Endüstriyel Otomasyon Siber Güvenliği (IEC 62443) Belgelendirmesi

IEC 62443, endüstriyel otomasyon ve kontrol sistemleri (IACS) için siber güvenlik standartları ailesidir. BT güvenliğinden farklı bir öncelik sırası vardır: operasyonel teknolojide erişilebilirlik ve süreç güvenliği, gizlilikten önce gelir. Standart, sorumluluğu üç role dağıtır — varlık sahibi, sistem entegratörü ve ürün tedarikçisi — ve her rol için ayrı bölümler içerir. Merkezinde bölge/kanal (zone/conduit) modeli ve güvenlik seviyesi (SL 1-4) kavramı bulunur.

• Endüstriyel kontrol sistemi (PLC, DCS, SCADA) üreticileri
• Otomasyon sistemi entegratörleri
• Enerji, su, kimya ve üretim tesisi işletmecileri
• Kritik altyapı operatörleri
• Endüstriyel IoT ve uzaktan izleme çözümü sağlayıcıları

Standardın kendisi genel olarak zorunlu değildir. Buna karşılık kritik altyapı ve ağ güvenliği düzenlemeleri (ör. AB'de NIS2) operatörlere güvenlik yükümlülükleri getirmekte ve IEC 62443 bu yükümlülüklerin karşılanmasında referans alınmaktadır. Belgelendirme rol bazındadır: ürün için IEC 62443-4-1/4-2, entegratör için 62443-2-4, varlık sahibi için 62443-2-1 kapsamında değerlendirme yapılır.

• 62443-2-1 — Varlık sahibi: IACS güvenlik programı ve yönetim sistemi
• 62443-2-4 — Hizmet sağlayıcı: entegratörler için güvenlik program şartları
• 62443-3-2 — Sistem tasarımı: risk değerlendirmesi, bölge ve kanal (zone/conduit) modellemesi, hedef güvenlik seviyesinin belirlenmesi
• 62443-3-3 — Sistem güvenlik şartları: yedi temel şart (FR) ve güvenlik seviyeleri
• 62443-4-1 — Güvenli ürün geliştirme yaşam döngüsü: tehdit modelleme, güvenli tasarım ve kodlama, zafiyet testi, yama yönetimi, destek sonu
• 62443-4-2 — Bileşen güvenlik şartları: gömülü cihaz, ana bilgisayar, ağ cihazı ve uygulama için teknik şartlar
• Temel şartlar (FR): tanımlama ve kimlik doğrulama kontrolü, kullanım kontrolü, sistem bütünlüğü, veri gizliliği, veri akışının kısıtlanması, olaylara zamanında müdahale, kaynak erişilebilirliği
• Güvenlik seviyeleri: SL 1 (kazara) — SL 4 (yüksek kaynaklı, hedefli saldırgan)

1. 1Başvuru ve Ürün TanımıÜrün ailesi, model listesi, teknik özellikler ve hedef pazar belirlenir. Uygulanacak standart ve belgelendirme yolu bu adımda netleşir.
2. 2Teknik Dosya İncelemesiTasarım dokümanları, malzeme listesi, kritik bileşen sertifikaları ve kullanım kılavuzu incelenir.
3. 3Ürün Testleriİlgili standardın gerektirdiği deneyler yapılır. Test raporu, belgelendirme kararının temel dayanağıdır.
4. 4Fabrika DenetimiŞema gerektiriyorsa üretim yerinde imalatın sürekliliği ve ürün kontrolü (FPC) doğrulanır.
5. 5Belge Düzenlenmesi ve İşaretlemeUygunluk doğrulandığında belge düzenlenir; ürün ve ambalaj üzerindeki işaretleme kuralları uygulanır.
6. 6Takip DenetimleriŞemaya göre periyodik fabrika denetimi ve/veya piyasadan numune alınarak takip testi yapılır.

Geçerlilik süresi şemaya göre değişir: kimi ürün belgesi süresiz olup periyodik fabrika denetimine bağlıdır, kimi şema (ör. ülke pazar işaretleri) yıllık veya sevkiyat bazlı yenileme ister. Ürün tasarımında yapılan her değişiklik belgenin gözden geçirilmesini gerektirir.

• Ürün model ve varyant listesi
• Teknik çizim, şema ve malzeme listesi
• Kritik bileşenlerin sertifikaları
• Kullanım kılavuzu ve etiket örneği
• Varsa mevcut test raporları
• Üretim yeri bilgileri

Sabit bir liste fiyatı yoktur; maliyet aşağıdaki değişkenlere göre hesaplanır ve teklifte yazılı olarak verilir.

• Ürün ailesindeki model ve varyant sayısı
• Uygulanacak standardın gerektirdiği test kapsamı
• Fabrika denetimi gerekip gerekmediği
• Hedef pazar sayısı ve her pazarın ayrı test isteyip istemediği
• Mevcut test raporlarının kabul edilip edilemeyeceği

Ürün belgelendirmesi ISO/IEC 17065 kapsamında yürütülür; belgelendirmeye dayanak olan deneyler ise ISO/IEC 17025 akreditasyonuna sahip laboratuvarlarda yapılır. İki kapsam birbirinden ayrıdır. Akreditasyon kurumları arasındaki tanınma IAF ve ILAC anlaşmalarıyla sağlanır.

Bu şemanın hangi kapsamda sunulabildiği ürününüze ve faaliyetinize göre değişir; teklif aşamasında yazılı olarak teyit edilir.

• Common CriteriaOrtak Kriterler
• Cybersecurity AssessmentSiber Güvenlik Değerlendirmesi
• ISO/IEC 27001Bilgi Güvenliği Yönetimi
• ISO/IEC 27017Bulut Güvenliği
• ISO/IEC 27018Bulutta Kişisel Veri
• ISO/IEC 27701Gizlilik Bilgi Yönetimi
• ISO/IEC 42001Yapay Zeka Yönetim Sistemi
• SOC 1Finansal Raporlama Kontrolleri