Kritik Bilgi Sistemleri

Kritik bilgi sistemi nedir?

Bir bilgi sistemi, durması veya manipüle edilmesi temel kamu hizmetini, millî güvenliği ya da geniş bir vatandaş kitlesinin haklarını ciddi biçimde etkiliyorsa kritik nitelik kazanır. Nüfus, tapu, sağlık, vergi, adalet, seçim, enerji kontrolü veya temel haberleşme gibi sistemler bu değerlendirmede öne çıkabilir.

Kritiklik yalnız sistemin büyüklüğüne bağlı değildir. Küçük görünen bir kimlik doğrulama veya anahtar yönetim sistemi çok sayıda hizmetin ortak bağımlılığıysa zincirleme etki yaratabilir. Bu nedenle bilgi sistemi envanteri bağımlılık ilişkileriyle birlikte tutulmalıdır.

Verinin gizliliği kadar bütünlüğü neden önemlidir?

Bilgi güvenliği yalnız verinin başkaları tarafından görülmesini önlemek değildir. Verinin değiştirilmemesi, doğru kalması ve gerektiğinde erişilebilir olması da eşit derecede önemlidir. Bir sağlık kaydının sızması gizlilik ihlali; sessizce değiştirilmesi bütünlük ihlali; ihtiyaç anında açılamaması ise erişilebilirlik sorunudur.

Kritik sistemlerde bu üç boyut birlikte korunmalıdır. Güvenlik yatırımlarının yalnız gizliliğe odaklanması hizmet sürekliliği ve veri doğruluğu risklerini görünmez bırakabilir.

Kimlik ve yetki yönetimi nasıl kurulmalıdır?

Kritik bilgi sistemlerinde herkesin ihtiyacı kadar yetkiye sahip olması temel ilkedir. Tek bir kullanıcının sınırsız erişimi, kötü niyet veya hata hâlinde büyük zarar doğurabilir. Yetkiler görevle sınırlı, süreli ve düzenli gözden geçirilebilir olmalıdır. Hassas işlemlerde çift kontrol veya ayrıştırılmış görev modeli uygulanabilir.

Kimin hangi veriye ne zaman eriştiğinin kayıtlı olması da önemlidir. Kayıt sistemi yalnız sonradan suçlu aramak için değil, anormal davranışı erken fark etmek ve sistem tasarımındaki açıkları görmek için kullanılmalıdır.

Yedekleme gerçekten güvence sağlar mı?

Yedekleme ancak düzenli test ediliyorsa güvencedir. Aynı sistemde tutulan, aynı saldırıda şifrelenen veya geri yüklenemeyen yedekler kâğıt üzerinde vardır ama kriz anında işe yaramaz. Kritik sistemlerde yedeklerin coğrafi ve teknik olarak ayrıştırılması, geri dönüş süresinin ölçülmesi ve tatbikatla doğrulanması gerekir.

Ayrıca yalnız veri değil yapılandırma, erişim anahtarları, yazılım sürümleri ve kritik dokümantasyon da kurtarma planının parçası olmalıdır. Kurumsal hafıza tek personele veya tek tedarikçiye bağlı kalmamalıdır.

Tedarikçi bağımlılığı nasıl yönetilir?

Madde 20, kritik bilgi sistemlerinin denetimsiz yabancı veya özel tekellere bağımlı bırakılamayacağını açıkça belirtir. Bu hüküm, teknoloji alımını yasaklamak değil, devletin kritik sistemi üzerinde gerçek kontrolünü korumak anlamına gelir. Tedarikçi değiştirilebilirliği, veri taşınabilirliği, lisans sürekliliği ve acil durumda teknik erişim önceden değerlendirilmelidir.

Kapalı teknoloji tercihi yapılacaksa bunun riskleri ve alternatifleri bilinmelidir. Sözleşmeler yalnız satın alma fiyatına göre değil, yaşam döngüsü maliyeti, güvenlik güncellemesi, bağımlılık ve çıkış planına göre değerlendirilmelidir.

Kritik sistem değişiklikleri neden kontrollü yapılmalıdır?

En ciddi kesintiler her zaman saldırıdan doğmaz; hatalı güncelleme, yanlış yapılandırma veya acele veri taşıma da büyük hizmet kesintilerine yol açabilir. Bu nedenle kritik sistemlerde değişiklikler test, geri dönüş planı, yetkili onay ve kayıt düzenine bağlı olmalıdır.

Acil güvenlik güncellemesi gerektiğinde süreç hızlanabilir, fakat kontrol bütünüyle kalkmamalıdır. Değişikliğin nedeni, kapsamı ve sonucu sonradan denetlenebilir olmalıdır.

Vatandaş hangi güvenceyi beklemelidir?

Vatandaş, devlet sistemindeki kaydının doğru tutulmasını, izinsiz erişime karşı korunmasını ve hizmet gerektiğinde erişilebilir olmasını bekleyebilmelidir. Bir hata olduğunda düzeltme imkânı, veri ihlalinde uygun bilgilendirme ve hizmet kesintisinde alternatif işlem yolu bulunmalıdır.

Anayasal yaklaşımın özü teknolojiye kör güven değil, teknoloji üzerinde hukuki ve kurumsal kontrol kurmaktır. Kritik bilgi sistemi güvenliği; teknik uzmanlık, liyakat, kayıt, yedeklilik, tedarik bağımsızlığı ve etkili denetimin birlikte işlemesiyle sağlanır.

Veri merkezleri ve bulut hizmetleri nasıl değerlendirilmelidir?

Kritik sistemin fiziksel olarak kurum binasında bulunması tek başına güvenli olduğu anlamına gelmez; bulut kullanımı da kendiliğinden güvensiz değildir. Asıl soru verinin, erişim anahtarlarının, yedeklerin ve işletim kontrolünün kimde olduğu ve kriz anında hizmetin nasıl sürdürüleceğidir.

Bulut veya dış hizmet kullanıldığında veri taşınabilirliği, sözleşme sona erdiğinde geri alma, olay kaydına erişim ve hizmet sağlayıcının alt yüklenicileri açık biçimde değerlendirilmelidir. Kritik bilgi sistemi sözleşmesinde “çıkış planı” bulunması teknoloji bağımlılığını azaltır.

Kritik sistemlerde yazılım yaşam döngüsü neden önemlidir?

Destek süresi bitmiş işletim sistemi veya uygulama yeni güvenlik açıklarına karşı savunmasız kalabilir. Bu nedenle kritik yazılımların güncelleme takvimi, üretici desteği, bağımlı bileşenleri ve güvenlik açığı yönetimi envanterin parçası olmalıdır.

Yeni sürüme geçmek de kendi başına risklidir. Değişiklik kontrollü test ortamında denenmeli, geri dönüş seçeneği hazırlanmalı ve veri uyumluluğu doğrulanmalıdır. Güvenlik ile hizmet sürekliliği birlikte yönetilmelidir.

Veri bütünlüğü bozulduğunda ne yapılmalıdır?

Sistemin çalışıyor görünmesi verinin doğru olduğu anlamına gelmez. Sessiz veri manipülasyonu, özellikle tapu, sağlık, vergi veya adalet sistemlerinde hizmet kesintisinden daha ağır sonuç doğurabilir. Bu nedenle kritik kayıtların doğrulanabilir geçmişi, değişiklik izi ve gerektiğinde bağımsız karşılaştırma mekanizması bulunmalıdır.

Şüpheli bütünlük ihlalinde kurum yalnız hizmeti açık tutmaya odaklanmamalı; hangi kayıtların güvenilir olduğunun tespitini önceliklendirmelidir. Yanlış veri üzerinden işlem üretmeye devam etmek zararı büyütebilir.

Sistem sahipliği ve sorumluluk kimde olmalıdır?

Kritik bilgi sisteminde teknik işletmeci, veri sahibi kurum, güvenlik birimi ve karar makamının görevleri birbirinden ayrılmalıdır. “Sistemi dış firma işletiyor” veya “teknik birim bakıyor” gerekçesi kamu kurumunun anayasal sorumluluğunu ortadan kaldırmaz. İş hedefi, veri doğruluğu ve güvenlik riski için hesap verecek makam açık olmalıdır.

Bu ayrım olay anında da önemlidir. Kimin sistemi kapatma, yedeğe geçme, veri bütünlüğünü sorgulama veya vatandaşa bildirim yapma yetkisi olduğu önceden belirlenirse kriz sırasında karar gecikmesi azalır.

Eski sistemler nasıl dönüştürülmelidir?

Kamu kurumlarında yıllarca kullanılan eski bilgi sistemleri bir gecede değiştirilemeyebilir. Ancak destek almayan, belgelenmemiş veya tek kişiye bağımlı sistemler kritik risk olarak envantere alınmalıdır. Dönüşüm planı veri kaybı, hizmet kesintisi ve yeni tedarikçi bağımlılığı risklerini birlikte yönetmelidir.

Geçiş döneminde eski ve yeni sistemin paralel çalışması gerekebilir. Bu süreç süresiz bırakılmamalı; doğrulama ölçütü, veri mutabakatı ve kapanış tarihi açıkça belirlenmelidir.