Asansörden havalandırmaya, kartlı geçişten yangın algılama sistemlerine kadar çok sayıda
işlevin aynı dijital altyapıda birleşmesi, binaları yeni risklerle karşı karşıya bırakıyor.
Bir iş merkezine gelen çalışanlar kartlarını okutarak turnikelerden geçiyor, asansörler yoğunluğa göre yönlendiriliyor, havalandırma sistemi içerideki insan sayısına göre çalışıyor. Güvenlik kameraları görüntüleri analiz ederken yangın algılama sistemi de binanın diğer bölümleriyle sürekli haberleşiyor. Bütün bu süreçlerin tek merkezden yönetilebilmesi enerji tasarrufu, güvenlik ve kullanım kolaylığı sağlıyor. Ancak bağlantı sayısı arttıkça saldırı yüzeyi de genişliyor. Bir zamanlar birbirinden bağımsız çalışan mekanik sistemler artık bina yönetim sistemi, uzaktan bakım uygulamaları, sensörler ve bulut tabanlı platformlar üzerinden birbirine bağlanıyor. Böylece bir cihazdaki veya yazılımdaki güvenlik açığı, binanın başka bölümlerine ulaşmak için kullanılabilecek dijital bir kapıya dönüşebiliyor.
Akıllı bina sistemlerine yönelik bir saldırının akla gelen ilk sonucu, sistemlerin geçici olarak devre dışı kalması olacaktır haliyle. Fakat asıl sıkıntı yaratabilecek olan, olayın etkisinin binanın işlevine göre çok daha geniş olabilme ihtimali... Kartlı geçiş sisteminin çalışmaması çalışanların binaya girememesine veya yetkisiz kişilerin kontrollü alanlara erişmesine neden olabilir. Örneğin asansörlerin devre dışı kalması özellikle yüksek katlı yapılarda operasyonu ciddi bir biçimde aksatabilir.
Havalandırma ve iklimlendirme sistemlerine müdahale edilmesi, veri merkezleri, hastaneler, laboratuvarlar ve üretim tesisleri açısından daha ağır sonuçlar doğurabilir. Sıcaklığın veya nem seviyesinin kontrol dışına çıkması hassas cihazlara, ürünlere ya da hammaddelere zarar verebilir. İlave olarak kamera kayıtlarının silinmesi veya görüntülerin kesilmesi ise hem güvenlik zafiyeti yaratabilir hem de olay sonrası incelemeyi zorlaştırabilir. En kritik başlıklardan biri yangın güvenliğidir. Yangın algılama, alarm, duman tahliye ve acil yönlendirme sistemlerinin yanlış çalışması ya da erişilemez hâle gelmesi, dijital bir olayın doğrudan insan güvenliğini etkileyebileceğini gösteriyor. Bu nedenle akıllı bina güvenliği yalnızca bilgi işlem biriminin sorumluluğu olarak görülemiyor.
Eski cihazlar yeni ağlara bağlanıyor
Bina otomasyonunda kullanılan cihazların bir bölümü uzun yıllar hizmet vermek üzere tasarlanıyor. Buna karşılık yazılımlar, işletim sistemleri ve siber tehditler çok daha hızlı değişiyor. Üretici desteği sona ermiş bir kontrol paneli veya yıllardır güncellenmeyen bir yazılım, binanın en zayıf halkası olabiliyor. Uzaktan bakım bağlantıları da ayrı bir risk alanı… Teknik servislerin binadaki sistemlere dışarıdan bağlanabilmesi arızalara hızlı müdahale edilmesini sağlasa da zayıf parolalar, ortak kullanılan hesaplar veya korunmayan bağlantılar saldırganlara adeta sisteme “Hoş geldiniz” diyerek kolay bir giriş yolu açabiliyor. Tedarikçinin hesabının ele geçirilmesi durumunda saldırı, doğrudan bina işletmecisini hedef almadan da gerçekleşebiliyor. Bilgi teknolojileri sistemleriyle bina operasyonlarını yöneten operasyonel teknoloji sistemlerinin aynı ağ üzerinde kontrolsüz biçimde bulunması da olası riski bir hayli büyütüyor. Ofisteki bir bilgisayara bulaşan zararlı yazılımın bina otomasyon ağına geçebilmesi, sıradan görünen bir oltalama e-postasını fiziksel operasyon kesintisine dönüştürebiliyor.
Dikkat edilmesi mutlak olan bir konu da saldırganların her sistemi tek tek yönetmeye ihtiyaç dahi duymaması. Bina yönetim platformunun, merkezi sunucuların veya kullanıcı hesaplarının şifrelenmesi bile işletmeyi sistemlere erişemez hâle getirebilir. Teknik ekipler sıcaklık değerlerini göremeyebilir, alarmları doğrulayamayabilir veya belirli alanlara erişimi uzaktan yönetemeyebilir. Bu durumda bina fiziksel olarak zarar görmemiş olsa bile kullanılamaz hâle gelebilir. Kiracıların tahliye edilmesi, faaliyetlerin başka bir yere taşınması, teknik inceleme yapılması ve sistemlerin güvenli biçimde yeniden devreye alınması da gerekebilir. İş durması, alternatif mekân giderleri, uzman müdahale masrafları ve itibar kaybı toplam zararı bir hayli büyütebilir.
Akıllı bina kadar dirençli bina da gerekli
Siber saldırı; veri ihlali, iş durması, makine veya elektronik cihaz hasarı, üçüncü kişilere karşı sorumluluk ve fiziksel zarar gibi farklı teminat alanlarına temas edebilir. Bu nedenle poliçelerdeki siber olay, fiziksel hasar, operasyon kesintisi ve istisna tanımlarının birbiriyle nasıl ilişkilendiğinin önceden değerlendirilmesi şirketler açısından büyük önem taşıyor.
Akıllı binalarda sigortanın rolü sadece hasar gerçekleştikten sonra tazminat ödemekle sınırlı değil. Önleyici sigortacılık, binanın dijital ve fiziksel risklerini hasar oluşmadan önce birlikte ele almayı gerektiriyor. Bunun ilk adımı, binaya bağlı bütün cihazların, yazılımların, uzaktan erişim noktalarının ve hizmet sağlayıcıların envanterini çıkarmak. Mesela hangi sistemlerin internete açık olduğu, cihazların ne sıklıkla güncellendiği, varsayılan parolaların değiştirilip değiştirilmediği ve kritik sistemlerin ofis ağından ayrılıp ayrılmadığı incelenebilir. Çok faktörlü kimlik doğrulama, yetkilerin görevle sınırlandırılması, ağların bölümlere ayrılması ve olağan dışı hareketlerin izlenmesi temel güvenlik önlemleri arasında yer alıyor.
Fakat dijital önlem almak tek başına yeterli olamaz. Asansör, kapı, havalandırma ve yangın sistemleri için güvenli manuel kullanım seçenekleri de detaylı olarak planlanmalı. Olası bir siber olay yaşanması halinde binanın nasıl tahliye edileceği, kimlerin hangi sistemlere müdahale edeceği ve teknik servislerle nasıl iletişim kurulacağı önceden hatta epey önceden belirlenmeli. Yedeklerin gerçekten çalışıp çalışmadığının da düzenli olarak test edilmesi gerekiyor.
Bir binanın akıllı olması daha fazla sensör ve otomasyon sistemi taşıması anlamına da gelmiyor. Gerçek teknolojik zeka, bağlantı kesildiğinde veya sistemlerden biri ele geçirildiğinde yapının güvenli biçimde çalışmaya devam edebilmesinde ortaya çıkıyor. Bu nedenle yeni binalarda siber güvenliğin daha tasarım aşamasındayken ele alınması, mevcut yapılarda ise eski cihazların ve kontrol sistemlerinin düzenli olarak gözden geçirilmesi sağlanmalı. Fiziksel güvenlik ile dijital güvenliğin ayrı alanlar olarak yönetildiği dönem geride kaldı. Çünkü akıllı bir binada siber saldırı kapıları, havayı, hareketi ve iş sürekliliğini etkileyen gerçek bir bina riskine dönüşebiliyor.
