Fiziksel Güvenlik
Fiziksel ve siber güvenlik neden tek bir güvenlik planında ele alınmalı?
Kameralar, kapı kontrol üniteleri ve alarm panelleri çoğu zaman bilgisayarlarınızla aynı ağda çalışır. Bu yazı, firmalar arasındaki boşlukların nerede oluştuğunu ve ortak bir güvenlik planının bunları nasıl kapattığını gösterir.
Q-entra Editör EkibiYayın tarihi 5 dk okuma
İçindekiler
- Güvenlik sistemleri neden artık BT'nin bir parçası?
- Ağa bağlı güvenlik sistemleri hangi cihazları kapsar?
- Firmalar arasındaki boşluklar nerede oluşur?
- Pratikte tipik saldırı yolları
- Beş yapı taşıyla ortak güvenlik planı
- Kontrol listesi: Güvenlik sistemleri ve BT şirketinizde birlikte çalışıyor mu?
- Sonuç: Tek plan, net sorumluluklar
Kısaca
- Fiziksel güvenlik ve siber güvenlik tek bir planda ele alınmalıdır, çünkü kameralar, geçiş kontrolü, alarm sistemleri ve bina otomasyonu ağa bağlı bilgisayarlardır ve diğer tüm BT cihazları kadar özen ister.
- Birçok boşluk farklı firmalar arasında oluşur: Yazılım (firmware), ağ portları, şifreler veya uzaktan bakımdan çoğu zaman kimse net olarak sorumlu değildir.
- Saldırılar iki yönde gerçekleşebilir: Güvenlik cihazları üzerinden BT ağına ve BT ağı üzerinden kapılara, kameralara ve kayıtlara.
- Ortak bir plan beş yapı taşına dayanır: envanter, segmentasyon, net sorumluluklar, dokümantasyon ve izleme.
- İki tarafı projenin başından itibaren birlikte planlayın; sonradan yapılan düzeltmeler genellikle daha zahmetlidir ve daha fazla boşluk bırakır.
Güvenlik sistemleri neden artık BT'nin bir parçası?
Fiziksel güvenlik ve siber güvenlik ortak bir planda ele alınmalıdır, çünkü ikisi de artık aynı teknolojiye dayanır. Modern bir kamera, kapı kontrol ünitesi veya alarm paneli kendi kablolamasıyla çalışan kapalı bir sistem değil; IP adresi, web arayüzü, işletim sistemi ve çoğu zaman bir uygulama ya da bulut bağlantısı olan bir cihazdır. Isıtma, havalandırma, aydınlatma ve gölgelendirme için kullanılan bina otomasyonu da giderek ofis BT'siyle aynı ağ üzerinden çalışmaktadır.
Bu nedenle fiziksel güvenlik ve siber güvenlik artık ayrı ayrı planlanamaz. Zayıf korunan bir kamera ofis ağını tehlikeye atar. BT ağı saldırıya uğrarsa kapılar, kayıtlar ve alarm bildirimleri de etkilenebilir. Yalnızca bir tarafı koruyan, diğer tarafı açık bırakır.
Ağa bağlı güvenlik sistemleri hangi cihazları kapsar?
- Video gözetim: IP kameralar, kayıt cihazları (NVR), video yönetim sunucuları ve görüntü izleme uygulamaları.
- Geçiş kontrolü: Kart okuyucular, kapı kontrol üniteleri, yönetim yazılımı, diyafonlar ve bariyer kontrol üniteleri.
- Alarm sistemleri: Ağ veya mobil iletişim modülü olan alarm panelleri, kullanıcı uygulamaları ve alarm izleme merkezine bağlantı.
- Bina otomasyonu: Örneğin KNX IP veya BACnet/IP üzerinden ısıtma, havalandırma, aydınlatma, gölgelendirme ve asansör kontrolleri.
- Altyapı: PoE switch'ler, kablosuz erişim noktaları, router'lar ve tüm bunları birbirine bağlayan kablolama.
Firmalar arasındaki boşluklar nerede oluşur?
Bir binada genellikle birden fazla firma çalışır: Elektrikçi kabloları çeker, güvenlik sistemi kurulumcusu kameraları ve okuyucuları monte eder, bir BT hizmet sağlayıcısı ağı yönetir, bina otomasyonu ise başka bir firmadan gelir. Her biri kendi işini özenle yapar. Boşluklar ise aradadır, yani kimsenin açıkça üstlenmediği görevlerde.
| Konu | Tipik boşluk | Net kural |
|---|---|---|
| Yazılım (firmware) | Kurulumcu işi teslimle bitmiş sayar | Belirli bir sorumlu, güncelleme planı, destek sonu planı |
| Şifreler | Varsayılan veya ortak hesaplar, kâğıda yazılmış şifreler | Kişisel hesaplar, şifre yöneticisi, teslim tutanağı |
| Ağ | Cihazlar ofis ağına bağlı | Tanımlı güvenlik duvarı kurallarıyla ayrı segment |
| Uzaktan bakım | Kalıcı port yönlendirme veya ayrı mobil router | Kontrollü VPN erişimi, yalnızca gerektiğinde açık |
| Dokümantasyon | Birkaç firmaya dağılmış veya hiç yok | Ortak bir cihaz listesi ve ağ planı |
Pratikte tipik saldırı yolları
Aşağıdaki senaryolar bilerek basit tutulmuştur, çünkü birçok olay da benzer şekilde sıradan bir açıkla başlar. Hiçbiri gelişmiş araçlar gerektirmez; kimsenin fark etmediği bir boşluk yeterlidir.
Kameradan ofis ağına
Varsayılan şifresiyle çalışan bir kamera, port yönlendirme nedeniyle internetten erişilebilir durumdadır. Otomatik tarayıcılar onu bulur ve kamera bilgisayarlarla ve sunucularla aynı ağda olduğu için başka saldırıların başlangıç noktasına dönüşür. Mirai botneti daha 2016'da, yalnızca varsayılan şifrelerle ne kadar çok kamera ve kayıt cihazının ele geçirilebileceğini göstermişti.
Kurulumcuların ve dış firmaların uzaktan erişimi üzerinden
Alarm sistemi veya bina otomasyonu kurulumcusunun bakım için çoğu zaman binaya kalıcı bir erişimi vardır; bu erişim bazen şirketin güvenlik duvarını atlayan ayrı bir mobil router üzerinden sağlanır. Kurulumcunun giriş bilgileri çalınırsa saldırganlar ağın içindedir. Sıkça örnek gösterilen bir vaka, 2013'te bir ABD perakende zincirine yapılan saldırıdır: Basında çıkan haberlere göre saldırganlar ilk erişimi, bir soğutma ve iklimlendirme firmasından çalınan giriş bilgileriyle elde etti. Bu erişim uzaktan bakım için değil, faturalama ve proje yönetimi için verilmişti. Yani her dış erişim, ancak hizmet sağlayıcının giriş bilgilerini koruduğu ölçüde güvenlidir.
Ağa fiziksel erişim
Toplantı odasında kullanılmayan ama aktif bir ağ prizi, kilitlenmemiş bir rack kabin veya kablosuna ulaşılabilen bir dış mekân kamerası: Oraya dizüstü bilgisayar takan biri doğrudan iç ağa ulaşabilir. Kart okuyucular da zayıf bir nokta olabilir. Eski 125 kHz kartlar kolayca kopyalanabilir ve okuyucu ile kontrol ünitesi arasındaki klasik Wiegand bağlantısı şifresizdir. Güncel şifreli kart teknolojileri ve Secure Channel özellikli OSDP gibi korumalı bir okuyucu bağlantısı bu riski azaltır.
BT ağından kapılara ve kayıtlara
Ters yön de yaşanır. Fidye yazılımı, video yönetim veya geçiş kontrol yazılımının çalıştığı sunucuyu şifrelerse kayıtlar kaybolabilir ve yetkiler artık değiştirilemez; örneğin kaybolan bir kart engellenemez. Güvenlik sistemleri ancak üzerinde çalıştıkları BT altyapısı ayakta olduğu sürece kullanılabilir.
Beş yapı taşıyla ortak güvenlik planı
Ortak bir planın kalın bir doküman olması gerekmez. Önemli olan, fiziksel güvenlik ile BT güvenliğinin birlikte ele alınması ve her görevin belirli bir sorumlusunun olmasıdır.
- Envanter: Ağa bağlı her cihazı konumu, modeli, yazılım sürümü, IP adresi, sorumlusu ve destek süresiyle kaydedin. Bu liste olmadan diğer adımlar işlemez.
- Segmentasyon: Kameraları, geçiş kontrolünü, alarm sistemini ve bina otomasyonunu ofis BT'sinden ve birbirinden ayırın. Her sistem kendi ağ segmentinde çalışsın, aralarındaki bağlantılar yalnızca güvenlik duvarı kuralları üzerinden kurulsun. Nasıl yapılacağını VLAN ve ağ segmentasyonu yazımızda anlatıyoruz.
- Sorumluluklar: Her sistem için yazılım, şifreler, ağ yapılandırması ve uzaktan erişimden kimin sorumlu olduğunu, dış firmalar dahil, yazılı olarak belirleyin.
- Dokümantasyon: Ağ planlarını, cihaz listelerini, hesapları ve güvenlik duvarı kurallarını tek bir yerde tutun ve her değişiklikten sonra güncelleyin.
- İzleme: Cihazların erişilebilirliğini, sabotaj alarmlarını, başarısız oturum açma denemelerini ve olağan dışı bağlantıları izleyin; örneğin bir kameranın aniden internetle iletişim kurmaya başlaması gibi.
Kameraların kendisi için IP kameraların güvenliği rehberimiz on somut önlem sunar. NIS2 de iki dünyayı birbirine bağlar: Direktif, tüm tehlikeleri kapsayan bir yaklaşıma dayanan ve BT sistemlerinin fiziksel ortamını da açıkça koruyan risk yönetimi önlemleri ister. Avusturya'da direktif, NISG 2026 ile ulusal hukuka aktarılmıştır. Şirketinizin kapsama girip girmediğini KOBİ'ler için NIS2 yazımızda anlatıyoruz; somut durumunuz için hukuki danışmanlık almanızı öneririz.
Kontrol listesi: Güvenlik sistemleri ve BT şirketinizde birlikte çalışıyor mu?
Aşağıdaki sorular, şirketinizde nerede harekete geçmeniz gerektiğini hızla gösterir:
- Ağa bağlı tüm güvenlik ve bina teknolojisi cihazlarının eksiksiz bir listesi var mı?
- Kameralar, geçiş kontrolü ve bina otomasyonu ofis BT'sinden ayrılmış mı?
- Her sistem için yazılım güncellemelerini kimin yüklediği ve şifreleri kimin değiştirdiği belli mi?
- Dış firmalar sistemlere uzaktan nasıl erişiyor ve bu erişim kayıt altına alınıyor mu?
- Kullanılmayan ağ prizleri devre dışı mı, rack kabinler ve kayıt cihazları kilitli mi?
- Bir kamera devre dışı kalsa veya bilinmeyen bir adresle iletişim kursa bunu fark eder miydiniz?
- BT hizmet sağlayıcınız ile güvenlik sistemi kurulumcunuz birbirini tanıyor ve değişiklikleri birlikte planlıyor mu?
Sonuç: Tek plan, net sorumluluklar
Fiziksel güvenlik ve siber güvenlik aynı şirketi, aynı verileri ve çoğu zaman aynı ağı korur. İkisini birlikte planlamak, firmalar arasındaki boşlukları kapatır ve sorumlulukları görünür kılar. Bunun için en uygun zaman, bir binanın veya sistemin planlama aşamasıdır. Q-entra, video gözetim ve diğer güvenlik sistemlerini siber güvenlik ile birleştirir; böylece iki taraf tek bir plan çerçevesinde tasarlanıp hayata geçirilebilir.
