğrulanmalıdır. (Kullanıcı bilgisi, kriptografik anahtarlar vb.)

Elektrik dağıtım şebekesi akıllı sayaç yapısında yer alan bileşenlerden alınan loglar, ilgili bileşenler üzerinde ve toplama noktalarında uygun güvenlik kontrolleri ile korunmalıdır. Logların bileşenler üzerinden merkezi noktaya aktarımında güvenli iletişim teknolojileri kullanılmalıdır. (Anlık ya da cihaz üzerinden)

Elektrik dağıtım şebekesi akıllı sayaç yapısında yer alan bileşenlerden alınan logların saklanmasına ilişkin süreler ilgili yasal düzenlemelere uygun olarak belirlenmelidir.

Elektrik dağıtım şebekesi akıllı sayaç yapısında kullanılan bileşenler üzerinde tutulan, işlenen ve saklanan tüm veriler için ilgili yasal düzenlemelere uygun hareket edilmelidir. (KVKK vb.)

Elektrik dağıtım şebekesi akıllı sayaç yapısında kullanılan bileşenler üzerinde çalışan servisler belirlenmeli ve gereksiz olduğu değerlendirilen servisler devre dışı bırakılmalıdır.

Elektrik dağıtım şebekesi akıllı sayaç yapısına ilişkin risk analizi sürecinde tüm mimariye ilişkin saldırı vektörleri belirlenmeli ve uygun tehdit modelleme çalışmaları gerçekleştirilmelidir.

Elektrik dağıtım şebekesi akıllı sayaç yapısında kullanılan tüm iletişim kanalları ve protokoller belirlenmeli ve dokümante edilmelidir. (WAN, HAN vb.)

Elektrik dağıtım şebekesi akıllı cihaz mimarisi uçtan uca belirlenmeli ve dokümante edilmelidir. Bu dokümantasyon kapsamında tüm bileşenler bir topoloji üzerinden gösterilmelidir.

Elektrik dağıtım şebekesi akıllı sayaç yapısında kullanılan tüm cihazlar belirlenerek, bunların üzerindeki erişim arayüzleri (USB, PS2 vb.) uygun seviyede güvenlik kontrolleri ile korunmalıdır. Kullanılmayan veya gereksiz olduğu değerlendirilen arayüzler devre dışı bırakılmalıdır.

Elektrik dağıtım şebekesi akıllı sayaç yapısında kullanılan cihazlar üzerindeki debug portları ve CLI (Command Line Interface) erişimleri belirlenerek uygun seviyede güvenlik kontrolleri ile korunmalıdır.

Elektrik dağıtım şebekesi akıllı sayaç yapısı kapsamındaki kritik veriler HSM, SE, TPM vb. içerisinde saklanmalıdır.

Gömülü kod (firmware) snarfing'e karşı uygun güvenlik kontrolleri tanımlanmalı ve korunmalıdır. Bunu sağlamak adına FLASH ve EEPROM alanlarında şifreleme teknikleri uygulanmalıdır. Temel prensip olarak durağan veri (data at rest) güvenliğini sağlamak adına dosya sistemi veya depolama alanlarında şifreleme teknikleri uygulanmalıdır.

Elektrik dağıtım şebekesi akıllı sayaç yapısında kullanılan cihazların iletişim protokolleri/arayüzleri güvenli şekilde yapılandırılmalıdır. (UART, I2C, SPI vb.)

Elektrik dağıtım şebekesi akıllı sayaç yapısı içerisindeki WAN haberleşmeleri izole veya şifreli kanallar üzerinden gerçekleştirilmelidir.

Elektrik dağıtım şebekesi akıllı sayaç protokolleri replay saldırılarına karşı dirençli olmalıdır.

Elektrik dağıtım şebekesi akıllı sayaç protokolleri araya girme saldırılarına karşı dirençli olmalıdır. (Bu kontrol, altyapı yenileme projeleri sırasında ya da bu düzenleme yürürlüğe girdiği andan itibaren kurulacak olan altyapılarda aranacaktır.)

Elektrik dağıtım şebekesi akıllı sayaç yapısı içerisinde hizmet eden sunucular izole bir ağ üzerinde konumlanmalıdır.

Elektrik dağıtım şebekesi akıllı sayaç yapısı içerisindeki izole ağlara erişimler kısıtlanmalıdır. (Uzak erişim, üçüncü taraf, son kullanıcılar, diğer sunucular vb.)

Elektrik dağıtım şebekesi akıllı sayaç yapısı içerisinde hizmet eden sunucular uygun şekilde sıkılaştırılmalıdır. (Veri tabanı, uygulama sunucusu vb.)

Elektrik dağıtım şebekesi akıllı sayaç yapısında bulunan veri toplama (data concentrator) bileşenlerinden uç bileşenlere yönelik erişimler güvenilir kanallar üzerinden sağlanmalıdır.

Elektrik dağıtım şebekesi akıllı sayaç yapısında bulunan veri toplama noktaları arasındaki iletişimler kısıtlanmalıdır.

Elektrik dağıtım şebekesi akıllı sayaç yapısında kullanılan tüm bileşenlerde, gömülü ve basit parola kullanımı engellenmelidir.

Elektrik dağıtım şebekesi akıllı sayaç altyapısında ağa giriş (access control) kontrolleri uygulanmalıdır.

Elektrik dağıtım şebekesi akıllı sayaç yapısında kullanılan tüm bileşenlerin "Tehdit ve Zafiyet Yönetimi" başlığının ilgili maddelerine uygunluğu sağlanmalıdır.

Elektrik dağıtım şebekesi akıllı sayaç yapısında kullanılan tüm bileşenler anlık olarak izlenebilir durumda olmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) kullanılan RTU'lar sadece belirli sunuculardan (Master) komut alacak şekilde yapılandırılmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) lojik işleyen bileşenlere sadece mühendislik iş istasyonu üzerinden lojik güncellemeyi sağlayacak kontroller devreye alınmalıdır.

Elektrik dağıtım şebekesinde, Endüstriyel Kontrol Sistemleri mimarisinde kullanılan lojik işleyen bileşenlere lojik güncellemeleri sırasında ek bir parola doğrulaması zorlanmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) kullanılan SCADA konfigürasyon değişimleri sadece yetkili iş istasyonları üzerinden sağlanmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) kullanılan SCADA konfigürasyon değişimleri sırasında ek bir parola doğrulaması zorlanmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) kullanılan SCADA konfigürasyon dosyaları ve lojik dosyaları için bütünlük kontrolleri devreye alınmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) kullanılan SCADA konfigürasyon dosyaları ve lojik dosyaları sürüm numaraları ile takip edilebilmelidir.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) kullanılan SCADA konfigürasyon dosyaları ve lojik dosyalarının saklandığı alanlara sadece yetkili kişi ve grupların eriştiği garanti altına alınmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) kullanılan SCADA konfigürasyon dosyaları ve lojik dosyaları kişisel bulut tabanlı sistemlerde ve dosya paylaşım alanlarında saklanamaz. Bu verilerin kurumsal bulut tabanlı sistemler ve dosya paylaşım alanlarında kullanılmasının zorunlu olduğu durumlarda; T.C. Cumhurbaşkanlığı Dijital Dönüşüm Ofisi tarafından hazırlanarak yayımlanan Bilgi ve İletişim Güvenliği Rehberinde "4.3 Bulut Bilişim Güvenliği" tedbirleri sağlanarak saklanmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinde (EKS) kullanılan ve üzerinde konfigürasyon veya lojik bilgisi bulunan ekipmanlar kurum dışına çıkarılacaksa (bakım, hibe vb.) söz konusu konfigürasyon ve lojik bilgileri ilgili bileşen üzerinden silinmelidir.

EKS altyapılarında çalışacak tüm personel yasal mevzuata uyumlu şekilde, gerekli güvenlik kontrollerinden geçirilmelidir. (Adli sicil, güvenlik soruşturması, referans ve belge kontrolü vb.)

EKS altyapılarında çalışacak personelin, işe uygunluk ve sağlık raporları bulunmalıdır.

EKS altyapılarında çalışacak personelle sözleşme imzalanmalıdır. (Bu sözleşmeler gizlilik sözleşmesi şeklinde olabileceği gibi ana sözleşmelerin gizlilik ve siber güvenlik maddelerini içermesi şeklinde de olabilir.)

Personelle yapılacak sözleşmelerde siber güvenlik ve gizlilik maddeleri en az aşağıdakileri içermelidir: - Gizli bilginin korunması, - Kurumsal hassas ve kritik bilgilerin korunması, - Kurumun uyguladığı veya uygulayacağı tüm siber güvenlik kontrollerine uyum, - Kuruluşa ait; lojik, konfigürasyon bilgileri, yedek dosyalar ve tasarımların kişisel disk, bilgisayar ya da bulut ortamlarında saklanmayacağına dair beyan, - Yasal, sözleşme kaynaklı veya müşteri gereksinimlerinden doğan siber güvenlik politika, prosedür ve uygulamalarına uyumlu çalışma.

İşe alım ilanları, ilgili tesisin siber güvenlik açısından bağlayıcı olan teknolojileri ile ilgili bilgi içermemesini sağlayacak politika, prosedür ve süreçler çerçevesinde tasarlanmalıdır.

Personel, çalışma süresince tüm siber güvenlik politika, prosedür ve uygulamalarına uyumlu hareket etmelidir.

Tüm EKS personeli periyodik siber güvenlik farkındalık programına dahil edilmelidir.

Siber güvenlik operasyonlarını yürütecek personelin EKS bileşenleri ile ilgili eğitim almaları sağlanmalıdır.

Tüm EKS personeli için siber güvenlik ihlallerine ilişkin disiplin süreçleri tanımlanmalıdır.

Sözleşme ve uygulamalar, istihdam sonrası koşulları içermelidir.

İstihdamın sonlandırılması ile birlikte tüm EKS varlıklarına olan mantıksal ve fiziksel erişimler sonlandırılmalıdır.

İstihdam sonlanması ile birlikte tüm gerekli taraflar bilgilendirilmelidir.

İstihdam sonlanması sürecinde operasyonel süreklilik için önem arz eden tüm varlıklar (proses, lojik vb.) güvenli bir şekilde devredilmelidir.

İlgili istihdam sonlandırma süreci, olaylı ayrılma durumlarını da içermelidir.

EKS altyapılarında üçüncü taraflarca sağlanan taşeron personellerin hem birinci derece bağlı oldukları hem de hizmet sundukları kuruluşlar için bu başlık altındaki süreçler işletilmelidir. Alt yükleniciler, farklı bir alt yüklenici kullandığında sorumluluk devredemeyeceği gibi bu madde kapsamında doğan yükümlülükleri de yerine getirmelidir.

Üçüncü taraflara veya üreticiye bağlı olarak çalışan personel kuruluşun belirlediği gizlilik ve siber güvenlik gereksinimlerinden muaf tutulamaz. Gerekli koşullarda ilgili personelle de ek bir gizlilik sözleşmesi veya siber güvenlik maddelerini içeren sözleşme yapılmalıdır.

Yerleşke girişinde giriş çıkış kaydı tutulmalıdır.

Yerleşke girişinde yetkisiz erişime karşı önlemler alınmalıdır.

Yerleşke giriş prosedürleri tanımlanmalıdır. Yerleşke giriş prosedürleri, ziyaretçi, geçici-kalıcı çalışan, acil giriş durumlarını içermelidir.

Yerleşke girişlerinde uygun güvenlik ve emniyet eğitimleri verilmelidir.

Yerleşke giriş çıkışlarını izleyen elektronik sistemlerde zaman senkronizasyonu sağlanmalıdır.

Yerleşke giriş çıkışlarını izleyen elektronik sistemlerde merkezi kayıt yönetim sistemi entegrasyonu sağlanmalıdır.

Yerleşke giriş çıkışlarını izleyen elektronik sistemlerde yedekleme politikaları oluşturulmalı, yedekler alınmalı ve yedekler test edilmelidir.

Yerleşke çevresini izlemek için kameralar kurulmalıdır. Bu sistemler sürekli olarak izlenmelidir.

Yerleşke çevresi kamera kayıtları ilgili yasal süre kadar saklanmalıdır.

Kamera sistemlerinde zaman senkronizasyonu sağlanmalıdır.

Çevresel güvenlik bileşenleri izole ağlarda konumlanmalıdır.

Çevresel güvenlik bileşenlerine erişim kullanıcı adı ve parola ile sağlanmalıdır. Erişim için güçlü parolalar kullanılmalıdır.

Çevresel güvenlik bileşenleri yetkisiz fiziksel erişime karşı korunmalıdır.

Merkezi kontrol sistemi bileşenlerinin bulunduğu alanlara fiziki erişimin tamamiyle kontrol altına alınabileceği herhangi bir noktada X-RAY cihazı konumlandırılmalıdır.

Araçlar gerekli kontrollerden geçirilerek yerleşkeye alınmalıdır.

Kontrol odaları giriş ve çıkışlarında kayıt tutulmalıdır.

Kontrol odaları giriş ve çıkışlarında kullanılan elektronik sistemlerde zaman senkronizasyonu sağlanmalıdır.

Kontrol odaları giriş ve çıkışlarında kullanılan elektronik sistemler merkezi kayıt yönetim sistemine entegre edilmelidir.

Kontrol odaları giriş ve çıkışlarında kullanılan elektronik sistemlerde yedekleme politikaları oluşturulmalı, yedekler alınmalı ve yedekler test edilmelidir.

Kontrol odaları giriş ve çıkışlarında kullanılan elektronik sistemler izole ağlarda konumlandırılmalıdır.

Kontrol odaları çevresel güvenlik bileşenlerine erişim kullanıcı adı ve parola ile sağlanmalıdır.

Kontrol odaları giriş ve çıkışlarında kullanılan elektronik sistemlerde güçlü parola kullanılmalıdır.

Kontrol odalarında kurum harici çalışanlara kurum personeli eşlik etmelidir.

Kontrol odalarını izlemek için kameralar kurulmalıdır. Bu sistemler sürekli olarak izlenmelidir.

Kontrol odaları kamera kayıtları ilgili yasal süre kadar saklanmalıdır.

Kontrol odaları kamera sistemlerinde zaman senkronizasyonu sağlanmalıdır.

Kontrol odaları kamera sistemleri IP tabanlı ise ayrı izole bir ağ üzerinde konumlandırılmalıdır.

Kontrol odaları kamera bileşenleri kullanıcı adı ve parola ile korunmalıdır. Erişim için güçlü parolalar kullanılmalıdır.

Kontrol odaları çevresel güvenlik bileşenleri (Kamera, kartlı geçiş, yangın algılama vb.) yetkisiz fiziksel erişime karşı korunmalıdır.

Kontrol odalarında bulunan kameralar proseslerin izlendiği HMI'ları görmeyecek şekilde konumlandırılmalıdır.

Kontrol odaları kapıları otomatik olarak kapanmalıdır.

Kontrol odalarından acil çıkış mümkün olmalıdır.

Kontrol odalarında yer alan çevresel izleme sensörleri yetkisiz fiziksel erişime olanak vermeyecek şekilde konumlandırılmalıdır.

Kontrol odalarının kapıları açık kaldığında alarm üretmelidir.

Kontrol odalarında çevresel izleme sensörleri konumlandırılmalıdır. (Yangın, su, nem, sıcaklık vb.)

Kontrol odalarında kullanılan çevresel izleme sistemleri alarm üretebilmelidir.

Kontrol odaları çevresel izleme sensörleri merkezi olarak izlenmelidir.

Kontrol odaları giriş kontrolleri, enerjisiz kaldığında da aynı güvenlik seviyesini korumalıdır.

Kontrol odalarındaki tüm güvenlik bileşenleri yedek bir enerji ya da kesintisiz bir enerji kaynağı üzerinden beslenmelidir.

Endüstriyel operasyonlara hizmet eden istemci ve sunuculara fiziksel erişimler kısıtlanmalıdır.

Veri merkezi hizmetlerinin üçüncü taraflardan temin edilmesi durumunda; alınması gerekli tedbirler sözleşmeler ile hüküm altına alınmalıdır. Paylaşımlı veri merkezlerinde tüm tarafların güvenliği ve gizliliği hizmet sağlayıcı tarafından güvence altına alınmalıdır.

Veri merkezi giriş-çıkış kayıtları tutulmalıdır.

Veri merkezi elektronik geçiş kontrol sistemlerinde zaman senkronizasyonu sağlanmalıdır.

Veri merkezi elektronik geçiş kontrol sistemlerinde merkezi log/kayıt yönetim entegrasyonu sağlanmalıdır.

Veri merkezi elektronik geçiş kontrol sistemlerinde yedekleme politikaları oluşturulmalı, yedekler alınmalı ve yedekler test edilmelidir.

Veri merkezi elektronik geçiş kontrol sistemleri kullanıcı adı ve parola ile korunmalıdır. Erişim için güçlü parolalar kullanılmalıdır.

Veri merkezi ziyaretlerinde yetkili personel ziyaretçilere eşlik etmelidir. Ziyaretçi ve refakatçi kayıtları en az bir yıl süre ile saklanmalıdır.

Veri merkezlerini izlemek için kamera sistemi kurulmalıdır.

Veri merkezi bünyesindeki kameralara ilişkin kayıtlar belirlenen yasal süre kadar saklanmalıdır.

Veri merkezi bünyesindeki kameralarda zaman senkronizasyonu sağlanmalıdır.

Veri merkezi bünyesindeki kamera bileşenleri mantıksal izole bir ağ üzerinde konumlandırılmalıdır.

Veri merkezi bünyesindeki kamera bileşenleri kullanıcı adı ve parola ile korunmalıdır. Erişim için güçlü parolalar kullanılmalıdır.

Veri merkezi bünyesindeki kameralar fiziksel erişime karşı koruma altına alınmalıdır.

Veri merkezi bünyesindeki kameralar kör nokta olmaksızın konumlandırılmalıdır.

Veri merkezi giriş çıkış kapıları otomatik olarak kapanmalıdır.

Veri merkezi giriş çıkış kapıları acil çıkış prosedürlerine uygun olmalıdır.

Veri merkezi giriş çıkış noktalarında olan sensörler yetkisiz erişime olanak vermeyecek şekilde konumlandırılmalıdır.

Veri merkezi kapıları açık kaldığında alarm üretebilmelidir.

Veri merkezi bünyesinde çevresel izleme sensörleri konumlandırılmalıdır.

Veri merkezi çevresel izleme sensörleri alarm üretme kabiliyetine sahip olmalıdır.

Veri merkezi çevresel izleme sensörleri merkezi olarak izlenebilmelidir.

Veri merkezi giriş çıkış kontrolleri, elektrik kesintilerinde aynı koruma seviyesine sahip olmalıdır.

Veri merkezi çevresel izleme bileşenleri yedek enerji kaynaklarıyla ya da kesintisiz enerji kaynakları üzerinden beslenmelidir.

Veri merkezi bünyesinde deprem koruma önlemleri alınmalıdır.

Veri merkezi bünyesinde su baskını koruma önlemleri alınmalıdır.

Veri merkezi yangın koruma/söndürme sistemleri bulundurulmalıdır.

Veri merkezi yangın koruma/söndürme sistemlerinin periyodik bakımları yapılmalıdır.

Veri merkezi yangın koruma/söndürme sistemleri elektronik ortamlar için uygun olmalıdır.

Veri merkezi uygun iklimlendirme altyapısına sahip olmalıdır.

Veri merkezi bünyesinde kablolama güvenliği ilkeleri uygulanmalıdır.

Veri merkezi bünyesinde kablolar etiketlenmelidir.

Veri merkezi bünyesinde yedek enerji besleme kaynakları bulundurulmalıdır.

Veri merkezi bünyesinde enerji besleme bileşenlerinin periyodik bakımları gerçekleştirilmelidir.

Kontrol sistemi bileşeni olan ve kritik ekipmanların olduğu alanlar için giriş-çıkış kontrolleri uygulanmalıdır. (Bu kontroller kilitli kapı, kilitli kabin vb. uygulamaları da içerir.)

Kontrol sistemi bileşeni olan ve personel bulunan uç sahalarda giriş-çıkış kayıtları tutulmalıdır.

Kontrol sistemi bileşeni olan uç sahalarda bulunan kritik ekipmanlar kilitli alanlarda saklanmalıdır.

Kontrol sistemi bileşeni olan uç sahalarda deprem koruma önlemleri kapsamında panolar yere sabitlenmelidir. Panolar içerisindeki ekipmanlar da pano içerisinde sabitlenmelidir.

Su baskını tehditi olduğu değerlendirilen kontrol sistemi bileşeni olan uç sahalarda su baskını koruma önlemleri alınmalıdır.

Kontrol sistemi bileşeni olan uç sahalarda yangın koruma/söndürme önlemleri alınmalıdır.

Kontrol sistemi bileşeni olan uç sahalarda yangın koruma/söndürme bileşenlerinin periyodik bakımları yapılmalıdır.

Kontrol sistemi bileşeni olan uç sahalarda yangın koruma/söndürme bileşenleri elektronik ortamlar için uygun olmalıdır.

Kontrol sistemi bileşeni olan uç sahalarda kablolama güvenliği ilkeleri uygulanmalıdır.

Kontrol sistemi bileşeni olan uç sahalarda kablolar etiketlenmelidir.

Kontrol sistemi bileşeni olan uç sahalarda yedek enerji beslemeleri kullanılmalıdır.

Kontrol sistemi bileşeni olan uç sahalarda yedek enerji besleme bileşenlerinin periyodik bakımları gerçekleştirilmelidir.

Kontrol sistemi bileşeni olan uç sahalarda acil durum tahliye prosedürleri tanımlanmalı ve uygulanmalıdır. (elektriksel yangın ya da patlama anında ilgili lokasyonunun güvenli şekilde tahliye edilmesi vb.)

Kontrol sistemi bileşeni olan uç sahalarda yer alan çevresel izleme sensörleri yetkisiz erişime olanak vermeyecek şekilde konumlandırılmalıdır.

Kontrol sistemi bileşeni olan uç sahalarda kapılar açık kaldığında alarm üretilebilmelidir.

Kontrol sistemi bileşeni olan uç sahalarda çevresel izleme sensörleri konumlandırılmalıdır.

Kontrol sistemi bileşeni olan uç sahalarda çevresel izleme sensörleri alarm üretebilmelidir.

Kontrol sistemi bileşeni olan uç sahalarda çevresel izleme sensörleri merkezi olarak izlenebilmelidir.

Kontrol sistemi bileşeni olan uç sahalarda giriş çıkış kontrolleri enerji olmadığında mevcut güvenlik seviyesini sürdürebilmelidir.

Kontrol sistemi bileşeni olan uç sahalarda çevresel izleme bileşenleri yedek enerji beslemelerinden veya kesintisiz güç kaynağından beslenebilmelidir.

Kontrol sistemi bileşeni olan uç sahalarda kullanılan fiziksel anahtarların yönetimi için tekil anahtar kullanılması durumunda kullanılacak anahtarın kopyalanmama özelliği olmalıdır. Anahtar dağıtımlarına ilişkin kayıtlar tutulmalı ve üç yıl süreyle saklanmalıdır. Personelin işten ayrılması durumunda bu anahtarlar teslim alınmalıdır.

Kontrol sistemi bileşeni olan uç sahalarda kullanılan tüm fiziksel anahtarlar kopyalamaya karşı korunmalıdır.

Kontrol sistemi bileşeni olan uç sahalarda ziyaretlere (trafo istasyonu vb.) ilişkin kayıtlar tutulmalı ve bir yıl süreyle saklanmalıdır.

Veri merkezleri en az TIER-III sertifikasına sahip olmalı ya da bu sertifikayı sağlayan ülke içi veri merkezlerinden hizmet alınmalıdır.

Kuruluşun tedarikçiye olan bağımlılıklarını belirlemek için bağımlılık kriterleri tanımlanmalıdır.

Elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinin (EKS) devamlılığının sağlanması için önem arz eden tüm EKS (EKS ile etkileşimi olan KBS varlıklarını da içerecek şekilde) tedarikçileri ve bu tedarikçilerin bağımlılıkları belirlenmelidir.

Kuruluş, tüm kritik veya tekil kaynak bağımlılıklarını tanımlamalıdır.

Kuruluş, tedarikçileri bağımlılıklarına göre önceliklendirmelidir.

Tedarikçiler ve diğer bağımlılıklardan kaynaklanan önemli siber güvenlik riskleri tanımlanmalı ve adreslenmelidir.

Kuruluş, tedarikçi bağımlılıklarından kaynaklanan risk yönetimi aktivitelerini, mevcut risk yönetim süreçlerine dahil etmelidir.

Tedarikçiler ve diğer üçüncü taraflar ile yapılan sözleşmelerde siber güvenlik gereksinimleri dikkate alınmalıdır. (Bu kontrol, altyapı yenileme projeleri sırasında ya da bu düzenleme yürürlüğe girdiği andan itibaren kurulacak olan altyapılarda aranacaktır)

Üçüncü taraflarla (üretici, mühendislik firmaları, altyükleniciler) yapılan sözleşmeler ve anlaşmalar aşağıdakileri içermelidir: - Üçüncü tarafların sunduğu ürün ve hizmetlerde ortaya çıkan zafiyetler, - Üçüncü tarafların kendisine ya da sunduğu ürünlere yönelik saldırı/tehdit bilgileri. (Bu kontrol, altyapı yenileme projeleri sırasında ya da bu düzenleme yürürlüğe girdiği andan itibaren kurulacak olan altyapılarda aranacaktır.)

Tedarikçiler kuruluşlara sunduğu ürün ve hizmetler için güvenli yazılım geliştirme süreçleri de dahil olacak şekilde siber güvenlik kontrollerine sahip olmalıdır. Sunulan ürün ve hizmetler bu kontrollere uygun olarak yürütülmelidir.

Tedarikçiler ile yapılan sözleşmeler, tedarikçinin sağladığı hizmetlerin sahip olduğu veya gelecekte oluşabilecek güvenlik açıklarını bildirme sürecini içermelidir. (Bu kontrol, altyapı yenileme projeleri sırasında ya da bu düzenleme yürürlüğe girdiği andan itibaren kurulacak olan altyapılarda aranacaktır.)

Tedarikçi tarafından sağlanan tüm yazılım ve yamaların bütünlüğü ve orjinalliği kontrol edilerek bu yazılım ve yamaların değiştirilmediği garanti altına alınmalıdır.

Tedarikçilerin sisteme uzaktan erişim için talepleri kapsamında dokümante edilmiş uzak erişim bağlantı süreçleri ve kontrol yöntemleri tanımlanmalıdır. Tedarikçi erişimleri "Kimlik ve Erişim Yönetimi" başlığına uygun olarak yürütülmelidir.

Tedarikçi ile yapılan sözleşmelerde, elektrik dağıtım şebekesi endüstriyel kontrol sistemlerinin (EKS) sürekliliğini tehdit eden arıza ve problemlere müdahale süreçleri belirlenmeli ve oluşabilecek riskler, risk yönetim sürecine dahil edilmelidir.

Tedarikçilerin ve diğer harici kuruluşların değerlendirilmesi ve seçimi süreçlerinde, tedarikçilerin siber güvenlik gereksinimlerini karşılama yetenekleri değerlendirilmelidir.

Tedarikçilerle yapılan sözleşmeler ya da yapılacak işi tanımlayan teknik şartnameler, bir siber güvenlik olayı veya ihlaline ilişkin bildirimleri de içermelidir. (Bu kontrol, altyapı yenileme projeleri sırasında ya da bu düzenleme yürürlüğe girdiği andan itibaren kurulacak olan altyapılarda aranacaktır.)

Kuruluşun bilgi varlıklarına geçici ya da kalıcı olarak erişebilen (uzak erişimler de dahil olmak üzere), bunu işletebilen, depolayabilen, iletebilen veya kuruluşun bilgi varlıkları için KBS altyapı bileşenlerini temin eden tedarikçilerin her biri ile sözleşme yapılmalı ve sözleşmeler bilgi güvenliği gereksinimlerini içermelidir.

Üçüncü taraflardan doğan risklere ilişkin azaltıcı/yok edici kontroller uygulanmalıdır.

Kuruluş tarafından üçüncü taraflara yönelik uygulanacak siber güvenlik kontrolleri, üçüncü tarafın kritikliğine ve risk seviyesine uyarlanabilir olmalıdır.

Üçüncü taraf siber güvenlik süreç yönetiminde ve seçiminde destek sonu (end of support), ömür sonu (end of life) durumları göz önünde bulundurulmalı, sözleşmelere dahil edilmelidir. (Bu kontrol, altyapı yenileme projeleri sırasında ya da bu düzenleme yürürlüğe girdiği andan itibaren kurulacak olan altyapılarda aranacaktır.)

Üçüncü tarafların lisanslı olmayan ürün sağlamasının önüne geçilmelidir. Bu konuyla ilgili oluşabilecek güvenlik ihlalleri sözleşme ya da teknik şartnamelerde ele alınmalıdır. (Bu kontrol, altyapı yenileme projeleri sırasında ya da bu düzenleme yürürlüğe girdiği andan itibaren kurulacak olan altyapılarda aranacaktır)

Siber güvenlik gereksinimlerinin karşılanmasına ilişkin kabul testleri (SAT ve FAT) tanımlanmalı ve gerçekleştirilmelidir. (Bu kontrol, altyapı yenileme projeleri sırasında ya da bu düzenleme yürürlüğe girdiği andan itibaren kurulacak olan altyapılarda aranacaktır)

Üçüncü tarafların siber güvenlik kapasite yeterliliği periyodik olarak gözden geçirilmeli, tanımlı metriklerle ölçülmelidir. İşletmeler, belirli puanın altında kalan tedarikçilerle olan çalışmalarını gözden geçirmelidir.

Kuruluş, tedarikçilerden doğan değişiklikleri yönetmelidir. Bu değişikliklerin siber güvenlik risk durumuna olan etkileri risk yönetim süreci kapsamında ele alınmalıdır.

Üçüncü taraflara yönelik uygulanacak politika ve prosedürler periyodik olarak veya ihtiyaçlara uygun şekilde güncellenmelidir.

Üçüncü taraflarla olan ilişkileri yöneten ve hizmetleri sağlayan personelde gerekli siber güvenlik yetkinlikleri aranmalıdır. Yetkinliklere ilişkin şartlar sözleşmelerle ya da teknik şartnamelerle garanti altına alınmalıdır.

Üçüncü taraflarla olan ilişkileri yöneten personele ilişkin sorumluluklar, yetki ve hesap verilebilirlik durumu dokümante edilmiş olmalıdır.

Üçüncü taraflara ilişkin aktiviteler (itibar durumları, veri sızıntısı, hedefli saldırı, zararlı yazılım, fidye vb. saldırılara karşı durumları vb.) sürekli olarak izlenmeli ve değerlendirilmelidir.

Üçüncü tarafların hizmet sunduğu kuruluşa ait bilgileri halka açık ağlarda izinsiz yayınlayamayacağı ve referans gösteremeyeceği hususu şartnameler ya da sözleşmelerle garanti altına alınmalıdır.