Cumhurbaşkanlığı Dijital Dönüşüm Ofisi Bilgi ve İletişim Güvenliği Rehberi (BİGR) uyum adımları, derecelendirme seviyeleri ve denetim rehberini inceleyin.
Hızlı Özet (TL;DR)
T.C. Cumhurbaşkanlığı Dijital Dönüşüm Ofisi (DDO) tarafından 2019/12 sayılı “Bilgi ve İletişim Güvenliği Tedbirleri” Genelgesi kapsamında yayımlanan Bilgi ve İletişim Güvenliği Rehberi (BİGR); tüm kamu kurum ve kuruluşları ile kritik altyapı niteliğinde hizmet sunan özel sektör işletmelerinin (enerji, elektronik haberleşme, su yönetimi, ulaşım, bankacılık/finans, kritik kamu hizmetleri ve savunma sanayii tedarik zinciri) ulusal siber güvenlik seviyesini standartlaştırmayı hedefleyen zorunlu bir teknik mevzuat çerçevesidir. Rehber; kurum bünyesindeki tüm bilgi işlem ve operasyonel teknoloji (OT/EKS) varlıklarının gizlilik, bütünlük ve erişilebilirlik etkilerine göre derecelendirilmesini, 1., 2. ve 3. Seviye sıkılaştırma tedbirlerinin eksiksiz uygulanmasını ve bağımsız denetim süreçleriyle doğrulanmasını şart koşar.
Cumhurbaşkanlığı 2019/12 Sayılı Genelgesi ve BİGR Yasal Çerçevesi
Küresel ölçekte devlet destekli gelişmiş sürekli tehdit (APT) gruplarının kamu ağlarını, enerji şebekelerini ve savunma sanayii üretim tesislerini hedef alması, Türkiye’de yalnızca tavsiye niteliğindeki uluslararası standartların (ISO/IEC 27001 gibi) ötesinde, yaptırım gücü olan ulusal bir teknik rehber ihtiyacını doğurmuştur. 6 Temmuz 2019 tarihli ve 30823 sayılı Resmî Gazete’de yayımlanan 2019/12 sayılı Cumhurbaşkanlığı Genelgesi ile temelleri atılan BİGR, kurumların “hangi kontrolü nasıl uygulayacağını” yoruma yer bırakmayacak netlikte tedbir maddeleriyle tanımlar.
Hangi Kurumlar ve Özel Sektör İşletmeleri BİGR Kapsamındadır?
BİGR yalnızca bakanlıkları ve belediyeleri kapsayan bir kamu dokümanı değildir. Rehberin uygulama kapsamı üç ana eksende genişler:
- Merkezi ve Yerel Kamu Kurumları: Bakanlıklar, bağlı/ilgili/ilişkili başkanlıklar, üniversiteler, büyükşehir ve il/ilçe belediyeleri ile kamu iktisadi teşebbüsleri (KİT).
- Kritik Altyapı İşletmeleri: Enerji üretim ve dağıtım şirketleri, doğalgaz ve petrol boru hattı işletmecileri, telekomünikasyon operatörleri, finans kuruluşları, liman, havalimanı ve demiryolu işletmeleri.
- Kamu ve Savunma Tedarikçileri (Özel Sektör): Kamu kurumlarına yazılım geliştiren, veri merkezi/bulut hizmeti sunan, sistem entegratörlüğü yapan veya savunma sanayii ana yüklenicilerine (ASELSAN, TUSAŞ, ROKETSAN, HAVELSAN vb.) kritik alt sistem üreten sanayi kuruluşları. Savunma tedarik zincirindeki fabrikalarda BİGR tedbirleri, EYDEP ve Savunma Sanayii İmalat Ağ ve Siber Güvenlik denetimleriyle doğrudan örtüşmektedir.
Ulusal Karasallık ve Veri Egemenliği İlkeleri
2019/12 sayılı Genelge ve BİGR’in en keskin kırmızı çizgilerinden biri veri karasallığı ilkesidir. Kritik bilgi ve verilerin Türkiye Cumhuriyeti sınırları içerisindeki fiziksel sunucularda veya yerli bulut altyapılarında barındırılması, kurumsal e-posta sistemlerinin yurt dışı merkezli genel bulut servisleri yerine kurum kontrolündeki yerel sunucularda yapılandırılması ve nüfus, sağlık ile iletişim kayıtlarının hiçbir koşulda yurt dışına çıkarılmaması yasal bir zorunluluktur.
BİGR Güvenlik Derecelendirmesi ve Uygulama Seviyeleri
Rehber, “her varlığa aynı maliyette güvenlik uygulanamaz” mühendislik prensibiyle hareket eder. Kurum içindeki her bir varlık grubu; Gizlilik (Confidentiality), Bütünlük (Integrity) ve Erişilebilirlik (Availability) kriterleri üzerinden yapılan etki analizi sonucunda üç güvenlik derecesinden birine atanır:
| Derece Seviyesi | Kapsam ve İhlal Etkisi Tanımı | Zorunlu Teknik ve İdari Güvenlik Tedbirleri |
|---|---|---|
| Seviye 1 (Temel) | Güvenlik ihlalinin kurum içi günlük operasyonları sınırlı etkilediği, telafisi kolay varlıklar | Güçlü parola politikası, merkezi uç nokta koruma (Antivirüs), düzenli yama yönetimi, temel güvenlik duvarı ve yedekleme |
| Seviye 2 (Orta) | İhlalin kamu düzeninde, ticari sırda veya kurumsal itibarda orta/ciddi düzey aksama yarattığı varlıklar | Seviye 1’e ek olarak; İki faktörlü kimlik doğrulama (2FA/MFA), VLAN ağ segmentasyonu, 802.1X NAC, 5651 yasal loglama ve DLP |
| Seviye 3 (Yüksek) | Kritik altyapı duruşu, can kaybı, büyük ekonomik zarar veya ulusal güvenlik riski doğuran varlıklar | Seviye 1 ve 2’ye ek olarak; Donanımsal HSM, EDR/XDR, tam fiziksel izolasyon (Air-Gap) veya veri diyotu, SIEM/SOC ve çift hat yedeklilik |
6 Temel Varlık Grubunda Zorunlu Teknik Tedbirler
BİGR, denetlenecek altyapıyı 6 ana varlık grubuna ve bunları destekleyen uygulama/teknoloji alanlarına ayırır. Saha denetimlerinde teknik uzmanların doğrudan konfigürasyon dosyalarını açarak kontrol ettiği başlıca maddeler şunlardır:
1. Ağ ve Sistem Güvenliği: Segmentasyon, NAC ve Güvenli Uzaktan Erişim
- Varsayılan Yapılandırmaların Kaldırılması: Tüm kenar anahtarların (Switch), yönlendiricilerin ve güvenlik duvarlarının varsayılan yönetim parolaları değiştirilmeli, güvensiz protokoller (
Telnet,HTTP,SNMPv1/v2c) tamamen kapatılarak yalnızcaSSHv2,HTTPSveSNMPv3kullanılmalıdır. - Mantıksal ve Fiziksel Ağ Ayrımı: Sunucu çiftliği (Server Farm), son kullanıcı bilgisayarları, misafir kablosuz ağı, IP kameralar/IoT cihazları ve üretim sahası (OT) ayrı VLAN’larda izole edilmeli; VLAN’lar arası geçişler Güvenlik Duvarı Firewall üzerinde en az yetki (Least Privilege) kuralıyla denetlenmelidir.
- 802.1X Port Tabanlı Erişim Kontrolü: Kurum yerleşkesindeki duvar prizlerine yabancı bir dizüstü bilgisayar takıldığında ağa dahil olmaması için MAC/Sertifika tabanlı 802.1X NAC (Network Access Control) uygulanmalıdır.
- Uzaktan Erişim Güvenliği: Sistem yöneticilerinin ve dış yüklenicilerin sunuculara doğrudan RDP (3389) veya SSH (22) portu açarak bağlanması kesinlikle yasaktır; tüm bağlantılar çok faktörlü kimlik doğrulamalı (MFA) SSL-VPN ve merkezi Jump-Host / PAM (Privileged Access Management) üzerinden kayıt altına alınarak gerçekleştirilmelidir.
2. Uygulama, Veri ve Taşınabilir Cihaz Güvenliği (DLP ve Kriptografi)
Seviye 2 ve Seviye 3 olarak derecelendirilen bilgi sistemlerinde kurumsal verinin uç noktalardan dışarı sızmasını engellemek adına sıkı kontroller uygulanır:
- Kullanıcı bilgisayarlarında USB bellek ve harici disk kullanımı merkezi grup politikaları (GPO) veya uç nokta ajanlarıyla kapatılmalı; iş gereği zorunlu olan durumlarda yalnızca seri numarası tanımlı kurumsal şifreli bellekler DLP Çözümleri üzerinden içerik taramasına tabi tutularak açılmalıdır.
- Veritabanlarında tutulan hassas veriler (T.C. kimlik numaraları, özlük bilgileri, Ar-Ge reçeteleri) disk üzerinde şifrelenmeli (TDE - Transparent Data Encryption) ve test/geliştirme ortamlarına aktarılırken mutlaka dinamik veya statik veri maskeleme işleminden geçirilmelidir.
3. Endüstriyel Kontrol Sistemleri (EKS / SCADA / PLC) Güvenliği
BİGR, üretim tesislerini ve kritik altyapıları doğrudan ilgilendiren özel bir Endüstriyel Kontrol Sistemleri (EKS) Güvenliği bölümüne sahiptir. Bu bölüm uyarınca; SCADA sunucuları, HMI panelleri ve PLC kontrolcüleri kurumsal ofis ağından (IT) mutlaka endüstriyel güvenlik duvarları veya tek yönlü veri diyotları (Data Diode) ile ayrılmalı, EKS ağında kullanılan endüstriyel protokoller (Modbus TCP, S7Comm, PROFINET, OPC-UA) derin paket analiziyle (DPI) izlenmelidir.
8 Adımlı BİGR Uyum ve Bağımsız Denetim Yol Haritası
Cumhurbaşkanlığı DDO tarafından yayımlanan Bilgi ve İletişim Güvenliği Denetim Rehberi, kurumların uyum ve denetim sürecini 8 ardışık fazda yürütmesini zorunlu kılar:
| Faz No | Süreç Adımı | Yürütülen Temel Mühendislik ve Yönetim Faaliyeti | Çıktı Dokümanı / Kanıt |
|---|---|---|---|
| Adım 1 | Hazırlık ve Organizasyon | Üst yönetim onayıyla BİGR Uyum Ekibi ve Denetim Ekibinin kurulması | Görevlendirme Oluru ve Proje Planı |
| Adım 2 | Varlık Envanteri ve Gruplama | Tüm fiziksel/sanal sunucu, ağ cihazı, uygulama ve OT varlıklarının çıkarılması | BİGR Varlık Envanteri Tablosu |
| Adım 3 | Kritiklik Derecelendirmesi | Anket ve etki analizleriyle her varlık grubunun Seviye 1, 2 veya 3 olarak tespiti | Varlık Kritiklik Derecelendirme Raporu |
| Adım 4 | Boşluk Analizi (Gap Analysis) | Mevcut altyapının hedef seviyedeki tedbir maddeleriyle tek tek karşılaştırılması | Mevcut Durum ve Boşluk Analizi Raporu |
| Adım 5 | Tedbir Uygulama ve Telafi | Eksik güvenlik donanımlarının, sıkılaştırma ayarlarının ve prosedürlerin devreye alınması | Telafi Planı ve Uygulama Kanıtları |
| Adım 6 | Teknik Doğrulama ve Sızma Testi | TSE onaylı standartlarda zaafiyet taraması ve sızma testlerinin icra edilmesi | Sızma Testi (Pentest) Raporu |
| Adım 7 | Bağımsız Denetim | Yetkili denetçiler tarafından tedbirlerin örnekleme ve kanıt incelemesiyle denetlenmesi | BİGR Denetim Sonuç Raporu |
| Adım 8 | DDO Bildirimi ve Sürekli İzleme | Denetim sonuçlarının ve eylem planlarının DDO sistemine yüklenmesi | Resmi DDO Onay Kaydı |
BİGR Denetiminde En Sık Karşılaşılan Bulgular ve Düzeltici Faaliyetler
Saha denetimlerinde kurumların en çok “Uyumsuz” veya “Kısmen Uyumlu” puan aldığı kritik noktalar şunlardır:
- Merkezi Loglama ve Zaman Senkronizasyonu Eksikliği: Ağ cihazları ve sunucularda NTP (Network Time Protocol) senkronizasyonunun yapılmamış olması ve logların 5651 sayılı kanuna uygun zaman damgasıyla değiştirilemez biçimde saklanmaması. Bu bulgu, 5651 Yasal Loglama ve SIEM entegrasyonuyla kapatılır.
- Ayrıcalıklı Hesapların (Domain Admin) Günlük Kullanımı: Sistem yöneticilerinin internete çıkan standart bilgisayarlarında
Domain Adminyetkisiyle oturum açması. Çözüm olarak yönetici hesapları ayrıştırılmalı ve LAPS (Local Administrator Password Solution) devreye alınmalıdır. - Yedeklerin Geri Dönüş Testlerinin Yapılmaması: Yedek alındığının varsayılması ancak son 6 ay içinde izole bir ortamda geri yükleme (Restore) tatbikatı yapılarak tutanak altına alınmamış olması.
Kurumunuzun veya üretim tesisinizin Cumhurbaşkanlığı DDO BİGR standartlarına tam uyumu, ağ sıkılaştırma mimarisi ve TSE standartlarında denetim hazırlığı için Sızma Testi (Pentest) sayfamızı inceleyebilir, uzman siber güvenlik mühendislerimizden destek alabilirsiniz.
Sıkça Sorulan Sorular
DDO Bilgi ve İletişim Güvenliği Rehberi (BİGR) ile ISO 27001 arasındaki temel fark nedir?
ISO/IEC 27001 uluslararası bir bilgi güvenliği yönetim sistemi çerçevesidir ve kurumun kendi risk analizine göre hangi kontrolleri seçeceğini esnek bırakır (“ne yapılması gerektiğini” söyler, “nasıl yapılacağını” kuruma bırakır). BİGR ise doğrudan Türkiye’nin ulusal güvenlik ihtiyaçlarına göre hazırlanmış, her varlık seviyesi için uygulanması zorunlu teknik konfigürasyonları (örneğin şifreleme algoritmalarını, log saklama sürelerini, karasallık şartını ve ağ izolasyon kurallarını) net emir cümleleriyle tanımlayan kural tabanlı bir teknik mevzuattır. ISO 27001 belgesine sahip olmak BİGR muafiyeti sağlamaz.
Özel sektördeki bir üretim veya yazılım firması neden BİGR denetimine tabi olur?
Bir özel sektör firması; kamu kurumlarına yazılım, donanım veya bulut hizmeti sağlıyorsa, enerji/ulaşım/finans gibi kritik altyapı sektörlerinde faaliyet gösteriyorsa ya da savunma sanayii ana yüklenicilerine alt yüklenici olarak üretim yapıyorsa sözleşmesel ve yasal olarak BİGR tedbirlerini karşılamakla yükümlüdür. İhalelerde ve tedarikçi güvenlik denetimlerinde BİGR uyumluluğu doğrudan ön yeterlilik kriteri olarak aranmaktadır.
BİGR uyum sürecinde “Telafi Edici Kontrol” (Compensating Control) ne zaman uygulanır?
Eski nesil bir endüstriyel makine (örneğin Windows XP gömülü çalışan bir CNC tezgahı veya özel bir laboratuvar cihazı) üzerinde teknik kısıtlar nedeniyle rehberin istediği güncel antivirüs ajanı veya işletim sistemi yaması kurulamıyorsa “Telafi Edici Kontrol” devreye alınır. Bu durumda makine ana ağdan tamamen ayrılmış özel bir mikro-segment VLAN içine alınır, önüne endüstriyel güvenlik duvarı konularak sadece beyaz listedeki (Whitelist) IP ve portlarla konuşmasına izin verilir ve bu mimari gerekçesiyle birlikte denetim raporunda belgelenir.