Siber Güvenlik

Siber güvenlik neden anayasal bir devlet meselesidir?

Devletin vergi, nüfus, sağlık, adalet, enerji, haberleşme ve güvenlik hizmetleri giderek dijital sistemlere dayanır. Bu sistemlerden birinin uzun süre devre dışı kalması yalnız teknik bir arıza değil, kamu hizmetinin ve hatta anayasal kurumların çalışma kapasitesinin zedelenmesi anlamına gelebilir. Bu nedenle Madde 20 siber güvenliği dijital kamu altyapısı, kritik bilgi sistemleri ve veri egemenliğiyle birlikte korunan bir alan olarak düzenler.

Anayasal yaklaşımın önemli sonucu, siber güvenliğin yalnız teknik birimlere bırakılmamasıdır. Siyasi sorumluluk, uzmanlık, risk yönetimi, hukuk ve yargı denetimi aynı sistem içinde bulunmalıdır. Böylece güvenlik açığı “kimsenin sorumluluğunda olmayan teknik mesele” hâline gelemez.

Siber güvenlik ile dijital egemenlik arasındaki bağ nedir?

Dijital egemenlik, devletin kritik verileri ve bilgi altyapısı üzerinde hukuken ve fiilen karar verebilme kapasitesidir. Madde 20, bu altyapının denetimsiz yabancı veya özel tekellere bağımlı bırakılamayacağını söyler. Buradaki amaç dış dünyaya kapanmak değil, kritik bir sistemin güncelleme, erişim, anahtar yönetimi veya hizmet sürekliliğinin tek bir denetlenemeyen aktöre bağlı kalmasını önlemektir.

Bağımlılık değerlendirmesi teknoloji milliyetçiliğiyle değil somut riskle yapılmalıdır. Kaynak koduna erişim, veri yerleşimi, yedekleme, tedarikçi değiştirilebilirliği, kritik bileşenin ülkede üretilebilmesi ve kriz anında hizmetin sürdürülebilmesi birlikte değerlendirilmelidir.

Sivil otorite ve kurumsal sorumluluk nasıl kurulmalıdır?

Madde 81 siber güvenlik hizmetlerini Başbakanın sorumluluğu altında, sivil otoriteye, hukuka, haklara, tarafsızlığa, liyakate, ölçülülüğe ve yargı denetimine bağlar. Bu, güvenlik teşkilatının kendi başına sınırsız karar veren kapalı bir teknik merkez olamayacağı anlamına gelir. Yetki zinciri açık olmalı; saldırı önleme, olay müdahalesi, delil koruma ve hizmet geri kazanımı görevlerinin hangi kurumda olduğu önceden bilinmelidir.

Sorumluluk kadar koordinasyon da önemlidir. Kamu kurumları ayrı güvenlik standartlarıyla çalışırsa en zayıf kurum bütün sistemi etkileyebilir. Ortak asgari standart, olay bildirim düzeni, ortak tatbikat ve kritik olaylarda merkezi koordinasyon gerekir.

Güvenlik adına genel gözetim kurulabilir mi?

Hayır. Siber güvenliğin güçlü olması kişisel veri ve haberleşme güvencelerinin ortadan kalkması anlamına gelmez. Madde 20 kişisel verilerin belirli, açık ve meşru amaçlarla işlenmesini; keyfî kullanım ve genel gözetim rejimi kurulmamasını esas alır. Bu nedenle tehdit tespiti için toplanan teknik kayıtlar amaçla sınırlı, süreli ve denetlenebilir olmalıdır.

Bir güvenlik sistemi herkesi potansiyel şüpheli kabul eden sınırsız veri toplama düzenine dönüşürse anayasal denge bozulur. Müdahalenin kapsamı riskle orantılı olmalı, gereksiz veriler tutulmamalı ve kişiye ilişkin ağır sonuç doğuran işlemlerde etkili denetim bulunmalıdır.

Olay müdahalesinde hangi aşamalar önemlidir?

İyi siber güvenlik yalnız saldırıyı engellemeye değil, saldırı gerçekleştiğinde zararı sınırlamaya dayanır. Kurumların olay sınıflandırması, yetkili ekipleri, acil iletişim kanalları, yedek sistemleri ve geri dönüş planları önceden belirlenmelidir. Delillerin korunması ile hizmetin hızla ayağa kaldırılması arasında dengeli bir süreç kurulmalıdır.

Her olaydan sonra kök neden analizi yapılması da anayasal hesap verebilirliğin parçasıdır. Aynı güvenlik açığı tekrar ediyorsa sorun yalnız teknik personelde değil bütçe, yönetim, tedarik veya denetim modelinde olabilir. Tekrarlanan zafiyetlerin görünür ve ölçülebilir olması gerekir.

İnsan kaynağı ve yerli kapasite neden stratejik önemdedir?

Madde 82 siber güvenliği stratejik kapasite haritasının bir parçası sayar. Bu yaklaşım yalnız donanım satın almak yerine nitelikli uzman, araştırma kapasitesi, kritik yazılım bilgisi ve sürdürülebilir tedarik zinciri oluşturmayı gerektirir. Kurumun kullandığı sistemi anlayacak insan kaynağı yoksa teknik bağımsızlık kâğıt üzerinde kalabilir.

Yerli kapasite, her bileşenin mutlaka ülkede üretilmesi demek değildir. Kritik bağımlılıkların bilinmesi, alternatiflerin hazır tutulması ve kriz anında dış baskı veya tedarik kesintisi karşısında temel hizmetlerin sürdürülebilmesi anlamına gelir.

Vatandaş açısından başarılı siber güvenlik nasıl anlaşılır?

Vatandaş için başarı yalnız “saldırı olmadı” sonucu değildir. Kamu hizmetinin kesintisiz çalışması, kişisel verilerin korunması, veri ihlali olduğunda açık ve zamanında bilgilendirme yapılması ve hatanın tekrar etmemesi önemlidir. Kurumların güvenlik performansı, korunması gereken gizlilikler saklı kalmak üzere ölçülebilir göstergelerle izlenmelidir.

Anayasal sistemin hedefi korku üreten bir güvenlik devleti değil, tehditleri profesyonel biçimde yöneten güvenilir bir dijital devlettir. Güvenlik kapasitesi yükselirken hukuk ve temel hak güvenceleri de aynı ölçüde güçlü kalmalıdır.

Siber güvenlikte asgari standartlar nasıl belirlenmelidir?

Kamu kurumlarının tehdit düzeyi ve hizmet yapısı farklı olabilir; ancak kimlik doğrulama, yetki yönetimi, yama yönetimi, olay kaydı, yedekleme ve kritik erişim gibi temel alanlarda ortak asgari standart bulunmalıdır. Standartlar yalnız belge üretmek için değil, teknik olarak doğrulanabilir ölçütlere bağlanmalıdır. Kurumun “uyumluyum” demesi yeterli olmamalı; bağımsız testler ve tatbikatlar gerçek dayanıklılığı göstermelidir.

Aynı zamanda standartlar teknolojiyi dondurmamalıdır. Tehdit ortamı değiştikçe risk temelli güncelleme yapılmalı, eski mevzuat yüzünden yeni güvenlik yöntemlerinin uygulanması engellenmemelidir.

Tedarik zinciri saldırıları neden ayrıca ele alınmalıdır?

Siber risk yalnız kurumun kendi ağından doğmaz. Yazılım güncellemesi, bulut hizmeti, donanım bileşeni veya dış hizmet sağlayıcısı üzerinden sisteme sızılabilir. Bu nedenle kritik tedarikçilerin güvenlik kapasitesi, alt yüklenicileri ve olay bildirim sorumluluğu sözleşme aşamasında değerlendirilmelidir.

Tek bir tedarikçinin çok sayıda kamu kurumunda aynı anda kullanılması sistemik risk yaratabilir. Bu durumda alternatif ürün, acil geçiş planı ve teknik bağımsızlık kapasitesi önceden hazırlanmalıdır. Amaç piyasayı kapatmak değil, görünmeyen ortak bağımlılıkları yönetmektir.

Siber olaylarda kamuoyuna açıklama nasıl yapılmalıdır?

Her saldırı ayrıntısının hemen açıklanması güvenliği zedeleyebilir; ancak hiçbir bilgi vermemek de güven kaybına yol açar. Kamu kurumu olayın hizmete etkisini, kişisel veri riskini, alınan geçici önlemleri ve vatandaşın yapması gerekenleri gecikmeden açıklayabilmelidir. Teknik saldırı yöntemi gibi hassas ayrıntılar korunabilir.

Olay sonrasında daha kapsamlı değerlendirme yayımlanması kurumsal öğrenmeyi destekler. Açıklama kültürü başarısızlığı teşhir etmek için değil, kamu sorumluluğunu görünür kılmak ve benzer kurumların aynı hatayı tekrar etmesini önlemek için kullanılmalıdır.