Almanya Federal Bilgi Güvenliği Ofisi (BSI), güneş enerjisi santralleri dahil internete bağlı endüstriyel kontrol sistemlerinin korunması için yeni öneriler yayımladı. Kurum, kontrol sistemlerine doğrudan internet erişiminin kaldırılmasını ve uzaktan bağlantılarda VPN ile çok faktörlü kimlik doğrulama kullanılmasını tavsiye ediyor.
Tavsiyeler küçük ve çok küçük ölçekli tesisleri de kapsıyor. BSI’nin güvenlik önerileri; hidroelektrik santralleri, rüzgar çiftlikleri, atıktan enerji üreten tesisler ve her ölçekteki güneş enerjisi santralleri için geçerli.
Doğrudan internet bağlantısı saldırı riskini artırıyor
Güneş santrallerindeki kontrol altyapısı; endüstriyel kontrolörleri, iletişim ekipmanlarını, izleme ağ geçitlerini, inverterleri, SCADA sistemlerini ve uzaktan izleme platformlarını içerebiliyor. BSI, bu bileşenlere doğrudan internet erişimi verilmemesini öneriyor.
İnternete açık cihazlar, yetkisiz erişim denemelerine ve bilinen güvenlik açıklarının kullanılmasına karşı savunmasız kalabiliyor. Saldırganlar çalışma parametrelerini de değiştirebilir. Oluşabilecek zarar yalnızca izleme verilerinin kaybıyla sınırlı değil; operasyonel teknoloji sistemlerine yönelik bir saldırı, santralin kontrolünü ve enerji üretimini aksatabilir.
VPN, MFA ve güncel yazılım önerisi
Kurum, kontrol sistemlerine doğrudan internet bağlantısı yerine sanal özel ağ (VPN) üzerinden güvenli uzaktan erişim sağlanmasını tavsiye ediyor. Buna ek olarak çok faktörlü kimlik doğrulama (MFA) kullanılmasını istiyor. MFA’da kullanıcı, parolasının yanı sıra ikinci bir doğrulama adımını da tamamlıyor.
Bu yaklaşımın, çalınmış hesap bilgileri veya zayıf parolalarla yapılabilecek izinsiz girişlerin başarılı olma ihtimalini azaltması hedefleniyor. BSI ayrıca tesislerdeki cihaz yazılımlarının güncel tutulmasını ve güvenlik yamalarının gecikmeden yüklenmesini öneriyor. Güncellemelerin yapılmaması, üreticilerin daha önce giderdiği açıkların sistemlerde kalmasına yol açabiliyor.
İşletmecilerin internete açık cihaz ve sistemleri tespit etmek için düzenli güvenlik kontrolleri yapması da tavsiyeler arasında. Güneş santrallerinde kurumsal bilgisayar ağıyla enerji üretimini yöneten operasyonel ağın ayrılması, bir ağdaki güvenlik ihlalinin diğerine yayılma riskini düşürmeye yönelik önlemlerden biri olarak sıralanıyor.
Enerji altyapısındaki güvenlik açıkları gündemde
Uyarı, enerji altyapısına ilişkin son dönemde gündeme gelen güvenlik sorunlarının ardından geldi. Kısa süre önce Sungrow’un platformlarına uzaktan ve şifre olmadan erişilebildiği ortaya çıkmıştı. Ayrıca Türkiye’nin de dahil olduğu Avrupa’da binlerce rüzgar ve güneş santralinin saldırıya açık olduğu raporlanmıştı.
