Makine Üreticisine Güvenli Uzaktan Erişim

Yeni bir makine kurulduğunda üretici hemen hemen her zaman aynı şeyi ister: arıza durumunda uzaktan bağlanabilmek. Talep makul; yurt dışından uçak bekleyerek geçen üç gün yerine yarım saatte çözülen arıza herkesin işine gelir.

Sorun talepte değil, uygulamada. Çoğu fabrikada bu iş şöyle çözülür: makinenin yanına üreticinin getirdiği bir kutu takılır, kendi hattıyla internete çıkar ve orada yıllarca unutulur. Kimin, ne zaman, neye bağlandığını kimse bilmez. O kutu aynı anda hem makineye hem ofis ağına bakıyorsa, fabrikanın dışa açılan ikinci bir kapısı var demektir ve bu kapının anahtarı sizde değildir.

Kötü çözümler neden kötü

• Sürekli açık uzak masaüstü programı. Operatör bilgisayarında açık duran bir uzak erişim yazılımı, parolası paylaşıldığı için herkesin girebildiği bir kapıya dönüşür.
• Üreticinin kendi hattıyla internete çıkan kutusu. Sizin güvenlik duvarınızı hiç görmez, kayıt tutmaz, kapatılmasını isteyeceğiniz gün nasıl kapatılacağı bile belirsizdir.
• Ortak hesap. "Servis" adında tek bir hesabı beş kişi kullanıyorsa, bir olaydan sonra kimin bağlandığını söylemek mümkün değildir.
• Ofis ağına açılan bağlantı. Üreticinin ihtiyacı tek bir makinedir; muhasebe sunucusunu görmesi için hiçbir sebep yoktur.

Çalışan düzen: kapıyı istendiğinde aç

Amaç erişimi engellemek değil, kontrollü hâle getirmek. Sahada işleyen model şöyle:

• Erişim talep üzerine açılır. Üretici arıza bildirdiğinde bağlantı açılır, iş bitince kapatılır. Kalıcı açık bir yol bulunmaz.
• Kişiye özel hesap ve ikinci doğrulama. Bağlanan kişi bellidir; parola tek başına yeterli değildir.
• Yalnız o makineye erişim. Bağlantı, makinenin bulunduğu ağ bölümüyle sınırlanır; ofis ağını ve diğer hatları görmez.
• Süre sınırı. Erişim birkaç saatlik pencerede tanımlanır, süre dolunca kendiliğinden kapanır.
• Kayıt. Kim, ne zaman, ne kadar süre bağlandı; mümkünse oturum kaydı tutulur. Bu kayıt hem sizi hem üreticiyi korur.
• Fabrikada bir sorumlu. Bağlantı sırasında makinenin başında biri bulunur; uzaktan yapılan bir değişiklik hattı hareket ettirebilir.

Üretici kendi kutusunu getirmekte ısrar ederse

Bazı üreticiler kendi uzaktan erişim donanımlarını şart koşar. Bu durumda pazarlık edilecek noktalar şunlardır: kutu ofis ağına değil yalnız makine ağına bağlanır, internete sizin güvenlik duvarınızın arkasından çıkar, bağlantı yalnız ihtiyaç anında etkinleştirilir ve kutunun yönetim parolası sizde de bulunur. Bunların hiçbiri kabul edilmiyorsa, kutuyu ayrı bir hatta almak ve makine ağından da izole etmek son çaredir.

Sözleşmeye yazılacak üç madde

• Uzaktan erişim yalnız fabrikanın onayıyla ve talep üzerine açılır.
• Bağlantı kişiye özel hesapla yapılır; hesap paylaşılmaz.
• Yapılan değişiklikler yazılı olarak bildirilir; program değişikliği sonrası güncel proje dosyası teslim edilir.

Üçüncü madde, kart arızasında yaşanan "program nerede" sorununu da baştan çözer.

Yamanlar Bilişim nasıl destek sağlar

Yaptığımız iş, bu erişim yolunu kurmak ve kayda bağlamaktır: makine ağının ayrılması, talep üzerine açılan sınırlı erişim, kişiye özel hesaplar, bağlantı kayıtları ve üreticiyle paylaşılacak kısa bir kullanım notu. Makinenin programına müdahale etmiyoruz. Ağ tarafının genel düzeni ağ altyapısı kurulumu, erişim ve izleme tarafı kurumsal siber güvenlik hizmetimizde; üretim tesislerine özel işler üretim ve atölye çözümleri sayfasında.

Sık sorulan sorular