OT (əməliyyat texnologiyaları) mühitlərində “nüfuzetmə testi” ifadəsi əksər rəhbərlərdə eyni reaksiyanı doğurur: “İstehsalı dayandırarmı?” Düzgün planlaşdırılmasa, bəli, risklidir. Düzgün metodologiya ilə aparıldıqda isə tam əksinə: İstehsalı dayandıra biləcək real hücum yollarını nəzarətli şəkildə üzə çıxarır və müəssisənin ən baha başa gələn riskini — plansız dayanmanı — azaldır.

OT-nin IT-dən fərqi budur: IT-də təhlükəsizlik boşluğu çox vaxt “məlumat sızması” deməkdir. OT-də isə təhlükəsizlik boşluğu fiziki proses və insan təhlükəsizliyi ilə birbaşa əlaqəlidir. PLC-yə yanlış əmrin göndərilməsi, HMI ekranının manipulyasiya edilməsi, proses parametrlərinin “səssizcə” dəyişdirilməsi keyfiyyəti aşağı salır, avadanlığı aşındırır, hətta qəzaya səbəb ola bilər. Buna görə də OT nüfuzetmə testi aqressiv port skanlarından və hər şeyə eksployt tətbiq etməkdən ibarət deyil. İstehsalat sahəsinin real şəraiti əsasında aparılır: giriş məhdudiyyətləri, texniki xidmət üçün ayrılmış vaxt intervalları, istehsal növbəsi, təhlükəsizlik bloklamaları, əvvəlki vəziyyətə qaytarma planı və ehtiyatla aparılan testlər.

Qorxulu ssenari belə başlayır: Subpodratçı texnik uzaqdan bağlantı üçün istifadə olunan “müvəqqəti” VPN hesabını işi bitdikdən sonra deaktiv etməyi unudur. Şifrə də “Oskon2025!” kimi təxmin edilə bilən bir şifrədir. Hücumçu bu hesabı ələ keçirir, VPN vasitəsilə OT şəbəkəsinə daxil olur. DMZ-dəki keçid serverində yenilənməmiş bir xidmət var. Oradan şəbəkədaxili yanal hərəkətlə idarəetmə şəbəkəsinə keçir. Məqsədi “səs-küy yaratmaq” deyil. Məqsədi istehsalı bir neçə saat sonra dayandıracaq şəkildə parametrləri dəyişdirməkdir: temperatur hədləri, PID sazlamaları, mühərrik sürətləri… İlk baxışda hər şey normal görünür. Məhsulun keyfiyyəti aşağı düşür, yararsız məhsul artır, yastıqlar qızır, texniki xidmət xərcləri kəskin artır. Həmin an heç kim “kiberhücum” demir; “əməliyyat prosesi pozulub” deyirlər. OT hücumlarının ən təhlükəli tərəfi məhz budur: səssiz sabotaj.

OT nüfuzetmə testinin məqsədi bu zəncirin hansı halqasının zəif olduğunu sübutlarla ortaya qoymaqdır. Yaxşı bir test aşağıdakıları əhatə edir:

Testin nəticəsi sadəcə “aşkarlanan boşluqların siyahısı” deyil. OT-də ən dəyərli nəticə hücum yolunun izahıdır: “Buradan daxil olmaq, buradan keçmək mümkündür, bu aktiv təsirə məruz qalır və nəticə budur.” Rəhbərlik üçün inandırıcı məqam məhz budur: Risk “nəzəri” olmaqdan çıxır, biznes itkisi ssenarisinə çevrilir. Məsələn, 2 saatlıq dayanma, X ton istehsal itkisi, SLA cəriməsi, növbədə əlavə iş saatları, material itkisi… Bu mənzərə büdcəni “təhlükəsizlik xərci” deyil, “dayanma xərclərinin qarşısını almaq üçün investisiya” halına gətirir.

Son söz: OT nüfuzetmə testi düzgün komanda, nəzarətli metod və yaxşı planla aparıldıqda müəssisənin “kor nöqtələrini” üzə çıxarır. Bədniyyətli şəxs bunu plansız və səs-küylü şəkildə deyil, səbirlə edir. Siz də bunu əvvəlcədən aşkar etməlisiniz.