EPDK uyumlu
EKS sızma testi
11956 sayılı EPDK Kurul Kararı kapsamında, SCADA ve endüstriyel kontrol sistemlerinde üretimi riske atmadan güvenlik analizi ve sızma testi yürütüyoruz.
EPDK Sızma Testi Nedir? - Enerji Sektörü EKS Güvenlik Analizi
EPDK sızma testi, Enerji Piyasası Düzenleme Kurumu'nun 13 Temmuz 2023 tarihli 11956 sayılı Kurul Kararı ile yürürlüğe giren "Enerji Sektöründe Kullanılan Endüstriyel Kontrol Sistemleri İçin Güvenlik Analiz ve Test Usul ve Esasları" (16 Temmuz 2023 tarih ve 32250 sayılı Resmî Gazete) kapsamında, lisans sahibi enerji kuruluşlarının Endüstriyel Kontrol Sistemleri (EKS) üzerinde yaptırması gereken güvenlik analizi ve sızma testidir.
Test kapsamı; SCADA, DCS (Dağıtık Kontrol Sistemleri), PLC (Programlanabilir Mantık Kontrolcüleri), RTU (Uzak Terminal Üniteleri) ve HMI (İnsan-Makine Arayüzleri) gibi operasyonel teknoloji (OT) bileşenlerini kapsar. Bilişim güvenliği (IT) odaklı klasik yaklaşımdan farklı olarak, üretimin kesintisizliğini riske atmadan, EKS-merkezli ve canlı sistemlerde minimum müdahale ilkesiyle yürütülür.
- 11956 sayılı EPDK Kurul Kararı (13 Temmuz 2023) — "Enerji Sektöründe Kullanılan Endüstriyel Kontrol Sistemleri İçin Güvenlik Analiz ve Test Usul ve Esasları", 16 Temmuz 2023 tarih ve 32250 sayılı Resmî Gazete'de yayımlanmıştır.
- Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliği (6 Haziran 2023) — lisans sahiplerinin ulaşması gereken siber güvenlik olgunluk seviyelerini ve periyodik değerlendirme esaslarını tanımlar.
- Güvenlik analizi ve sızma testlerinin, TSE 13638 yetkinlik belgesine sahip bağımsız ve yetkin firmalar tarafından yapılması esastır.
Bu düzenleyici denetimlerin teknik temeli, saldırganın bakış açısıyla yürütülen sızma testidir .
Kimler İçin Zorunlu?
EPDK Sızma Testi Gereksinimleri ve SCADA Güvenliği
Kritik Altyapı ve EKS Güvenliği
SCADA, DCS, PLC, RTU ve HMI bileşenlerinin yetkisiz erişime, manipülasyona ve hizmet kesintisine karşı dayanıklılığının doğrulanması. IT ağı ile OT ağı arasındaki segmentasyon ve geçiş noktaları (DMZ, veri diyotları, uzaktan erişim) ayrıca test edilir.
Düzenleyici Uyumluluk
11956 sayılı Kurul Kararı ve Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli (6 Haziran 2023) gereksinimlerine uyum. Bulgular EPDK denetim ve iç denetim süreçlerinde referans alınabilecek formatta raporlanır.
Olay Müdahalesi
EKS-SOME (siber olaylara müdahale ekibi) süreçlerinin ve olay müdahale planlarının gerçek saldırı senaryolarıyla test edilmesi; tespit, izolasyon ve kurtarma yeteneklerinin ölçülmesi.
Sürekli İzleme
OT ağında anomali tespiti, log toplama ve güvenlik izleme yeteneklerinin doğrulanması; izlenmeyen varlıkların ve kör noktaların ortaya çıkarılması.
Raporlama
Yönetici özeti, teknik bulgu detayları, CVSS bazlı risk skorları ve önceliklendirilmiş iyileştirme adımları içeren, EPDK incelemelerine uygun yapılandırılmış rapor.
Risk Yönetimi
EKS envanteri çıkarılması, varlık-tehdit eşleştirmesi ve risk azaltma tablolarının hazırlanması; tespit edilen zafiyetlerin iş etkisine göre önceliklendirilmesi.
EPDK Uyumlu Sızma Testi Süreci
Kapsam ve EKS Envanteri
Test edilecek SCADA/DCS/PLC/RTU/HMI varlıklarının, ağ segmentlerinin ve uzaktan erişim noktalarının belirlenmesi; test penceresi ve müdahale sınırlarının operasyon ekibiyle mutabakata bağlanması.
Güvenlik Analizi ve Sızma Testi
EKS ağ ve mimari incelemesi, zafiyet taraması, kablosuz ağ testleri, sosyal mühendislik ve kontrollü sömürü testlerinin gerçekleştirilmesi; OT ortamında pasif ve düşük etkili tekniklerin önceliklendirilmesi.
Zafiyet Doğrulama ve Analiz
Tespit edilen zafiyetlerin yanlış pozitiflerden arındırılarak doğrulanması, sömürülebilirliğinin ve EKS üzerindeki gerçek iş etkisinin değerlendirilmesi.
Risk Skorlama
Bulguların CVSS ve iş etkisi temelinde önceliklendirilmesi; enerji sürekliliği ve emniyet (safety) boyutunun risk değerlendirmesine dâhil edilmesi.
Raporlama ve Doğrulama Testi
EPDK incelemelerine uygun raporun hazırlanması ve iyileştirme sonrası yeniden test (retest) ile zafiyetlerin kapandığının doğrulanması.
Denetime hazır çıktılar
Her güvenlik analizi, hem teknik ekibin aksiyon alabileceği hem de EPDK incelemelerine sunulabilecek belgelerle sonuçlanır.
Aklınızdaki sorular
EPDK sızma testi zorunlu mu?
EPDK sızma testi kimler için zorunlu?
EPDK sızma testi ne sıklıkla yapılmalı?
EPDK sızma testinin kapsamı nedir?
EPDK sızma testini hangi firmalar yapabilir?
EPDK testi neden klasik IT sızma testinden farklıdır?
Test sonrası neler teslim edilir?
Diğer Uyumluluk Sızma Testleri
EPDK Sızma Testi İçin Hemen Teklif Alın
Enerji sektörü güvenlik gereksinimlerinizi karşılayın