Operasyonel Teknoloji (OT) için Sıfır Güven - Bölüm 4

Operasyonel Teknoloji (OT) için Sıfır Güven
Bölüm 4
"Veriler"

Celal Ünalp

[Yayım Tarihi: 26 Nisan 2026]

Gelişmiş kuruluşlarda veri bilimi bağlamında “Single Source of Truth (SSOT)”, kuruluş içindeki herkesin karar alırken başvurduğu tek ve güvenilir veri kaynağını ifade eder. Amaç, farklı ekiplerin aynı metrikleri farklı veri setlerinden hesaplayarak çelişkili sonuçlar üretmesini önlemektir.

PROBLEM 1) Kurumsal yapılarda veri, (operasyonel) sistemler, (fonksiyonel) araçları, (finansal) yazılımlar ve analitik platformlar gibi birçok kaynaktan gelir. Eğer bu veriler farklı şekillerde temizlenir, dönüştürülür veya yorumlanırsa, aynı soruya farklı ekipler farklı cevaplar verebilir. Örneğin pazarlama ekibi “aktif kullanıcı” sayısını farklı bir tanımla hesaplarken ürün ekibi “devam eden müşteri” gibi başka bir tanım kullanabilir. Bu durum karar alma süreçlerinde güven kaybına ve verimsizliğe yol açar.

SSOT yaklaşımı, tüm kritik metriklerin ve veri setlerinin merkezi, standartlaştırılmış ve doğrulanmış bir veri platformunda tutulmasını sağlar. Bu genellikle bir veri ambarı veya modern veri platformu üzerinde kurulur.

“Single Namespace (Tek İsim Alanı)”, kuruluş içindeki tüm veri kaynaklarının tek ve tutarlı bir isimlendirme ve erişim yapısı altında organize edilmesini ifade eder. Amaç, verilerin nerede bulunduğunu ve nasıl erişileceğini karmaşık sistemler yerine tek bir mantıksal yapı üzerinden yönetmektir.

PROBLEM 2) Büyük kuruluşlarda veriler genellikle veri ambarları, veri gölleri, operasyonel veritabanları, dosya sistemleri veya bulut depoları gibi farklı sistemlerde dağınık halde bulunur. Eğer her sistem farklı klasör yapıları, tablo adları veya erişim yöntemleri kullanıyorsa, veri bilimciler için doğru veriyi bulmak zorlaşır. Ayrıca aynı veri farklı yerlerde farklı isimlerle bulunabilir.

Single Namespace yaklaşımı, bu dağınık veri ortamını kullanıcı açısından tek bir mantıksal alan gibi gösterir. Yani veri fiziksel olarak farklı sistemlerde dursa bile, kullanıcılar veriye standart bir isimlendirme ve yol üzerinden erişir. Örneğin tüm veri setleri belirli bir hiyerarşi (domain → veri seti → tablo) altında düzenlenir.

Böylece veri mühendisliği ekipleri veri akışlarını düzenler, veri yönetişimi ekipleri süreçleri ve tanımları standartlaştırır ve veri bilimciler aynı veri temeli üzerinde analiz yapabilirler.

Siber güvenlikçilere ise bu noktada (her zamanki gibi) gizlilik, bütünlük ve erişilebilirliğin korunması düşecektir.

Sonuç olarak SSOT, kurum içinde tutarlılık, güvenilirlik ve ortak bir analitik dil oluşturur. Böylece farklı ekipler aynı veriye bakarak karar verir ve veri odaklı stratejiler daha sağlam bir temele dayanır.

OT’de veri RAMI 4.0’ın katmanlar (layers), yaşam döngüsü & değer akışı ve hiyerarşi seviyeleri eksenlerinde hareket eden, etiketi, bağlamı ve amacı olan bir varlıktır. Bu nedenle Sıfır Güven’in “kaynaklara (SOURCE) odaklan” ilkesi, OT akışlarında erişim, koruma ve izlemeyi doğrudan tek ve güvenilir veri kaynağı üzerinde kurmayı gerektirir.

Özellikle işletme sürekliliği ve emniyet kısıtlarının ağır bastığı OT’de, veri koruma kararlarını yaşam döngüsü boyunca (tip/örnek ayrımı, bakım/üretim evreleri vb.) ve hiyerarşi seviyeleri (saha cihazı–istasyon–iş merkezi–kurum) arasında tutarlı kılmak çok kritiktir. RAMI 4.0 bu tutarlılığı kurmak için pratik bir harita sunarken, NIST’in OT güvenliği rehberi ise ölçeklenebilir kontrolleri OT’nin performans/güvenlik gereksinimlerine uyarlama çerçevesi sağlamaktadır.

Regülatif açıdan, EU Data Act endüstriyel/bağlı cihaz verilerinin erişim ve birlikte çalışabilirlik esasları fazlı bir takvimle hayata geçirirken, NIS2 ise kritik sektörlerde veri akışları ve olay bildirimleri için daha katı güvenlik ve yönetişim beklentileri getirmiştir. Yani OT’de veri paylaşımının (örn. tedarikçi/bakım ekosistemleri) Sıfır Güven ilkeleriyle uyumlu, kanıtlanabilir ve izlenebilir olması artık regülasyon baskısıyla da bir gereklilik halini almış durumdadır.

Bu makalede, RAMI 4.0’ı ana omurga alarak OT’de veriyi merkeze koyan Sıfır Güven mimarisini, önce Veri Egemenliği & Endüstriyel Veri Alanları (IDS/GAIA‑X) ve sonra Mahrem Hesaplama (Confidential Computing) ile “kullanım halindeki veriyi koruma” başlıklarını entegre ederek ele alıyorum.

Veri yönetişimi ve sınıflandırma temeli

♦ Karşılıklı çalışabilir terminoloji, dosya formatları ve protokoller için bir yönetişim organı kurulmuştur.

♦ Kuruluş veri sınıflandırma taksonomisini belirler.

♦ Etiketleme ve sınıflandırma modelleri, kuruluş birimleri genelinde, iyi uygulamaları benimseyerek ve kritik süreçleri engellemeyecek şekilde oluşturulur

♦ Tüm veriler sınıflandırılır ve etiketlenir.

♦Tüm kuruluş birimleri, verisini bu kontrollü terminolojiye göre sınıflandırır ve analiz eder.

♦ Erişim kararları veri hassasiyetine göre verilir.

♦ Veri erişim kararları ilkelerle yönetilir ve bulut güvenliği/yapay zeka ilke altyapısı (policy engine) tarafından uygulanır.

♦ OT’de tüm veriler için karakterizasyon yöntemi dahil, iş akışı ve operasyonel riske dayalı etiketleme yapıları/haritaları belirlenir ve uygulanır.

♦ OT verileri için etiketleme zorunlulukları, iş akışı süreci veri türlerine göre tanımlanır.

♦ Etiketleme istisnaları, politika ile gerekçelendirilir.

Veri sınıflandırma, etiketleme ve ilke‑temelli erişimin kurulduğu katman, RAMI 4.0’ın Bilgi/İş/Süreç katmanlarının kesişiminde konumlanır.

SCADA – data acquisition: Saha verisini (ölçüm, olay, alarm) toplamanın kuralları etikete ve sınıflandırmaya bağlanır, toplama süreci, veri sahipliği ve hassasiyet etiketleriyle politikaya tabi olur.

Master Data Management: OT varlık kimlikleri (ekipman, hat, istasyon, tag/point adlandırmaları) için “tekil doğruluk kaynağı” tanımlar, etikete dayalı erişim‑kontrol ve doğru sözleşme/terminoloji eşlemesi sağlar.

Real‑time Big Data Analytics: Anlık analitik yetkileri, veri sınıfı ve “kullanım amacına” göre PBAC ile yönetilir, hassas akışlara ilke ekleri uygulanır.

Data Scientist: Model ve özellik setlerine erişim, veri etiketi ve sözleşme hükümleriyle (ör. “yalnızca türetilmiş istatistik”) sınırlandırılır, deney/denetim izleri SIEM’e beslenir.

IIoT Data Lake: Ham verinin jeo/regülasyon, veri sınıfı ve yaşam döngüsü kurallarıyla bölümlendiği katmandır, veri alanları/egemenlik ilkeleriyle uyumlu tutulur.

Data Dictionary: Tag/alan adları, birimler ve sözlük, kontrollü terminolojiyle uyumlu tutulur, etiket politikalarının makinece uygulanmasını kolaylaştırır.

OT Historian: Historian veri sınıfları (PI tag grupları gibi) etikete bağlanır, dış tüketim/BI beslemeleri “kullanım koşuluyla” sınırlandırılır.

Depolama mimarisi ve dışa aktarım (export)

♦ Depolama mimarisi modelleri ve kılavuzları, kuruluş birimleri iş birliğiyle oluşturulur.

♦ Mimari, Operasyonel BT (sunucu/ağ yapılandırmaları) ve proses kontrol ortamı (denetleyici mantığı, cihaz ayarları, PLC projeleri vb.) için OT’ye özgü veri ve dışa aktarım gereksinimlerini dikkate alır.

♦ Kullanılan tüm depolama yöntemleri için mantıksal ve fiziksel mimari diyagramları veri tahliyesi de dahil olacak şekilde geliştirilir.

♦ Mevcut strateji/teknolojiler değerlendirilir, uygunsa yazılım tanımlı depolama dahil yerleşik mimari modellerin uygulanabilirliği belirlenir.

♦ OT ortamının tüm çalışma modlarında veri koruma teknolojileri için, oluşturulan politikaya uygun birlikte çalışabilirlik modelleri mevcuttur.

♦ OT ortamı dışındaki veri paylaşımı için yöntemler ve koruma mekanizmaları geliştirilir.

Depolama/topoloji kararları RAMI 4.0’ın Sistem ve Bilgi katmanlarına denk düşer, dış paylaşımda veri alanı/egemenlik kuralları kritikleşir.

SCADA – data acquisition: Toplama noktaları ile depolama düğümleri arasında veri sınıfına göre aktarım şifreleme ve protokol sertifikasyonu zorunlu hale getirilir.

Master Data Management: Depolama hiyerarşisinde ana veri ve işlem verisi ayrıştırılır, kimlik/ilişki bütünlüğü veri alanları arası paylaşımda referans alınır.

Real‑time Big Data Analytics: “Sıcak” depolama ile gecikmeye duyarlı akışlar için ayrık katmanlama, hassas akışlarda maskeleme/anonimleştirme disk‑yazma öncesi uygulanır.

Data Scientist: “Çalışma alanları” erişimi salt okunur/sentetik veri setleriyle sınırlandırılır, veri çekme/dışa aktarma logları zorunludur.

IIoT Data Lake: Bölümleme (zone/region) ve yaşam döngüsü politikaları (WORM, soğuk arşiv) tanımlanır, veri alanı bağlantı arayüzleri ile kontrollü dış paylaşım yapılır.

Data Dictionary: Şema/ontoloji depolama katmanları arasında sürümlenir, sözlük değişiklikleri kullanım sözleşmelerine yansıtılır.

OT Historian: Historian–Data Lake senkronu için tip/örnek ayrımı gözetilerek (RAMI yaşam döngüsü) ham ve türetilmiş veriler ayrı tutulur.

Etiketleme çözümünün uyarlama ve devreye alınması

♦ Veri etiketleme çözümü tedarik edilir ve uygulanır.

♦ Tehdit ortamına göre sistemi ayarlamak için risk/açık değerlendirmeleri periyodik yapılır.

♦ Belirlenen standartlara göre manuel ve/veya otomatik veri etiketleme başlar.

Etiketleme motoru ve yaşam döngüsü, sıfır güven varsayımında policy decision/enforcement akışlarına bağlanır.

SCADA – data acquisition: Tag/point seviyesinde otomatik etiket ataması (kaynak, kritiklik, proses adımı) için kural motoru devreye alınır.

Master Data Management: Ana veri alanlarında etiket şablonları (asset‑class, süreç, sahip) zorunlu alan olur, ETL’de etiket taşınması garanti edilir.

Real‑time Big Data Analytics: Akış işlemcisine (CEP/Flink vb.) etiket‑bilinçli kural setleri ve maskeleme fonksiyonları bağlanır.

Data Scientist: Feature store nesnelerine etiket zorunluluğu (menşe, hassasiyet, kullanım amacı) getirilir.

IIoT Data Lake: Ingest pipeline’larında otomatik sınıflandırma (pattern, regex, kaynak) ve lineage etiketi devreye alınır.

Data Dictionary: Sözlük terimlerine etiket‑eşleme (P&ID, ISA‑95 prensipleri) yapılır, değişiklik yönetimi kuralları tanımlanır.

OT Historian: Historian arşivlerine yazılırken etiket mirası (SCADA→Historian) zorunlu, yeniden örnekleme/kompresyon flagleri korunur.

DLP/DRM ve ilke‑temelli erişim

♦ DLP türleri, tanıma modelleri ve analiz süreci belirlenir.

♦ DLP analizi, hassas verilerin işlenmesi/paylaşılması politikalarını uygular, veri kaybı olaylarının izlenmesini ve tespitini mümkün kılar.

♦ PBAC (Policy‑Based Access Control) kullanan DRM süreçleri belirlenir.

♦ DRM’e özgü kullanım senaryoları çerçeve içinde geliştirilir.

♦ DRM yanıtı karakterizasyonu için veri etiketleri oluşturulur.

♦ DRM yanıt süreci, yeni oluşturulan etiketler tarafından yönlendirilir.

♦ DLP uygulama noktaları, OT’nin resmi sınırına kadar kurgulanır, araçlarla dağıtılır ve başlangıçta standartlaştırılmış loglama ile “izleme modu”nda yapılandırılır.

♦ DLP etkinliğini artırmak üzere yeni veri özniteliklerini tanımlayıp dahil eden bir süreç işletilir.

♦ DRM ve DLP, OT’nin resmi sınırının dış kenarına kadar OT tarafından yönetilir.

♦Tam erişim kontrolü ve resmi sınırlara veri kaybı önleme sağlamak için etiketleme entegre edilir.

♦Resmi sınırların ötesinde Sıfır Güven ve DLP davranışlarını yönetmek için resmi anlaşmalar yapılır, DLP’yi OT sınırları ötesine genişletme mekanizmaları tanımlanır.

Veri üzerinde PBAC → DRM → DLP zinciri, Sıfır Güvenin “her isteği açıkça doğrula & minimum yetki” ilkeleriyle uygulanır.

SCADA – data acquisition: SCADA ekranları/raporları dışa aktarımında DLP tetiklenir, kritik taglar DRM ile işaretlenir.

Master Data Management: Ana veri tablosu alanları (seri no, vendor ID) DRM politikalarıyla “salt‑görünür/maskeleme” planlarına bağlanır.

Real‑time Big Data Analytics: Akış kuralları DLP ile zenginleştirilir (sızma göstergesi desenleri), ilke motoru veri sınıfına göre düşürme/engelleme uygular.

Data Scientist: Model çıkışlarının (feature importance, SHAP) yeniden tanımlanabilirlik riski DRM koşullarıyla sınırlandırılır.

IIoT Data Lake: Bucket/prefix bazında DLP taramalarında, paylaşılan veri alanı bağlantı arayüzlerinde DRM kullanım şartı gömülü gelir.

Data Dictionary: Hassas veri alanları sözlük üzerinde “korumalı” olarak işaretlenir, istemcilere maske şablonları yayımlanır.

OT Historian: Historian’dan dışa veri çekişleri DLP gözetiminde, replikasyon hatlarında “etiket taşınması” zorunludur.

Veri izleme, görünürlük ve olay yönetimi

♦ Kritik sınıflandırmadaki veri/dosyalar aktif izlenir.

♦ Tüm düzenlemeye tabi sınıflandırmalardaki veri/dosyalar aktif izlenir.

♦ Veri sahipleri, öncelik sırasına göre dosya izleme araçlarını kullanır.

♦ Dosya izleme artefaktları ve günlükleri için standart, makinece okunur format kullanılır.

♦ SIEM vb. izleme sistemleriyle temel entegrasyon sağlanır, analitik SIEM’e gönderilir.

♦ Bant‑içi izlemeye ek olarak bant‑dışı izleme çözümleri değerlendirilir ve mümkünse kullanılır.

♦ Gözlemlenen veri kaybı etkinliği, soruşturma ve yanıt için siber işlevlerle iş birliğini tetikler.

♦ DLP çözümü sürekli test (operasyon) moduna geçirilir.

♦Veri akışları ve kullanımını makinece okunur artefaktlarla gözlemlenir, SIEM/SOC’a besleme yapılır.

SCADA – data acquisition: Operatör görünümleri ve export olayları loglanır, anormal sorgu/çekiş desenleri korele edilir.

Master Data Management: Ana veri değişiklikleri (golden record) denetlenir, yetkisiz birleşimler SIEM’de alarm üretir.

Real‑time Big Data Analytics: Akış kuralı değişimleri ve veri kaybı/bozulma olayları telemetriye yazılır, DLP bulguları korele edilir.

Data Scientist: Not defteri/çalışma alanı etkinliği (veri çekiş, export) gözlenir, model drift & veri drift bildirimi yapılır.

IIoT Data Lake: Erişim örüntüleri, anomali bazlı algılayıcılarla (bant‑dışı) takip edilir, veri alanı bağlantı arayüzü logları toplanır.

Data Dictionary: Sözlük değişikliklerinin olay akışı (audit trail) SIEM’e beslenir, şema‑uyumsuz okuma alarmı üretir.

OT Historian: Historian query profilleri, sıra dışı zaman penceresi/ölçüm aralığı istekleri ve çoklu dışa aktarımlar korele edilir.

OT Veritabanı güvenliği

♦ Veritabanları OT operasyonel ortamında tanımlanır ve belgelenir.

♦ Historian/depolanan/veri alışverişi/işlem izleme gibi OT veritabanları dinlenir, izlenir ve korunur.

♦ Algılamayı güçlendirmek için ek veri öznitelikleri tanımlanır ve veritabanı izlemesine dahil edilir.

Historian/HMI olay veritabanları, üretim arşivleri ve veri alışveriş (MES/ERP) düğümlerine özgü kontroller sağlar.

SCADA – data acquisition: SCADA sunucuları ve RTU/PLC geçitleri arasında sorgu yüzeyi daraltılır, erişim “gerektiği anda” yetkilendirilir.

Master Data Management: OT varlık kimlik şemaları veritabanı rollerine eşlenir, sadece kimlik doğrulanmış servis hesapları yazabilir.

Real‑time Big Data Analytics: Akış tablolarında satır/sütun seviyesinde maskeleme, kritik ölçü alanları sadece token alarak görünür.

Data Scientist: Analiz şemaları üretim şemalarından ayrılır, production veritabanına doğrudan yazma yasaktır.

IIoT Data Lake: Metaveri/veri ayrı depolanır, katalog erişimi denetimli proxy arkasından sağlanır.

Data Dictionary: Sözlük/veritabanı şemasının sürüm eşleşmesi zorunludur, uyumsuzlukta sorgu reddedilir.

OT Historian: Historian arşivi WORM/immutable seçenekleriyle korunur, re‑ingest yalnızca imzalı paketlerle yapılır.

Kurumsal politika ve mimari tamamlayıcıları

♦ Kurumsal ve organizasyonel düzeyde destek ile, öznitelik tabanlı DAAS (Data, Applications, Assets & Services) politikası geliştirilir.

(Bu adım, kimlik‑cihaz‑ağ eksenindeki önceki makalelerimizle ilişkili “kaynak merkezli” ilke setini veri için tamamlar.)

♦ Kurumsal ölçekte DAAS (Data/Applications/Assets/Services) politikalarının veri‑merkezli sürümü, ZTA ilkeleriyle bağlanır.

SCADA – data acquisition: SCADA verisinin kurumsal paylaşım dereceleri (iç, ortak, tedarikçi) merkezi politika üzerinden belirlenir.

Master Data Management: Kurumsal sözleşmelerde ana veri mülkiyeti ve veri alanı kullanım koşulları tanımlanır (rol/sorumluluk).

Real‑time Big Data Analytics: Bulut/kenar konumlandırma kararı (edge vs. core) risk ve gizlilik politikalarıyla belirlenir.

Data Scientist: Kurumsal “model yönetimi” ve yayınlanabilir veri politikası, açıklanabilirlik ve izlenebilirlik (audit) şartlarını içerir.

IIoT Data Lake: Kurumlar arası veri paylaşımı için veri alanı (data space) sözleşmeleri ve güven bileşenleri (connector, identity, usage control) hazırlanır.

Data Dictionary: Kuruluş genelinde tek sözlük ve değişiklik kurulu, RAMI 4.0 terminolojisiyle hizalanma sağlar.

OT Historian: Historian’ın “kurumsal veri varlığı” statüsü, arşiv saklama süreleri ve regülasyon uyum takvimi politikaya bağlanır.

İleri Seviye ve Üst Düzey Kontroller

♦ DRM kural setlerinin aykırı değer analizi ve iyileştirilmesi, atipik DRM davranışları ve/veya olaylara karşı gerçekleştirilir ve belgelenir.

♦ DLP, sürekli iyileştirilmiş kural setleriyle birlikte kullanılır.

♦ Tüm veri depoları DRM kullanılarak korunur.

♦ Veriler veri etiketleri kullanılarak şifrelenir.

♦ Uygulanan veri etiketleme ve sınıflandırma araçları, mevcut etiketlenmiş ve sınıflandırılmış veri depolarını kullanarak analitik araçlarla entegre edilir.

♦ Temel çizgileri belirlemek ve veri odaklı analizin doğruluğunu ve etkinliğini sürekli olarak iyileştirmek için denetimli bir öğrenme yaklaşımı oluşturulur.

♦ Tüm iç ve dış veri akışları öğrenilir ve kayda alınır.

♦ Konu/özellik temel referansları belirlenir.

♦ OT / Büyük Veri analitik araçları için minimum gereksinimler geliştirilir.

Önceki Yazı Sonraki Yazı

Paylaş: