Enerji şebekeleri, su arıtma tesisleri, ulaşım ağları ve telekomünikasyon sistemleri — modern toplumun omurgasını oluşturan bu kritik altyapılar, 2026’da daha önce hiç olmadığı kadar yoğun bir siber tehdit altında. Devlet destekli saldırganlardan fidye yazılımı çetelerine kadar genişleyen tehdit yelpazesi, OT (Operasyonel Teknoloji) ile BT sistemlerinin yakınsamasıyla birleşince ortaya daha önce eşi görülmemiş bir saldırı yüzeyi çıkıyor.

2026’da Kritik Altyapıya Yönelik Başlıca Tehditler

Devlet Destekli APT Saldırıları: Jeopolitik gerilimlerin tırmanmasıyla birlikte devlet destekli gelişmiş kalıcı tehdit (APT) grupları, kritik altyapıları birincil hedef haline getirdi. Enerji sektörüne yönelik saldırılar 2025-2026 döneminde %35 arttı. Bu gruplar yalnızca veri çalmakla kalmıyor; endüstriyel kontrol sistemlerine (ICS) sızarak fiziksel hasar oluşturma kapasitesine ulaşmış durumda.

Fidye Yazılımı 3.0: Artık yalnızca dosyaları şifrelemekle yetinmeyen, OT sistemlerine özel olarak tasarlanmış fidye yazılımları SCADA ve PLC cihazlarını hedef alıyor. 2026’nın ilk çeyreğinde bir Avrupa enerji dağıtım şirketine yapılan saldırıda, saldırganların talebi 50 milyon doları aştı — çünkü şifrelenen yalnızca ofis dosyaları değil, elektrik dağıtım kontrol sistemleriydi.

Tedarik Zinciri Saldırıları: Kritik altyapı işletmecilerinin kullandığı endüstriyel yazılımların tedarik zinciri, saldırganların yeni favori giriş noktası. Bir SCADA yazılım güncellemesine yerleştirilen arka kapı, onlarca tesise aynı anda erişim sağlayabiliyor.

IoT/IIoT Güvenlik Açıkları: Endüstriyel IoT cihazlarının hızla artması, çoğu zaman yetersiz güvenlik önlemleriyle birleşiyor. Varsayılan şifreler, güncellenmeyen firmware’ler ve şifrelenmemiş iletişim protokolleri, kritik altyapıları savunmasız bırakıyor.

Türkiye’de Durum: Mevzuat ve Gerçekler

Türkiye, kritik altyapı güvenliği konusunda önemli düzenleyici adımlar attı:

Düzenleme	Kapsam
EPDK Siber Güvenlik Yetkinlik Modeli	Enerji sektöründe faaliyet gösteren tüm kuruluşlara siber güvenlik yetkinlik modeli kurma ve ISO 27001 belgelendirme zorunluluğu
BTK Şebeke ve Bilgi Güvenliği Yönetmeliği	Telekom operatörleri ve ISS’ler için BGYS ve yıllık bağımsız denetim şartı
Ulusal Siber Güvenlik Stratejisi	Kritik altyapı sektörlerinde sektörel SOME’ler ve zorunlu olay bildirimi
NIS2 Uyum Hazırlığı	AB ile ticaret yapan kritik altyapı işletmecileri için NIS2 gerekliliklerine uyum baskısı

Ancak mevzuat tek başına yeterli değil. 2025’te Türkiye’de bir enerji dağıtım şirketine yapılan fidye yazılımı saldırısı, saatler süren kesintilere yol açtı. Olay sonrası yapılan incelemede, temel güvenlik hijyeni eksiklikleri — segmentasyon yokluğu, güncel olmayan yamalar ve yetersiz erişim kontrolü — tespit edildi.

Kritik Altyapı Güvenliğinde 5 Temel Çözüm

1. BT/OT Segmentasyonu: Kurumsal ağ ile endüstriyel kontrol sistemleri arasında sıkı ağ segmentasyonu. IEC 62443 standardına uygun bölgeleme ve kanal güvenliği mimarisi.
2. Sürekli Tehdit İzleme: OT ortamlarına özel IDS/IPS çözümleri ile anomali tespiti. Modbus, DNP3, PROFINET gibi endüstriyel protokollerin derin paket incelemesi.
3. Olay Müdahale ve Kurtarma: Kritik altyapıya özel olay müdahale planları, düzenli masa başı ve saha tatbikatları, air-gapped yedekleme stratejileri.
4. Tedarik Zinciri Güvenliği: Kritik tedarikçilerin düzenli güvenlik değerlendirmesi, yazılım tedarik zinciri bütünlük kontrolleri (SBOM), sözleşmesel güvenlik gereklilikleri.
5. İnsan Faktörü: OT personeline özel siber güvenlik farkındalık eğitimleri, sosyal mühendislik simülasyonları, yönetim kurulu düzeyinde siber güvenlik yönetişimi.

IEC 62443 ve ISO 27001: Standart Temelli Güvenlik

Kritik altyapı güvenliğinde iki standart öne çıkıyor: IEC 62443, endüstriyel kontrol sistemlerinin siber güvenliği için sektöre özel bir çerçeve sunarken; ISO 27001, kurumsal bilgi güvenliği yönetiminin omurgasını oluşturuyor. Enerji, su, ulaşım ve telekom sektörlerinde EPDK ve BTK gibi düzenleyiciler her iki standardı da referans gösteriyor. Bu standartların entegre uygulanması, hem mevzuat uyumluluğunu sağlıyor hem de gerçek bir güvenlik duruşu oluşturuyor.

Das Smart Teknoloji ile Kritik Altyapı Güvenliği

Das Smart Teknoloji olarak, kritik altyapı işletmecilerine özel güvenlik hizmetleri sunuyoruz. ARGUS AI platformumuz, OT ortamlarında sürekli zafiyet taraması ve tehdit istihbaratı sağlıyor. IEC 62443 ve ISO 27001 uyumluluk danışmanlığımızla mevzuat gerekliliklerini karşılamanıza yardımcı oluyor; sızma testi ekibimiz IT/OT ağlarınızı gerçek saldırı senaryolarıyla test ediyor.