1. Öncelik Çatışması: Süreklilik mi, Güvenlik mi?
IT dünyasında temel refleks şudur:
Güncelle, yamala, kapat, izole et.
OT dünyasında ise öncelik nettir:
Üretim durmasın.
Bir sunucuyu kapatmak IT için rutin olabilir. Ancak bir PLC’yi güncellemek üretim hattını durdurabilir. Dakikalar milyonlara mal olabilir. Bu yüzden OT ekipleri “stabilite”yi kutsal sayar, IT ekipleri ise “güvenlik açığı”nı.
Gerilim tam burada başlar.
2. Yama Yönetimi Çıkmazı
IT ortamında haftalık patch yönetimi normaldir.
OT tarafında ise:
- Eski işletim sistemleri yıllarca çalışır
- Üretici onayı olmadan güncelleme yapılamaz
- Test süreci uzun ve maliyetlidir
Sonuç: Güvenlik açıkları bilinir ama kapatılamaz.
IT ekibi risk raporu yazar. OT ekibi üretimi işaret eder.
3. Kültürel Farklılık
IT ekipleri siber tehditlerle büyümüştür. Log, SIEM, EDR onların günlük dili.
OT ekipleri ise mühendislik kökenlidir. Süreç kontrolü, fiziksel güvenlik, saha operasyonu önceliklidir.
IT “ağ segmentasyonu” der.
OT “sisteme dokunmayın” der.
Bu iki disiplin aynı masada konuşsa bile, çoğu zaman farklı lehçelerle konuşur.
4. Risk Algısındaki Fark
IT için veri ihlali büyük bir krizdir.
OT için ise fiziksel güvenlik riski daha önceliklidir. Bir üretim hattının sabote edilmesi, enerji santralinin devre dışı kalması ya da su arıtma sisteminin manipüle edilmesi yalnızca finansal değil, fiziksel sonuçlar doğurur.
IT veri kaybını ölçer.
OT insan hayatı riskini tartar.
5. Görünürlük Problemi
IT ortamları genellikle merkezi olarak izlenir.
OT sistemleri ise:
- Kapalı ağlarda çalışabilir
- Eski protokoller kullanabilir
- Modern güvenlik araçlarıyla uyumlu olmayabilir
Bu durum IT güvenlik ekiplerinin OT tarafında kör noktalar yaşamasına neden olur.
6. Regülasyon ve Sorumluluk Alanları
Birçok sektörde BT güvenliği zaten regülasyonlarla çerçevelenmiştir.
Ancak enerji, üretim, ulaştırma gibi kritik altyapılarda OT güvenliği hem ulusal güvenlik hem operasyonel güvenlik meselesidir.
Sorumluluk alanları net tanımlanmadığında, “bu kimin işi?” sorusu cevapsız kalır.
7. Dijital Dönüşümün Baskısı
Endüstri 4.0, IoT, uzaktan izleme ve bulut entegrasyonları OT ile IT’yi fiziksel olarak da birleştirdi.
Eskiden izole olan üretim sistemleri artık kurumsal ağlara bağlı. Bu entegrasyon verimlilik sağladı ama saldırı yüzeyini büyüttü.
Air gap dönemi kapandı.
Bağlantılı sistemler dönemi başladı.
8. Çözüm: Köprü Kurmak
Bu gerilim kaçınılmaz değildir. Yönetilebilir.
- Ortak risk değerlendirme modeli oluşturulmalı
- IT ve OT ekipleri birlikte tehdit senaryosu çalışmalı
- Ağ segmentasyonu ve zero trust mimarisi uygulanmalı
- OT’ye özel pasif izleme çözümleri tercih edilmeli
- Yönetim seviyesinde tek bir siber güvenlik vizyonu belirlenmeli
En önemlisi: Güvenlik bir tarafın değil, kurumun ortak sorumluluğu olmalı.
Sonuç
OT ve IT aynı organizmanın iki farklı organı gibidir. Biri bilgi akışını yönetir, diğeri fiziksel süreci. Aralarındaki gerilim aslında öncelik farkından doğar.
Ancak modern tehdit ortamında bu iki dünyanın ayrı kalma lüksü yoktur.
Siber saldırılar artık yalnızca veriyi değil, üretimi, enerjiyi, altyapıyı ve hatta insan hayatını hedef alıyor.
Bu yüzden mesele şu değildir:
IT mi haklı, OT mi?
Asıl soru şudur:
Bu iki dünya nasıl aynı güvenlik stratejisinde buluşacak?
OT Güvenliği ile IT Güvenliği Arasındaki Gerilim