IT ve OT: İki Farklı Dünyanın Çarpışması ve Binaların Yeni Güvenlik Cephesi

Bir önceki yazımda, BMS sistemlerinin binaları nasıl “akıllı” ve “verimli” hale getirdiğini konuşmuştuk. Ancak binalar akıllandıkça, daha önce hiç karşılaşmadıkları bir tehditle yüz yüze gelmeye başladılar: Siber Saldırılar.

Eskiden bina yönetim sistemleri (kazanlar, asansörler, havalandırma), dış dünyadan izole, kapalı devre sistemlerdi. Buna “Air Gap” (Hava Boşluğu) denirdi. Ancak internetin yaygınlaşması, Nesnelerin İnterneti (IoT), zaman ve güç kaybının önüne geçmek için gereken uzaktan erişim ihtiyacı ve veri analitiği talepleri bu boşluğu ortadan kaldırdı.

Bugün, her iki alan, yani IT (Bilgi Teknolojileri) ve OT (Operasyonel Teknolojiler) iç içe geçmiş durumda. Ancak sorun şu ki; aslında bu iki dünya tamamen farklı dilleri konuşuyor ve farklı önceliklere sahip.

IT ve OT: Kavramsal Karmaşa

Öncelikle karmaşanın ortadan kalkması adına tanımları netleştirelim:

• IT (Information Technology – BT – Bilişim Teknolojisi): Verinin akışı, saklanması ve işlenmesiyle ilgilenir. E-postalar, sunucular, ERP yazılımları, finansal veriler IT’nin dünyasıdır. Yani aslında “son kullanıcıyı” ilgilendiren kısım diyebiliriz.
• OT (Operational Technology – OT – Operasyonel Teknoloji): Fiziksel dünyadaki değişiklikleri izleyen ve kontrol eden donanım ve yazılımlardır. BMS, SCADA, PLC’ler, vanalar ve sensörler OT’nin dünyasıdır.

Bu iki dünya bir araya geldiğinde çatışma başlar. Çünkü bu iki sistemin öncelik sıralamaları birbirinin tam tersidir.

1. CIA Üçgeninin Tersi (En Kritik Fark)

Siber güvenlikte “CIA Üçgeni” (Confidentiality – Gizlilik, Integrity – Bütünlük, Availability – Erişilebilirlik) standarttır. Ancak IT ve OT bu üçgeni farklı yorumlar:

• IT Dünyasında Öncelik: Gizlilik (Confidentiality). Bir firmanın müşteri verileri çalınırsa bu bir felakettir. Burada sistem 1 saat dursa bile, veri gizliliği kadar kritik olmayabilir. Buna benzer durumları tecrübe etmişliğimiz var. Bu durumda BT’de sıralama şöyledir: Gizlilik > Bütünlük > Erişilebilirlik.
• OT Dünyasında Öncelik: Erişilebilirlik (Availability) ve Güvenlik (Safety). Bir hastanenin havalandırma sistemi veya bir veri merkezinin soğutma sistemi “duramaz”. Verinin gizli olup olmaması, sistemin o an çalışmasından daha önemsizdir. Bir yangın anında kapıların açılması (Safety), o verinin şifreli olmasından çok daha hayatidir. Bir ameliyat esnasında oda sıcaklığının değiştiğini ya da enerjinin gittiğini düşünün. Bu durumda sıralamamız Erişilebilirlik > Bütünlük > Gizlilik olarak değişecektir.

2. Yaşam Döngüsü ve Güncellemeler (Patching)

IT dünyasında bir Windows sunucusunu güncellemek veya yeniden başlatmak (reboot) sıradan bir iştir. Güvenlik yaması çıkar çıkmaz yüklenir, ek bir prosedüre gerek yoktur.

OT dünyasında ise bir sistemi “yeniden başlatmak” bazen imkansızdır. 7/24 çalışan bir fabrikanın veya hastanenin BMS sunucusunu “Update var” diye kapatamazsınız. Bu yüzden OT sistemlerinde genellikle eski işletim sistemleri (Windows 7, hatta XP) ve yamalanmamış yazılımlar bulunur. Bu da onları siber saldırılara karşı savunmasız bırakır. Güncel bir işletim sistemi kurmak her zaman sistemleri kurtaracak olsa da, saha ekipmanlarının eski teknolojisi bazen buna izin vermez.

3. Protokoller: Sessiz Çığlıklar

IT dünyası, şifrelenmiş ve güvenli protokoller (HTTPS, SSH) kullanır. OT dünyası ise BACnet, Modbus, LonWorks gibi protokoller üzerine kuruludur. Bu protokoller tasarlandığında siber güvenlik bir endişe değildi.

• Risk: Bir ağa sızan saldırgan, Modbus komutlarını şifresiz (clear text) olarak görebilir ve manipüle edebilir. Örneğin, BMS’e “Sıcaklığı 80 dereceye çıkar” komutunu gönderdiğinde, sistem bunu sorgusuz sualsiz kabul eder.
• Ağ Trafiği Sorunu: Kullanılan BACnet/IP protokolü, haberleşmek için tüm ağa “Broadcast” yayını yapar. Bu, IT ekipleri için hem yönetilmesi zor hem de takip edilemeyen büyük bir veri trafiği anlamına gelir.

Binalar İçin Siber Tehdit Senaryoları

Peki, binalar neden hacklenir?

1. Fidye Yazılımları (Ransomware): “Binanızın kontrolünü kilitledik. Soğutma sistemini açmamız için 100 Bitcoin ödeyin.” Bu, özellikle veri merkezleri ve hastaneler için kabus senaryosudur.
2. Sıçrama Tahtası Olarak Kullanım: Ünlü “Target Market” saldırısında, hackerlar marketin kredi kartı verilerine, binanın klima (HVAC) sistemine bakım yapan firmanın ağ şifrelerini çalarak ulaşmışlardır. Bina sistemleri genellikle ağın “yumuşak karnı”dır.
3. Fiziksel Zarar: Soğutma sistemlerini kapatarak sunucuları eritmek veya yangın söndürme sistemlerini devre dışı bırakmak.

Sonuç: Hibrit Bir Savunma Yaklaşımı

Artık “Bizim BMS internete bağlı değil” demek geçerli bir savunma değil. Çözüm, IT ve OT ekiplerinin birlikte çalışmasından geçiyor.

• OT mühendisleri, siber hijyen ve ağ segmentasyonu öğrenmeli.
• IT uzmanları, bir PLC’ye “Ping” atmanın bile sistemi durdurabileceğini anlamalı.

Akıllı binalar, ancak “Güvenli Binalar” olduğu sürece geleceğin yaşam alanı olabilir.

Gelecek ay, serimize “Geleceğin Teknolojileri – Yapay Zeka, IoT ve Bulut Tabanlı BMS Sistemleri Nereye Gidiyor?” yazısı ile devam edeceğiz.