Gıda savunması, ürüne kasıtlı olarak zarar verme girişimlerine karşı alınan önlemleri kapsar. Bu planlar çoğu işletmede fiziksel güvenlik ekseninde hazırlanır: çit, kilit, kamera, ziyaretçi ve personel kontrolü. Oysa bugün bir üretim hattının sıcaklığı, dozajı, pastörizasyon süresi ve etiketi büyük ölçüde yazılımla yönetiliyor. Saldırgan için kapıdan girmek artık tek yol değil.
PAS 96:2026 tehdidi nasıl tanımlıyor?
İngiliz Standartlar Enstitüsü'nün (BSI) gıda savunması kılavuzu PAS 96, 2026 sürümünde siber saldırıyı gıda ve içeceğe yönelik kasıtlı tehdit türleri arasında açıkça ele alıyor. Kılavuzun ekindeki vaka örnekleri, riskin teorik olmadığını gösteriyor:
2023, kanatlı işleme tesisi: Operasyonel teknoloji (OT) ağına yapılan saldırıyla dozaj sisteminin hedef alınması. Bir dozaj set değerinin değişmesi, doğrudan ürün güvenliği meselesidir.
2021, et işleyicisi: Fidye yazılımı saldırısı nedeniyle üretimin durması.
2022, süt tozu tedariki: İş e-postası ele geçirilerek (BEC) yaklaşık 600.000 dolarlık sahte siparişle ürün dolandırıcılığı.
Bu örneklerin ortak noktası, saldırının fiziksel erişim gerektirmemesi ve gıda güvenliği ekibinin çoğu zaman olayı bilgi teknolojileri ekibinden sonra öğrenmesidir.
Bilimsel çerçeve: siber-biyogüvenlik
Duncan ve arkadaşları (2019), gıda ve tarım sistemlerinde dijital ve biyolojik risklerin kesişimini "siber-biyogüvenlik" kavramıyla ele alır. Yazarlara göre sensörler, otomasyon ve uzaktan izleme sistemleri verimliliği artırırken yeni bir saldırı yüzeyi oluşturuyor; bu yüzey çoğunlukla ne bilgi teknolojileri ne de gıda güvenliği ekibinin tam sahipliğinde. Önerilen yaklaşım, iki disiplinin ortak risk değerlendirmesi yapmasıdır.
GFSI onaylı standartlar ne istiyor?
BRCGS Gıda Güvenliği v9 (madde 4.2.2 – 4.2.4): Kasıtlı bulaşma veya zarar verme girişimine karşı iç ve dış tehditleri içeren bir tehdit değerlendirmesi yapılır; çıktısı dokümante edilmiş gıda savunma planıdır. Plan yılda en az bir kez ve yeni bir risk ortaya çıktığında ya da bir olay yaşandığında gözden geçirilir.
IFS Food v8 (madde 4.21.2 / 4.21.3): Potansiyel tehditleri tanımlamak için gıda savunma prosedürü ve planı uygulanır; kritik alanlar ve erişim politikası kapsanır. Planın etkinliği 12 ayda en az bir kez ve önemli değişikliklerde test edilir.
FSSC 22000 (ISO 22002-100:2025, madde 16): Ürünler sabotaj, kurcalama, yanlış etiketleme ve sahtecilik gibi kasıtlı eylemlere karşı korunur; gizli bilgilerin kontrolü de önlemler arasında sayılır.
ISO 22000:2018 (madde 4.1, not): Kuruluşun bağlamı belirlenirken dikkate alınacak konular arasında siber güvenlik açıkça sayılır.
BRCGS ve IFS "siber" kelimesini doğrudan kullanmasa da "iç ve dış tehdit" ve "kritik alanlara erişim" kavramları yazılım ve uzaktan erişimi kapsayacak kadar geniştir. Denetimlerde siber erişimin gıda savunma planında değerlendirilip değerlendirilmediği giderek daha sık sorulacak bir konu.
Avrupa Birliği'nde NIS2 Direktifi (AB) 2022/2555, gıda üretimi, işlenmesi ve dağıtımını kapsamına aldığı sektörler arasında sayar. AB'li müşterilerin tedarikçisi olan işletmeler için bu, müşteri denetimlerinde siber güvenlik sorularının artması demek.
Gıda savunması ve gıda sahteciliği: ortak nokta kasıt
Spink ve Moyer (2011), gıda kaynaklı riskleri kasıt ve motivasyona göre ayırır: Gıda güvenliği kasıtsız tehlikeleri, gıda savunması zarar verme amaçlı kasıtlı eylemleri, gıda sahteciliği ise ekonomik kazanç için yapılan kasıtlı eylemleri kapsar. Kasıtlı risklerde önlem, saldırganın fırsatını ve erişimini azaltmaya odaklanır. Siber erişim de bu fırsatlardan biridir: Uzaktan değiştirilen bir reçete, sıcaklık set değeri ya da etiket şablonu hem savunma hem sahtecilik senaryosu olabilir.
Pratik adımlar
Gıda savunması ekibine bilgi teknolojileri sorumlusunu ekleyin.
Kritik kontrol noktalarını ve ön gereksinim programlarını yöneten yazılım ve cihazların envanterini çıkarın: sıcaklık izleme, pastörizasyon, dozaj, CIP, metal dedektörü, etiket ve tarih kodlayıcı.
Bu sistemlere kimin, nereden ve hangi yetkiyle eriştiğini belirleyin; uzaktan erişimi ve varsayılan şifreleri gözden geçirin.
Kritik parametrelerde yazılımdan bağımsız bir doğrulama planlayın: manuel ölçüm ya da bağımsız veri kaydedici.
Siber olayı kriz yönetimi ve geri çağırma senaryolarına ekleyin; standartların istediği yıllık gözden geçirme ve testte bu senaryoyu da kullanın.
Personeli sahte e-posta ve ödeme talimatı değişikliklerine karşı bilgilendirin; tedarikçi banka bilgisi değişikliklerini ikinci bir kanaldan teyit edin.
Devamı için
PAS 96:2026 yaklaşımını tehdit değerlendirmesinden tatbikata kadar uygulamalı olarak ele aldığımız eğitim: Gıda Savunması (TACCP) Eğitimi (PAS 96:2026 Temelli).
Kaynaklar
BSI. PAS 96:2026 Guide to protecting and defending food and drink from deliberate attack. British Standards Institution, Londra, 2026. Ek B (vaka örnekleri) ve Ek J (bilgi kaynakları).
BRCGS. Gıda Güvenliği Küresel Standardı, Versiyon 9. Londra, 2022. Madde 4.2.
IFS Management GmbH. IFS Food Versiyon 8. Berlin, 2023. Madde 4.21.
ISO 22002-100:2025. Prerequisite programmes on food safety — Part 100: Common requirements for the food supply chain. Madde 16. ISO, Cenevre.
ISO 22000:2018. Food safety management systems — Requirements for any organization in the food chain. Madde 4.1. ISO, Cenevre.
Duncan SE, Reinhard R, Williams RC, ve ark. Cyberbiosecurity: a new perspective on protecting U.S. food and agricultural system. Frontiers in Bioengineering and Biotechnology. 2019;7:63. doi:10.3389/fbioe.2019.00063
Spink J, Moyer DC. Defining the public health threat of food fraud. Journal of Food Science. 2011;76(9):R157–R163. doi:10.1111/j.1750-3841.2011.02417.x
Directive (EU) 2022/2555 of the European Parliament and of the Council (NIS2 Directive). Official Journal of the European Union, L 333, 27.12.2022.
National Cyber Security Centre (NCSC). Mitigating malware and ransomware attacks. https://www.ncsc.gov.uk/ransomware/home