Demiryollarında Siber Güvenlik: Dijital Demiryolunun Korunması

1. Dijital Demiryolu ve Siber Güvenliğin Önemi

Demiryolları geçmişte büyük ölçüde mekanik sistemlere, fiziksel altyapıya ve birbirinden bağımsız çalışan kontrol ekipmanlarına dayanıyordu. Günümüzde ise demiryolu işletmeciliği; yazılım, veri iletişimi, otomasyon, uzaktan izleme ve birbirine bağlı dijital sistemler üzerinden yürütülmektedir.

Modern bir demiryolu ağında trenlerin hareketinden hat kapasitesinin yönetilmesine, sinyalizasyon sistemlerinden enerji dağıtımına, yolcu bilgilendirmeden bakım planlamasına kadar çok sayıda süreç dijital altyapılara bağımlıdır.

Bu dönüşümün başlıca bileşenleri şunlardır:

• Elektronik ve bilgisayar tabanlı sinyalizasyon sistemleri
• Avrupa Demiryolu Trafik Yönetim Sistemi (ERTMS) ve Avrupa Tren Kontrol Sistemi (ETCS)
• Demiryolu trafik yönetim ve kontrol merkezleri
• Demiryolu haberleşme ağları ve mobil iletişim sistemleri
• Tren üstü kontrol, izleme ve teşhis sistemleri
• SCADA ve endüstriyel kontrol sistemleri
• Enerji yönetimi ve elektrifikasyon altyapıları
• İstasyon, biletleme ve yolcu bilgilendirme sistemleri
• Dijital bakım, kestirimci bakım ve varlık yönetimi platformları
• Yük taşımacılığı ve lojistik bilgi sistemleri

Dijitalleşme, demiryolu sistemlerinin daha verimli ve koordineli çalışmasını sağlar. Bununla birlikte sistemler arasındaki bağlantıların artması, bir noktada meydana gelen güvenlik ihlalinin başka sistemleri de etkileyebilmesi anlamına gelir.

Örneğin bir bakım yazılımının, uzaktan erişim platformunun veya tedarikçi hesabının ele geçirilmesi; ilgili sistemin mimarisine ve bağlantılarına bağlı olarak daha geniş bir operasyonel ortam için risk oluşturabilir.

Demiryolu siber güvenliği, demiryolu faaliyetlerini destekleyen bilgi teknolojilerinin, operasyonel teknolojilerin, haberleşme altyapılarının, yazılımların, verilerin ve bağlantılı hizmetlerin siber saldırılara ve yetkisiz işlemlere karşı korunmasıdır.

Bu yaklaşımın temel hedefleri şunlardır:

• Demiryolu hizmetlerinin kullanılabilirliğini korumak
• Sistemlerin ve operasyonel verilerin bütünlüğünü sağlamak
• Yetkisiz erişimi ve sistem manipülasyonunu önlemek
• Kritik altyapıların siber dayanıklılığını artırmak
• Siber olayların operasyonlar üzerindeki etkisini sınırlamak
• Güvenli ve kontrollü sistem kurtarma süreçleri oluşturmak

Demiryollarında siber güvenlik yalnızca bilgi işlem birimlerinin sorumluluğunda değerlendirilemez. İşletme, sinyalizasyon, haberleşme, araç bakım, enerji, mühendislik, satın alma ve üst yönetim süreçlerinin tamamı bu konunun parçasıdır.

1.1 Demiryollarını Diğer Sektörlerden Ayıran Özellikler

Demiryolu sektörünün siber güvenlik ihtiyaçları, sahip olduğu operasyonel özellikler nedeniyle birçok diğer sektörden farklılaşır.

• Uzun sistem ömürleri: Demiryolu araçları, sinyalizasyon ekipmanları ve altyapı sistemleri onlarca yıl hizmet verebilir. Bu süre içinde yazılım ve güvenlik teknolojileri önemli ölçüde değişebilir.
• Yüksek kullanılabilirlik gereksinimi: Bazı sistemlerin bakım veya güncelleme amacıyla devre dışı bırakılması operasyonel planlama gerektirir.
• Geniş coğrafi dağılım: Hatlar, istasyonlar, depolar, kontrol merkezleri ve enerji tesisleri farklı lokasyonlarda bulunur.
• Çok sayıda paydaş: Altyapı yöneticileri, tren işletmecileri, bakım kuruluşları, üreticiler ve teknoloji tedarikçileri ortak sistemler üzerinden çalışabilir.
• Emniyet gereksinimleri: Siber güvenlik önlemleri, demiryolu emniyetini desteklemeli ve emniyetle ilgili işlevleri olumsuz etkilememelidir.
• Eski ve yeni teknolojilerin birlikte çalışması: Modern dijital sistemler, uzun süredir kullanılan ekipmanlarla aynı operasyonel ortamda bulunabilir.

Bu özellikler, demiryolu siber güvenliğinin tek seferlik bir teknoloji yatırımı değil, sistemlerin bütün yaşam döngüsünü kapsayan sürekli bir yönetim faaliyeti olarak ele alınmasını gerektirir.

2. Demiryollarında IT ve OT Sistemleri

Demiryolu kuruluşları genel olarak bilgi teknolojileri (Information Technology – IT) ve operasyonel teknolojiler (Operational Technology – OT) olmak üzere iki temel teknoloji ortamına sahiptir.

Bu iki ortam farklı amaçlara hizmet eder. Bununla birlikte dijitalleşmeyle birlikte aralarındaki veri alışverişi ve teknik bağlantılar artmaktadır.

2.1 Bilgi Teknolojileri (IT)

Bilgi teknolojileri, kurumsal bilgilerin işlenmesi, saklanması ve iletilmesi için kullanılan sistemleri kapsar.

Demiryolu kuruluşlarındaki IT sistemlerine örnekler:

• Kurumsal kaynak planlama sistemleri (ERP)
• İnsan kaynakları ve personel yönetim uygulamaları
• E-posta ve kurumsal iletişim platformları
• Finans ve muhasebe sistemleri
• Biletleme ve rezervasyon platformları
• Yolcu bilgilendirme internet siteleri ve mobil uygulamalar
• Kurumsal veri tabanları ve doküman yönetim sistemleri
• Veri merkezleri ve bulut hizmetleri

Bu sistemlerin ele geçirilmesi; veri ihlallerine, hizmet kesintilerine, finansal kayıplara ve kurumsal faaliyetlerin aksamasına neden olabilir. Bazı IT sistemlerinin operasyonel süreçleri de desteklemesi nedeniyle etkiler yalnızca idari faaliyetlerle sınırlı kalmayabilir.

2.2 Operasyonel Teknolojiler (OT)

Operasyonel teknolojiler, fiziksel süreçleri izleyen veya kontrol eden donanım ve yazılım sistemleridir. Demiryollarında tren hareketlerinin yönetilmesi, sinyalizasyon, enerji dağıtımı ve altyapı ekipmanlarının kontrolü gibi faaliyetlerde kullanılır.

Başlıca OT bileşenleri şunlardır:

• Elektronik ve bilgisayar tabanlı anklaşman sistemleri
• Sinyalizasyon ve tren kontrol sistemleri
• ETCS ve diğer tren koruma sistemleri
• SCADA sistemleri
• Demiryolu trafik yönetim sistemleri
• Trafo merkezi ve cer gücü kontrol sistemleri
• Tren üstü kontrol ve izleme sistemleri
• Bakım atölyelerindeki otomasyon sistemleri

OT sistemleri çoğu zaman kesintisiz ve öngörülebilir çalışmaya öncelik verir. Yazılım güncellemeleri, yapılandırma değişiklikleri veya güvenlik testleri; teknik uyumluluk, emniyet değerlendirmesi ve işletme koşulları dikkate alınarak gerçekleştirilmelidir.

2.3 IT ve OT Yakınsaması

Demiryolu dijitalleşmesi, kurumsal bilgi sistemleriyle operasyonel sistemler arasındaki bağlantıları artırmaktadır. Uzaktan bakım, merkezi teşhis platformları, operasyonel veri analizi ve dijital varlık yönetimi bu bağlantılara örnektir.

Bu entegrasyon verimlilik sağlar ancak güvenlik sınırlarının doğru oluşturulmaması durumunda yeni saldırı yolları meydana getirebilir.

Örneğin bir kurumsal kullanıcı hesabının ele geçirilmesi, teorik olarak daha geniş bir sistem ortamına erişim riski yaratabilir. Güvenli mimari tasarımın amacı, bu tür erişimlerin kontrolsüz biçimde operasyonel sistemlere ulaşmasını engellemektir.

Bu nedenle IT ve OT ağları arasındaki bağlantılar belgelenmeli, her bağlantının amacı belirlenmeli, erişim yetkileri sınırlandırılmalı ve ağ trafiği uygun şekilde izlenmelidir.

3. Siber Güvenlik Açısından Kritik Demiryolu Sistemleri

Demiryolu sistemlerinin tamamı aynı işlevi yerine getirmez. Bir yolcu bilgilendirme ekranı ile tren hareketlerini kontrol eden bir sinyalizasyon sistemi aynı operasyonel etkiye sahip değildir.

Bu nedenle siber güvenlik değerlendirmeleri, sistemlerin işlevlerini, birbirleriyle bağlantılarını ve olası bir güvenlik ihlalinin sonuçlarını dikkate almalıdır.

3.1 Sinyalizasyon ve Tren Kontrol Sistemleri

Sinyalizasyon sistemleri trenlerin hareketlerini düzenler, güzergâhların oluşturulmasını sağlar ve trenler arasındaki güvenli mesafelerin korunmasına yardımcı olur.

Modern demiryolu sinyalizasyon mimarilerinde aşağıdaki bileşenler bulunabilir:

• Anklaşman sistemleri
• Hat boyu sinyalizasyon ekipmanları
• ETCS hat boyu ve araç üstü bileşenleri
• Radyo Blok Merkezi (RBC)
• Eurobaliz ve diğer hat boyu ekipmanları
• Mühendislik ve bakım iş istasyonları
• Sistemler arasındaki haberleşme arayüzleri

ETCS, ERTMS’nin tren kontrolü ve korumasına ilişkin bileşenidir. ETCS uygulama seviyesine göre kullanılan mimari ve haberleşme yöntemleri değişebilir.

Anklaşman sistemleri ise ERTMS’nin doğrudan bir alt sistemi değildir; ancak birçok demiryolu sinyalizasyon mimarisinde önemli bir rol oynar ve ETCS hat boyu bileşenleriyle arayüz oluşturabilir.

Bu sistemlerin siber güvenlik değerlendirmesinde yalnızca ağ bağlantıları değil; yazılım geliştirme, konfigürasyon yönetimi, bakım erişimi, mühendislik araçları ve fiziksel erişim süreçleri de incelenmelidir.

Bu konunun teknik ayrıntıları için RailwayNews’in İngilizce teknik rehberi: Railway Signalling Cybersecurity: Protecting Interlocking, ETCS and Train Control Systems.

3.2 SCADA ve Endüstriyel Kontrol Sistemleri

SCADA sistemleri demiryolu enerji altyapısı, trafo merkezleri, tünel havalandırması, drenaj, istasyon tesisleri ve benzeri fiziksel süreçlerin izlenmesi ve kontrol edilmesinde kullanılabilir.

Bu sistemlerin siber güvenliği; ağ segmentasyonu, mühendislik erişiminin kontrolü, yapılandırma yönetimi, güvenli yedekleme ve uygun izleme mekanizmalarını içermelidir.

3.3 Tren Üstü Sistemler ve Araç Siber Güvenliği

Modern demiryolu araçlarında çekiş, fren, kapı kontrolü, yolcu bilgilendirme, haberleşme, enerji yönetimi, teşhis ve tren kontrolü gibi farklı işlevleri destekleyen dijital sistemler bulunmaktadır.

Bu sistemler farklı üreticiler tarafından geliştirilebilir ve farklı yazılım platformları kullanabilir.

Araç siber güvenliği kapsamında aşağıdaki konular değerlendirilmelidir:

• Araç içi ağ mimarisi
• Kontrol sistemleri arasındaki veri alışverişi
• Bakım ve teşhis arayüzleri
• Yazılım ve donanım güncellemeleri
• Harici cihaz ve taşınabilir medya kullanımı
• Üretici ve bakım kuruluşlarının erişimleri
• Konfigürasyon bütünlüğü

Canlı işletmede kullanılan araçlarda güvenlik testleri, yetkilendirme ve emniyet gereklilikleri dikkate alınarak planlanmalıdır.

3.4 Demiryolu Haberleşme Sistemleri

Demiryolu haberleşmesi, tren ile yer kontrol merkezleri arasındaki iletişimden operasyonel ses ve veri aktarımına kadar geniş bir kullanım alanına sahiptir.

GSM-R, uzun yıllardır demiryolu mobil haberleşmesinin temel sistemlerinden biri olmuştur. Geleceğin Demiryolu Mobil Haberleşme Sistemi (Future Railway Mobile Communication System – FRMCS) ise GSM-R’nin yerini alması amacıyla geliştirilmektedir.

FRMCS, 5G ve 3GPP ekosistemindeki teknolojilerle ilişkili yeni bir haberleşme mimarisi öngörmektedir. Bu dönüşüm; kimlik yönetimi, radyo erişimi, ağ çekirdeği, servis platformları, tedarik zinciri ve sistemler arası bağlantılar açısından yeni güvenlik gereksinimleri oluşturur.

5G teknolojisinin kullanılması tek başına güvenli bir FRMCS kurulumu anlamına gelmez. Güvenlik, sistem mimarisi ve işletme süreçleriyle birlikte tasarlanmalıdır.

3.5 İstasyon ve Yolcu Hizmetleri

Modern istasyonlarda biletleme, yolcu bilgilendirme, anons, CCTV, erişim kontrolü, bina yönetimi ve ticari hizmetler gibi çok sayıda dijital sistem bulunmaktadır.

Bu sistemlerin bazıları üçüncü taraf hizmet sağlayıcılar tarafından işletilebilir veya internet üzerinden yönetilebilir.

İstasyon sistemlerinin güvenliğinde yönetim arayüzleri, kullanıcı hesapları, uzaktan bakım bağlantıları, yazılım güncellemeleri ve diğer kurumsal ağlarla olan bağlantılar dikkate alınmalıdır.

3.6 Trafik Yönetim ve Kontrol Merkezleri

Demiryolu trafik yönetim sistemleri; tren hareketlerinin izlenmesi, trafik planlaması, kapasite yönetimi ve operasyonel koordinasyon gibi faaliyetleri destekler.

Bu merkezlerde kullanılan sunucular, operatör iş istasyonları, veri tabanları ve haberleşme altyapıları siber güvenlik açısından korunmalıdır.

3.7 Yük Taşımacılığı, Lojistik ve Bakım Sistemleri

Demiryolu yük taşımacılığında vagon takip sistemleri, terminal yönetimi, lojistik platformları, elektronik taşıma belgeleri ve müşteri bilgi sistemleri giderek daha fazla kullanılmaktadır.

Bu sistemler çoğu zaman farklı kuruluşlar ve ülkeler arasında veri alışverişi gerçekleştirir. Dolayısıyla tedarikçi hesapları, dijital platformlar, veri bütünlüğü ve dış bağlantılar önemli güvenlik başlıklarıdır.

4. Demiryolu Sektörünü Hedef Alan Siber Tehditler

Demiryolu kuruluşları farklı türlerde siber tehditlerle karşı karşıyadır. Tehditlerin önemi; kullanılan sistemlere, ağ mimarisine, internet bağlantılarına, tedarikçi ilişkilerine ve mevcut güvenlik önlemlerine göre değişir.

4.1 Fidye Yazılımları ve Zararlı Yazılımlar

Fidye yazılımları, kuruluşların dosyalarını şifreleyerek veya sistemlerini kullanılamaz hâle getirerek hizmetlerin aksamasına neden olabilir.

Bir saldırının doğrudan tren kontrol sistemlerini hedef almaması, demiryolu işletmesine etkisinin önemsiz olduğu anlamına gelmez. Bakım, planlama, haberleşme veya yolcu hizmetlerini destekleyen sistemlerin kaybı operasyonel sorunlar yaratabilir.

4.2 Yetkisiz Erişim ve Kimlik Bilgilerinin Ele Geçirilmesi

Zayıf parolalar, çalınmış kullanıcı bilgileri, gereğinden fazla yetki verilmiş hesaplar ve yetersiz çok faktörlü kimlik doğrulama, saldırganların sistemlere erişmesini kolaylaştırabilir.

Özellikle yönetici ve bakım hesapları, sistem yapılandırmalarını değiştirebildikleri için yüksek riskli erişim türleri arasında yer alır.

4.3 Hizmet Engelleme Saldırıları

Dağıtık hizmet engelleme (DDoS) saldırıları; internet siteleri, biletleme platformları ve yolcu bilgilendirme hizmetlerinin erişilemez hâle gelmesine neden olabilir.

Bu saldırıların operasyonel etkisi, etkilenen hizmetin önemine ve alternatif hizmet kanallarının bulunup bulunmamasına bağlıdır.

4.4 Tedarik Zinciri Saldırıları

Demiryolu sistemleri çok sayıda üretici, yazılım geliştirici, bakım kuruluşu ve teknoloji sağlayıcısının ürün ve hizmetlerinden yararlanır.

Bir tedarikçinin yazılım güncelleme altyapısının, uzaktan erişim hesabının veya dosya paylaşım platformunun ele geçirilmesi, doğrudan tedarikçi dışındaki kuruluşlar için de risk yaratabilir.

Tedarik zinciri güvenliği; sözleşme hükümleri, güvenlik gereksinimleri, yazılım bileşenleri, güncelleme süreçleri, güvenlik açıklarının bildirilmesi ve üçüncü taraf erişimlerinin yönetimini kapsamalıdır.

4.5 Uzaktan Erişim ve Bakım Bağlantıları

Üreticiler ve bakım kuruluşları, arıza teşhisi ve teknik destek amacıyla demiryolu sistemlerine uzaktan erişim sağlayabilir.

Bu erişimlerin kontrolsüz bırakılması, yetkisiz erişim ve sistemler arasında yatay hareket riskini artırabilir.

Uzaktan erişim bağlantıları mümkün olduğunca onaylı, sınırlandırılmış, güçlü kimlik doğrulamalı ve izlenebilir olmalıdır.

4.6 Radyo ve Kablosuz Haberleşme Tehditleri

Kablosuz haberleşme sistemleri; parazit, yetkisiz yayın, hizmet engelleme, sahte erişim noktaları ve cihaz yapılandırma zafiyetleri gibi risklerle karşılaşabilir.

Demiryolu haberleşme sistemlerinde kullanılan özel frekanslar veya özel protokoller, tek başına bütün saldırı türlerine karşı koruma sağlamaz.

Radyo tabanlı bir olayın, doğrudan IP ağının veya ETCS sisteminin ele geçirilmesi olarak tanımlanması doğru değildir. Olayın teknik niteliği ve etkilenen sistemler ayrıca doğrulanmalıdır.

4.7 İç Tehditler ve İnsan Hataları

Çalışanlar, yükleniciler veya tedarikçi personeli; kasıtlı ya da kasıtsız davranışlarıyla güvenlik olaylarına neden olabilir.

Şifrelerin paylaşılması, yetkisiz cihaz kullanımı, prosedür dışı değişiklikler ve şüpheli faaliyetlerin bildirilmemesi bu kapsamdaki risklerdir.

4.8 Fiziksel ve Siber-Fiziksel Tehditler

Kontrol odalarına, sinyalizasyon ekipmanlarına, haberleşme kabinlerine, depolara ve bakım tesislerine yetkisiz fiziksel erişim, dijital güvenlik önlemlerini etkisiz hâle getirebilir.

Bu nedenle fiziksel güvenlik ile siber güvenlik birbirinden bağımsız değerlendirilmemelidir.

5. Dünyadan Gerçek Demiryolu Siber Güvenlik Olayları

Gerçek olaylar, demiryolu sektöründeki siber risklerin anlaşılması açısından önemli örnekler sunar. Ancak olayların incelenmesinde doğrulanmış teknik bulgular, kurum açıklamaları ve saldırganların iddiaları birbirinden ayrılmalıdır.

5.1 Deutsche Bahn ve WannaCry (2017)

2017 yılında dünya genelinde yayılan WannaCry fidye yazılımı, çok sayıda ülkede farklı sektörleri etkiledi. Deutsche Bahn sistemlerinde de yolcu bilgilendirme ekranları ve bazı BT ekipmanları etkilendi.

Kamuya açık bilgiler, olayın doğrudan tren kontrol sistemlerinin ele geçirilmesine veya tren işletiminin siber saldırı nedeniyle durmasına yol açtığını göstermemektedir.

Bu olay, kurumsal BT sistemlerindeki bir güvenlik ihlalinin dahi yolcu hizmetlerini ve işletmenin görünür dijital altyapısını etkileyebileceğini ortaya koymuştur.

5.2 İsveç Trafikverket Hizmet Kesintisi (2017)

2017 yılında İsveç Ulaştırma İdaresi Trafikverket’in bazı dijital hizmetleri, hizmet sağlayıcıyı etkileyen bir DDoS saldırısı nedeniyle kesintiye uğradı.

Tren konum bilgileri, internet siteleri, e-posta ve bazı trafik bilgilendirme hizmetlerinde sorunlar yaşandı. Olay, demiryolu kuruluşlarının dış hizmet sağlayıcılarına olan bağımlılığının önemini gösterdi.

5.3 Belarus Demiryollarına Yönelik Siber Saldırı İddiaları (2022)

2022 yılında bir hacktivist grup, Belarus Demiryolları sistemlerine yönelik bir saldırı gerçekleştirdiğini ve Rus askeri hareketlerini zorlaştırmayı amaçladığını ileri sürdü.

Saldırganların fidye yazılımı ve sistemlere erişim hakkındaki iddiaları kamuoyuna yansıdı. Ancak sinyalizasyon veya tren kontrol sistemlerinin ele geçirildiğine ilişkin bütün iddialar bağımsız biçimde doğrulanmış değildir.

Bu olay, saldırgan açıklamalarının teknik olarak doğrulanmış bulgularla karıştırılmaması gerektiğini gösteren örneklerden biridir.

5.4 Polonya’da Radio-Stop Olayları (2023)

Ağustos 2023’te Polonya’da demiryolu haberleşme sistemlerine yönelik yetkisiz radyo sinyalleri trenlerin acil durmasına neden oldu. Olaylar tren trafiğinde gecikmelere ve operasyonel aksamalara yol açtı.

Bu olay, demiryolu radyo haberleşmesinin ve acil durdurma mekanizmalarının güvenliğinin önemini gündeme getirdi.

Ancak olay, doğrudan ETCS veya anklaşman ağlarının ele geçirilmesi olarak tanımlanmamalıdır. Radyo sistemi üzerinden gerçekleştirilen yetkisiz yayın ile ağ tabanlı bir sinyalizasyon saldırısı farklı teknik kategorilerdir.

5.5 Network Rail İstasyon Wi-Fi Olayı (2024)

Ağustos 2024’te Birleşik Krallık’taki bazı Network Rail istasyonlarında ücretsiz Wi-Fi hizmetinin giriş sayfalarında yetkisiz içerikler görüntülendi.

Hizmet geçici olarak devre dışı bırakıldı ve olay araştırıldı. Network Rail, müşteri verilerinin ele geçirilmediğini açıkladı.

Olay, üçüncü taraflarca işletilen istasyon hizmetlerinin ve yönetici hesaplarının korunmasının önemini gösterdi.

5.6 Demiryolu Siber Olaylarından Çıkarılacak Dersler

• Yolcu hizmetlerini etkileyen bir BT saldırısı, doğrudan tren kontrol sistemlerinin ele geçirildiği anlamına gelmez.
• Hizmet sağlayıcılar ve tedarikçiler, demiryolu kuruluşlarının saldırı yüzeyinin önemli bir parçasıdır.
• Radyo tabanlı olaylar, teknik özelliklerine göre sınıflandırılmalıdır.
• Saldırganların kamuya açık iddiaları bağımsız teknik doğrulama olmadan kesin bulgu olarak değerlendirilmemelidir.
• Alternatif işletme prosedürleri ve manuel çalışma düzenleri, dijital hizmet kesintilerinin etkisini azaltabilir.

6. Demiryollarında Siber Risk Yönetimi

Demiryolu siber güvenlik risk yönetimi; varlıkların belirlenmesi, tehditlerin ve zafiyetlerin değerlendirilmesi, olası sonuçların analiz edilmesi ve uygun güvenlik önlemlerinin seçilmesi sürecidir.

Bu süreç, kurumun genel risk yönetimi, emniyet yönetimi, mühendislik, bakım, satın alma ve varlık yönetimi faaliyetleriyle birlikte yürütülmelidir.

6.1 Kapsamın Belirlenmesi

Öncelikle hangi sistemlerin, hizmetlerin, tesislerin ve organizasyonel süreçlerin değerlendirileceği belirlenmelidir.

Değerlendirme yalnızca kurumun kendi ağlarını değil, dış hizmet sağlayıcılarla kurulan bağlantıları ve diğer demiryolu kuruluşlarıyla paylaşılan sistemleri de kapsamalıdır.

6.2 Varlık Envanterinin Oluşturulması

Güvenlik yönetiminin temel adımlarından biri, kurumun sahip olduğu veya işlettiği dijital ve fiziksel varlıkların doğru biçimde tanımlanmasıdır.

Varlık envanterinde mümkün olduğunca şu bilgiler bulunmalıdır:

• Donanım ve yazılım bilgileri
• Sistemlerin operasyonel görevleri
• Konum ve sorumlu birim
• Yazılım ve firmware sürümleri
• Ağ bağlantıları ve haberleşme arayüzleri
• Üretici ve bakım sorumluları
• Destek ve kullanım ömrü bilgileri
• Kritiklik ve iş sürekliliği gereksinimleri

6.3 Tehdit ve Zafiyetlerin Belirlenmesi

Tehdit değerlendirmesi; siber suç gruplarını, devlet bağlantılı aktörleri, hacktivist grupları, kötü niyetli çalışanları, kazara yapılan hataları ve tedarik zinciri risklerini dikkate almalıdır.

Zafiyet analizi ise güncel olmayan yazılımlar, hatalı yapılandırmalar, açık servisler, zayıf erişim kontrolleri ve yetersiz operasyonel prosedürleri kapsamalıdır.

6.4 Operasyonel Etkinin Değerlendirilmesi

Demiryollarında siber risk değerlendirmesi yalnızca maddi kayıp veya veri gizliliği üzerinden yapılmamalıdır.

Olası sonuçlar arasında şunlar bulunabilir:

• Hizmet veya sistem kullanılabilirliğinin kaybı
• Operasyonel verilerin yetkisiz değiştirilmesi
• Tren işletiminin kısıtlanması veya gecikmesi
• Yolcu bilgilendirme hizmetlerinin kesilmesi
• Bakım ve araç kullanılabilirliğinin etkilenmesi
• Emniyet açısından değerlendirme gerektiren durumların oluşması
• Mevzuat, sözleşme ve itibar kayıpları

6.5 Risklerin Azaltılması

Riskler; teknik kontrollerin geliştirilmesi, erişimlerin sınırlandırılması, ağ mimarisinin değiştirilmesi, tedarikçi güvenliğinin artırılması, yedekleme ve kurtarma süreçlerinin iyileştirilmesi gibi önlemlerle azaltılabilir.

Kısa vadede giderilemeyen riskler için telafi edici kontroller uygulanmalı ve kalan risk, yetkili yönetim tarafından belgelenerek kabul edilmelidir.

6.6 Sürekli Değerlendirme

Siber risk değerlendirmesi bir defaya mahsus yapılacak bir çalışma değildir. Yeni sistemlerin devreye alınması, büyük bakım faaliyetleri, yazılım değişiklikleri, yeni tedarikçi bağlantıları ve güvenlik olayları sonrasında değerlendirmeler güncellenmelidir.

7. Demiryollarında Temel Siber Güvenlik Önlemleri

Demiryolu sistemlerinin tamamını koruyabilecek tek bir teknoloji veya güvenlik ürünü bulunmamaktadır. Etkili koruma; yönetişim, mühendislik, teknik önlemler, işletme prosedürleri ve sürekli izleme faaliyetlerinin birlikte uygulanmasını gerektirir.

7.1 Kurumsal Yönetişim ve Sorumluluk

• Siber güvenlik sorumlulukları açık biçimde tanımlanmalıdır.
• IT, OT, mühendislik ve işletme birimleri arasında koordinasyon kurulmalıdır.
• Uzaktan erişim, varlık yönetimi, olay müdahalesi ve tedarikçi güvenliği politikaları oluşturulmalıdır.
• Siber riskler yönetim seviyesinde düzenli olarak raporlanmalıdır.

7.2 Ağ Segmentasyonu ve Güvenli Mimari

• Ağlar, sistemlerin işlevlerine ve risk seviyelerine göre ayrılmalıdır.
• IT ve OT sistemleri arasındaki bağlantılar kontrol edilmelidir.
• Gereksiz ağ bağlantıları kaldırılmalıdır.
• Güvenlik duvarı ve geçiş kuralları düzenli olarak gözden geçirilmelidir.
• Mühendislik iş istasyonları ve kontrol sunucuları özel olarak korunmalıdır.

7.3 Kimlik ve Erişim Yönetimi

• Paylaşılan kullanıcı hesapları mümkün olduğunca kaldırılmalıdır.
• Yönetici hesapları sınırlandırılmalıdır.
• Uzaktan ve ayrıcalıklı erişimlerde uygun çok faktörlü kimlik doğrulama kullanılmalıdır.
• Kullanıcı yetkileri görev gereksinimlerine göre belirlenmelidir.
• Görevi sona eren personelin erişimleri zamanında kaldırılmalıdır.

7.4 Uzaktan Bakım Güvenliği

• Uzaktan bakım bağlantıları onay sürecine tabi olmalıdır.
• Erişim yalnızca gerekli sistemlerle sınırlandırılmalıdır.
• Tedarikçi hesapları düzenli olarak kontrol edilmelidir.
• Uygun durumlarda bağlantı süreleri sınırlandırılmalıdır.
• Uzaktan bakım oturumları kaydedilmeli ve izlenmelidir.

7.5 Zafiyet ve Güncelleme Yönetimi

Demiryolu sistemlerinde her yazılım güncellemesinin hemen uygulanması mümkün olmayabilir. Üretici onayı, teknik uyumluluk, emniyet değerlendirmesi ve işletme koşulları güncelleme zamanlamasını etkileyebilir.

Bu nedenle kurumlar; zafiyetleri kaydeden, etkilerini değerlendiren, önceliklendiren ve giderilme süreçlerini takip eden bir yönetim mekanizması oluşturmalıdır.

7.6 Güvenli Yapılandırma ve Değişiklik Yönetimi

Sistem yapılandırmaları belgelenmeli, yetkisiz değişikliklere karşı korunmalı ve tüm önemli değişiklikler kontrollü süreçlerden geçirilmelidir.

Operasyonel sistemlerde yapılacak değişiklikler uygun testler, geri dönüş planları ve gerekli teknik değerlendirmelerle desteklenmelidir.

7.7 Yedekleme ve Kurtarma

Kritik sistemlerin verileri, yazılımları, yapılandırmaları ve kurtarma dokümanları düzenli olarak yedeklenmelidir.

Yedekler yetkisiz erişime ve değiştirmeye karşı korunmalı; geri yükleme işlemleri düzenli olarak test edilmelidir.

7.8 İzleme ve Tehdit Tespiti

Güvenlik izleme faaliyetleri; ağ trafiği, ayrıcalıklı erişimler, kullanıcı doğrulama olayları, yapılandırma değişiklikleri ve uzaktan bakım bağlantılarını kapsamalıdır.

OT sistemlerinde izleme çözümleri, sistemlerin performansını veya kararlı çalışmasını olumsuz etkilemeyecek şekilde tasarlanmalıdır.

7.9 Tedarikçi Güvenliği

Satın alma ve sözleşme süreçlerinde güvenlik gereksinimleri açıkça tanımlanmalıdır. Yazılım güncellemeleri, güvenlik açıklarının bildirilmesi, destek süresi, uzaktan erişim, olay bildirimi ve ürün yaşam döngüsü bu kapsamda değerlendirilmelidir.

7.10 Siber Güvenlik Testleri

Güvenlik testleri; mimari incelemeler, yapılandırma kontrolleri, zafiyet değerlendirmeleri, kontrollü sızma testleri ve tedarikçi güvenlik denetimlerini içerebilir.

Canlı sinyalizasyon ve operasyonel sistemlerde yapılacak testler özel yetkilendirme, kapsam belirleme ve emniyet tedbirleri gerektirir. İşletmeyi olumsuz etkileyebilecek kontrolsüz testlerden kaçınılmalıdır.

8. Demiryolu Siber Güvenlik Standartları ve Mevzuatı

Demiryolu siber güvenliği; sektöre özgü teknik düzenlemeler, endüstriyel kontrol sistemi standartları, bilgi güvenliği yönetim standartları, demiryolu emniyet standartları ve ulusal veya uluslararası mevzuatın birlikte değerlendirilmesini gerektirir.

Bu belgelerin hukuki ve teknik statüleri birbirinden farklıdır. Bir standardın bulunması, bütün demiryolu kuruluşlarının otomatik olarak aynı yükümlülüklere tabi olduğu anlamına gelmez.

8.1 CLC/TS 50701:2023

CLC/TS 50701:2023, demiryolu sektörüne özgü siber güvenlik teknik şartnamesidir. Siber güvenliğin demiryolu sistemlerinin RAMS yaşam döngüsüyle birlikte ele alınmasına yönelik bir yaklaşım sunar.

Demiryolu altyapısı, sinyalizasyon, haberleşme, araç üstü sistemler ve sabit tesisler gibi alanlarda siber güvenlik gereksinimlerinin değerlendirilmesine yardımcı olur.

Bu doküman bir teknik şartnamedir. Tek başına bir kanun, zorunlu sertifikasyon programı veya fonksiyonel emniyet standardı olarak değerlendirilmemelidir.

8.2 IEC 62443 Serisi

IEC 62443 serisi, endüstriyel otomasyon ve kontrol sistemlerinin siber güvenliğine yönelik uluslararası standartlardan oluşur. Demiryollarındaki SCADA, enerji, kontrol ve diğer OT sistemlerinin güvenlik değerlendirmelerinde yararlanılabilir.

Serinin önemli bölümleri şunlardır:

• IEC 62443-2-1: Endüstriyel kontrol sistemi varlık sahiplerinin güvenlik programı gereksinimleri.
• IEC 62443-2-4: Endüstriyel otomasyon hizmet sağlayıcılarının güvenlik gereksinimleri.
• IEC 62443-3-2: Sistem tasarımı, risk değerlendirmesi, güvenlik bölgeleri ve bağlantı kanalları.
• IEC 62443-3-3: Sistem seviyesinde güvenlik gereksinimleri ve güvenlik seviyeleri.
• IEC 62443-4-1: Güvenli ürün geliştirme yaşam döngüsü.
• IEC 62443-4-2: Endüstriyel kontrol sistemi bileşenlerine yönelik teknik güvenlik gereksinimleri.

IEC 62443, demiryolu OT güvenliği açısından önemli bir referanstır. Bununla birlikte uygulama, demiryolunun kendine özgü mimarisi ve emniyet gereksinimleri dikkate alınarak yapılmalıdır.

8.3 ISO/IEC 27001 ve İlgili Standartlar

ISO/IEC 27001, bilgi güvenliği yönetim sistemi için gereksinimleri tanımlar. ISO/IEC 27002 güvenlik kontrolleri konusunda rehberlik sunarken ISO/IEC 27005 bilgi güvenliği risk yönetimine odaklanır.

Bu standartlar demiryolu kuruluşlarında kurumsal güvenlik yönetişimi, veri koruma, risk değerlendirmesi ve sürekli iyileştirme süreçlerini destekleyebilir.

8.4 Demiryolu Emniyet ve RAMS Standartları

EN 50126 serisi, demiryolu uygulamalarında güvenilirlik, kullanılabilirlik, bakım yapılabilirlik ve emniyet (RAMS) süreçlerini ele alır. EN 50129, sinyalizasyon uygulamalarındaki emniyetle ilgili elektronik sistemlere yönelik gereksinimleri kapsar.

Fonksiyonel emniyet ve siber güvenlik birbiriyle ilişkili olmakla birlikte farklı disiplinlerdir.

Safety Integrity Level (SIL) ile Security Level (SL) aynı kavram değildir. SIL, emniyetle ilgili işlevlerin bütünlük gereksinimleriyle; SL ise siber güvenlik gereksinimleriyle ilişkilidir. Birbirlerinin yerine kullanılamazlar.

Siber güvenlik önlemleri, emniyet mühendisliğiyle koordineli biçimde tasarlanmalı ve uygulanmalıdır.

8.5 Avrupa Birliği NIS2 Direktifi

Avrupa Birliği’nin 2022/2555 sayılı NIS2 Direktifi, belirli kuruluşlar için siber güvenlik risk yönetimi ve olay bildirimi yükümlülükleri oluşturur.

Demiryolu taşımacılığı, direktifin Ek I kapsamındaki yüksek kritiklik taşıyan sektörler arasında yer alır. Demiryolu altyapı yöneticileri ve demiryolu işletmecileri, ilgili kuruluş türü, büyüklük, ulusal uygulama ve kapsam koşullarına göre direktifin hükümlerine tabi olabilir.

NIS2’nin 21. maddesi; risk analizi, olay yönetimi, iş sürekliliği, tedarik zinciri güvenliği, sistemlerin geliştirilmesi ve bakımı, erişim kontrolü ve uygun kriptografi politikaları gibi alanlarda önlemler öngörür.

23. madde ise önemli siber olayların bildirimine ilişkin aşamalı bir süreç tanımlar. Bu süreçte erken uyarı için 24 saat, olay bildirimi için 72 saat ve nihai rapor için bir aylık süreler öngörülmektedir.

20. madde kapsamında ilgili kuruluşların yönetim organları siber güvenlik risk yönetimi önlemlerini onaylamak ve gözetmekle yükümlüdür. Yönetim organları için siber güvenlik eğitimi de direktifin önemli unsurlarındandır.

NIS2’nin uygulanması, kuruluşun niteliği ve ulusal mevzuat çerçevesinde değerlendirilmelidir. Demiryolu sektöründe faaliyet gösteren her kuruluşun otomatik olarak aynı yükümlülüklere tabi olduğu varsayılmamalıdır.

8.6 Kritik Kuruluşların Dayanıklılığı Direktifi (CER)

Avrupa Birliği’nin 2022/2557 sayılı Kritik Kuruluşların Dayanıklılığı Direktifi, kritik hizmetlerin farklı tehdit ve riskler karşısında sürdürülebilirliğini hedefler.

Direktif; doğal afetler, kazalar, kötü niyetli faaliyetler ve diğer kesintiler karşısında kritik kuruluşların dayanıklılığını ele alır.

Demiryolu sektörü CER kapsamında değerlendirilir. Bununla birlikte hangi kuruluşların resmen kritik kuruluş olarak belirleneceği, üye ülkelerin direktifteki ölçütlere göre yapacağı değerlendirmelere bağlıdır.

NIS2 ile CER birbirini tamamlayan düzenlemelerdir. NIS2 ağ ve bilgi sistemlerinin siber güvenliğine odaklanırken CER kritik hizmetlerin daha geniş kapsamlı dayanıklılığını ele alır.

8.7 Diğer İlgili Mevzuat

• Genel Veri Koruma Tüzüğü (GDPR): Kişisel verilerin işlenmesi ve korunmasına ilişkin yükümlülükleri düzenler.
• Cyber Resilience Act (CRA): Kapsamına giren dijital unsurlara sahip ürünler için siber güvenlik gereksinimleri oluşturur.
• Ulusal siber güvenlik mevzuatı: Ülkelerin kritik altyapı, kurumsal güvenlik ve olay bildirimi yükümlülüklerini belirleyebilir.
• Demiryolu teknik mevzuatı: Sistemlerin emniyet, işletilebilirlik, teknik uyumluluk ve bakım gereksinimlerini düzenler.

9. Siber Olaylara Müdahale ve Operasyonel Dayanıklılık

Hiçbir güvenlik önlemi bütün siber saldırıları engelleyemez. Bu nedenle demiryolu kuruluşlarının yalnızca saldırıları önlemeye değil, meydana gelen olayları tespit etmeye, etkilerini sınırlamaya ve hizmetleri güvenli biçimde yeniden başlatmaya da hazırlıklı olması gerekir.

9.1 Olay Müdahale Hazırlığı

Siber olay müdahale planında sorumluluklar, bildirim kanalları, karar alma yetkileri, teknik müdahale süreçleri ve dış kurumlarla koordinasyon tanımlanmalıdır.

Plan yalnızca kurumsal IT sistemlerini değil, OT ve demiryolu operasyonlarını etkileyebilecek olayları da kapsamalıdır.

9.2 Olayın Tespiti ve İlk Değerlendirme

Bir güvenlik olayı tespit edildiğinde hangi sistemlerin etkilendiği, olayın devam edip etmediği, hangi hizmetlerin risk altında olduğu ve operasyonel açıdan hangi önlemlerin alınması gerektiği belirlenmelidir.

9.3 Müdahale ve Operasyonel Koordinasyon

Bir sistemin ağ bağlantısını kesmek veya uzaktan erişimi kapatmak her durumda doğru müdahale olmayabilir. Özellikle operasyonel sistemlerde yapılacak müdahaleler, ilgili sistemin görevini bilen mühendislik, işletme ve emniyet personeliyle koordineli yürütülmelidir.

9.4 Kurtarma ve Yeniden Devreye Alma

Sistemlerin yeniden devreye alınmasında güvenilir yedekler, doğrulanmış yapılandırmalar ve yetkilendirilmiş kurtarma prosedürleri kullanılmalıdır.

Normal işletmeye dönüş öncesinde sistemlerin teknik ve operasyonel kontrolleri tamamlanmalıdır.

9.5 Olay Sonrası Değerlendirme

Her önemli olayın ardından nedenler, güvenlik açıkları, müdahale süresi, tedarikçi sorumlulukları ve iyileştirme ihtiyaçları değerlendirilmelidir.

Belirlenen iyileştirme faaliyetleri sorumlulara atanmalı ve tamamlanmaları takip edilmelidir.

9.6 İş Sürekliliği ve Alternatif İşletme Düzenleri

Demiryolu kuruluşları, dijital sistemlerin kullanılamadığı durumlarda hangi hizmetlerin sürdürülebileceğini ve hangi alternatif prosedürlerin uygulanacağını önceden belirlemelidir.

Manuel işletme prosedürleri yalnızca dokümante edilmekle kalmamalı; uygun personel, eğitim, iletişim ve tatbikatlarla desteklenmelidir.

10. İnsan Kaynağı, Eğitim ve İnsan Faktörü

Demiryolu siber güvenliği yalnızca teknolojik sistemlerle sağlanamaz. İşletme personeli, mühendisler, bakım teknisyenleri, bilgi işlem uzmanları, yöneticiler ve tedarikçi çalışanları güvenlik zincirinin önemli parçalarıdır.

Farklı görevlerde çalışan personelin karşılaştığı riskler ve ihtiyaç duyduğu güvenlik bilgisi de farklıdır.

Bu nedenle eğitimler görev ve sorumluluklara göre hazırlanmalıdır.

Örnek eğitim başlıkları şunlardır:

• Kimlik bilgileri ve parola güvenliği
• Oltalama saldırılarının tanınması
• Taşınabilir medya ve harici cihaz kullanımı
• Uzaktan bakım ve erişim güvenliği
• Sinyalizasyon ve OT sistemlerinde güvenlik farkındalığı
• Güvenlik olaylarının bildirilmesi
• Güvenli yazılım ve yapılandırma yönetimi
• Tedarikçi ve üçüncü taraf erişimlerinin kontrolü

İnsan faktörünün değerlendirilmesinde vardiya düzenleri, iş yükü, zaman baskısı, personel değişiklikleri ve prosedürlerin uygulanabilirliği de dikkate alınmalıdır.

Güvenlik kültürü, çalışanların şüpheli faaliyetleri ve yaptıkları hataları zamanında bildirebildiği bir ortam oluşturmayı gerektirir.

11. Geleceğin Demiryolları ve Yeni Teknolojiler

Demiryolu sektöründeki dijital dönüşüm; yapay zekâ, dijital ikiz, nesnelerin interneti, bulut bilişim, gelişmiş haberleşme ve otomasyon teknolojileriyle devam etmektedir.

Bu teknolojiler verimlilik ve hizmet kalitesi açısından önemli fırsatlar sunarken yeni güvenlik gereksinimleri de ortaya çıkarmaktadır.

11.1 Yapay Zekâ ve Makine Öğrenmesi

Yapay zekâ; kestirimci bakım, trafik optimizasyonu, enerji yönetimi, görüntü analizi ve operasyonel karar destek sistemlerinde kullanılabilir.

Bu sistemlerde veri manipülasyonu, model güvenliği, yetkisiz erişim ve otomatik kararların yanlış yorumlanması gibi riskler bulunmaktadır.

Operasyonel kararları etkileyen yapay zekâ uygulamalarında insan gözetimi, veri kalitesi, doğrulanabilirlik ve alternatif çalışma prosedürleri belirlenmelidir.

11.2 Dijital İkiz Teknolojileri

Dijital ikizler; gerçek varlıkların, altyapıların veya sistemlerin dijital modellerini oluşturmak için kullanılır. Bakım planlaması, performans analizi ve mühendislik çalışmalarına katkı sağlayabilir.

Ancak dijital ikiz sistemleri de operasyonel veriler, bağlantılı platformlar ve mühendislik modelleri içerdiğinden güvenlik açısından korunmalıdır.

11.3 Nesnelerin İnterneti ve Uç Bilişim

Bağlantılı sensörler ve uç bilişim sistemleri; hatların, köprülerin, tünellerin, trenlerin ve diğer demiryolu varlıklarının izlenmesini kolaylaştırır.

Her yeni cihaz; yazılım, kimlik doğrulama, haberleşme ve yaşam döngüsü güvenliği açısından değerlendirilmelidir.

11.4 Bulut Bilişim

Bulut platformları; veri analizi, bakım yönetimi, yolcu hizmetleri ve kurumsal uygulamalarda kullanılabilir.

Demiryolu kuruluşları bulut hizmetlerinin güvenliğini değerlendirirken kimlik yönetimi, veri konumu, hizmet sürekliliği, tedarikçi bağımlılığı ve operasyonel sistemlerle olan bağlantıları dikkate almalıdır.

11.5 FRMCS ve Yeni Nesil Demiryolu Haberleşmesi

FRMCS, GSM-R sonrasında demiryolu haberleşmesinin gelişimini desteklemek üzere hazırlanmaktadır. Yeni sistem; artan veri gereksinimleri, gelişmiş haberleşme hizmetleri ve dijital demiryolu uygulamaları için altyapı oluşturmayı hedefler.

Bu geçişte GSM-R ile birlikte çalışma, birlikte çalışabilirlik, kimlik yönetimi, ağ mimarisi, hizmet sürekliliği ve tedarikçi güvenliği önemli konular olacaktır.

11.6 Eski Sistemler ve Uzun Vadeli Güvenlik

Demiryolu varlıklarının uzun ömürlü olması, bazı sistemlerin üretici desteği sona erdikten sonra da kullanılmasına neden olabilir.

Eski sistemlerin tamamını kısa sürede değiştirmek her zaman mümkün değildir. Bu durumda kurumlar; destek dışı varlıkları belirlemeli, erişimleri sınırlandırmalı, ağ bağlantılarını kontrol etmeli, izleme önlemlerini artırmalı ve yenileme planları oluşturmalıdır.

12. Türkiye’de Demiryolu Siber Güvenliği

Türkiye, demiryolu altyapısının geliştirilmesi, yüksek hızlı tren hatlarının yaygınlaştırılması, mevcut hatların modernizasyonu, sinyalizasyon yatırımları, lojistik koridorlar ve şehir içi raylı sistem projeleriyle önemli bir dönüşüm sürecindedir.

Bu dönüşüm, demiryolu sistemlerinin dijital güvenliğini de stratejik bir konu hâline getirmektedir.

Türkiye’de demiryolu siber güvenliği; altyapı yönetimi, yolcu ve yük taşımacılığı, araç üretimi, bakım, sinyalizasyon, haberleşme, enerji, istasyonlar ve teknoloji tedarik zincirinin birlikte değerlendirilmesini gerektirir.

12.1 Türkiye’nin Demiryolu Ekosistemi

Türkiye’nin demiryolu ekosisteminde farklı görev ve sorumluluklara sahip kamu kurumları, işletmeciler, üreticiler, bakım kuruluşları, mühendislik şirketleri, üniversiteler ve teknoloji sağlayıcıları bulunmaktadır.

Bu yapıda özellikle aşağıdaki alanların güvenliği önem taşır:

• Demiryolu altyapısı ve trafik yönetimi
• Yolcu ve yük taşımacılığı
• Sinyalizasyon ve tren kontrol sistemleri
• Elektrifikasyon ve enerji altyapısı
• Demiryolu araçları ve araç üstü sistemler
• Bakım atölyeleri ve depolar
• İstasyonlar ve yolcu hizmetleri
• Limanlar, lojistik merkezler ve intermodal terminaller
• Üretici, tedarikçi ve bakım kuruluşlarının dijital bağlantıları

Bu sistemlerin farklı kuruluşlar tarafından yönetilmesi, siber güvenlik sorumluluklarının ve kurumlar arası koordinasyonun açık biçimde tanımlanmasını gerektirir.

12.2 Türkiye’de Siber Güvenlik Mevzuatı

Türkiye’de siber güvenliğin kurumsal ve hukuki çerçevesini güçlendiren önemli düzenlemelerden biri, 7545 sayılı Siber Güvenlik Kanunu’dur.

Kanun, 12 Mart 2025 tarihinde kabul edilmiş ve 19 Mart 2025 tarihli, 32846 sayılı Resmî Gazete’de yayımlanarak yürürlüğe girmiştir.

7545 sayılı Kanun; kamu kurumları, gerçek ve tüzel kişiler, kritik altyapılar ve bilişim sistemlerinin siber saldırılara karşı korunmasına ilişkin temel hükümler içermektedir.

Kanunda öne çıkan ilkeler arasında şunlar bulunmaktadır:

• Siber güvenliğin millî güvenliğin ayrılmaz bir parçası olarak kabul edilmesi
• Kritik altyapıların ve bilişim sistemlerinin korunması
• Siber güvenlik faaliyetlerinde süreklilik ve kurumsallık
• Hizmet ve ürünlerin yaşam döngüsü boyunca güvenlik yaklaşımı
• Yerli siber güvenlik ürünlerinin ve teknolojilerinin geliştirilmesinin desteklenmesi
• Nitelikli siber güvenlik insan kaynağının geliştirilmesi
• Siber olayların tespiti ve etkilerinin azaltılması

Kanunun 2026 yılında 7590 sayılı Kanun ile değiştirilen hükümleri de dikkate alınmalıdır. Kuruluşların yükümlülükleri değerlendirilirken yalnızca ilk yayımlanan metne değil, güncel ve konsolide mevzuata bakılması gerekir.

7545 sayılı Kanun, siber güvenlik alanında ulusal düzeyde kurumsal koordinasyon, denetim, risk değerlendirmesi ve kritik altyapıların korunması için hukuki bir çerçeve oluşturmaktadır.

12.3 Ulaştırma Sektörünün Kritik Altyapı Kapsamındaki Yeri

5 Mayıs 2026 tarihli Siber Güvenlik Kurulu toplantısında Ulaştırma sektörü, Türkiye’nin kritik altyapı sektörleri arasında belirlenmiştir.

Bu karar, demiryolu taşımacılığının ulusal kritik altyapı yaklaşımı içindeki önemini güçlendirmektedir.

Ancak burada önemli bir ayrım bulunmaktadır: Bir sektörün kritik altyapı sektörleri arasında belirlenmesi, o sektörde faaliyet gösteren bütün kuruluşların veya tesislerin otomatik olarak tek tek kritik altyapı kuruluşu ilan edildiği anlamına gelmez.

Kuruluşların ve hizmetlerin kapsamı, ilgili mevzuat, yetkili kurumların kararları ve uygulanacak ikincil düzenlemeler çerçevesinde değerlendirilmelidir.

12.4 Ulaştırma ve Altyapı Bakanlığının Demiryolu Alanındaki Rolü

Ulaştırma ve Altyapı Bakanlığı bünyesindeki ilgili birimlerin demiryolu altyapısı, sinyalizasyon, tren kontrolü, trafik yönetimi, haberleşme, elektrifikasyon ve enerji sistemlerine yönelik teknik ve idari görevleri bulunmaktadır.

Demiryolu Altyapı Dairesi Başkanlığının görev tanımında sistemlerin emniyet, kapasite, arayüz, siber dayanıklılık, enerji verimliliği ve işletilebilirlik şartlarının belirlenmesi de yer almaktadır.

Bu yaklaşım, siber dayanıklılığın demiryolu sistemlerinin teknik ve operasyonel değerlendirmeleriyle birlikte ele alınmasının önemini göstermektedir.

12.5 TCDD ve Demiryolu İşletmecileri Açısından Siber Güvenlik

Türkiye’nin demiryolu sisteminde altyapı yönetimi, yolcu taşımacılığı, yük taşımacılığı, bakım ve teknik destek faaliyetleri farklı kurumsal sorumluluklarla yürütülmektedir.

TCDD, TCDD Taşımacılık ve diğer demiryolu işletmecileri açısından siber güvenlik; yalnızca kurumsal ağların korunmasıyla sınırlı değildir.

Değerlendirilmesi gereken başlıca alanlar şunlardır:

• Hat ve trafik yönetim sistemleri
• Sinyalizasyon ve tren kontrol altyapısı
• Demiryolu haberleşme sistemleri
• Tren üstü kontrol ve teşhis sistemleri
• Enerji ve elektrifikasyon sistemleri
• Bakım ve mühendislik platformları
• İstasyon ve yolcu hizmetleri
• Kurumsal veri merkezleri ve bilgi sistemleri
• Üçüncü taraf hizmet sağlayıcılar ve tedarikçiler

Bu alanlarda uygulanacak güvenlik önlemleri, her sistemin gerçek işlevine, risk seviyesine ve kurumsal sorumluluklara göre belirlenmelidir.

12.6 Yerli Demiryolu Teknolojileri ve Tedarik Zinciri

Türkiye’de demiryolu araçları, sinyalizasyon, haberleşme, kontrol sistemleri, bakım teknolojileri ve mühendislik çözümleri alanlarında yerli üretim ve teknoloji geliştirme faaliyetleri önem kazanmaktadır.

Yerli üretim kapasitesinin gelişmesi, yalnızca ekonomik ve endüstriyel açıdan değil, ürün güvenliği, yazılım kontrolü, teknik destek ve uzun vadeli bakım kabiliyeti açısından da değerlendirilebilir.

Yerli üretim tek başına siber güvenlik garantisi değildir. Ürünlerin güvenliği; güvenli yazılım geliştirme, bileşen yönetimi, güncelleme süreçleri, zafiyet bildirimi, test ve doğrulama faaliyetleriyle desteklenmelidir.

Demiryolu projelerinde satın alma ve kabul süreçlerine siber güvenlik gereksinimlerinin dâhil edilmesi, sistemlerin daha tasarım aşamasında güvenli biçimde geliştirilmesine katkı sağlar.

12.7 Türkiye’nin Uluslararası Demiryolu Koridorlarındaki Konumu

Türkiye’nin Avrupa, Kafkasya, Orta Asya ve Orta Doğu arasında yer alan coğrafi konumu, uluslararası demiryolu taşımacılığı ve lojistik koridorlar açısından stratejik önem taşımaktadır.

Orta Koridor ve diğer uluslararası bağlantılar; farklı ülkelerin altyapı yöneticileri, demiryolu işletmecileri, gümrük sistemleri, lojistik platformları ve haberleşme altyapıları arasında dijital veri alışverişini artırmaktadır.

Bu gelişme, siber güvenliğin yalnızca ulusal sistemler kapsamında değil, sınır ötesi veri paylaşımı ve tedarik zinciri güvenliği açısından da değerlendirilmesini gerektirir.

12.8 Türkiye İçin Öncelikli Siber Güvenlik Alanları

• Demiryolu IT ve OT varlıklarının kapsamlı envanterinin oluşturulması
• Kritik sistemlerin risk temelli sınıflandırılması
• Sinyalizasyon ve haberleşme ağlarında güvenli mimarinin güçlendirilmesi
• Bakım ve tedarikçi uzaktan erişimlerinin kontrol altına alınması
• Demiryolu araçları ve sabit tesislerde siber güvenlik testlerinin geliştirilmesi
• Yerli ürün ve yazılımlarda güvenli geliştirme süreçlerinin yaygınlaştırılması
• Siber olay müdahale ve iş sürekliliği tatbikatlarının artırılması
• Demiryolu personeline yönelik görev bazlı siber güvenlik eğitimleri
• Üniversiteler, mesleki eğitim kurumları, kamu kuruluşları ve sanayi arasında iş birliği

Türkiye’nin demiryolu siber güvenlik kapasitesinin geliştirilmesi; teknoloji yatırımları, nitelikli insan kaynağı, kurumsal iş birliği ve uzun vadeli güvenlik yönetiminin birlikte ilerlemesine bağlıdır.

13. Demiryolu Siber Güvenlik Programı Nasıl Oluşturulur?

Bir demiryolu kuruluşunun siber güvenlik programı, teknik olarak uygulanabilir ve operasyonel sorumluluklarla uyumlu olmalıdır. Aşağıdaki aşamalar, kurumsal bir program oluşturmak için temel bir yol haritası sunmaktadır.

Aşama 1: Yönetişim ve Sorumlulukların Belirlenmesi

• Yönetim seviyesinde sorumlular belirlenmelidir.
• IT, OT, işletme ve mühendislik birimlerinin görevleri tanımlanmalıdır.
• Siber güvenlik politikaları oluşturulmalıdır.
• Emniyet, iş sürekliliği ve siber güvenlik süreçleri koordine edilmelidir.

Aşama 2: Sistemlerin ve Varlıkların Tanımlanması

• Donanım, yazılım ve ağ envanteri hazırlanmalıdır.
• Kritik operasyonel hizmetler belirlenmelidir.
• Tedarikçi bağlantıları ve uzaktan erişim yolları haritalandırılmalıdır.
• Destek süresi sona ermiş teknolojiler tespit edilmelidir.

Aşama 3: Risklerin Değerlendirilmesi

• Olası saldırı senaryoları belirlenmelidir.
• Sistem zafiyetleri değerlendirilmelidir.
• Operasyonel ve emniyetle ilgili olası sonuçlar analiz edilmelidir.
• Riskler önceliklendirilerek sorumlulara atanmalıdır.

Aşama 4: Güvenlik Önlemlerinin Uygulanması

• Ağ segmentasyonu geliştirilmelidir.
• Kullanıcı ve yönetici erişimleri kontrol edilmelidir.
• Uzaktan bakım bağlantıları güvenli hâle getirilmelidir.
• Yazılım ve yapılandırma yönetimi güçlendirilmelidir.
• Yedekleme ve kurtarma süreçleri iyileştirilmelidir.

Aşama 5: Olaylara Hazırlık

• Siber olay müdahale prosedürleri hazırlanmalıdır.
• IT, OT, işletme ve emniyet ekiplerinin koordinasyonu tanımlanmalıdır.
• Yedeklerden geri dönüş test edilmelidir.
• Operasyonel alternatif çalışma düzenleri tatbik edilmelidir.

Aşama 6: Ölçme ve Sürekli İyileştirme

• Güvenlik performans göstergeleri takip edilmelidir.
• Risk değerlendirmeleri düzenli olarak yenilenmelidir.
• Tedarikçi güvenliği gözden geçirilmelidir.
• Personel eğitimleri ölçülmelidir.
• Denetim ve olaylardan elde edilen bulgular iyileştirme çalışmalarına dönüştürülmelidir.

14. Demiryolu Siber Güvenlik Olgunluğunun Değerlendirilmesi

Demiryolu kuruluşlarının siber güvenlik kapasitelerini geliştirebilmesi için mevcut durumlarını ölçmesi ve iyileştirme ihtiyaçlarını belirlemesi gerekir.

Bu amaçla RailwayNews araştırma çalışmasında Railway Cybersecurity Maturity and Readiness Matrix (RCMRM) – Demiryolu Siber Güvenlik Olgunluk ve Hazırlık Matrisi adı verilen bir değerlendirme yaklaşımı kullanılmaktadır.

RCMRM; ENISA’nın demiryolu siber güvenlik çalışmaları, NIST Cybersecurity Framework 2.0, IEC 62443 ve CLC/TS 50701 gibi kaynaklardaki yaklaşımlardan yararlanan editoryal ve araştırma amaçlı bir değerlendirme modelidir.

Önemli not: RCMRM, ENISA, UIC, IEC veya CENELEC tarafından yayımlanmış resmî bir standart, sertifikasyon programı ya da düzenleyici değerlendirme sistemi değildir. RailwayNews tarafından araştırma ve karşılaştırmalı değerlendirme amacıyla geliştirilen bir çerçevedir.

14.1 Beş Siber Güvenlik Olgunluk Seviyesi

1. Başlangıç: Güvenlik faaliyetleri çoğunlukla olaylara tepki vermeye dayanır. Süreçler kişilere bağlı ve sınırlıdır.
2. Temel: Bazı güvenlik önlemleri ve prosedürler uygulanmaktadır ancak kurumsal bütünlük ve süreklilik yeterli değildir.
3. Tanımlı: Politikalar, sorumluluklar ve tekrarlanabilir süreçler oluşturulmuş ve uygulanmaktadır.
4. Yönetilen: Güvenlik performansı ölçülmekte, kontroller düzenli olarak gözden geçirilmekte ve iyileştirme faaliyetleri takip edilmektedir.
5. İleri: Siber güvenlik; mühendislik, işletme, tedarik zinciri ve kurumsal karar alma süreçlerine entegre edilmiştir.

14.2 Sekiz Değerlendirme Boyutu

RCMRM yaklaşımı aşağıdaki sekiz boyut üzerinden değerlendirme yapılmasını öngörür:

1. Yönetişim ve sorumluluklar
2. Varlık envanteri ve risk yönetimi
3. Ağ mimarisi ve erişim kontrolü
4. Tedarik zinciri ve uzaktan erişim güvenliği
5. Güvenli yaşam döngüsü, zafiyet ve değişiklik yönetimi
6. İzleme ve tehdit tespiti
7. Olay müdahalesi ve hizmet sürekliliği
8. İnsan kaynağı, eğitim ve güvenlik kültürü

14.3 Kanıta Dayalı Değerlendirme

Olgunluk değerlendirmeleri; politika dokümanları, varlık envanterleri, ağ mimarisi kayıtları, erişim denetimleri, tatbikat sonuçları, tedarikçi kayıtları ve iyileştirme raporları gibi kanıtlara dayanmalıdır.

Yüksek bir genel puan, kritik bir sistemin güvenli olduğunu tek başına kanıtlamaz. Özellikle kritik OT varlıklarının envanteri, uzaktan erişim kontrolü ve olay sonrası kurtarma kapasitesi gibi temel alanlardaki ciddi eksiklikler ayrıca raporlanmalıdır.

RCMRM sonuçları, kuruluşların kendi gelişim süreçlerini planlamasına yardımcı olmalıdır. Yeterli kanıt bulunmadan belirli demiryolu şirketlerine veya ülkelere olgunluk puanı verilmemelidir.

15. Sonuç: Güvenli Dijital Demiryolu

Demiryolu siber güvenliği, modern demiryolu işletmeciliğinin temel unsurlarından biridir. Sinyalizasyon, tren kontrolü, haberleşme, araç sistemleri, enerji altyapısı, istasyonlar, bakım ve lojistik süreçleri dijital teknolojilere daha fazla bağımlı hâle geldikçe siber risklerin doğru yönetilmesi de daha önemli olacaktır.

Etkili bir güvenlik yaklaşımı yalnızca güvenlik yazılımlarından veya ağ cihazlarından oluşmaz. Kurumsal yönetişim, doğru varlık envanteri, risk temelli mühendislik, güvenli ağ mimarisi, tedarikçi denetimi, eğitimli personel, sürekli izleme ve test edilmiş kurtarma süreçleri birlikte uygulanmalıdır.

Demiryolu emniyeti ve siber güvenlik koordineli biçimde yönetilmelidir. Ancak fonksiyonel emniyet ile siber güvenlik farklı disiplinlerdir ve kendi gereksinimleri doğrultusunda değerlendirilmelidir.

Uluslararası standartlar ve ulusal mevzuat, demiryolu kuruluşlarına önemli bir çerçeve sunar. Bu çerçevenin etkili olabilmesi için her kuruluşun kendi operasyonel sorumluluklarını, teknolojik altyapısını ve risklerini dikkate alması gerekir.

Yapay zekâ, dijital ikizler, bağlantılı varlıklar, yeni nesil haberleşme ve otomasyon teknolojileri demiryollarının geleceğini şekillendirmeye devam edecektir. Bu dönüşümde siber güvenlik, sistemler devreye alındıktan sonra eklenecek bir unsur değil, tasarım ve işletme süreçlerinin başlangıcından itibaren dikkate alınması gereken temel bir gereksinim olmalıdır.

Güvenli dijital demiryolu, tek bir ürün veya projeyle değil; sürekli risk yönetimi, mühendislik disiplini, nitelikli insan kaynağı, kurumsal iş birliği ve operasyonel dayanıklılıkla oluşturulur.

16. Demiryollarında Siber Güvenlik Hakkında Sıkça Sorulan Sorular

Demiryollarında siber güvenlik nedir?

Demiryollarında siber güvenlik; demiryolu altyapısı, trenler, sinyalizasyon, haberleşme, enerji, bakım ve yolcu hizmetlerinde kullanılan dijital sistemlerin yetkisiz erişim, manipülasyon, veri ihlali ve hizmet kesintilerine karşı korunmasıdır.

Demiryollarında siber güvenlik neden önemlidir?

Modern demiryolları tren kontrolü, trafik yönetimi, haberleşme, bakım ve yolcu hizmetleri için dijital sistemlere bağımlıdır. Bu sistemlerde meydana gelebilecek güvenlik olayları hizmetlerin kesintiye uğramasına ve bazı durumlarda operasyonel veya emniyetle ilgili sonuçlara yol açabilir.

IT ve OT arasındaki fark nedir?

IT sistemleri kurumsal bilgi işleme ve iletişim süreçlerini destekler. OT sistemleri ise sinyalizasyon, SCADA ve tren kontrolü gibi fiziksel süreçleri izler veya kontrol eder. İki ortamın güvenlik ihtiyaçları farklıdır ancak aralarındaki bağlantılar birlikte değerlendirilmelidir.

Bir siber saldırı trenlerin durmasına neden olabilir mi?

Bir siber olay, demiryolu işletimini destekleyen sistemleri etkileyerek seferlerin kısıtlanmasına veya durdurulmasına neden olabilir. Ancak her BT saldırısının doğrudan tren kontrol sistemlerini etkilediği söylenemez. Sonuç, etkilenen sistemin görevine ve mevcut alternatif işletme düzenlerine bağlıdır.

Demiryolu siber güvenliğinde hangi standartlar kullanılır?

CLC/TS 50701 demiryolu siber güvenliği, IEC 62443 endüstriyel kontrol sistemleri, ISO/IEC 27001 bilgi güvenliği yönetimi ve ilgili demiryolu RAMS standartları önemli referanslardır. Her birinin kapsamı ve hukuki statüsü farklıdır.

SIL değeri siber güvenlik seviyesini gösterir mi?

Hayır. Safety Integrity Level (SIL), fonksiyonel emniyet gereksinimleriyle ilgilidir. Security Level (SL) ise siber güvenlik gereksinimlerini ifade eder. İki kavram birbirinin yerine kullanılamaz.

Türkiye’de demiryolu siber güvenliği hangi kanunla düzenlenmektedir?

7545 sayılı Siber Güvenlik Kanunu, Türkiye’nin ulusal siber güvenlik çerçevesini oluşturan temel düzenlemelerden biridir. Demiryolu kuruluşlarının yükümlülükleri, kanunun güncel metni, ilgili ikincil mevzuat ve yetkili kurumların kararları doğrultusunda değerlendirilmelidir.

FRMCS nedir?

Future Railway Mobile Communication System (FRMCS), GSM-R sonrasında demiryolu haberleşmesinin gelişimini desteklemek üzere hazırlanan yeni nesil haberleşme sistemidir. 5G ve 3GPP ekosistemindeki teknolojilerle ilişkilidir.

Demiryolu işletmecileri siber güvenliği nasıl geliştirebilir?

İşletmeciler kritik varlıklarını belirleyerek, risk değerlendirmesi yaparak, ağları bölümlendirerek, uzaktan erişimleri kontrol ederek, tedarikçi güvenliğini artırarak, sistemleri izleyerek ve olay müdahale süreçlerini test ederek siber güvenlik kapasitelerini geliştirebilir.

Demiryolu siber güvenliği yalnızca bilgi işlem birimlerinin sorumluluğu mudur?

Hayır. Siber güvenlik; yönetim, IT, OT, sinyalizasyon, haberleşme, araç bakım, işletme, satın alma, emniyet ve tedarikçi kuruluşların birlikte sorumluluk almasını gerektirir.

Kaynaklar ve İleri Okuma

• ENISA – Railway Cybersecurity: Good Practices in Cyber Risk Management (2021)
• ENISA – Ulaştırma Sektöründe Siber Güvenlik
• UIC – Guidelines for Cyber-Security in Railways (2018)
• UIC – Future Railway Mobile Communication System (FRMCS)
• Avrupa Birliği – 2022/2555 Sayılı NIS2 Direktifi
• Avrupa Birliği – 2022/2557 Sayılı CER Direktifi
• Türkiye – 7545 Sayılı Siber Güvenlik Kanunu
• Siber Güvenlik Başkanlığı – Siber Güvenlik Kanunu Yayımlandı
• 5 Mayıs 2026 Tarihli Siber Güvenlik Kurulu Toplantısı Açıklaması
• Ulaştırma ve Altyapı Bakanlığı – Demiryolu Altyapı Dairesi Başkanlığı

Mevzuat ve standartların güncel sürümleri, uygulama tarihleri ve ulusal kapsamları yayın ve uyum değerlendirmesi öncesinde resmî kaynaklardan kontrol edilmelidir.