Bilgi ve İletişim Güvenliği Rehberi, Türkiye’de kamu kurumlarının ve kritik altyapı işleten kuruluşların uygulaması beklenen güvenlik önlemlerini tek bir çerçevede toplayan, Cumhurbaşkanlığı Dijital Dönüşüm Ofisi tarafından yayımlanmış ulusal bir dokümandır. İşlevi, dağınık iyi uygulamaları kuruma somut, denetlenebilir gereksinimler haline getirmektir.

Rehber, ulusal güvenlik açısından hassas verinin nerede, hangi asgari önlemlerle korunacağını kurumlar için ortak ve denetlenebilir bir dile çeviren çerçevedir.

Neyi Düzenler?

Rehberin çıkış noktası, bir kurumdaki her verinin aynı hassasiyette olmadığıdır. Bu yüzden ilk adım varlıkların ve verinin kritiklik derecesine göre sınıflandırılmasıdır; alınacak önlemin ağırlığı bu sınıflandırmaya göre belirlenir. Kritik seviyedeki bir veri için beklenen kontroller, sıradan bir kurum içi belgeye göre çok daha katıdır ve bazı hassas verilerin yurt dışına çıkmaması ya da belirli izolasyon koşullarında tutulması gibi net kısıtlar getirir.

Rehber ağ güvenliğinden uygulama geliştirmeye, erişim yönetiminden log kaydına kadar geniş bir teknik alanı adım adım ele alır. Ancak bunları tek tek maddeler yığını olarak değil, kurumda kalıcı bir yönetim sistemi kurma hedefiyle sunar; yani amaç bir kez önlem almak değil, bu önlemleri sürekli işleyen bir düzene bağlamaktır.

Yönetim Sistemiyle İlişkisi

Rehberin beklediği süreklilik, uluslararası standartlarla örtüşür. Kurumun risk tabanlı, dokümante ve denetlenen bir yapı kurması beklentisi, doğrudan bir bilgi güvenliği yönetim sistemi mantığına dayanır. Bu nedenle daha önce olgun bir yönetim sistemi kurmuş bir kurum, rehbere uyum yolunda önemli bir mesafeyi zaten kat etmiş olur.

Uygulama Nasıl Yürür?

Uygulama tipik olarak bir mevcut durum analiziyle başlar: kurum kendini rehbere göre değerlendirir, açık kalan maddeleri çıkarır ve bir uyum yol haritası kurar. Bu değerlendirmenin sağlıklı olması, altında yatan sağlam bir risk değerlendirme metodolojileri temeline bağlıdır; hangi açığın önce kapatılacağı, o açığın taşıdığı riske göre sıralanır. Süreç, özellikle enerji, ulaşım ve haberleşme gibi alanlarda doğrudan kritik altyapı güvenliği gündemiyle iç içe geçer.

Kuruma Etkisi

Rehbere uyum, kurum için hem yasal bir zorunluluk hem de savunma olgunluğunu ölçmenin ortak bir cetvelidir; farklı kurumlar aynı çerçeveye göre değerlendirildiği için karşılaştırılabilir bir taban oluşur. Uyumun sürekliliği ise kurumun kendi iç denetim ve bağımsız denetim işleviyle düzenli olarak sınanmasına bağlıdır. Kontrollerin mimari düzeyde rehberle ne kadar örtüştüğünü görmek için Privia’nın Altyapı ve mimari gözden geçirme hizmetimiz bir başlangıç boşluk analizi ortaya koyar.