Bir enerji santralinin, su tesisinin veya haberleşme merkezinin güvenlik ihtiyacı yalnızca binasının büyüklüğüyle açıklanamaz. Tesiste hangi işlevin yürütüldüğü, bu işlevin kesilmesinden kimlerin etkileneceği ve hangi alanlara erişimin sınırlandırılması gerektiği birlikte değerlendirilmelidir. Bu nedenle kritik altyapı güvenliğinde ilk soru kaç kamera ya da kaç personel gerektiği değil, hangi işlevin hangi koşullarda korunacağıdır.
Önce Kritik İşlevleri Belirleyin
Bir tesisin her noktası aynı önceliğe sahip olmayabilir. Ana giriş, kontrol odası, haberleşme bağlantısı, yedek enerji kaynağı ve bakım erişimi farklı görevler gerektirir. NPSA'nın koruyucu güvenlik yaklaşımı, önlemleri seçmeden önce varlıkların önemini ve kayıplarının sonuçlarını anlamayı önerir. Kurumsal uygulamada bunun karşılığı, işletme sorumlusunun kritik işlevleri tanımlaması ve güvenlik hizmetinin bu önceliklerle ilişkilendirilmesidir.
Planlama görüşmesinde yalnızca normal çalışma günü konuşulmamalıdır. Bakım dönemleri, yüklenici girişleri, vardiya değişimleri ve tesisin kısmen kapalı olduğu saatler de ele alınmalıdır. İşletmenin onay verdiği erişim ile sahada uygulanan giriş düzeninin birbirinden kopması, iyi hazırlanmış bir planın bile işlemesini zorlaştırabilir.
Tesisin Bağımlılıklarını Gözden Kaçırmayın
CISA'nın altyapı bağımlılıkları rehberi, bir hizmetteki kesintinin başka sistemlere de yansıyabileceğini açıklar. Örneğin enerji, iletişim ve ulaşım bağlantıları birlikte düşünülmelidir. Bu yaklaşım, güvenlik ekibinin bütün teknik sorunları çözmesi anlamına gelmez; bir aksaklık fark edildiğinde doğru işletme sorumlusuna ulaşılabilmesi gerektiğini gösterir.
Bu nedenle irtibat listesi yalnızca isimlerden oluşmamalıdır. Hangi durumda kimin aranacağı, ilk kişiye ulaşılamazsa sıradaki yetkilinin kim olduğu ve vardiya değişiminde açık konuların nasıl devredileceği belirlenmelidir. Listelerin güncelliği, yazılı planın sahadaki kullanılabilirliğinin bir parçasıdır.
Giriş Kontrolünü Görev Tanımıyla Birleştirin
Çevre hattı, ziyaretçi kabulü ve sınırlandırılmış alanlar için farklı uygulamalar gerekebilir. Ziyaretçinin hangi birim tarafından kabul edileceği, yüklenicinin hangi çalışma için geldiği ve erişim yetkisinin ne zaman sona ereceği açık olmalıdır. Kontroller, geçerli izinler ve hukuki görev sınırları içinde planlanmalıdır; her tesiste aynı cihazı kullanmak veya herkesten aynı bilgiyi istemek doğru bir başlangıç değildir.
- İşletme tarafından onaylanan giriş ve refakat kurallarını yazılı hâle getirin.
- Görev noktaları ile devriyenin birbirine hangi bilgileri aktaracağını tanımlayın.
- Arızalı kapı, çalışmayan haberleşme cihazı veya kapanmamış bildirim için takip sorumlusu belirleyin.
- Bakım ve acil durum erişimlerini, olağan ziyaretçi akışından ayrı değerlendirin.
Teknik Sorumlulukları Birbirine Karıştırmayın
NIST'in SP 800-82 Rev.3 rehberi, operasyonel teknolojilerin güvenliğini performans, güvenilirlik ve emniyet gereksinimleriyle birlikte ele alır. Bu teknik kapsam; otomasyon, bakım ve siber güvenlik uzmanlığı gerektirebilir. Özel güvenlik hizmetindeki gözlem, erişim ve bildirim görevleri bu ekiplerle koordine edilmelidir; onların mühendislik sorumluluklarının yerine geçmez.
Hizmetin İşlediğini Nasıl Değerlendirirsiniz?
Yalnızca olay yaşanmamış olması yeterli bir değerlendirme ölçütü değildir. Vardiya devrinin tamamlanması, ziyaretçi onaylarının tutarlılığı, bildirilen eksiklerin kapanması ve irtibat zincirinin çalışması da izlenebilir. Bu göstergeler kurumun kapsamına göre seçilmeli; herhangi bir gösterge sıfır risk veya kesintisiz çalışma garantisi olarak sunulmamalıdır.
Bir hizmet görüşmesine tesis türünü, çalışma saatlerini ve genel erişim ihtiyaçlarını hazırlayarak başlanabilir. Hassas yerleşim planları ve kritik sistem ayrıntıları ise paylaşım yetkisi değerlendirilerek, uygun görüşme ortamında ele alınmalıdır. Amaç, tesisin gerçek çalışma düzenine oturan ve sorumluları belli bir güvenlik hizmeti kurmaktır.
