USB'dan OT'ye Ulaşan Boru Hattı: CRA'nın Raporlama Süresinin Neden Tesis Kapısında Başladığı

11 Eylül 2026 tarihinden itibaren, AB CRA (Siber Dayanıklılık Yasası), üreticilere aktif olarak istismar edilen bir güvenlik açığını bildirmeleri için 24 saat süre tanıyor. OT (Operasyonel Teknoloji) ortamlarında, bu süreyi başlatma olasılığı en yüksek olan olaylar bir “ USB ” sürücüsüyle ortaya çıkıyor ve çoğu operatör hâlâ bu sürücünün daha sonra nereye gittiğini bilemiyor.

11 Eylül 2026 tarihinden itibaren, AB’de satılan dijital bileşenlere sahip ürünlerin üreticileri, aktif olarak istismar edilen güvenlik açıklarını ve ciddi güvenlik olaylarını bildirmekle yükümlüdür. Zaman çizelgesi katıdır: durumun farkına varılmasından itibaren 24 saat içinde erken uyarı, 72 saat içinde tam bildirim ve aktif olarak istismar edilen güvenlik açıkları için düzeltici önlemin hazır hale gelmesinden itibaren 14 gün içinde, ciddi olaylar için ise bir ay içinde nihai rapor sunulmalıdır.

Saatin neye dayandığını dikkatle inceleyin: farkında olma. Yönetmelikteki her bir son tarih, olayı tespit edebileceğinizi, nasıl gerçekleştiğini yeniden canlandırabileceğinizi ve düzeltici önlemi açıklayabileceğinizi varsayar. Bu, hukuki bir sorun haline gelmeden çok önce bir belgeleme ve telemetri sorunudur. Ayrıca bu yükümlülük, sadece CRA’nın Aralık 2027’de tam olarak yürürlüğe girmesinden sonra sevk edilen ürünleri değil, halihazırda AB pazarına sunulmuş ürünleri de kapsadığı için hem geçmişe hem de geleceğe yönelik olarak geçerlidir.

Endüstriyel ve OT ortamlarını işleten veya bu ortamlara kaynak sağlayan herkes için bu durum rahatsız edici bir boşluk ortaya çıkarmaktadır. OT’de raporlanabilir bir olayın meydana gelme olasılığının en yüksek olduğu yol, aynı zamanda en az denetime tabi olan yoldur: çıkarılabilir depolama ortamları. İyi haber ise, bunun üç adet iyi anlaşılmış kontrol önlemi ile çözülebilir bir mühendislik sorunu olmasıdır: çevre sınırında zorunlu bir denetim noktası, bölgeler arasında donanım tarafından zorunlu kılınan tek yönlü aktarım ve her hareketi kaydeden yönetilen aktarım. Bu üç önlemin hepsi gereklidir ve sıralamaları önemlidir.

Honeywell’in endüstriyel siber güvenlik araştırması, analiz ettiği kötü amaçlı yazılımların %51’inin USB cihazları aracılığıyla yayılmak üzere tasarlandığını ortaya koydu; bu oran beş yıl öncesine kıyasla %9’dan yükselmişti. Şirketin 2025 tehdit raporunda, müdahale ekibi tarafından ele alınan olayların dörtte birinde USB tak-çalıştır olayının söz konusu olduğu, genellikle bir kişinin bir sürücüyü bağlamasının ardından kötü amaçlı yazılımın ortama yayıldığı belirtildi. Çıkarılabilir ortamlar, tam da operatörlerin yatırım yaptığı tüm ağ kontrollerini atlatması nedeniyle, ICS (Industrial a Kontrol Sistemleri) ortamlarına yönelik en güvenilir ilk erişim vektörlerinden biri haline gelmiştir.

Standart kuruluşları bu durumu yıllar önce işaret etmişti. NIST SP 800-82 Rev. 3, Operasyonel Teknoloji (OT) Güvenliği Kılavuzu, tam da bu nedenle ortam korumasını ayrı bir kontrol grubu olarak ele almaktadır; IEC 62443 bölge ve kablo kanalı modelleri ise bir bölgeye giren ortamların denetlendiğini varsaymaktadır. Sorun nadiren politikadan kaynaklanmaktadır. Çoğu tesiste, bir yerlerde bir klasörde saklanan çıkarılabilir medya politikası bulunmaktadır. Asıl sorun, bu politikanın uygulanmasında ortaya çıkar: bir yüklenicinin gönüllü olarak tarama istasyonuna gitmesine dayanan bir politika, yüklenicinin istasyonun önünden geçtiği gün herhangi bir kanıt oluşturmaz.

Dolayısıyla ilk kontrol, fiziksel sınırda bulunan zorunlu bir kontrol noktasıdır: Her satıcıya ait dizüstü bilgisayarın, teknisyenin sürücüsünün ve donanım yazılımı güncellemesinin geçmesi gereken bir tarama istasyonu; burada dosyalar birden fazla tarama motoruyla incelenir, gömülü tehditleri ortadan kaldırmak için yeniden yapılandırılır ve kayıt altına alınır. İki sonuç eşit derecede önemlidir: Virüs bulaşmış ortamlar asla içeri girmez ve içeri giren her ortam kayıt altına alınır. İkinci sonuç ise 72 saatlik bildirim süresinin temelini oluşturur.

Girişteki veri temizleme işlemi tek bir soruyu yanıtlar: Neyin içeri gireceği. Verilerin daha sonra hangi yöne ilerleyeceği ise ayrı bir sorundur.

Bir dosya temizlendikten sonra bile, kurumsal ağdan kontrol ağına ulaşması gerekir ve çoğu tesiste bu yol bir güvenlik duvarı kuralıdır. Güvenlik duvarları yazılımdır; tasarımları gereği çift yönlüdür ve yapılandırılabilirler; bu da yanlış yapılandırılabilecekleri anlamına gelir. Gelen dosya aktarımına izin veren bir güvenlik duvarı, yapısı gereği bir saldırganın kullanmaya çalışabileceği bir geri dönüş yoludur.

Mimari açıdan çözüm, geri dönüş yolunu mantıksal olarak değil, fiziksel olarak ortadan kaldırmaktır. Tek yönlü ağ geçitleri ve veri diyotları, donanım düzeyinde tek yönlü veri akışını sağlar: veriler, düşük güvenilirlikli taraftan yüksek güvenilirlikli tarafa (veya tarihsel veri kaydı ve analitik kullanım senaryoları için kurumsal ağa) geçebilir; ancak hiçbir protokol, kural değişikliği ya da ele geçirilmiş kimlik bilgisi bu akışı tersine çeviremez. Başta yapılandırılacak bir şey olmadığı için yanlış yapılandırma da söz konusu olamaz.

Bu husus, güvenlik açısından olduğu kadar düzenleyici yaklaşım açısından da önemlidir. CRA Ek I, ürünlerin aktarım halindeki verilerin gizliliğini ve bütünlüğünü korumasını ve komutlar, programlar ve yapılandırmaya yönelik yetkisiz müdahalelere karşı direnç göstermesini şart koşmaktadır. Hardware-uygulamalı yönlülük, bir satıcının teknik broşürde sadece iddia etmek yerine test ortamında kanıtlayabileceği az sayıdaki özellikten biridir; bu da teknik dosyayı hazırlarken veya denetçinin karşısında otururken önemli bir değer taşır.

İşte çoğu güvenli aktarım projesi bu noktada tıkanır. Bir temizleme kontrol noktası ve tek yönlü bir ağ geçidi bir sınırı tanımlar. Bunlar bir iş akışını tanımlamaz ve tedarik ekipleri erkenden şu pratik soruyu sorar: “Peki, ama Rotterdam’daki bir mühendis, herhangi bir günde Polonya’daki bir tesise doğrulanmış bir PLC (Programlanabilir Mantık Denetleyicisi) yapılandırmasını nasıl ulaştırabilir?”

Eğer cevap, bir kişinin bir USB sürücüsünü bir kioska taşımasını gerektiriyorsa, bu mimari aslında çözmek için tasarlandığı sorunu yeniden ortaya çıkarmıştır.

Yönetilen dosya aktarımı bu sorunu ortadan kaldırır. Standart mekanizmalar, SFTP, REST API’leri ve aracılı iş akışları, dosyaların insan müdahalesi olmadan bölgeler arasında taşınmasını sağlar; her geçişte dosya, kioskta alacağı ile aynı çoklu tarama ve Deep CDR™ Teknolojisi işleminden geçer. Her aktarımda ayrıca bir oturum kaydı oluşturulur: aktarıma kim başlamıştır, ne gönderilmiştir, tarama sonucu ne çıkmıştır, dosya nereye ulaşmıştır ve ne zaman ulaşmıştır. Bu denetim izi, CRA’nın raporlama zaman çizelgesine yönelik operasyonel cevaptır. Bir sorun ortaya çıktığında, erken uyarıyı 24 saat içinde bildirmekle bu süreyi kaçırmak arasındaki fark, genellikle günlüğün halihazırda mevcut olup olmadığı ya da görüşmelerden yeniden oluşturulmasının gerekip gerekmediğidir.

Satıcılar, kontrol noktasını, ağ geçidini ve aktarım katmanını üç ayrı ürün olarak satmaktadır. Bunlar, tek bir yol üzerinde üç noktayı oluşturur:

Giriş sorununu tek başına çözerseniz, içeriye doğru güvenli bir yol bulunmayan temiz bir dosya elde edersiniz. Kavşak sorununu tek başına çözerseniz, insanların etrafından dolaştığı sağlam bir sınır elde edersiniz. İşlem sorununu tek başına çözerseniz, doğrulanmamış dosyaların taşınmasına ilişkin mükemmel kayıtlar elde edersiniz. Asıl değer, tüm bu adımların bir bütün olarak ele alınmasında yatmaktadır.

Eylül ayı son tarihinin neyi kapsadığı ve neyi kapsamadığı konusunda net olmakta fayda var. CRA, ürün mevzuatıdır: Raporlama yükümlülükleri, tesis işletmecilerine değil, dijital bileşenler içeren ürünlerin üreticilerine, ithalatçılarına ve dağıtıcılarına aittir. AB’deki kritik altyapı işletmecileri, kendi olay bildirim yükümlülüklerini içeren NIS2 kapsamında daha doğrudan düzenlenmektedir.

Ancak uygulamada, bu iki düzenleme aynı yetkinlik üzerinde birleşmektedir. Yükümlülük, CRA kapsamında bir üretici olarak ya da NIS2 kapsamında kritik bir kuruluş olarak size ulaşsa da, sizden bir olayı hızlı bir şekilde tespit etmeniz, verilerin nasıl aktarıldığını açıklamanız ve uygulanan kontrolleri göstermeniz istenmektedir. Donanımlı bir veri boru hattı bu üç sorunun hepsine cevap verir. Bir politika belgesi ise, ne kadar özenle hazırlanmış olursa olsun, hiçbirine cevap vermez.