Enerji sektöründe dijitalleşmenin hız kazanmasıyla birlikte kritik altyapıların korunması her zamankinden daha önemli hale geliyor. CyberArts CEO & Founder’ı Erdem Eriş, EPDK tarafından hayata geçirilen Sektörel Siber Güvenlik Yetkinlik Modeli’nin (SGYM) sektörde önemli bir dönüşüm başlattığını vurgulayarak, yeni dönemde kurumların yalnızca saldırıları engellemeye değil, saldırı anında operasyonlarını sürdürebilecek siber dayanıklılığa odaklanması gerektiğini söyledi.

EPDK’nın hayata geçirdiği Sektörel Siber Güvenlik Yetkinlik Modeli (SGYM), enerji şirketlerinin siber güvenlik yaklaşımını nasıl değiştirdi? Şirketler bu dönüşümde en çok hangi alanlarda zorlanıyor?

EPDK’nın Sektörel Siber Güvenlik Yetkinlik Modeli, enerji şirketleri için siber güvenlikte çok önemli bir zihniyet değişimi başlattı. Ben bunu sadece bir regülasyon değişikliği olarak görmüyorum; enerji sektöründe “kâğıt üstü uyumdan” sahada çalışan, ölçülebilir ve denetlenebilir güvenliğe geçiş olarak görüyorum.

Çünkü enerji sektörü klasik bir kurumsal BT ortamı değil. Burada koruduğunuz şey sadece e-posta sunucuları, web uygulamaları veya kullanıcı bilgisayarları değil; elektrik üretimi, iletimi, dağıtımı, doğal gaz altyapısı, rafineri operasyonları, kontrol merkezleri, SCADA sistemleri, RTU’lar, PLC’ler, saha haberleşmesi ve uzaktan erişim bağlantıları. Yani siber güvenlik doğrudan operasyonel sürekliliğin, arz güvenliğinin ve kamu hizmetinin bir parçası haline geliyor.

SGYM’nin ilk hali 6 Haziran 2023’te yayımlandı; güncel hali ise 25 Kasım 2025 tarihli düzenlemelerle genişleyen ve olgunlaşan bir yapıya kavuştu. Bugün elektrik dağıtım, doğal gaz dağıtım, elektrik üretim, rafineri, doğal gaz depolama, doğal gaz ve ham petrol iletim ile elektrik iletim alanlarına yönelik teknik kontrol maddeleri ve referans topolojilerden bahsediyoruz. Bu kapsam bile tek başına şunu gösteriyor: Artık enerji sektöründe siber güvenlik genel bir “check-list” konusu değil; her alt sektörün kendi operasyonel gerçekliğine göre ele alınması gereken bir yetkinlik meselesi.

Şirketlerin en çok zorlandığı nokta IT ve OT dünyalarını aynı masada buluşturmak. BT tarafında güncelleme, loglama, zafiyet taraması, kimlik yönetimi, SIEM ve SOC kavramları daha yerleşik. Ancak OT tarafında öncelik doğal olarak “sistem durmasın, üretim kesilmesin, saha çalışmaya devam etsin” oluyor. Bu refleks anlaşılır; fakat artık bu iki dünya birbirinden kopuk yönetilemez.

Sahada en sık gördüğümüz zorluklar; güncel varlık envanterinin olmaması, IT-OT ağ ayrımının zayıf kalması, uzak erişimlerin yeterince güvenli yönetilmemesi, OT sistemlerinden yeterli log alınamaması, eski sistemlerin yamalanamaması, kritik varlıkların iş etkisine göre sınıflandırılmaması ve denetime yönelik kanıt üretim sürecinin olgunlaşmamış olması. Benim bu konudaki temel mesajım şu: SGYM sadece denetimden geçmek için hazırlanacak bir dosya değildir; doğru ele alınırsa enerji şirketinin siber dayanıklılığını artıran çok güçlü bir dönüşüm programıdır.

Yeni bir dönem başladı

7545 Sayılı Siber Güvenlik Kanunu ile birlikte siber güvenlik artık yalnızca BT ekiplerinin değil, üst yönetimin de sorumluluğu haline geldi. Sizce bu değişim şirketlerin kurumsal yönetim anlayışını nasıl etkileyecek?

7545 Sayılı Siber Güvenlik Kanunu ile Türkiye’de siber güvenlik alanında yeni bir dönem başladı. Kanun 12 Mart 2025’te kabul edildi, 19 Mart 2025’te Resmî Gazete’de yayımlandı. Bu tarihleri özellikle vurgulamak isterim; çünkü artık siber güvenlik Türkiye’de sadece teknik ekiplerin gündeminde olan bir konu değil, kurumsal yönetim ve milli güvenlik perspektifiyle ele alınan bir başlık haline geldi.

Ben yıllardır şunu söylüyorum: Siber güvenlik bir teknoloji yatırımı değil, kurumsal bir kapasitedir. Firewall alarak, antivirüs kurarak veya bir denetim raporu hazırlayarak güvenli olunmaz. Güvenlik; insan, süreç, teknoloji, hukuk, tedarik zinciri, iş sürekliliği ve üst yönetim sahipliği birlikte çalıştığında anlam kazanır.

Bu kanunla birlikte şirketlerin yönetim anlayışında üç önemli değişim bekliyorum. Birincisi, siber risk artık finansal risk, operasyonel risk ve itibar riskiyle aynı seviyede ele alınacak. İkincisi, yönetim kurulları ve icra ekipleri siber güvenlik performansını ölçmek isteyecek; yani “güvende miyiz?” sorusunun yerini “hangi seviyedeyiz, hangi riskleri taşıyoruz, hangi aksiyonları ne zaman tamamlayacağız?” soruları alacak. Üçüncüsü, siber güvenlik bütçeleri sadece BT departmanının teknik ihtiyacı olarak değil, şirketin sürdürülebilirliği için stratejik yatırım olarak değerlendirilecek.

Bugün bir siber olay; üretimi durdurabilir, dağıtımı aksatabilir, müşteri güvenini zedeleyebilir, hukuki sonuçlar doğurabilir ve şirket değerine doğrudan etki edebilir. Bu nedenle CISO’nun, BT direktörünün veya SOME ekibinin tek başına taşıyabileceği bir sorumluluktan bahsetmiyoruz. Bu sorumluluk artık CEO’nun, CFO’nun, hukuk biriminin, insan kaynaklarının, satın alma ekiplerinin, iç denetimin ve yönetim kurulunun ortak sorumluluğu.

Bence bu değişim şirketler için çok sağlıklı olacak. Çünkü Türkiye’de siber güvenliğin gerçek anlamda olgunlaşması için konunun teknik ekiplerin omuzlarından çıkarılıp üst yönetim seviyesinde sahiplenilmesi şart. Enerji gibi kritik altyapı sektörlerinde bu sahiplik daha da önemli; çünkü burada risk sadece şirket bilançosunu değil, hizmet sürekliliğini ve toplumun günlük hayatını da etkiliyor.

Fidye yazılımı tehdidi büyüdü

Enerji sektörü kritik altyapılar arasında yer alıyor. Bugün Türkiye’deki enerji şirketlerini en fazla tehdit eden siber riskler hangileri ve bu tehditlere karşı nasıl bir hazırlık yapılması gerekiyor?

Enerji sektörü siber saldırganlar için en cazip hedeflerden biri. Çünkü enerji altyapısına yönelik bir saldırının etkisi sadece dijital sistemlerde kalmaz; fiziksel dünyaya dokunur. Elektrik kesintisi, doğal gaz operasyonunda aksama, rafineri süreçlerinde duruş, üretim kaybı, saha ekiplerinin müdahale edememesi veya kritik hizmetlerde kesinti gibi sonuçlar doğurabilir.

Bugün Türkiye’deki enerji şirketleri açısından en önemli tehditleri birkaç başlıkta topluyorum: fidye yazılımları, kimlik bilgisi hırsızlığı, VPN ve uzak erişim zafiyetleri, tedarikçi bağlantıları, IT ağından OT ağına yatay hareket, eski ve güncellenemeyen sistemler, zayıf ağ segmentasyonu, güvenli yapılandırma eksiklikleri ve OT ortamındaki görünürlük problemi.

Küresel rakamlar bu riskin büyüklüğünü çok net gösteriyor. IBM X-Force’un 2025 bulgularına göre, müdahale edilen saldırıların yüzde 70’i kritik altyapı kuruluşlarını içeriyor ve bu saldırıların dörtte birinden fazlası zafiyet istismarıyla başlıyor. Bu bize şunu söylüyor: Saldırganların büyük bölümü çok sofistike yöntemlerden önce bilinen açıkları, zayıf kimlik yönetimini ve yanlış yapılandırmaları kullanıyor.

Dragos’un 2025 OT/ICS raporu da sanayi kuruluşlarına yönelik fidye yazılımı tehdidinin ne kadar büyüdüğünü gösteriyor. Rapora göre 2024 yılında endüstriyel kuruluşları hedef alan 1.693 fidye yazılımı saldırısı belgelendi; bu, bir önceki yıla göre yüzde 87 artış anlamına geliyor. Daha çarpıcı olan ise şu: Dragos’un müdahale ettiği fidye yazılımı vakalarında olayların yüzde 75’i OT operasyonlarında kısmi duruşa, yüzde 25’i ise tam duruşa yol açmış. Bu veri, fidye yazılımının artık sadece bir BT problemi olmadığını; doğrudan üretim ve operasyon problemi olduğunu gösteriyor.

ENISA’nın 2025 tehdit görünümü de benzer bir tablo ortaya koyuyor. ENISA, 1 Temmuz 2024 - 30 Haziran 2025 döneminde 4.875 siber olayı analiz etti ve tehdit ortamının daha karmaşık, daha hızlı ve daha zor takip edilir hale geldiğini vurguladı. Enerji şirketleri bu tabloya karşı üç seviyede hazırlanmalı: temel siber hijyen, OT’ye özel koruma ve siber dayanıklılık. Yani varlık envanteri, MFA, zafiyet yönetimi, IT-OT segmentasyonu, pasif OT izleme, güvenli uzaktan erişim, olay müdahale tatbikatı, felaket kurtarma ve kriz iletişimi birlikte ele alınmalı.

Bugün hiçbir kurum “bana saldırı olmaz” diyemez. Doğru soru şu olmalı: Saldırı olursa ne kadar erken fark ederiz, yayılmasını ne kadar hızlı durdururuz, kritik operasyonu nasıl sürdürürüz ve ne kadar sürede toparlanırız? Enerji sektörü için başarı kriteri artık sadece saldırıyı engellemek değil, saldırı altında çalışmaya devam edebilmektir.

Siber güvenlikte çok temel bir ilke var

CyberArts olarak SGYM kapsamında enerji şirketlerine mevcut durum analizi, olgunluk değerlendirmesi ve denetim hazırlığı gibi hizmetler sunuyorsunuz. Kurumlarda en sık karşılaştığınız eksiklikler neler oluyor?

CyberArts olarak enerji şirketlerinde SGYM kapsamında yaptığımız çalışmalarda şunu çok net görüyoruz: Kurumların çoğunda iyi niyet, teknoloji yatırımı ve farkındalık var. Ama bu yatırımlar her zaman bütünsel bir siber güvenlik mimarisine dönüşmemiş oluyor.

Bir kurumda güvenlik ürünü olabilir ama süreç olmayabilir. Log toplanıyor olabilir ama anlamlı korelasyon yapılmıyor olabilir. Envanter hazırlanmış olabilir ama kritik varlık ilişkileri ve iş etkisi netleştirilmemiş olabilir. Politika dokümanı bulunabilir ama sahada uygulanabilirliği sınırlı kalabilir. Bu nedenle bizim baktığımız konu sadece “hangi ürünler var?” değil; “bu kurum gerçekten saldırıya hazır mı, olay anında ne yapacağını biliyor mu, denetime kanıt üretebiliyor mu, kritik operasyonunu sürdürebiliyor mu?” sorularıdır.

En sık karşılaştığımız eksikliklerin başında güncel ve güvenilir IT-OT varlık envanteri geliyor. Siber güvenlikte çok temel bir ilke var: Bilmediğiniz varlığı koruyamazsınız. Enerji şirketlerinde bu daha da kritik. Çünkü bazı varlıklar doğrudan üretim, iletim, dağıtım veya saha operasyonu ile ilişkili. Bu varlıkların teknik envanterinin yanında iş etkisinin de bilinmesi gerekiyor.

İkinci önemli eksiklik ağ topolojisi ve segmentasyon tarafında ortaya çıkıyor. IT ile OT arasında kâğıt üzerinde ayrım var gibi görünse de gerçek hayatta bakım bağlantıları, tedarikçi erişimleri, geçici çözümler, ortak kullanıcılar veya eski mimari kararlar nedeniyle riskli geçiş noktaları oluşabiliyor. Üçüncü başlık uzak erişim. Enerji sektöründe tedarikçi, bakım ekibi, saha personeli ve merkez ekiplerinin sisteme erişimi kaçınılmaz; ama bu erişimlerin kim tarafından, ne zaman, hangi yetkiyle ve hangi kayıt mekanizmasıyla yapıldığı net değilse ciddi bir risk doğuyor.

Dördüncü konu loglama ve izleme. Kurumsal BT tarafında SIEM ve SOC yapıları nispeten daha yaygın. Ancak OT tarafında log toplamak, protokol seviyesinde görünürlük sağlamak, anomaliyi tespit etmek ve bunu SOC operasyonlarıyla ilişkilendirmek hâlâ gelişmesi gereken bir alan. Beşinci başlık ise olay müdahale ve yedekten geri dönüş testleri. Birçok kurumun olay müdahale planı var; ancak bu planlar çoğu zaman OT senaryolarıyla test edilmemiş oluyor.

Bizim yaklaşımımızda SGYM bir denetim hazırlığı olabilir ama bununla sınırlı kalmamalı. Kurumun mevcut durumunu ölçüyor, olgunluk seviyesini belirliyor, eksikleri risk bazlı önceliklendiriyor ve uygulanabilir bir yol haritası çıkarıyoruz. Çünkü enerji sektöründe her eksik aynı öneme sahip değildir. Kritik olan, regülasyon gerekliliklerini operasyonel riskle birlikte okuyabilmektir.

Asıl hedef sürdürülebilir siber dayanıklılık

Regülasyonlara uyum çoğu zaman şirketler tarafından yalnızca bir zorunluluk olarak görülüyor. Sizce kurumlar bu süreci rekabet avantajına ve operasyonel dayanıklılığa dönüştürmek için nasıl değerlendirmeli?

Regülasyon uyumu yanlış ele alınırsa maliyet kalemine dönüşür. Doğru ele alınırsa şirketin dayanıklılığını artıran, yönetim kalitesini yükselten ve güven yaratan stratejik bir programa dönüşür. Ben burada “uyum” kelimesinin tek başına yetersiz kaldığını düşünüyorum. Uyum bir başlangıç noktasıdır; asıl hedef sürdürülebilir siber dayanıklılıktır.

Enerji sektöründe güvenilirlik çok kritik bir değerdir. Bir elektrik dağıtım şirketi, doğal gaz altyapısı, üretim tesisi veya rafineri için siber güvenlik artık sadece teknik bir gereklilik değil; hizmet kalitesinin, yatırımcı güveninin, kamu otoritesiyle ilişkinin ve müşteri nezdindeki itibarın bir parçası. Enerji sektöründe “kesinti yaşamamak” ile “güvenilir olmak” arasında doğrudan bağ var.

Regülasyon süreci doğru yönetildiğinde kurumlara çok somut faydalar sağlar. Varlık envanteri netleşir. Kritik sistemler önceliklendirilir. Tedarikçi riskleri görünür hale gelir. İş sürekliliği planları test edilir. Güvenlik yatırımlarının gerçekten nereye yapılması gerektiği ortaya çıkar. Yönetim kurulu, siber güvenlik olgunluğunu ölçülebilir göstergelerle takip etmeye başlar.

Verizon’un 2025 DBIR raporunda 22.052 gerçek güvenlik olayı ve 12.195 doğrulanmış veri ihlali analiz edildi. Bu ölçekteki veri bize şunu gösteriyor: Siber güvenlikte en büyük kazanımlar çoğu zaman en temel kontrollerin disiplinli, sürekli ve ölçülebilir şekilde uygulanmasıyla elde ediliyor. Kimlik yönetimi, zafiyet kapatma, yedekleme, ağ segmentasyonu, tedarikçi kontrolü ve olay müdahale tatbikatı hâlâ oyunun temelini oluşturuyor.

Dolayısıyla kurumlar regülasyon sürecini “minimum gereklilikleri yerine getirelim” anlayışıyla değil, “bu süreci kullanarak şirketimizin operasyonel dayanıklılığını nasıl artırırız?” sorusuyla yönetmeli. Önümüzdeki dönemde siber güvenliğini ölçebilen, raporlayabilen, sürekli iyileştirebilen ve bunu üst yönetim seviyesinde sahiplenen kurumlar daha güvenilir iş ortağı olacak. Kritik altyapı sektörlerinde güven en büyük sermayedir; güvenlik olgunluğu da artık bu sermayenin önemli bir parçasıdır.

Saldırganlar sadece veri çalmakla ilgilenmiyor

Önümüzdeki birkaç yıl içinde enerji sektöründe siber güvenlik alanında hangi gelişmelerin öne çıkacağını öngörüyorsunuz? Enerji şirketlerinin bugünden atması gereken en kritik adımlar sizce neler?

Önümüzdeki birkaç yılda enerji sektöründe siber güvenliğin üç ana başlıkta şekilleneceğini düşünüyorum: OT güvenliği, yapay zekâ destekli tehditler ve siber dayanıklılık. Bugüne kadar birçok kurumda öncelik kurumsal BT sistemlerindeydi. Ancak enerji sektörünün asıl kritik noktası çoğu zaman OT tarafında. Üretim tesisleri, kontrol merkezleri, dağıtım sistemleri, saha ekipmanları ve endüstriyel haberleşme protokolleri artık siber güvenlik programlarının merkezinde yer almak zorunda.

Küresel ölçekte de bu yönde güçlü bir eğilim var. NCC Group’un 2026’da yayımlanan değerlendirmesine göre, Mart 2025’ten itibaren 12 aylık dönemde endüstriyel kuruluşlar 2.073 fidye yazılımı saldırısı yaşadı. Bu veri bize çok net bir tablo gösteriyor: Saldırganlar artık sadece veri çalmakla ilgilenmiyor; üretimi durdurabilecek, tedarik zincirini aksatabilecek ve gerçek dünyada sonuç doğurabilecek hedeflere yöneliyor.

İkinci büyük başlık yapay zekâ. Yapay zekâ hem saldırı hem savunma tarafında oyunu hızlandıracak. Saldırganlar daha ikna edici oltalama mesajları, daha hızlı zafiyet araştırması, daha otomatik keşif ve daha ölçeklenebilir sosyal mühendislik kampanyaları yürütebilecek. Savunma tarafında ise yapay zekâ; log analizi, anomali tespiti, tehdit istihbaratı zenginleştirme, olay önceliklendirme ve SOC operasyonlarında ciddi verimlilik sağlayacak.

Ama burada çok net bir uyarım var: Yapay zekâ sihirli değnek değildir. Kötü veriyle, zayıf süreçle, eksik envanterle ve dağınık organizasyonla yapay zekâdan mucize beklenemez. Önce temel güvenlik mimarisi kurulmalı, sonra yapay zekâ bu mimariyi güçlendiren bir çarpan olarak kullanılmalı.

Enerji şirketlerinin bugünden atması gereken adımları net şekilde sıralayabilirim: Güncel IT-OT varlık envanteri çıkarılmalı. Kritik varlıklar iş etkisine göre sınıflandırılmalı. IT-OT segmentasyonu güçlendirilmeli. Güvenli uzaktan erişim ve ayrıcalıklı hesap yönetimi mutlaka olgunlaştırılmalı. OT görünürlüğü artırılmalı. SOC ve SOME yapıları OT senaryolarını da kapsayacak şekilde geliştirilmeli. Yedekleme, felaket kurtarma ve olay müdahale planları düzenli tatbikatlarla test edilmeli. Tedarikçi erişimleri ve bakım süreçleri sözleşmesel ve teknik kontrollerle yönetilmeli.

Benim enerji sektörü yöneticilerine vereceğim en net mesaj şu olur: Siber güvenlik artık enerji arz güvenliğinin ayrılmaz bir parçasıdır. Bu konu sadece IT ekiplerine bırakılacak kadar teknik, sadece denetim dönemlerinde hatırlanacak kadar dönemsel ve sadece ürün alarak çözülecek kadar basit değildir. Enerji sektöründe gerçek başarı; güvenliği, operasyonun doğal bir parçası haline getiren şirketlerin olacak.