Enerji Piyasası Düzenleme Kurulunun 13/07/2023 Tarihli ve 11956 Sayılı Kararı
KURUL KARARLARI | 2023-07-16

16 Temmuz 2023 PAZAR 
Resmî Gazete 
Sayı : 32250
KURUL KARARI 
Enerji Piyasası Düzenleme Kurumundan:
KURUL KARARI 
Karar No: 11956
Karar Tarihi: 13/07/2023
Enerji Piyasası Düzenleme Kurulunun 13/07/2023 tarihli toplantısında; aşağıdaki “Enerji Sektöründe Kullanılan Endüstriyel Kontrol Sistemleri İçin Güvenlik Analiz ve Test Usul ve Esasları"nın Resmi Gazete'de yayımlanmak üzere Cumhurbaşkanlığına gönderilmesine,
karar verilmiştir.
ENERJİ SEKTÖRÜNDE KULLANILAN ENDÜSTRİYEL KONTROL SİSTEMLERİ İÇİN GÜVENLİK ANALİZ VE TEST USUL VE ESASLARI 
BİRİNCİ BÖLÜM  Başlangıç Hükümleri 
Amaç
MADDE 1 - (1) Bu Usul ve Esasların amacı, enerji sektöründe kullanılan endüstriyel kontrol sistemlerinde (EKS) yetkisiz erişim elde edilmesine veya hassas bilgilere ulaşılmasına ve sistem sürekliliğinin aksamasına neden olabilecek güvenlik açıklıklarının sömürülmeden önce tespit edilip giderilmesinin sağlanmasıdır.

Kapsam 
MADDE 2 - (1) Bu Usul ve Esaslar aşağıda belirtilen hususlarla sınırlı olmamak kaydıyla:
a) EKS ağının ve mimari yapının incelenmesi analizini,
b) EKS yapılarında görevli personele yönelik sosyal mühendislik testlerini,
c) EKS ağında zafiyet tarama analizini,
ς) EKS ağında zararlı yazılım analizini,
d) EKS kablosuz ağ ve bileşenleri testlerini,
e) EKS ağında sömürü testlerini,
kapsar.
Hukuki dayanak 
MADDE 3  (1) Bu Usul ve Esaslar; 6/6/2023 tarihli ve 32213 sayılı Resmi Gazetede yayımlanan Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliğinin 15 inci maddesinin birinci fikrasına dayanılarak hazırlanmıştır.

Tanımlar ve kısaltmalar 
MADDE 4 - (1) Bu Usul ve Esaslarda geçen;
a) Aktif tarama: Genellikle otomatize edilmiş araçlarla gerçekleştirilen ve ortamda mevcut cihazlara da gerektiğinde erişim sağlanan taramayı,
b) APN: Mobil iletişim altyapısı üzerinde sanal özel ağ kurulmasını sağlayan teknolojiyi,

c) Bilmesi gereken prensibi: Herhangi bir konu veya işi, ancak görev ve sorumluluklarıgereği öğrenmekle, incelemekle, gereğini yerine getirmekle ve korumakla sorumlu bulunanların yetkisi düzeyinde bilgi sahibi olması ve nüfuz etmesini,
¢) DKS: EKS'lerin “dağıtık kontrol sistemi" bileşenini,
d) EKS: Endüstriyel Kontrol Sistemlerini,
e) Gömülü Sistem: Bir bilgisayardan farklı olarak, kendisi için önceden özel olarak tanımlanmış görevleri yerine getirmek üzere tasarlanmış, çekirdeği belirli bir sayıda görevi yerine getirmek için programlanan mikroişlemcilerden ya da mikro denetleyicilerden oluşan,üzerinde güncellenebilir yazılımların çalıştığı RTU, PLC, MTU gibi sistemleri,
f) Güvenlik duvarı: EKS'lerin bulunduğu ağı korumaya yönelik konumlandırılan ve erişim kontrolü yapmak için kullanılan bileşeni,
g) HMI: EKS'lerin “insan-makine arayüzü" bileşenini,
ğ) IDS: EKS'lerin bulunduğu ağı korumaya yönelik konumlandırılan “saldırı tespit sistemi" bileşenini,
h) IED: Bir veya birden fazla işlemciye sahip, harici bir kaynaktan veri alma veya gönderme özelliğine sahip akıllı elektronik cihazları,
1) IP: Internet Protokolünü,
i) IPS: EKS'lerin bulunduğu ağı korumaya yönelik konumlandırılan “saldırı önleme sistemi" bileşenini,
j) İlgili mevzuat: Enerji piyasasına ilişkin kanun, yönetmelik, tebliğ, genelge ve Kurul kararlarını,
k) KBS: Kurumsal Bilişim Sistemlerini,
1) Kurul: Enerji Piyasası Düzenleme Kurulunu,
m) Kuruluş:6/6/2023 tarihli ve 32213 sayılı Resmî Gazetede yayımlanan Enerji Sektöründe Siber Güvenlik Yetkinlik Modeli Yönetmeliğinin 2 nci maddesinde tanımlanan sorumlu tüzel kişileri,
n) Kurum: Enerji Piyasası Düzenleme Kurumunu,
o) MTU: EKS'lerin “ana telemetri birimi" bileşenini,
ö) OSI: Açık sistemler bağlantısını,
p) OSINT: Açık kaynak istihbaratını,
r) Pasif tarama: Cihazlara erişim sağlanmadan sadece ağ trafiğinin analizi ile yapılan taramayi,
s) PLC: EKS'lerin “programlanabilir mantık denetleyici" bileşenini,
$) PERA: Purdue Kurumsal Referans Mimarisini,
t) RF: Radyo frekansıni,
u) RTU: EKS'lerin “uzak terminal birimi" bileşenini,
ü) SCADA: EKS'lerin “merkezi denetim ve veri toplama” bileşenini,
v) Sömürü Testi: Bir uygulamada veya sistemdeki bir güvenlik açığından yararlanarak hedef sistem veya uygulama üzerinde yetki elde etme işlemini,
y) Zafiyet tarama: Ağ altyapılarındaki güvenlik açıklarının belirlenmesi ve sınıflandırılması işlemini,
z) Kritik Altyapılar Ulusal Test Yatağı Merkezi: Sakarya Üniversitesi bünyesinde kurulan kritik enerji altyapılarının modellenmesi, güvenliği ile alakalı koruyucu ve önleyici çözümlerin araştırılması ve geliştirilmesi amacıyla kurulan merkezi,
aa) VoIP: IP üzerinden video, ses ya da mesaj gönderilmesini,ifade eder.

(2) Bu Usul ve Esaslarda geçen ve birinci fikrada yer almayan tanım ve kısaltmalar için ilgili mevzuatta geçen tanım ve kisaltmalar esas alınır.


İKİNCİ BÖLÜM  Güvenlik Analiz ve Test Metodolojisi 
EKS ağının ve mimari yapının incelenmesi analizi 
MADDE 5 - (1) Bu analizde EKS'nin bulunduğu mevcut ağ yapısı incelenerek güvenlik pratikleri açısından değerlendirilmesi sağlanır. Bu amaçla, incelenen yapıların mantiıksal topolojisi, uzak saha bağlantılarını da içerecek şekilde analizi gerçekleştiren kişi tarafindan oluşturulur. Eğer kuruluş tarafindan bir topoloji bilgisi sağlanır ise, bunun güncel olup olmadığıve mevcut durumu yansitıp yansitmadığı doğrulanır. Yapılan analiz ile EKS'yi oluşturan IP'ye sahip MTU, RTU, HMI, SCADA/DKS sunucu, yönlendirici, anahtar gibi bileşenlerin ağüzerindeki konumları belirlenir. Analiz sonucunda, ilgili bileşenlerin topolojideki konumlarına istinaden EKS'leri etkileyebilecek, erişilebilirlik, bütünlük ve gizlilik açılarından tehdit unsuru oluşturan riskler bulgu olarak ortaya konulur.

(2) EKS ağının ve mimari yapının incelenmesi aşağıdaki başlıkların detaylı analizini ve raporlamasını içerir:
a) Topoloji analizi,
b) Konfigürasyon analizi,
c) EKS sınır güvenliği analizi,
ς) Erişim analizi,
d) Diğer analizler:
1) Yetkili hesap yönetimi,
2) Kurum altyapisındaki varlıkların konumlandırılması,
3) İnternete erişebilen varlıklar,
4) İnternetten erişilebilen varlıklar,
5) SSL kullanımi,
6) İş sürekliliği analizi.
(3) EKS ağının ve mimari yapının incelenmesi çalışmaları, bu altyapıya hâkim kuruluşpersoneli ile soru-cevap şeklinde ve altyapıda OSı 3 üncü katmanda çalışmakta olan ağ ve güvenlik cihazlarının yapılandırmalarını ve erişim politikalarını inceleyerek gerçekleştirilir. Bu kapsamda yapılması öngörülen analizlerin detayları konu başlıklarına göre aşağıdaki gibidir:
a) Topoloji Analizi: Topoloji analizi çalışması sırasında EKS altyapısında çalışmakta olan ve IP adresine sahip sunucu, ağ bileşenleri, güvenlik bileşenleri ve MTU, RTU, HMI, PLC gibi saha ekipmanları soru-cevap ya da saha incelemesi ile belirlenir. Belirlenen ağ cihazlarından OSI 3 üncü katmanda çalışmakta olanların yapılandırmalarını incelemek için, ara yüz bağlantısısağlanır ve yapılandırma çıktisı temin edilir. Elde edilen verilerle mevcut altyapının topoloji çizimi sağlanır. Mevcut topolojiye göre EKS altyapısı için yüksek erişilebilirlik olmamasıdurumu, IDS/IPS bulunmaması gibi riskli konular bulgu olarak raporlanır.
b)Konfigürasyon Analizi: Konfigürasyon analizi çalışması sırasında kritik öneme sahip omurga anahtarı, güvenlik duvarı, IDS/IPS gibi ağ ve güvenlik cihazlarının yapılandırmalarıincelenerek bu sistemlerin yedekliliği, güvenlik duvarının SSL denetimi yapması ve segmentasyon gibi konular değerlendirilir. Mevcut altyapıda rutin işleyişin aksamasına sebebiyet verebilecek yedeklilik yapılandırmasının eksik/yanlış olması, ağdaki diğer sistemlere sıçrama riskini minimize edecek segmentasyon yapılandırmasının olup olmaması gibi riskli konular bulgu olarak ortaya konur.

c)EKS Sınır Güvenliği Analizi: Bu analiz ile EKS altyapısını tehdit eden unsurların EKS altyapisina etki etmeden önce engellenebilmesi adına alınan;
1) İş ihtiyacı olan güvensiz servislerin güvenli olan alternatifleri ile değiştirilmesi,
2) EKS ağında, internete hizmet veren sistemlerin bulundurulmamasi,
3) EKS ve KBS ağlarında IDS/IPS sistemlerinin mevcudiyeti,
4) 802.1x ile bağlantı kontrolü yapılmasi,
konuları denetlenir ve riskli konular bulgu olarak raporlanır.

c) Erişim Analizi: Erişim analizi çalışması sonucu KBS ve EKS ağları arasındaki erişimlerin durumu ortaya konur. Bu çalışma esnasında;
1) EKS ağında kamu ve hizmet sağlayıcıların erişimleri gibi zorunlu olarak sağlanmasıgereken bağlantıların uygun şekilde yapılandırılmış olmasi,
2) EKS ağı ile kuruluşta çalışan kullanıcıların e-posta alma-gönderme, kurumsal sistemlere erişim, dosya sunucusuna erişim, Ínternet erişimi gibi kurumsal işlemlerini gerçekleştirdikleri bilgisayarların/tabletlerin/telefonların bulunduğu ağ arasında kontrol edilen ve tanımlanmış izleme gibi erişimlerin haricinde bir erişimin olmamasi,
3) Mevcut erişim izinlerinin bilmesi gereken prensibine uygunluğu,gibi konular denetlenir.

d) Diğer Analizler:
1) Yetkili Hesap Yönetimi: Yetkili hesap yönetimi konusunda gerçekleştirilen analiz çalışması ile EKS'de kullanılmakta olan hesapların yetkilendirmesinin nasıl yapıldığı, parola yönetimi ve bilmesi gereken prensibinin uygulanıp uygulanmadığının denetimi gerçekleştirilir.
2) Kuruluş Altyapısındaki Varlıkların Konumlandırılması: Kuruluş altyapısındaki varlıkların konumlandırilması incelenirken PERA, NIST SP800-82r2 ve SANS Secure Architecture for Industrial Control Systems dokümanlarinda belirtilen en iyi uygulama örneklerine uygun ve/veya IEC-62443 standartlarına uyumlu ağ segmentasyonu yapılıp yapılmadıği denetlenir.

3) İnternete Erişebilen Varlıklar: EKS altyapısında İnternete erişebilen varlıkların bulunup bulunmadığı incelenir, varsa gerekliliklerinin sorgulanması ile birlikte İnternete erişimlerin hangi izinlerle gerçekleştiği ortaya konur.

4) Înternetten Erişilebilen Varlıklar: EKS altyapısında İnternetten erişilebilen varlıkların bulunup bulunmadığı incelenir, varsa gerekliliklerinin sorgulanması ile birlikte ne amaçla ve hangi izinlerle erişildiği belirlenir.

5) SSL Kullanımı: EKS altyapısında kullanıcı arayüzlerinin şifre ile korunup korunmadığı ve bunların SSL üzerinden hizmet verip vermediği belirlenir.
6) İş Sürekliliği Analizi: İş sürekliliği analiz çalışmasıyla kuruluşun mevcut EKS altyapısındaki bileşenlerden herhangi birinde sorun yaşanması durumunda rutin işleyişin aksamamasını sağlayacak önlemlerin alınıp alınmadığı belirlenir. Güvenlik ve ağ cihazlarında problem olması durumunda fiziksel bir yedeğinin olup olmadığı ve yapılandırma yedeklerinin düzenli olarak alınıp alınmadığı kontrol edilir.

(4) Bu analiz çalışması kapsamında, bir kontrol listesi üzerinden hareket edilmesi önerilir.Bu liste yukarıdaki analiz yöntemlerinin gereksinimlerini kapsayacak şekilde hazırlanmalı ve herhangi bir gereksinimin gözden kaçmasını önlemek için takip edilmelidir. Bunun yanında, ağve güvenlik cihazları üzerinde konfigürasyon incelemeleri, temin edilecek IP bazlı envanter listesi, ağ topolojisi, ilgililere sorulacak soruların bulunduğu soru listeleri ve güvenlik duvarıanaliz yazılımı gibi otomatik analiz araçları kullanılabilir.

EKS yapılarında görevli personele yönelik sosyal mühendislik testleri 
MADDE 6 - (1) Sosyal mühendislik testleri ile, EKS ağına erişim yetkisi olan personelin güvenlik davranışları ve farkındalık seviyeleri analiz edilir.
(2) EKS yapılarında görev yapan personele yönelik yapılacak olan sosyal mühendislik testi siyah kutu veya beyaz kutu olarak uygulanabilir. Uygulanacak yönteme göre test kapsamıbelirlenir. Kuruluş tarafından siyah kutu testi istenildiği takdirde, testi gerçekleştirecek ekip kuruluş personeline ait bilgileri pasif tarama yöntemleriyle araştırıp kuruluşun bilgisi dâhilinde kapsamı belirler. Beyaz kutu olması halinde test kapsamı kuruluş tarafindan belirlenip testi gerçekleştirecek ekibe verilir.

(3) EKS yapılarında görevli personele yönelik yapılacak sosyal mühendislik testleri aşağıdaki yöntemler kullanılarak gerçekleştirilir:
a) Siyah Kutu: Siyah kutu yöntemiyle gerçekleştirilecek olan sosyal mühendislik testinde, testi gerçekleştirecek kişi kurumdan daha önceden kapsam bilgisi almadan OSINT 

araçları ile kuruluşa özel saldırı vektörlerini geliştirmek amacıyla e-posta adreslerini, telefon numaralarını ve fiziksel güvenlik kontrolleri ile ilgili bilgileri toplar. Bu bilgilerin kullanımı ve uygulanacak senaryolar kuruluş yetkilisinin onayına sunulur.

b) Beyaz Kutu: Beyaz kutu yöntemiyle gerçekleştirilecek sosyal mühendislik testinde kuruluş tarafindan, testi gerçekleştirecek kişiye, kapsam dâhilindeki personelin telefon numaraları, e-posta adresleri ve fiziksel lokasyon bilgileri verilir. Bu bilgilerin kullanımı ve uygulanacak senaryolar kuruluş yetkilisinin onayına sunulur.

(4) EKS'lere yönelik gerçekleştirilecek sosyal mühendislik testlerinde OSINT araçlarıkullanılarak kuruluş ve kuruluş personeline ait bilgiler toplanır. Toplanan bilgiler sosyal mühendislik testi gerçekleştirmek amacıyla kullanılır.

(5) Toplanan bilgiler doğrultusunda kuruluş personelinin farkındalık seviyesini tespit etmeye yönelik oltalama testi gerçekleştirilir. Bu test gerçekleştirilirken, zararlı eklenti barındıran e-posta veya sahte web sitelerine yapılan yönlendirmelerle hassas kuruluş bilgileri veya operasyonel bilgilerin toplanması gibi farklı yöntemler kullanılabilir. Testler kapsamında,7/4/2016 tarihli ve 29677 sayılı Resmi Gazetede yayımlanan 6698 sayılı Kişisel Verilerin Korunması Kanunu'na aykırı olarak değerlendirilebilecek kişisel veriler alınmamalıdır.
(6) Kuruluş personeline yönelik sesle oltalama testinde hassas personel bilgileri ele geçirilmeye çalışılır. Test, telefon numaralarını taklit ederek veya farklı bir kimlik bilgisiyle aranarak gerçekleştirilir. Test kapsamında VoIP, cep telefonu veya dâhili hatlar gibi farklıerişim kanalları kullanılır.

(7) Fiziksel güvenlik değerlendirmesinde, kuruluşların fiziksel güvenlik kontrolleri çeşitli atlatma teknikleri kullanılarak yerinde denetlenir ve kuruluşun iyileştirme yapması gereken alanlar belirlenir. Fiziksel güvenlik testinde;
a) Video gözetimi,
b) İzole alanlara erişim,
c)Güvenlik görevlilerinin kuruluşun inisiyatifinde olacak şekilde 
atlatılması/kandırılmasi,
test edilir.


(8) Test edilecek şirket politikaları asgari olarak:
a) Yabancılara/misafirlere yönelik uygulamalar,
b) Kilit, şifre ve biyometrik sistemler gibi geçiş kontrollerinin etkinliği,
c) Çöpe atılan kritik bilgilerin elde edilmesi,
c) Taşınabilir donanımların kullanımına yönelik çalışanların farkındalığı,konularından oluşur.

EKS ağında zafiyet tarama analizi 
MADDE 7 - (1) Kuruluşun EKS ağındaki bileşenlere yönelik zafiyet taramasının pasif tarama yöntemleriyle gerçekleştirilmesi esastır. Teknik olarak pasif tarama yapılamamasıdurumunda ise bu maddede belirtilen uygun aktif tarama yöntemlerinden biri kullanılır. Yapılan tarama sonrasında keşfedilen zafiyetlerin doğrulaması ve bu zafiyetlerin sömürülmesi sonucu oluşabilecek etkilerin değerlendirilmesi yapılır. Tespit edilen zafiyetler aynı zamanda sömürütestlerinde saldırı yöntemlerinin belirlenmesi için kullanılır.

(2) Kuruluşta aktif zafiyet tarama;
a) Duruş yapılabilen EKS'lerde duruş esnasında,
b) Parçalı duruş yapılabilen EKS'lerde sadece duruş yapılan EKS'ler üzerinde,
c) Duruş yapılamayan EKS'lerde, enerji talebinin düşük olduğu dönemlerde EKS'leri en az etkileyecek şekilde,
c) Yukarıdaki seçenekler değerlendirilemiyor ise, testin neden olabileceği riskler detaylı
olarak analiz edildikten sonra uygun görülen bir ortamda,
yapılır.


(3) Test yaptıracak kuruluşların, EKS'de kullanılan tüm bileşenlerin aynı yazılım sürümleri ve yapılandırma ayarlarıyla birlikte var olacağı bir test yatağı hazırlaması canlı

ortamda mevcut olan zafiyetlerin belirlenmesi açısından fayda sağlar. Test yatağının canlıortam ile uyumluluğu testi gerçekleştirecek uzman tarafından doğrulanır.
(4) Kuruluşun belirtilen koşullarda test yatağı bulunuyorsa bu ortamda aktif zafiyet tarama yöntemiyle gerçekleştirilir. Aksi durumda zafiyet taraması canlı ortamda pasif tarama yöntemiyle gerçekleştirilir. EKS bileşenleri arasında seri haberleşme teknolojileri mevcut ise ve EKS ağı içerisinde seri haberleşme ortamından TCP/IP haberleşme ortamına geçişi sağlayan dönüştürücü varsa bu sistem üzerinden güvenlik testi gerçekleştirilir.
(5) EKS üzerinde zafiyet taraması sırasında dikkat edilmesi gereken hususlar aşağıdaki gibidir:
a) Taranan cihazın işlevinin bozulmayacağından veya bu cihazın kaybının rutin işleyişi etkilemeyeceğinden emin olunmalidır.

b) Herhangi bir olumsuzluk durumunda teste tabi bileşenin, hızlı bir şekilde eski haline geri döndürülmesi için gerekli hazırlıklar ve planlar yapılmış olmalıdır. Söz konusu durumlar için acil durum eylem planının hazırlanmamış olması mevcut bir zafiyet olarak değerlendirilmelidir.

c) Taranacak sistem yedekli değil ise, yapılacak olan zafiyet tarama işlemi risk teşkil etmeyecek şekilde sinırlandırılmalıdır.

(6) Zafiyet taramasında kullanılacak araç, içerisinde endüstriyel protokollerin ve uygulamaların, EKS ağında bulunan işletim sistemlerinin zafiyetlerini tespit edebilecek özellikler barındırır.

(7) Zafiyet tarama aracı ile bütün bir IP bloğu taraması yapılmaksızın taraması yapılacak olan cihazların IP adresleri tekil olarak tanımlanır ve uygun parametre ile taranır.Parametrelerin seçimi iki farklı yaklaşımla gerçekleştirilir:
a) Açık portların belirlenmesi için port taraması gerçekleştirilir. Tespit edilen bulgulara göre uygun tarama yöntemi ile teste devam edilir. Port taraması yapılırken sisteme zarar vermeyecek parametreler seçilir.

b) Sunucu hakkında kuruluş tarafindan verilecek bilgiye göre uygun parametrelerle teste devam edilir.

(8) Servis dışı bırakma ve kaba kuvvet gibi tehlikeli sayılabilecek yöntemler kullanılmamalıdır.

EKS ağında zararlı yazılım analizi 
MADDE 8  (1) Zararlı yazılım analizi ile EKS ağında oluşan trafik analiz edilerek zararlı yazılım kaynaklı herhangi bir iletişimin mevcut bulunup bulunmadığı tespit edilir. Bu tür bir iletişimin tespiti durumunda, anormal trafiğin kaynağı ve EKS bileşenlerine etkisi incelenir.

(2) Bu analiz EKS ağı trafiğinin aynalanabildiği sistemler üzerinde uygulanır. EKS ağıtrafiğinin aynalanamadığı ortamlarda işletim sistemi seviyesinde zararlı yazılım tespiti yapılır.
(3) EKS ağı trafiği üzerinde zararlı yazılımın tespit edilebilmesi için yapılacak analiz,EKS ağında mevcut yönlendirici veya anahtarlar üzerinden port aynalaması yapılarak gerçekleştirilir. Port aynalama için elverişli olmayan ortamlarda işletim sistemi seviyesinde,taşınabilir bellek üzerinden kurulum yapmaksızın çalıştırılabilen zararlı yazılım tespit araçlarıile zararlı yazılımlar tespit edilir. Gerekli görüldüğü durumlarda zararlı yazılım analizi teknikleri ile zararlı olarak tespit edilen içeriğin EKS bileşenlerine olan etkileri incelenir.
(4) Zararlı yazılım analizi kapsamında imzası henüz bilinmeyen yeni zararlılar veya kurumları hedef alarak hazırlanmış olan gelişmiş kalıcı tehdit saldırılarının da tespit edilip engellenmesi hedeflenir.


(5) Zararlı yazılım analizinin gerçekleştirilmesi için, EKS bileşenlerini ve protokollerini destekleyen zararlı yazılım tespit ve analiz araçlarının kullanılması tercih sebebidir. Bu araçların kullanımi, test yapılacak ortamın kullanılacak yöntemlerde belirtildiği üzere zararlıyazılım tespiti için elverişli olup olmamasına göre belirlenir. Elverişli olan ortamlarda port aynalama yöntemiyle ağ trafiğinin kopyasını alarak ağ trafiği üzerinde zararlı yazılım tespit ve analizi yapan araçlar kullanılır. Elverişli olmayan ortamlarda taşınabilir bellek üzerinden kurulum yapmaksızın çalıştırılabilen zararlı yazılım tespit araçları kullanılır.
EKS kablosuz ağ ve bileşenleri testleri 
MADDE 9  (1) Kablosuz EKS ağları ve kablosuz ağ bileşenleri ile bu ağlar üzerinden haberleşen uygulamaların güvenliği analiz edilir.

(2) Kablosuz ağ testlerinin amacı, kablosuz ağa yetkisiz erişim imkanı olup olmadığının ve ağdaki trafik üzerinde manipülasyon yapılıp yapılamayacağının değerlendirilmesidir. EKS bileşenlerinin bağlı olabileceği kablosuz ağların şifreleme ve anahtar güvenliği, APN yapısıkullanılıyorsa bu sistemlerin güvenlik seviyeleri ve sahte erişim noktaları açılarak kullanıcıların veya operatörlerin tepkileri ölçülür. Bu kapsamda aşağıda belirtilen testler yapılır:
a) 802.11x, 802.15.1 ve 802.15.4 güvenlik testleri,
b) Mobil ağ iletişiminin güvenlik testleri,
c) APN güvenlik testleri,
ς) RF (Radyo Frekans) iletişiminin güvenlik testleri.
(3) Kablosuz ağ keşif çalışmalarının amacı, kuruluş yerleşkesinde bilinen veya bilinmeyen kablosuz ağ erişim noktalarının tespit edilmesidir. Bu kapsamda aşağıdaki özellikler belirlenmeye çalışılır:
a) 802.11x güvenlik testleri kapsamında:
1) Kullanıcı denetimleri,
2) Çevresel tehdit analizleri,
3) Yetkilendirme saldırıları,
4) Erişim noktası hizmeti veren cihazların denetlenmesi,
5) Kablosuz ağ güvenlik çözümlerinin denetlenmesi.
b) 802.15.1 ve 802.15.4 güvenlik testleri kapsamında:
1) İlgili cihazın bileşenlerinin tespit edilmesi,
2) İlgili cihaz hakkinda yetkili ve yetkisiz bir şekilde toplanabilecek bilgilerin kontrol edilmesi,
3) İlgili cihazın kullandığı yetkilendirme tipinin test edilmesi,
4) İlgili cihazın kullandığı şifreleme yönteminin test edilmesi.
c) Mobil ağ iletişiminin güvenlik testleri kapsamında:
1) İlgili cihazın bileşenlerinin tespit edilmesi,
2) İlgili cihaz hakkında yetkili ve yetkisiz bir şekilde toplanabilecek bilgilerin kontrol edilmesi,
3) İlgili cihazın mobil ağ iletişimini sağlamak amacı ile kullandığı SIM kartın test edilmesi,
4) İlgili cihazın mobil ağ iletişiminin yayın bozma saldırılarına karşı tepkilerinin ölçülmesi,
5) İlgili cihazın mobil ağ araya girme saldırılarına karşı tepkilerinin ölçülmesi ve elde edilebilecek bilgilerin incelenmesi.

c) APN güvenlik testleri kapsamında:
1) Kuruluşun vereceği izinler doğrultusunda APN bulutuna dâhil edilmesi,
2) APN bulutuna bağlı cihazların tespit edilmesi,
3) APN bulutundaki cihazların haberleşme protokollerinin tespit edilmesi ve zafiyetlerinin raporlanması.

d) RF iletişimin güvenlik testleri kapsamında:
1) İlgili cihazın bileşenlerinin tespit edilmesi,

2) İlgili cihaz hakkında yetkili ve yetkisiz bir şekilde toplanabilecek bilgilerin kontrol edilmesi,
3) İlgili cihazın RF iletişiminin tekrarlanabilirliğinin test edilmesi,
4) İlgili cihazın RF iletişiminin yayın bozma saldırılarına karşı tepkilerinin ölçülmesi,
5) İlgili cihazın RF araya girme saldırılarına karşı tepkilerinin ölçülmesi ve elde edilebilecek bilgilerin incelenmesi.

(4) EKS kablosuz ağ ve bileşenleri testlerinde, güvenlik ortamında sahte kablosuz yerel ağlar tespit etmek için saldırı tespit ve önleme sensörleri, tarayıcılar gibi araçlar kullanılır.Kablosuz yerel ağları tespit etmek için kablosuz ağ kartları ve test araçları bulunan bir veya daha fazla taşınabilir bilgisayar kullanılır.

EKS ağında sömürü testleri 
MADDE 10 - (1) EKS ağında sömürü testleri analiz ve test çalışmasının son adımıdır.Sömürü testlerinin uygulanması için kuruluşun onayı ve uygun şartları sağlaması, testlere dair ön şartların belirlenerek kuruluş tarafindan testi yapan firmaya yazılı olarak sunulmasıgerekmektedir.

(2) Bu testler 3 alt aşamadan oluşur:
a) EKS ağında çalışan bilinen işletim sistemlerine sömürü testleri 
1) EKS'nin yönetimi amacıyla kullanılan sunuculardaki işletim sistemlerinin sömürütestlerinin canlı ortamda gerçekleştirilmesi önerilmez. Tespit edilen zafiyetlerin sömürü testi,yükümlü kuruluşun sağlayacağı test yatağında veya canlı ortamı etkilemeyeceği bir sistem üzerinde gerçekleştirilir.

2) İşletim sistemlerinin sömürü testlerini gerçekleştirecek araçlar KBS'lerde sömürütestleri için kullanılan zafiyet sömürü araçları ile aynıdır. Kullanılan işletim sistemleri üzerinde tespit edilen zafiyetler ticari veya açık kaynak kodlu ilgili araçlarla test edilir.
b) EKS ağında çalışan bilinen uygulamalara sömürü testleri 
1) Kuruluş tarafindan kapsama dâhil edilen veya test sırasında tespit edilen uygulamalar statik ve dinamik olarak test edilir. İlgili uygulamalara, İnternet ortamından veya KBS ağından testin gerçekleştirilmesi gerekir. Yapılan sömürü testi sonucunda zafiyet barındıran uygulamalara erişim ve yetki kontrolü sağlanır. Canlı ortamda yapılan sömürü testi, ilgili uygulamada bazı değişikliklere sebebiyet verebileceğinden risk teşkil etmekte olup, söz konusu testin test yatağı üzerinde gerçekleştirilmesi tavsiye edilir.

2) EKS veya gerektiğinde KBS uygulamalarına özel geliştirilmiş zafiyet sömürü araçlarıkullanılır.

c) EKS ağında çalışan gömülü sistemlere yönelik sömürü testleri 
1) EKS ağı üzerinde ilk katmanda yer alan PLC, RTU, IED gibi bileşenlere yönelik daha önce tespit edilen zafīyetlerin sömürü testleri gerçekleştirilir. Bu aşamada birkaç farklı yöntem kullanılabilir. Söz konusu test, EKS ağı içerisindeki tüm bileşenlerin işletim sistemi, yazılım ve donanım sürümlerinin aynı olması koşulu ile sağlanacak test yatağında gerçekleştirilir. Test yatağı olmaması durumunda yapılacak testler bu Usul ve Esasların 7 nci maddesinin ikinci fikrasında belirtilen koşullar göz önüne alınarak gerçekleştirilir.

2) Testin bu aşamasında KBS ve EKS için geliştirilmiş zafiyet sömürü testi araçları veya otomatize olmayan teknikler kullanılır. Söz konusu sömürü testi ticari veya açık kaynak kodlu ilgili araçlarla gerçekleştirilir.

Uygulama 
MADDE 11- (1) İşletmeye yeni başlayacak olan kuruluşlar faaliyete geçtikten sonra on sekiz ay içerisinde, bu Usul ve Esaslarda tanımlanan güvenlik analiz ve test metodolojisi uyarınca testleri yaptırırlar.

(2) Testler en geç üç yılda bir tekrarlanır.
(3) Teste tabi kuruluş test esnasında envanterinde bulunan EKS bileşenlerine hâkim en az bir uzman personel ve test sürecine refakat edecek bir personel bulundurur.

Güvenlik analiz ve test sonuçlarının takibi 
MADDE 12 - (1) Kuruluşlar güvenlik analiz ve testleri sonucu tespit edilen bulguları,bulguların önem derecelerini, birlikte oluşturabilecekleri riskleri ve bunların yer aldığırapordaki önerileri dikkate alarak, kendi yönetim kurullarınca onaylanan ve bu bulguların en kısa sürede giderilmesini amaçlayan bir aksiyon planını uygular. Güvenlik analizi ve testi sonuçlarının yer aldığı rapor, tamamlanmasının ardından talep edildiği takdirde Kuruma sunulmak üzere saklanır.

(2) Bulgu önem dereceleri beş kategoride ele alınır. Acil, kritik, yüksek, orta ve düşük şeklinde olan kategorilere ilişkin açıklamalar aşağıdaki tabloda yer almaktadır:
Bulgu Önem Derecesi: Acil
Açıklama: Niteliksiz saldırgan tarafindan kuruluşun dış ağından gerçekleştirilen ve sistemin tamamen ele geçirilmesi ile sonuçlanan saldırılara sebep olan açıklıklardır.

Bulgu Önem Derecesi: Kritik
Açıklama: Nitelikli saldırgan tarafından kuruluşun dış ağından gerçekleştirilen ve sistemin tamamen ele geçirilmesi ile sonuçlanan saldırılara sebep olan açıklıklardır.

Bulgu Önem Derecesi: Yüksek
Açıklama: Kuruluşun dış ağından gerçekleştirilen ve kısıtlı hak yükseltilmesi veya hizmet dışı kalma ile sonuçlanan, ayrıca yerel ağdan ya da sunucu üzerinden gerçekleştirilen ve hak yükseltmeyi sağlayan saldırılara sebep olan açıklıklardır.

Bulgu Önem Derecesi: Orta
Açıklama: Yerel ağdan veya sunucu üzerinden gerçekleştirilen ve hizmet dışı bırakılma ile sonuçlanan saldırılara sebep olan açıklıklardır.

Bulgu Önem Derecesi: Düşük
Açıklama: Etkilerinin tam olarak belirlenemediği ve literatürdeki en iyi sıkılaştırma yöntemlerinin nizlenmemesindenkaynaklanan eksikliklerdir.
(3) Kapsam bölümünde belirtilen başlıkların her biri altında raporlanacak bulguların sunuş biçimi aşağıda yer alan tabloda belirtilmektedir:
Bulgu Referans No: Bulgu Adı
Rapordaki her bulguyu tekil olarak niteleyen harf/rakam dizisi: Bulguyu özet olarak ifade eden tanımlayıcı isim

Bulgu Referans No: Önem Derecesi
Rapordaki her bulguyu tekil olarak niteleyen harf/rakam dizisi: Bulgunun, aynı maddenin ikinci fikrasında yer verilen önem derecesi

Bulgu Referans No: Etkisi
Rapordaki her bulguyu tekil olarak niteleyen harf/rakam dizisi: Bulguda yer verilen açıklığın/eksikliğin kötüye kullanılması durumunda oluşabilecek potansiyel sonuç

Bulgu Referans No: Kullanılan Yöntem
Rapordaki her bulguyu tekil olarak niteleyen harf/rakam dizisi: Bulguya erişimde kullanılan yöntem

Bulgu Referans No: Araçlar
Rapordaki her bulguyu tekil olarak niteleyen harf/rakam dizisi: Bulguya erişirken kullanılan araçlar

Bulgu Referans No: Kullanıcı Profili
Rapordaki her bulguyu tekil olarak niteleyen harf/rakam dizisi: Bulguya hangi kullanıcı profili ile erişildiği bilgisi

Bulgu Referans No: Erişim Noktası
Rapordaki her bulguyu tekil olarak niteleyen harf/rakam dizisi: İnternet, intranet veya spesifik bir ağ segmenti

Bulgu Referans No: Bulgunun Tespit Edildiği Bileşen(ler)
Rapordaki her bulguyu tekil olarak niteleyen harf/rakam dizisi: Bulgunun tespit edildiği bileşeni niteleyen IP adresi, URL, sistem, servis, sunucu veya varlık adı gibi bilgiler

Bulgu Referans No: Bulgu Açıklaması
Rapordaki her bulguyu tekil olarak niteleyen harf/rakam dizisi: Bulgunun detaylı açıklaması

Bulgu Referans No: Çözüm Önerisi
Rapordaki her bulguyu tekil olarak niteleyen harf/rakam dizisi: Bulgunun giderilmesi için testi gerçekleştiren firma tarafindan yapılacak çözüm önerisi
Güvenlik analiz ve testlerini yapacak firma/kuruluş ve personelinde aranacak yetkinlikler 

MADDE 13 - (1) Güvenlik analiz ve testlerini yapacak firma/kuruluşta aranacak yetkinlikler aşağıda belirtilmiştir:

a) TS 13638 sayılı yeterlilik belgesinin olması,
b) ISO/IEC 27001 belgesinin olmasi.
(2) Güvenlik analiz ve testlerini yapacak firma/kuruluş personelinde aranacak yetkinlikler aşağıda belirtilmiştir:
a) GICSP sertifikasına sahip olmak ve EKS mimarisi, çalışma prensipleri ve iletişim protokolleri ile ilgili üretici veya üreticilerin yetkilendirdiği firmalardan, eğitim içeriği ve katılım belgesi ibraz edilecek şekilde eğitim almış olmak,
b) Kritik Altyapılar Ulusal Test Yatağı Merkezi tarafindan verilen EKS eğitimleri sonrasıbaşarı sertifikasına sahip olmak,
c) Ağ güvenliği konusunda uluslararası kabul görmüş kuruluşlardan alınmış Comptia Security+, GSEC, CND, SSCP, CISSP, CNSS vb. sertifikalardan en az birine sahip olmak,
ς) CEH, OSCP, ICS/SCADA Cybersecurity, en az Sertifikalı Sızma Testi Uzmanıseviyesinde olmak üzere TSE Ağ ve Sistem Altyapısı Sızma Testi Uzmanı, GPEN'den en az ikisine sahip olmak,
d) Bu fikranın (a) ve (b) bentlerinden en az birisini sağlamak.
(3) Kuruluşun güvenlik analiz ve testlerini, bu maddenin ikinci fikrasında belirtilen yetkinliklere sahip personeli tarafindan yapılmak istenmesi durumunda; bu maddenin birinci fikrasının (a) bendinde yer alan yeterlilik belgesi aranmaz.

(4) Güvenlik analiz ve testlerini yapan personelin en az altı ay güvenlik analiz ve testlerini yapan firmada/kuruluşta çalışıyor olması gerekir.

(5) Güvenlik analizi ve testlerini gerçekleştirecek firma ile kuruluş arasında gizlilik sözleşmesi yapılır.

ÜÇÜNCÜ BÖLÜM Çeşitli ve Son Hükümler 
Yürürlükten kaldırılan düzenleme ve atiflar 
MADDE 14  (1) 3/5/2019 tarihli ve 30763 sayılı Resmî Gazetede yayımlanan Enerji Sektöründe Kullanılan Endüstriyel Kontrol Sistemleri İçin Güvenlik Analiz ve Test Usul ve Esasları yürürlükten kaldırılmıştır.

(2) Mevzuatta, birinci fikra ile yürürlükten kaldırılan Enerji Sektöründe Kullanılan Endüstriyel Kontrol Sistemleri İçin Güvenlik Analiz ve Test Usul ve Esaslarına yapılan atıflar bu Usul ve Esaslara yapılmış sayılır.

Geçiş süreci 
GEÇiCİ MADDE 1  (1) Bu Usul ve Esasların yürürlüğe girdiği tarihten itibaren yirmi dört ay içerisinde EKS üzerinde güvenlik analizleri ve testleri yaptırılır.
Yürürlük 
MADDE 15  (1) Bu Usul ve Esaslar yayımı tarihinde yürürlüğe girer.
Yürütme 
MADDE 16  (1) Bu Usul ve Esasları Enerji Piyasası Düzenleme Kurumu Başkanıyürütür.