Üretim hattındaki bir PLC’ye en son kim bağlandı? Çoğu fabrikada bu sorunun cevabı bir mühendislik bilgisayarı, herkesin bildiği bir yönetici hesabı ve makine üreticisinin yıllar önce kurduğu bir uzaktan erişim aracıdır. NIST, 21 Eylül 2026’da OT güvenlik rehberi SP 800-82’nin 4. revizyonunun ilk kamuya açık taslağını yayımladı. Taslağın en çok üzerinde durduğu konulardan biri de bu yönetim erişimi.
Önce durum: taslak ve yürürlükteki sürüm
Geçerli nihai sürüm, Eylül 2023’te yayımlanan Rev. 3’tür. Rev. 4 bir taslak ve yorumlar 30 Kasım 2026’ya kadar toplanıyor. Nihai metin bu yorumlarla değişebilir. Yine de taslağın yönü bugünden okunabiliyor.
NIST’in duyurusuna göre taslakta şu başlıklar yeni ya da genişletilmiş:
- Bina otomasyonu, su ve atık su, gıda ve tarım, yük demiryolu, gemiler ve IIoT ile bulut entegrasyonu artık kapsamda.
- Rehber CSF 2.0’a göre yeniden düzenlenmiş. Risk yönetimi bölümü CSF’nin Yönet (Govern) işlevi etrafında toplanmış, RMF’nin benimsenmesi de Ek F’de anlatılıyor.
- Varlık yönetimi ve ağ izleme konusundaki rehberlik genişletilmiş.
- Sistem yönetim işlevlerini koruyan bir güvenlik mimarisi ve sıfır güven ilkelerinin uygulanması eklenmiş.
Bu yazı son maddeyle ilgileniyor.
Yönetim trafiği kendi ağında durmalı
Taslağı inceleyen analizlere göre rehber, yönetim ağlarını süreç ağlarından ayrı ele alıyor. Yönetim ağı ayar, yama ve erişim kontrolü trafiğini taşır ve süreç kontrol trafiğinden ayrı tutulmalıdır. Taslak bunun yanında ayrı bir yönetim yolu da öneriyor. Ana ağ ele geçirilse bile ortam bu yoldan yönetilebilmeli ve ayağa kaldırılabilmelidir.
Sahada bunun karşılığı tanıdıktır. Switch ve firewall yönetim arayüzleri, historian sunucularının güncellemeleri, mühendislik istasyonlarından PLC’lere giden program yüklemeleri çoğu tesiste üretim trafiğiyle aynı VLAN’dan akar. Saldırgan için bu trafik en değerli trafiktir, çünkü ayar değiştirmenin yolu oradan geçer.
Tedarikçi erişimi: her oturum ayrı onay
Tedarikçi erişimi taslakta ayrı bir başlık olarak duruyor. Dış erişim, kendi hesapları ve kendi denetim sınırları olan ayrı yollardan yapılmalıdır. Destekleyici kontroller arasında oturum kaydı alan ayrıcalıklı erişim yönetimi (PAM) de var. Zscaler’ın analizine göre yeni yönetim ağı üzerindeki tedarikçi oturumları just-in-time onay ister. Erişim gerektiğinde açılır, iş bitince kapanır. İzleme de erişimi neredeyse gerçek zamanlı geri alabilmelidir. Taslak, ayrıcalıklı oturumları tek tek yetkilendiren ve açık bir oturumu sonlandırabilen bir erişim yöneticisi tarif ediyor.
Taslağın en somut uyarısı şu: tedarikçinin yönettiği bağlantılar ve hücresel modemler hem kurumsal ağın hem OT tarafının kontrollerini atlayabilir. Bunların envantere alınması, onaylanması ve kısıtlanması gerekir. Makineyle birlikte gelen, panonun içine monte edilmiş bir 4G modemi pek çok tesiste kimse bilmez. Firewall kuralları ne kadar sıkı olursa olsun o modem kapıyı açık tutar.
Uzaktan erişim tarafında taslak, uzaktaki kullanıcı ile OT arasına bulutta çalışan bir kimlik ya da erişim aracısı koyan bir ZTNA mimarisini de anlatıyor. Uzaktan mühendislik, tedarikçi desteği ve yönetim erişimi örnek kullanım olarak geçiyor. ZTNA burada seçeneklerden biri, VPN’i kaldırmak şart koşulmuyor.
OT hesapları BT hesaplarından ayrılsın
Taslağa göre BT ve OT hesapları ayrı tutulmalı. Amaç açık: ele geçirilen bir kurumsal hesap OT erişimini yetkilendirememeli. OT erişimi kurumsal kimlik alanının güvenini olduğu gibi devralmamalı. Seçeneklerden biri de OT için ayrı bir kimlik doğrulama sunucusu.
Ortak hesaplar bu noktada sorun çıkarır. Fabrika sahasında hâlâ yaygın olan paylaşılan hesaplar, kimliğe dayalı her politikayı zayıflatır, çünkü erişimi isteyenin kim olduğu bilinmez. Vardiyada beş kişinin aynı operatör hesabını kullandığı bir HMI’da hangi değişikliği kimin yaptığını loglardan çıkaramazsınız.
Sıfır güven nereye kadar uygulanır
Taslak tam bir sıfır güven mimarisi şart koşmuyor. Kurumların sıfır güven ilkelerini dikkate alabileceğini söylüyor. Gerekçe de belli: PLC’lerin, kontrolcülerin ve HMI’ların çoğu tam bir sıfır güven uygulamasıyla bütünleşmek için gereken teknolojiyi ve protokolleri desteklemez. Bu yüzden taslak, sıfır güveni uyumlu sistemlerde, örnek olarak Purdue modelinin 3, 4 ve 5. seviyelerinde ve OT DMZ’de uygulamayı öneriyor. Uygulama gecikmeyi düşük tutmalı ve yedekli olmalı.
- ve 2. seviyedeki kontrolcüler ile operatör panelleri bölge sınırlarında korunmaya devam eder. Bölgeler, firewall’lar ve DMZ yerinde kalır, sıfır güven bunların üzerine eklenen bir katman olur. Taslağın 5.3 bölümü bölgeler arasındaki sınır cihazlarının bir bölgenin içindeki yanal hareketi engellemediğini de açıkça yazıyor. Zscaler yazısının başlığı da bu boşluğa işaret ediyor: saldırganlar 3. seviyenin altında çalışıyor. Bölge içini izlemek ve küçük bölgeler tanımlamak bu yüzden hâlâ gerekli.
Pratikte işe nereden başlanacağı da taslakta var. Oturum başına onaylanan ayrıcalıklı erişim ve BT’den ayrılmış OT hesapları, taslağa göre zaten sıfır güven ilkelerini uygulayan mevcut kontrollerdir. Yeni bir ürün almadan önce bu ikisini düzene sokmak çoğu tesis için en hızlı adımdır.
Nereden başlamalı
- OT varlıklarını bugün kimin ve neyin yönettiğini çıkarın: hangi hesaplar, hangi mühendislik istasyonları, hangi uzaktan erişim araçları.
- Tedarikçinin yönettiği bağlantıları ve panolardaki hücresel modemleri bulun, envantere alın, onaysız olanları kapatın.
- OT yönetici hesaplarını BT hesaplarından ayırın, ortak operatör hesaplarını kişiye bağlı hesaplarla değiştirin.
- Tedarikçi oturumlarını onaylı bir jump yolunun arkasına alın: oturum başına onay, oturum kaydı ve gerektiğinde sonlandırma.
- Yönetim trafiğini süreç trafiğinden ayıracak bir yönetim ağı ya da en azından ayrı bir yönetim VLAN’ı planlayın.
- Taslak üzerinde söyleyecekleriniz varsa yorumları 30 Kasım 2026’ya kadar iletin.
Mesagon’da OT ağ güvenliğini, segmentasyonu ve firewall platformlarını kurup işletiyor, 802.1X ile kimliğe dayalı ağ erişimi üzerinde de çalışıyoruz.
Kaynaklar
- NIST SP 800-82 Rev. 4 (Initial Public Draft), Guide to Operational Technology (OT) Security · NIST CSRC, 2026
- Guide to Operational Technology (OT) Security: NIST Requests Comments on Draft SP 800-82r4 · NIST CSRC, 2026
- SP 800-82 Rev. 3, Guide to Operational Technology (OT) Security · NIST CSRC, 2023
- NIST’s New OT Guide Draws the Zero Trust Line at Level 3. Attackers Are Working Below It. · Zscaler, 2026
- NIST SP 800-82 Rev. 4 Draft: What Is New in the Guide to OT Security · Beacon Security, 2026
- NIST SP 800-82r4 and Zero Trust: What the New Guidance Means for OT Security · Cyolo, 2026
- NIST draft expands OT security guide for cloud convergence · TechInformed, 2026
Bu yazı genel bilgilendirme içindir; hukuki ya da mali tavsiye değildir. Bir mühendisle konuşun.
