Yavuz Aydın – Genel Müdür Yardımcısı
İNDAS GROUP
Dijital dönüşüm, endüstriyel tesislerin verimliliğini artırırken aynı zamanda yeni tehditleri de beraberinde getiriyor. Özellikle çimento, maden, kimya gibi üretim sektörlerinde, otomasyon sistemlerinin siber saldırılara karşı korunması büyük önem taşıyor. Bu noktada, endüstriyel otomasyon alanındaki deneyimiyle öne çıkan İndas, OT siber güvenlik çözümleriyle fabrikaların güvenliğini sağlama konusunda kritik bir rol üstleniyor.
Bize İndas’tan ve sunduğu hizmetlerden bahseder misiniz?
İndas Otomasyon, kurucumuz Fatih Em’in 30 yıllık çimento tecrübesi üzerine 2004’te kuruldu. 20 yıldır başta çimento olmak üzere maden, kimya, boya, enerji, su, otomotiv, savunma sanayi gibi birçok sektörde anahtar teslim fabrika kuruyoruz.
Siemens PCS7 Solution ve Expert CEMAT Partneriyiz. İlk olarak İndas Otomasyon şirketimiz ile PCS7, PLC, SCADA otomasyon hizmeti vermeye başladık. Otomasyon uzmanlığımız üzerine İndas Teknoloji firmamızı kurarak yazılım geliştirme alanında özel çözüm ve ürün geliştirmeye başladık. Otomasyon sistemleri ile ERP sistemlerinin entegrasyonunu sağladık, veri toplama, enerji izleme yazılımları geliştirilerek maliyet, verimlilik, kalite ve üretim kazancı sağlayan çözümler sunduk. İndas Elektromekanik firmamızın kuruluşu ile tüm ADP, MCC, PLC panolarını kendi bünyemizde imalatını yaptık ve saha elektrik ekiplerimizi de oluşturarak elektrik kapsamına da çözüm sunmaya başladık. Bir çimento fabrikasının OG enerji sistemlerinden başlayarak, saha elektrik, pano, otomasyon, entegrasyon, mühendislik, devreye alma kapsamları ile İndas Group olarak Anahtar Teslimi Fabrika çözümü sunmaktayız.
Geçtiğimiz yıllarda birçok fabrikamız siber saldırı yaşadı. Hem üretim, hem ticari hem de itibar kayıpları meydana geldi. Fabrikalarımızı kurmanın yanında korunması sorumluluğunu da üstlenmek istedik ve bu nedenle İndas Cybersecurity firmamızı kurarak, siber güvenlik çözümleri ile gücümüzü artırdık.
“Bir şeyi en iyi bilen, onu en iyi korur” anlayışıyla, en iyi bildiğimiz alanda güvenlik sağlamaya karar verdik.
Otomasyon ve siber güvenlik birbirinden çok farklı alanlar, bu alana yönelmeye nasıl karar verdiniz?
IT ve OT birbirinden ayrı bölümlerken, dijitalizasyon ile iç içe girmeye başladılar. Ancak her biri, çözümleri, gereksinimleri ve yeterlilikleri açısından farklılıklar sunuyor; farklı diller, farklı kültürler. Siber güvenlik ise bunların hepsinin üstünde çok farklı ve özel tecrübe gerektiren bir alan. Ülkemizde fabrikalara hizmet veren çok büyük ve uzman siber güvenlik firmaları var. Güvenli erişim, ağ güvenliği, cihaz güvenliği gibi birçok seviyede hizmet sunuyorlar. Pentest ile zafiyet açıklarını tespit ederek bu açıkların kapatılmasını sağlıyorlar.
Fakat bu çözümlerin hepsi IT ağları seviyesindedir. Alt katmanlara, sahaya, OT ağlarına indiğimizde; aşağıda onlarca farklı bölüm, içlerinde birçok OT ağı, yüzlerce otomasyon cihazı var. Sahadaki ve panolardaki OT cihazlarını, prosesteki yerini, haberleşme yapılarını, protokolleri ve segmentasyon yapılarını bilmek, çok ayrı uzmanlık gerektiren bir seviyedir.
Ülkemizde fabrikalarımız siber saldırıya uğradı. Siber güvenlik firmalarının IT seviyesindeki uzmanlığının OT seviyesinde eksik olduğunu fark ettik. “Bir şeyi en iyi bilen, onu en iyi korur” anlayışıyla, en iyi bildiğimiz alanda güvenlik sağlamaya karar verdik. İki yıldır bu alanda yoğun çalışmalar yürütüyoruz ve her geçen gün tehlikenin boyutunu daha iyi kavrıyoruz.
Saldırı yasamadan, tesislerimiz durdurulmadan, siber güvenlik konusunda farkındalığımız oluşmalı ve gerekli OT siber güvenlik yapılanmalarını kurmalıyız.
Siber saldırılar yeni başlamadı, uzun yıllardır vardı, neden şu anda önemi arttı? OT alanında bu kadar tehlike yokken ne oldu da siber ataklar kritik hale geldi?
Fabrikalardaki OT ağlarında makineler, üretim hatları ve otomasyon sistemleri, her biri sahada lokal olarak çalışan, kendi aralarında haberleşen, üst ağlarla ilişkisi olmayan ve IT ağlarına kesinlikle dahil edilmeyen sistemlerdi. Endüstri 4.0, dijitalleşme konusunda bizi farklı bir seviyeye taşıdı. Tüm PLC’leri fabrika ağına girdik ve gerçek zamanlı üretim verilerini aldık. Makineleri ağa bağladık ve OEE performanslarını hesapladık. Enerji analizörlerini ağa dahil ettik ve enerji maliyetlerimizi hesapladık. SCADA’larımızla haberleşme yaptık ve merkezi izleme dashboard ekranları tasarladık. OPC server kurduk, ERP entegrasyonu yaptık, iş emri ile üretimi eşleştirdik, çıkan ürünü WMS ile depoya otomatik aktardık.
Bu çözümler hayatımızı kolaylaştırdı, üretimi ve kaliteyi artırdı, maliyetleri düşürdü. Ancak daha önce erişilemez durumda olan sahada çalışan cihaz ve sistemlerin tamamını erişilebilir hale getirmiş olduk. Önceden, siber saldırıda fabrika ağına giren bir hacker, IT ağındaki sistemleri ve IT server’larını şifreleyebiliyordu. Şu anda ise OT ağlarına da geçerek PLC, SCADA, makine ve üretim hatlarındaki tüm cihazları şifreleyerek doğrudan üretimi durduruyorlar.
Bu durumda Endüstri 4.0’ın zafiyetlerimizi artırdığını söyleyebiliriz. Peki, bu kadar uzman siber güvenlik firması varken neden OT ağlarımızı koruyamıyoruz?
Uzman bir siber güvenlik ekibi, fabrikaya dışarıdan erişim için güvenli VPN erişimi sağlar. İçeride VLAN ile alt ağları oluşturarak bölümleri birbirinden izole eder. Firewall ve güvenlik kuralları, virüs programları vb. çözümler ile ağı ve cihazları yönetir.
Fakat bir çimento prosesini bilmez. Alt katmanda kaç tane OT ağı olduğunu, her birinin kendi alt ağlarını, haberleştiği saha cihazları, panolar, PLC’ler, Remote IO’lar, sahadaki HMI panelleri, tartım cihazları ve bunların haberleşme protokollerini bilmek, ayrı bir uzmanlık gerektirir. Siber güvenlik firmaları OT seviyesinin öneminin farkında ve kendilerini bu alanda geliştiriyorlar, ancak şu anda yeterli değiller. OT dünyamızın gereksinimlerine kısa sürede hakim olmak pek de kolay değil. Bu nedenle, şu anki siber güvenlik çözümlerinde OT katmanlarında çok fazla açık ve zafiyet bulunmaktadır. Bu süreçte, sahaya hakim bir çimentocu otomasyon uzmanı olarak, hem fabrikalarımıza hem de siber güvenlik çözümü sunan firmalarımıza destek olmak amacıyla siber güvenlik hizmeti vermeye başladık.
Bu yıl, yurtdışında bir firma kurarak Avrupa’daki varlığımızı da güçlendireceğiz.
Çimento sektörü gibi endüstriyel tesislerde siber güvenliğin önemi nedir? Karşılaşılan en büyük tehditler hangileridir?
Çimento sektörü, ülkemizi kalkındıran büyük sektörlerden biri olduğu için, enerji sektöründen sonra önemli hedeflerden biridir. Çimento fabrikalarında; yeni yatırım, kapasite artışı, otomasyon sistemleri, kestirimci bakım, dijitalizasyon projelerinin yanında siber güvenlik birinci öncelik haline gelmelidir. Saldırı yaşamadan, tesislerimiz durdurulmadan, siber güvenlik konusunda farkındalığımız oluşmalı ve gerekli OT siber güvenlik yapılanmalarını kurmalıyız.
Bir fabrika hacklendiğinde, bir anda tüm PLC, SCADA, HMI, ekran, OT cihazları durdurulabilir. Üretim durur, satışlar aksar, para kaybının yanında itibar kaybı yaşanır. Saldırının amacı sadece para ise, büyük meblağlar talep edilebilir. Ancak zarar verme amacı güdülüyorsa, tesislere ve insanlara çok büyük zararlar verilebilir.
Ülkemizde OT siber güvenliği konusuna yeterince önem veriliyor mu? Bu konuda eksik kalan noktalar neler?
Fabrikalardaki IT ekipleri ve hizmet aldıkları siber güvenlik ekiplerinin bu konularda farkındalıkları yüksek olup, gerekli önlemler IT seviyesinde veriliyor. Ancak, IT ağlarında üst seviyede güvenlik varken, OT ağlarında bir o kadar açık ve zafiyet var. IT ağlarında firewall varken OT ağlarında firewall eksik. OT firewall olan yerlerde doğru protokol filtreleme yada OT’nin gereksinimlerine göre doğru kuralların oluşturulması eksik. OT segmentasyon yapısı, OT ağlarının hücrelere ayrılması, birbiriyle haberleşen OT cihazlarının doğru yapılandırılması gerekiyor. Pentestler IT ağlarında yapılırken OT ağlarında yapılamıyor. ISO 27001 Bilgi Güvenliği çalışmaları IT seviyesinde kalıyor, IEC 62443 Endüstriyel Siber Güvenlik standartlarında tesislerimizi ve OT yapılanmalarımızı tekrar oluşturmamız gerekiyor.
OT siber güvenlik alanında yaptığınız uygulamalar ve çözümleriniz nelerdir?
OT seviyesinde birbirinden bağımsız ve farklı yapılarda, farklı siber seviyelerinde OT ağlarımız vardır.
OT Fieldbus ağı; PLC ile altındaki IO modüller, HMI, hız kontrol, tartım vb. cihaz haberleşmeleri olan en alt ağı oluşturur.
OT Plantbus ağı; PLC’lerin birbiriyle haberleşmesi, SCADA server’lar ile haberleşmesi, yerli veya yabancı üreticilerin sistemleri ile haberleşme ağıdır.
OT Terminalbus ağı; server ile operatör Client bilgisayarların, OPC, entegrasyon ve IT ağı ile haberleşme ağıdır.
Bir çimento fabrikasında; paketleme tesisi ile silobas dolum veya torba dolum makinesinin haberleşmesini, çimento değirmeni ile entegrasyonunu, fırın ile soğutma sisteminin haberleşme yapısını, farin ve kömür değirmenlerinin entegrasyonu, kırıcı, reclaimer, stacker haberleşme yapısını ve tüm bunların merkez DCS ile haberleşme yapısını bilmek ve siber güvenlik çözümüne hakim olmak gerekir.
İndas Cybersecurity olarak tüm OT ağlarını tarayıp ilk önce gerçek asset (cihaz) listesini çıkarıyoruz. Sahadaki panoları, üretici firma lokal otomasyon sistemlerini, PLC markaları ve haberleşme protokollerini çıkararak sistem topolojisini oluşturuyoruz. Zafiyet analizi taramaları ile OT sistem açıklarını belirliyoruz ve raporluyoruz. Gerçek uygulama bundan sonra başlıyor ve açığımız olan tüm zafiyetleri kapatmak ve güvenlik altına almak için gerekli çözümleri sunuyoruz.
Siemens 2024 yılında OT siber güvenlik alanında OT firewall, zafiyet analiz yazılımı, gerçek zamanlı izleme yazılımı gibi endüstriyel çözümler sundu. İki yıldır bu alanda yatırım ve çalışma yapmamızın sonucu olarak geçtiğimiz yıl Siemens’in dünyadaki ilk ve tek OT Cybersecurity Partneri olduk. Bunun yanında Fortinet IT/OT Cybersecurity partneri de olarak IT ve OT sistemlerinde anahtar teslimi siber güvenlik hizmeti sunmaya başladık.
İki yıldır bu alanda yatırım ve çalışma yapmamızın sonucu olarak geçtiğimiz yıl Siemens’in dünyadaki ilk ve tek OT Cybersecurity Partneri olduk.
İndas olarak sadece otomasyonla sınırlı kalmayıp siber güvenlikten dijitalizasyona birçok alanda yenilikçi adımlar attınız. Bu vizyonun arkasındaki yaklaşım nedir? İndas’ın gelecekteki hedeflerinden bahseder misiniz?
İndas olarak her zaman farklı vizyonda ilerledik. Sadece otomasyon yazılımı yapmadık, günlerce CCR’dan çıkmayıp operatörlük yaptık, gerçek çimentocu olduk. ERP sistemleri ile entegrasyonu uzun yıllar önce yaptık, sonra Endüstri 4.0 çıktı. Prosesin ihtiyacına göre alt sistemleri birbiriyle haberleştirdik yıllar sonra adı IoT oldu.
Dijitalizasyon projeleri için yerli milli OPC yazılımı geliştirmek istedik ve her marka PLC ve protokol ile haberleşebilecek özel bir yazılım geliştirdik. Yarım saniyede veri okuma yapılabilirken mikrosaniye, nanosaniyede okuma ile veri toplama projeleri gerçekleştirdik.
“Bir otomasyon firması için siber güvenlik zor ve farklı bir alan” sözlerine aldırmadık. Fabrikalarımızın hacklenmesi bir milli meseledir diyerek kendimize farklı bir misyon ve görev yükledik.
Benim ve şirket yöneticilerimizin kariyer hedefimiz, İndas’ı bir dünya markası haline getirmektir. Bu yıl, yurtdışında bir firma kurarak Avrupa’daki varlığımızı da güçlendireceğiz. Yurtiçi ve yurtdışında, ülkemize katma değer sağlayan başarılı projeler üretmeye devam edeceğiz.
