Demiryolu Sektöründe Siber Güvenlik ve Standartlar
Altay ONUR
Giriş
Dijital dönüşüm, ulaşım sektöründe faaliyet gösteren şirketler için demiryolu taşımacılığı da dahil olmak üzere pek çok fırsat yaratıyor. Demiryollarında kontrol ve sinyalizasyon teknolojisinin (CST) dijitalleştirilmesiyle operasyonel süreçler iyileştirilebiliyor ve taşımacılık performansı artırılabiliyor. Ancak standartlaştırılmış veri ağlarının kullanımı, güvenlik teknolojisini potansiyel bilgisayar korsanı saldırılarına karşı da savunmasız hale getiriyor. Bu tür saldırıların olası sonuçları gecikmelerden hayati tehlike yaratabilecek kazalara kadar uzanıyor.
Demiryolu altyapısının dijitalleşmesi ve kontrol ve emniyet teknolojilerinin ağ üzerinden birbirine bağlanması sonucunda BT saldırıları birçok tehditle karşılaşmakta ve riskleri de artmaktadır. Veri ağlarının potansiyel bilgisayar korsanı saldırılarına karşı korunması özellikle sistemde gecikmelere neden olabileceği gibi hayati tehlike yaratabilecek kazalara da neden olmaktadır. Demiryolundaki bu dijital dönüşüm, demiryolu sektöründe BT tabanlı sistemlere yönelik yeni gereksinimleri beraberinde getirmekte ve yeni BT güvenlik çözümlerini gerekli kılmaktadır.
Kritik Altyapılarda Riskler
Riskler, sağlığa, çevreye, finansal yapıya veya itibara zarar verme olasılığı olan koşullar veya durumlar olarak tanımlanır. Başka bir deyişle, güvenlik riski, bir tehdidin olumsuz bir etkiye yol açabilecek bir güvenlik açığını istismar etme olasılığının bir fonksiyonudur. Demiryolu sektöründe, riskler çalışma ortamına etki eden tehditlerin sonucunda istenmeyen olaylara neden olur (örneğin trenler manevra yapamaz).
Tehditler, kazara (kasıtlı ya da kasıtsız) kötüye kullanımdan, siber suçlular ve ulus devlet tehdit aktörleri tarafından kullanılan kötü amaçlı yazılımlara veya fidye yazılımlarına kadar değişiklik göstermektedir.
Bir altyapının veya bir ulaşım varlığının kritikliği, ona uygulanan risk seviyesine bağlıdır. Kritiklik, veri gizliliği kaybı, finansal veya itibar etkisi, hatta yaralanma veya can kaybı açısından mümkün olan en yüksek hasarın belirlenmesiyle de tespit edilebilir.
Ancak, tek bir işletme operatörü için, iş varlıkları olarak belirli bir tren istasyonu, merkezi bir kontrol ortamı veya bir istasyon altyapısı gibi bölümler de kritik varlık olarak tanımlanabilir.
Siber Güvenlik ve Bilgi Güvenliği İlişkisi
Siber güvenlik, bilgi güvenliği ve BT güvenliği arasındaki ilişki, farklı bakış açılarını ve ortak noktaları vurgulamaktadır. BT güvenliği, güvenliğin temel bir unsurudur, ancak siber güvenlik ve bilgi güvenliğiyle ilgili tanımlanmış yönleri de kapsayacak şekilde genişletilmelidir (Şekil-1)
BT Güvenliği, BT sistemlerine yönelik tehditlerin oluşturduğu mevcut riskleri uygun bir düzeye indirmeyi amaçlamaktadır. Bu nedenle BT güvenliği, BT sistemlerindeki veriyi ve bilgiyi gizlilik, kimlik doğrulama, özgünlük, bütünlük, güvenilirlik, kullanılabilirlik ve anonimleştirme/takma ad verme kayıplarına karşı koruyan bilişim güvenliğine yönelik önlemlerle ilgilidir. Bu hususlar aynı zamanda BT güvenlik hedefleri veya BT güvenlik gereksinimleri ve dolayısıyla BT güvenliğinin temel değerleri olarak da anlaşılmaktadır.
BT güvenliği aynı zamanda yazılım güvenliği ve BT sistemlerinin güvenilirliği konularını da içerir. BT güvenliği, şirketlerin, yetkililerin, kuruluşların ve bireylerin zarar görmesini önlemek için bilgi teknolojileri sistemlerini korur.
Siber Güvenlik Neden BT Güvenliği ile Aynı Şey Değildir?
Siber güvenlik, BT güvenliğinin tüm yönlerini ele alır ve kapsamını tüm siber alanı kapsayacak şekilde genişletir. Siber güvenlik, siber uzaya yönelik tehditlerin oluşturduğu mevcut riskleri uygun bir düzeye indirmeyi amaçlar. Bu tanımlamada siber uzay terimi, küresel internete bağlı tüm bilişim sistemlerini ve bilişim altyapılarını, bunların iletişimini, uygulamalarını, veri, bilgi, birikim ve zekâ içeren süreçlerini kapsamaktadır. Ancak giderek daha akıllı saldırı yöntemlerine sahip suç örgütleri ve diğer saldırganlar da siber uzayın bir parçasıdır. Siber uzay, tam olarak kontrol edilemeyen çok sayıda bağımlılık ve aktörün bulunduğu karmaşık bir sistem olduğundan, sağlam, güvenli ve güvenilir operasyonlar için çok büyük zorlukları barındırır.
Dijitalleşmenin artmasıyla birlikte siber uzayda iş ve eğlence arasındaki katı ayrım da ortadan kalkmaktadır. Siber uzaydaki siber saldırılar, işletmeleri ve vatandaşları etkileyebildiği gibi, toplumun günlük yaşamındaki süreçlerinde de önemli kesintilere yol açabilmektedir. Konular arasında, toplumları seçimler yoluyla yönlendirmek için kullanılabilen sahte haberler, deepfake’ler ve sohbet odaları yer almaktadır. Bu nedenle siber uzaya kapsamlı bir bakış siber güvenlikte önemli bir rol oynamaktadır. BT güvenliği siber güvenliğin bir parçasıdır.
Bilgi Güvenliği
Bilgi güvenliği, BT güvenliğinin tüm yönlerini kapsar, ancak analog ve sinaptik bilgileri de kapsayacak şekilde genişletilmiştir. Bilgi güvenliğinin amacı, bilgi varlıkları üzerindeki bilgilerin gizlilik, bütünlük ve kullanılabilirlik (erişilebilirlik) boyutlarında korunmasıdır.
Bilgiler değişik ortamlarda; kâğıt üzerinde dokümanlarda (klasörlerde, dosya arşivlerde, vb.), dijital olarak BT sistemlerinde ve hatta insanların zihinlerinde saklanmaktadır.
Uygulamada bilgi güvenliği, bilgi güvenliği yönetim sistemi (BGYS) kapsamında ISO 27001 standardını temel almaktadır. Uluslararası Standardizasyon Örgütü (ISO) tarafından yayımlanan ve son olarak 2022 yılında revize edilen ISO 27001bu alanda kabul görmüş bir standarttır. Bir kuruluş içinde bilginin gizliliğini, bütünlüğünü ve erişilebilirliğini güvence altına almak için tasarlanmış bir bilgi güvenliği yönetim sistemi (BGYS) için gereklilikleri belirtir. Standardın amacı, kuruluşların bilgi güvenliği risklerini etkili bir şekilde belirlemesine, değerlendirmesine ve yönetmesine yardımcı olmaktır.
ISO 27001 standardı risk temelli bir yaklaşıma dayanmaktadır. Riskleri belirleme, siber güvenlik tehditlerini ve zafiyetlerini değerlendirme, riskleri azaltmaya ve önlemeye yönelik kontrolleri uygulanmasında yol göstericidir. Bu tür bir BGYS, her büyüklükteki ve sektördeki şirkette uygulanabilir ve BT güvenliğinin sağlanması için tasarlanmıştır.
Demiryolu Sektöründe Siber Güvenlik ve Standartlar
Kritik altyapılardan biri olarak ulaşım sektörü günümüzde giderek daha fazla bilişim teknolojilerine bağlantılı altyapı ve cihazları kullanmakta, bu araçlara bağımlılık gittikçe artmakta ve önem taşımaktadır. Dijitalleşme demiryolları alanında, bağlantılı trenler ve altyapı, trafik ve kapasite yönetimi, enerji verimliliği ve ağ iletişimi için önemli bir iyileştirme kaynağı olarak görülmektedir. Ancak bu eğilim aynı zamanda daha fazla potansiyel siber saldırı tehdidi anlamına gelmektedir. Demiryolu araçlarını ve sabit tesisleri korumak için yeterli araç ve gereksinimlerin desteğine ihtiyaç günden güne artmaktadır.
Saldırganların fiziksel erişiminin oldukça kolay olması, ortamda güvenlik açısından kritik ve kritik olmayan çok çeşitli sistemlerin bulunması gibi demiryollarına özgü zorlukların ele alınması için siber güvenliğin tüm demiryolu sektörü için bütünleşik bir şekilde ele alınmasına yönelik bir ihtiyaç söz konusu olmuştur.
Bu ihtiyaç doğrultusunda CLC/TS 50701, halihazırda mevcut olan IEC 62443 gibi Endüstriyel Siber Güvenlik standartlarını temel alarak oluşturulmuştur. IEC 62443-2 IACS hizmet sağlayıcılarının bir Otomasyon Çözümünün entegrasyon ve bakım faaliyetleri sırasında varlık sahibine sunabileceği güvenlikle ilgili süreçler için kapsamlı bir dizi gereksinimi belirtir.
TS 50701 Demiryolu sistemi genel bakışı, bir demiryolu uygulama yaşam döngüsü boyunca siber güvenlik, risk değerlendirmesi, güvenlik tasarımı, siber güvenlik güvencesi ve sistem kabulü, güvenlik açığı yönetimi ve güvenlik yaması yönetimi gibi çok sayıda temel konuyu kapsar.
Demiryolları siber güvenliği için CENELEC, CLC/TC 9X tarafından geliştirilen yepyeni CLC/TS 50701 “Demiryolu uygulamaları – Siber Güvenlik” ile bu korumayı sağlamaya katkıda bulunmaktadır. Bu teknik şartname, demiryolu sektörü için siber güvenliği birleşik bir şekilde ele almak için gereklilikler ve öneriler sağlamayı amaçladığı için Avrupa demiryolu sektörü için önemli bir dönüm noktası niteliğindedir.
CLC/TS 50701 Demiryolu Uygulamaları – Siber Güvenlik Standardı Temel Öğeleri
- Tehdit ve risklerin belirlenmesi
Demiryolu uygulamalarındaki siber tehditlerin ve risklerin tanımlanması, değerlendirilmesi ve yönetimine yönelik süreçlerin tanımlanması.
Potansiyel güvenlik açıklarının ve olası saldırıların belirlenmesi,
bunların operasyonlar ve güvenlik üzerindeki etkilerinin değerlendirilmesi. - Kritik fonksiyonların (operasyonların) korunması
Veri şifreleme, kullanıcı kimlik doğrulaması, erişim hakları yönetimi
ve ağ izleme gibi teknik önlemler - Olay yönetimi / Anormalliklerin ve değişikliklerin tespiti
Siber olayların yönetilmesine yönelik prosedürler, olay raporlaması,
soruşturma ve analizi, zararı en aza indirmek için uygun önlemlerin alınması - Güvenli geliştirme süreçleri
Standart, demiryolu uygulamaları için güvenli geliştirme süreçlerinin
uygulanmasını önermektedir. Buna, risk analizi, test dahildir.
Tedarik zincirinde yazılım bağımlılıklarının artması 2030 yılına kadar siber güvenlik tehditleri arasında en önemli bir tehdit olarak öngörülmektedir. 2023 yılında, tehdit aktörleri kurbanlara kötü amaçlı yazılım göndermek için yazılım güncellemelerini kullanarak sürekli faaliyette bulunarak birçok ülkede sistemleri olumsuz yönde etkilediler. Şu anda AB ülkelerinde devletlerin %74’ü tedarik zinciri güvenlik önlemlerini ulusal mevzuatlarında tanımlamıştır. Bu sayının, Avrupa Birliği’nin kritik altyapılar ve dijital hizmet sağlayıcıları için belirlediği siber güvenlik direktifi NIS2 ve finans sektörü için DORA düzenlemesinin gereklilikleri nedeniyle daha da artması beklenmektedir.
Amerika Birleşik Devletleri’nde belirgin bir kümelenme söz konusu olup, hemen ardından İngiltere, Kanada, Ukrayna ve Çin bu konuda yeni düzenlemeler geliştirmektedir.
Demiryollarında Siber Güvenlik Zafiyetleri
- İletişim Ağlarının Açıklıkları
Uzaktan yönetim ve kontrol sistemlerindeki zayıf noktalar, siber saldırganlara sistemlere müdahale etme imkânı tanıyabilir. - İnsan Faktörü
Çalışanların bilinçsizliği veya hataları, siber saldırılara kapı aralayabilir (örneğin, phishing saldırıları). - Ürün ve Yazılım Güvenliği
Eski veya güncellenmemiş yazılım ve donanımlar, bilinen açıklar nedeniyle saldırılara davetiye çıkarabilir. - Fiziksel Güvenlik Eksiklikleri
Kritik ekipmanlar üzerindeki fiziksel erişim kontrolünün zayıflığı, siber saldırıların önünü açabilir. - Veri Güvenliği ve Gizliliği
Yolcu, operasyon ve maliyet verilerinin korunmasındaki yetersizlikler.
Bu zafiyetler, sistemlere erişim sağlayıp kesinti veya sabotaj girişimlerine yol açabilir. Bu nedenle, siber güvenlik önlemlerinin sürekli güncellenmesi ve farkındalık artırıcı eğitimler önemlidir.
Hedef: Bilgi Teknolojisi (BT) ve Operasyonel Teknoloji (OT) altyapısını sürdürülebilir bir temelde korumaktır.
Amerikan Toplu Taşıma Birliği’nin (APTA) tavsiyeleri
- Olay müdahale planı: Kötü amaçlı yazılım veya veri ihlalleri gibi güvenlik ihlallerini proaktif olarak tespit edin, sınırlayın, ortadan kaldırın ve bunlardan kurtulun.
- İş sürekliliği planı: Görev ve iş operasyonlarının (ör. bilet sistemi) bir kesinti sırasında ve sonrasında sürdürülmesini sağlayın.
- Operasyonların sürekliliği planı: Fidye yazılımından etkilenen sistemleri kurtarmak gibi görev açısından kritik işlevleri geri yüklemeye odaklanın.
- Kriz iletişim planı: Müdahale durumu hakkında dahili ve harici iletişim kurmak için standart prosedürleri ve formatları belgelendirin, bu iletişimlerden sorumlu personeli belirleyin
ENISA’nın Yeni Stratejisi
Taşımacılık sektörü, Avrupa’nın toplam yük ve yolcu taşımacılığının büyük bir bölümünü oluşturarak AB ekonomisinde ve toplumunda kilit bir rol oynamaktadır. Sektör, ICT’ye dayalı yenilikçi çözümlerin sunulması, IT ve OT arasındaki yakınsama ve harici ve çok modlu sistemlerle artan sayıda ara bağlantı ile istikrarlı bir dijital dönüşümden geçmektedir. Havaalanları, limanlar, demiryolları, nakliye şirketleri ve daha fazlası gibi Avrupa ulaştırma altyapısına yönelik siber saldırılardaki artışın gösterdiği gibi, sektörün siber risk profili gelişmiştir. Bu değişim, bu sektörün siber güvenliğinin daha özel olarak ele alınması ihtiyacını vurgulamaktadır. Avrupa Birliği Siber Güvenlik Ajansı (ENISA) bu doğrultuda Avrupa Komisyonu, ERA, EMSA, EASA ve Ulusal yetkili makamlarla yakın iş birliği içinde çalışmaktadır. Birlik genelinde yüksek düzeyde ortak bir siber güvenlik sağlamak, ülkeler arası iş birliğini artırmak ve tehditleri önceden tahmin etmek için yeni bir strateji geliştirilerek 7 temel hedef tanımlanmıştır:
Yatay Hedefler:
- Katılımcı ve etkileşimli bir siber ekosistemde güçlendirilmiş topluluklar
- Ortaya çıkan ve gelecekteki siber güvenlik fırsatları ve zorlukları hakkında öngörü
- Avrupa genelinde konsolide ve siber güvenlik bilgi paylaşımı
Dikey Hedefler:
AB siber güvenlik politikalarının etkili ve tutarlı bir şekilde uygulanması için destek- Siber olaylara, tehditlere ve krizlere karşı güçlü birlik hazırlığı
- AB’de gelişmiş ve güçlü bir siber güvenlik kapasitesi
- Güvenli dijital çözümlere güvenin oluşturulması
Altay ONUR
Türkiye Beyaz Eşya Sanayicileri Derneği (TÜRKBESD), sektörün 2025 yılı ilk çeyrek verilerini açıkladı. İç satışlar yüzde 15 azalırken, ihracatta daralma eğilimi devam etti. İç pazarın zayıflamasının ve küresel ticaretteki gerilimlerin sektörün kırılganlığını artırdığına dikkat çekildi. TÜRKBESD üretim gücünün korunması için iç talebi destekleyecek yapısal adımların ve dış pazarlardaki rekabetçiliği koruyacak politikaların hayata geçirilmesi gerektiğini paylaştı. 
Allianz Trade’in “Parçalanma ve Arkadaştan İthalat: İhracatçılar Ticaret Savaşına Uyum Sağlamaya Çalışıyor” başlığı ile yayınladığı araştırmasına göre, ABD’nin öngörülemeyen gümrük vergisi politikaları uluslararası şirketler için belirsizliği artırdı. Küresel GSYH’nin neredeyse yüzde 60’ını oluşturan dokuz kilit ülkeden 4.500 ihracatçıyı kapsayan araştırmaya göre, firmaların yüzde 45’inin ihracat cirosunda düşüş olacağı öngörülüyor.
Bu yılki Küresel Araştırma sonuçlarının tüm piyasalarda gözlemledikleri gerçekleri teyit ettiğini, belirsizliğin ve parçalanmanın yapısal hale geldiğini ifade eden Allianz Trade CEO’su Aylin Somersan Coqui, şu değerlendirmede bulundu: “2 Nisan tarife dalgası öncesindeki iyimserlikten çok farklı olarak “Kurtuluş Günü tarifeleri, tedarik zincirlerinde ve ihracat pazarlarında yoğunlaşmış şirketlerin ne kadar savunmasız olduğunu açığa çıkardı. Rakamlar da bunu doğruluyor: Küresel pozitif ihracat beklentisi yüzde 80’den yüzde 40’a geriledi. Firmaların yüzde 42’si ihracat cirosunda yüzde 2–10 arası düşüş beklerken, bu oran tarifeler öncesi yalnızca yüzde 5’ti. Birleşik Krallık ve Çin’le yapılan ikili anlaşmalara rağmen 2025’te küresel ihracat kayıplarının 305 milyar dolara ulaşacağını tahmin ediyoruz. Şirketler ise pasif kalmıyor; 2020’den bu yana üst üste gelen şokları yönettikten sonra yeniden uyum sağlıyor, iş ortaklarını çeşitlendiriyor, lojistik yapılanmasını gözden geçiriyor ve değer zinciri genelinde risk paylaşımını tesis ediyor. Günümüzün ticaret ortamında başarı, giderek artan ölçüde uyum yeteneğine bağlı.”
İtirazen Şikayet Konusu; Başvuru sahibinin dilekçesinde özetle; İhalenin 1’inci kısmına ilişkin 17.02.2025 tarihinde taraflarına tebliğ edilen ilk kesinleşen ihale kararına karşı itirazen şikayet başvurusunda bulundukları, 27.03.2025 tarihli ve 2025/UH.II-859 sayılı Kurul kararı gereğince taraflarına yeniden demonstrasyon işlemi yapıldığı ve teklif etmiş oldukları cihazın Teknik Şartnamenin “Biyokimya Otoanalizör Sistemlerinin Teknik Özellikleri” başlıklı B maddesinin 3’üncü maddesinde yer alan “Cihazlarda numune, reaktif ve ISE probları ayrı olmalıdır” düzenlemesine uymadığı için ihalenin 1’inci kısmında tekliflerinin değerlendirme dışı bırakıldığı, oysa ki teklif ettikleri cihazda ayrı ISE probunun bulunmadığı çünkü cihazın ISE probuna ihtiyaç duymayan daha ileri bir teknolojiye sahip olduğu, ayrıca aynı Teknik Şartname ile ihale edilen bir başka ihalede, ISE probu ayrı olmayan ve fakat ISE probunun ayrı olmasına gerek bile duymayacak üstün teknoloji cihazı teklif eden bir firmanın üzerine ihalenin bırakıldığı ve işin sorunsuz bir şekilde yürütüldüğü, yine başka bir idarenin gerçekleştirdiği bir ihalede aynı konuda teklifi değerlendirme dışı bırakılan bir isteklinin itirazen şikayet başvurusu neticesinde söz konusu isteklinin teklifinin alınan teknik görüş ile değerlendirmeye alındığı, sonuç olarak ihalede taraflarınca en avantajlı teklifin sunulması ve ihale üzerinde bırakılan istekli ile aralarında olan teklif farkı göz önüne alındığında, kamu yararı açısından ihalenin firmaları uhdesinde bırakılması gerektiği iddialarına yer verilmiştir.
Gelecek herkesin ve her şeyin birbiriyle entegre olması ile daha yaşanabilir bir hal alacaktır. Bu yaşanabilirlikte herkesin üstüne düşen görevler bulunmaktadır. Bireysel bazda insanlar üzerine düşeni yapmalı, kurumsal bazda işletmeler aksiyon almalı ve hazırlanma pratikleri bağlamında devletler süreçleri üretmelidir.
Kurumsal Kaynak Planlama (ERP) sistemleri, işletmelerin süreçlerini entegre ederek verimliliği artırma potansiyeline sahiptir. Ancak, ERP projelerinin başarısı yalnızca teknik kurulumla sınırlı değildir; kullanıcıların sisteme adaptasyonu ve eğitim süreçleri de kritik öneme sahiptir. Bu makalede, ERP sistemlerinde eğitim ve adaptasyon süreçleri, kullanıcı eğitimi, karşılaşılan direnç türleri ve çözüm stratejileriyle birlikte ele alınmakta; ayrıca vaka analizleri ve öneriler sunulmaktadır.
Bu sektörde şaha kalkmanın tam zamanı!!!!
Hak düşürücü süre, Kanun tarafından belirlenen süre içinde bir hakkın kullanılmaması durumunda, o hakkın tamamen ortadan kalkmasına yol açan süreyi ifade eder. İşçi ve işveren tarafından haklı fesih nedenlerinin ortaya çıkması halinde iş sözleşmesinin diğer tarafın sözleşmeyi haklı nedenle fesih yetkisinin kullanılması süresi sınırsız değildir. Nitekim 4857 sayılı İş Kanunu’nun 26’ncı maddesinde, işverenin öğrendiği tarih ve olayın gerçekleştiği tarih başlangıç esas alınmak üzere iki ayrı süre öngörülmüştür
Bir toplantı odasını düşünün. Masada alınacak büyük kararlar var; hedefler tutmamış, ekip dağılmış, iş yükü artmış. O anda odayı dolduran sessizlikte, en çok neye ihtiyaç var? Cevap sanıldığından daha basit: Duygusal çeviklik.
İhracat evraklarının, ihraç edilen malların mülkiyeti niteliğindedir. Bu evraklarla ithalatçı tarafında malların gümrüklerden çekileceği ve mallarla ilgili gümrük vergilerinin yatırılacağı söz konusudur. İhracat işlemindeki evrakların hem ihracatçı, hem de ithalatçının ellerini kolaylaştırmaktadır.
İhracat işlemlerinde sehven yapılan hatanın ithalatçı tarafa avantaj sağlayacağı unutulmamalıdır. İthalatçının art niyetli olması halinde, ihracatçının yaptığı hatayı kolaylıkla lehine çevirebilir. Her ne kadar dış ticaret işlemlerinde iyi niyetli olmak esastır kuralı söz konusu olsa, bu iyi niyet kuralı tüm dış ticaret tacirleri için geçerli olmaktan uzaktır.
olsa da, kurallara göre hareket etmek gerekir. Vesaik mukabili işlemde ithalatçı ve ihracatçının bankaları aracıdır ancak garantör değildir. Durum böyle iken bankalar işlemlerimize aracı olsalar da, vesaik mukabili işlemde ihracatçının yaptığı hata, tanzim ettiği hatalı evrak, bankalara verilen talimatın faturasını ihracatçı öder.
