Şarj İstasyonlarının Görünmeyen Riski: Bulut Sistemleri İçin 24 Maddelik Siber Güvenlik Kontrolü
Elektrikli araç şarj istasyonlarında güvenlik denildiğinde ilk akla gelen konular kablo, elektrik tesisatı ve batarya olsa da istasyonların bağlı olduğu bulut sistemleri de kritik bir risk alanı oluşturuyor. Birleşik Krallık merkezli şarj teknolojileri şirketi Versinetic, şarj ağı işletmecileri, üreticiler ve yerel yönetimler için ücretsiz bir “EV Charger Cloud Security” kontrol aracı yayımladı. Araç, buluta bağlı şarj altyapısını dört ana alanda toplam 24 maddeyle değerlendirmeyi amaçlıyor.
Müşteri verisinden uzaktan erişime kadar dört risk alanı
Kontrol listesi; mevzuat ve hukuki uyum, sistem mimarisi, operasyonlar ile süreç ve yönetişim başlıklarından oluşuyor. İlk bölümde müşteri adları, adresleri, e-posta ve telefon gibi kişisel bilgilerin OCPP operasyon verilerinden ayrılıp ayrılmadığı sorgulanıyor. Şarj cihazı katmanıyla bulut altyapısı arasında ağ segmentasyonu bulunması, veri tabanlarının en düşük yetki ilkesiyle korunması ve yalnızca gerekli verilerin toplanması da temel kontroller arasında.
Uzaktan erişim tarafında üretim sistemlerinde SSH, Telnet ve RDP gibi servislerin varsayılan olarak kapalı olması; yönetici hesaplarında çok faktörlü kimlik doğrulamanın zorunlu tutulması ve OCPP API bağlantılarının token ya da sertifika tabanlı doğrulamayla korunması isteniyor. Şirket ayrıca TLS 1.0 ve 1.1'in tamamen kapatılmasını, TLS 1.2 kullanan sistemlerin TLS 1.3 geçiş planı hazırlamasını ve sertifika yenileme ile iptal süreçlerinin otomatikleştirilmesini öneriyor.
Güvenli güncelleme ve olay müdahalesi öne çıkıyor
Şarj cihazlarına uzaktan gönderilen yazılım güncellemelerinin kriptografik olarak imzalanması, cihazda güvenli açılış kullanılması ve başarısız güncellemeler için geri dönüş mekanizmasının test edilmesi diğer önemli maddeler arasında. Olası bir saldırıda sistem kayıtlarının üretim ortamından ayrı ve değiştirilemez biçimde tutulması, yedeklerin gerçekten geri yüklenebildiğinin düzenli olarak sınanması ve olay müdahale planının tatbik edilmesi de kontrol ediliyor.
Liste yalnızca işletmecinin kendi sistemini değil, satın aldığı hizmeti de kapsıyor. Tedarikçi sözleşmelerinde güvenlik yükümlülükleri, ihlal bildirim süreleri ve denetim hakkı bulunması; bağımsız sızma testi sonuçlarının talep edilebilmesi ve kullanılan üçüncü taraf yazılım bileşenlerinin kayıt altına alınması öneriliyor.
Versinetic, bu çalışmanın bir sızma testi ya da güvenlik sertifikası olmadığını özellikle belirtiyor. Kontrol listesindeki 0-8 olumlu yanıt “yüksek risk”, 9-16 “gelişen güvenlik yapısı”, 17-24 ise “güçlü başlangıç seviyesi” olarak sınıflandırılıyor. Dolayısıyla araç, teknik denetimin yerine geçmekten çok eksiklerin erken fark edilmesini sağlayan bir başlangıç noktası sunuyor.
CheapSarj Yorumu
Şarj istasyonları artık yalnızca elektrik veren cihazlar değil; ödeme, kullanıcı, konum, araç ve şarj oturumu verilerini işleyen bağlantılı sistemler. Bir bulut altyapısı sorunu, fiziksel cihazlar sağlam olsa bile aynı anda binlerce istasyonu kullanılamaz hâle getirebilir. Türkiye'deki şarj ağı işletmecilerinin hız ve soket sayısı kadar veri ayrıştırma, OCPP güvenliği, sertifika yönetimi ve olay müdahale kapasitesini de şeffaf biçimde ele alması gerekiyor.
