Enerji Piyasası Düzenleme Kurulunun 25/04/2019 Tarihli ve 8560 Sayılı Kararı
KURUL KARARI | 2019-05-03

KURUL KARARI 
Enerji Piyasası Düzenleme Kurumundan:
KURUL KARARI 
Karar No: 8560
Karar Tarihi: 25/04/2019
Enerji Piyasası Düzenleme Kurulunun 25/04/2019 tarihli toplantısında; ekteki “Enerji Sektöründe Kullanılan Endüstriyel Kontrol Sistemleri İçin Güvenlik Analiz ve Test Usul ve Esasları'nın kabul edilerek Resmi Gazetede yayımlanmak üzere Cumhurbaşkanlığına gönderilmesine,
karar verilmiştir.
EK 
ENERJİ SEKTÖRÜNDE KULLANILAN ENDÜSTRİYEL KONTROL  SİSTEMLERİ İÇİN GÜVENLİK ANALİZ VE TEST USUL VE ESASLARI 
BİRİNCİ BÖLÜM Amaç, Kapsam, Hukuki Dayanak, Tanımlar ve Kısaltmalar 
Amaç
MADDE 1 - (1) Bu usul ve esasların amaci, enerji sektöründe kullanılan endüstriyel kontrol sistemlerinde (EKs) yetkisiz erişim elde edilmesine veya hassas bilgilere ulaşılmasına ve sistem sürekliliğinin aksamasına neden olabilecek güvenlik açıkhklarımın sömürülmeden önce tespit edilip giderilmesinin sağlanmasıdır.

Kapsam 
MADDE 2 - (1) Bu usul ve esaslar bunlarla sınırlı olmamak kaydıyla:
a) EKS ağının ve mimari yapının incelenmesi analizini,
b) EKS yapılarında görevli personele yönelik sosyal mühendislik testlerini,
c) EKS ağında zafiyet tarama analizini,
c) EKS ağında zararlı yazılım analizini,
d) EKS kablosuz ağ ve bileşenleri testlerini,
e) EKS ağında sömürü testlerini,
kapsar.
duruma gelmesinden itibaren on sekiz ay içerisinde testler yaptırılır.
(3) Teste tabi kuruluş test esnasında envanterinde bulunan EKS bileşenlerine hâkim en az bir uzman personel ve test sürecine refakat edecek bir personel bulundurur.
Hukuki dayanak 
MADDE3  (1) Bu usul ve esaslar; 13/07/2017 tarih ve 30123 sayılı Resmi Gazetede yayımlanarak yürürlüğe giren Enerji Sektöründe Kullanılan Endüstriyel Kontrol Sistemlerinde Bilişim Güvenliği Yönetmeliğinin 8 inci maddesinin ikinci fikrasına dayanılarak hazırlanmıştır.

Tanımlar ve kısaltmalar 
MADDE 4 - (1) Bu usul ve esaslarda geçen;

a) Aktif tarama: Çoğunlukla otomatize edilmiş araçlarla gerçekleştirilen ve ortamda mevcut cihazlara da gerektiğinde erişim sağlanan taramayı,
b) APN: Mobil iletişim altyapısı üzerinde sanal özel ağ kurulmasını sağlayan teknolojiyi,
c) Bilmesi gereken prensibi: Herhangi bir konu veya işi, ancak görev ve sorumlulukları gereği öğrenmekle, incelemekle, gereğini yerine getirmekle ve korumakla sorumlu bulunanların yetkisi düzeyinde bilgi sahibi olması ve nüfuz etmesini,
ς) DKS: EKS'lerin “dağıtık kontrol sistemi” bileşenini,
d) EKS: Endüstriyel Kontrol Sistemlerini,
e) Gömülü Sistem: Bir bilgisayardan farklı olarak, kendisi için önceden özel olarak tanımlanmış görevleri yerine getirmek üzere tasarlanmış, çekirdeği belirli bir sayıda görevi yerine getirmek için programlanan mikroişlemcilerden ya da mikro denetleyicilerden oluşan,üzerinde güncellenebilir yazılımların koştuğu RTU, PLC, MTU gibi sistemleri,
 Güvenlik duvarı: EKS'lerin bulunduğu ağı korumaya yönelik konumlandırılan ve erişim controlü yapmak için kullanılan bileşeni,
g) HMI: EKS’lerin “insan-makine arayüzü’ bileşenini,
g) IDS: EKS'lerin bulunduğu ağı korumaya yönelik konumlandırılan “saldırı tespit sistemi”vileşenini,
)IED: Bir veya birden fazla işlemciye sahip, harici bir kaynaktan veri alma veya gönderme szelliğine sahip akıllı elektronik cihazları,
...e..ae.
) IPS: EKS'lerin bulunduğu ağı korumaya yönelik konumlandırılan “saldırı önleme sistemi”bilesenini,Za 
)İgili mevzuat: Enerji piyasasına ilişkin kanun, yönetmelik, tebliğ. genelge ve Kurul cararlarıni,
c) KBS: Kurumsal Bilişim Sistemlerini,
uu:ao 
) Kuruluş: 13/07/2017 tarihli ve 30123 sayılı Resmi Gazetede yayımlanan Enerji Sektöründe Kullanılan Endüstriyel Kontrol Sistemlerinde Bilişim Güvenliği Yönetmeliğinin 6ncı maddesinin birinci fikrasında belirtilen lisans sahipleri tüzel kişileri,
) Kurum: Enerji Piyasası Düzenleme Kurumunu,
) MTU: EKS’lerin “ana telemetri birimi” bileşenini,
) OSI: Açık sistemler bağlantısını,
-
Pasif tarama: Cihazlara erişim sağlanmadan sadece ağ trafiğinin analizi ile yapılan aramayi,
) PLC: EKS’lerin “programlanabilir mantık denetleyici” bileşenini,
) PERA: Purdue Kurumsal Referans Mimarisini,
RF: Radyo frekansi,
.


i) SCADA: EKS'lerin “merkezi denetim ve veri toplama” bileşenini,
y) Sömürü Testi: Bir uygulamada veya sistemdeki bir güvenlik açığından yararlanarak hedef sistem veya uygulama üzerinde yetki elde etme işlemini,sa-*-----w 
) Zafiyet tarama: Ağ altyapılarındaki güvenlik açıklarının belirlenmesi ve sınıflandırılmasışlemini,
aueeus.
2Buusul ve esaslarda geçen ve birinci fikrada yer almayan tanm ve kısaltmalar için ilgil vzuatta geçen tanım ve kisaltmalar gecerlidir.


İKİNCİ BÖLÜM  Güvenlik Analiz ve Test Metodolojisi 
EKS Ağının ve Mimari Yapının İncelenmesi Analizi 
MADDE 5 - (1) Bu analizde EKS'nin bulunduğu mevcut ağ yapısı incelenerek güvenlik pratikleri açısından değerlendirilmesi sağlanır. Bu amaçla, incelenen yapıların mantıksal topolojisi, uzak saha bağlantılarını da içerecek şekilde analizi gerçekleştiren kişi tarafından oluşturulur. Eğer kuruluş tarafından bir topoloji bilgisi sağlanır ise, bunun güncel olup olmadığı ve mevcut durumu yansıtıp yansıtmadığı doğrulanır. Yapılan analiz ile EKS’yi oluşturan IP'ye sahip MTU, RTU, HMI, SCADA/DKS sunucu, yönlendirici, anahtar gibi bileşenlerin ağ üzerindeki konumları belirlenir. Analiz sonucunda, ilgili bileşenlerin topolojideki konumlarına istinaden EKS'leri etkileyebilecek, erişilebilirlik, bütünlük ve gizlilik açılarından tehdit unsuru oluşturan riskler bulgu olarak ortaya konulur.
a) Kapsam ve Uygulama: (1) EKS ağının ve mimari yapının incelenmesi aşağıdaki başlıkların detaylı analizini ve raporlamasını içermektedir:
a) Topoloji analizi,
b) Konfigürasyon analizi,
c) EKS sinır güvenliği analizi,
ς) Erişim analizi,
d) Diğer analizler:
1) Yetkili hesap yönetimi,
2) Kurum altyapısındaki varlıkların konumlandırıması,
3) İnternete erişebilen varlıklar,
4) İnternetten erişilebilen varlıklar,
5) SSL kullanımi,
6) Îş sürekliliği analizi.
b) Kullanılacak Yöntem: (1) EKS ağının ve mimari yapının incelenmesi çalışmaları, bu altyapıya hâkim kuruluş personeli ile soru-cevap şeklinde ve altyapıda OSi 3. katmanda çalışmakta olan ağ ve güvenlik cihazlarının yapılandırmalarını ve erişim politikalarınıinceleyerek gerçekleştirilir. Bu kapsamda yapılması öngörülen analizlerin detayları konu başlıklarına göre aşağıdaki gibidir:
(2) Topoloji Analizi: Topoloji analizi çalışması sırasında EKS altyapısında çalışmakta olan ve IP adresine sahip sunucu, ağ bileşenleri, güvenlik bileşenleri ve MTU, RTU, HMI, PLC gibi saha ekipmanlari soru-cevap ya da saha incelemesi ile belirlenir. Belirlenen ağ cihazlarından OSı 3. katmanda çalışmakta olanların yapılandırmalarını incelemek için, ara yüz bağlantısısağlanır ve yapılandırma çıktısı temin edilir. Elde edilen verilerle mevcut altyapının topoloji çizimi sağlanır. Mevcut topolojiye göre EKS altyapısı için yüksek erişilebilirlik olmamasıdurumu, IDP/IPS bulunmaması gibi riskli konular bulgu olarak raporlanır.
(3) Konfigürasyon Analizi: Konfigürasyon analizi çalışması sırasında kritik öneme sahip omurga anahtarı, güvenlik duvarı, IDS/IPS gibi ağ ve güvenlik cihazlarının yapılandırmalarıincelenerek bu sistemlerin yedekliliği, güvenlik duvarının SSL denetimi yapması ve segmentasyon gibi konular değerlendirilir. Mevcut altyapıda rutin işleyişin aksamasına sebebiyet verebilecek yedeklilik yapılandırmasının eksik/yanlış olması, ağdaki diğer sistemlere sıçrama riskini minimize edecek segmentasyon yapılandırmasının olup olmamasıgibi riskli konular bulgu olarak ortaya konur.

(4) EKS Sınır Güvenliği Analizi: Bu analiz ile EKS altyapısını tehdit eden unsurların EKS altyapisına etki etmeden önce engellenebilmesi adına alınan;
a) İş ihtiyacı olan güvensiz servislerin güvenli olan alternatifleri ile değistirilmesi 

b) EKS ağında, internete hizmet veren sistemlerin bulundurulmaması,
c) EKS ve KBS ağlarında IDS/IPS sistemlerinin mevcudiyeti,
ς) 802.1x ile bağlantı kontrolü yapılması,
konuları denetlenir ve riskli konular bulgu olarak raporlanır.
(5) Erişim Analizi: Erişim analizi çalışması sonucu KBS ve EKS ağları arasındaki erişimlerin durumu ortaya konur. Bu çalışma esnasında;
a) EKS ağında kamu ve hizmet sağlayıcıların erişimleri gibi zorunlu olarak sağlanmasıgereken bağlantıların uygun şekilde yapılandırılmış olması,
b) EKS aği ile kuruluşta çalışan kullanıcıların e-posta alma-gönderme, kurumsal sistemlere erişim, dosya sunucusuna erişim, Internet erişimi gibi kurumsal işlemlerini gerçekleştirdikleri bilgisayarların/tabletlerin/telefonların bulunduğu ağ arasında kontrol edilen ve tanımlanmışizleme gibi erişimlerin haricinde bir erişimin olmaması,
c) Mevcut erişim izinlerinin bilmesi gereken prensibine uygunluğu,
gibi konular denetlenir.
to)Drger anazer.
Yetkili Hesap Yönetimi: Yetkili hesap yönetimi konusunda gerçekleştirilen analiz çalışması ile EKS'de kullanılmakta olan hesapların yetkilendirmesinin nasıl yapıldığı, parola yönetimi ve bilmesi gereken prensibinin uygulanıp uygulanmadığının denetimi gerceklestirilir.yecee 
KuruluşAltyapısındaki Varlıklarn Konumlandırıması: Kuruluş altyapısindaki varlıkların konumlandırilması incelenirken PERA, NIST SP800-82r2 ve SANS Secure Architecture for Industrial Control Systems dokümanlarında belirtilen en iyi uygulama örneklerine uygun vezveva mxozte vaamea. , -e-antmme)eue epe ep-. e 
Ie Erişebienakalada Inte erişeinvaka bp bulunmadığı incelenir. Varsa gerekliliklerinin sorgulanması ile birlikte Internete erişimlerin hangi izinlerle gerçekleştiği ortaya konur.hangiizinierie gerçekieşugr ortayu konur..
Erişiiakaasa Ie rşebien ka bulunup bulunmadığı incelenir. Varsa gerekliliklerinin sorgulanması ile birlikte ne amaçla ve hangi izinlerle erişildiği belirlenir.nanorzcncepnagvemon.
 SSL Kullanımı EKS altyapısında kullanıcı arayüzlerinin şifre ile korunup korunmadığı ve bunların SSL üzerinden hizmet verip vermediği belirlenir.hnnan oo uzeudeu mzmet vep vvneagr vemiee 
e İş Sürekliliği Analizi: İş sürekliliği analiz çalışmasıyla kuruluşun mevcut EKS altyapısındaki bileşenlerden herhangi birinde sorun yaşanması durumunda rutin işleyişin aksamamasını sağlayacak önlemlerin alınıp ahınmadığı belirlenir. Güvenlik ve ağ cihazlarında problem olması durumunda fiziksel bir yedeğinin olup olmadığı ve yapılandırma yedeklerinin düzenli olarak alınıp alınmadığı kontrol edilir.

e) Kullanılacak Araçlar: (1) Bu analiz çalışması kapsamında, bir kontrol listesi üzerinden hareket edilmesi önerilir. Bu liste yukarıdaki analiz yöntemlerinin gereksinimlerini kapsayacak şekilde hazırlanmalı ve herhangi bir isterin gözden kaçmasını önlemek için takip edilmelidir. Bunun yanında, ağ ve güvenlik cihazları üzerinde konfigürasyon incelemeleri,temin edilecek IP bazlı envanter listesi, ağ topolojisi, ilgililere sorulacak soruların bulunduğu soru listeleri ve güvenlik duvarı analiz yazılımı gibi otomatik analiz araçları kullanılabilir.
EKS Yapılarında Görevli Personele Yönelik Sosyal Mühendislik Testleri 
MADDE 6 - (1) Sosyal mühendislik testleri ile, EKS ağına erişim yetkisi olan personelin güvenlik davranışları ve farkındalık seviyeleri analiz edilir.
a) Kapsam ve Uygulama: (1) EKS yapılarında görev yapan personele yönelik yapılacak olan 

yonteme gore test kapsami belirlenir. Kuruluş tarafindan siyah kutu testi istenildiği takdirde,testi gerçekleştirecek ekip kuruluş personeline ait bilgileri pasif tarama yöntemleriyle araştırıp kuruluşun bilgisi dâhilinde kapsamı belirler. Beyaz kutu olması halinde test kapsamı kuruluştarafiından belirlenip testi gerçekleştirecek ekibe verilir.

b) Kullanılacak Yöntem: (1) Siyah Kutu: Siyah kutu yöntemiyle gerçekleştirilecek olan sosyal mühendislik testinde, testi gerçekleştirecek kişi kurumdan daha önceden kapsam bilgisi almadan OSINò (Açık Kaynak İstihbaratı)araçları ile kuruluşa özel saldını vektörlerini geliştirmek amacıyla e-posta adreslerini, telefon numaralarını ve fiziksel güvenlik kontrolleri le ilgili bilgileri toplar. Bu bilgilerin kullanımı ve uygulanacak senaryolar kuruluş yetkilisinin onayina sunulur.

2)Beyaz Kutu: Beyaz kutu yöntemiyle gerçekleştirilecek sosyal mühendislik testinde curuluş tarafından, testi gerçekleştirecek kişiye, kapsam dâhilindeki personelin telefon numaraları, e-posta adresleri ve fiziksel lokasyon bilgileri verilir. Bu bilgilerin kullanımı ve uygulanacak senaryolar kuruluş yetkilisinin onayına sunulur.

Kullanılacak Araçlar: (1) EKS'lere yönelik gerçekleştirilecek sosyal mühendislik estlerinde OSINT araçları kullanılarak kuruluş ve kuruluş personeline ait bilgiler toplanır.Toplanan bilgiler sosyal mühendislik testi gerçekleştirmek amacıyla kullanılır.
2) Toplanan bilgiler doğrultusunda kuruluş personelinin farkındalık seviyesini tespit etmeye vönelik oltalama testi gerçekleştirilir. Bu test gerçekleştirilirken, zararlı eklenti barındıran eposta veya sahte web sitelerine yapılan yönlendirmelerle hassas kuruluş bilgileri veya operasyonel bilgilerin toplanması gibi farkhı yöntemler kullanılabilir. Testler kapsamında,/4/2016 tarihli ve 29677 sayılı Resmi Gazetede yayımlanan 6698 sayılı Kişisel Verilerin Korunması Kanunu’na aykırı olarak değerlendirilebilecek kişisel verilerin alınmaması uygun lacaktır.acakTr 
3) Kuruluş personeline yönelik sesle oltalama testinde hassas personel bilgileri ele geçirilmeye çalışılır. Test, telefon numaralarını taklit ederek veya farklı bir kimlik bilgisiyle aranarak gerçekleştirilebilir. Test kapsamında VoIP, cep telefonu veya dâhili hatlar gibi farklıerisim kanallan kullanılabilir.rsmnkanaakumammaomn 
4Fiziksel güvenlik değerlendirmesinde, kuruluşların fiziksel güvenlik kontrolleri çeşitl tlatma teknikleri kullanılarak yerinde denetlenir ve kuruluşun iyileştirme yapması gereken danlar belirlenir. Fiziksel güvenlik testinde;
i) Video gözetimi,
eaea 
)Güvenlik görevlilerinin kuruluşun inisiyatifinde olacak şekilde atlatılması/kandırılması,est edilebilir.

5) Test edilecek şirket politikaları asgari olarak:
Yabancılara/misafirlere yönelik uygulamalar,
..


u aass.
 Tasınabilir donanımların kullanımına yönelik çalışanların farkındalığı,
conularından oluşur.
nsaemuazesae 
MADDE 7 - (1) Kuruluşun EKS ağındaki bileşenlere yönelik zafiyet taramasımın 
asif tarama yöntemleriyle gerçekleştirilmesi esastır. Teknik olarak pasif tarama rapılamaması durumunda ise bu maddede belirtilen uygun aktif tarama yöntemlerinden biri cullanılabilir. Yapılan tarama sonrasında keşfedilen zafiyetlerin doğrulaması ve bu afiyetlerin sömürülmesi sonucu oluşabilecek etkilerin değerlendirilmesi yapır. Tespit edilen 

kullanılabilir.


(2) Kuruluşta aktif zafiyet tarama;
a) Duruş yapılabilen EKS'lerde duruş esnasında,
b) Parçalı duruş yapılabilen EKS'lerde sadece duruş yapılan EKS'ler üzerinde,
c) Duruş yapılamayan EKS'lerde, enerji talebinin düşük olduğu dönemlerde EKS’leri en az etkileyecek şekilde,
)Yukarıdaki seçenekler değerlendirilemiyor ise, testin neden olabileceği riskler detaylıolarak analiz edildikten sonra uygun görülen bir ortamda,
a) Kapsam ve Uygulama: (1) Test yaptıracak kuruluşların, EKS'de kullanılan tüm ileşenlerin aynı yazılım sürümleri ve yapılandırma ayarlarıyla birlikte var olacağı bir test vatağı hazırlaması canlı ortamda mevcut olan zafiyetlerin belirlenmesi açısından fayda ağlayacaktır. Test yatağının canlı ortam ile uyumluluğu testi gerçekleştirecek uzman arafindan doğrulanacaktır.

2) Kuruluşun belirtilen koşullarda test yatağı bulunuyorsa bu ortamda aktif zafiyet tarama öntemiyle gerçekleştirilir. Aksi durumda zafiyet taraması canlı ortamda pasif tarama öntemiyle gerçekleştirilir. EKS bileşenleri arasında seri haberleşme teknolojileri mevcut ise e EKS ağı içerisinde seri haberleşme ortamından TCP/IP haberleşme ortamına geçişi ağlayan dönüştürücü varsa bu sistem üzerinden güvenlik testi gerçekleştirilebilir.
)Kullamlacak Yöntem: (1) EKS üzerinde zafiyet taraması sırasında dikkat edilmesi ereken hususlar aşağıdaki gibidir:eeemusuoauougtaaeesowb 
Taranan cihazın işlevinin bozulmayacağından veya bu cihazın kaybının rutn işleyişi kilemeveceğinden emin olunmalıdır.rnemeeccnuvn eu vrome-.
Herhangi bir olumsuzluk durumunda teste tabi bileşenin, hızlı bir şekilde eski haline geri löndürülmesi için gerekli hazırlıklar ve planlar yapılmış olmalıdır. Söz konusu durumlar için cil durum eylem planının hazırlanmamış olması mevcut bir zafiyet olarak leğerlendirilmelidir.eoenenunmnea,
)Taranacak sistem yedekli değil ise, yapılacak olan zafiyet tarama işlemi risk teşki etmeyecek şekilde sınırlandırılmalidır.

) Kullanılacak Araçlar: (1) Zafiyet taramasında kullanılacak araç, içerisinde endüstriyel orotokollerin ve uygulamaların, EKS ağında bulunan işletim sistemlerinin zafiyetlerini tespit edebilecek özellikler barındırır.

2) Zafiyet tarama aracı ile bütün bir IP bloğu taraması yapılmaksızın taraması yapılacak olan cihazların IP adresleri tekil olarak tanımlanır ve uygun parametre ile taranır. Parametrelerin eçimi iki farklı yaklaşımla gerçekleştirilir:
) Açık portların belirlenmesi için port taraması gerçekleştirilir. Tespit edilen bulgulara göre ygun tarama yöntemi ile teste devam edilir. Port taraması yapıliırken sisteme zarar vermeyecek parametreler seçilir.

) Sunucu hakkında kuruluş tarafından verilecek bilgiye göre uygun parametrelerle teste devam edilir.

3) Servis dışı bırakma ve kaba kuvvet gibi tehlikeli sayılabilecek yöntemler kullanılmamalıdir.

EKS Ağında Zararlı Yazılım Analizi 
MADDE 8  (1) Zararlı yazılım analizi ile EKS ağında oluşan trafik analiz edilerek zararhı yazılım kaynaklı herhangi bir iletişimin mevcut bulunup bulunmadığı tespit edilir. Bu 

  l  n o  m 
  t t c de t t  t e i un e  ede d m 

e n   m  te   r d d  de      dt  re  e t e dd dee e sistemi seviyesinde, taşınabilir bellek üzerinden kurulum yapmaksızın çalıştırılabilen zararıvazılım tespit araçları ile zararlı yazılımlar tespit edilebilir. Gerekli görüldüğü durumlarda cararlı yazılım analizi teknikleri ile zararlı olarak tespit edilen içeriğin EKS bileşenlerine olan tkileri incelenir.

2) Zararh yazılım analizi kapsamında imzası henüz bilinmeyen yeni zararlılar veya kurumlarıedef alarak hazırlanmış olan gelişmiş kalıcı tehdit saldırıarının da tespit edilip engellenmesi edeflenir.

) Kullanılacak Araçlar: (1) Zararlı yazılım analizinin gerçekleştirilmesi için, EKS ileşenlerini ve protokollerini destekleyen zararlı yazılım tespit ve analiz araçlarının cullanılması tercih sebebidir. Bu araçların kullanımi, test yapılacak ortamın kullanılacak öntemlerde belirtildiği üzere zararlı yazılım tespiti için elverişli olup olmamasına göre elirlenir. Elverişli olan ortamlarda port aynalama yöntemiyle ağ trafīğinin kopyasını alarak ğ trafiği üzerinde zararlı yazılım tespit ve analizi yapan araçlar kullanılabilir. Elverişli mayan ortamlarda taşınabilir bellek üzerinden kurulum yapmaksızın çalıştırılabilen zararlırazılım tespit araçları kullanılabilir.

EKS Kablosuz Ağ ve Bileşenleri Testleri 
MADDE 9 - (1) Kablosuz EKS ağları ve kablosuz ağ bileşenleri ile bu ağlar izerinden haberleşen uygulamaların güvenliği analiz edilir.

) Kapsam ve Uygulama: (1) Kablosuz ağ testlerinin amacı, kablosuz ağa yetkisiz erişim mkanı olup olmadığının ve ağdaki trafik üzerinde manipülasyon yapılıp yapılamayacağının leğerlendirilmesidir. EKS bileşenlerinin bağhı olabileceği kablosuz ağların şifreleme ve nahtar güvenliği, APN yapısı kullanılıyorsa bu sistemlerin güvenlik seviyeleri ve sahte rişim noktaları açılarak kullanıcıların veya operatörlerin tepkileri ölçülür. Bu kapsamda işağıdaki testler yapılır:
i) 802.11x, 802.15.1 ve 802.15.4 güvenlik testleri,
) Mobil ağ iletişiminin güvenlik testleri,
) APN güvenlik testleri,
) RF (Radyo Frekans) iletişiminin güvenlik testleri.
) Kullanılacak Yöntem: (1) Kablosuz ağ keşif çalışmalarının amacı, kuruluş yerleşkesinde ilinen veya bilinmeyen kablosuz ağ erişim noktalarının tespit edilmesidir. Bu kapsamda şağıdaki özellikler belirlenmeye çalışılır:
i) 802.11x güvenlik testleri kapsamında:
) Kullanicı denetimleri,
) Çevresel tehdit analizleri,
() Yetkilendirme saldırıları,
) Erişim noktası hizmeti veren cihazların denetlenmesi.

5) Kablosuz ağ güvenlik çözümlerinin denetienmesi.
b) 802.15.1 ve 802.15.4 güvenlik testleri kapsamında:
asn eeueeueomueuns eee 
2)İgili cihaz hakkında yetkili ve yetkisiz bir şekilde toplanabilecek bilgilerin kontrol edilmesi,
3) Îlgili cihazın kullandığı yetkilendirme tipinin test edilmesi,
4) İlgili cihazın kullandığı şifreleme yönteminin test edilmesi.
e) Mobil ağ iletişiminin güvenlik testleri kapsamında:
.,sssuee-r.
2İlgili cihaz hakkında yetkili ve yetkisiz bir şekilde toplanabilecek bilgilerin kontrol edilmesi,
.ewb 
4) İlgili cihazın mobil ağ iletişiminin yayın bozma saldırılarına karşı tepkilerinin ölçülmesi,
5) İlgili cihazın mobil ağ araya girme saldırılarına karşı tepkilerinin ölçülmesi ve elde edilebilecek bilgilerin incelenmesi.

) APN güvenlik testleri kapsamında:
1) Kuruluşun vereceği izinler doğrultusunda APN bulutuna dâhil edilmesi,
-uuuuuauaea •- -e----,
A bulutundaki cihazların habereşme protokollerinin tespit edilmesi ve zafiyeterinin aporlanmasi.

1)RF iletişimin güvenlik testleri kapsamında:
nencn usueuerreueaevss 
li cihaz hakkında yetkili ve yetkisiz bir şekilde toplanabilecek bilgilerin kono dilmesi.

) İgili cihazın RF iletişiminin tekrarlanabilirliğinin test edilmesi,
C..-. nen caz  uvuus - - e- -  .
İgili cihazın RF araya girme saldırılarına karşı tepkilerinin ölçülmesi ve elde edilebilecek vilgilerin incelenmesi.

) Kullanılacak Araçlar: (1) EKS kablosuz ağ ve bileşenleri testlerinde, güvenlik ortamında sahte kablosuz yerel ağlar tespit etmek için saldırı tespit ve önleme sensörleri, tarayıcılar gibi araçlar kullanılır. Kablosuz yerel ağları tespit etmek için kablosuz ağ kartları ve test araçlarıoulunan bir veya daha fazla taşınabilir bilgisayar kullanılabilir.

EKS Ağında Sömürü Testleri 
MADDE10 - (1) Analiz ve test çalşmasının son adımıdır. Sömürü testlerinin ygulanması için kuruluşun onayı ve uygun şartları sağlaması, testlere dair ön şartların elirlenerek kuruluş tarafından testi yapan firmaya yazılı olarak sunulması gerekmektedir.
2) Bu testler 3 alt aşamadan oluşur:
) EKS Ağında Koşan Bilinen İşletim Sistemlerine Sömürü Testleri 
1) Kullanılacak Yöntem: (1) EKS’nin yönetimi amacıyla kullanılan sunuculardaki işletim sistemlerinin sömürü testlerinin canlı ortamda gerçekleştirilmesi önerilmez. Tespit edilen zafiyetlerin sömürü testi, yükümlü kuruluşun sağlayacağı test yatağında veya canlı ortamıetkilemeyeceği bir sistem üzerinde gerçekleştirilir.

2) Kullanılacak Araçlar: (1) İşletim sistemlerinin sömürü testlerini gerçekleştirecek araçlar KBS'lerde sömürü testleri için kullanılan zafiyet sömürü araçları ile aynıdır. Kullanılan 

se  mn  d dt d   ddn  m äre e 

 r Bren ra tene  t 
 t  ce  red te te  e ree e ee  e  der de a d dee tre  d e   ete e e  cn and d  cn e c d t   e    e teşkil etmekte olup, söz konusu testin test yatağı üzerinde gerçekleştirilmesi tavsiye edilir.
2) Kullanılacak Araçlar: (1) EKS veya gerektiğinde KBS uygulamalarına özel geliştirilmişzafiyet sömürü araçları kullanılabilir.

e) EKS Ağında Çalışan Gömülü Sistemlere Yönelik Sömürü Testleri 
1) Kullanılacak Yöntem: (I) EKS ağı üzerinde ilk katmanda yer alan PLC, RTU, IED gibi oileşenlere yönelik daha önce tespit edilen zafiyetlerin sömürü testleri gerçekleştirilir. Bu şamada birkaç farklı yöntem kullanılabilir. Söz konusu test, EKS ağı içerisindeki tüm pileşenlerin işletim sistemi, yazılım ve donanım sürümlerinin aynı olması koşulu ile sağlanacak test yatağında gerçekleştirilebilir. Test yatağı olmamasi durumunda yapılacak estler bu usul ve esasların 7 nci maddesinin ikinci fikrasında belirtilen koşullar göz önüne alınarak gerçekleştirilir.

2) Kullanılacak Araçlar: (1) Testin bu aşamasında KBS ve EKS için geliştirilmiş zafiyet sömürü testi araçları veya otomatize olmayan teknikler kullanılacaktır. Söz konusu sömürüesti ticari veya açık kaynak kodlu ilgili araçlarla gerçekleştirilebilir.
Güvenlik Analiz ve Test Sonuçlarının Takibi 
MADDE 11  (1) Kuruluşlar güvenlik analiz ve testleri sonucu tespit edilen bulguları,oulguların önem derecelerini, birlikte oluşturabilecekleri riskleri ve bunların yer aldığıapordaki önerileri dikkate alarak, kendi yönetim kurullarınca onaylanan ve bu bulguların en sa sürede giderilmesini amaçlayan bir aksiyon planını uygular. Güvenlik analizi ve testi onuçlarının yer aldığı rapor, tamamlanmasinın ardından talep edildiği takdirde Kuruma unulmak üzere saklanır.

2) Bulgu önem dereceleri beş kategoride ele alınır. Acil, kritik, yüksek, orta ve düşük eklinde olan kategorilere ilişkin açıklamalar aşağıda yer almaktadır:
Bulgu Önem Açıklama Derecesi: Acil

Bulgu Önem Açıklama Derecesi: Kritik

Bulgu Önem Açıklama Derecesi: Yüksek

saldırılara sebep olan açıklıklardır.: Yerel ağdan veya sunucu üzerinden gerçekleştirilen ve hizmet dışı bırakılma ile sonuçlanan saldırılara sebep olan açıklıklardır.

saldırılara sebep olan açıklıklardır.: Etkilerinin tam olarak belirlenemediği ve literatürdeki en iyi sıkılaştırma yöntemlerinin izlenmemesinden kaynaklanan eksikliklerdir.
(3) Kapsam bölümünde belirtilen başlıkların her biri altında raporlanacak bulguların sunuşbiçimi aşağıda belirtilmektedir:
Bulgu Referans No: Bulgu Adı
Rapordaki her bulguyu tekil olarak niteleyen harf/rakam dizisi: Bulguyu özet olarak ifade eden tanımlayıcı isim

Bulgu Referans No: Önem Derecesi
Rapordaki her bulguyu tekil olarak niteleyen harf/rakam dizisi: Bulgunun, aynı maddenin ikinci fikrasında yer verilen önem derecesi

Bulgu Referans No: Etkisi
Rapordaki her bulguyu tekil olarak niteleyen harf/rakam dizisi: Bulguda yer verilen açıkhığın/eksikliğin kötüye kullanılması durumunda oluşabilecek potansiyel sonuç

Bulgu Referans No: Kullanılan Yöntem
Rapordaki her bulguyu tekil olarak niteleyen harf/rakam dizisi: Bulguya erişimde kullanılan yöntem

Bulgu Referans No: Araçlar
Rapordaki her bulguyu tekil olarak niteleyen harf/rakam dizisi: Bulguya erişirken kullanılan araçlar

Bulgu Referans No: Kullanıcı Profili
Rapordaki her bulguyu tekil olarak niteleyen harf/rakam dizisi: Bulguya hangi kullanıcı profili ile erişildiği bilgisi

Bulgu Referans No: Erişim Noktası
Rapordaki her bulguyu tekil olarak niteleyen harf/rakam dizisi: İnternet, intranet veya spesifik bir ağ segmenti

Bulgu Referans No: Bulgunun Tespit Edildiği Bileşen(ler)
Rapordaki her bulguyu tekil olarak niteleyen harf/rakam dizisi: Bulgunun tespit edildiği bileşeni niteleyen IP adresi, URL, sistem, servis, sunucu veya varlıik adı gibi bilgiler

Bulgu Referans No: Bulgu Açıklaması
Rapordaki her bulguyu tekil olarak niteleyen harf/rakam dizisi: Bulgunun detaylı açıklaması

Bulgu Referans No: Çözüm Önerisi
Rapordaki her bulguyu tekil olarak niteleyen harf/rakam dizisi: Bulgunun giderilmesi için testi gerçekleştiren firma tarafından yapılacak çözüm önerisi
Güvenlik Analiz ve Testlerini Yapacak Kişilerde Aranacak Özellikler 
.Lowb sağıda belirtilmiştir:sagida uemrumsu•..
k yetkilendirdiği firmalardan, eğitim içeriği ve katılım belgesi ibraz edilecek şekilde, eğitim almis olmak,V 
Ağ güvenliği konusunda uluslararası kabul görmüş kuruluşlardan alnmış Comptia Security+, GSEC, CND, SSCP gibi sertifikalardan en az birine sahip olmak,
........Sistem Altyapısı Sızma Testi Uzmanı, GPEN'den en az ikisine sahip olmak,
essssauesasuuu oueus.
(Es Ağının ve Mimari Yapısımın Încelenmesi” analizini yapacak kişilerde yukarıda belirtilen (c) ve (c) bentlerindeki yetkinlikler aranmaz.
(Güvenlik analizive testlerini gerçekleştirecek firmada  8 sa yeterlilik belgesi aranir.
Güvenlik analizi ve testlerini gerçekleştirecek firma ile kuruluş arasında gizlik sözleşmesi yapılır.


ÜÇÜNCÜ BÖLÜM  Çeşitli ve Son Hükümler 
Geçiş süreci 
GEÇİCi MADDE 1  (1) 12 nci maddenin birinci fikrasının (ç) bendinde belirtilen yetkinlik düzenlemenin yayımı tarihinden itibaren yirmi dört ay sonrasında aranır.
GEÇİCİ MADDE 2 - (1) Bu usul ve esasların yürürlüğe girdiği tarihten itibaren on sekiz ay içerisinde EKS üzerinde güvenlik analizleri ve testleri yaptırılır.
Yürürlük 
MADDE 13 - (1) Bu usul ve esaslar yayımı tarihinde yürürlüğe girer.
Yürütme 
MADDE 14 - (1) Bu usul ve esaslar hükümlerini Enerji Piyasası Düzenleme Kurumu Başkanı yürütür.