Kamu kurumlarının ve kritik altyapı işletmelerinin bilgi güvenliği uygulamaları, artık sezgiyle değil belirli bir rehber ve denetim çerçevesiyle değerlendiriliyor. Bu çerçevenin merkezinde Cumhurbaşkanlığı Dijital Dönüşüm Ofisi'nin yayımladığı Bilgi ve İletişim Güvenliği Rehberi ve bu rehbere uyumu ölçen denetim süreci yer alıyor. İK profesyonellerinin, bilgi işlem ve uyum ekipleriyle birlikte çalıştığı projelerde bu denetimin kapsamını bilmek giderek daha önemli hale geliyor. Çünkü denetim yalnızca teknik bir süreç değil; personel yetkinlikleri, erişim politikaları, farkındalık eğitimleri ve iş süreçlerinin tamamını kapsıyor. Aşağıda DDO denetiminin ne olduğu, kimleri kapsadığı, hangi yöntemlerle uygulandığı ve kurumlara etkisi ele alınıyor.
DDO Denetimi Nedir?
DDO denetimi, Cumhurbaşkanlığı Dijital Dönüşüm Ofisi tarafından yayımlanan Bilgi ve İletişim Güvenliği Rehberi'ne uyumun ölçüldüğü bağımsız bir uygunluk değerlendirme sürecidir. Rehber, 6 Temmuz 2019 tarih ve 2019/12 sayılı Cumhurbaşkanlığı Genelgesi kapsamında başlatılan çalışmalar sonucunda 24 Temmuz 2020 tarihinde onaylanarak yürürlüğe girdi. Denetim süreci, kurumların bilgi sistemlerinde yer alan kontrollerin rehberde tanımlanan tedbirlerle örtüşüp örtüşmediğini inceliyor. Değerlendirme kapsamında teknik altyapı kadar yönetişim, insan kaynakları politikaları, tedarikçi ilişkileri ve veri sınıflandırma süreçleri de ele alınıyor. Denetim sonunda uyum seviyesi raporlanıyor ve eksik bulunan alanlar için iyileştirme planı hazırlanıyor. Bu yönüyle denetim, tek seferlik bir kontrol değil, sürekli iyileştirmeye dayanan bir döngünün parçasıdır.
Kimler DDO Denetimine Tabi?
Denetime tabi olan temel kesim, kamu kurum ve kuruluşları ile kritik altyapı hizmeti veren işletmelerdir. Rehberde yer verilen tedbirlere uyulması, mevcut ve yeni kurulacak bilgi sistemleri için zorunlu tutuluyor. Kapsam kurumun büyüklüğüne değil, işlediği verinin kritikliğine göre şekilleniyor.
Kapsam içindeki diğer paydaşlar şöyle sıralanıyor:
- Bakanlıklar ve bağlı, ilgili, ilişkili kuruluşlar ile düzenleyici ve denetleyici kurumlar.
- Enerji, elektronik haberleşme, su yönetimi, kritik kamu hizmetleri, ulaştırma ve bankacılık/finans sektörlerinde kritik altyapı işleten kuruluşlar.
- Kamu kurumlarına bilgi sistemi hizmeti sağlayan ve kritik veriye temas eden tedarikçiler.
- Milli güvenliği veya kamu düzenini etkileyebilecek nitelikte veri işleyen kurum birimleri.
- Kurum bünyesinde dış kaynak personel çalıştıran birimlerde, bu personelin dahil olduğu süreçler.
Kapsamın belirlenmesinde kurumun işlediği verinin gizlilik, bütünlük ve erişilebilirlik açısından taşıdığı risk esas alınıyor. Bu nedenle İK, tedarikçi sözleşmelerinden personel yetkinlik matrislerine kadar pek çok alanda uyum ekibiyle birlikte çalışıyor.
DDO Denetiminde Uygulanan Yöntemler
Denetim süreci, kurumun uyum olgunluğunu farklı katmanlarda ölçen aşamalardan oluşuyor. Sürecin sağlıklı ilerlemesi, her adımda belgelenmiş kanıtların hazır olmasına bağlı.
- Varlık ve kritiklik tespiti yapılır. Kurum, bilgi sistemlerini, veri türlerini ve hizmet süreçlerini envanter altına alır; her varlığı kritiklik derecesine göre sınıflandırır.
- Kapsam ve uygulanabilir tedbirler belirlenir. Varlık envanterine göre rehberdeki hangi güvenlik tedbirlerinin hangi sistemlere uygulanacağı tanımlanır.
- Belge ve kanıt incelemesi gerçekleştirilir. Politika, prosedür, risk analizleri, eğitim kayıtları ve iş akışları TSE Belgelendirme Programı kapsamında yetkilendirilen denetçi tarafından incelenir.
- Teknik testler ve saha denetimi uygulanır. Yapılandırma incelemeleri, sızma testleri ve erişim kontrol kayıtları üzerinden kontrollerin işlerliği doğrulanır.
- Mülakat ve farkındalık değerlendirmesi yürütülür. Çalışanlarla yapılan görüşmelerde politika bilgisi, olay bildirim süreçleri ve rol bazlı sorumluluklar ölçülür.
- Bulgu raporlaması ve iyileştirme planı hazırlanır. Tespit edilen eksikler önceliklendirilir, kurum için uyum yol haritası çıkarılır.
Cumhurbaşkanlığı Genelgesi ve DDO'nun Rolü
2019/12 sayılı Cumhurbaşkanlığı Genelgesi, bilgi ve iletişim güvenliğini yasal düzenleme boyutuna taşıyan temel metin olarak kabul ediliyor. Genelgeyle birlikte kritik verilerin gizliliği, bütünlüğü ve erişilebilirliğinin korunması ülke çapında tek bir çerçeveye bağlandı. Dijital Dönüşüm Ofisi, bu çerçevenin uygulama aracı olan Bilgi ve İletişim Güvenliği Rehberi'ni hazırlama ve güncelleme sorumluluğunu üstleniyor. Rehberin ilk sürümü yaklaşık bir yıl süren çalışmalar sonucunda tamamlandı; 16 bakanlık ile 51 kurum ve kuruluştan 240 uzmanın katkısıyla, 2660'ı aşan görüş ve öneri değerlendirilerek hazırlandı. Bu kapsamıyla rehber, Türkiye'nin bilgi güvenliği alanındaki ilk özgün ulusal referans dokümanı olma niteliği taşıyor. DDO, aynı zamanda denetim metodolojisinin belirlenmesi, denetçi yetkinlik kriterlerinin tanımlanması ve rehberin değişen teknolojilere göre güncellenmesi konularında koordinatör rol üstleniyor.
DDO Denetimi ve Siber Tehditlerin Önlenmesi
Denetim süreci, siber tehditlere karşı reaktif değil proaktif bir duruş kazandırıyor. Ancak her kapsamlı uyum çalışmasında olduğu gibi kurumlar açısından hem fırsatlar hem de yönetilmesi gereken yükler ortaya çıkıyor.
Avantajları (Artıları)
- Kritik verilerin gizliliği, bütünlüğü ve erişilebilirliği tek bir çerçevede güvence altına alınır; bu da olası veri sızıntılarının etkisini azaltır.
- Personel farkındalığının ölçülebilir hale gelmesi, sosyal mühendislik saldırılarına karşı dayanıklılığı artırır.
- Tedarikçi ve dış kaynak süreçlerinin denetlenmesi, zincirin en zayıf halkasından gelen risklerin görünür olmasını sağlar.
Dezavantajları (Eksileri)
- Rehber kapsamına uyum, teknik altyapı yatırımı yanında ciddi insan kaynağı ve dokümantasyon yükü getirir.
- Kurumun büyüklüğüne göre uyum süreci uzun zaman alabilir; özellikle eski sistemlerin dönüştürülmesi bütçe planını zorlayabilir.
- Rehberin güncellenmeye devam etmesi, uyumun bir kez değil periyodik olarak gözden geçirilmesini gerektirir; bu da sürekli bir kaynak tahsisi anlamına gelir.
Yasal Uyarı: Bu içerikte yer alan bilgiler genel bilgilendirme amaçlıdır ve hukuki ya da teknik danışmanlık niteliği taşımaz. Mevzuat ve rehber içerikleri zaman zaman güncellendiğinden, kurumunuzun uyum süreciyle ilgili karar almadan önce güncel resmi metinlerin ve bir uzman görüşünün dikkate alınması faydalı olacaktır.
