Kritik Altyapı Güvenliği

Bir altyapıyı “kritik” yapan nedir?

Her kamu tesisi veya özel işletme kritik altyapı değildir. Bir sistemin kritik sayılması, kesintisinin insan hayatı, millî güvenlik, kamu düzeni, temel hizmetler veya ekonomik süreklilik üzerinde ağır ve zincirleme sonuç doğurmasına bağlıdır. Bu nedenle kritik altyapı listeleri alışkanlıkla değil, ölçülebilir etki ve bağımlılık analiziyle oluşturulmalıdır.

Enerji şebekesi, içme suyu sistemi veya ana haberleşme omurgası gibi altyapılar başka birçok hizmetin de ön şartıdır. Kritikliği belirlerken yalnız tesisin kendisi değil, onun bağlı olduğu veri merkezi, lojistik hattı, yazılım, enerji kaynağı ve insan gücü de birlikte değerlendirilmelidir.

Fiziksel güvenlik ile siber güvenlik neden birlikte düşünülmelidir?

Modern altyapılar fiziksel tesislerle dijital kontrol sistemlerinin birleşimidir. Elektrik üretim tesisinin fiziksel olarak korunması, kontrol yazılımı uzaktan ele geçirilebiliyorsa tek başına yeterli değildir. Aynı şekilde güçlü siber koruma, tesisin enerji, su veya iletişim bağlantıları tek noktadan kesilebiliyorsa eksik kalır.

Bu nedenle koruma modeli fiziksel erişim, ağ güvenliği, yedek güç, haberleşme, tedarik, personel güvenilirliği ve acil müdahale planını aynı risk haritasında birleştirmelidir. Kurumlar arasındaki sınırlar bu bütünlüğü parçalamamalıdır.

Tek noktaya bağımlılık nasıl azaltılır?

Kritik altyapıda en tehlikeli sorunlardan biri tek arıza noktasının bulunmasıdır. Tek veri merkezi, tek enerji hattı, tek tedarikçi veya tek iletişim kanalı arızalandığında bütün hizmet duruyorsa sistem kırılgandır. Dayanıklılık için coğrafi yedeklilik, alternatif tedarik, bağımsız yedekleme ve elle işletim imkânı gibi seçenekler önceden planlanmalıdır.

Madde 82’nin stratejik kapasite yaklaşımı bu bağımlılıkların açıkça haritalanmasını gerektirir. Riskin bilinmesi, bütçe ve yatırım önceliklerinin gerçek ihtiyaçlara göre belirlenmesini sağlar.

Özel işletmelerin işlettiği kritik altyapı nasıl denetlenir?

Kritik altyapının özel şirket tarafından işletilmesi kamusal güvenlik sorumluluğunu ortadan kaldırmaz. Devlet açık güvenlik standardı, olay bildirim yükümlülüğü, süreklilik planı ve bağımsız denetim mekanizması kurmalıdır. Ancak düzenleme özel işletmenin ticari karar alanını gereksiz biçimde ortadan kaldırmamalıdır.

Madde 20’nin denetimsiz yabancı veya özel tekele bağımlılık yasağı burada önem kazanır. Sorun özel mülkiyet değil, kamusal sonuç doğuran kritik bir işlevin denetlenemeyen tek aktöre bırakılmasıdır.

Kritik altyapı bilgileri ne kadar açık olmalıdır?

Şeffaflık ile güvenlik arasında hassas bir sınır vardır. Kurumun güvenlik açıklarının, erişim anahtarlarının veya hassas tesis ayrıntılarının açık yayımlanması yeni risk doğurabilir. Buna karşılık “millî güvenlik” gerekçesiyle bütün denetim verisinin gizlenmesi de hesap verebilirliği ortadan kaldırır.

Madde 119 güvenlik kavramının soyut gerekçeyle sınırlama sebebi yapılamayacağını söyler. Bu nedenle hangi bilginin neden gizli tutulduğu somut olarak belirlenmeli; performans, harcama ve süreklilik göstergeleri mümkün olan ölçüde kamu denetimine açık kalmalıdır.

Afet ve saldırı anında hizmet nasıl sürdürülür?

Kritik altyapının kalitesi normal zamanda değil kriz anında ölçülür. Kurumlar kesinti senaryolarını, minimum hizmet seviyesini, öncelikli kullanıcıları ve alternatif operasyon yöntemlerini önceden belirlemelidir. Tatbikatlar yalnız masa başında değil gerçek bağımlılıkları test edecek şekilde yapılmalıdır.

Hizmet yeniden başlatıldığında yalnız sistemin çalışması yeterli değildir. Verinin bütünlüğü, güvenilir kayıtlar ve güvenlik açığının kapatılması doğrulanmalıdır. Aksi hâlde hızlı dönüş yeni bir saldırının kapısını açık bırakabilir.

Vatandaş için kritik altyapı güvenliği ne sağlar?

Vatandaş çoğu zaman kritik altyapıyı görünmez biçimde kullanır: musluktan su akması, hastanenin çalışması, haberleşmenin sürmesi ve ödeme sistemlerinin erişilebilir olması bu yapının sonucudur. Anayasal güvence, temel hizmetlerin tek bir hata veya kötü yönetim yüzünden geniş çapta çökmesini önlemeye yöneliktir.

Başarılı sistem, krizden sonra yalnız “hizmet geri geldi” demekle yetinmez; kesintinin nedenini, etkilenen alanı, alınan önlemi ve tekrar riskini denetlenebilir şekilde ortaya koyar. Böylece dayanıklılık sürekli öğrenen bir kamu kapasitesine dönüşür.

Kritik altyapı envanteri ne sıklıkla güncellenmelidir?

Kritik altyapı listesi bir kez hazırlanıp yıllarca değişmeden bırakılamaz. Yeni enerji kaynakları, veri merkezleri, bulut hizmetleri ve lojistik hatları zaman içinde sistemin merkezine yerleşebilir. Bu nedenle kritik varlık, bağımlılık ve tek arıza noktası envanteri düzenli olarak gözden geçirilmelidir.

Yeni bir yatırım yapılırken de kritik altyapıya bağımlılık etkisi değerlendirilmelidir. Bir bölgede bütün hizmetleri tek merkeze bağlayan ekonomik çözüm kısa vadede verimli görünse bile uzun vadede dayanıklılığı azaltabilir.

Bakım eksikliği bir güvenlik riski midir?

Evet. Kritik altyapı yalnız saldırı veya sabotajla çökmez; ertelenmiş bakım, yedek parça eksikliği ve personel yetersizliği de büyük kesintilere neden olabilir. Bu nedenle güvenlik bütçesi ile bakım bütçesi birbirinden kopuk düşünülmemelidir. Tesisin yaşam döngüsü, yenileme ihtiyacı ve kritik yedek parça stokları planlanmalıdır.

Performans göstergeleri yalnız arıza sayısını değil arıza süresini, bakım gecikmesini, yedek kapasiteyi ve geri kazanım süresini de ölçmelidir. Böylece “saldırı olmadı” diye kırılgan altyapı başarılı sayılmaz.

Kritik altyapıda insan faktörü nasıl yönetilir?

Teknik sistem ne kadar güçlü olursa olsun yanlış işlem, yetersiz eğitim veya kritik görevin tek kişide toplanması ciddi risk yaratabilir. Personelin görev ayrımı, güvenlik eğitimi, vardiya sürekliliği ve kriz anında yedek ekip düzeni önceden belirlenmelidir.

Hassas görevlere erişim güvenilirlik ölçütlerine bağlanabilir; ancak bu süreç keyfî fişlemeye dönüşmemelidir. Değerlendirme görevle ilgili, nesnel ve denetlenebilir kriterlere dayanmalı; personele karşı ayrımcı veya siyasi sadakat temelli bir güvenlik rejimi kurulmamalıdır.

Yatırım önceliği nasıl belirlenmelidir?

Bütün kritik altyapı risklerini aynı anda sıfırlamak mümkün değildir. Bu nedenle yatırım önceliği; arızanın olasılığı, olası can ve hizmet kaybı, alternatif kapasite, toparlanma süresi ve başka sistemlere etkisi birlikte hesaplanarak belirlenmelidir. En görünür projeye değil, en ağır sistemik riske kaynak ayrılması kamu yararına daha uygundur.

Bu değerlendirme bütçe kararını da denetlenebilir kılar. Hangi yatırımın hangi riski ne ölçüde azalttığı gösterilebildiğinde bakım, yenileme ve yedek kapasite harcamaları siyasi tercih listesinden çıkarak ölçülebilir dayanıklılık programına dönüşür.

Kriz sonrası inceleme nasıl yapılmalıdır?

Büyük kesinti sonrasında yalnız hizmeti geri getirmek yeterli değildir. Olayın teknik nedeni, yönetsel kararlar, gecikmiş bakım, tedarikçi sorumluluğu ve koordinasyon eksikleri ayrı ayrı incelenmelidir. İnceleme cezalandırma aracı değil, aynı arızanın tekrarını önleme mekanizması olmalıdır.

Kamuya açıklanabilecek bulgular şeffaf biçimde paylaşılmalı; güvenlik açısından sakıncalı teknik ayrıntılar ise yetkili denetim mercilerine açık tutulmalıdır. Böylece gizlilik, hesap vermezliğe dönüşmez.