Ankara Su ve Kanalizasyon İdaresi (ASKİ) Genel Müdürlüğü, başkentin su pompalarına internet üzerinden erişilebildiği ve sistemlerin uzaktan devre dışı bırakılabileceği yönündeki iddialara ilişkin açıklama yaptı. Kurum, ilk incelemelerde iddiaları doğrulayan bir güvenlik açığına rastlanmadığını bildirirken, kritik altyapıların güvenliğine yönelik kontrollerin sürdüğünü belirtti.
ASKİ İDDİALARI İNCELEMEYE ALDI
Bazı basın yayın organlarında ve sosyal medya platformlarında gündeme gelen iddialarda, Türkiye’de internet üzerinden erişilebildiği öne sürülen endüstriyel kontrol sistemlerinin arasında su pompalarına ait kontrol panellerinin de bulunduğu ileri sürüldü. İddialar kapsamında Ankara’daki su altyapısının da etkilenebileceği öne sürülünce konuya ilişkin tartışmalar başladı.
ASKİ Genel Müdürlüğü, iddiaların ardından bilgi sistemleri ve ilgili altyapılardan sorumlu teknik birimlerin gerekli incelemeleri gerçekleştirdiğini açıkladı. İlk değerlendirmelerde, paylaşılan ekran görüntülerindeki kontrol panelleri ve sistem şemalarının kurumun kullandığı sistemlerle örtüşmediği ifade edildi. Kurum, yapılan ilk kontrollerde iddiaları doğrulayacak bir güvenlik açığı tespit edilmediğini bildirdi. Bununla birlikte, kritik altyapıların korunmasına yönelik teknik incelemelerin ve güvenlik değerlendirmelerinin devam ettiğini kaydetti.
SİBER GÜVENLİK ARAŞTIRMACISINDAN DİKKAT ÇEKEN İDDİA
Tartışma, bir siber güvenlik araştırmacısının blog hesabında paylaştığı açıklamaların sosyal medyada yayılmasıyla gündeme geldi. Araştırmacı, 16 Eylül’de yayımladığı yazısında Türkiye’de internet ortamına açık olduğu öne sürülen 161 uzaktan erişim sistemine ulaştığını iddia etti.
Araştırmacı, eriştiğini öne sürdüğü sistemler arasında su pompalarının yanı sıra seralar, tavuk çiftlikleri ve bazı yüksek güvenlikli tesislere ait kontrol panellerinin de bulunduğunu ileri sürdü. Paylaşımında Ankara’daki su pompalarına da erişebildiğini iddia eden araştırmacı, bir şehrin su sisteminin tek bir işlemle devre dışı bırakılabileceğini öne sürdü. Araştırmacının blog yazısında yer alan ifadeler şöyle:
"Türkiye'deki 17 milyon IP adresini saniyede 300 IP adresi tarama hızıyla tarayabilirim. Tarama işleminin tamamlanması yaklaşık 18 saat sürecektir. Şaka yapmıyorum. Gerçekten de koca bir şehrin su pompasını kapatabilirim. Gördüklerim arasında ASKİ tarafından işletilen başkent Ankara'dakiler de dahil olmak üzere tonlarca su pompası var. Türkiye'ye altyapı güvenliği konusunda 100 üzerinden 0 puan veriyorum. Umarım hükümetteki önemli bir kişi bu yazıyı görür ve bu konuda bir şeyler yapar ya da isterseniz benim yapmamı sağlayabilirsiniz."
Araştırmacının açıklamaları, paylaşılan sistemlerin hangi kurumlara ait olduğu ve erişimin hangi yetki düzeyinde gerçekleştirildiği konularını da gündeme taşıdı. Ancak ASKİ, paylaşılan görüntülerdeki sistem şemalarının kendi bünyesindeki altyapıyla örtüşmediğini bildirdi. Bu nedenle araştırmacının iddiaları ile kurumun ilk teknik değerlendirmesinin birbirinden ayrı ele alınması gerekiyor.
ASKİ GENEL MÜDÜRÜ AKÇAY: “GÜVENLİK AÇIĞI GÖZÜKMÜYOR”
İddiaların ardından konuya ilişkin değerlendirmede bulunan ASKİ Genel Müdürü Memduh Aslan Akçay, kurumun ilgili teknik birimleriyle iletişime geçildiğini ve gerekli kontrollerin yapıldığını belirtti. Akçay, araştırmacının paylaştığı ekran görüntülerindeki kontrol ekranlarının ASKİ’nin mevcut sistemlerinde bulunmadığını ifade ederek şu açıklamayı yaptı:
"Güvenlik açığı gözükmüyor ancak yine de güvenliğimizi sağlamak için kontrollerimizi yapmaya devam ediyoruz. Siber güvenliğin ne kadar önemli olduğunun farkındayız ve güvenliği maksimum seviyede tutmaya çalışıyoruz."
ASKİ’nin açıklamasında, ilk kontrollerde iddiaları destekleyen bir güvenlik açığının belirlenmediği vurgulanırken, olası risklere karşı incelemelerin sürdürüleceği bildirildi.
SU ALTYAPISINDA SİBER GÜVENLİK NEDEN ÖNEMLİ?
İçme suyu sistemleri, yalnızca suyun kaynaktan alınması ve şebekeye ulaştırılmasından ibaret değil. Su depoları, pompa istasyonları, arıtma tesisleri ve dağıtım şebekesindeki çeşitli ekipmanlar, suyun güvenli ve düzenli biçimde iletilmesinde önemli rol oynuyor.
Bu tesislerde kullanılan endüstriyel kontrol sistemleri, belirli işlemlerin izlenmesini ve otomatik olarak yönetilmesini sağlayabiliyor. Kontrol sistemlerinin internete açık olması, uzaktan erişim yetkilerinin yeterince sınırlandırılmaması veya güvenlik önlemlerindeki eksiklikler, kritik altyapılar açısından risk oluşturabiliyor. Bununla birlikte, bir kontrol panelinin internet üzerinden görüntülenebilmesi tek başına sistemin kontrolünün ele geçirildiğini ya da su hizmetinin kesilebileceğini kanıtlamıyor.
Bu tür riskleri azaltmak için uzaktan erişimin yetkilendirilmesi, çok faktörlü kimlik doğrulama, ağların birbirinden ayrılması, erişim kayıtlarının izlenmesi ve sistemlerin düzenli olarak denetlenmesi gibi önlemler uygulanabiliyor. Kontrol sistemlerinin internete doğrudan açılmasının sınırlandırılması da kritik altyapı güvenliğinin temel unsurları arasında yer alıyor.
