Kamu Siber Güvenliğinin Yasal Çerçevesi
Türkiye'de kamu kurumlarının siber güvenlik yükümlülükleri birden fazla mevzuat çerçevesiyle düzenlenmektedir. 2019/12 sayılı Cumhurbaşkanlığı Genelgesi kamu bilişim sistemlerinde asgari güvenlik standartlarını tanımlamakta; Bilgi Teknolojileri ve İletişim Kurumu (BTK) ve Ulusal Siber Olaylara Müdahale Merkezi (USOM) düzenli denetimler gerçekleştirmektedir.
Kritik altyapı statüsündeki kamu kurumları — enerji, ulaşım, su, sağlık ve finans sektörlerinde faaliyet gösterenler — ek yükümlülüklere tabi olup Siber Güvenlik Kurulu denetimlerine hazırlıklı olmak durumundadır. Bu kurumların düzenli sızma testi yaptırması artık yasal bir zorunluluk haline gelmiştir.
Güvenlik açıkları tespit edildiğinde kamu kurumları USOM'a bildirim yapmakla yükümlüdür. TUGAY'ın raporları bu bildirim süreçlerinde doğrudan kullanılabilecek formatta hazırlanmaktadır.
Kamu Altyapısı Test Kapsamı
TUGAY, kamu kurumlarına özel metodoloji ve gizlilik protokolleriyle sızma testi hizmetleri sunmaktadır. Test kapsamı, kurumun kritiklik seviyesine ve düzenleyici gerekliliklerine göre özelleştirilmektedir:
- Kurumsal web siteleri ve e-devlet entegrasyonları
- Merkezi veri tabanları ve kimlik yönetim sistemleri
- Kurumlar arası ağ bağlantıları ve VPN altyapısı
- SCADA ve endüstriyel kontrol sistemleri
- E-posta altyapısı ve iletişim sistemleri güvenliği
- Personel farkındalık testleri (oltalama simülasyonları)
Güvenlik Olgunluk Değerlendirmesi
- Mevzuat Haritalama: Kurumun bağlı olduğu tüm siber güvenlik mevzuatı belirlenir; eksiklikler önceliklendirilir.
- Altyapı Keşfi: Kurumun tüm dijital varlıkları haritalandırılır; bilinmeyen veya yönetilmeyen sistem bileşenleri tespit edilir.
- Teknik Sızma Testi: Beyaz/gri/kara kutu yöntemlerinden uygun olan seçilir; gerçekçi saldırı senaryoları uygulanır.
- Personel Testi: Sosyal mühendislik ve phishing simülasyonlarıyla personelin güvenlik farkındalığı ölçülür.
- Raporlama ve Uyum Desteği: Tüm çıktılar BTK ve USOM formatlarıyla uyumlu biçimde sunulur.
Raporlama ve Denetim Hazırlığı
Kamu kurumlarının Sayıştay, USOM ve sektörel denetim kurumlarına karşı hesap verebilirliğini destekleyen kapsamlı raporlama hizmeti sunulmaktadır.
- Üst yönetim ve teknik ekip için ayrı rapor bölümleri
- USOM uyumlu güvenlik açığı bildirim formatı
- Kurumsal risk skoru ve karşılaştırmalı sektör analizi
- 6 aylık periyodik test programı seçeneği