Ana Sayfa
BlogBize Ulaşın
Çözümler  /  Güvenlik & Uyum  /  EPDK Uyumlu Sızma Testi
Uyum · Enerji

EPDK uyumlu
EKS sızma testi

11956 sayılı EPDK Kurul Kararı kapsamında, SCADA ve endüstriyel kontrol sistemlerinde üretimi riske atmadan güvenlik analizi ve sızma testi yürütüyoruz.

Kurul Kararı 11956EKS / SCADA odaklıOT'ye minimum müdahaleTSE 13638 belgeli
Yasal Dayanak
EPDK · Enerji EKS güvenliği
DüzenlemeKurul Kararı 11956EKS Güvenlik Analiz Esasları
Resmî Gazete16.07.2023No. 32250
KapsamEKS / OTSCADA · PLC · RTU · HMI
Yetkinlik Modeli06.06.2023Enerjide Siber Güvenlik
01 — Genel Bakış

EPDK Sızma Testi Nedir? - Enerji Sektörü EKS Güvenlik Analizi

EPDK sızma testi, Enerji Piyasası Düzenleme Kurumu'nun 13 Temmuz 2023 tarihli 11956 sayılı Kurul Kararı ile yürürlüğe giren "Enerji Sektöründe Kullanılan Endüstriyel Kontrol Sistemleri İçin Güvenlik Analiz ve Test Usul ve Esasları" (16 Temmuz 2023 tarih ve 32250 sayılı Resmî Gazete) kapsamında, lisans sahibi enerji kuruluşlarının Endüstriyel Kontrol Sistemleri (EKS) üzerinde yaptırması gereken güvenlik analizi ve sızma testidir.

Test kapsamı; SCADA, DCS (Dağıtık Kontrol Sistemleri), PLC (Programlanabilir Mantık Kontrolcüleri), RTU (Uzak Terminal Üniteleri) ve HMI (İnsan-Makine Arayüzleri) gibi operasyonel teknoloji (OT) bileşenlerini kapsar. Bilişim güvenliği (IT) odaklı klasik yaklaşımdan farklı olarak, üretimin kesintisizliğini riske atmadan, EKS-merkezli ve canlı sistemlerde minimum müdahale ilkesiyle yürütülür.

Bu düzenleyici denetimlerin teknik temeli, saldırganın bakış açısıyla yürütülen sızma testidir .

02 — Kapsam Dahili

Kimler İçin Zorunlu?

Düzenleme, kritik enerji altyapısı işleten lisans sahiplerini kapsar. Başlıca yükümlü kuruluşlar:
Kurulu gücü 100 MWe ve üzerindeki elektrik üretim tesisleri ile Black-Start özelliğine sahip santraller
Elektrik iletim ve dağıtım lisansı sahipleri
Boru hattı ile iletim yapan doğal gaz iletim lisansı sahipleri
Sevkiyat kontrol merkezi kurmakla yükümlü doğal gaz dağıtım lisansı sahipleri
Doğal gaz depolama (LNG ve yer altı) lisansı sahipleri
Ham petrol iletim lisansı sahipleri ve rafinerici lisansı sahipleri
Yükümlülük kapsamı tesisin türü, kurulu gücü ve kritikliğine göre değişir; güncel kapsam için EPDK mevzuatının yürürlükteki hâli esas alınmalıdır.
03 — Teknik Kapsam

EPDK Sızma Testi Gereksinimleri ve SCADA Güvenliği

Endüstriyel kontrol sistemlerinden IT-OT geçiş noktalarına, olay müdahaleden sürekli izlemeye kadar EKS-merkezli bir test kapsamı.

Kritik Altyapı ve EKS Güvenliği

SCADA, DCS, PLC, RTU ve HMI bileşenlerinin yetkisiz erişime, manipülasyona ve hizmet kesintisine karşı dayanıklılığının doğrulanması. IT ağı ile OT ağı arasındaki segmentasyon ve geçiş noktaları (DMZ, veri diyotları, uzaktan erişim) ayrıca test edilir.

Düzenleyici Uyumluluk

11956 sayılı Kurul Kararı ve Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli (6 Haziran 2023) gereksinimlerine uyum. Bulgular EPDK denetim ve iç denetim süreçlerinde referans alınabilecek formatta raporlanır.

Olay Müdahalesi

EKS-SOME (siber olaylara müdahale ekibi) süreçlerinin ve olay müdahale planlarının gerçek saldırı senaryolarıyla test edilmesi; tespit, izolasyon ve kurtarma yeteneklerinin ölçülmesi.

Sürekli İzleme

OT ağında anomali tespiti, log toplama ve güvenlik izleme yeteneklerinin doğrulanması; izlenmeyen varlıkların ve kör noktaların ortaya çıkarılması.

Raporlama

Yönetici özeti, teknik bulgu detayları, CVSS bazlı risk skorları ve önceliklendirilmiş iyileştirme adımları içeren, EPDK incelemelerine uygun yapılandırılmış rapor.

Risk Yönetimi

EKS envanteri çıkarılması, varlık-tehdit eşleştirmesi ve risk azaltma tablolarının hazırlanması; tespit edilen zafiyetlerin iş etkisine göre önceliklendirilmesi.

04 — Metodoloji

EPDK Uyumlu Sızma Testi Süreci

EKS güvenlik analizini, üretimi riske atmadan ve canlı sistemlere minimum müdahaleyle yürüten beş aşamalı metodolojimiz.
1

Kapsam ve EKS Envanteri

Test edilecek SCADA/DCS/PLC/RTU/HMI varlıklarının, ağ segmentlerinin ve uzaktan erişim noktalarının belirlenmesi; test penceresi ve müdahale sınırlarının operasyon ekibiyle mutabakata bağlanması.

2

Güvenlik Analizi ve Sızma Testi

EKS ağ ve mimari incelemesi, zafiyet taraması, kablosuz ağ testleri, sosyal mühendislik ve kontrollü sömürü testlerinin gerçekleştirilmesi; OT ortamında pasif ve düşük etkili tekniklerin önceliklendirilmesi.

3

Zafiyet Doğrulama ve Analiz

Tespit edilen zafiyetlerin yanlış pozitiflerden arındırılarak doğrulanması, sömürülebilirliğinin ve EKS üzerindeki gerçek iş etkisinin değerlendirilmesi.

4

Risk Skorlama

Bulguların CVSS ve iş etkisi temelinde önceliklendirilmesi; enerji sürekliliği ve emniyet (safety) boyutunun risk değerlendirmesine dâhil edilmesi.

5

Raporlama ve Doğrulama Testi

EPDK incelemelerine uygun raporun hazırlanması ve iyileştirme sonrası yeniden test (retest) ile zafiyetlerin kapandığının doğrulanması.

05 — Teslimatlar

Denetime hazır çıktılar

Her güvenlik analizi, hem teknik ekibin aksiyon alabileceği hem de EPDK incelemelerine sunulabilecek belgelerle sonuçlanır.

EPDK incelemelerine uygun, yönetici özeti ve teknik detay içeren kapsamlı güvenlik analizi raporu
Kritik bulgular için önceliklendirilmiş acil aksiyon planı
EKS envanteri, risk değerlendirme ve risk azaltma tabloları
İyileştirme sonrası doğrulama (retest) raporu ve kapanış belgesi
06 — Sıkça Sorulan Sorular

Aklınızdaki sorular

EPDK sızma testi zorunlu mu?
Evet. 13 Temmuz 2023 tarihli 11956 sayılı EPDK Kurul Kararı kapsamındaki lisans sahibi enerji kuruluşları için EKS güvenlik analizi ve sızma testi yasal bir yükümlülüktür. Bu, isteğe bağlı bir "iyi uygulama" değil, mevzuatla tanımlanmış bir sorumluluktur.
EPDK sızma testi kimler için zorunlu?
Kurulu gücü 100 MWe ve üzerindeki elektrik üretim tesisleri, Black-Start santralleri, elektrik iletim/dağıtım lisansı sahipleri; doğal gaz iletim, sevkiyat kontrol merkezli dağıtım ve depolama (LNG/yer altı) lisansı sahipleri; ham petrol iletim ve rafinerici lisansı sahipleri başlıca yükümlü kuruluşlardır.
EPDK sızma testi ne sıklıkla yapılmalı?
Sektör uygulamaları ve Siber Güvenlik Yetkinlik Modeli doğrultusunda, testlerin en az yılda bir kez ve mimaride ya da kritik sistemlerde önemli değişiklik olduğunda (yeni SCADA bileşeni, uzaktan erişim veya bulut servisi devreye alındığında) tekrarlanması önerilmektedir. Kesin periyot için yürürlükteki EPDK mevzuatı esas alınmalıdır.
EPDK sızma testinin kapsamı nedir?
Kapsam; EKS ağ ve mimari incelemesi, zafiyet tarama analizi, kablosuz ağ sızma testleri, sosyal mühendislik testleri, zararlı yazılım analizi ve kontrollü sömürü (exploitation) testlerini içerir. Test, SCADA, DCS, PLC, RTU ve HMI bileşenleri ile IT-OT geçiş noktalarını hedefler.
EPDK sızma testini hangi firmalar yapabilir?
Güvenlik analizi ve sızma testlerinin, TSE 13638 yetkinlik belgesine sahip bağımsız ve yetkin firmalar tarafından yapılması esastır. OT/EKS ortamlarında deneyim, üretimi kesintiye uğratmadan test yürütebilmek açısından kritiktir.
EPDK testi neden klasik IT sızma testinden farklıdır?
OT/EKS sistemlerinde erişilebilirlik ve emniyet (safety), gizlilikten daha önceliklidir; agresif tarama ve sömürü teknikleri üretimi durdurabilir. Bu nedenle EPDK kapsamındaki testler pasif/düşük etkili teknikleri önceliklendirir, test penceresi mutabakatla belirlenir ve canlı sistemlere minimum müdahale ilkesiyle yürütülür.
Test sonrası neler teslim edilir?
EPDK incelemelerine uygun yapılandırılmış güvenlik analizi raporu, yönetici özeti, CVSS bazlı risk skorlu teknik bulgular, EKS envanteri ile risk azaltma tabloları ve iyileştirme sonrası doğrulama (retest) raporu teslim edilir.
İletişim

EPDK Sızma Testi İçin Hemen Teklif Alın

Enerji sektörü güvenlik gereksinimlerinizi karşılayın

İletişime Geçin

Çerez Kullanımı

Web sitemizde deneyiminizi geliştirmek için çerezler kullanıyoruz. Devam ederek çerez kullanımını kabul etmiş olursunuz.

Çerez Politikası