Milli Savunma Bakanlığı (MSB) Tesis Güvenlik Belgesi (TGB) alma sürecinde bilgi sistemleri güvenliği, kontrollü oda ve siber güvenlik gereksinimleri rehberi.
Hızlı Özet (TL;DR)
Tesis Güvenlik Belgesi (TGB); 5202 sayılı Savunma Sanayii Güvenliği Kanunu ve Milli Savunma Bakanlığı (MSB) Teknik Hizmetler Dairesi Başkanlığı (Savunma Sanayii Millî Güvenlik Makamı) tarafından yürütülen MSY 317-2(C) Savunma Sanayii Güvenliği Yönergesi uyarınca, gizlilik dereceli (“Özel”, “Gizli”, “Çok Gizli”) savunma projelerinde görev alacak tesislerin fiziksel, personelsel, evrak ve bilişim güvenliği standartlarını eksiksiz karşıladığını belgeleyen resmi sertifikadır. TGB denetiminden başarıyla geçebilmek için gizlilik dereceli verilerin işlendiği Otomatik Bilgi İşlem Sistemlerinin (OBİS) internetten ve genel şirket ağından fiziksel olarak tamamen izole edilmesi (Air-Gap), kontrollü odalarda çalıştırılması, çevre birimlerinin donanımsal/yazılımsal olarak kilitlenmesi ve tüm veri hareketlerinin değiştirilemez biçimde kayıt altına alınması zorunludur.
5202 Sayılı Kanun, MSY 317-2(C) Yönergesi ve TGB Hukuki Çerçevesi
Türkiye’nin savunma, havacılık ve uzay sanayii ekosisteminde ana yükleniciler (ASELSAN, TUSAŞ, ROKETSAN, HAVELSAN, STM, BMC, ASFAT vb.) veya doğrudan Milli Savunma Bakanlığı ile Savunma Sanayii Başkanlığı (SSB) tarafından açılan gizlilik dereceli ihalelere katılabilmenin, teknik şartname alabilmenin ve alt yüklenici sözleşmesi imzalayabilmenin ilk ön şartı geçerli bir Tesis Güvenlik Belgesine (TGB) sahip olmaktır.
Gizlilik Dereceleri ve Millî / NATO TGB Ayrımı
Savunma projelerinde üretilen bilgi, teknik resim (CAD/CAM), yazılım kaynak kodu ve donanımlar; yetkisiz kişilerin eline geçmesi durumunda ulusal güvenliğe vereceği zararın boyutuna göre dört gizlilik derecesine ayrılır:
- Hizmete Özel (Unclassified / Restricted): Yalnızca bilmesi gereken yetkili personelin erişimine açık olan, temel şifreleme ve ağ erişim kontrolleriyle korunan bilgilerdir.
- Özel (Confidential): İzinsiz açıklanması halinde millî menfaatlere veya kurumsal güvenliğe zarar verebilecek nitelikteki projelerdir; TGB gerektirir.
- Gizli (Secret): Açığa çıkması halinde millî güvenliği, askeri operasyonları veya kritik savunma projelerini ciddi biçimde tehlikeye sokacak verilerdir; yüksek seviyeli TGB ve akredite izole OBİS gerektirir.
- Çok Gizli (Top Secret): İfşa olması halinde devletin bekasına ve hayati güvenlik çıkarlarına telafisi imkânsız zararlar verebilecek stratejik verilerdir.
Ayrıca tesisin görev alacağı projelerin niteliğine göre Millî Gizli TGB ve uluslararası müttefik projeleri için NATO Gizli TGB olmak üzere iki ayrı akreditasyon süreci yürütülür.
Personel Güvenlik Belgesi (PGB) ve Güvenlik Koordinatörlüğü
Tesisin fiziksel ve bilişim altyapısının güvenli olması tek başına yeterli değildir. TGB başvurusunda bulunan kuruluşta bir Tesis Güvenlik Koordinatörü atanmalı ve gizlilik dereceli bilgilere erişecek yönetim kurulu üyeleri, Ar-Ge mühendisleri, CNC/CMM operatörleri ile bilgi işlem sistem yöneticileri için güvenlik soruşturması ve arşiv araştırması yapılarak Personel Güvenlik Belgesi (PGB) alınmalıdır. PGB’si olmayan hiçbir personel (dış destek/bakım firması çalışanları dahil) kontrollü OBİS odasına veya gizlilik dereceli terminal ekranlarına yaklaşamaz.
TGB Denetiminde Bilgi Sistemleri (OBİS / IT) Kriterleri Matrisi
MSB denetim heyeti tarafından yerinde gerçekleştirilen incelemelerde, Otomatik Bilgi İşlem Sistemleri (OBİS) başlığı altında kontrol edilen temel teknik kriterler ve uygulama standartları aşağıdaki tabloda özetlenmiştir:
| Güvenlik Alanı | MSY 317-2(C) Yönerge Şartı | Saha Mühendisliği Uygulama Yöntemi |
|---|---|---|
| Fiziksel İzole Ağ (Air-Gap) | Gizlilik dereceli veriler internete veya genel ofis ağına bağlı bilgisayarlarda işlenemez | Fiziksel olarak tamamen ayrı kablolama, ayrı switch ve internetsiz bağımsız sunucu/terminaller |
| Kontrollü OBİS Odası | Gizli verilerin işlendiği bilgisayar ve sunucuların fiziksel emniyeti | Penceresiz/demir parmaklıklı oda, biyometrik/kartlı geçiş, 7/24 CCTV kamera, yangın/iklimlendirme |
| Elektromanyetik Koruma (TEMPEST) | İstenmeyen elektromanyetik yayılımlarla (emisyon) ekran/kablo dinlemesinin önlenmesi | Zırhlı STP/Fiber kablolama, dış duvardan mesafe, filtreli güç hatları ve gerektiğinde TEMPEST kabin |
| USB ve Çevre Birimi Kilidi | İzole sistemlerden dışarıya kontrolsüz veri kopyalamanın engellenmesi | BIOS/UEFI parolası, fiziksel USB port tıpaları, optik sürücü sökümü ve merkezi DLP Çözümleri |
| Kriptolu Veri Taşıma | Zorunlu veri aktarımlarında açık medya kullanımının yasaklanması | Yalnızca MSB/TÜBİTAK BİLGEM onaylı donanımsal kriptolu bellekler ve kayıt defteri (Log Book) |
| Manyetik Ortam İmhası | Arızalanan veya kullanım ömrü dolan disklerin tesis dışına çıkarılamaması | Yüksek güçlü Degausser (manyetik silici) veya fiziksel parçalama/eritme ile tutanaklı imha |
| Denetim İzi (Audit Logging) | İzole sistemlerdeki her oturum, dosya erişimi ve yazdırma işleminin kaydı | Manipüle edilemeyen yerel log sunucusu ve 5651 Yasal Loglama standartlarında zaman damgalı arşiv |
Otomatik Bilgi İşlem Sistemleri (OBİS) ve Kontrollü Oda Mühendisliği
Savunma sanayii adaylarının TGB hazırlık sürecinde en çok zorlandığı aşama, genel şirket bilgi işlem altyapısı ile TGB kapsamındaki OBİS (Otomatik Bilgi İşlem Sistemi) altyapısının sınırlarını doğru çizmektir.
1. Fiziksel Air-Gap (Hava Boşluklu) Mimari ve Kablosuz İletişim Yasağı
Gizlilik dereceli (“Özel” veya “Gizli”) verilerin görüntülendiği, tasarlandığı veya saklandığı bilgisayarlarda ve sunucularda:
- Kesinlikle internet bağlantısı bulunamaz ve bu cihazlar şirketin standart ERP/muhasebe/e-posta VLAN ağına (Firewall kurallarıyla ayrılmış olsa bile) fiziksel olarak bağlanamaz; %100 fiziksel Air-Gap (Hava Boşluğu) zorunludur.
- OBİS bilgisayarlarının anakartları üzerindeki dahili Wi-Fi, Bluetooth ve Kızılötesi modülleri yalnız yazılımsal olarak kapatılmakla kalmamalı, donanımsal olarak anakarttan sökülmeli veya BIOS seviyesinde kalıcı olarak devre dışı bırakılmalıdır.
- Kontrollü OBİS odasına cep telefonu, akıllı saat, ses kayıt cihazı, fotoğraf makinesi veya şahsi dizüstü bilgisayar sokulması kesinlikle yasaktır; oda girişinde kilitli cep telefonu emanet dolapları bulundurulmalıdır.
2. Kontrollü Bölge, Ekran Görüş Açısı ve Yazıcı (Çıktı) Kontrolü
OBİS terminallerinin bulunduğu kontrollü odada bilgisayar ekranları kapı açıldığında dışarıdan veya koridordan görünmeyecek açıyla yerleştirilmeli, gerekiyorsa ekranlara hayalet ekran (Privacy Filter) takılmalıdır. Odaya yalnızca yetkili PGB sahibi personelin kartlı/biyometrik okuyucu ile girişine izin verilmeli, giriş-çıkış logları ile kapıyı gören (ancak bilgisayar ekranlarını görmeyen!) güvenlik kamerası kayıtları en az 60–90 gün saklanacak kapasitede Ortak Dosya Sunucusu ve Yedekleme disk havuzlarında tutulmalıdır.
Eğer kontrollü odada bir yazıcı (Printer) bulunuyorsa; bu yazıcı ağ yazıcısı değil doğrudan OBİS sistemine bağlı izole bir yazıcı olmalı, dahili sabit diski bulunmamalı (veya kriptolu olmalı) ve alınan her kağıt çıktıya sayfa numarası, gizlilik derecesi kaşesi ve evrak kayıt numarası vurularak Kontrollü Evrak Kayıt Defterine işlenmelidir. Hatalı basılan müsvedde kağıtlar ise oda içindeki Çapraz Kesim (Cross-Cut DIN P-4/P-5) Evrak İmha Makinesi ile anında parçalanmalıdır.
3. İşletim Sistemi Sıkılaştırması (Hardening) ve Güvenlik Denetimi
İzole OBİS bilgisayarlarında ve sunucularında Windows Server / Windows Pro veya Linux işletim sistemleri MSB’nin yayımladığı OBİS Güvenlik Yapılandırma Kılavuzlarına göre sıkılaştırılır:
- Her kullanıcı kendi adına tanımlanmış tekil kullanıcı adı ve karmaşık parolayla oturum açar; ortak hesap (
Admin,Arge1vb.) kesinlikle kullanılamaz. - Ekran koruyucu zaman aşımı en fazla 5–10 dakika olarak ayarlanır ve parola korumalı otomatik ekran kilidi zorunlu tutulur.
- Başarısız oturum açma denemeleri (örn: 5 hatalı girişte hesabın kilitlenmesi), USB takılma girişimleri, yetkisiz dosya erişimleri ve sistem saati değişiklikleri Windows Event Log / Syslog üzerinden merkezi olarak toplanır.
Üretim Sahasında (CNC / CAD-CAM) Savunma Sanayii Ağ Güvenliği ve EYDEP Uyumu
TGB kapsamındaki bir talaşlı imalat veya savunma yan sanayi fabrikasında süreç yalnızca kontrollü odadaki CAD tasarımıyla bitmez; hazırlanan G-Code (NC programı) ve üretim operasyon föylerinin atölyedeki CNC tezgahlarına ve CMM (Üç Boyutlu Ölçüm) cihazlarına güvenli şekilde aktarılması gerekir. İşte bu noktada TGB kuralları ile SSB’nin EYDEP (Endüstriyel Yetkinlik Değerlendirme ve Destekleme Programı) siber güvenlik kriterleri birleşir:
- Genel üretime ait (“Tasnif Dışı” veya “Hizmete Özel”) ağlarda dahi üretim sahası (OT), ofis ağından (IT) donanımsal güvenlik duvarı, 802.1X NAC ve izole DNC sunucularıyla ayrılmalıdır.
- Şirketin genel kurumsal ağı düzenli olarak Sızma Testi (Pentest) denetimlerinden geçirilmeli, uç noktalarda DLP Çözümleri ile teknik resimlerin (
STEP,IGES,SLDPRT,DWG,PDF) kişisel e-postalara, WhatsApp Web’e veya bulut depolama sitelerine yüklenmesi bloklanmalıdır.
Fabrikanızın Milli Savunma Bakanlığı TGB denetimlerine ve SSB EYDEP kriterlerine hazırlanması, kontrollü OBİS odası kurulumu, izole ağ mimarisi ve uç nokta veri sızıntısı önleme projeleri için Savunma Sanayii İmalat Ağ ve Siber Güvenlik ve kurumsal veri koruma için DLP Çözümleri sayfalarımızı inceleyebilirsiniz.
Sıkça Sorulan Sorular
Tesis Güvenlik Belgesi (TGB) olmadan savunma sanayii firmalarına üretim yapılabilir mi?
“Tasnif Dışı” veya yalnızca “Hizmete Özel” gizlilik derecesine sahip standart mekanik parçaların tedarikinde ana yükleniciler her zaman TGB şartı aramayabilir; ancak bu durumda dahi alt yüklenicinin EYDEP siber güvenlik kriterlerini, ISO 27001 standardını ve gizlilik sözleşmesi (NDA) kapsamındaki ağ/DLP tedbirlerini sağlaması istenir. Projenin gizlilik derecesi “Özel”, “Gizli” veya “Çok Gizli” olduğunda ise 5202 sayılı Kanun gereği TGB ve PGB olmadan teknik şartnamenin paylaşılması dahi yasal olarak mümkün değildir.
Kontrollü OBİS odasındaki izole bilgisayarların antivirüs ve yama güncellemeleri internet olmadan nasıl yapılır?
Air-Gap (internetten tamamen izole) OBİS sistemleri güncellenirken asla sisteme geçici internet kablosu takılmaz. Güncelleme paketleri ve çevrimdışı antivirüs imza veritabanları (Offline Definition Updates) dış ağdaki bir bilgisayarda indirilir, bütünlük özetleri (SHA-256) kontrol edilir, tek kullanımlık optik medyaya (CD/DVD-R) veya MSB onaylı donanımsal kriptolu/zararlı taramasından geçmiş özel aktarım belleğine yazılır ve Tesis Güvenlik Koordinatörü gözetiminde tutanakla izole sisteme yüklenir.
Tesis Güvenlik Belgesi (TGB) kaç yıl geçerlidir ve denetimler tekrarlanır mı?
Milli Savunma Bakanlığı tarafından verilen Tesis Güvenlik Belgesi (TGB) kural olarak 5 yıl süreyle geçerlidir ve 5. yılın sonunda yenileme denetimi yapılır. Ancak MSB Savunma Sanayii Millî Güvenlik Makamı, bu 5 yıllık süre içerisinde önceden haber vererek veya habersiz (ani) denetimler gerçekleştirerek kontrollü OBİS odasının aktifliğini, log kayıtlarını, evrak defterlerini ve personel güvenlik belgelerini yerinde denetleme yetkisine sahiptir.