Ulusal Siber Olayları Önleme Çalışmaları Üzerine
Ulusal Siber Olaylara Müdahale Merkezi
USOM’a bağlı, sektörel SOME ve kurumsal SOME olarak iki alt birime ayrılmıştır. Aşağıdaki tabloda hizmet alanlarını görebilirsiniz. Adlarından da anlaşılacağı üzere sektörler ile ilgilenecek olan SOME'ler Sektörel SOME, kurumlarla ilgilenecek olan SOME'ler ise Kurumsal SOME’lerdir.
USOM ve SOME’lerin siber olayları karşılama ve önlem almada, koordineli bir şekilde çalışması planlanmıştır. Hem yurt içi hem de yurt dışı kaynaklı saldırılara kurumların tek başlarına aksiyon alması yerine ülkemizdeki tüm SOME'ler, USOM altında bu saldırılara cevap vererek daha hazırlıklı olacaktır.[2] Bu durumu futbol maçına benzetebiliriz. Bireysel olarak oynayan futboldan ziyade takım oyunu oynayan futbol takımları daha başarılıdır. Saldırılara karşı tek tek mücadele etmek yerine kurumlar bilgi birikimlerini paylaşarak daha etkili savunma yapabilirler.
USOM Görevlerini aşağıdaki tabloda görebiliriz.
USOM Görevlerini aşağıdaki tabloda görebiliriz.
Sektörel ve Kurumsal SOME’leri kısaca tanıtacak olursak,
Sektörel SOME’ler düzenleyici ve denetleyici kurumların bünyesinde kendi sektörlerinde faaliyet gösteren kurum, kuruluş ve işletmeleri kapsayacak şekilde kurulur. İhtiyaç duyulması halinde, düzenleyici ve denetleyici kurumların yetki alanı dışında kalan diğer sektörlerde ilgili olduğu bakanlık bünyesinde sektörel SOME kurulabilir. Kritik sektörlerde, sektörel SOME kurulması zorunludur.
Kurumsal SOME’ler kurumlarına doğrudan ya da dolaylı olarak yapılan veya yapılması muhtemel siber saldırılara karşı gerekli önlemleri alma veya aldırma, bu tür olaylara karşı müdahale edebilecek mekanizmayı ve olay kayıt sistemlerini kurma veya kurdurma ve kurumlarının bilgi güvenliğini sağlamaya yönelik çalışmaları yapmak veya yaptırmakla yükümlüdürler.
Kurumsal SOME’ler bakanlıkların bünyesinde, hizmet gereklerine göre, bakanlık birimlerini, bağlı, ilgili ve ilişkili kurumlarını kapsayacak şekilde kurulur. Ancak bakanlık koordinesinde bakanlık birimleri, bağlı, ilgili ve ilişkili kurum ve kuruluşları altyapılarının önem ve büyüklüğüne göre kendi bünyelerinde bir kurumsal SOME kurabilirler.
Diğer tüm kamu kurum ve kuruluşları, kendi bünyelerinde kurumsal SOME kurabilirler. Ayrıca Kurumsal SOME’lerin kuruluşunun eşgüdümü Ulaştırma, Denizcilik ve Haberleşme Bakanlığı tarafından yürütülmektedir.[3]
Sektörel SOME’ler düzenleyici ve denetleyici kurumların bünyesinde kendi sektörlerinde faaliyet gösteren kurum, kuruluş ve işletmeleri kapsayacak şekilde kurulur. İhtiyaç duyulması halinde, düzenleyici ve denetleyici kurumların yetki alanı dışında kalan diğer sektörlerde ilgili olduğu bakanlık bünyesinde sektörel SOME kurulabilir. Kritik sektörlerde, sektörel SOME kurulması zorunludur.
Kurumsal SOME’ler kurumlarına doğrudan ya da dolaylı olarak yapılan veya yapılması muhtemel siber saldırılara karşı gerekli önlemleri alma veya aldırma, bu tür olaylara karşı müdahale edebilecek mekanizmayı ve olay kayıt sistemlerini kurma veya kurdurma ve kurumlarının bilgi güvenliğini sağlamaya yönelik çalışmaları yapmak veya yaptırmakla yükümlüdürler.
Kurumsal SOME’ler bakanlıkların bünyesinde, hizmet gereklerine göre, bakanlık birimlerini, bağlı, ilgili ve ilişkili kurumlarını kapsayacak şekilde kurulur. Ancak bakanlık koordinesinde bakanlık birimleri, bağlı, ilgili ve ilişkili kurum ve kuruluşları altyapılarının önem ve büyüklüğüne göre kendi bünyelerinde bir kurumsal SOME kurabilirler.
Diğer tüm kamu kurum ve kuruluşları, kendi bünyelerinde kurumsal SOME kurabilirler. Ayrıca Kurumsal SOME’lerin kuruluşunun eşgüdümü Ulaştırma, Denizcilik ve Haberleşme Bakanlığı tarafından yürütülmektedir.[3]
Sektörel SOME’ler düzenleyici ve denetleyici kurumların bünyesinde kendi sektörlerinde faaliyet gösteren kurum, kuruluş ve işletmeleri kapsayacak şekilde kurulur. İhtiyaç duyulması halinde, düzenleyici ve denetleyici kurumların yetki alanı dışında kalan diğer sektörlerde ilgili olduğu bakanlık bünyesinde sektörel SOME kurulabilir. Kritik sektörlerde, sektörel SOME kurulması zorunludur. Kritik sektörlerin listesi kurul tarafından belirlenen, ilgililere duyurulur ve güncellenir.
Ayrıca Düzenleyici ve denetleyici kurumlardaki sektörel SOME’lerin eşgüdümü Bilgi Teknolojileri ve İletişim Kurumu (BTK) tarafından yürütülür.[4]
Kamu kurumlarını ve kritik altyapıları içine alan siber olaylara müdahale organizasyonu Şekil 1‘de gösterilmiştir
Kurumsal SOME’ler görev ve sorumluluklarını yerine getirirken, USOM ve varsa bağlı olduğu Sektörel SOME ile koordinasyon ve iletişim içerisinde bulunurlar.
Şekil 1’de yer alan;
a) Uyarı ve bilgilendirme: Siber olay öncesinde USOM tarafından hazırlanan bülten, duyuru gibi bilgileri,
b) Koordinasyon: Siber olay esnasında USOM ve varsa bağlı olduğu Sektörel SOME tarafından yapılan koordinasyonu,
c) Rapor, form ve bilgilendirme: Siber olay öncesi, esnası ve sonrasında USOM ve varsa bağlı olduğu Sektörel SOME tarafından talep edilen ve Kurumsal SOME’ler tarafından iletilen bilgileri ifade etmektedir.[3]
Görüldüğü üzere kurumlar siber güvenlik alanında daha düzenli ve sıkı hazırlık yapması planlanmıştır. Çıkarılan yönetmeliklerle kurumlardaki SOME ekiplerinin bilgi düzeyinin artırılması bunun yanında diğer SOME’ler ve USOM ile iletişime geçerek onların da bilgi paylaşımı sağlanarak, daha iyi savunma yapılaması istenmektedir. Örnekleyecek olursak bir kibrit çöpünü kırmak kolaydır ama aynı anda birden fazla kibrit çöpünü kırmak daha zordur. Burada birlikten kuvvet doğar felsefesi benimsenmiştir.
Şekil 1'den biraz bahsedecek olursak iki adet kurumsal SOME vardır. Bakanlıklar ve diğer tüm kamu kurumları kendi bünyelerinde Kurumsal SOME kurabilirler. İlk Sektörel SOME bağlı olup ikinci Kurumsal bakanlıklar ve bilgi işleme sahip diğer kamu kuruluşlarına aittir. Kurumsal SOME’lerin en önemli görevlerinden biri, kurumların bilgi işlem birimlerine destek olup siber güvenlik alanında alınabilecek önlemlerle ilgili tavsiyelerde bulunmaktır. USOM ve Sektörel SOME’lerden gelecek olan bilgilere göre aksiyon alırlar. Şekilde 1’de de gösterdiği gibi bir siber olay anında bağlı olduğu sektörel SOME’ye, yoksa USOM ile direk iletişime geçip kanunen yetkili makamlara bilgi verirler. [5]
Sektörel SOME’ler; Siber Güvenlik Kurulu tarafından kritik sektörler olarak belirlenen Enerji, Elektronik Haberleşme, Finans, Ulaşım, Su Yönetimi ve Kritik Kamu Hizmetleri olarak belirlenmiştir. Ayrıca kritik sektörler de Sektörel SOME kurulması zorunludur.
Sektörel SOME’ler bir saldırı anında direk olarak USOM ile iletişime geçmektedir. Ayrıca gecikmeksizin durumu kanunen yetkili makamlara bildirirler.[5]
Şekilde 1’de de belirtildiği gibi Sektörel SOME’ler USOM ile çift yönlü trafiğe sahiptir ve sürekli iletişim halindedir. Sektörel SOME’lerin diğer bir görevi sektörlerde farkındalık eğitimleri sunmak ve bireylerde siber güvenlik kabiliyetini artırmaktır.
Son olarak Siber Güvenlik Platformu IV düzenlediği etkinlikte konuşan sayın BTK başkanı Dr. Ömer Fatih Sayan şuana kadar 528 SOME ekibinin kurulduğunu belirtmiştir.
2016-2019 Ulusal Siber Güvenlik Stratejisi ve Eylem Planının ana amacı; siber güvenliğin ulusal güvenliğin ayrılmaz bir parçası olduğu anlayışının tüm kesimlerde yerleşmesi, ulusal siber uzayda bulunan sistem ve paydaşların tamamının güvenliğini sağlamak üzere idari ve teknolojik önlemlerin alınmasını sağlayacak yetkinliğin eksiksiz bir şekilde kazanılmasıdır. Bu ana amacı gerçekleştirmek üzere, hedeflerin ve alt eylem maddelerinin belirlenmesi, bunların gerçekleştirilmesinin sağlanması ve denetlenmesi de bu dokümanın amaçlarındandır.
Bu amaçlar doğrultusunda:
• Ulusal siber uzayın tamamını kapsamak şartıyla, bilgi teknolojileri üzerinden sağlanan her türlü hizmet, işlem ve bilgi/veri ile bunların sunumunda kullanılan sistemlerin güvenliğinin, gizliliğinin ve mahremiyetinin sağlanmasına,
• Siber güvenlik olaylarının etkilerinin en düşük düzeyde kalmasına, olayların ardından sistemlerin en kısa sürede normal çalışmalarına dönmesine yönelik stratejik siber güvenlik eylemlerinin belirlenmesine ve oluşan suçun adli makam ve kolluk kuvvetlerince daha etkin araştırılmasının ve soruşturulmasının sağlanmasına,
• Siber güvenliğin, gizliliğin ve mahremiyetin sağlanmasında kritik teknolojilerin ve ürünlerin ülkemizde üretilmesine, üretilemiyorsa, dışarıdan alınan teknoloji ve ürünlerin salt bu maksatla ve güvenle kullanılabilmesini sağlayacak önlemlerin alınmasına yönelik bileşenler bu planda yer almaktadır.[6]
Ulusal Güvenlik Stratejisi Eylem Planı'na göre ülkemizde yenilikçi stratejik adımların daha da güçlü atılacağı planlanarak, kamu özel sektör, üniversiteler, sivil toplum kuruluşları ve bütün paydaşlara sorumluluklar verilerek yeni bir eko sistemin oluşumunu sağlanacaktır. Bu plan ile paydaşların sorumlulukları daha net olarak belirlenecektir. Yeni eylem planının, siber tehditlere karşı mücadelemizde yeni bir açılımı, yeni bir dönemi de beraberinde getireceği beklenmektedir.
Siber güvenlikle ilgili alınacak önlemleri belirlemek, hazırlanan plan, program, rapor, usul, esas ve standartları onaylamak ve bunların uygulanmasını ve koordinasyonunu sağlamak amacıyla "Siber Güvenlik Kurulu" kurulmuştur.
Siber Güvenlik Kurulu', ülkemizin kritik altyapıları başta olmak üzere kişilere ve kurumlara yönelik olası saldırılara karşı tedbir almak, farkındalık oluşturmak ve olabilecek herhangi bir saldırı sonucu hasar meydana gelirse bunun zararlarını asgariye indirmek amacıyla çalışmalar yapmaktadır.
a) Uyarı ve bilgilendirme: Siber olay öncesinde USOM tarafından hazırlanan bülten, duyuru gibi bilgileri,
b) Koordinasyon: Siber olay esnasında USOM ve varsa bağlı olduğu Sektörel SOME tarafından yapılan koordinasyonu,
c) Rapor, form ve bilgilendirme: Siber olay öncesi, esnası ve sonrasında USOM ve varsa bağlı olduğu Sektörel SOME tarafından talep edilen ve Kurumsal SOME’ler tarafından iletilen bilgileri ifade etmektedir.[3]
Görüldüğü üzere kurumlar siber güvenlik alanında daha düzenli ve sıkı hazırlık yapması planlanmıştır. Çıkarılan yönetmeliklerle kurumlardaki SOME ekiplerinin bilgi düzeyinin artırılması bunun yanında diğer SOME’ler ve USOM ile iletişime geçerek onların da bilgi paylaşımı sağlanarak, daha iyi savunma yapılaması istenmektedir. Örnekleyecek olursak bir kibrit çöpünü kırmak kolaydır ama aynı anda birden fazla kibrit çöpünü kırmak daha zordur. Burada birlikten kuvvet doğar felsefesi benimsenmiştir.
Şekil 1'den biraz bahsedecek olursak iki adet kurumsal SOME vardır. Bakanlıklar ve diğer tüm kamu kurumları kendi bünyelerinde Kurumsal SOME kurabilirler. İlk Sektörel SOME bağlı olup ikinci Kurumsal bakanlıklar ve bilgi işleme sahip diğer kamu kuruluşlarına aittir. Kurumsal SOME’lerin en önemli görevlerinden biri, kurumların bilgi işlem birimlerine destek olup siber güvenlik alanında alınabilecek önlemlerle ilgili tavsiyelerde bulunmaktır. USOM ve Sektörel SOME’lerden gelecek olan bilgilere göre aksiyon alırlar. Şekilde 1’de de gösterdiği gibi bir siber olay anında bağlı olduğu sektörel SOME’ye, yoksa USOM ile direk iletişime geçip kanunen yetkili makamlara bilgi verirler. [5]
Sektörel SOME’ler; Siber Güvenlik Kurulu tarafından kritik sektörler olarak belirlenen Enerji, Elektronik Haberleşme, Finans, Ulaşım, Su Yönetimi ve Kritik Kamu Hizmetleri olarak belirlenmiştir. Ayrıca kritik sektörler de Sektörel SOME kurulması zorunludur.
Sektörel SOME’ler bir saldırı anında direk olarak USOM ile iletişime geçmektedir. Ayrıca gecikmeksizin durumu kanunen yetkili makamlara bildirirler.[5]
Şekilde 1’de de belirtildiği gibi Sektörel SOME’ler USOM ile çift yönlü trafiğe sahiptir ve sürekli iletişim halindedir. Sektörel SOME’lerin diğer bir görevi sektörlerde farkındalık eğitimleri sunmak ve bireylerde siber güvenlik kabiliyetini artırmaktır.
Son olarak Siber Güvenlik Platformu IV düzenlediği etkinlikte konuşan sayın BTK başkanı Dr. Ömer Fatih Sayan şuana kadar 528 SOME ekibinin kurulduğunu belirtmiştir.
2016-2019 Ulusal Siber Güvenlik Stratejisi ve Eylem Planı
2016-2019 Ulusal Siber Güvenlik Stratejisi ve Eylem Planının ana amacı; siber güvenliğin ulusal güvenliğin ayrılmaz bir parçası olduğu anlayışının tüm kesimlerde yerleşmesi, ulusal siber uzayda bulunan sistem ve paydaşların tamamının güvenliğini sağlamak üzere idari ve teknolojik önlemlerin alınmasını sağlayacak yetkinliğin eksiksiz bir şekilde kazanılmasıdır. Bu ana amacı gerçekleştirmek üzere, hedeflerin ve alt eylem maddelerinin belirlenmesi, bunların gerçekleştirilmesinin sağlanması ve denetlenmesi de bu dokümanın amaçlarındandır.
Bu amaçlar doğrultusunda:
• Ulusal siber uzayın tamamını kapsamak şartıyla, bilgi teknolojileri üzerinden sağlanan her türlü hizmet, işlem ve bilgi/veri ile bunların sunumunda kullanılan sistemlerin güvenliğinin, gizliliğinin ve mahremiyetinin sağlanmasına,
• Siber güvenlik olaylarının etkilerinin en düşük düzeyde kalmasına, olayların ardından sistemlerin en kısa sürede normal çalışmalarına dönmesine yönelik stratejik siber güvenlik eylemlerinin belirlenmesine ve oluşan suçun adli makam ve kolluk kuvvetlerince daha etkin araştırılmasının ve soruşturulmasının sağlanmasına,
• Siber güvenliğin, gizliliğin ve mahremiyetin sağlanmasında kritik teknolojilerin ve ürünlerin ülkemizde üretilmesine, üretilemiyorsa, dışarıdan alınan teknoloji ve ürünlerin salt bu maksatla ve güvenle kullanılabilmesini sağlayacak önlemlerin alınmasına yönelik bileşenler bu planda yer almaktadır.[6]
Ulusal Güvenlik Stratejisi Eylem Planı'na göre ülkemizde yenilikçi stratejik adımların daha da güçlü atılacağı planlanarak, kamu özel sektör, üniversiteler, sivil toplum kuruluşları ve bütün paydaşlara sorumluluklar verilerek yeni bir eko sistemin oluşumunu sağlanacaktır. Bu plan ile paydaşların sorumlulukları daha net olarak belirlenecektir. Yeni eylem planının, siber tehditlere karşı mücadelemizde yeni bir açılımı, yeni bir dönemi de beraberinde getireceği beklenmektedir.
Siber Güvenlik Kurulu
Siber Güvenlik Kurulu', ülkemizin kritik altyapıları başta olmak üzere kişilere ve kurumlara yönelik olası saldırılara karşı tedbir almak, farkındalık oluşturmak ve olabilecek herhangi bir saldırı sonucu hasar meydana gelirse bunun zararlarını asgariye indirmek amacıyla çalışmalar yapmaktadır.
Siber Ordu
Siber Güvenlik alanında harekete geçen, Ulaştırma, Denizcilik ve Haberleşme Bakanlığı'nın geçtiğimiz günlerde yeni siber güvenlik eylem planını açıkladığından bahsetmiştim. Bakanlığın ardından harekete geçen bir diğer kurum ise, Devlet Denetleme Kurulu oldu. Sayın Cumhurbaşkanı Recep Tayyip Erdoğan'ın talimatıyla harekete geçen Devlet Denetleme Kurulu'nun müfettişler görevlendirdiği ve ABD, İsrail, Çin gibi siber güvenlik alanında oldukça ilerlemiş olan ülkelerde bu konuda yapılan çalışmaları incelediği ortaya çıktı. Kurulacak olan siber güvenlik ordusunun, tek çatı modelini benimseyeceği ve bu sayede tüm kurumlar için ortak bir siber güvenlik stratejisi uygulanacağı belirtiliyor. Böylece, kurumların siber saldırılara karşı mücadelede tek başına kalmaması sağlanacak.[7]
Siber ordu hakkında diğer bir güncel haberde Fransa'dan gelmiştir. Fransa Savunma Bakanı Jean-Yves Le Drian, Ocak Ayı'ndan itibaren faaliyete geçecek ve Genelkurmay Başkanlığı'na bağlı oluşturulacak siber operasyonlar komutanlığında 2 bin 600 siber savaşçının görev yapacağını belirtmiştir.
2017 yılında, son birkaç yılda yapılan çalışmalar daha da artırılmalıdır. Kağıt üzerinde iyi hazırlanan SOME’lerin pratik hale gelmesi için çalışmalar daha efektif hale getirilmelidir. Tüm kamu ve özel sektör kurum-kuruluşlarının, yapılan bu çalışmalara katkıları ile ülkemiz gelecek yıllara daha güvenli bakacaktır.
Fatih ÜNLÜ
Technical Support Engineer
Yorumlar
Yorum Gönder