ABD Savunma Bakanlığı (DoD) CMMC siber güvenlik olgunluk modeli nedir? FCI ve CUI veri güvenliği, seviyeler ve savunma ihracatçıları kılavuzu. İnceleyin.
Hızlı Özet (TL;DR)
CMMC (Cybersecurity Maturity Model Certification - Siber Güvenlik Olgunluk Modeli Belgelendirmesi), ABD Savunma Bakanlığı (DoD) tedarik zincirinde yer alan tüm küresel yüklenici ve alt yüklenicilerin siber güvenlik duruşunu doğrulamak için geliştirilmiş resmi standarttır. ABD savunma sanayiine parça, hammadde, alt sistem veya yazılım ihraç eden Türk savunma ve havacılık firmalarının CMMC belgelendirmesini tamamlaması, uluslararası savunma ihalelerine teklif verebilmek ve mevcut tedarik sözleşmelerini sürdürebilmek için zorunlu hale getirilmiştir.
Savunma Tedarik Zincirinde CMMC 2.0 Mimarisi Neden Zorunlu Oldu?
Küresel savunma sanayii ekosisteminde ana yükleniciler (Prime Contractors) doğrudan askeri ağlarla korunurken, siber casusluk grupları (APT) hedeflerini tedarik zincirinin daha zayıf halkaları olan alt yüklenicilere (Tier-1, Tier-2 ve Tier-3 üreticiler) çevirmiştir. Geçmiş yıllarda DFARS 252.204-7012 maddesi kapsamında firmaların kendi kendilerini denetleyerek (Self-Attestation) NIST SP 800-171 uyumluluğunu beyan etmesi yeterli görülüyordu. Ancak saha denetimlerinde birçok üreticinin Sistem Güvenlik Planı (SSP) hazırladığı halde teknik kontrolleri fiilen devreye almadığı tespit edildi.
CMMC 2.0 modeli, beyana dayalı eski yaklaşımı ortadan kaldırarak bağımsız üçüncü taraf denetim kuruluşları (C3PAO - CMMC Third-Party Assessment Organizations) tarafından gerçekleştirilen kanıt odaklı sertifikasyon sürecini getirmiştir. Türkiye’de özellikle Ankara, Eskişehir, İstanbul ve Bursa merkezli havacılık ve savunma sanayii kümelenmelerinde faaliyet gösteren hassas talaşlı imalat, kompozit parça, aviyonik kablaj ve gömülü yazılım üreticileri için bu standart, küresel pazarda kalabilmenin ön koşuludur. Kurumların hem yerli savunma sanayii ve imalat siber güvenlik kriterlerini hem de uluslararası CMMC gereksinimlerini tek bir entegre mimaride birleştirmesi, denetim maliyetlerini ve operasyonel yükü büyük ölçüde azaltmaktadır.
FCI ve CUI Veri Sınıflandırması Arasındaki Teknik Farklar
CMMC uyumluluk sürecinin ilk ve en kritik adımı, işletmenin ağında işlenen, depolanan veya iletilen verinin türünü doğru teşhis etmektir:
- FCI (Federal Contract Information - Federal Sözleşme Bilgileri): Kamuya açık olmayan, doğrudan bir devlet sözleşmesi kapsamında üretilen veya sağlanan idari ve ticari verilerdir. Sipariş teslim takvimleri, sözleşme metinleri ve standart faturalandırma detayları bu kapsama girer.
- CUI (Controlled Unclassified Information - Kontrollü Tasnif Edilmemiş Bilgi): Gizli (Classified) statüsünde olmamakla birlikte, ulusal güvenlik ve ihracat kontrol mevzuatları (ITAR, EAR) uyarınca korunması gereken hassas teknik verilerdir. 3 boyutlu CAD/CAM modelleri (
.step,.iges,.dwg), balistik test sonuçları, alaşım reçeteleri, tolerans paftaları, G-code üretim dosyaları ve PCB şemaları doğrudan CUI kapsamındadır.
CMMC 2.0 Seviyeleri ve Kapsamı
CMMC 2.0 çerçevesi, korunan bilginin gizlilik derecesine ve maruz kalınan tehdit profiline göre 3 kademeli bir olgunluk yapısına ayrılmıştır:
| CMMC Seviyesi | Hedef Bilgi Türü | Uygulanan Standart | Denetim Biçimi | SPRS Puanlama ve POA&M Kuralı |
|---|---|---|---|---|
| Seviye 1 (Temel) | FCI (Federal Sözleşme Bilgileri) | FAR 52.204-21 (17 Temel Uygulama) | Yıllık Kurum İçi Öz Değerlendirme (Üst Yönetim Onaylı) | Eksik kontrole izin verilmez; 17 maddenin tamamı karşılanmalıdır |
| Seviye 2 (Gelişmiş) | CUI (Kontrollü Tasnif Edilmemiş Bilgi) | NIST SP 800-171 Rev 2 (14 Aile, 110 Güvenlik Kontrolü) | Üç Yılda Bir Bağımsız C3PAO Denetimi | 110 tam puan hedeflenir; sınırlı maddelerde 180 günlük POA&M hakkı tanınır |
| Seviye 3 (Uzman) | Kritik Ulusal Güvenlik CUI Verileri | NIST SP 800-171 + NIST SP 800-172 (24 Gelişmiş APT Kontrolü) | Doğrudan Savunma Bakanlığı (DIBCAC) Müfettiş Teftişi | Seviye 2 tam uyumu üzerine 7/24 SOC ve gelişmiş tehdit avcılığı şarttır |
CMMC Seviye 2 Kapsamında Kritik Zorunluluklar
Savunma sanayii ihracatçılarının büyük çoğunluğu teknik resim ve üretim verisi işlediği için doğrudan CMMC Seviye 2 kapsamına girmektedir. NIST SP 800-171 standardındaki 14 kontrol ailesi ve 110 güvenlik gereksinimi içinden sahada en sık denetlenen teknik başlıklar şunlardır:
- Erişim Kontrolü (Access Control - AC) ve Kimlik Doğrulama (IA): CUI verisi barındıran dosya sunucularına, PDM/PLM sistemlerine ve ERP ekranlarına yalnızca onaylı cihazlardan ve yetkili personelin Çok Faktörlü Kimlik Doğrulama (MFA) ile erişebilmesi zorunludur. Ayrıcalıklı yönetici hesapları (Domain Admin) ile standart kullanıcı hesapları kesinlikle ayrıştırılmalıdır.
- Veri Şifreleme (System and Communications Protection - SC): Taşınan (In-Transit) ve depolanan (At-Rest) tüm savunma verilerinin yalnızca sıradan şifreleme ile değil, doğrudan FIPS 140-2 veya FIPS 140-3 onaylı kriptografik modüllerle şifrelenmesi şarttır. Uç nokta bilgisayarlarda BitLocker ve sunucu disklerinde donanımsal şifreleme aktif olmalıdır.
- Sistem ve İletişim Koruması (Ağ İzolasyonu): Kurumsal ağın mikrosegmentasyonla bölünmesi, CUI verilerinin tüm fabrika ağına yayılmasını engellemek için izole bir CUI Enclave (Güvenli Alt Ağ) kurulması ve uç noktalarda taşınabilir depolama birimlerine (USB) tam blokaj yapılması gerekir.
- Denetim ve Hesap Verebilirlik (Audit and Accountability - AU): Ağdaki tüm oturum açma denemeleri, dosya erişimleri ve yetki değişiklikleri merkezi bir log sunucusunda toplanmalı, zaman damgasıyla bütünlüğü korunmalı ve korelasyon kurallarıyla izlenmelidir. Bu süreçte KVKK ve 5651 yasal loglama altyapılarıyla entegre çalışan SIEM mimarileri denetçilere doğrudan kanıt sunar.
- Olay Müdahale Planı (Incident Response - IR): Şüpheli siber saldırıların ve olası CUI sızıntılarının DoD kurallarına (DFARS 7012) uygun biçimde en geç 72 saat içinde raporlanmasını sağlayan, tatbikatlarla doğrulanmış bir müdahale prosedürü bulunmalıdır.
İmalat Sahasında CUI Enclave (İzole Alt Ağ) Kurulum Stratejisi
Bir savunma sanayii fabrikasında 200 bilgisayar ve 50 CNC tezgahı bulunuyorsa, tüm fabrikayı CMMC Seviye 2 kapsamına sokmak hem lisans maliyetlerini katlar hem de üretimi yavaşlatır. Saha mühendisliğinde uygulanan en verimli yöntem Kapsam Daraltma (Scoping ve CUI Enclave) mimarisidir.
Ağ Segmentasyonu ve Veri Akış Kontrolü
CUI verileriyle yalnızca Ar-Ge mühendisleri, kalite kontrol birimi ve belirli CNC operatörleri çalışıyorsa; yeni nesil güvenlik duvarı (Firewall) çözümleri üzerinde bu birimler için tamamen yalıtılmış bir VLAN ve sanal masaüstü (VDI) ortamı inşa edilir. Muhasebe, insan kaynakları veya standart idari personel bu alt ağa fiziksel veya mantıksal olarak erişemez. Böylece C3PAO denetçisi geldiğinde yalnızca izole edilen 25-30 uç nokta ve ilgili sunucular denetim kapsamına (Assessment Scope) dahil edilir.
SPRS Puanlama Sistemi ve SSP / POA&M Hazırlığı
Denetim öncesinde her firmanın NIST SP 800-171 DoD Değerlendirme Metodolojisine göre kendi puanını hesaplayıp SPRS (Supplier Performance Risk System) portalına girmesi gerekir. Tam uyum puanı 110’dur. Eksik olan her kontrol maddesi, kritiklik ağırlığına göre 1, 3 veya 5 puan düşürür (puan eksi değerlere kadar inebilir).
Denetime girebilmek için ağ mimarisini, veri akış diyagramlarını ve 110 kontrolün nasıl karşılandığını adım adım açıklayan Sistem Güvenlik Planı (SSP) dokümanı eksiksiz hazırlanmalıdır. Eğer denetim sırasında tamamlanmamış tali maddeler varsa, bunlar POA&M (Plan of Action and Milestones - Eylem ve Kilometre Taşları Planı) listesine alınır ve en geç 180 gün içinde kapatılması şartıyla şartlı onay verilir. Ancak MFA, FIPS şifreleme veya ağ segmentasyonu gibi 5 puan değerindeki çekirdek kontroller POA&M listesine bırakılamaz; denetim anında %100 çalışır durumda olması zorunludur.
CMMC uyumlu şifreleme, USB port kontrolü ve veri sızıntısı önleme mimarisi için DLP Veri Güvenliği sayfamızı, ağ zafiyetlerinizi denetim öncesinde tespit etmek için Sızma Testi (Pentest) hizmetlerimizi inceleyebilirsiniz.
Sıkça Sorulan Sorular
Türkiye’deki alt yükleniciler CMMC denetimine girmek zorunda mıdır?
Evet. CMMC standardı coğrafi sınırlama gözetmeksizin ABD Savunma Bakanlığı tedarik zincirindeki tüm yerli ve yabancı firmaları kapsar. Doğrudan DoD ile sözleşmeniz olmasa bile, Boeing, Lockheed Martin, Raytheon gibi küresel ana yüklenicilere veya onların Türkiye’deki Tier-1 ortaklarına CUI niteliğinde teknik resim veya parça tedarik ediyorsanız, sözleşmelerdeki “Flow-Down” (Alt Yükleniciye Aktarım) maddesi gereği CMMC uyumluluğunu sağlamak zorundasınız.
Yerli TGB ve EYDEP denetimleri CMMC yerine geçer mi?
Hayır, doğrudan birbirinin yerine geçmez ancak teknik altyapı olarak %80’in üzerinde örtüşür. Savunma Sanayii Başkanlığı (SSB) tarafından yürütülen EYDEP siber güvenlik kriterleri ve Milli Savunma Bakanlığı Tesis Güvenlik Belgesi (TGB) fiziksel/dijital güvenlik şartları; ağ izolasyonu, DLP, merkezi loglama ve erişim kontrolü bakımından NIST SP 800-171 ile paraleldir. Bu altyapıyı doğru kuran bir tesis, dokümantasyonunu (SSP) ve kriptografi standartlarını (FIPS 140-2) uyarlayarak CMMC denetiminden çok daha hızlı geçebilir.
CMMC Seviye 2 hazırlık süreci ortalama ne kadar sürer?
Bir imalat işletmesinin mevcut BT olgunluğuna bağlı olarak hazırlık süreci ortalama 4 ila 9 ay arasında tamamlanır. İlk 1-2 ayda CUI veri envanteri çıkarılır ve boşluk analizi (Gap Analysis) yapılır. Takip eden 2-4 ayda güvenlik duvarı segmentasyonu, CUI Enclave kurulumu, DLP, MFA ve SIEM/loglama sıkılaştırmaları devreye alınır. Son aşamada ise Sistem Güvenlik Planı (SSP) olgunlaştırılarak C3PAO denetimi öncesinde iç sızma testleri ve kanıt kontrolleri gerçekleştirilir.