İçme Suyu Tesisi Güvenliği: Arıtma, Pompa İstasyonu, Depo ve Baraj İçin Kamera, Gaz Algılama ve Ağ Ayrımı

Su altyapısı neden kritik altyapı sayılır ve hangi riskler öne çıkar?

Su altyapısı, kesintisi ya da kirlenmesi doğrudan halk sağlığını etkilediği için kritik altyapı niteliği taşır. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) bu sektörü fiziksel saldırılara, siber saldırılara ve zararlı maddelerle kirletmeye karşı hassas olarak tanımlar; doğal afetler de ayrı bir risk başlığıdır. Güvenlik tasarımı bu yüzden yalnızca hırsızlığı değil, kasıtlı müdahaleyi, kimyasal kazayı ve kontrol sistemi ihlalini birlikte düşünmelidir.

Tesis tipine göre risk dağılımı değişir. Şehir içindeki arıtma tesisi personelli ve aydınlıktır; kuyu, terfi merkezi, dağ başındaki depo ve baraj gövdesi ise çoğu zaman gece boyunca sahipsizdir. Uzak sahada asıl sorun, bir olayın saatlerce fark edilmemesidir.

• Su kaynağına ve depo kapaklarına yetkisiz erişim: kuyu başlığı, kaptaj, depo gözü ve havalandırma bacası kirlenme noktalarıdır.
• Kimyasal depolar: klor gazı tüpleri, hipoklorit ve diğer arıtma kimyasalları hem kaza hem kötüye kullanım riski taşır.
• Enerji ve kablo hırsızlığı: pompa, trafo ve pano sahalarında bakır hırsızlığı su kesintisine yol açar.
• Kontrol sistemi: SCADA, PLC ve uzaktan erişim noktaları siber müdahaleye açıktır.
• İç tehdit ve ihmal: yetkisiz personel, ziyaretçi ve taşeron girişleri kayıt altına alınmazsa olay sonrası iz sürülemez.

Hangi mevzuat ve çerçeve bu tesisleri ilgilendirir?

Sağlık Bakanlığı'nın 17 Şubat 2005 tarihli ve 25730 sayılı Resmî Gazete'de yayımlanan İnsani Tüketim Amaçlı Sular Hakkında Yönetmeliği, içme suyunun sağlığa uygun ve temiz olmasını zorunlu kılar. Yönetmelik, su koruma alanına insan, hayvan ve sel sularının girmesinin önlenmesini, depo havalandırma bacalarının dışarıdan su, yabancı madde, haşere ve kemirgen girişini engelleyecek biçimde yapılmasını ve uç noktada serbest klorun 0,2–0,5 mg/L aralığında tutulup her gün ölçülmesini düzenler. Hizmetin sorumlusu, ilgili belediye ya da il özel idaresi gibi mahalli idaredir. Bu hükümler önlemin amacını koyar; hangi teknolojiyle sağlanacağını tesisin risk analizi ve idarenin şartnamesi belirler.

7545 sayılı Siber Güvenlik Kanunu (19 Mart 2025 tarihli, 32846 sayılı Resmî Gazete) kritik altyapıyı, işlediği bilginin gizliliği, bütünlüğü veya erişilebilirliği bozulduğunda can kaybına, büyük ekonomik zarara veya kamu düzeninin bozulmasına yol açabilecek bilişim sistemlerini barındıran altyapılar olarak tanımlar. Kanunun 7. maddesine göre kapsamdaki kurumlar, zafiyet ve siber olayları gecikmeksizin Siber Güvenlik Başkanlığı'na bildirmek ve ürün, sistem ve hizmetleri Başkanlıkça yetkilendirilmiş ve belgelendirilmiş tedarikçilerden temin etmekle yükümlüdür. Bir su idaresinin bu kapsamda olup olmadığını Başkanlığın kritik altyapı belirlemesi ortaya koyar.

Fiziksel korumada ise 5188 sayılı Özel Güvenlik Hizmetlerine Dair Kanun'un uygulama yönetmeliği, kurumların özel güvenlik hizmetini kendi bünyesindeki birimle ya da şirketlerden hizmet alarak sağlayabileceğini ve hizmeti veren birimin koruma ve güvenlik planı hazırlaması gerektiğini düzenler. Uluslararası tarafta Dünya Sağlık Örgütü (DSÖ) Su Güvenliği Planı yaklaşımı, riski kaynaktan musluğa kadar tüm zincirde değerlendirmeyi önerir; kontrol önlemleri bu risk analizinden çıkar.

Baraj, DSİ ya da büyükşehir su idareleri gibi kurumların kendi şartnameleri ve iç güvenlik talimatları ayrıca geçerlidir. Bu yazı belirli bir kurumun şartname maddelerini aktarmaz; ihale dosyasındaki güncel şartname her zaman esastır.

Çevre koruma: ışın bariyeri, termal kamera ve hareket analizi nasıl birlikte kurulur?

Geniş açık sahalarda çevre koruma tek bir cihazla değil, birbirini doğrulayan katmanlarla kurulur. Ağaç, hayvan, rüzgâr ve yağış yanlış alarm üretir; bu yüzden bir sensör alarmı üretir, kamera onu görüntüyle doğrular. Ayrıntılar için ışın bariyeri ve çevre güvenliği sensörleri ile termal kamera rehberlerine bakılabilir.

Kamera yerleşiminde tespit mesafesi EN 62676-4'teki DORI yaklaşımıyla hesaplanır: tespit için yaklaşık 25, gözlem için 62,5, tanıma için 125 ve kimlik belirleme için 250 piksel/metre aranır. Çit hattında amaç çoğu zaman kimlik değil, tespit ve gözlemdir; kapı, kimyasal depo ve kontrol odası girişlerinde ise tanıma düzeyi hedeflenir.

• Çit hattı: çok ışınlı aktif kızılötesi bariyer ya da çit üstü titreşim algılama ilk alarmı verir.
• Termal kamera: gece ve sisli havada insan ile hayvanı ayırır; sahada yanlış alarmı ciddi ölçüde azaltır.
• Video analitiği: hat ihlali ve bölgeye giriş kuralları yalnız tanımlı saatlerde ve tanımlı bölgelerde çalıştırılır.
• Dış mekân dayanımı: IEC 60529 IP sınıfı (toz ve su) ile darbe dayanımı birlikte şartnamede istenir; baraj gövdesi ve gölet kenarında nem ve donma koşulları ayrıca düşünülür.

Klor gazı depolama: gaz algılama ve havalandırma nasıl kurgulanır?

Klor gazı depolanan odada gaz algılama, sesli ve görsel alarm ile havalandırma birbirine bağlı tek bir güvenlik zinciri olarak tasarlanmalıdır. Klor havadan yaklaşık 2,47 kat ağırdır; sızıntı zemine çöker ve çukur, rögar ya da alçak noktalarda birikir. Bu yüzden elektrokimyasal klor sensörü zemine yakın, sızıntı olasılığı olan vana ve tüp bölgesine konumlandırılır.

ABD Ulusal İş Güvenliği ve Sağlığı Enstitüsü (NIOSH) klor için 15 dakikalık tavan değerini 0,5 ppm, OSHA ise tavan sınırını 1 ppm olarak yayımlar; anında yaşam ve sağlık için tehlikeli (IDLH) düzey 10 ppm'dir. Belirti olarak göz, burun ve boğaz yanması, öksürük ve göğüs ağrısı sayılır. Ülkemizde geçerli sınır değerler ve alarm eşikleri için iş sağlığı ve güvenliği mevzuatı ile tesisin risk değerlendirmesi esas alınmalıdır.

• Çift alarm eşiği: düşük seviyede uyarı, yüksek seviyede acil alarm ve havalandırmanın otomatik devreye girmesi.
• Dışarıdan görülen uyarı: kapı dışında yanıp sönen ışık ve siren; personel odaya girmeden durumu görür.
• Havalandırma: egzoz hava alımı zemine yakın, temiz hava girişi yukarıda; havalandırma gaz alarmına bağlanır.
• Sensör bakımı ve kalibrasyon: elektrokimyasal sensörlerin ömrü sınırlıdır; üretici talimatına göre test ve kalibrasyon kaydı tutulur.
• Uzağa bildirim: gaz alarmı SCADA ya da ayrı bir GSM modülüyle nöbetçi personele iletilir.
• Kimyasal depo kapısı: geçiş kontrollü olur, girişler kayıt altına alınır ve kapı açık kalma alarmı kurulur.

Giriş-çıkış geçiş kontrolü: kapı, depo kapağı ve kuyu başlığı

Su tesislerinde geçiş kontrolü yalnız ana kapıyı değil, suya ya da kimyasala temas edilebilecek her açıklığı kapsamalıdır. Kart ya da PIN okuyucu, kimin hangi alana ne zaman girdiğini kaydeder; EN 60839-11 serisi elektronik geçiş kontrol sistemleri için temel standart ailesidir. Personel, taşeron ve ziyaretçi için ayrı yetki profilleri tanımlanır.

Depo kapakları, kuyu başlıkları ve kaptaj kapakları için mekanik kilit tek başına yeterli değildir; manyetik kontak ya da kapak açma sensörü açılışı alarma çevirir. Kapak, pompa ve kimyasal alan için bakım gerektiğinde alarmın bilinçli olarak devre dışı bırakılması ve bunun kayda geçmesi gerekir.

• Ana kapı ve araç girişi: plaka tanıma ya da kartlı bariyerle araç kaydı; ziyaretçi eşlikli girer.
• Kimyasal depo, klor odası ve kontrol odası: yalnız yetkili listesine açık, kapı açık kalma alarmlı.
• Depo ve kuyu kapakları: kapak kontağı, gerekirse titreşim sensörü ve yakın kamera.
• Elektrik kesintisi: elektrik kesintisinde kapı kilitlerinin güvenli açılma ya da kilitli kalma davranışı baştan belirlenir; yangın ve tahliye gereği önceliklidir.

SCADA ağını kamera ağından ayırmak ve siber güvenlik

Kamera ağı ile SCADA ağı fiziksel ya da mantıksal olarak ayrı tutulmalı, aralarındaki trafik güvenlik duvarıyla yalnız gerekli yönde ve gerekli portlarla geçirilmelidir. Kamera ve NVR, internete açılabilen ve çoğu zaman varsayılan şifreyle bırakılan cihazlardır; aynı ağda duran bir PLC için bu, açık kapı demektir. IEC 62443 serisi endüstriyel otomasyon ve kontrol sistemlerinin güvenliği için gereksinimleri ve süreçleri tanımlar; risk değerlendirmesi ve sistemin güvenlik bölgelerine ayrılması bu serinin sistem tasarımı bölümlerinde ele alınır.

CISA'nın su sistemleri için yayımladığı öncelikli siber eylemler arasında internete maruziyeti sınırlamak, varsayılan şifreleri hemen değiştirmek, OT ve BT varlık envanteri çıkarmak, olay müdahale ve kurtarma planlarını yazıp tatbik etmek, sistemleri yedeklemek ve personeli eğitmek bulunur. Kamera tarafındaki ayrıntılar için IP kamera siber güvenliği rehberi de faydalıdır.

• Ayrı VLAN ve güvenlik duvarı: kamera, SCADA ve ofis ağları ayrı bölgelerde; bölgeler arası kurallar yazılı.
• Doğrudan internet erişimi yok: uzaktan erişim yalnız VPN ve çok faktörlü doğrulama ile; port yönlendirme kullanılmaz.
• Şifre ve hesap: varsayılan şifreler değişir, kişi bazlı hesap kullanılır, kullanılmayan hesaplar kapatılır.
• Yazılım güncelleme: kamera ve NVR bellenimleri test edilerek güncellenir, açıklara karşı üretici duyuruları izlenir.
• Kayıt ve log: yönetici girişleri, ayar değişiklikleri ve erişim denemeleri kaydedilir.

Uzak sahalar: güneş enerjili ve 4G kamera ile alarm

Şebeke ve fiber hattı olmayan kuyu, depo ve terfi sahalarında güneş enerjili 4G kamera ve alarm, ihlali nöbetçiye ileten pratik bir çözümdür; ancak enerji bütçesi hesabı yapılmadan kurulursa kış aylarında devre dışı kalır. Ayrıntılı kurulum için güneş enerjili 4G kamera rehberi, uzak sahaların benzer risklerini ele alan baz istasyonu ve telekom sahası güvenliği yazısıyla birlikte okunabilir.

Hesap yöntemi şöyledir: günlük enerji (Wh) = toplam güç (W) × 24. Akü kapasitesi (Ah) = günlük Wh × otonomi günü ÷ (akü voltajı × kullanılabilir deşarj derinliği). Panel gücü (W) = günlük Wh ÷ (en kötü ayın tepe güneşlenme saati × sistem verimi, yaklaşık 0,7). Örnek: kamera, yönlendirici ve sensörler toplam 12 W çekiyorsa günlük 288 Wh gerekir; 3 gün otonomi, 12,8 V LiFePO4 akü ve 0,8 deşarj derinliğiyle yaklaşık 85 Ah, yani 100 Ah'lik akü seçilir. Kış ayında 2,5 saat tepe güneşlenme varsayılırsa panel yaklaşık 165 W gerektirir; pratikte 200 W'lık panel seçilir.

• Mobil veri: sürekli yayın yerine olay anında klip ve fotoğraf gönderimi veri kotasını korur.
• Çift operatör ya da yedek hat: tek operatörün kapsama sorunu alarmı sessiz bırakır; bağlantı kopma alarmı kurulur.
• Enerji izleme: akü gerilimi uzaktan görülür, düşük seviyede uyarı gelir.
• Ağ ayrımı: 4G cihazlar SCADA hattına bağlanmaz; ayrı abonelik ve ayrı yönetim kullanılır.

Kurumsal şartnamelerde genellikle hangi başlıklar aranır?

Kamu su idarelerinin ve büyük işletmelerin güvenlik şartnameleri genellikle sistemin standartlara uygunluğunu, dayanıklılığını ve işletme sürekliliğini sorgular; yine de her idarenin metni farklıdır ve güncel şartname esas alınmalıdır. Aşağıdaki başlıklar tipik beklentilerin özetidir, belirli bir kurumun resmî listesi değildir.

• Standart uyumu: EN 62676 (görüntü gözetim), EN 60839-11 (geçiş kontrol), EN 50131 (hırsız alarm), EN 54 (yangın algılama), IEC 60529 (IP sınıfı).
• Birlikte çalışabilirlik: ONVIF desteği, H.265 sıkıştırma, açık entegrasyon arayüzü.
• Güç: IEEE 802.3af/at/bt PoE bütçesi, kesintisiz güç kaynağı süresi ve jeneratör geçişi.
• Kayıt: yedekli depolama (RAID), kayıt saklama süresi, saat senkronizasyonu ve kayıt dışa aktarma.
• Siber güvenlik: ağ bölümleme, rol bazlı yetki, log, şifreleme ve güncelleme politikası.
• Test ve kabul: fabrika ve saha kabul testleri, bakım sözleşmesi, yedek parça ve eğitim.

Bayifi bu süreçte nerede yer alır?

Bayifi bir kurulum şirketi değil, güvenlik sektöründe kurulumcular ile toptancıları buluşturan bir pazar yeri ve dizindir. Kendi bölgenizdeki kurulumcuları bayiler dizininden inceleyebilir, kamera, termal çözüm ve alarm ürünlerini toptancıların anlık stoklarıyla pazar sayfasında görebilirsiniz. Bu alanda çalışan bir firmaysanız Bayifi'ye kaydolarak listelenebilirsiniz.