28 Nisan 2025 İspanya, Portekiz ve Fransa’da Milyonları Etkileyen Geniş Çaplı Elektrik Kesintisi

Yazar: Mert Umul

28 Nisan 2025 Pazartesi günü, İspanya ve Portekiz’i etkileyen geniş çaplı bir elektrik kesintisi milyonlarca insanın hayatını durma noktasına getirdi. Öğle saatlerinde başlayan kesinti, Madrid, Barselona, Lizbon gibi büyük şehirlerde hayatı felç etti. Trafik ışıkları söndü, trenler ve metrolar durdu, havaalanlarında uçuşlar aksadı, ATM’ler devre dışı kaldı, internet bağlantısı ve mobil iletişim hizmetleri çöktü. Madrid Açık Tenis Turnuvası’nda maçlar askıya alındı, restoranlar mum ışığında hizmet vermeye çalıştı. Şehir merkezlerinde yoğun trafik ve yaya kaosu yaşandı.

İspanya İçişleri Bakanlığı ulusal acil durum ilan ederek ülke genelinde 30 bin polis görevlendirildi. Hükümet yetkilileri acil kabine toplantıları düzenlerken, Başbakan Pedro Sánchez halka acil durum hatlarını sadece mecbur kalındığında aramaları çağrısında bulundu. Portekiz Başbakanı Luís Montenegro ise ülkesindeki tüm devlet kurumlarının çalışmaya devam ettiğini, ancak durumun ciddi olduğunu açıkladı.

Kesintinin nedeni başlangıçta belirsizliğini korudu. Ancak kısa süre içinde İspanyol enerji şebekesi operatörü Red Eléctrica (REE) ve Portekizli muadili REN, olayın İspanya'daki bir teknik arıza tarafından tetiklendiğini bildirdi; Portekizli yetkililer ise, İspanya iç bölgelerindeki ani sıcaklık değişimlerinin 400 kV’lik yüksek gerilim hatlarında "atmosferik titreşim"e yol açtığını ve bunun Avrupa'nın bağlı elektrik şebekelerinde frekans dengesizliğine neden olarak zincirleme santral kapanmalarını tetiklediğini belirtti. Avrupa standartlarına göre 50Hz olması gereken şebeke frekansının düşmesi sonucu, Fransa dahil birçok bölgede enerji arzı geçici olarak kesildi.

Siber saldırı ihtimali gündeme gelse de, hem İspanya hem de Portekiz yetkilileri böyle bir bulguya ulaşamadıklarını belirttiler. Yine de İspanya Ulusal Güvenlik Konseyi toplantıya çağrılarak olası tüm senaryoları ele aldı. Avrupa Komisyonu yetkilileri de olayın bir sabotaj değil, doğa koşullarından kaynaklı bir teknik arıza olduğu yönünde ilk bulguları paylaştı.

Kesinti başladığında, Madrid ve Barselona gibi büyük kentlerde binlerce kişi toplu taşıma araçlarında mahsur kaldı. Trafik ışıklarının devre dışı kalması şehir içi ulaşımı felç etti, marketlerde ve ATM'lerde uzun kuyruklar oluştu. Elektronik ödeme sistemleri çöktüğü için birçok iş yeri yalnızca nakit ödeme kabul etmek zorunda kaldı. Bazı bölgelerde su pompalarının devre dışı kalması nedeniyle içme suyu erişiminde aksamalar yaşandı. İnternet ve mobil iletişim ağlarında kesintiler meydana geldi. Madrid ve Barselona’da insanlar sokaklara döküldü; metrolar çalışmayınca, çoğu evine yürüyerek dönmek zorunda kaldı.

İlk saatlerin ardından, Red Eléctrica kuzeyde Bask bölgesi, doğuda Barselona ve güneyde Endülüs gibi bölgelere kademeli olarak elektrik vermeye başladı. Saatler ilerledikçe ülke genelindeki enerji arzı yeniden toparlandı. Pazartesi gecesi itibarıyla İspanya’nın %61’inde elektrik sağlandı. Salı sabahı 6:00 itibarıyla ise İspanya'nın %99,16'sında enerji yeniden verilmişti.

Portekiz’de de benzer bir süreç yaşandı. REN, gece yarısından önce 85 ana enerji istasyonunun tamamında elektrik arzını yeniden sağladı. Ancak Lizbon’un bazı bölgelerinde ve güneydeki Portimão gibi şehirlerde kesintiler gece boyu devam etti. Metro hatları ve tren seferleri sabah saatlerinde kısmi olarak tekrar açıldı. Madrid metrosu sabah 8:00 itibarıyla %80 kapasiteyle çalışmaya başladı.

Uzmanlar, yaşanan kesintinin Avrupa'nın elektrik ağlarının düşündüğümüz kadar sağlam olmadığını bir kez daha gösterdiğini ifade etti. Geçmişte benzer sorunlar 2003'te İtalya’da, 2006'da Almanya’da ve 2015’te Türkiye’de milyonlarca insanı etkilemişti. İspanya ve Portekiz hükümetleri, olayın teknik analizinin tamamlanmasının ardından ilave önlemler alınacağını açıkladı.

Avrupa’daki bu kesinti, Türkiye’nin 31 Mart 2015’te yaşadığı benzer bir olayı da hatırlattı. O tarihte ülke genelinde yaşanan büyük elektrik kesintisi, Kıta Avrupası sisteminde son 15 yılın üçüncü büyük arızası olarak kayda geçti. ENTSO-E ve TEİAŞ tarafından yayımlanan rapora göre, sorun frekans sapmaları, aşırı yüklenmeler ve santral tepkilerinden kaynaklanmıştı. Ancak hızlı müdahale ve yedekli sistemler sayesinde kriz yalnızca Türkiye ile sınırlı kaldı; komşu ülkeler etkilenmedi. Mobil iletişim hizmetleri kesinti süresince çalışmaya devam etti, hava trafiği etkilenmedi. Bu olayla ilgili detaylar 31 Mart 2015 sistem çökmesi raporunda yer almaktadır.

Yaşananlar sadece büyük çaplı bir enerji kesintisi değil, aynı zamanda dijital güvenliğin enerji altyapıları için ne kadar kritik hale geldiğini hatırlatan bir uyarıydı. Her ne kadar olayın sebebi teknik bir arıza olsa da, siber saldırı ihtimali ciddiyetle değerlendirildi ve bu da altyapıların dijital tehditlere karşı ne kadar savunmasız olabileceğini ortaya koydu.

Bugün enerji sistemleri, karmaşık dijital kontrol altyapılarıyla (ICS/SCADA) yönetiliyor ve bu sistemler siber saldırganlar için giderek daha cazip hedefler haline geliyor. 2015’te Ukrayna’da 225 bin kişiyi elektriksiz bırakan saldırı, bu riskin gerçekliğini net şekilde göstermişti.

Bu riskler Türkiye’de de uzun süredir gündemde. Enerji Piyasası Düzenleme Kurumu (EPDK), enerji sektöründe faaliyet gösteren iletim, dağıtım ve tedarik şirketlerinin dijital tehditlere karşı hazırlık düzeyini artırmak amacıyla “Siber Güvenlik Yetkinlik Modeli”ni (SYYM) hayata geçirdi. Bu model, şirketlerin bilgi güvenliği, olay müdahalesi, kriz anı iletişimi, personel farkındalığı, sistem yedekliliği ve siber risk yönetimi gibi alanlardaki kurumsal olgunluk seviyelerini değerlendirmeyi ve bu alanlarda gelişim sağlamayı hedefler. Model, uluslararası standartlarla (ISO 27001, NIST, IEC 62443) uyumlu olacak şekilde yapılandırılmış olup; şirketlerin düzenli olarak sızma testleri gerçekleştirmesini, bu testlerin sonuçlarını belgeleyerek EPDK’ya raporlamasını zorunlu kılar. Ayrıca ağ segmentasyonu, erişim kontrolü, olay müdahale planları ve iş sürekliliği gibi başlıklarda da somut tedbirler alınmasını teşvik eder. Böylece yalnızca teknolojik çözümler değil, yönetişim, süreç yönetimi ve insan kaynağı boyutlarıyla da bütüncül bir siber dayanıklılık yaklaşımı benimsenmiş olur.

Operasyonel teknoloji (OT) ağları, geleneksel IT güvenlik önlemleriyle tam olarak korunamaz; daha özel ve derinlemesine bir yaklaşım gerektirir. Birçok OT sistemi hâlâ güncel olmayan yazılımlar üzerinde çalıştığı için, sıfırıncı gün açıkları gibi ciddi güvenlik risklerine açıktır. İnternete bağlı olmasalar bile, genellikle “air-gapped” yani izole kabul edilen bu sistemlerde dahi sızma testlerinin düzenli olarak yapılması gerekir. Çünkü bu testler sayesinde, dışarıdan sağlam görünen sistemlerin hangi noktalardan istismar edilebileceği önceden tespit edilerek zamanında önlem alınabilir.

Güvenliği artırmak için ağ segmentasyonu, yapay zekâ destekli anomali tespiti, otomatik müdahale sistemleri ve yedekli altyapı tasarımları devreye alınmalı. Kritik bölgelerdeki arızaların tüm sistemi etkilemesini engellemek için bölgesel izolasyon çözümleri uygulanmalıdır.

Siber dayanıklılık için sistemlerin güncel tutulması, yazılım yamalarının vakit kaybetmeden uygulanması, düzenli sızma testleriyle güvenlik açıklarının proaktif şekilde tespit edilmesi ve riskli eski protokollerin kademeli olarak devreden çıkarılması büyük önem taşıyor. Her kurumun kapsamlı bir acil durum planı hazırlaması ve bu planları gerçekçi senaryolarla test etmesi artık bir tercih değil, zorunluluk haline geldi. Çünkü siber güvenlik yalnızca teknik değil, aynı zamanda organizasyonel bir sorumluluktur. Personel eğitimi, rol bazlı yetki kontrolleri ve kriz anında nasıl iletişim kurulacağına dair net protokoller bu işin temel taşlarıdır.

Yaşananlar ilk bakışta basit bir teknik arıza gibi görünse de, aslında modern enerji sistemlerinin ne kadar karmaşık, birbirine bağlı ve bazı durumlarda savunmasız olabileceğini gözler önüne serdi. Bu durum, sadece Avrupa’yı değil, dünya genelindeki tüm enerji altyapılarını da ilgilendiren önemli bir uyarı niteliğinde. Her şirket aynı düzeyde risk taşımıyor olabilir, ancak bu olay, sistemler arasındaki bağımlılığın ve dış etkenlerin ne kadar geniş çaplı sonuçlar doğurabileceğinin somut bir örneği oldu. Bu nedenle, sadece Avrupa değil, tüm enerji sektörü dijital güvenlik ve operasyonel dayanıklılık konularında daha hazırlıklı olmalı. Standartlar gözden geçirilmeli ve olası senaryolara karşı planlar güncellenmelidir. Çünkü dijital çağda güvenli ve kesintisiz bir altyapı artık sadece bir tercih değil, herkesin sorumluluğu.                                                                                                       

6698 SAYILI KİŞİSEL VERİLERİN KORUNMASI KANUNUNDA NELER DEĞİŞTİ? (12.03.2024 tarihli ve 32487 sayılı Resmî Gazete ile gerçekleşen değişiklikler.)

 

6698 SAYILI KİŞİSEL VERİLERİN KORUNMASI KANUNUNDA NELER DEĞİŞTİ?

Ferihan Melikoğlu

 

26 Nisan 2016 tarihinde yürürlüğe giren 6698 sayılı Kişisel Verileri Koruma Kanununda “Ceza Muhakemesi Kanunu ile Bazı Kanunlarda ve 659 Sayılı Kanun Hükmünde Kararname’de Değişiklik Yapılmasına Dair Kanun Teklifi” 02.03.2024 tarihinde kabul edilerek 7499 sayılı “Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun” 12.03.2024 tarihli ve 32487 sayılı Resmî Gazetede yayımlanarak değişiklik yapılmasına karar verilmiştir. 1 Haziran 2024 tarihinde yürürlüğe girecek olan değişiklikler ise özel nitelikli kişisel verilerin işlenme şartları, kişisel verilerin yurtdışına aktarılması ve kabahatler maddeleri ile ilgili olarak karşımıza çıkmaktadır.

Özel nitelikli kişisel verilerin işlenme şartları

Yapılan değişikliklerin ilki Madde.6 Özel Nitelikli Kişisel Verilerin İşlenme Şartlarında karşımıza çıkmaktadır. Kanunun ilk halinde özel nitelikli kişisel veriler ilgili kişinin (kişisel veri sahibi) açık rızası olmadan işlenememekteydi. Bu durumun 2 istisnası mevcuttu. Birincisi sağlık ve cinsel hayat dışındaki kişisel veriler yalnızca kanunların öngörülen hallerde açık rıza şartı olmaksızın işlenebilmekteydi. Sağlık ve cinsel hayat verileri ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, bakım ve tedavi gibi amaçlarla sır saklama yükümlülüğü altındaki kişilerce işlenmesine izin verilmekteydi.

Değişiklik sonrası ise özel nitelikli verilerin işlenme şartları Madde.5 Kişisel Verilerin İşlenme Şartları altındaki meşru menfaat haricindeki diğer istisnaları da kapsamış ve eklenen yeni maddelerle işlenme şartlarının kapsamı genişlemiş oldu.

Madde.6’da yapılan değişiklik ile özel nitelikli kişisel verilerin işlenmesi şartları aşağıdaki gibi olmuştur.

a) İlgili kişinin açık rızasının olması,

b) Kanunlarda açıkça öngörülmesi,

c) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,

ç) İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,

d) Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,

e) Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,

f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,

g) Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması,

 

Kişisel verilerin yurtdışına aktarılması

Kanunda yapılan en büyük değişiklik Madde.9 Kişisel Verilerin Yurtdışına Aktarılması konusunda gerçekleşmiştir.

Yeni madde ile birlikte aktarım koşulları;

-        Kurul tarafından resmi Gazetede yayımlanacak olan yeterlilik kararı verilen kuruluşlara aktarım yapılabileceği ifade edilmiştir.  Buna ek olarak yeterlilik kararı verilmesinde dikkat edilecek hususları da tanımlamıştır.

-        Yeterlilik kararı olmayan durumlarda ise verilerin işlenme istisnalarından (Madde 5 ve Madde 6’da tanımlı istisnalar) birinin mevcudiyeti ve ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması şartı ile birlikte veri aktarım taraflarından birinin vereceği güvence ile de aktarım yapılabileceği ifade edilmektedir. Söz konusu güvenceler ise:

o   Uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul tarafından aktarıma izin verilmesi.

o   Kurul tarafından onaylanan bağlayıcı şirket kurallarının varlığı

o   Alınacak teknik ve idari tedbirler, özel nitelikli kişisel veriler için alınan ek önlemler gibi hususları ihtiva eden standart sözleşmenin varlığı (bu sözleşme taraflarca imzalanmasından itibaren 5 gün içerisinde Kuruma bildirilmelidir. Aksi durumda Kabahatler maddesine yeni eklenen fıkra ile “d) 9 uncu maddenin beşinci fıkrasında öngörülen bildirim yükümlülüğünü yerine getirmeyenler hakkında 50.000 Türk lirasından 1.000.000 Türk lirasına kadar,” ceza düzenlenmesi söz konusu olacaktır.)

-        Aktarım için yeterlilik kararı olmayan ve tarafların aktarım için tanımlı güvencelerden birini sağlayamaması durumunda ise  aktarım istisnalarına göre aktarıma izin verilmektedir.

Şeklinde belirlenmiştir.

MADDE 9- (1) Kişisel veriler, 5 inci ve 6 ncı maddelerde belirtilen şartlardan birinin varlığı ve aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması halinde, veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir.

(2) Yeterlilik kararı, Kurul tarafından verilir ve Resmî Gazete’de yayımlanır. Kurul, ihtiyaç duyması halinde ilgili kurum ve kuruluşların görüşünü alır. Yeterlilik kararı, en geç dört yılda bir değerlendirilir. Kurul, değerlendirme sonucunda veya gerekli gördüğü diğer hallerde, yeterlilik kararını ileriye etkili olmak üzere değiştirebilir, askıya alabilir veya kaldırabilir.

(3) Yeterlilik kararı verilirken öncelikle aşağıdaki hususlar dikkate alınır:

a) Kişisel verilerin aktarılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar ile Türkiye arasında kişisel veri aktarımına ilişkin karşılıklılık durumu.

b) Kişisel verilerin aktarılacağı ülkenin ilgili mevzuatı ve uygulaması ile kişisel verilerin aktarılacağı uluslararası kuruluşun tâbi olduğu kurallar.

c) Kişisel verilerin aktarılacağı ülkede veya uluslararası kuruluşun tâbi olduğu bağımsız ve etkin bir veri koruma kurumunun varlığı ile idari ve adli başvuru yollarının bulunması.

ç) Kişisel verilerin aktarılacağı ülkenin veya uluslararası kuruluşun, kişisel verilerin korunmasıyla ilgili uluslararası sözleşmelere taraf veya uluslararası kuruluşlara üye olma durumu.

d) Kişisel verilerin aktarılacağı ülkenin veya uluslararası kuruluşun, Türkiye’nin üye olduğu küresel veya bölgesel kuruluşlara üye olma durumu.

e) Türkiye’nin taraf olduğu uluslararası sözleşmeler.

(4) Kişisel veriler, yeterlilik kararının bulunmaması durumunda, 5 inci ve 6 ncı maddelerde belirtilen şartlardan birinin varlığı, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla, aşağıda belirtilen uygun güvencelerden birinin taraflarca sağlanması halinde veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir:

a) Yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye’deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul tarafından aktarıma izin verilmesi.

b) Ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü oldukları, kişisel verilerin korunmasına ilişkin hükümler ihtiva eden ve Kurul tarafından onaylanan bağlayıcı şirket kurallarının varlığı.

c) Kurul tarafından ilan edilen, veri kategorileri, veri aktarımının amaçları, alıcı ve alıcı grupları, veri alıcısı tarafından alınacak teknik ve idari tedbirler, özel nitelikli kişisel veriler için alınan ek önlemler gibi hususları ihtiva eden standart sözleşmenin varlığı.

ç) Yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığı ve Kurul tarafından aktarıma izin verilmesi.

(5) Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir.

(6) Veri sorumluları ve veri işleyenler, yeterlilik kararının bulunmaması ve dördüncü fıkrada öngörülen uygun güvencelerden herhangi birinin sağlanamaması durumunda, arızi olmak kaydıyla sadece aşağıdaki hallerden birinin varlığı halinde yurt dışına kişisel veri aktarabilir:

a) İlgili kişinin, muhtemel riskler hakkında bilgilendirilmesi kaydıyla, aktarıma açık rıza vermesi.

b) Aktarımın, ilgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası veya ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması.

c) Aktarımın, ilgili kişi yararına veri sorumlusu ve diğer bir gerçek veya tüzel kişi arasında yapılacak bir sözleşmenin kurulması veya ifası için zorunlu olması.

ç) Aktarımın üstün bir kamu yararı için zorunlu olması.

d) Bir hakkın tesisi, kullanılması veya korunması için kişisel verilerin aktarılmasının zorunlu olması.

e) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için kişisel verilerin aktarılmasının zorunlu olması.

f) Kamuya veya meşru menfaati bulunan kişilere açık olan bir sicilden, ilgili mevzuatta sicile erişmek için gereken şartların sağlanması ve meşru menfaati olan kişinin talep etmesi kaydıyla aktarım yapılması.

(7) Altıncı fıkranın (a), (b) ve (c) bentleri, kamu kurum ve kuruluşlarının kamu hukukuna tâbi faaliyetlerine uygulanmaz.

(8) Veri sorumlusu ve veri işleyenler tarafından, yurt dışına aktarılan kişisel verilerin sonraki aktarımları ve uluslararası kuruluşlara aktarımlar bakımından da bu Kanunda yer alan güvenceler sağlanır ve bu madde hükümleri uygulanır.

(9) Kişisel veriler, uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye’nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda, ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak Kurulun izniyle yurt dışına aktarılabilir.

(10) Kişisel verilerin yurt dışına aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır.

(11) Bu maddenin uygulanmasına ilişkin usul ve esaslar yönetmelikle düzenlenir.”

 

Kabahatler

Kanunda değişen bir diğer madde ise Madde.18 Kabahatler maddesidir. Bu madde genel hatları ile aynı kalmakla birlikte kişisel verilerin yurt dışına aktarılması kapsamında gerekli olan ve taraflarca imzalanacak olan standart sözleşmenin imzalanma tarihinden itibaren 5 iş günü içinde Kurum’a bildirilmesi gerekliliğini yerine getirmeyenler için ekleme yapılmıştır.

“d) 9 uncu maddenin beşinci fıkrasında öngörülen bildirim yükümlülüğünü yerine getirmeyenler hakkında 50.000 Türk lirasından 1.000.000 Türk lirasına kadar,”

Ayrıca verilecek idari para cezalarının da uygulanacağı taraflar belirlenmiş olup Kurul’un vereceği bu cezalara karşı İdare Mahkemelerinde dava açma yolu açılmıştır.

“(2) Birinci fıkranın (a), (b), (c) ve (ç) bentlerinde öngörülen idari para cezaları veri sorumlusu, (d) bendinde öngörülen idari para cezası veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır.”

 

Bu değişiklikler neticesinde özel nitelikli kişisel verilerin işlenmesindeki istisnaların kişisel verilerin işlenme şartları ile paralellik göstererek genişlediğini, kişisel verilerin yurtdışına çıkarılması ile ilgili istisnaların daha açık hale geldiğini ve aktarım şartlarının esnetildiği aynı zamanda açık rıza olmadan yurt dışına veri aktarımı gerekliliklerinin çerçevesinin daha belirginleştiği görülmüştür.

 ISO/IEC 27001:2022 ve ISO/IEC 27002:2022 İncelemesi

Sinem Varol, ISO 27001 LA

Geçtiğimiz günlere kadar ISO/IEC 27001 standardının ulusal çapta geçerli olan 2013 versiyonu kullanılmaktaydı. Şubat ayında ISO/IEC 27002 standardının 2022 versiyonunun yayınlanmasından sonra, ISO/IEC 27001 standardının yeni versiyonu 25 Ekim 2022 tarihinde yayınlandı. Bu yazımızda standardın yeni versiyonunda yapılan değişiklikleri ve yenilikleri inceleyeceğiz.

1.       Değişiklikler incelendiğinde ilk göze çarpanın standardın ismi olduğu görülüyor. 2013 versiyonunda “Bilgi teknolojisi - Güvenlik teknikleri – Bilgi güvenliği yönetim sistemleri – Gereksinimler” olan standart ismi yeni versiyonuyla birlikte “Bilgi güvenliği, siber güvenlik ve mahremiyetin korunması– Bilgi güvenliği yönetim sistemleri – Gereksinimler” olarak güncellendi.

2.       Standardın içeriğinde yapılan değişikliklerle birlikte 2013 versiyonu 23 sayfa uzunluğundayken 2022 versiyonunda bunun 19 sayfaya düştüğü fark ediliyor.

3.       2022 versiyonunda standardın Madde 3 Terimler ve tarifler başlığında kullanılabilecek terminoloji veri tabanları bilgileri paylaşılmış. Yapılan ekleme “ISO ve IEC, standardizasyonda kullanılmak üzere aşağıdaki adreslerdeki terminoloji veri tabanlarını sürdürür:

                — ISO Çevrimiçi tarama platformu: https://www.iso.org/obp adresinde mevcut

                — IEC Elektropedia: https://www.electropedia.org/ adresinde mevcut

4.       Madde 4.2 İlgili tarafların ihtiyaç ve beklentilerinin anlaşılması” maddesine “c) Bilgi güvenliği yönetim sistemi vasıtasıyla bu gereksinimlerden hangilerinin ele alınacağı” ifadesi eklendi. Güncel madde aşağıdaki gibi:

                “Kuruluş aşağıdakileri belirleyecektir:

                a) Bilgi güvenliği yönetim sistemi ile ilgili taraflar;

                b) Bu ilgili tarafların bilgi güvenliği ile ilgili gereksinimleri;

                (yeni) c) Bilgi güvenliği yönetim sistemi aracılığıyla bu gereksinimlerden hangilerinin ele alınacağı.”

                Not - İlgili tarafların gereksinimleri yasal ve düzenleyici gereksinimleri ve sözleşmeden doğan                 yükümlülükleri içeriyor olabilir.”

5.       Madde 4.4’e yapılan eklemeyle birlikte yeni versiyonda süreçlere daha fazla odaklanıldığı fark ediliyor. Güncel madde: “Kuruluş, ihtiyaç duyulan süreçleri ve bu süreçlerin etkileşimlerini içeren, bu standardın şartları çerçevesinde bir bilgi güvenliği yönetim sistemini kurmalı, uygulamalı, sürdürmeli ve sürekli iyileştirmelidir.”

6.       Yeni versiyonda bilgi güvenliği hedefleri için 6.2 maddesine yeni gereksinimler eklendi (yenilikler kalın harfle belirtilmiştir).

        Kuruluş, uygun işlevler ve seviyelerde bilgi güvenliği amaçlarını tesis etmelidir.

        Bilgi güvenliği amaçları aşağıdakileri sağlamalıdır:

        a) Bilgi güvenliği politikası ile tutarlı olmalı,

        b) Ölçülebilir olmalı (uygulanabilirse),

        c) Uygulanabilir bilgi güvenliği şartlarını ve risk değerlendirme ve risk işlemenin sonuçlarını            dikkate almalı,

        d) İzlenmeli,

        e) Duyurulmalı,

        f) Uygun şekilde güncellenmeli ve

        g) Yazılı bilgi olarak mevcut olmalıdır.

7.       Yeni versiyonda “6.3 Değişikliklerin planlanması” adlı yeni bir madde eklendi.

        6.3 Değişikliklerin planlanması

        Kuruluş bilgi güvenliği yönetim sistemindeki değişiklik ihtiyacını belirlediğinde, değişiklikler           planlı bir şekilde gerçekleştirilmelidir.

8.       7.4 İletişim maddesindeki gereksinimlerde değişiklik yapıldı, yeni bir gereksinim eklendi.

        Eski versiyon: 7.4 İletişim

        Kuruluş aşağıdakileri içeren bilgi güvenliği yönetim sistemi ile ilgili dâhili ve harici iletişim ihtiyaçlarını belirlemelidir:

        a) İletişimin konusu,

        b) Ne zaman iletişim kurulacağı,

        c) Kiminle iletişim kurulacağı,

        d) Kimin iletişim kuracağı ve

        e) İletişimin hangi süreçten etkileneceği.

        Yeni versiyon: 7.4 İletişim

        Kuruluş aşağıdakileri içeren bilgi güvenliği yönetim sistemi ile ilgili dâhili ve harici iletişim ihtiyaçlarını belirlemelidir:

        a) İletişimin konusu,

        b) Ne zaman iletişim kurulacağı,

        c) Kiminle iletişim kurulacağı ve

        d) Nasıl iletişime geçileceği.

9.       8.1 İşletimsel planlama ve kontrol maddesine yeni gereksinimler eklendi:

        Eski versiyon: Kuruluş bilgi güvenliği şartlarını karşılamak ve Madde 6.1’de belirlenen      faaliyetleri gerçekleştirmek için gerekli olan süreçleri planlamalı, uygulamalı ve kontrol etmelidir. Kuruluş, Madde 6.2’de belirlenen bilgi güvenliği amaçlarını başarmak için aynı            zamanda planları uygulamalıdır.

        Kuruluş, süreçlerin planlandığı gibi yürütüldüğünden emin olduğu noktaya kadar yazılı bilgileri     saklamalıdır.

        Kuruluş, planlanan değişiklikleri kontrol etmeli ve istenmeyen değişikliklerin sonuçlarını                 gözden geçirerek, gerekiyor ise kötü etkileri azaltmak için eyleme geçmelidir.

        Kuruluş, dış kaynaklı süreçlerin belirlenmesini ve kontrol edilmesini temin etmelidir.

        Yeni versiyon: Kuruluş;

-        süreçler için kriterler oluşturarak ve

-        kriterlere göre süreçlerin kontrolünü uygulayarak

        şartları karşılamak ve Madde 6’da belirlenen faaliyetleri gerçekleştirmek için gerekli olan               süreçleri planlamalı, uygulamalı ve kontrol etmelidir.

        Yazılı bilgiler, süreçlerin planlandığı gibi yürütüldüğünden emin olunduğu noktaya kadar                 mevcut olmalıdır.

        Kuruluş, planlanan değişiklikleri kontrol etmeli ve istenmeyen değişikliklerin sonuçlarını                 gözden geçirerek, gerekiyor ise kötü etkileri azaltmak için eyleme geçmelidir.

        Kuruluş, bilgi güvenliği yönetim sistemiyle ilgili dış kaynaklı süreçler, ürünler ya da       hizmetlerin kontrol edilmesini temin etmelidir.

10.   9.2 İç tetkik ve 9.3 Yönetimin gözden geçirmesi maddelerinin yapısı değişti ve 9.3.2 Yönetimin gözden geçirmesi girdileri maddesine yeni bir gereksinim eklendi.

        Eski versiyon: 9.2 İç tetkik

                                   9.3 Yönetimin gözden geçirmesi

        Yeni versiyon: 9.2 İç tetkik

                                    9.2.1 Genel

                                    9.2.2 İç tetkik programı

                                    9.3 Yönetimin gözden geçirmesi

                                    9.3.1 Genel

                                    9.3.2 Yönetimin gözden geçirmesi girdileri

                                    9.3.3 Yönetimin gözden geçirmesi sonuçları

        c) Bilgi güvenliği yönetim sistemiyle ilişkili ilgili tarafların ihtiyaç ve beklentilerindeki                 değişiklikler

11.   10 İyileştirme maddesinin yapısında değişiklik yapıldı.

        Eski versiyon: 10.1 Uygunsuzluk ve düzeltici faaliyet

                                   10.2 Sürekli iyileştirme

        Yeni versiyon: 10.1 Sürekli iyileştirme

                                    10.2 Uygunsuzluk ve düzeltici faaliyet

12.   Ek-A bilgi güvenliği kontrollerinde değişiklikler yapıldı. A.5’ten A.18’e kadar giden domain yapısı değiştirildi, kontroller 4 kategoriye ayrıldı. Kontroller aşağıdaki gibi kategorize edildi:

a.       Eğer bireysel kişileri ilgilendiriyorsa İnsan

b.      Fiziksel nesnelerle ilgiliyse Fiziksel

c.       Teknoloji ile ilgili ise Teknolojik

d.      Aksi takdirde Organizasyonel

          Kontroller için sadece 2022 versiyonunda olan beş yeni nitelik tanımlandı.

1.       Kontrol türü (Önleyici, Tespit Edici, Düzeltici)

2.       Bilgi güvenliği özellikleri (G-B-E)

3.       Siber güvenlik kavramları (Tanımlama, Koruma, Tespit Etme, Yanıt Verme ve Kurtarma)

4.       Operasyonel kabiliyetler

5.       Güvenlik alanları

        Toplam kontrol sayısının 114’ten 93’e düştüğü görülüyor. 11 yeni kontrol eklendi. Eklenen            kontroller aşağıdaki gibi:

-        A.5.7 Tehdit istihbaratı

-        A.5.23 Bulut hizmetlerinin kullanımı için bilgi güvenliği

-        A.5.30 İş sürekliliği için bilgi ve iletişim teknolojilerinin hazırlığı

-        A.7.4 Fiziksel güvenlik izleme

-        A.8.9 Konfigürasyon yönetimi

-        A.8.10 Bilgi silme

-        A.8.11 Veri maskeleme

-        A.8.12 Veri sızıntısını önleme

-        A.8.16 İzleme faaliyetleri

-        A.8.23 Web filtreleme

-        A.8.28 Güvenli kodlama

 

                Yeni eklenen niteliklerle birlikte kontrol örneği aşağıda verilmiştir.

                5.1 Bilgi güvenliği için politikalar

Kontrol türü	Bilgi güvenliği özellikleri	Siber güvenlik kavramları	Operasyonel kabiliyetler	Güvenlik alanları
#Önleyici	#Gizlilik #Bütünlük #Erişilebilirlik	#Tanımlama	#Yönetişim	#Yönetişim_ve_Ekosistem #Dayanıklılık

 

                Kontrol

                Bilgi güvenliği politikası ve konuya özel politikalar tanımlanmalı, yönetim tarafından          onaylanmalı, yayınlanmalı, ilgili personel ve ilişkili ilgili taraflara bildirilmeli ve tanınmalı,              planlı aralıklarla ve önemli değişiklikler meydana gelirse gözden geçirilmelidir.

                Amaç

                Bilgi güvenliği için yönetimin yönlendirmesi ve desteğinin, ticari, yasal, düzenleyici ve      sözleşmeye dayalı gereksinimlere göre sürekli uygunluğunu, yeterliliğini, etkinliğini sağlamak.

Bilgi Güvenliği Yönetim Sistemi işletiyorsanız, versiyon geçişi için aşağıdakileri yapmanız tavsiye edilir:

1.       Risk işleme planı yeni yapıya ve kontrollere göre gözden geçirilmelidir.

2.       Uygulanabilirlik Bildirgesi (SoA) gözden geçirilmeli ve güncellenmelidir.

3.       Bilgi Güvenliği Yönetim Sistemi yönetimin gözden geçirme prosedürü (girdiler için) gözden geçirilmeli ve güncellenmelidir.

4.       Bilgi güvenliği hedefleri ve izleme, ölçme, analiz ve değerlendirme prosedürü gözden geçirilmeli ve güncellenmelidir.

5.       Bilgi Güvenliği Yönetim Sistemi iletişim planı gözden geçirilmeli ve güncellenmelidir.

6.       Gerekliyse, diğer politikalar, standartlar ve prosedürler gözden geçirilmeli ve güncellenmelidir.

7.       Dahili ve harici olmak üzere, denetimler için kullanılan kontrol listeleri ve anketler gözden geçirilmeli ve güncellenmelidir.

8.       Kullandığınız kayıtların yeni gereksinimlere uyumluluğunu göstermek için, üçüncü taraf güvenlik araçları (örneğin GRC, SIEM, VM) değerlendirilmelidir ve imkan dahilinde uyarlanmalıdır.

ISO 27001 ve ISO 27002 Standartlarının 2022 Sürümü Değişiklikleri

(Özet Bilgiler)

ISO 27001 ve ISO 27002 standartları BGYS (Bilgi Güvenliği Yönetim Sistemi) konusunda en temel başvuru kaynaklarıdır. Bu iki standart da doğrudan bilgi güvenliği konusunu ele alırlar. Teknik ve teknoloji bağımlı standartlar değildirler. Kurumlar uygulayacağı yöntem ve teknolojileri seçmekte serbesttirler.

ISO 27001 standardı BGYS’nin kurulumu, gerçeklenmesi, işletilmesi, izlenmesi, gözden geçirilmesi, sürdürülmesi ve iyileştirilmesi için gereksinimleri ortaya koyar. Belgelenebilir bir standart olması nedeni bilgi güvenliği alanında en yaygın bilinen standarttır. ISO 27001 standardının EK-A kısmında bilgi güvenliği kontrolleri yer almaktadır. ISO 27002’de ise ISO 27001 EK-A kısmında yer alan bilgi güvenliği kontrollerinin iyi uygulama pratikleri yer almaktadır.

Uzun bir süredir güncellenmeyen bu iki standart 2022 yılı içinde güncellenecektir. İlk güncelleme 15 Şubat 2022 tarihinde ISO 27002 standardında gerçekleşmiştir.

Temelde neler değişmiştir? Değişecektir?

-          ISO 27001 standardı Annex SL uyumlu olarak yayınlanacağı bildirilmiştir. Madde 4 ila 10 arası zorunlu maddeler varlığını koruyacaktır.

-          ISO 27002 de bulunan kontrol grubu sayısı ve kontrol sayısı değişmiştir. Kontrol grubu sayısı 14’ten 4’e düşmüştür. Kontrol sayısı ise 114’ten 93’e inmiştir.

-          Toplamda 11 yeni kontrol getirilmiştir. Kaldırılan herhangi bir kontrol yoktur. Birçok kontrol birleştirilerek kontrol sayısı düşürülmüştür.

ISO 27002 2022 sürümünde bilgi güvenliği kontrolleri aşağıdaki şekilde gruplandırılmıştır.

-          Organizasyonel kontroller (Organizational controls)

-          Personel/insan ile ilgili  kontroller (People controls)

-          Fiziksel kontroller (Physical controls)

-          Teknolojik kontroller (Technological controls)

Bulut servislerinin kullanımı için bilgi güvenliği, Bilgi güvenliği olaylarının (Event) değerlendirilmesi ve karar verilmesi, kesinti sırasında bilgi güvenliği, veri sızıntısı önleme, veri maskeleme, web filtreleme gibi ek kontroller getirilmiştir.

ISO 27001:2022 sürümünün yıl içinde ne zaman yayınlanacağı henüz açıklanmamıştır. Ancak ana süreçlerde değişiklik beklenmediği için temelde aşağıdaki çalışmalar ile uyumluluğun sağlanacağı değerlendirilmektedir. 

-          Değişen kontrol isimleri, sayısı ve grupları nedeni ile ilgili kontrol dokümantasyonunda güncellemeler.

-          Yeni kontroller nedeni ile teknik bazı işleyişlerin yeni yapıya adaptasyonu.

-          Uygulanabilirlik bildirgesinin yeni yapıya göre yenilenmesi

-          Risk değerlendirmelerinin yenilenmesi ve bu sayede yeni kontrol yapısına göre risk eşleştirmeleri.

Cowrie Honeypot Kullanarak SSH Sunucularına Gelen Saldırı Trendi Analizi

Günümüzde otomatikleştirilmiş araçlar ile birlikte internete açık (public) sunuculara yapılan parola deneme saldırıları çok fazla artmıştır. Bu yazıda saldırganların el ile (manuel) ve otomatik araçlar ile yaptığı saldırılarda denedikleri kullanıcı adı, parola ve saldırının hangi ülkeden geldiği gibi bilgileri cowrie honeypot kurarak analiz ettik.

Analiz işlemini gerçekleştirirken DigitalOcean üzerinden kiraladığım 8 farklı lokasyondaki (New York, Amsterdam, San Francisco, Singapur, Londra, Frankfurt, Toronto, Bangalore) virtual private server (VPS)'lerin üzerine honeypot kurma işlemini gerçekleştirdik. DigitalOcean üzerindeki sunucuları 2 gün boyunca açık bıraktık ve gelen verileri analiz ederek otomatize araçların ve saldırganların davranışlarını inceledik.

Bu yazıda öncelikle honeypot Nedir? Nasıl Çalışır? ve cowrie honeypot nasıl kurulur? bunu anlatacağım. Daha sonra kurduğum canlı sistem üzerinde analiz ettiğim verileri paylaşarak saldırgan hareketlerine değineceğim. 

Honeypot Nedir ?