What Do Organizations Using Local SIEM Gain?
Bu yazıda, Türkiye'deki siber güvenlik mevzuatının SIEM ile kesiştiği noktaları madde madde, yaptırımlarıyla birlikte ele alıyor ve yerli bir SIEM'in bu yükümlülükleri karşılamada neden pratikte fark yarattığını inceliyoruz.
7545 Sayılı Siber Güvenlik Kanunu: Kapsam ve Kurumsal Yapı
19 Mart 2025 tarihinde Resmî Gazete'de yayımlanarak yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu, Türkiye'de siber güvenlik alanını düzenleyen ilk kapsamlı yasal çerçeve niteliğinde. Kanun kapsamı oldukça geniş tutulmuş durumda: bilişim sistemleri üzerinden hizmet sunan veya veri işleyen kamu kurum ve kuruluşları, kamu kurumu niteliğindeki meslek kuruluşları, gerçek ve tüzel kişiler ile tüzel kişiliği bulunmayan kuruluşlar doğrudan kanun kapsamına giriyor. Bu da yalnızca devlet dairelerinin değil, dijital ortamda faaliyet gösteren geniş bir özel sektör yelpazesinin de düzenlemeye tabi olduğu anlamına geliyor.
Kanun ile kurulan Siber Güvenlik Başkanlığı; ulusal siber güvenlik politikalarını belirleme, tehditleri tespit etme, Siber Olaylara Müdahale Ekibi (SOME) yapılanmasını yönetme ve kritik altyapılara yönelik güvenlik seviyesini artırma gibi geniş yetkilerle donatılmış durumda. Başkanlığın kritik altyapılarda denetim yapma, bağımsız denetçi yetkilendirme ve gerektiğinde -hâkim kararı veya gecikmesinde sakınca bulunan hallerde savcı onayıyla- arama ve el koyma işlemleri gerçekleştirme yetkisi de bulunuyor.
Kanunun SIEM'i Doğrudan İlgilendiren Üç Yükümlülüğü
- 1. Yetkilendirilmiş tedarikçi kullanma zorunluluğu. Kritik altyapı kapsamındaki kurum ve şirketler, siber güvenlik ürün ve hizmetlerini yalnızca Başkanlık tarafından yetkilendirilmiş sağlayıcılardan temin etmek zorunda. Bu hüküm, SIEM dahil tüm güvenlik ürünlerinin tedarik sürecini doğrudan etkiliyor; kanunun gerekçesinde bu maddenin, benzer özellik ve kapasiteye sahip ürünler arasından yerli ve milli olanların tercih edilmesi gerekliliği şeklinde yorumlanması gerektiği özellikle belirtiliyor.
- 2. Zorunlu olay bildirimi. Bilişim sistemleri üzerinden hizmet sunan kurumların siber güvenlik açıklarını ve olaylarını Başkanlığa bildirme yükümlülüğü var. Bir SIEM olmadan bu bildirimi zamanında, doğru ve kanıtlanabilir şekilde yapmak son derece güç; çünkü bildirimin temelinde "olay ne zaman başladı, hangi sistemleri etkiledi, hangi veriler risk altındaydı" sorularına log tabanlı, zaman damgalı kanıtla cevap verebilmek yatıyor.
- 3. Denetimde iş birliği yükümlülüğü. Başkanlık denetçilerinin fiziki veya dijital ortama erişim talep etme yetkisi var; denetlenen taraf bu erişimi sağlamakla yükümlü. Merkezi bir SIEM olmadan, farklı sistemlerde dağınık duran logları denetim sırasında anlamlı ve tutarlı biçimde sunmak ciddi bir operasyonel yük haline geliyor.
Yaptırımlar: Rakamlar Ne Kadar Ciddi?
Kanunun caydırıcılık boyutu, birçok kurumun tahmin ettiğinden daha ağır. Denetimde iş birliği sağlanmaması halinde, bağımsız denetimden geçmiş yıllık brüt satış hasılatının yüzde beşine kadar idari para cezası uygulanabiliyor. Belirli yükümlülüklere aykırılık hallerinde idari para cezaları 1 milyon TL ile 100 milyon TL arasında değişebiliyor. Kabahatin işlenmesi nedeniyle bir menfaat temin edilmesi veya zarara sebebiyet verilmesi halinde ise ceza, bu menfaat veya zararın üç ila beş katına kadar çıkabiliyor.
Cezai hükümler de göz ardı edilmeyecek boyutta: kasıtlı veri sızıntısı veya yetkisiz erişim gibi fiiller için hapis cezaları öngörülüyor; sır saklama yükümlülüğünün ihlali, kişisel veya kritik kamu hizmeti kapsamındaki verilerin izinsiz paylaşılması veya satışa çıkarılması ve gerçeğe aykırı siber güvenlik verisi yayma fiilleri de ayrıca hapis cezasına tabi tutuluyor. Bildirim yapılmayan siber olaylarda ise idari para cezasının yanı sıra disiplin ve lisans iptali gibi yaptırımlar da gündeme gelebiliyor.
Bu tablo, kurumların "önce ceza gelsin sonra düzeltiriz" yaklaşımını sürdürebilecekleri bir alan olmadığını açıkça gösteriyor.
|
KVKK ve SIEM: 72 Saatlik Yarışın Merkezinde Log Verisi Var
7545 sayılı Kanun kadar kritik olan bir diğer düzenleme, 6698 sayılı KVKK. Kanunun 12. maddesinin beşinci fıkrası, kişisel verilerin hukuka aykırı yollarla ele geçirilmesi halinde veri sorumlusunun durumu en kısa sürede ilgili kişiye ve Kurula bildirmesini şart koşuyor. Kişisel Verileri Koruma Kurulu'nun 24 Ocak 2019 tarih ve 2019/10 sayılı kararıyla bu süre somut olarak 72 saat şeklinde belirlenmiş durumda.
Bu 72 saatlik pencere, teoride basit görünse de pratikte bir SOC ekibinin en zorlu sınavlarından biri. Kurul kararlarından örnekler bu noktayı çarpıcı biçimde ortaya koyuyor: 2020/715 sayılı kararda bir e-ticaret şirketi, bir hesap ele geçirme saldırısını aynı gün fark edip üç gün içinde Kurula bildirdiği için bildirim süresi açısından uygun bulunmuş, ancak saldırı öncesinde başarısız giriş denemelerini sınırlayan bir mekanizmanın ve yeterli bir web uygulama güvenlik duvarının bulunmaması nedeniyle 165.000 TL idari para cezasına çarptırılmış. 2020/905 sayılı kararda ise bir sigorta şirketi, yıllık sızma testini yaptırmamış ve bir test sunucusunu internete açık bırakmış olması nedeniyle 300.000 TL, üstüne bildirim süresine tam uyulmadığı için ayrıca 30.000 TL olmak üzere toplam 330.000 TL ceza almış.
Bu iki örnek de aynı gerçeği gösteriyor: Kurul'un asıl sorduğu soru yalnızca "72 saatte bildirdiniz mi?" değil, "ihlali gerçek zamanlı tespit edebilecek ve kanıtlayabilecek bir izleme altyapınız var mıydı?" sorusu. SIEM olmadan bir kurumun "ihlali ne zaman öğrendiğini" bile hukuken savunulabilir şekilde ortaya koyması güçleşiyor; çünkü tespit anını belgeleyen şey, çoğunlukla korelasyon motorunun ürettiği alarm kaydının kendisi.
Ayrıca KVKK'nın yurt dışına veri aktarımı rejimi de SIEM seçimini doğrudan etkiliyor. Kişisel Verileri Koruma Kurumu'nun resmî rehberine göre, yeterlilik kararı bulunmayan bir ülkeye veri aktarımı ancak standart sözleşme, bağlayıcı şirket kuralları veya Kurul onaylı taahhütname gibi ek güvence mekanizmalarıyla mümkün. Log verisi büyük hacimli ve sürekli aktığı için, bu güvence mekanizmalarını her bir yurt dışı SIEM entegrasyonu için ayrı ayrı kurmak, yerli bir çözümde veri baştan Türkiye'de kaldığı için zaten ihtiyaç duyulmayan bir yükü temsil ediyor.
Sektörel Düzenlemeler: BDDK ve SPK'nın SIEM'e Dolaylı Zorunluluğu
Genel mevzuatın üzerine bir de sektörel katman biniyor. Bankacılık Düzenleme ve Denetleme Kurumu'nun (BDDK) Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliği, bankaların bilgi sistemleri risklerinin yönetiminde esas alınacak asgari usul ve esasları belirliyor. Yönetmelik; kişisel ve hassas verilerin iletimi ve güvenliği, bu verilere yapılan sorgulamalara ilişkin kayıtların saklanması ve yurt dışına aktarımının sınırlandırılması konularında açık hükümler içeriyor. Bu hükümler pratikte, bankaların merkezi bir log yönetim ve korelasyon sistemi olmadan karşılayamayacağı türden gereksinimler.
Sermaye Piyasası Kurulu'nun (SPK) Bilgi Sistemleri Yönetimi Tebliği de benzer bir çizgide ilerliyor; kurum, kuruluş ve ortaklıkların bilgi sistemlerinde kullanılan zaman bilgisinin tek bir referans kaynağına göre senkronize edilmesini ve atomik saatler vasıtasıyla temin edilmesini şart koşuyor. Cumhurbaşkanlığı Dijital Dönüşüm Ofisi'nin Bilgi ve İletişim Güvenliği Rehberi de aynı doğrultuda, ağa bağlı tüm sistemlerin (sunucular, iş istasyonları, güvenlik ürünleri, ağ aygıtları) düzenli ve senkronize zaman bilgisi kullanmasını öngörüyor. Bu, aslında SIEM'lerin zaten temel işlevlerinden biri olan zaman damgalı, bütünlüğü korunmuş log toplama ihtiyacının doğrudan bir düzenleyici karşılığı.
Enerji ve telekomünikasyon gibi diğer kritik sektörlerde de EPDK ve BTK'nın kendi ikincil mevzuatları, benzer şekilde sürekli izleme, olay kaydı ve raporlama yükümlülükleri getiriyor. Sektöre özel bu düzenlemelerin ortak paydası, "logun var olması" değil, "logun doğru, bütün ve zamanında erişilebilir olması."
5651 Sayılı Kanun: Log Saklama Sürelerinin SIEM Mimarisine Etkisi
5651 sayılı Kanun, internet ortamındaki yayınların düzenlenmesi amacıyla çıkarılmış olsa da log saklama süreleri açısından SIEM mimarisini doğrudan şekillendiren bir düzenleme. Kanunun 5. maddesinin ikinci fıkrasına göre yer sağlayıcılar, sundukları hizmetlere ilişkin trafik bilgilerini bir yıldan az, iki yıldan fazla olmamak üzere yönetmelikte belirlenen süre kadar saklamak ve bu bilgilerin doğruluğunu, bütünlüğünü ve gizliliğini sağlamakla yükümlü. Erişim sağlayıcılar için bu süre altı ay ile iki yıl arasında değişiyor. Kayıtların tutulmaması halinde on bin TL'den yüz bin TL'ye kadar idari para cezası uygulanabiliyor.
Bu noktada kurumlar iki yönlü bir baskıyla karşı karşıya kalıyor: 5651 sayılı Kanun logların belirli bir süre saklanmasını zorunlu tutarken, KVKK'nın temel ilkelerinden biri olan "amaçla sınırlılık ve ölçülülük" ilkesi, amacı kalmayan verinin gereksiz yere saklanmamasını, süresi dolan kayıtların güvenli şekilde imha edilmesini gerektiriyor. Bu iki yükümlülüğü aynı anda, elle yönetilen dağınık log dosyalarıyla dengelemek pratik olarak neredeyse imkânsız. SIEM platformları, tam da bu noktada saklama süresi politikalarını (retention policy) otomatikleştirerek, hem yasal asgari süreyi garanti altına alıp hem de süresi dolan veriyi sistematik olarak imha ederek iki mevzuatı aynı anda karşılamayı mümkün kılıyor.
Yerli SIEM Bu Yükümlülükleri Karşılamada Neden Fark Yaratıyor?
Buraya kadar sıraladığımız yükümlülüklerin tamamı aslında teknoloji-bağımsız; yani teorik olarak herhangi bir SIEM ile karşılanabilir. Ancak pratikte yerli SIEM'i öne çıkaran birkaç somut nokta var:
- Buraya kadar sıraladığımız yükümlülüklerin tamamı aslında teknoloji-bağımsız; yani teorik olarak herhangi bir SIEM ile karşılanabilir. Ancak pratikte yerli SIEM'i öne çıkaran birkaç somut nokta var:
- 72 saatlik bildirim sürecini hızlandıran yerel destek hattı: Bir veri ihlali anında saatlerin kritik olduğu bir süreçte, aynı saat diliminde ve dilde çalışan bir destek ekibiyle ilerlemek, ihlalin kapsamını doğru tespit etme ve bildirim metnini hazırlama hızını doğrudan etkiliyor.
- Veri lokalizasyonunun getirdiği basitleşme: Log verisi zaten Türkiye'de kaldığı için, KVKK'nın yurt dışı aktarım güvence mekanizmalarını (standart sözleşme, taahhütname vb.) SIEM entegrasyonu özelinde ayrıca kurmaya gerek kalmıyor.
- Denetime hazır raporlama: Başkanlık, BDDK, SPK veya KVKK denetimlerinde istenen formatta ve süratte rapor üretebilmek, yerli üreticilerin yerel denetim pratiğine aşinalığıyla doğrudan ilişkili.
Kurumlar İçin Pratik Uyum Adımları
Mevzuat karmaşasının içinde kaybolmamak için kurumların atabileceği somut adımlar şöyle özetlenebilir:
- Envanter çıkarma: Mevcut log kaynaklarının ve saklama sürelerinin envanterini çıkarmak; hangi kanunun (5651, KVKK, sektörel tebliğ) hangi veri için ne kadar saklama süresi öngördüğünü netleştirmek.
- Tedarikçi teyidi: Kritik altyapı statüsü varsa, Siber Güvenlik Başkanlığı tarafından yetkilendirilmiş tedarikçi listesini takip etmek ve SIEM tedarikçisinin bu listeyle uyumunu teyit etmek.
- Tatbikat: Veri ihlali müdahale planını, 72 saatlik bildirim sürecini fiilen test edecek şekilde masaüstü tatbikatlarla düzenli olarak denemek.
- Otomatik imha politikası: Saklama süresi dolan logların otomatik ve güvenli şekilde imha edilmesini sağlayacak bir politika kurmak; bunu manuel süreçlere bırakmamak.
- Güncel takip: Sektörel düzenleyicinin (BDDK, SPK, EPDK, BTK) güncel tebliğ ve rehberlerini SIEM'in korelasyon ve raporlama kurallarına düzenli olarak yansıtmak.
Conclusion: Regulatory Compliance is Now at the Center of SIEM Selection
Bu yazıda ele aldığımız dört düzenleme -7545 sayılı Siber Güvenlik Kanunu, KVKK'nın bildirim rejimi, BDDK ve SPK'nın sektörel tebliğleri ve 5651 sayılı Kanun'un log saklama zorunlulukları- farklı gerekçelerle ve farklı tarihlerde yürürlüğe girmiş olsa da hepsi aynı operasyonel soruda kesişiyor: Bir denetim ya da veri ihlali anında kurumunuz, doğru logu doğru zamanda ve kanıtlanabilir şekilde ortaya koyabiliyor mu?
Bu sorunun cevabı, elle yönetilen dağınık log dosyalarıyla değil; merkezi, zaman damgalı ve denetime hazır bir log yönetim altyapısıyla verilebiliyor. Yerli SIEM de tam bu noktada öne çıkıyor: sadece "milli teknoloji" tercihi olmanın ötesinde, 7545 sayılı Kanun'un yetkili tedarikçi zorunluluğunu, KVKK'nın veri lokalizasyonu baskısını ve sektörel denetim hazırlığını tek bir yatırımda birleştiren operasyonel bir karar haline geliyor.
Sıkça Sorulan Sorular
7545 sayılı Kanun kapsamında hangi kurumlar SIEM kullanmak zorunda?
Kanun doğrudan "SIEM kullanma zorunluluğu" adıyla bir madde içermiyor; ancak kritik altyapı sağlayıcılarına getirilen tedbir alma, olay bildirimi ve denetimde iş birliği yükümlülükleri, pratikte merkezi bir log yönetim ve korelasyon sistemi olmadan yerine getirilemiyor. Bu nedenle kritik altyapı statüsündeki kurumlar için SIEM fiilen zorunlu hale geliyor.
KVKK'nın 72 saatlik bildirim süresi tam olarak ne zaman başlıyor?
Süre, ihlalin kesin olarak kanıtlandığı andan değil, makul şüphenin oluştuğu, yani ihlalin öğrenildiği andan itibaren işliyor. Bu nedenle "log incelemesi bitene kadar bekleme" yaklaşımı, bildirim süresini kaçırma riski taşıyor.
5651 sayılı Kanun ile KVKK'nın saklama süreleri çelişiyor mu?
Çelişmiyor, ama dengelenmesi gerekiyor. 5651 sayılı Kanun bir asgari-azami saklama aralığı belirlerken, KVKK süresi dolan ve amacı kalmayan verinin imha edilmesini istiyor. İkisini bir arada yönetmenin pratik yolu, saklama ve imha politikalarını otomatikleştiren bir log yönetim sistemi kurmaktan geçiyor.
BDDK ve SPK düzenlemeleri yalnızca büyük bankaları mı ilgilendiriyor?
Hayır. BDDK'nın bilgi sistemleri yönetmeliği tüm bankaları ve elektronik bankacılık hizmeti sunan kuruluşları kapsıyor; SPK'nın tebliği ise kurum, kuruluş ve ortaklıkların geniş bir kısmını içine alıyor. Ölçek küçüldükçe denetim sıklığı değişse de temel yükümlülükler geçerliliğini koruyor.
References