Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliği Uyum Danışmanlığı

Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliğine uyumluluk çalışmalarınızda yanınızdayız.

EPDK tarafından 6 Haziran 2023 tarihinde yayınlan Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliğine, enerji sektöründe kullanılan Endüstriyel Kontrol Sistemlerinin siber güvenliğine yönelik tedbir ve iyileştirme çalışmalarını içermektedir.

Yönetmeliğin amacı, enerji sektöründe kullanılan Endüstriyel Kontrol Sistemlerinin siber güvenliğini sürekli olarak gelişen ihtiyaç ve tehditlere göre iyileştirmeye, asgari kabul edilebilir güvenlik seviyesini tanımlamaya ve bu sistemlerin siber dayanıklılığına, yeterliliğine ve olgunluğuna ilişkin usul ve esasları düzenlemektir.

Yönetmelik, elektrik iletim lisansı sahibi, elektrik dağıtım lisansı sahibi, geçici kabulü yapılmış ve işletmedeki kurulu gücü 100 MWe ve üzeri lisansa sahip her bir elektrik üretim tesisi sahibi, boru hattı ile iletim yapan doğal gaz iletim lisansı sahibi, sevkiyat kontrol merkezi kurmakla yükümlü doğal gaz dağıtım lisansı sahibi, doğal gaz depolama lisansı sahibi (LNG, yer altı), ham petrol iletim lisansı sahibi ile rafinerici lisansı sahibi tüzel kişilerden oluşan kuruluşların endüstriyel kontrol sistemlerinin güvenliğinin ve güvenilirliğinin sağlanmasına ilişkin uygulanacak hükümleri kapsar.

Yönetmelikte yer alan güvenlik standartları, aşağıdaki ana kontrol başlıkları altında toplanmıştır:

• Endüstriyel ağ güvenliği (EAG): Elektrik üretim ana endüstriyel kontrol sistemlerinde (EKS) hizmet veren bileşenlerin bulunduğu tüm alanlara yönelik ağ güvenliği, geniş alan ağı güvenliği, iletişim güvenliği, protokol güvenliği, kablosuz ağ güvenliği, entegrasyon güvenliği kontrollerini içerir.

• Endüstriyel istemci ve sunucu güvenliği (İSG):  Elektrik üretim endüstriyel kontrol sistemleri (EKS) içerisinde hizmet veren sunucu ve istemci güvenliğine dair olan mantıksal ve fiziksel güvenlik kontrollerini içerir.

• Endüstriyel tehdit ve zafiyet yönetimi(TZY): Elektrik üretim endüstriyel kontrol sistemlerine (EKS) yönelik tehdit ve zafiyet yönetimi kontrollerini içerir.

• Endüstriyel siber güvenlik risk yönetimi(ERY): Endüstriyel siber güvenlik risk yönetimine  yönelik kontrolleri içerir.

• Endüstriyel varlık, değişim ve konfigürasyon yönetimi (VKY): EKS (EKS ile etkileşimi olan KBS varlıklarını da içerecek şekilde) ve bilgi varlıkları yönetimi, değişimi ve konfigrasyon yönetimi konusundaki kontrolleri içerir.

• Endüstriyel kimlik ve erişim yönetimi (KEY):  Elektrik üretim endüstriyel kontrol sistemlerinde (EKS) bulunan bileşenler için kimlik ve erişim yönetimi kontrollerini içerir.

• Endüstriyel olay yönetimi ve süreklilik (OYS) :  Elektrik üretim şalt sahası endüstriyel kontrol sistemlerinde olay yönetimi, süreklilik, yedekleme ve yedeklilik kontrollerini içerir.

• Akıllı cihaz güvenliği (ACG) :  Elektrik üretim tesisi bünyesinde kullanılan akıllı/endüstriyel cihazların güvenliğini ele alan kontrolleri içerir. 

• Endüstriyel operasyon güvenliği (EOG) : Süreçlerde operasyon kaynaklı olası risklerin nasıl yönetileceğini ele alan kontrolleri içerir. 

• İnsan kaynakları güvenliği (İKG) : Personel kaynaklı olası riskleri yönetmek amaçlı belirlenmiş kontrol maddeleridir. Kritik enerji altyapılarında çalışan tüm personel için istihdam öncesi, sırası ve sonrasında uygulanması gereken kontrolleri içerir.

• Fiziksel güvenlik (FZG) : Çevresel kaynaklı tehdit ve risklerin yönetimine dair kontrollerin ele alındığı başlıktır. Endüstriyel altyapıların sektörlerine uygun, dağıtık veya tekil yapıdaki fiziksel ortamların güvenlik kontrollerini içerir.

• Tedarikçi yönetimi (TDY) : Tedarikçi kaynaklı riskleri minimize etme amaçlı bir takım kontroller yer alır. Endüstriyel altyapılar için teknoloji, insan ve altyapı tedarikçilerine ilişkin siber güvenlik kontrollerini içerir.

• PLC güvenliği (PLC) : 20 başlık altında PLC güvenliğine ilişkin güvenlik kontrollerini içerir. 

Secure Fors olarak, Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliği Uyum Danışmanlığı kapsamında çalışmalarımızı üç başlık altında sürdürmekteyiz.

1. Boşluk Analizi

Kurum tarafından yükümlü olunan kontrol maddelerine mevcut durumda ne kadar uyum sağlandığının tespiti için analiz çalışmaları yapılmaktadır. Bunun sonucunda EPDK’ya Enerji Piyasası Bildirim Sistemi üzerinden yapılması zorunlu olan bildirim yapılabilecek hale gelinecektir. (Bu bildirimin mevzuat yürürlük tarihinden sonra 3 ay içerisinde yapılması gerekmektedir.)

İyileştirmeye açık alanların belirlenmesi ve kurumun yükümlü olduğu kontrol maddelerinden uyamadıkları için yapılması gereken iyileştirmeler ve uygunluğun sağlanması için gerekli yatırım ve çalışmalar var ise bunların belirlenmesi ve planlanması süreçlerini içerir.

  2. Raporlama ve kuruma bildirim çalışmaları

Her bir yetkinlik seviyesi kontrolleri için belirlenmiş uygulama süreleri bulunmaktadır. Bu süre içerisinde uygunlukların sağlanması ve Enerji Piyasası Bildirim Sistemi aracılığı ile EPDK ya bildirilmesi gerekmektedir. Bu süreçlere destek hizmeti verilmektedir.

  3. Denetleme çalışmaları

Her bir yetkinlik seviyesi kontrolleri için belirlenmiş uygulama sürelerinin bitişinden 12 ay sonra yetkilendirilmiş denetim firmaları tarafından denetim yapılarak denetim sonuçlarının en geç 1 ay içerisinde Enerji Piyasası Bildirim Sistemi aracılığı ile EPDK ya bildirilmesi gerekmektedir. Bu aşamada bu denetime hazırlık süreçlerine destek hizmeti verilmektedir.