Enerji altyapıları, kesintisi toplumsal sonuçlar doğuran kritik hizmetler arasında yer aldığı için siber güvenlik yükümlülükleri bu alanda daha ayrıntılı biçimde düzenlenir. Yetkinlik modeli mantığı, işletmelerden belirli olgunluk seviyelerine ulaşmasını ve bunu düzenli olarak ölçüp raporlamasını bekler. Bu rehber, uyum sürecini kurmakla görevli ekipler için pratik bir çerçeve sunar.
Uyumun Üç Katmanı
- Yönetişim: sorumlu birim ve karar mekanizmasının yazılı tanımı
- Teknik kontroller: erişim yönetimi, ağ ayrıştırma, yedekleme ve izleme
- Belgelendirme: politika, prosedür ve olgunluk ölçüm kayıtları
Denetimlerde en sık rastlanan eksiklik, teknik önlemler alınmış olsa bile bunların belgelenmemiş olmasıdır. Belgelenmeyen kontrol, denetim tutanağında uygulanmamış sayılabilir.
Olay Halinde İlk 72 Saat Değil, İlk 24 Saat Zihniyeti
Siber olay yaşandığında öncelik; olayın kapsamının tespiti, kanıtların bozulmadan korunması ve bildirim yükümlülüklerinin belirlenmesidir. Sistem günlüklerinin değiştirilmemesi ve imaj alınması, hem idari süreç hem de olası cezai soruşturma açısından belirleyicidir. Bilişim sistemlerine yönelik saldırılar Türk Ceza Kanunu'nun bilişim suçlarına ilişkin hükümleri kapsamında değerlendirilebilir.
Kişisel Veri Boyutu
İhlal kişisel veri içeren sistemleri etkilemişse, 6698 sayılı Kanun kapsamındaki veri ihlali bildirimi ayrıca gündeme gelir. Enerji şirketlerinde abone verilerinin yoğunluğu düşünüldüğünde, siber güvenlik ve veri koruma süreçlerinin tek bir müdahale planında birleştirilmesi isabetli olur.
Denetim Öncesi Hazırlık Adımları
- Varlık envanterini güncelleyin ve kritik sistemleri işaretleyin.
- Risk değerlendirmesinin son tarihli sürümünü hazır bulundurun.
- Yetki matrisini ve ayrıcalıklı hesap listesini gözden geçirin.
- Tedarikçi sözleşmelerindeki güvenlik ve bildirim maddelerini kontrol edin.
- Tatbikat ve eğitim kayıtlarını tarihiyle dosyalayın.
Yaptırım Riski
Uyumsuzluk halinde idari para cezası, faaliyete ilişkin kısıtlamalar ve sözleşmesel sorumluluk birlikte gündeme gelebilir. İdari yaptırım kararlarına karşı başvurulacak merci, düzenlemenin dayanağına göre değiştiğinden karar metnindeki başvuru yolu bilgisinin dikkatle okunması gerekir.
Bu metin genel bir uyum çerçevesi sunar; işletmenizin altyapısı ve lisans türü farklı yükümlülükler doğurabilir. Denetim veya olay sürecinde teknik ekiple hukuk danışmanının birlikte çalışması tavsiye edilir.