ABD savunma ihracat kontrolleri ITAR ve EAR nedir? Teknik veri (Technical Data) koruması, yabancı personel kısıtlamaları ve siber güvenlik tedbirleri.
Hızlı Özet (TL;DR)
ITAR (International Traffic in Arms Regulations - Uluslararası Silah Trafiği Düzenlemeleri) ve EAR (Export Administration Regulations - İhracat İdaresi Düzenlemeleri), Amerika Birleşik Devletleri menşeili savunma sanayii parçalarının, havacılık teknolojilerinin ve hem sivil hem askeri amaçla kullanılabilen çift kullanımlı (Dual-Use) mühendislik ürünlerinin küresel transferini denetleyen çok sıkı ihracat kontrol yasalarıdır. Türkiye’deki savunma, havacılık ve hassas talaşlı imalat firmaları; ABD’li ana yüklenicilerle (Boeing, Lockheed Martin, Pratt & Whitney, Raytheon vb.) veya bunların Tier-1 tedarikçileriyle çalıştıklarında, kendilerine iletilen 3D CAD çizimlerini, üretim toleranslarını ve kalite dökümanlarını ITAR/EAR siber güvenlik standartlarına göre izole etmek ve korumakla yükümlüdür.
ITAR ve EAR Arasındaki Temel Fark Nedir?
Her iki düzenleme de ABD teknolojisinin yetkisiz ülkelere veya kişilere geçmesini engellemeyi amaçlar ancak kapsamları ve denetleyici kurumları farklıdır:
- ITAR (22 CFR 120-130): ABD Dışişleri Bakanlığı Savunma Ticareti Kontrolleri Direktörlüğü (DDTC) tarafından yönetilir. Doğrudan askeri kullanım, silah sistemleri, askeri havacılık ve uzay parçalarını kapsayan USML (United States Munitions List) listesindeki kalemleri ve bunlara ait tüm teknik verileri denetler.
- EAR (15 CFR 730-774): ABD Ticaret Bakanlığı Sanayi ve Güvenlik Bürosu (BIS) tarafından yönetilir. Sivil ticari havacılıkta da kullanılan ancak askeri potansiyeli olan çift kullanımlı (Dual-Use) malzemeleri, özel alaşımları, sensörleri ve yazılımları kapsayan CCL (Commerce Control List) listesindeki ECCN kodlu ürünleri denetler.
ITAR Kapsamında “Teknik Veri” (Technical Data) ve “Varsayılan İhracat” (Deemed Export)
Savunma sanayii alt yüklenicilerinin en sık yanılgıya düştüğü konu, ihracat kontrolünün sadece üretilen metal parçanın gümrükten geçmesiyle ilgili olduğunu sanmaktır. Oysa ITAR/EAR mevzuatına göre Teknik Veri (Technical Data), fiziksel parçanın kendisi kadar sıkı korunan dijital bir varlıktır:
- Parçanın 3 boyutlu CAD modelleri (STEP, IGES, CATPart, SolidWorks) ve 2 boyutlu PDF/DWG teknik resimleri
- CNC tezgahlarında parçayı işlemek için hazırlanan CAM projeleri, takım yolları ve G-kodları
- Özel ısıl işlem, kaplama, NDT (Tahribatsız Muayene) ve CMM ölçüm raporları
- Mühendislik hesaplamaları, sonlu elemanlar analizi (FEA) çıktıları ve montaj yönergeleri
Varsayılan İhracat (Deemed Export) Tehlikesi Nedir?
ITAR ve EAR kurallarına göre; kontrol altındaki bir teknik çizimin kendi fabrikanızın sınırları içinde bile olsa lisans kapsamı dışındaki yabancı uyruklu bir personele, alt fasoncuya veya yurt dışındaki güvensiz bir bulut sunucusuna gösterilmesi veya elektronik postayla gönderilmesi, o silah teknolojisinin ilgili ülkeye fiziksel olarak ihraç edilmesiyle (Deemed Export) birebir aynı suç sayılır. Örneğin Türkiye’deki bir tedarikçinin ABD’den aldığı ITAR kısıtlı bir çizimi, bakanlık onayı (TAA / MLA) olmaksızın yetkisiz bir üçüncü taraf fason atölyeyle paylaşması ağır bir ihlaldir.
Bilgi İşlem (IT) Ekiplerinin Alması Gereken Teknik Güvenlik Tedbirleri
ITAR, EAR ve bunların siber güvenlik karşılığı olan NIST SP 800-171 / CMMC standartlarına uyum sağlamak için imalatçı firmaların BT altyapısında uygulaması gereken zorunlu kontroller şunlardır:
| Güvenlik Katmanı | ITAR / EAR Yasal Gereksinimi | Sahada Uygulanacak Teknik Çözüm |
|---|---|---|
| Kimlik ve Erişim Yönetimi (IAM) | Teknik veriye yalnızca yetkilendirilmiş ve güvenlik taramasından geçmiş personelin erişimi | Active Directory üzerinde sıkı RBAC (Rol Bazlı Erişim), proje klasörü izolasyonu ve Çok Faktörlü Kimlik Doğrulama (MFA) |
| Veri Egemenliği ve Bulut Yasağı | Teknik verinin ABD/Türkiye dışındaki genel bulut sunucularına (Rusya, Çin vb. erişimli düğümler) çıkışı yasaktır | Genel bulut dosya paylaşım sitelerinin (WeTransfer, kişisel Drive, Dropbox) güvenlik duvarından bloklanması; yerel sunucu kullanımı |
| Kriptografi ve Şifreleme | Teknik çizimlerin hem diskte dururken (At Rest) hem de ağda taşınırken (In Transit) şifrelenmesi | FIPS 140-2 / 140-3 onaylı algoritmalarla (AES-256 ve TLS 1.3) uçtan uca disk ve iletişim şifrelemesi |
| Çıkarılabilir Medya ve DLP Kontrolü | CAD/CAM dosyalarının USB belleklere, harici disklere veya kişisel e-postalara kopyalanmasının önlenmesi | Merkezi DLP (Veri Sızıntısı Önleme) ajanlarıyla USB portlarının kapatılması, ekran görüntüsü ve yazdırma denetimi |
| CNC ve OT Ağ İzolasyonu | Üretim sahasındaki CNC tezgahlarına gönderilen G-kodlarının dış ağdan izole edilmesi | CNC tezgahlarının internete kapalı özel bir OT VLAN’ına alınması ve merkezi güvenli DNC yazılımıyla program aktarımı |
| Denetim İzi (Audit Logs) | Teknik dosyayı kimin, hangi saatte açtığının, değiştirdiğinin veya sildiğinin değiştirilemez kaydı | SIEM ve dosya sunucusu erişim loglarının zaman damgalı olarak en az 5 yıl boyunca saklanması |
Savunma Tedarikçilerinde Güvenli Dosya ve DNC Mimarisi Nasıl Kurulur?
ITAR veya EAR kapsamındaki bir projeyi yürüten fabrikada teknik resimler asla çalışanların kendi masaüstü bilgisayarlarında (C:\Masaüstü) tutulmamalıdır. Tüm proje verileri, şifreli disk havuzlarına sahip merkezi bir Ortak Dosya Sunucusu ve Yedekleme altyapısında barındırılmalıdır.
Mühendislik ekibi çizimleri bu güvenli sunucu üzerinde işlerken, uç noktalarda çalışan DLP Veri Güvenliği yazılımı dosyanın dışarıya sızmasını engeller. Üretim aşamasında ise CAM kodları USB belleklerle taşınmak yerine, Savunma Sanayii Ağ ve Siber Güvenlik mimarisine uygun olarak izole ağ üzerinden doğrudan CNC tezgahının kontrol ünitesine aktarılır.
Fabrikanızın uluslararası savunma ve havacılık ihracat kontrollerine (ITAR, EAR, NIST 800-171 ve EYDEP) tam uyumlu siber güvenlik altyapısına kavuşması için uzman mühendislik ekibimizden danışmanlık alabilirsiniz.
Sıkça Sorulan Sorular
ITAR veya EAR kapsamındaki teknik çizimleri WhatsApp veya standart e-posta ile paylaşabilir miyiz?
Kesinlikle hayır. Standart e-posta protokolleri (SMTP) ve tüketici tipi mesajlaşma uygulamaları (WhatsApp, Telegram vb.) verileri yurt dışındaki çoklu bulut sunucuları üzerinden geçirir ve ITAR’ın uçtan uca FIPS 140-2 şifreleme ile veri egemenliği şartlarını ihlal eder. Dosya transferleri yalnızca şifreli kurumsal SFTP/MFT portalları üzerinden yapılmalıdır.
Fabrikamızda yabancı uyruklu veya çifte vatandaş mühendis çalışması ITAR açısından sorun yaratır mı?
Evet, ITAR’da “Dual National / Third-Country National” kuralları çok katıdır. ABD Dışişleri Bakanlığı (DDTC) tarafından onaylanmış teknik yardım anlaşmasında (TAA) çalışanın vatandaşı olduğu ülke açıkça onaylanmamışsa, o personelin ITAR klasörlerine ve üretimdeki ilgili parçanın teknik resimlerine fiziksel veya dijital olarak erişmesi Active Directory ve fiziksel geçiş kontrol sistemleriyle engellenmelidir.
ITAR ve EAR kurallarının ihlal edilmesi durumunda uygulanacak yaptırımlar nelerdir?
İhlallerin tespit edilmesi halinde ABD makamları olay başına 1 milyon dolara varan idari para cezaları kesebilmekte, ilgili şirketi Debarred List (Kara Liste) kapsamına alarak tüm ABD savunma ve havacılık projelerinden süresiz olarak men edebilmektedir.