Siber güvenliği hâlâ bilgisayarların, internet sitelerinin ve çalınan şifrelerin meselesi olarak görenler, dünyadaki gelişmelere biraz daha dikkatli bakmalı. Elektriğin, suyun, ulaşımın, üretimin ve gıda güvenliğinin aynı dijital sistemlere bağlı olduğu bir dönemdeyiz. Türkiye’nin dağınık yapıdaki siber güvenlik kurumlarını Siber Güvenlik Başkanlığı’nı kurarak koordinasyonu tek merkezde toplamasının önemi de bu gelişmelerle daha iyi anlaşılıyor.
Fransa’da ekim ayında görülen market soğutma sistemlerine yönelik saldırıların ardından, kasım başında başka Avrupa ülkelerinde de benzer olaylar yaşandı. Soğutucuların sıcaklıklarına müdahale edildi, ürünler bozuldu. Günlük hayatın sıradan bir parçası olarak gördüğümüz market dolapları bile ekonomik zarar verebilecek bir saldırının aracına dönüşebiliyor.
İngiltere Ulusal Siber Güvenlik Merkezi’nin (NCSC) 3 Kasım’da yayımladığı değerlendirme, tehdidin gideceği yönü gösteriyor. Merkez, 2028’e kadar İngiltere’nin kritik ulusal altyapısına yönelik bir fidye yazılımı saldırısında yapay zekâ destekli zararlı yazılım kullanılmasını yüksek ihtimal olarak görüyor. Aynı raporda siber operasyonların ekonomik sonuçları etkilemek ve devlet gücünü kullanmak için giderek daha fazla devreye sokulduğu belirtiliyor. Bu, Türkiye’nin de güvenlik ve ekonomi planlamasında dikkate alması gereken bir tablo.
Ancak her saldırıyı yapay zekâyla açıklamak da kolaycılık olur. NCSC Başkanı Richard Horne, yıllardır giderilmeyen açıkların artık çok daha hızlı ve geniş ölçekte kullanılabileceğine dikkat çekiyor. Kullanım ömrünü tamamlamış sistemler, ertelenen yenilemeler ve gereğinden fazla verilen erişim yetkileri, kurumların önünde biriken güvenlik borçları. Yapay zekâ bu zayıflıkların istismarını hızlandırırken savunma tarafına da açıkları daha erken bulma imkânı sağlıyor. Dolayısıyla yatırım kararının ve yönetim sorumluluğunun ağırlığı artıyor.
Türkiye’de bu konuyu yıllar önce gündeme taşıyıp takip etmemin sebebi de buydu. 8 Ekim 2013 tarihli “Füze mi, her yere ulaşan siber mi?” başlıklı yazımda, siber kabiliyetlerin savunma vizyonumuz içindeki yerini sorgulamıştım. Bugün üretimden enerjiye kadar uzanan saldırıları gördükçe, siber güvenliğe yapılan yatırımın ülkenin ekonomik ve stratejik gücü açısından taşıdığı değer daha açık ortaya çıkıyor.
Son 5 yıldan bu yana ise Türkiye’deki dağınık yapıya dikkat çekerek, Cumhurbaşkanlığına bağlı bir Siber Güvenlik Başkanlığı kurulması yönündeki çok sayıda yazı yazdım. Benim üzerinde durduğum husus, farklı bakanlık ve kurumların elindeki birikimin ortak bir yönetim ve sorumluluk düzeninde buluşmasıydı. Çünkü ülke çapındaki bir tehdide, her kurumun kendi sınırları içinden baktığı bir yapıyla cevap vermek güçleşiyordu.
Başkanlık kurulduktan sonra da aynı konuyu takip ettim. “Siber yetmez, TUA ve Ulusal Ulaşım’a da başkanlık gerekli…” bölümünde, kurumların kendi birimlerini koruma refleksini ve bakanlıklar üstü bir otorite ihtiyacını anlattım. Siber güvenlikte yaşanan bir sorunun ardından kurumların birbirini işaret etmesinin önüne geçilmesi gerekiyordu. Ortak tehdidi görecek, koordinasyonu sağlayacak ve sorumluluğu takip edecek bir merkez talebimin gerekçesi buydu.
Türkiye bu kurumsal adımı zamanında attı. 8 Ocak 2025’te yayımlanan kararnameyle Siber Güvenlik Başkanlığı kuruldu; 19 Mart 2025’te yayımlanan 7545 sayılı Siber Güvenlik Kanunu ile hukuki çerçeve güçlendirildi. Böylece dağınıklığı giderecek, politika ve koordinasyonu tek çatı altında yürütecek yapı oluşturuldu. Dünyada saldırıların günlük hayatı ve üretimi daha görünür biçimde etkilediği bir dönemde, bu kararın kıymetini teslim etmek gerekiyor.
Başkanlığın açıkladığı bilgilere göre mülga Dijital Dönüşüm Ofisinin siber güvenlik alanındaki uygulamaları ve envanteri de bu yapıya aktarıldı. Kamu kurumları, kritik altyapılar ve ilgili diğer kuruluşlara yönelik ikincil düzenleme çalışmaları sürüyor. Dolayısıyla kuruluşun ardından uygulama ve denetim düzeninin oluşturulduğu bir aşamadayız. Tek merkezli yapının sahadaki karşılığı; ortak standartların uygulanması, eksiklerin görülmesi ve giderilmesinin takip edilmesiyle ortaya çıkacak.
Burada kurumların da sorumluluğu var. “Başkanlık kuruldu, güvenliği o sağlasın” anlayışıyla hareket edilemez. Bir hastanenin yöneticisi kullandığı sistemlerin devamlılığından, bir fabrikanın yönetimi üretim altyapısının güvenliğinden, bir belediye de vatandaşın suyunu ve ulaşımını etkileyebilecek dijital risklerden sorumlu. Başkanlığın sağlayacağı ortak çerçeve, bu sorumlulukların daha açık ve takip edilebilir hâle gelmesini sağlamalı.
Ayrıca siber güvenlik alımlarında cihazın veya yazılımın ilk fiyatına bakarak karar verme alışkanlığını da sorgulamalıyız. Güncelleme desteği, bakım süresi, uzaktan erişim koşulları ve olay anında müdahale kabiliyeti satın alma kararının içinde olmalı. Destek süresi bitmiş bir sistemi birkaç yıl daha kullanarak sağlanan tasarruf, hizmet kesildiğinde çok daha büyük bir faturaya dönüşebilir.
Türkiye açısından bu sürecin bir de teknoloji ve insan kaynağı boyutu var. Yerli siber güvenlik şirketlerinin, üniversitelerin ve yetişmiş uzmanların ortak hedeflerle çalışabileceği bir ortam gerekiyor. Kamunun ihtiyacını tarif ettiği, ürünlerin güvenilirliğinin sınandığı ve başarılı çözümlerin ölçek kazanabildiği bir yapı, ülkenin savunmasını güçlendirirken ihracat imkânı da oluşturabilir. Başkanlığın koordinasyon gücü bu alanda da önemli bir fırsat.
