Türkiye’deki kritik altyapı sistemlerinin siber güvenliği, bir araştırmacının tespit ettiği zayıf parola kullanımıyla yeniden gündeme geldi. Paylaşılan bilgilere göre, su pompaları ve atık su arıtma tesisleri gibi önemli hizmetleri kapsayan 430 sisteme, kolay tahmin edilebilen parolalar üzerinden erişim sağlanabildi. Bu bulgu, dijital sistemlerin korunmasında temel güvenlik uygulamalarının dahi ne kadar önemli olduğunu ortaya koyuyor.

Araştırmada “1071” ve “1453” gibi yaygın biçimde bilinen tarihî sayıların parola olarak kullanıldığı belirtildi. Bu tür parolalar, kişisel veya kurumsal anlam taşısa bile saldırganların ilk denediği tahmin edilebilir seçenekler arasında yer alabilir. Tespit, söz konusu sistemlerin tamamının ele geçirildiği ya da hizmetlerin kesintiye uğradığı anlamına gelmiyor; ancak zayıf kimlik doğrulama uygulamalarının yetkisiz erişim riskini artırdığını gösteriyor.

• Araştırmacının aktardığı bulgular 430 kritik sisteme ilişkin erişim riskine işaret ediyor.
• Su pompaları ve atık su arıtma tesisleri gibi kamu hizmetleriyle bağlantılı altyapılar da kapsamda anılıyor.
• Kolay tahmin edilebilen parolalar, tek başına güçlü bir güvenlik yaklaşımı oluşturmaz.
• Kuruluşların erişim kayıtlarını incelemesi, parolaları değiştirmesi ve sistemlerini uzmanlarca denetletmesi önem taşıyor.

Zayıf parolalar kritik sistemlerde neden risk oluşturuyor?

Kritik altyapıların dijital kontrol sistemleri; su yönetimi, enerji, ulaşım ve benzeri temel hizmetlerin izlenmesi veya işletilmesinde kullanılabilir. Bu sistemlere yetkisiz erişim sağlanması, yapılandırmaya ve erişim düzeyine bağlı olarak operasyonel aksamalara, verilerin değiştirilmesine ya da hizmet güvenliğinin tehlikeye girmesine yol açabilir. Bununla birlikte, yalnızca bir parolanın zayıf olması belirli bir zararın kesinlikle gerçekleştiğini kanıtlamaz. Gerçek risk; sistemin internete açıklığı, kullanıcı yetkileri, ek güvenlik önlemleri ve olaylara müdahale kapasitesi gibi etkenlere göre değerlendirilmelidir.

“1071” ve “1453” gibi sayılar tarihî ve kültürel çağrışımlar taşıdığı için hatırlaması kolay olabilir. Ancak tahmin edilebilir olmaları, onları güvenli parola seçenekleri yapmaz. Kurumların parola belirlerken tarihleri, kurum adlarını, şehir isimlerini ve yaygın sayı dizilerini kullanmaktan kaçınması; her hesap için benzersiz, uzun ve rastgele oluşturulmuş parolalar tercih etmesi gerekir. Parolaların güvenli biçimde saklanması ve düzenli erişim kontrolleriyle desteklenmesi de bu yaklaşımın parçasıdır.

Kritik altyapıların korunması için atılabilecek adımlar

Öncelikle tespit edilen erişim yöntemleri sorumlu kurumlar tarafından doğrulanmalı ve ilgili sistemlerde gerekli düzeltmeler yapılmalıdır. Varsayılan veya zayıf parolalar yenilenmeli, kullanılmayan hesaplar kapatılmalı ve çalışanların erişimleri görevleriyle sınırlı tutulmalıdır. Yönetim arayüzlerinin internet üzerinden doğrudan erişilebilir olup olmadığı kontrol edilmeli; gerekiyorsa bu erişim güvenli ağlar, izin listeleri ve güçlü kimlik doğrulama kontrolleriyle sınırlandırılmalıdır.

Çok faktörlü kimlik doğrulama (MFA), yalnızca parola bilgisine dayanan erişim riskini azaltmaya yardımcı olur. Özellikle uzaktan yönetim hesaplarında MFA kullanımı, güçlü ve benzersiz parolalarla birlikte uygulanmalıdır. Ayrıca erişim kayıtlarının sürekli izlenmesi, olağan dışı oturum açma denemelerinin belirlenmesi ve olaylara müdahale planlarının düzenli olarak test edilmesi gerekir. Güvenlik güncellemelerinin zamanında uygulanması ve bağımsız denetimlerin yapılması da sistemlerin dayanıklılığını artırabilir.

Su ve atık su tesisleri gibi operasyonel teknoloji sistemlerinde güvenlik çalışmaları, hizmetin kesintisiz sürdürülmesi gerekliliği gözetilerek planlanmalıdır. Güncellemeler veya yapılandırma değişiklikleri, operasyonel etkileri değerlendirilmeden uygulanmamalı; teknik ekipler ile kurum yöneticileri eşgüdüm içinde çalışmalıdır. Böylece güvenlik açıkları giderilirken kamu hizmetlerinin sürekliliği de korunabilir.

Teknik önlemlerin yanında güvenlik kültürü de gerekli

Parola politikaları ve güvenlik araçları, çalışanların bilinçli davranışlarıyla desteklendiğinde daha etkili olur. Kurumlar, personeline kimlik avı girişimlerini tanıma, parolaları güvenli biçimde kullanma ve şüpheli olayları bildirme konularında düzenli eğitim vermelidir. Ayrıca tedarikçilerin ve bakım hizmeti sağlayan kuruluşların sistemlere hangi koşullarda eriştiği açıkça belirlenmeli, bu erişimler kayıt altına alınmalı ve ihtiyaç sona erdiğinde kaldırılmalıdır.

Bu bulgu, kritik altyapıların güvenliğinin yalnızca teknoloji yatırımıyla sağlanamayacağını hatırlatıyor. Kurumların zafiyetleri doğrulaması, riskleri önceliklendirmesi ve düzeltici adımların tamamlandığını düzenli biçimde kontrol etmesi gerekir. Siber güvenlik, ulusal güvenlik ve temel kamu hizmetlerinin sürekliliğiyle doğrudan ilişkili olduğundan, sorumlu kurumların şeffaf ve koordineli biçimde hareket etmesi büyük önem taşır.