IATF 16949 Siber Saldırı Acil Durum Planı ve Tatbikatı

IATF 16949 SI 3, acil durum planlarının bilgi teknolojisi sistemlerine yönelik siber saldırıları da kapsamasını ve etkinliklerinin periyodik olarak test edilmesini bekler. Bir planın başarısı yalnızca dokümanla değil, kontrollü bir tatbikatta ölçülen sonuçlar ve kayıtlarla değerlendirilir. Bu rehber, üretim tesisleri için siber saldırı acil durum planının yapısını ve bir tatbikatın nasıl planlanacağını anlatır.

Planın yapısı

Senaryo seçimi: riske dayalı

Senaryolar risk analizinden ve iş etki analizinden gelmelidir. Üretim tesislerinde en sık seçilenler:

• ERP sunucusunun fidye yazılımıyla şifrelenmesi ve sevkiyat etiketlerinin basılamaması.
• MES veya hat bilgisayarlarının zararlı yazılım nedeniyle kapatılması.
• Makine tedarikçisinin uzaktan erişim hesabının ele geçirilmesi.
• İnternet ve bulut hizmetlerine erişimin günlerce kesilmesi.
• Etki alanı (Active Directory) yönetici hesabının ele geçirilmesi.

Tatbikat türleri

Örnek masa başı tatbikat akışı

1. T+0: Gece vardiyasında ERP ekranlarında fidye notu görülür. Kim aranır, olay kim tarafından ilan edilir?
2. T+1 saat: Sabah sevkiyatı için etiketler basılamıyor. Alternatif çalışma talimatı devreye alınıyor mu?
3. T+4 saat: Yedeklerin de etkilenip etkilenmediği belirsiz. Temiz yedek nasıl doğrulanacak, geri yükleme sırası ne?
4. T+8 saat: Müşteri teslimatı gecikecek. Bildirim kararı kim tarafından, hangi içerikle verilir?
5. Yeniden başlatma: Kesinti süresince üretilen parçaların izlenebilirliği ve uygunluğu nasıl doğrulanacak?

Tatbikat raporunda bulunması gerekenler

• Tarih, senaryo, katılımcılar ve tatbikat türü.
• Ölçülen süreler (karar, izolasyon, geri yükleme) ve hedeflerle karşılaştırma.
• Tespit edilen eksikler, sorumlu ve hedef tarihli aksiyonlar.
• Plana yapılacak değişiklikler.
• Üst yönetim gözden geçirmesine sunulduğunun kaydı.

Plan ve tatbikat, siber olay müdahale planı ve felaket kurtarma planı ile tutarlı olmalıdır; aksi halde olay anında üç ayrı doküman üç ayrı talimat verir.

Eretek IATF 16949 belgelendirmesi yapmaz ve kalite yönetim sisteminin tamamını üstlenmez; bu rehber standardın BT ve siber güvenlikle ilişkili beklentilerini ele alır. Güncel SI metni IATF Global Oversight sitesinden takip edilmelidir.

Sık sorulan sorular

Tatbikat dış bir firma tarafından yapılmalı mı?

SI 3 testlerin iç kaynakla veya dış kaynakla yapılabileceğini belirtir. Dış kolaylaştırıcı, senaryonun gerçekçiliğini ve tarafsız gözlemi artırır.

Tatbikatta gerçek müşteriye bildirim yapılır mı?

Hayır. Bildirim kararı, içeriği ve kanalı senaryo içinde test edilir; gerçek müşteriye mesaj gönderilmez.

Plan ve tatbikat ne kadar ayrıntılı olmalı?

Risk düzeyine ve tesisin karmaşıklığına göre. Önemli olan kritik süreçlerin, rollerin, alternatif çalışma yöntemlerinin ve müşteri bildiriminin kapsanmasıdır.

Tesisinize uygun senaryo ve tatbikat programı için IATF 16949 Siber Saldırı ve Acil Durum Tatbikatı hizmetimizi inceleyebilirsiniz.