Türkiye'de bu kapsamda yürürlüğe giren 7545 Sayılı Siber Güvenlik Kanunu, kurumların siber güvenlik alanındaki yükümlülüklerini yeniden şekillendiren önemli düzenlemelerden biri olarak değerlendiriliyor.

Peki bu kanun şirketler açısından ne ifade ediyor? Kurumlar hangi hazırlıkları yapmalı? Yeni dönemde hangi süreçler önem kazanacak?

Siber Güvenlik Neden Artık Bir Yönetim Konusu?

Geçmiş yıllarda birçok kurum için siber güvenlik yatırımları genellikle firewall, antivirüs veya ağ güvenliği cihazlarıyla sınırlıydı.

Ancak günümüzde saldırıların karmaşıklığı ciddi şekilde arttı.

Artık saldırganlar;

• Tedarik zincirlerini,
• Kimlik bilgilerini,
• Bulut altyapılarını,
• Endüstriyel kontrol sistemlerini,
• Kritik üretim hatlarını

hedef alabiliyor.

Bu nedenle modern siber güvenlik yaklaşımı yalnızca teknolojiyi değil; süreçleri, insan faktörünü ve yönetişimi de kapsıyor.

7545 Sayılı Kanun da tam olarak bu yaklaşımı benimseyerek kurumların yalnızca güvenlik ürünü kullanmasını değil, sürdürülebilir bir siber güvenlik yönetim modeli oluşturmasını hedefliyor.

Kanun Kurumlardan Ne Bekliyor?

Kanunun "Sorumluluklar ve İş Birliği" başlıklı hükümleri incelendiğinde üç temel yükümlülük öne çıkmaktadır.

1. Siber Olayların Bildirilmesi

Kurumların tespit ettikleri siber olayları ve güvenlik zafiyetlerini ilgili makamlara gecikmeksizin bildirmeleri beklenmektedir.

Ayrıca yetkili kurumlar tarafından talep edilen bilgi, belge, veri ve teknik desteğin zamanında sağlanması yükümlülükler arasında yer almaktadır.

2. Teknik ve İdari Tedbirlerin Alınması

Kanun yalnızca teknik çözümleri değil;

• güvenlik politikalarının hazırlanmasını,
• süreçlerin dokümante edilmesini,
• risk analizlerinin yapılmasını,
• güvenlik organizasyonunun oluşturulmasını,
• teknik kontrollerin uygulanmasını

da kapsamaktadır.

3. Kritik Altyapı Güvenliği

Özellikle kritik altyapılarda kullanılacak siber güvenlik ürünleri ve hizmetlerinin belirli kriterlere uygun şekilde temin edilmesi beklenmektedir.

İkincil düzenlemeler yayımlandıkça bu yükümlülüklerin daha ayrıntılı hale gelmesi öngörülmektedir.

İkincil Düzenlemeler Neden Önemli?

Kanunun temel çerçevesi yürürlüğe girmiş olsa da uygulamaya ilişkin birçok detayın ikincil düzenlemelerle netleşmesi beklenmektedir.

Bu nedenle birçok uzman, kurumların son düzenlemeleri beklemek yerine hazırlık çalışmalarına bugünden başlamasını öneriyor.

Özellikle aşağıdaki çalışmaların erken dönemde yapılması büyük avantaj sağlayabilir:

• Bilgi varlıklarının belirlenmesi
• Kritik sistemlerin sınıflandırılması
• Güvenlik olgunluk analizi
• Boşluk (Gap) analizi
• Risk değerlendirmeleri
• Güvenlik politikalarının güncellenmesi

SOME Yapıları Daha Fazla Önem Kazanacak

Kanunun en dikkat çeken başlıklarından biri de siber olay yönetimidir.

Bilgi ve İletişim Güvenliği Rehberi doğrultusunda kurumların;

• Siber Olaylara Müdahale Ekibi (SOME) oluşturması veya dış hizmet alması,
• Olay müdahale planları hazırlaması,
• İletişim zincirlerini belirlemesi,
• Olay raporlama süreçlerini standartlaştırması

önerilmektedir.

Bu yaklaşım yalnızca olaylara müdahale etmeyi değil, olaylara hazırlıklı olmayı da hedeflemektedir.

Denetim Süreçleri Nasıl Değişebilir?

Yeni dönemde denetimlerin yalnızca teknik altyapıya odaklanması beklenmiyor.

Aynı zamanda aşağıdaki başlıklar da önem kazanacaktır:

• Bilgi güvenliği politikaları
• Risk yönetimi süreçleri
• Personel farkındalık çalışmaları
• Olay kayıtları
• İç denetim mekanizmaları
• Süreç dokümantasyonu
• Varlık envanteri
• Yönetim onayları

Başka bir ifadeyle, "güvenlik ürünü satın almak" tek başına yeterli olmayacak; bu ürünlerin nasıl yönetildiği ve hangi süreçlerle desteklendiği de değerlendirilecektir.

Üretim Sektörü İçin Ne Anlama Geliyor?

Özellikle üretim tesisleri son yıllarda fidye yazılımı saldırılarının en fazla hedef aldığı sektörlerden biri haline geldi.

Bir üretim hattının birkaç saat durması bile milyonlarca liralık zarara neden olabiliyor.

Bu nedenle üretim şirketlerinin;

• OT (Operational Technology) güvenliği,
• Endüstriyel ağların ayrıştırılması,
• SCADA güvenliği,
• Merkezi log yönetimi,
• Sürekli güvenlik izleme

gibi konulara daha fazla yatırım yapması bekleniyor.

Siber Güvenlik Bir Proje Değil, Sürekli Bir Süreç

En önemli yanlış algılardan biri, siber güvenliği tek seferlik bir proje olarak görmektir.

Oysa tehditler sürekli değişmektedir.

Yeni zafiyetler ortaya çıkmakta, saldırı yöntemleri gelişmekte ve kurumların teknoloji altyapıları sürekli büyümektedir.

Bu nedenle başarılı bir güvenlik yaklaşımı;

• Sürekli izleme,
• Sürekli iyileştirme,
• Periyodik denetim,
• Düzenli eğitim,
• Güncel risk analizleri

üzerine kurulmalıdır.

Sonuç

7545 Sayılı Siber Güvenlik Kanunu, Türkiye'de kurumsal siber güvenlik yaklaşımında önemli bir dönüm noktası olarak değerlendirilmektedir.

Her ne kadar uygulamaya ilişkin ayrıntılar ikincil düzenlemelerle netleşecek olsa da, kurumların bugünden hazırlık yapmaya başlaması hem operasyonel hem de hukuki açıdan önemli avantajlar sağlayacaktır.

Siber güvenlik artık yalnızca BT ekiplerinin sorumluluğu değil; üst yönetimden insan kaynaklarına, hukuk biriminden operasyon ekiplerine kadar tüm organizasyonu ilgilendiren stratejik bir konu haline gelmiştir.

Yeni dönemde başarılı olacak kurumlar, güvenliği yalnızca teknoloji yatırımı olarak değil, kurumsal yönetişimin ayrılmaz bir parçası olarak görenler olacaktır.