Ulusal Siber Güvenlik Stratejisi ve Eylem Planı

1. Giriş

Ulusal Siber Güvenlik Stratejisi ve Eylem Planı, Türkiye’nin dijital dünyada kendini daha güvenli hissetmesi ve siber tehditlerle daha etkili bir şekilde başa çıkabilmesi için hazırlanan bir yol haritası olarak nitelendirilebilir. 2024-2028 yıllarını kapsayan bu plan, dijital dünyadaki tehlikeleri önceden tespit etmeyi, olası saldırılara karşı daha dirençli olmayı ve hem bireylerin hem de kurumların dijital ortamda güvende kalmalarını sağlamayı hedefliyor.

Siber saldırıların maliyeti her geçen yıl artıyor ve 2024’te küresel düzeyde 9,5 trilyon dolara ulaşması bekleniyor. Bu tür tehditlere karşı güçlü bir savunma oluşturmak, hem ekonomik hem de ulusal güvenlik açısından büyük önem taşıyor. Plan, "tasarımdan itibaren güvenlik" prensibini benimseyerek, dijital sistemlerin baştan sona güvenli bir şekilde oluşturulmasını sağlıyor. Ayrıca, "sıfır güven"[1] yaklaşımıyla, her dijital bağlantıda kimlik doğrulama işlemleri sıkı bir şekilde uygulanıyor.

İşin teknolojik kısmı kadar insan faktörü de oldukça önemli olduğunu vurgulamak gerek nitekim çoğu siber güvenlik açığı, farkında olmadan yapılan hatalardan kaynaklanıyor. Bu nedenle, insanların dijital dünyada daha bilinçli hareket etmesi ve siber hijyen[2] dediğimiz güvenli dijital alışkanlıkları edinmesi planın bir diğer önemli hedefi.

Ulusal Siber Güvenlik Stratejisi ve Eylem Planı, teknolojinin yanı sıra insanları da merkeze alan, dijital dünyada daha güvenli bir yaşam sürmemiz için atılmış önemli bir adım. Hem bireyler hem de kurumlar için güvenliği artırmayı amaçlayan bu plan, Türkiye’nin dijital geleceğine sağlam adımlarla ilerlemesine katkı sağlayacak.

2. TÜRKİYE’DE SİBER GÜVENLİK

Siber güvenlik, dijital ortamda bulunan bilgilerin, sistemlerin ve ağların izinsiz erişim, saldırı veya zararlı yazılımlardan korunmasıdır. Bu sayede, kişisel ve kurumsal verilerin gizliliği, bütünlüğü ve erişilebilirliği sağlanır. Siber güvenlik, hem bireyler hem de kurumlar için dijital varlıkların güvenliğini garanti altına alır.

Siber güvenlik alanında ulusal politikaların geliştirilmesi, 5809 sayılı Elektronik Haberleşme Kanunu ile Ulaştırma ve Altyapı Bakanlığı'na verilen görevlerle şekillenmiştir. Bu yasa kapsamında, ulusal siber güvenliğin sağlanması için strateji ve eylem planlarının oluşturulması, ilgili faaliyetlerin izlenmesi ve koordinasyonu gibi görevler Bakanlık tarafından yürütülmektedir. Ayrıca, Bilgi Teknolojileri ve İletişim Kurumu (“BTK”), siber saldırılara karşı caydırıcılık sağlama ve müdahale etme yetkisine sahiptir. Bu sayede, hem kamu hem de özel sektör kurumlarının bu alandaki yükümlülüklerini yerine getirmeleri sağlanmaktadır.

Türkiye'nin siber güvenlik altyapısı, 2013 yılından itibaren çıkarılan Ulusal Siber Güvenlik Stratejileri ve Eylem Planları ile daha sistematik bir yapıya kavuşmuştur. 2013-2014, 2016-2019 ve 2020-2023 dönemlerini kapsayan bu planlar, ulusal düzeyde siber güvenlik politikalarının süreklilik içinde uygulanmasını sağlamıştır. Bu süreçte, 2013 yılında BTK bünyesinde kurulan Ulusal Siber Olaylara Müdahale Merkezi (“USOM)”, siber olaylara ulusal düzeyde koordinasyon sağlama ve uluslararası iş birliği geliştirme görevini üstlenmiştir.

Siber güvenlik çalışmalarında Türkiye'nin elde ettiği kazanımlar, 2020-2023 Ulusal Siber Güvenlik Stratejisi ve Eylem Planı ile daha ileri bir boyuta taşınmıştır. Bu plan kapsamında kritik altyapıların korunması, siber suçlarla mücadele, yerli ve millî teknolojilerin geliştirilmesi gibi birçok alanda önemli adımlar atılmıştır. Özellikle AVCI, AZAD ve KASIRGA gibi yerli siber güvenlik sistemleri, yapay zekâ ve makine öğrenimi kullanarak hızlı tespit ve müdahale imkanı sunmaktadır. Ayrıca, siber olaylara müdahale ekiplerinin kapasiteleri artırılmış, eğitimler, yarışmalar ve tatbikatlar düzenlenerek insan kaynağı geliştirilmiştir.

Türkiye'nin siber güvenlik alanındaki başarısı, uluslararası arenada da dikkat çekmektedir. Uluslararası Telekomünikasyon Birliği’nin (“ITU”) yayınladığı Global Siber Güvenlik Endeksi’ne göre, Türkiye 2020 yılı itibarıyla dünya genelinde 11. sıraya, Avrupa’da ise 6. sıraya yükselmiştir. Bu başarı, ülkemizin siber güvenlik alanında ne denli ilerlediğini ve uluslararası düzeyde güçlü bir konuma ulaştığını göstermektedir.

Türkiye, siber güvenlik alanında atmış olduğu adımlar ve geliştirdiği stratejiler sayesinde kendini ulusal ve uluslararası düzeyde koruma altına almayı başarmıştır. Yerli teknolojilere yapılan yatırımlar, insan kaynağının geliştirilmesi ve uluslararası iş birlikleri ile ülkemiz, dijital çağın gerektirdiği siber güvenlik standartlarına hızla uyum sağlamaya devam etmektedir.

2.1 STRATEJİ VE EYLEM PLANI

Türkiye'nin siber güvenlik alanındaki tehditlerle başa çıkabilmesi ve ulusal güvenliğini sağlama alabilmesi için belli bir strateji ve bu yöndeki eylem planı kritik öneme sahiptir. Öyleki Türkiye’nin Ulusal Siber Güvenlik Stratejisi ve Eylem Planı (2024-2028), ülkenin siber güvenlik alanındaki ihtiyaçlarını karşılamak ve siber tehditlere karşı dayanıklılığını artırmak amacıyla hazırlanan kapsamlı bir plandır. Bu plan, "İnsan", "Savunma", "Caydırıcılık" ve "İş Birliği" temalarını temel alarak, stratejik siber güvenlik yaklaşımlarını somut kazanımlara dönüştürmeyi hedefler. Ulusal siber güvenlik çalışmalarını yönlendiren bu eylem planı, 6 stratejik amaç, 18 hedef ve 61 eylem maddesinden oluşmaktadır.

Eylem planının en önemli bileşenlerinden biri, belirlenen stratejik amaçlara ulaşmayı sağlayan hedeflerin oluşturulmasıdır. Bu hedefler, sürdürülebilir kalkınma ve ekonomik büyüme gibi ulusal önceliklere katkıda bulunacak şekilde belirlenmiştir. Her hedef, Türkiye'nin siber güvenlik alanında daha güçlü bir yapı oluşturmasına yardımcı olacak bir yol haritası sunar. Bu bağlamda, hedefler yalnızca stratejik amaçlarla bağlantılı değil, aynı zamanda ülke için somut ve uzun vadeli kazanımlar sağlamayı amaçlamaktadır.

Eylem maddeleri ise stratejik amaçlar çerçevesinde gerçekleştirilecek somut faaliyetleri içerir. Her bir eylem maddesi, belirli hedeflere ulaşmak için atılması gereken adımları tanımlar. Bu eylem maddeleri, sorumlu kurumları, iş birliği yapılacak diğer kurumları ve tamamlanma tarihlerini de belirterek, süreçlerin şeffaf bir şekilde yönetilmesine olanak tanır. Böylece, her bir eylem maddesi, ulusal siber güvenlik hedeflerine ulaşma yolunda gerçekleştirilecek çalışmaları detaylandırır.

İzleme ve değerlendirme süreçleri de eylem planının önemli bir parçasını oluşturur. Ulaştırma ve Altyapı Bakanlığı tarafından yürütülen bu süreçler, her eylem maddesi için belirlenen performans kriterleri üzerinden izlenir. Eylem planının etkinliğini sağlamak amacıyla, ilerlemeler periyodik olarak raporlanır ve elde edilen verilerle hedeflere ulaşılıp ulaşılmadığı değerlendirilir. Bu yöntem, planın başarısını artırmak ve gerektiğinde düzeltici önlemler almak için kritik bir mekanizma sağlar.

Ulusal Siber Güvenlik Stratejisi ve Eylem Planı, sürekli bir güncelleme ve gelişim sürecini öngörmektedir. Teknolojik gelişmeler, güncel koşullar ve değişen ulusal ihtiyaçlar doğrultusunda, plan ihtiyaç duyulması halinde gözden geçirilir. Uygulama sürecinde tamamlanamayan eylem maddeleri, sonraki strateji ve eylem planlarına aktarılacak şekilde izleme ve değerlendirme süreçleriyle birlikte değerlendirilir. Bu da, Türkiye’nin siber güvenlik alanındaki vizyonunu güçlendirmekte ve uluslararası standartlarla uyumlu bir yapı oluşturma hedefini desteklemektedir.

2.1 STRATEJİK AMAÇLAR

Türkiye, 2024-2028 dönemi için belirlediği stratejik amaçlarla siber güvenlik alanında güçlü bir vizyon oluşturmayı hedefliyor. Bu stratejik amaçlar, hem mevcut siber güvenlik açıklarını kapatmayı hem de gelecekte ortaya çıkabilecek tehditlere karşı İleri görüşlü bir yaklaşım benimsemeyi amaçlıyor. Türkiye’nin siber güvenlik alanındaki stratejik amaçları şu şekildedir:

2.1.1 Siber Dayanıklılığın Artırılması

Siber dayanıklılık, ülkenin siber tehditlere karşı direnç gösterme yeteneği olarak tanımlanabilir. Türkiye, kritik altyapıların korunması ve kamu ile özel sektördeki bilgi iletişim teknolojilerinin güvenliğinin artırılması için kapsamlı bir strateji geliştirmeyi planlıyor. Bu strateji kapsamında:

a- Kritik Altyapıların Güçlendirilmesi: Ülkenin temel işleyişinin sürdürülebilirliğini sağlamak amacıyla enerji, sağlık ve ulaşım gibi hayati öneme sahip sektörlerdeki altyapıların, siber güvenlik standartlarına uygun hale getirilmesi ve olası siber saldırılara karşı daha dayanıklı bir yapıya kavuşturulması demektir. Bu süreç, sadece teknoloji ve sistemlerin güçlendirilmesini değil, aynı zamanda bu altyapılarda çalışan insanların siber güvenlik konusundaki bilgi ve farkındalık seviyelerinin artırılmasını da kapsar.

b- Risk Temelli Analiz Yaklaşımı: Siber güvenlik alanında olası tehditlerin ve risklerin sistematik bir biçimde tanımlanması, değerlendirilmesi ve izlenmesi amacıyla oluşturulan bir çerçevedir. Bu yaklaşım, her türlü siber saldırının veya güvenlik ihlalinin önlenmesi için mevcut risklerin analiz edilmesine odaklanır. Kurumlar, sistemlerini ve altyapılarını tehditlere karşı korumak için hangi risklerin mevcut olduğunu belirler ve bu risklerin her birinin olasılığını ve potansiyel etkisini değerlendirir. Bu süreçte, belirlenen riskler doğrultusunda çeşitli mekanizmalar geliştirilir ve acil durum planları oluşturulur. Böylece, bir siber saldırı gerçekleştiğinde hızlı ve etkili bir yanıt mekanizması devreye alınabilir.

c- Ulusal ve Uluslararası Tatbikatlar: Siber güvenlik alanında düzenli tatbikatlar gerçekleştirilerek, kurumların ve sektörlerin siber dayanıklılık seviyeleri ölçülecek ve iyileştirmeler yapılacak.

2.1.2 Siber Savunma ve Caydırıcılık

Siber tehditlerin karmaşıklığı ve çeşitliliği, Türkiye’nin siber savunma anlayışını sürekli olarak güncellemeyi zorunlu kılıyor. Proaktif[3] siber savunma stratejisi kapsamında:

· Erken Teşhis Mekanizmaları: Erken Teşhis Mekanizmaları, siber güvenlik alanında potansiyel tehditlerin ve saldırıların önceden tespit edilmesine yönelik geliştirilen sistemlerdir. Bu mekanizmalar, yapay zeka ve büyük veri teknolojilerinin sağladığı imkanlardan faydalanarak, veri analizi yapar ve anormal aktiviteleri, potansiyel riskleri veya siber saldırı belirtilerini tanımlar. Amaç, bir siber saldırı gerçekleşmeden önce belirti ve bulguları tespit edip, gerekli önlemlerin alınmasını sağlamaktır. Erken Teşhis Mekanizmaları, sürekli izleme ve analiz yaparak, sistemlerin zayıf noktalarını belirler ve bu sayede siber saldırıların gerçekleşme olasılığını en aza indirmeye yardımcı olur. Bu yaklaşım, siber güvenliğin etkili bir şekilde yönetilmesine olanak tanır ve kurumların siber tehditlere karşı daha dirençli hale gelmelerini sağlar.

· Siber İstihbarat Paylaşımı: Siber İstihbarat Paylaşımı, ulusal ve uluslararası düzeyde siber tehditlerle mücadelede bilgi ve veri alışverişinin yapılmasını ifade eder. Bu mekanizma, devlet kurumları, özel sektör ve diğer ilgili paydaşlar arasında, siber saldırılar, zafiyetler ve tehdit aktörleri hakkında bilgi paylaşımını içerir. Siber İstihbarat Paylaşımı, tehditlerin daha iyi anlaşılmasını ve tahmin edilmesini sağlarken, aynı zamanda olası saldırıların önceden tespit edilmesine yardımcı olur. Bu paylaşım, siber güvenlik stratejilerinin geliştirilmesinde kritik bir rol oynar; çünkü paylaşılan veriler, kurumların savunma mekanizmalarını güçlendirmek, riskleri azaltmak ve siber suçlarla etkin bir şekilde mücadele etmek için kullanılır.

· Siber Olaylara Müdahale Ekiplerinin Güçlendirilmesi: 7/24 görev yapan Siber Olaylara Müdahale Ekiplerinin kapasiteleri artırılacak ve olay müdahale kabiliyetleri geliştirilecektir.

2.1.3 İnsan Odaklı Siber Güvenlik Yaklaşımı

Siber güvenlikte insan faktörü, büyük ölçüde siber zafiyetlerin kaynağıdır. Türkiye, insan odaklı bir siber güvenlik yaklaşımını benimseyerek:

- Farkındalık Eğitimleri: İlk, orta ve yükseköğrenim seviyelerinde siber güvenlik eğitimi verilecek, bireylerin bu konuda bilgi düzeyleri artırılacak. Eğitim programlarıyla toplumun her kesiminde siber güvenlik bilincinin oluşturulması hedeflenecek.

- Uzmanlık Geliştirme: Siber güvenlik alanında kariyer hedefleyen bireyler için destek mekanizmaları oluşturulacak. Bu sayede, nitelikli insan kaynağının yetiştirilmesi ve siber güvenlik uzmanlarının yetkinliklerinin artırılması sağlanacaktır.

2.1.4 Teknolojinin Güvenli Kullanımı

Bilgi ve iletişim teknolojilerinin güvenli kullanımı, Türkiye’nin stratejik hedefleri arasında önemli bir yer tutuyor:

· Yenilikçi Teknolojilerin Entegrasyonu: Yenilikçi Teknolojilerin Entegrasyonu, modern ve gelişmiş teknolojilerin siber güvenlik alanında etkili bir şekilde kullanılmasını ifade eder. Bu kapsamda, yapay zeka, blok zinciri, nesnelerin interneti (IoT) ve büyük veri analizi gibi ileri düzey teknolojilerin, siber güvenlik uygulamalarına dahil edilmesi ve bu teknolojilerin sağladığı avantajların kullanılması amaçlanır.

· Örneğin, yapay zeka siber tehditlerin daha hızlı ve etkili bir şekilde tespit edilmesi, analiz edilmesi ve yanıtlanması için kullanılabilirken, blok zinciri veri bütünlüğünü artırarak sahtekarlığı önleyici çözümler sunabilir. Bu tür yenilikçi teknolojilerin entegrasyonu, siber güvenlik süreçlerinin daha akıllı, esnek ve dayanıklı hale gelmesine katkıda bulunur.

· Sıfır Güven Modeli: Siber güvenlik alanında her türlü güvenlik riskine karşı proaktif bir yaklaşım benimseyen bir çerçevedir. Geleneksel güvenlik yaklaşımlarının aksine, Sıfır Güven modeli "içerideki" ve "dışarıdaki" ağların güvenilir olup olmadığına dair varsayımlar yapmaz.

Yani, bir kullanıcının veya cihazın iç ağa girişi olduğunda otomatik olarak güvenli olduğu kabul edilmez. Bunun yerine, her erişim talebi, nereden geldiğine bakılmaksızın, doğrulanmalı ve yetkilendirilmelidir.

Bu modelin temel amacı, siber tehditlerin önlenmesi ve veri güvenliğinin artırılmasıdır. Herhangi bir sistem, uygulama veya veri kaynağına erişim izni, öncelikle kullanıcıların kimlik doğrulama bilgileri, cihaz güvenliği, ve ağ trafiği gibi faktörler dikkate alınarak verilmelidir. Böylece, yalnızca yetkili ve güvenilir kullanıcıların kritik verilere erişimi sağlanır. Sıfır Güven modeli, sürekli güvenlik değerlendirmeleri, güçlü kimlik doğrulama yöntemleri ve erişim kontrolleriyle desteklenir, bu da potansiyel tehditlerin daha hızlı bir şekilde tespit edilmesine ve yanıt verilmesine olanak tanır. Bu yaklaşım, özellikle uzaktan çalışma ve bulut tabanlı hizmetlerin yaygınlaşmasıyla birlikte, modern siber güvenlik ihtiyaçlarını karşılamak için giderek daha fazla benimsenmektedir.

3. Yerli ve Millî Teknolojilerin Geliştirilmesi

Türkiye, siber güvenlik alanında dışa bağımlılığı azaltma ve yerli teknolojileri teşvik etme hedefi doğrultusunda önemli adımlar atmaktadır. Bu çerçevede, "tasarımdan itibaren güvenlik"[4] prensibi benimsenerek yerli ve milli teknolojilerin geliştirilmesine odaklanılmaktadır. Böylece, siber tehditlere karşı daha etkili bir savunma mekanizması oluşturulması amaçlanmaktadır.

Ayrıca, yerli siber güvenlik ürünlerinin güvenlik sertifikasyonları ve akreditasyon süreçlerinin güçlendirilmesi, bu ürünlerin uluslararası pazarda rekabetçi bir konumda yer almasına katkıda bulunacaktır. Bu strateji, Türkiye'nin siber güvenlik alanındaki bağımsızlığını artırırken, yerli üretimi destekleyerek ekonomik gelişmeye de katkı sağlamayı hedeflemektedir.

4. Uluslararası Alanda Türkiye Markası

Türkiye, siber güvenlik alanında uluslararası ölçekte kendini tanıtmayı ve iş birliği geliştirmeyi hedefliyor:

Uluslararası İş Birlikleri: Türkiye, uluslararası siber güvenlik platformlarında aktif rol alarak, diğer ülkelerle bilgi ve deneyim paylaşımında bulunacak. Bu iş birliği, hem ulusal güvenliğin sağlanmasına hem de Türkiye’nin uluslararası alandaki etkisinin artırılmasına katkı sağlayacaktır.

Siber Diplomasi Kapasitesinin Geliştirilmesi: Ülkenin uluslararası alandaki siber güvenlik tutumunu en iyi şekilde ifade edebilmesi için siber diplomasi yeteneklerinin geliştirilmesine yönelik çalışmalar yürütülecektir.

[1] "Sıfır güven" (Zero Trust) yaklaşımı, geleneksel güvenlik anlayışına ters bir bakış açısını ifade eder. Bu yaklaşım, hiçbir kullanıcıya, cihazlara veya sisteme otomatik olarak güvenmemek üzerine kuruludur. Yani, hem içeriden hem de dışarıdan gelen tüm bağlantılara ve kullanıcılara sürekli bir güvenlik doğrulaması yapılır. Geleneksel güvenlik sistemlerinde, ağın içinde yer alan kullanıcılara ve cihazlara daha fazla güvenilirken, sıfır güven yaklaşımında her bağlantı, her işlem ve her kullanıcı sürekli olarak kontrol edilir.Bu, şunu anlamına gelir: bir cihaz ya da kullanıcı sistemin içinde bile olsa, her hareketi dikkatle incelenir, kimlik doğrulama işlemleri tekrar tekrar yapılır ve yetkili olup olmadığı sürekli sorgulanır. Güvenilir bir kaynaktan gelmiş olsa dahi, her veri alışverişi, kullanıcı girişimi veya cihaz hareketi risk içeriyor gibi değerlendirilir ve bu nedenle ek güvenlik önlemleri devreye sokulur.

[2] Siber hijyen: Dijital dünyada güvenliği sağlamak için bireylerin ve kurumların uyguladığı doğru ve güvenli alışkanlıkları ifade eder. Tıpkı fiziksel hijyenin sağlığımızı korumak için günlük olarak yaptığımız basit ve etkili eylemleri kapsaması gibi, siber hijyen de dijital güvenliğimizi sağlamak için alınması gereken rutin önlemleri içerir.Bu önlemler, şifrelerin güçlü ve benzersiz olması, düzenli olarak güncellemelerin yapılması, virüs tarayıcıları ve güvenlik duvarlarının aktif tutulması gibi temel güvenlik adımlarını içerir. Aynı zamanda, dikkatli internet kullanımı, bilinmeyen e-posta eklerine tıklamamak ve cihazlara güvenilir olmayan kaynaklardan uygulama indirmemek gibi davranışları da kapsar.

[3] "Proaktif" terimi, bir duruma veya olaya tepki vermektense, önceden harekete geçerek riskleri önlemeyi veya fırsatları değerlendirmeyi ifade eder.

[4] "Tasarımdan itibaren güvenlik" (security by design) ilkesi, bir sistemin veya ürünün geliştirilmesi sürecinde güvenlik unsurlarının en baştan itibaren dikkate alınmasını ifade eder. Bu yaklaşım, güvenliğin sadece sistem tamamlandıktan sonra eklenmesi gereken bir özellik değil, sürecin her aşamasında yer alması gerektiği anlayışına dayanır. Bu sayede, potansiyel güvenlik açıkları ve siber tehditler, ürün tasarımı ve geliştirme aşamalarında tespit edilip ortadan kaldırılabilir. Yerli ve milli teknolojilerin bu prensip doğrultusunda geliştirilmesi, Türkiye'nin siber güvenliğini artırmanın yanı sıra, ulusal bağımsızlığı pekiştirmeyi ve uluslararası alanda rekabetçi bir konum elde etmeyi de amaçlamaktadır. Böylece, siber saldırılara karşı daha dayanıklı ve güvenilir sistemler oluşturulması sağlanır.