Almanya Federal Bilgi Güvenliği Ofisi (BSI), internete bağlı endüstriyel kontrol sistemlerini siber saldırılara karşı korumak amacıyla yeni güvenlik önerileri yayımladı. Küçük ve çok küçük ölçekli tesislerin işletmecilerini de kapsayan tavsiyeler hidroelektrik santralleri, rüzgar çiftlikleri, atıktan enerji üreten tesisler ve her ölçekteki güneş enerjisi santralleri için geçerli.
İnternet erişimi risk oluşturuyor
Kurumun en önemli önerisi, tesislerin kontrol sistemlerine doğrudan internet erişiminin kaldırılması. Güneş enerjisi santrallerinde bu sistemler endüstriyel kontrolörleri, iletişim ekipmanlarını, izleme ağ geçitlerini, inverterleri, denetleyici kontrol ve veri toplama (SCADA) sistemlerini ve uzaktan izleme platformlarını kapsayabiliyor.
Bu bileşenlerin doğrudan internete bağlanması, siber saldırganların sistemlere ulaşmasını kolaylaştırabiliyor. Genel internet ağlarına açık cihazlar, yetkisiz erişim girişimlerine, bilinen güvenlik açıklarının istismar edilmesine ve çalışma parametrelerinin değiştirilmesine karşı savunmasız kalabiliyor. Riskler yalnızca izleme verilerinin kaybedilmesiyle sınırlı kalmıyor. Operasyonel teknoloji sistemlerine yönelik bir saldırı, tesisin kontrol işlevlerini ve enerji üretim faaliyetlerini de aksatabiliyor.
Güvenli uzaktan erişim ve çift aşamalı doğrulama önerisi
BSI, kontrol sistemlerine doğrudan internet bağlantısı vermek yerine sanal özel ağ (VPN) üzerinden güvenli uzaktan erişim kullanılmasını tavsiye ediyor. Kurum ayrıca çok faktörlü kimlik doğrulama (MFA) kullanılmasını öneriyor. Bu yöntemde kullanıcıların sisteme giriş yaparken parolaya ek olarak başka bir kimlik doğrulama adımını tamamlaması gerekiyor.
Böylece çalınan kimlik bilgileri veya zayıf parolalar üzerinden gerçekleştirilebilecek yetkisiz erişim girişimlerinin başarıya ulaşma ihtimali azaltılması hedefleniyor.
BSI aynı zamanda tesislerde kullanılan cihazların yazılımlarının güncel tutulmasını ve yayımlanan güvenlik yamalarının gecikmeden yüklenmesini de istiyor. Yazılım güncellemelerinin ihmal edilmesi, üreticilerin daha önce giderdiği güvenlik açıklarının sistemlerde varlığını sürdürmesine neden olabiliyor. Kurum, işletmecilerin internete açık cihaz ve sistemleri belirlemek amacıyla düzenli güvenlik kontrolleri gerçekleştirmesini de tavsiye ediyor.
Güneş enerjisi santralleri açısından öne çıkan bir diğer önlem, kurumsal bilgisayar ağlarıyla enerji üretimini yöneten operasyonel ağların birbirinden ayrılması. Böylece bir ağda meydana gelebilecek güvenlik ihlalinin diğer sistemlere yayılma riski azaltılabiliyor.
Bu önlemler enerji ve altyapılara yönelik son günlerde gündeme gelen haberlerle de ilişkili. Kısa bir süre önce Sungrow’un platformlarına uzaktan, şifresiz olarak erişilebildiği ortaya çıkmıştı. Ayrıca Türkiye dahil Avrupa’da binlerce rüzgar ve güneş santralinin saldırıya açık olduğu raporlandı.
