Dijital dönüşümün hızlanması bilgi güvenliği açısından yeni riskler yaratıyor - RÖPORTAJ

25 Aralık 2025 tarihinde Azerbaycan Cumhuriyeti Bakanlar Kurulu kararıyla "Bilgi güvenliği risk kaydının yapılmasına ilişkin Kural" onaylandı. Bu kapsamda bir süre sonra devlet kurumlarının sorumlu çalışanları arasında bir toplantı gerçekleştirildi. Bu belgeye göre devlet kurumlarının bilgi güvenliği risklerini 6 ay içerisinde yapılandırılmış bir şekilde tanımlaması, değerlendirmesi, belgelemesi ve yönetmesi gerekiyor Bu belge ülkemizde bilgi güvenliği yönetiminde yeni bir aşamanın başlangıcı olarak değerlendirilmektedir. Artık her devlet kurumu teknik tedbirlerle yetinmemeli, risklerini sistematik olarak izlemeli ve proaktif bir yaklaşımla yönetmelidir Tanınmış bilgi güvenliği uzmanı Elchin Aliyev, AZERTAC ile yaptığı röportajda yeni gerekliliklerin niteliği ve önemi hakkında konuştu Elchin Aliyev uzun yıllardır bilgi güvenliği alanında çalışmaktadır, daha önce güvenlik kurumlarında görev yapmıştır ve şu anda emekli olmasına rağmen çeşitli devlet kurumlarına danışman olarak destek vermeye devam etmektedir. Ülkemizde bilgi güvenliği alanında birçok önemli girişimin yazarıdır: devlet kurumlarında bu alanda ilk yapısal birimin oluşturulması, bilgi güvenliğine ilişkin ilk ulusal stratejinin hazırlanması, "Kişisel veriler", "Biyometrik bilgiler" gibi mevzuat belgelerinin hazırlanmasının yanı sıra yükseköğretim kurumları için uzmanlık müfredatlarının hazırlanmasına doğrudan katılmıştır Elchin Aliyev, AZERTAC'a verdiği röportajda yeni Kuralların amaçlarını, uluslararası uygulamalara uygunluğunu, kamu ve özel sektör için yarattığı yükümlülükleri ve son olarak bu düzenlemenin vatandaşa neler kazandırdığını anlatıyor Burada "risk" kavramı tam olarak ne anlama geliyor? Hack saldırılarından mı bahsediyoruz? Hayır, bu belgedeki "risk" kavramı hacker saldırılarıyla sınırlı değildir. Risk olayın gerçeği değil, olasılığıdır. Bu olasılık üç ana faktörün (tehdit, güvenlik açığı ve yolsuzluk faktörleri) birleşiminden kaynaklanmaktadır Bu kavramların resmi açılışının kabul edilen yasal belgede yer aldığını belirtmeliyim. Bilgi güvenliği riski, bilgi koruma nesnelerine yönelik olası tehditlerin ortaya çıkma olasılığı, bu nesnelerdeki boşlukların, eksikliklerin, zayıflıkların, kontrol eksikliğinin ve diğer tutarsızlıkların kullanılması ve bunun sonucunda ortaya çıkabilecek sonuçların birleşik olasılığıdır Bu Kural, iyi bilinen risk yönetimi sorununa sağlam bir yanıttır: "Ya riski yönetirsiniz, ya da risk sizi yönetir." Bilgi güvenliği risklerinin ayrı bir kayıt halinde tutulması devletimiz açısından neden önemliydi? Modern zamanlarda yapay zeka teknolojilerinin yaygın olarak uygulanması sonucunda “akıllı” hizmetler hızla gelişmektedir. Bu sürece büyük miktarda verinin oluşturulması ve işlenmesi eşlik etmektedir. İnsanlar günlük faaliyetlerinde giderek daha fazla yapay zeka araçlarını ve otomatik yapay zeka aracılarını kullanıyor. Bu aracılar çeşitli süreçleri bağımsız olarak gerçekleştirir, karar almayı destekler ve dijital hizmetlerin ölçeğini daha da genişletir. Sonuç olarak dijitalleşme tüm faaliyet alanlarında daha hızlı ve daha yaygın bir şekilde yayılıyor Dijital dönüşümün hızlanması bilgi güvenliği açısından yeni risklerin yanı sıra yeni fırsatlar da yaratıyor. Veri hacminin hızla artması, sistemlerin birlikte çalışabilirliğinin genişlemesi ve yapay zeka hizmetlerinin yaygınlaşması, güvenlik risklerinin daha karmaşık bir yapıya kavuşmasına yol açmaktadır. Dolayısıyla dijital ekosistem, bilgi güvenliği ekosistemi gibi yaklaşımlar daha da önem kazanıyor. Bilgi güvenliği risk listesi de bu ekosistemin ana bileşenlerinden biridir Yeni kurallara göre her devlet kurumunda bilgi güvenliği risklerine ilişkin bir kayıt defterinin oluşturulması gerekiyor. Bu kayıtta, olası tehditler, dijital ekosistemde istismar edilebilecek zafiyetler, bu zafiyetlerin kurumun faaliyetlerine verebileceği sonuçlar, bunların tespitine yönelik göstergeler ve önleyici koruma tedbirlerini de içeren risk faktörleri, birleşik bir mimari çerçevesinde sistematik olarak kayıt altına alınmalıdır Dolayısıyla, bir olay meydana geldikten sonra tepki vermek yerine kuruluşlar, riskleri önceden belirleyerek yönetmeye çalışacaklardır. Bu yaklaşımı daha etkin risk yönetimine olanak tanıyacak ve bunun sonucunda lojistik, finansal, zaman ve insan kaynaklarının daha verimli kullanılmasını sağlayacaktır Bu belgenin gereklilikleri kimler için bağlayıcıdır? Kuralın gerekleri devlet kurumları için zorunludur. Bu kurumlarda risk kayıtlarının tutulması bir zorunluluktur ve ilgili devlet kurumu tarafından kontrol konusu olarak değerlendirilmektedir. Özel sektör ve bireysel girişimciler için bu gereklilikler zorunlu değildir ancak devlet kurumlarına hizmet vermeleri halinde bu hizmetlere ilişkin anlaşma belgelerinde ilgili karşılıklı yükümlülükler ve ölçüm metrikleri tanımlanacaktır Pek çok kurumda bilgi güvenliğinin kontrolü için denetim, izleme, belgelendirme, uzmanlık mekanizmaları kullanılmaktadır. Ancak risk değerlendirme mekanizmasının ulusal güvenliğe tehdit oluşturabilecek her alan için temel önem taşıdığı bilinmektedir. Bilgi alanında güvenliğin kontrol altında tutulması için bu mekanizmaların her birinin belli bir sıra içerisinde yeri vardır. Örneğin risk değerlendirmesinin gelecekteki duruma ilişkin bir bakış olduğu düşünülebilir; proje uzmanlığı amaçlanan nesnenin modelinin gözden geçirilmesidir; sertifikasyon, mevcut nesnenin söz konusu modele uygunluk durumunun gözden geçirilmesidir; izleme mevcut durumun gözden geçirilmesidir; denetim geçmiş durumun gözden geçirilmesidir ve risk yönetimi durumun güvenliği için önleyici bir tedbirdir Ancak bu belgenin gerektirdiği yaklaşımlar uluslararası uygulamalarla tutarlı mı? Evet, bu belgenin yaklaşımı uluslararası uygulamalara ve küresel standartlara tamamen uygundur. Kural doğrudan uluslararası kabul görmüş ISO/IEC 27005 (bilgi güvenliği risk yönetimi), ISO/IEC 20000 (BT hizmet yönetimi) ve bilgi güvenliği yönetimiyle ilgili diğer standartlara dayanmaktadır. Belge aynı zamanda "risk kaydı" dijital hizmetinin işlevsel yeteneklerinin bu alandaki gelişmiş metodolojik çerçevelere göre oluşturulması gerektiğini açıkça belirtiyor. Bu durum devlet kurumlarında risk değerlendirme, işleme ve kontrol altında tutma süreçlerinin sistematik olarak uygulanmasının temelini oluşturmaktadır Yani bu belge küresel düzeyde kabul edilen yönetim modelinin ulusal hukuki uygulamasıdır. Yoğun dijitalleşme çağında bilgi güvenliğine hizmet eden hem teknik bir belge hem de modern bir yönetim kültürüdür. Bu adım, Azerbaycan'ın bilgi güvenliği alanında küresel trendlere ayak uydurduğunu gösteriyor. Her devlet kurumunda bilgi güvenliği alanında risk değerlendirme, işleme ve kontrole yönelik rollerin ve liderlerin belirlenmesi beklenmektedir Bu Kural uygulama açısından hangi gerçekçi mekanizmaları öngörmektedir? Bu Yönetmelik somut uygulama mekanizmalarını tanımlamakta, sadece "ne yapılması gerektiği" sorusuna değil, "nasıl yapılması gerektiği" sorusuna da yanıt vermektedir. En önemli mekanizma risk kaydının uygun bir yapıda oluşturulması ve yönetilmesidir. Her devlet kurumu bilgi güvenliği risklerini tanımlamalı, ölçmeli, sınıflandırmalı, kaydetmeli, işleme çözümlerini uygulamalı ve kaydı düzenli olarak güncellemelidir. Yapay zekanın sadece tehditler için değil, koruma çözümleri için de yaygın olarak kullanıldığını belirtmek gerekiyor Risklerin, bilgi güvenliği ekosistemi bileşenlerinin hesaplarının ve tehditlerin etkileyebileceği ve kullanabileceği dijital ekosistem bileşenlerinin hesaplarının belirlenebilmesi için bu ekosistemlerin temel koşullarının belirlenmesi gerekmektedir Bu kuralın uygulanması sonucunda hiçbir kurum "riskten haberimiz yoktu" veya "olay beklenmedikti" dememelidir. Riskler öngörülebilir, ölçülebilir ve duyarlı bir yönetim nesnesi haline gelir. Bu Yönetmelikte sağlanan çözümlerin kataloğu - "bilgi tabanı", en iyi uygulamaların bir koleksiyonunun yanı sıra bir fikri mülkiyet ve yenilik fonudur Bu belge devlet kurumlarıyla çalışan şirketler ve yükleniciler için neyi değiştiriyor? Bu belge doğrudan özel sektörü hedef almasa da dolaylı olarak çok ciddi etkiler yaratıyor. Çünkü devlet kurumlarının bilgi güvenliği konusundaki sorumlulukları arttıkça onlarla çalışan şirketlerin de bu sürece uyum sağlaması gerekiyor. Bu belge, hem devlet hem de onunla çalışan şirketler için bilgi güvenliğinin daha olgun ve şeffaf yönetimi için yeni bir aşamadır Riskler bağlamsal olarak değerlendirilmelidir – bu daha profesyonel bir yaklaşım gerektirir, risk işleme araçları güvenlik kademelerine (insan faktörleri, çevre başına, bilgisayar ağı başına, son kullanıcı ekipmanı başına, yazılım başına, veri, kritik varlıklar vb. katman başına) uyumlu olacak, uygun dijital hizmetler aracılığıyla uygulanacak Bu belgenin sıradan bir vatandaş için önemi nedir? Birçok kişiye bu tür belgeler "yalnızca devlet kurumları için yazılmış" gibi görünebilir. Fakat aslında bu belge doğrudan vatandaşın bilgi güvenliğinin ve buna bağlı hukuki menfaatlerin korunmasına hizmet etmektedir. Çünkü günümüzde vatandaşlar günlük yaşamlarında sürekli olarak devletin bilgi sistemlerini ve elektronik hizmetlerini kullanmaktadır Bu belgenin uygulanması sonucunda dijital ekosistemdeki ve dijital hizmetlerdeki güvenlik açıkları azaltılır, güvenlik açıklarından tehditlere yönelik yararlanma vakaları ve girişimleri uygun göstergeler aracılığıyla otomatik olarak tespit edilir ve nüfusa sağlanan elektronik hizmetlerin istikrarı artar. Ayrıca kişisel verilerin gizliliğini ve bütünlüğünü de etkiler. Sahte metin, ses ve videolarla ("deepfake") dezenformasyonun yayılmasıyla ve dolandırıcılık için üretken yapay zekanın kullanımıyla mücadeleye yönelik önleyici destek Halk, devlet bilgi sistemleri ve elektronik hizmetlerde sürdürülebilirlik düzeyinin artırılması konusunda bu belgenin gerçek faydasını bilecek ve takdir edecektir 2026 © AZERTAC. Telif hakkı saklıdır. Bilgilerin kullanımına hiper bağlantıyla atıfta bulunulmalıdır