TÜRKSAT SORGU platformu kamu ve özel sektörde bilgi güvenliği yönetimini tek merkezden hedefliyor

Gelişmenin çerçevesi

Edinilen bilgiye göre SORGU adlı platform, TÜRKSAT AŞ'nin bilgi güvenliği alanındaki birikimi kullanılarak geliştirildi. Platformun temel amacı, kurumların bilgi teknolojileri altyapısını tek merkezden yönetebilmesini sağlamak. Bu çerçevede varlık envanteri yönetimi, risk analizi, uyumluluk kontrolleri ve otomatik denetim süreçleri aynı yapıda bir araya getiriliyor.

Yerli ve milli nitelikte tanımlanan sistemle kamu ve özel sektördeki bilgi güvenliği süreçlerinin dijital ortama taşınması, siber risklerin önceden belirlenmesi ve denetim faaliyetlerinin etkinleştirilmesi öngörülüyor. Bu bilgiler ise ürünün kullanıma açılma tarihi, yasal dayanağı ve uygulanacağı kurumlara ilişkin ayrıntı içermiyor. Gelişme, bu nedenle tam kapsamı henüz belli olmayan bir ürünün ana hatlarını ortaya koyan bir duyuru niteliğinde.

Teknik işlevler ve izleme kapasitesi

Platformun en çok öne çıkan işlevi, kurum ağındaki donanım, yazılım ve veri varlıklarını tanımlayarak altyapıdaki değişiklikleri izlemesi. Sistem, zaman tüneli üzerinde gerçekleşen değişimleri versiyonlu olarak kaydedecek; böylece ağdaki küçük bir yapılandırma değişikliği ya da yetkisiz erişim girişimi anında saptanabilecek. Bildirilen akışa göre bu tespitler, ayrıntılı bir denetim izinin oluşturulmasına dayanıyor.

Bu yapı, güvenlik açıklarının veri ihlaline dönüşmeden önce belirlenmesini hedefliyor. Platform, olay gerçekleştikten sonra müdahale eden bir araçtan çok, değişiklik kaydı ve sürekli izleme yoluyla önleyici bir gözetim sağlamayı amaçlıyor. Hedeflenen işlevin ne ölçüde otomatik çalışacağı, hangi veri kaynaklarını okuyacağı ve yetkilendirme modelinin nasıl kurulacağı ise açıklanmış değil.

Kişisel veriler açısından kapsam

Bildirilen metinde SORGU'nun, vatandaşların kimlik, sağlık, eğitim ve finans gibi en hassas kişisel verilerinin korunmasında rol üstlenmesi öngörülüyor. Platformun bu verilerin bulunduğu sistemlerdeki olası zafiyetleri, bir ihlal yaşanmadan önce tespit edebileceği belirtiliyor.

Bu ifadeler, platformun bir güvenlik ve denetim aracı olarak konumlandığını gösteriyor. Ancak kişisel verilerin hangi kurumlarda ve hangi işleme faaliyetleri kapsamında izleneceği, sistemin erişim kayıtlarına veya veri içeriğine ne ölçüde temas edeceği metinde belirtilmiyor. Veri sorumlusu ve işleyen rollerinin nasıl dağıtılacağı da açık değil. Platformun kişisel veri koruma mevzuatıyla ilişkisi, kullanım sözleşmeleri ve denetim yetkisinin kime ait olacağı konuları kesinleşmiş değil.

Standartlar ve denetim raporlaması

Metne göre platform, özellikle kamu kurumlarının uyması gereken Bilgi ve İletişim Güvenliği (BİG) Rehberi ile ISO 27001 standardı kapsamındaki süreçlerin dijital ortamda yürütülmesine imkan tanıyor. Bu, uyum yönetiminin ayrı ayrı belgelerle takip edilen işlemlerden sistem içinde kayıt ve kontrol akışlarına taşınması anlamına geliyor.

Denetim sürecinin sonunda ilgili mercilere iletilmesi gereken Bilgi ve İletişim Güvenliği Denetim Sonuç Raporu'nun da platform tarafından otomatik hazırlanacağı bildiriliyor. Raporun hangi merciye, hangi biçimde ve hangi dönemlerde iletileceği metinde yer almıyor. Otomatik üretilen raporun hukuki geçerliliği ve onay süreçleri de açıklanmış değil.

TÜRKSAT'ın mevcut siber güvenlik faaliyetleri

TÜRKSAT AŞ'nin 2024 Yılı Faaliyet Raporu'ndan derlenen bilgilere göre şirket, kamu kurum ve kuruluşları ile yükseköğretim kurumlarına Yönetilen Güvenlik Hizmetleri, siber güvenlik operasyon merkezi altyapı projeleri, test ve simülasyon ile danışmanlık hizmetleri sundu. Bu hizmetler, SORGU'nun duyurulan kapsamıyla aynı alanda, bilgi güvenliği ihtiyacına yönelik bir hizmet geçmişi oluşturuyor.

Aynı derlemede, şirketin Risk Yönetim Politikası'nı 2024'te revize ettiği ve politikanın yürürlüğe girdiği belirtiliyor. Bu politika doğrultusunda TÜRKSAT'ın varlıklarının risk yönetim süreçlerine uygun biçimde izlendiği ifade ediliyor. Bu bilgi, SORGU'nun varlık ve risk odaklı yaklaşımının şirketin mevcut iç yönetim çerçevesiyle ilişkili olabileceğini düşündürüyor; ancak iki yapının teknik ya da kurumsal olarak bağlantılı olduğu bildirilmiş değil.

Türksat Bulut ve yerli altyapı çerçevesi

TÜRKSAT'ın yerli bulut platformu Türksat Bulut'un tanıtıldığı ve bu kapsamda Yerli Bulut Hizmetleri İşbirliği Protokolü'nün imzalandığı bildiriliyor. Platform, OpenStack tabanlı açık kaynak mimarisiyle hayata geçirilmiş; kamu kurumlarının ve özel sektörün bulut depolama, büyük veri, yapay zeka ve kritik iş yüklerini yerli altyapıda karşılayabileceği ifade ediliyor.

Bu girişimle SORGU arasındaki ilişki metinlerde kurulmuş değil. İki duyuru da TÜRKSAT'ın dijital egemenlik ve yerli altyapı çerçevesiyle örtüşüyor; ancak biri bulut hizmeti, diğeri bilgi güvenliği yönetimi platformu olarak farklı işlevlere işaret ediyor. Türksat Bulut'un tanıtım tarihi de metinde yer almadığından iki girişimin zamansal ilişkisi kesin olarak değerlendirilemez.

Nedenler: artan denetim yükü ve veri hassasiyeti Analiz

Metinlerden çıkan ilk olası neden, kurumların bilgi güvenliği yükünün artmasıdır. SORGU'nun sunulan işlevleri; varlık envanteri, risk analizi ve uyumluluk kontrollerinin tek yerde toplanmasını ve kamu kurumlarının BİG Rehberi ile ISO 27001 gibi standartlara uyumunun sürdürülmesini öne çıkarıyor. Bu, denetim ve kayıt yükünün dağınık biçimde yürütüldüğü bir ortamda merkezi bir çözüm arayışı olarak okunabilir.

İkinci neden, işlenen kişisel verilerin hassasiyetidir. Kimlik, sağlık, eğitim ve finans verilerinin korunmasına yönelik bir aracın, olası zafiyetleri ihlal öncesinde gösterme kapasitesiyle gerekçelendirilmesi bu yorumu destekliyor. Dolayısıyla platformun gerekçesi yalnızca teknik güvenlikle değil, veri sorumluluğuyla da ilgili görünüyor.

Üçüncü olarak, TÜRKSAT'ın 2024'te kamu kurumlarına siber güvenlik hizmeti vermesi ve yerli bulut çerçevesini genişletmesi, kurumsal bir altyapının önceden hazır olduğunu düşündürüyor. Ancak metinler SORGU'nun bu hatlardan doğup doğmadığını göstermiyor; nedenler bu nedenle yorum düzeyinde kalıyor.

Olası sonuçlar: kurumlar ve denetim Analiz

Platform hayata geçerse kurumların bilgi güvenliği yönetimi tek bir arayüzde toplanabilir. Varlık envanteri, risk analizi ve uyumluluk kontrollerinin birlikte yürütülmesi, kritik sistemlerin önceliklendirilmesini ve güvenlik yatırımlarının risk durumuna göre planlanmasını kolaylaştırabilir. Bu etki, kurumların envanter verisini ne kadar eksiksiz girdiğine bağlı olacaktır.

Denetim tarafında, BİG Rehberi ve ISO 27001 süreçlerinin dijital yürütülmesi ile raporların otomatik üretilmesi, denetimlerin izlenebilirliğini artırabilir. Bu etkinin gerçekleşmesi, denetim mercilerinin dijital raporu kabul edip etmesine ve platformdan üretilen kayıtların hangi usulle geçerli sayılacağına bağlı olacak.

Öte yandan tüm varlık verisinin tek bir platformda toplanması, bu platformun güvenliğini kritik bir konu hâline getirir. Merkezi bir yönetim aracında yaşanacak bir güvenlik aksaklığı birden çok kurumu etkileyebilir. Bu olasılık metinlerde ele alınmamış; yalnızca yapısal bir sonuç olarak not edilmelidir.

Karşı ihtimaller ve sınırlar Analiz

Platformun açıklanan işlevleri önleyici bir güvenlik katmanı sunma iddiası taşıyor. Ancak 'önceden tespit' ifadesi, sistemin ne kadar kapsamlı veri topladığı, hangi yapılandırma kayıtlarını okuyabildiği ve yanlış alarmları nasıl ayırdığı konusunda bilgi vermiyor. Bu nedenle etkinlik, bildirilen hedeflerle sınırlı bir değerlendirme konusu olarak kalıyor.

Karşı görüşün önemli bir noktası, kamu ve özel sektörü aynı platformda bir araya getirmenin yetki ve veri sınırlarını bulanıklaştırabileceğidir. Kamu kurumlarının denetim verisi ile özel şirketlerin iş verisinin aynı altyapıda bulunması, hangi tarafın hangi kayıtlara erişeceği sorusunu doğurur. Metin bu konuda bir güvence vermiyor.

Bir başka olasılık, platformun kullanımının zorunlu ya da fiilen tercih edilen bir araca dönüşmesidir. Bunun hukuki bir yükümlülüğe dönüşüp dönüşmeyeceği bilinmiyor; metinde böyle bir düzenleme ya da zorunluluk anılmıyor.

Açık kalan sorular Açık soru

Birincisi, SORGU'nun ticari bir ürün mü yoksa kamusal bir proje mi olduğu, hangi kurumlara sunulacağı ve kullanım bedelinin nasıl belirleneceği açık değil. İkincisi, platformun kullanım koşulları, veri işleme sözleşmeleri ve erişim yetkileri belirlenmiş değil. Üçüncüsü, hedeflenen önleyici etkinin ölçülebilir bir kriterle değerlendirilip değerlendirilmeyeceği metinde yer almıyor.

Dördüncüsü, TÜRKSAT'ın 2024 faaliyet raporunda anılan risk yönetimi ve siber güvenlik hizmeti çerçevesinin SORGU'nun geliştirilmesinde ne ölçüde kullanıldığı netleşmesi gereken bir noktadır. Bu sorular yanıtlanmadan platformun kamu ve özel sektördeki bilgi güvenliğine ne ölçüde katkı sağlayacağına dair kesin bir sonuca varılamaz.

Bu yazı Saygılı Yarlıg AI tarafından kamuya açık bilgiler araştırılarak hazırlanmıştır; bilgilendirme amaçlıdır, hukuki görüş değildir.