Asansörler ve Siber Güvenlik

Olası sorunlar ve şirketinizin korunması için neler yapılabilir?

Yazan: Madeleine Olausson, EW Birleşik Krallık Muhabiri

Asansörler, birbirinden bağımsız elektromekanik sistemlerden bağlantılı, yazılım tabanlı platformlara doğru sürekli olarak geliştirilirken, siber güvenlik neredeyse güvenlik kadar kritik hale geldi. Uzaktan izleme, dijital servis araçları, Nesnelerin İnterneti (IoT) özellikli kontrolörler ve bulut bağlantılı hedef sistemleri yeni fırsatlar sunarken, aynı zamanda yeni riskler de getiriyor.

Bir bilgisayar korsanı, asansörün anormal davranmasına, örneğin kapıların açık kalmasına veya normal çalışmasının bozulmasına neden olabilir. Asansörün bozulması, insan akışını ve bina güvenliğini ciddi şekilde etkiler. İtfaiye asansörü veya tahliye asansörü gibi tanımlanmış bir güvenlik rolüne sahip binalarda, bir arıza binanın acil durum prosedürlerini önemli ölçüde etkileyebilir. Asansör sistemine sızmak, binanın diğer bölümlerine erişim için de mükemmel bir basamak oluşturur. Artan bağlantı sayesinde, asansör, HVAC ve yangın sistemleri gibi diğer alt sistemlere giriş noktası olabilir.

Saldırı Nasıl Gerçekleşir?

Siber saldırı kelimesi akla her türlü görüntüyü getirebilir. 10 vakadan 9'unda durum böyle değildir.^[1]Bir saldırı, başarılı bir kimlik avı girişiminin sonucudur. Başka bir deyişle, birisi bir e-postadaki bir bağlantıya tıklar veya bir eki açar ve istemeden saldırganlara sisteme erişim sağlar. Eskiden bu tür e-postalar yazım hatalarıyla dolu ve açıkça sahte olacak şekilde tasarlanmıştı. Bu hataları fark etmeyen herkesin bir bağlantıya tıklama ve dolandırıcılığa kanma olasılığı daha yüksekti. Yapay zekâ ile e-postalar daha karmaşık hale geldi, ayırt edilmeleri daha zorlaştı ve daha fazla ve daha yüksek değerli hedefi hedef aldı. Hackerlar milyonlarca e-postayı çok ucuza gönderebilir ve suç girişimlerine fayda sağlamak için bir veya iki tıklama yeterlidir. Son zamanlarda, bir kişinin sesinin yapay zekâ aracılığıyla kopyalandığı vakalar yaşandı ve bu da gerçek bir isteği sahte bir istekten ayırmayı daha da zorlaştırdı.

Kimlik avı genellikle saldırıları mümkün kılan bir geçittir. Hiscox Sigorta'ya göre, İngiltere'deki küçük ve orta ölçekli işletmeleri (KOBİ'ler) hedef alan en sık saldırı türü şudur:

Şu anda ödeme talimatlarının değiştirildiği ödeme yönlendirme dolandırıcılığı mevcut. Bir diğer saldırı türü ise fikri mülkiyet casusluğu, yani gizli verilerin elde edilmesi ve casusluk yapılmasıdır. Bir diğeri ise siber gasp olup, saldırgan ödeme yapılmadığı takdirde mali kayıtları, sözleşme verilerini ve fikri mülkiyeti ifşa etmekle tehdit eder. Veya bir BitLocker grubu tüm dosyalarınızı kilitler ve kendi sistemlerinize tekrar erişim sağlamak için fidye ister. Diğer saldırılar arasında Dağıtılmış Hizmet Engelleme (DDoS) kampanyası başlatmak veya kripto para madenciliği kötü amaçlı yazılımı dağıtmak yer almaktadır. DDoS, bir sistemi çok fazla veriyle aşırı yükleyerek yavaşlatmak için kullanılır. Kripto para madencisi, makinenin işlem gücünü kullanarak, enerji çalarak kripto para madenciliği yapar. Ne yazık ki, çok çeşitli saldırılar gerçekleşebilir.

Olası bir etki, ağ tıkanıklığı veya kötü amaçlı yazılım yüklenmesi nedeniyle asansörün izleme sunucularına rutin durum mesajları göndermesinin engellenmesi durumunda ortaya çıkar. Bu mesajların yokluğu, izleme sunucusunun operasyonel bir istekte bulunmasına neden olabilir. Bu tür bir istek, asansörün varsayılan bir kata dönmesini veya normal işlemlerini geçici olarak askıya almasını emredebilir. Hayati fonksiyonların hiçbirinin harici iletişime bağlı olmaması çok önemlidir.

Benzer şekilde, bina ağı kötü amaçlı trafik veya anormal kaynak tüketimi nedeniyle aşırı yüklenirse, temel denetim sistemleri asansörle iletişim kuramayabilir; bu da sevk gecikmelerine, hizmet kesintilerine veya kapanmalara neden olabilir.

Şirketinizi Nasıl Korursunuz?

Siber güvenlik söz konusu olduğunda teknik ve prosedürel yönler dengelenmelidir. Teknik olarak güvenli sistemlere sahip olabilirsiniz, ancak birisi şifresini paylaşırsa, güvenliğiniz tehlikeye girer ve temelde ortadan kalkar. İyi prosedürlere sahip olabilirsiniz, ancak güncel güvenlik önlemleri olmayan eski sistemleriniz varsa, genel güvenliğiniz de çok düşüktür. Personelinizi bağlantılara tıklamamaları, program yüklememeleri veya veri paylaşmamaları konusunda eğitmek ve siber güvenlik konusunda genel bir farkındalığa sahip olmalarını sağlamak ilk adımdır. Personeli riskten kaçınma konusunda eğitmek önemlidir, ancak bir saldırıya maruz kaldığınızda uygulanacak prosedürlere sahip olmak da aynı derecede önemlidir. Yayılmayı nasıl en aza indiririz ve her şeyi nasıl tekrar çalışır hale getiririz? Ne yazık ki, günümüzde siber saldırıya uğramak "eğer" değil, "ne zaman" sorusudur. 2024 yılında, tüm Birleşik Krallık işletmelerinin %40'ından fazlası, yani 600,000'den fazla kuruluş siber saldırıya maruz kaldı.^[2]

Teknik yönü nasıl kontrol edebilirsiniz? Bir cevap, sızma testi veya kısaca penetrasyon testi yapmaktır. Bu, iyi niyetli kişilerin kötü niyetli kişilerin fırsat bulmadan önce sisteminizi hacklemeye çalışmasıdır. Liftinstituut'tan Tijmen Molema, "Deneyimlerimize göre, sızma testleri, iyi tasarlanmış sistemlerde bile neredeyse her zaman iyileştirme fırsatlarını ortaya çıkarır" diyor.

Molema ayrıca, sızma testinin korkulacak bir şey olmadığını, aksine bir öğrenme deneyimi olarak görülmesi gerektiğini söylüyor. Şirketinizi daha iyi nasıl savunacağınızı öğrenmenin çok iyi bir yoludur. Sistemin büyüklüğüne ve kapsamına bağlı olarak, öğrenmenin birden fazla yolu vardır. En iyi yol, birden fazla test uzmanının birden fazla gün boyunca testler yapmasıdır. Bu, test uzmanlarına kendi aralarında tartışma ve ekip olarak çalışma şansı verir. İyileştirme için ilk noktalar genellikle ilk saat içinde bulunur, ancak bir testin birkaç gün boyunca yürütülmesine izin verilerek, test uzmanları hem donanım hem de Ethernet'teki sorunlar hakkında iyi bir genel bakış elde edebilirler. Yaşam boyu uzmanlık ve sızma testi bilgisinin birleşimi büyük bir avantajdır: Ekibin zayıf noktaları değerlendirmesini ve etkiyi öngörmesini sağlar.

İnternet, tarayıcılar tarafından sürekli olarak otomatik olarak taranmaktadır. Bu tarayıcılar, açık portları, yani bir cihazın dış dünyayla etkileşim kurmasını sağlayan iletişim kanallarını bulmaya çalışırlar. Bir tarayıcı açık bir port bulduğunda, bilgisayar korsanı bunun ilgi çekici bir şey olup olmadığını kontrol eder. Açık portlar genellikle cihaz türü, üretici adı veya kullanılan yazılım gibi kritik bilgileri ortaya çıkarır. Bu, saldırganların bilinen güvenlik açıkları veya zayıf güvenlik yapılandırmalarına sahip sistemleri belirlemelerine yardımcı olabilir.

Molema ayrıca, temel siber güvenlik prensiplerinin, varlık ne olursa olsun (mikrodalga fırın da asansör de olabilir) genel olarak aynı olduğunu söylüyor. Bununla birlikte, asansör gibi güvenlik açısından kritik sistemlerde, uygulamaları ve etkileri çok farklıdır çünkü arızalar doğrudan fiziksel güvenliği etkileyebilir. Hackerlar veriler konusunda çok bilgilidir, ancak her zaman bunun tüm sonuçlarını tam olarak anlamazlar. Sızma testi sırasında, "saldırıların" sonuçlarının tam olarak anlaşılabilmesi için test uzmanları ve şirket arasında genellikle bir "çeviri katmanına" ihtiyaç duyulur.

Hoş olmayan bir durum olsa da, siber saldırılar nihayetinde bir iş modelidir. Bir bilgisayar korsanı genellikle bir şirketin cirosunun belirli bir yüzdesine veya sabit bir miktara denk gelen, hangisi daha yüksekse o miktarda fidye talep eder. Asansör sektöründeki bir şirket için bu, yıllık cironun %1.4'ü veya 7 milyon sterline kadar olabilir. Bu, bilgisayar korsanlarının şirketlerin iflas etmeden ödeyebilecekleri bir seviye olarak gördüğü bir miktardır. Siber güvenlik uygulamaları yetersiz olan bir şirket için uygulanan mali cezaların benzer bir seviyede olması ironik görünebilir. Bu, sadece caydırıcı bir etki yaratmak ve şirketlerin siber güvenliğe gerekli çabayı göstermelerini sağlamak içindir.

Siber güvenliğiniz iyi olduğunda, bunun değerini çoğu zaman göremezsiniz. Ancak, zayıf güvenliğe sahip olmanın maliyeti çok yüksek olabilir. İtibar kaybı, bir siber saldırı nedeniyle meydana gelen anlık kayıplar kadar yıkıcı olabilir.

Yeni yılın başlangıcıyla birlikte siber güvenliğinizi gözden geçirmek için iyi bir zaman. Sistemleri gözden geçirmek, gerekli olanları öğrenmek ve uygulamak, çalışanlarınızı eğitmek vb. süreçler bir yıl kadar sürebilir.

Asansörler için Siber Güvenlik: IEC 62443-4-2'yi Anlamak 

Molema, güvenli endüstriyel bileşenler için önemli bir standart olan IEC 62443-4-2'ye uyulmasını önermektedir. İşte bu standardın yedi şartının asansör sektörü bağlamında ne anlama geldiği.

1. Kimin Kim Olduğunu Bilmek: Kimlik ve Kimlik Doğrulama Kontrolü

Güvenli bir sistem, kimlik konusunda netlikle başlar. Birçok aktör asansör kontrol ünitesi ve ilgili alt sistemlerle etkileşim halindedir. IEC 62443-4-2 standardı, her kullanıcının, cihazın ve yazılım sürecinin erişim sağlamadan önce kim olduklarını kanıtlamasını gerektirir. Servis araçları, varsayılan şifreler yerine güvenli bir şekilde kimlik doğrulaması yapmalıdır. Asansör kontrol üniteleri, uzaktan teşhis bağlantılarının kimliğini doğrulamalıdır. Bu, yetkisiz kişilerin veya kötü amaçlı cihazların meşru bakım personeli veya sistem bileşenleri gibi davranmasını önlemeye yardımcı olur.

2. Hassas İzin: Kontrolü Kullanın

Sisteme kimin veya neyin eriştiğini öğrendikten sonraki soru şudur: Neler yapmalarına izin veriliyor? Burada, her kimliğin ne yapabileceğini tanımlayarak ve en az ayrıcalık ilkesini uygulayarak kontrol adımları kullanın. Örneğin: Yapılandırma değişiklikleri yalnızca sertifikalı teknisyenler tarafından yapılmalıdır ve uzaktan izleme sistemleri verileri okuyabilir ancak parametreleri değiştiremez. Bu, hem kazaların hem de saldırıların riskini en aza indirir ve bir davetsiz misafir içeri girse bile erişiminin sınırlı kalmasını sağlar.

3. Kodun Temiz ve Kötü Amaçlı Yazılımlara Karşı Korunmuş Halde Tutulması: Sistem Bütünlüğü

Asansör kontrol ünitesinin yazılımında değişiklik yapılması, öngörülemeyen arızalardan güvenlik açısından kritik davranışlara kadar ciddi sonuçlar doğurabilir. Sistem bütünlüğü gereksinimleri, yazılım, bellenim ve yapılandırma dosyalarının tam olarak amaçlandığı gibi kalmasını sağlar. Örneğin, kontrol üniteleri ve sürücülerdeki bellenim kriptografik olarak imzalanmalı, kod veya parametrelerde yetkisiz değişiklikler tespit edilmeli ve güncellemeler yalnızca güvenilir bir kaynaktan geliyorsa yüklenmelidir. Saha operasyon bakım ekipleri için bu, üzerinde çalıştıkları sistemin orijinal, değiştirilmemiş ve güvenli bir şekilde çalıştırılabilir olduğuna dair güven anlamına gelir.

4. Önemli Olanı Koruyun: Veri Gizliliği

Asansör sistemleri giderek artan bir şekilde kat kullanım modelleri, erişim kontrolü etkileşimleri, teşhis kayıtları, yolcu akışı istatistikleri ve daha fazlası gibi veriler üretmekte ve iletmektedir. Veri gizliliği gereksinimleri, hassas bilgilerin korunmasını sağlar; bu genellikle güçlü anahtar yönetimiyle desteklenen, verilerin depolanması ve iletilmesi sırasında şifreleme yoluyla sağlanır. Gizlilik sadece mahremiyetle ilgili değildir; aynı zamanda saldırganların bir binanın faaliyet modelleri hakkında istihbarat toplamalarını da engeller.

5. Yalnızca Doğru Trafik: Kısıtlı Veri Akışı

En etkili siber güvenlik stratejilerinden biri, en az ayrıcalık ilkesini izlemek ve gereksiz tüm bağlantılardan kaçınmaktır. Kısıtlı veri akışı, segmentasyonu teşvik ederek, bir güvenlik açığının ne kadar yayılabileceğini sınırlayan engeller oluşturur. Güvenlik duvarları, erişim kuralları ve minimum bağlantı, saldırganların istismar edebileceği yolları azaltır. Bir alanda bir güvenlik açığı ortaya çıkarsa, segmentasyon bunun sistem çapında bir felakete dönüşmesini önler.

Güvenlik açısından kritik bileşenlerin (örneğin, kontrol ünitesi, tahrik sistemi, emniyet zinciri) bilgi-eğlence veya reklam sistemlerinden ayrılması, kabin Wi-Fi'sinin veya dijital tabelaların asansör kontrol ağına ulaşamamasının sağlanması ve bina BT ile asansör OT (operasyonel teknoloji) ortamları arasında güvenlik duvarları kullanılması önerilmektedir.

6. Sinyalleri Kaçırmayın: Olaylara Zamanında Müdahale Edin

Modern asansörler sensörler ve teşhis yetenekleriyle doludur. Siber güvenlik, sinyallere bir kategori daha ekler: şüpheli erişim girişimleri, yapılandırma anormallikleri, beklenmedik aygıt yazılımı davranışı ve daha fazlası.

IEC 62443-4-2 standardı, bileşenlerin anlamlı olayları kaydetmesini, olağandışı bir durum meydana geldiğinde uyarı oluşturmasını ve siber tehditleri tespit etmede izleme sistemlerini desteklemesini gerektirir. Servis kuruluşları için bu, proaktif bakımı iyileştirir ve sorunların arızalara veya güvensiz durumlara yol açmadan önce belirlenmesine yardımcı olur.

7. Her zaman açık: Kaynak Kullanılabilirliği

Kaynak kullanılabilirliği gereksinimleri, bileşenlerin stres veya saldırı altında bile çalışır durumda kalmasını sağlar. DDoS saldırılarına, kaynak tükenmesine ve donanım arızalarına karşı koruma, güvenilirliğin korunmasına yardımcı olur.

Bu, ağda aşırı yüklenmeye veya kontrol ünitesi aşırı yüklenmesine karşı koruma, kritik sistemler için yedek iletişim yolları ve bir bileşen kararsız hale gelirse kademeli düşüş gibi özellikleri içerebilir. Üreticiler ve bakım sağlayıcıları için bu, daha uzun çalışma süresi ve daha güvenli sürekli çalışma anlamına gelir.

Siber güvenlik, mekanik güvenliğin yerini almıyor, onu güçlendiriyor. Asansörler daha bağlantılı, bulut entegre ve yazılım odaklı hale geldikçe riskler de değişiyor. IEC 62443-4-2, yolcuları, operatörleri ve bina sahiplerini koruyan güvenli bileşenlerin oluşturulması ve bakımı için bir yol haritası sunuyor.

Siber Güvenlik Yasaları ve Yönergeleri

Birleşik Krallık'ta, yetkisiz bilgisayar sistemlerine, verilere ve işlevlerin kötüye kullanımına izinsiz erişimi suç sayan 1990 tarihli Bilgisayar Kötüye Kullanım Yasası da dahil olmak üzere (ancak bunlarla sınırlı kalmamak kaydıyla) çeşitli siber güvenlik yasaları bulunmaktadır. Bu yasa, etik hacker'lar ve güvenlik araştırmacıları için bir savunma mekanizması oluşturmak üzere yeniden düzenlenmiştir. 2018 tarihli Veri Koruma Yasası, Avrupa Birliği'nin (AB) (Genel Veri Koruma Yönetmeliği) yasalarının Birleşik Krallık versiyonudur ve kapsam olarak oldukça benzerdir.

NIS 2018, AB Ağ ve Bilgi Sistemleri Yönetmeliği (NIS) direktifinin İngiltere yasalarına uyarlanmış halidir. Bu yasa yalnızca temel hizmetler için geçerlidir ve kapsamı, Kasım 2025'te İngiltere Parlamentosuna sunulan yeni Siber Güvenlik ve Dayanıklılık (Ağ ve Bilgi Sistemleri) Yasa Tasarısı (CS&R Yasa Tasarısı) ile genişletilmektedir. Bu yasa ayrıca dayanıklılık yükümlülüklerini ve raporlama gerekliliklerini de güçlendirecektir.

Diğer en iyi uygulama çerçeveleri arasında Siber Değerlendirme Çerçevesi ve Siber Temel Gereksinimler+ yer almaktadır. İkincisi genellikle Birleşik Krallık kamu sektörüyle iş yapmak için gereklidir, ancak güvenli tedarik zincirleri isteyen daha fazla özel şirket de bunu talep etmektedir. Buna ek olarak, işletmeler tarafından sıklıkla talep edilen ISO 27001 gibi küresel standartlar ve çerçeveler de bulunmaktadır.

AB'nin güçlendirilmiş siber güvenlik önlemleri olan NIS-2 Direktifi ve Siber Direnç Yasası (CRA) zorunlu hale gelecek. Direktif Avrupa düzeyinde zaten kabul edildi ancak henüz her üye devlette uygulanmadı. Bu "eksiklik" CRA'da değil: Bu, Aralık 2027 sonunda her üye devlette yürürlüğe girecek bir düzenleme olacak.

NIS-2 Direktifi, bir şirketin siber güvenliğe sahip olması gerektiği ve bir sorun yaşanması durumunda şirketin olayla ilgili kısa bir raporu derhal, daha uzun bir raporu ise iki hafta içinde yayınlayabilmesi gerektiği anlamına gelir. Bunun amacı, olaydan ders çıkarmak ve neden yaşandığını anlamaktır. Bu mevzuat Brexit'ten sonra yürürlüğe girdiğinden, İngiltere pazarında geçerli değildir, ancak Avrupa ülkelerine ihracat yapan İngiliz işletmeleri için elbette dikkate alınmalıdır.

Siber Dayanıklılık Yasası, ürünlerin en başından itibaren siber güvenlik göz önünde bulundurularak tasarlanması, geliştirilmesi ve üretilmesi gibi ek kurallar getiriyor. CRA, üreticilerin desteklenen süre boyunca güvenlik açıklarını belirleme, değerlendirme ve giderme sürecini uygulamalarını şart koşuyor.

Referanslar

[1] İşletmeleri Hedef Alan Kimlik Avı Saldırılarına İlişkin İstatistikler | Huntress

[2] Summary of the Bill - GOV.UK