Bir kamu hizmeti sabah saatlerinde
yavaşladı diyelim. İlk açıklama “Sistemlerde geçici aksaklık var” olabilir.
Oysa arka planda çok daha uzun bir zincir bulunabilir: Merkezi kimlik doğrulama
yanıt vermiyordur, başka kurumdan beklenen veri gecikiyordur, ağ erişimi kararsızdır
veya hizmeti ayakta tutan fiziksel altyapıda sorun yaşanmıştır. Vatandaşın
gördüğü tek bir ekran, gerçekte birden fazla kurumun, tedarikçinin, insanın ve
teknolojinin ortak sonucudur.
Bu yüzden kamu bilişiminde “bizim sunucumuz
çalışıyor” cümlesi her zaman rahatlatıcı değildir. Sunucu çalışsa bile, hizmet
sunulamayabilir. Ekran açılabilir ama kritik veri gelmeyebilir. Kamera görüntü
verebilir ama kayıt zaman damgası yanlış olabilir. Yedekleme yapılmış olabilir
ama geri dönüş için gereken erişim altyapısı devre dışı kalabilir. Hizmet
sürekliliği, cihazların tek tek ayakta kalmasından daha geniş bir meseledir.
BT Hizmet Yönetimi veya Operasyon
Müdürlüğünden stratejik kamu yönetimine uzanan bakışın başladığı yer de
burasıdır. Yerel arızayı çözebilmek değerlidir; fakat aynı arızanın başka
hizmetlere nasıl yayılacağını, hangi kurumun ne zaman haberdar olması
gerektiğini ve hangi kaynağın öncelikli korunacağını görmek daha geniş bir
yönetim yeteneğidir.
Ulusal siber
dayanıklılık, kurumların tek başına güçlü olması kadar birbirine güvenilir
biçimde bağlanabilmesine de dayanır.
Bir
kurumda öğrenilen saldırı işareti, başka kurum için erken uyarı olabilir
Siber olayları yalnızca gerçekleştiği
kurumun meselesi olarak görmek, önemli fırsatları kaçırır. Bir kurum şüpheli
kimlik doğrulama girişimleri, kötü amaçlı alan adı veya belirli bir saldırı
yöntemi tespit ettiğinde, uygun biçimde paylaşılan bilgi başka kurumların aynı
riski erkenden görmesini sağlayabilir. Fakat burada birbirine zıt iki tehlike
vardır: Bilgiyi geç paylaşmak ve gereğinden fazla paylaşmak.
Geç bilgi, kaybı önleyici tedbirin zamanında
alınmasını engeller. Gereğinden fazla paylaşım ise; kişisel verileri, hassas
sistem ayrıntılarını, soruşturma bilgilerinin gizliliğini veya kurumun zayıf
noktalarını açığa çıkarabilir.
Bu yüzden kurumsal iletişim, “Elimizdeki logu
gönderelim” refleksiyle değil, tanımlı bilgi sınıflandırması ve yetki
çerçevesiyle yürütülmelidir. Paylaşımın amacı, içeriği, asgari gerekli veri,
muhatap, kanal, doğrulama ve saklama kuralları önceden düşünülmelidir.
Örneğin zararlı bir bağlantı bilgisi veya
saldırı davranışı, kullanıcı adı ve kurum içi ağ topolojisi içeren ham kayıttan
ayrıştırılarak kullanılabilir uyarıya dönüştürülebilir. Olayın doğrulanma
düzeyi de ifade edilmelidir: Kesin bulgu mu, güçlü şüphe mi, henüz incelenmemiş
işaret mi? Kaynağı ve güven düzeyi belirsiz bir uyarı, başka kurumda gereksiz
müdahalelere ve yanlış alarma neden olabilir. Bazen yanlış bilgi, hiç bilgi
paylaşmamaktan bile daha fazla emek tüketir.
Etkili paylaşım için bir irtibat ve eskalasyon haritası gerekir.
- Teknik göstergeyi kim doğrular?
- Yetkili makama hangi koşulda bildirim yapılır?
- Hukuk, bilgi güvenliği, olay müdahale ekibi ve hizmet sahibi arasında görev
nasıl dağılır?
- Paylaşım sonrasında alınan önlemin işe yarayıp yaramadığı nasıl
öğrenilir?
Ulusal kapasite, yalnızca mesajın gönderildiği anda değil, karşı
kurumun o bilgiyi kullanabildiği anda büyür. Elbette bu süreç yürürlükteki
mevzuat ve yetkili kurumların resmî bildirim kurallarına uygun yürütülmelidir.
Bir
kameranın susması neden yalnızca kamera arızası değildir?
Siber-fiziksel sistemler, dijital bir
arızanın gerçek dünyada sonuç üretebildiği hassas alanlardır. Kamera sistemi,
kartlı geçiş, bina otomasyonu, yangın algılama arayüzleri, enerji izleme veya
endüstriyel kontrol ağı tek başına sıradan bilgisayar uygulaması gibi
değerlendirilemez. Bu sistemlerin çalışması insan güvenliğini, tesis işletimini
ve fiziksel olayların incelenmesini etkileyebilir.
Temsili bir olay düşünelim: Kritik bir kamu
binasındaki kamera görüntülerinin bir bölümü izleme merkezinde kayboldu. İlk
tepki arızalı kameraları değiştirmek olabilir. Ancak;
- Ağ anahtarı mı devre dışı
kaldı?
- Depolama sistemi mi doldu?
- Elektrik beslemesinde mi sorun var?
- Kimlik
doğrulama erişimi mi kesildi?
- Kayıt devam ediyor ama izleme konsolu mu
açılmıyor?
- Zaman senkronizasyonu bozulduğu için görüntüler doğru tarihle
eşleşmiyor mu?
Aynı belirtinin altında farklı kurumsal riskler yatabilir. Yönetsel karar, “hangi cihaz bozuldu”
sorusundan önce “hangi güvenlik hizmeti ne ölçüde kaybedildi” sorusuyla
başlamalıdır. - Görüntü alınamayan alan kritik mi?
- Alternatif fiziksel güvenlik
tedbiri gerekiyor mu?
- Kayıtların bütünlüğü etkilenmiş mi?
- İş sağlığı ve
güvenliği boyutu var mı?
- Mevcut kesinti başka bir olayın belirtisi olabilir mi?
Bu sorular BT, fiziksel güvenlik, tesis yönetimi ve bilgi güvenliği
sorumlularını aynı olay masasına getirebilir. İyi bir siber-fiziksel varlık haritası,
bileşenleri değil hizmet
bağımlılıklarını gösterir.
Kamera, ağ anahtarı, kayıt sunucusu, depolama,
zaman kaynağı, elektrik, yönetim istasyonu ve destek sözleşmesi arasındaki
ilişki görünür olur. Kayıt saklama süresi, erişim yetkisi, güncelleme penceresi
ve devre dışı kalma senaryosu önceden değerlendirilir. Kuruma özgü hukukî
saklama ve kişisel veri kurallarına da uyulur. Böylece teknik bakım planı,
güvenlik ve hizmet sürekliliği planından kopmaz.
Eğitim
salonunu doldurmak, güvenlik yetkinliği kazandırmak değildir
Ulusal ölçekte siber güvenlik
kapasitesinden söz edildiğinde eğitim sayıları sıkça öne çıkar: Kaç kurum
katıldı, kaç kişi sertifika aldı, kaç saat eğitim verildi? Bunlar gerekli
faaliyet göstergeleri olabilir; ancak asıl soru daha zor: İnsanlar eğitimden
sonra işini daha güvenli yapıyor mu?
Bir personel kimlik avı konulu sunumu izleyip
sınavdan yüksek puan alabilir. Üç ay sonra gerçekçi bir şüpheli ileti
geldiğinde doğru yere bildirmiyorsa, bilgi davranışa dönüşmemiş demektir.
Bir
olay müdahale ekibi prosedürü ezbere bilebilir; gece yapılan tatbikatta
eskalasyon sırasını karıştırıyorsa öğrenme eksik kalmıştır. Eğitim programının
değeri katılımcı sayısından değil, davranış ve kurumsal sonuç üzerindeki
etkisinden anlaşılır.
Bu değerlendirmeyi dört aşamada
kurabiliriz.
- Önce kapsamı ölçeriz: Hedeflenen rollerden kimlere ulaşıldı?
- Sonra
öğrenmeye bakarız: Senaryo veya test performansı nasıl değişti?
- Ardından iş
davranışını gözleriz: Doğru bildirim, güvenli işlem ve doğru eskalasyon oranı
gelişti mi?
- Son olarak kurumsal etkiye bakarız: Aynı türden süreç hatası,
gecikme veya kontrol kusuru azaldı mı?
Son aşamada neden-sonuç ilişkisini
kurmak daha güçtür; eş zamanlı teknik yatırımlar ve süreç değişiklikleri de
sonucu etkilemiş olabilir.Eğitimin bir başka kritik tarafı, rollere
göre farklılaşmasıdır. Üst yönetici ile olay müdahale analistinin aynı detayda
eğitim alması beklenmemelidir.
- Üst yönetici; kriz kararlarını, risk kabulünü ve
iletişimi; olay analisti teknik doğrulama ve kanıt disiplinini;
- Hizmet masası
çalışanı; kimlik doğrulama, güvenli yönlendirme ve kullanıcı iletişimini
çalışmalıdır.
Ortak bir güvenlik kültürü, bütün personele aynı slaytı göstermek
değil, herkesin kendi karar alanında doğru davranmasını sağlamaktır.
Ulusal ölçekte tasarlanacak programlar için; merkezî asgari yeterlilik ölçütü ile kurumların farklı çalışma koşulları arasında
denge gerekir. Küçük bir kurumun kapasitesi, büyük kritik altyapı işletmesiyle
aynı olmayabilir. Eğitimin başarısı, en güçlü kurumun sınav ortalaması kadar,
en fazla desteğe ihtiyaç duyan kurumun uygulama becerisindeki gelişimle de
değerlendirilmelidir.
Yedek
sistem var ama hizmet neden hâlâ geri dönemiyor?
İş sürekliliğinde sık görülen yanılgılardan
biri, teknik yedeklemenin hizmetin tamamını güvence altına aldığı düşüncesidir.
Veri yedeği bulunabilir; ancak uygulamanın bağımlı olduğu kimlik servisi, ağ
bağlantısı, şifreleme anahtarı, dış kurum doğrulaması veya yetkili personel
yoksa hizmet açılamaz. Başarılı yedekleme, başarılı geri dönüşle aynı şey
değildir.
Hizmet etki analizi (BIA) burada temel
soruları gündeme taşır.
- Hangi hizmet durduğunda kim etkilenir?
- Kabul edilebilir
kesinti süresi ne kadardır?
- Hangi veri kaybı tolere edilebilir?
- Hangi faaliyet
için alternatif yöntem vardır?
Bu sorulardan hareketle kurtarma süresi hedefi
(RTO) ve kurtarma noktası hedefi (RPO) gibi kavramlar belirlenebilir. Ancak bu
hedefler teknoloji ekibinin tek başına vereceği sözler değildir; hizmet
sahipleri ve yetkili yönetim tarafından iş etkisiyle birlikte
değerlendirilmelidir.Bir hizmetin iki saat içinde geri dönmesi
hedeflenmişse, bunu sağlayacak personel, altyapı, tedarikçi ve iletişim düzeni
gerçekten var mı? Test edilmemiş bir hedef, kriz sırasında yanıltıcı güven
üretir.
Bu nedenle teknik kurtarma testleri ile çok paydaşlı masa başı
tatbikatlar birlikte kullanılmalıdır. Senaryo yalnızca “sunucu kapandı,
yedekten açıldı” kadar basit olmamalı; örneğin ana kimlik altyapısı
erişilemezken birden fazla kurum hizmet bekliyor, kritik karar verici başka
yerde ve tedarikçi beklenenden geç cevap veriyor olabilir.
Böyle bir tatbikatta amaç; kimseyi zor
durumda bırakmak değil, karar yapısının eksiklerini görmek olmalıdır. Kim
olayın sahibi oldu? Hangi hizmete öncelik verildi? Alternatif süreç devreye
girdi mi? Kullanıcı ve paydaşlara doğru bilgi aktarıldı mı? Hangi kararda
gereksiz bekleme yaşandı? Tatbikattan çıkan aksiyonlar doğrulanmadıkça bir
sonraki senaryo yeni bir öğrenme üretmez. Kriz planının değeri rafında değil,
sınandığı anda ortaya çıkar.
Yerli
siber güvenlik teknolojileri: Stratejik tercih nasıl güvenilir işletmeye
dönüşür?
Yerli ürün geliştirme ve kullanma
kapasitesi, teknoloji bağımlılığını azaltma ve ulusal ekosistemi güçlendirme
açısından önemli bir stratejik hedef olabilir. Ancak; bir kamu yöneticisinin
satın alma ve geçiş kararını yalnızca ürünün menşeiyle açıklaması yeterli
değildir. Kritik hizmette kullanılacak teknolojinin güvenliği, performansı,
işletilebilirliği, destek kapasitesi, uyumluluğu ve sürdürülebilirliği de
değerlendirilmelidir.
Bir güvenlik çözümüne geçerken en riskli an
çoğu zaman ürünün kurulduğu gün değil, eski ve yeni sistemin birlikte yaşadığı geçiş
dönemidir. Loglar eksik taşınabilir, politikalar tam eşlenmeyebilir, alarm
senaryoları farklı çalışabilir, geçmiş raporlara erişim bozulabilir veya bakım
yetkisi değişebilir. Bu yüzden; geçişin başında kapsam ve başarı ölçütleri
tanımlanmalı; kontrollü pilot, uyumluluk testi, bilgi devri ve gerektiğinde
geri dönüş planı hazırlanmalıdır.
Örneğin kurum bir güvenlik izleme
bileşenini değiştiriyorsa “yeni ürün alarm üretiyor” sonucu yeterli olmaz.
- Kritik senaryo kapsama oranı,
- Doğru alarm kalitesi,
- Entegrasyon kararlılığı,
- Uzmanların müdahale süresi,
- Üretici destek süresi ve kayıtların
erişilebilirliği ölçülmelidir.
Ayrıca kurumun kendi personelinin çözümü işletme
yetkinliği geliştirmesi değerlidir. Ürün, hizmeti sunan kurumun bilgi ve karar
kapasitesini güçlendiriyorsa dönüşüm daha sürdürülebilirdir.
Burada teknoloji politikası ile operasyon
yönetimi çatışmak zorunda değildir. İyi tasarlanmış kamu tedariki, stratejik
hedefleri somut teknik kabul kriterleriyle birleştirir. Desteklenemeyen veya
kritik işlevi doğrulanmamış bir ürünü zorla devreye almak millî kapasiteye
katkıyı zayıflatabilir; doğru tasarlanmış pilot ve geri bildirim mekanizması
ise hem yerli ekosistemin gelişmesini hem hizmet güvenilirliğini
destekleyebilir.
BİGDES:
Denetim günü için hazırlanan dosyadan yaşayan uyum düzenine
Kurumsal uyum yönetiminde sık rastlanan bir
davranış vardır: Denetim yaklaştığında belge klasörleri güncellenir, eksik
imzalar tamamlanır, ekran görüntüleri toplanır. Denetim geçince gündem başka
konulara döner.
Bu alışkanlık, güvenliği belirli bir tarihte gösterilecek kanıt
olarak görür. Oysa, bilgi ve iletişim güvenliği tedbirlerinin gerçek değeri, yıl
boyunca uygulanıp uygulanmadığında ortaya çıkar.
Türkiye'de Siber Güvenlik Başkanlığının
açıklamalarında BİGDES, Bilgi ve İletişim
Güvenliği Uyum ve Denetim İzleme Sistemi olarak tanımlanır. Sistem; rehber uyum
faaliyetlerinin, denetim sonuçlarının ve bilgi güvenliği yönetim sistemiyle
ilgili gözetim süreçlerinin takibinde kullanılmaktadır.
Bu resmî çerçeveyi
doğru anlamak gerekir: Uyum çalışması yalnızca sisteme veri girmek değildir;
kurumun yürüttüğü kontrollerin sahipliğini, sürekliliğini ve güvenilir kanıtını
yönetmektir.
Kurum içindeki en etkili yaklaşım, her
kontrol için sorumlu kişi veya birim, uygulama sıklığı, gereken kanıt türü,
varsa istisna onayı ve düzeltici faaliyet takvimini tanımlamaktır.
Örneğin
erişim gözden geçirmesi yılda bir kez dosya hazırlamakla sınırlı kalmamalı;
kurumun gerçek riskine ve yürürlükteki gereksinimlerine uygun aralıklarla
yürütülmeli, sonucunda bulunan istisnalar giderilmeli ve etkinliği
doğrulanmalıdır. Benzer şekilde yedekleme, değişiklik yönetimi, envanter,
zafiyet takibi ve tedarikçi erişimi için de kanıtın üretildiği iş akışı
oluşturulmalıdır.
Kanıt kalitesine ayrıca dikkat edilmelidir.
Bir ekran görüntüsü kontrole ilişkin ipucu verebilir; fakat tek başına belirli
dönemde kontrolün sürekli uygulandığını her zaman göstermez.
Zaman damgası,
kapsam, yöntem, kontrol sahibi, istisnalar ve bağımsız doğrulama gerektiğinde
kayda bağlanmalıdır. Güncel resmî rehber ve denetim usulleri esas alınmalı;
genel bir örnek kontrol listesi, yürürlükteki kurum yükümlülüğünün yerine
geçirilmemelidir.
BİGDES gibi gözetim sistemlerinde kurum
yetkililerinin rolü de yalnızca veri girişinden ibaret değildir. Birimler
arasındaki koordinasyon, doğru kişilerin tanımlanması, eksiklerin takibi ve
Başkanlıkla yetkili iletişim önemlidir. İyi hazırlanmış bir uyum dosyası
denetimi kolaylaştırır; işleyen bir uyum
sistemi ise güvenliği gündelik çalışma biçimine yerleştirir.
Bir
hizmet zincirinde kimse bütün resmi görmüyorsa ne olur?
Kamu bilişiminde kurumlar, hizmet
sağlayıcılar ve teknik birimler çoğu zaman kendi sorumluluk alanlarını iyi
bilir. Sorun, alanların birleştiği noktada başlar. Ağ ekibi kendi bağlantısını
sağlam görür, uygulama ekibi servisinin yanıt verdiğini söyler, güvenlik ekibi
belirgin saldırı izi bulamaz. Buna rağmen kullanıcı işlem yapamamaktadır. Çünkü; hizmetin uçtan uca sahibi veya görünürlüğü belirsizdir.
Böyle durumların önüne geçmek için; kritik
hizmetlerin bağımlılık haritası kurum sınırları boyunca düşünülmelidir.
- Hangi
veri hangi dış hizmetten geliyor,
- Hangi kimlik doğrulama hangi altyapıya
dayanıyor,
- İletişim kesilirse hangi alternatif var,
- Üçüncü tarafın müdahale
süresi ne kadar,
- Hangi değişiklik karşı kurumu etkileyecek?
Harita yalnızca
teknik entegrasyon şeması olmamalı; hizmet sahibini, karar merciini, irtibat
noktasını ve geri dönüş koşulunu da içermelidir.
Bir başka önemli konu değişiklik
yönetimidir. Bir kurum kendi sisteminde güvenli görünen bir değişiklik
yaptığında, bağımlı hizmet kullanan başka kurum beklenmedik şekilde
etkilenebilir. Bu nedenle kritik entegrasyonlar için değişiklik bildirimi,
ortak test penceresi ve geri dönüş iletişimi tanımlanmalıdır. Kurumlar arası
koordinasyon kriz gününe bırakılırsa, normal zamanda konuşulmamış sorular en
pahalı anda karşımıza çıkar.
Krizde
teknik iyileşme kadar kamuya verilen bilginin doğruluğu da önemlidir
Kritik bir kesintide teknik ekipler doğal
olarak çözüm üretmeye odaklanır. Fakat, kamu hizmeti açısından sessiz kalan
kurum da bir güven problemi yaşayabilir. Kullanıcı neyin etkilendiğini, hangi
işlemlerin yapılamadığını ve kendisinin ne yapması gerektiğini bilmediğinde
yanlış kanallara başvurabilir, aynı işlemi tekrar tekrar deneyebilir veya
kişisel bilgilerini güvenilir olmayan yerlere aktarabilir.
İletişimde hız kadar doğruluk önemlidir.
Henüz doğrulanmamış bir saldırı iddiasını kesin gerçek gibi açıklamak, sonradan
düzeltmesi zor bir güven kaybı yaratabilir. Öte yandan belirsiz ifadelerle her
şeyi gizlemek de hizmetin etkisini azaltmaz.
Yetkili iletişim birimi, Teknik
olay yöneticisi ve Hizmet sahibi arasında; önceden belirlenmiş onay ve
bilgilendirme akışı bulunmalıdır. Kullanıcıya teknik kök nedenin tüm ayrıntısı
değil; hizmet etkisi, güvenli alternatif yöntem ve güncelleme zamanlaması
anlatılmalıdır.
İyileşme sonrasında yalnızca hizmeti tekrar
açmak da yeterli değildir. Birikmiş işlemler var mı, yanlış veya mükerrer kayıt
oluşmuş mu, kullanıcıların tekrar yapması gereken bir adım var mı, veri bütünlüğü
doğrulandı mı? Toparlanma, sistemi yeşile çevirmekten daha kapsamlıdır. Kamu
güvenini koruyan yönetim, teknik kurtarma ile hizmetin gerçekten normale
dönüşünü birbirinden ayırır.
Ulusal
kapasiteyi güçlendirecek küçük ama gerçekçi bir uygulama sırası
Büyük hedefler küçük ama doğrulanabilir
uygulamalarla güçlenir. Başlangıç için her kurumun bütün altyapısını aynı anda
dönüştürmesini beklemek yerine kritik birkaç hizmet üzerinden pilot çalışmak
daha gerçekçidir.
- İlk adımda hizmet sahipleri ve dış bağımlılıklar belirlenir.
- İkinci adımda bilgi paylaşımı ve olay eskalasyon noktaları doğrulanır.
- Üçüncü
adımda bir siber-fiziksel veya dijital kesinti senaryosu seçilir.
- Dördüncü
adımda teknik ve yönetsel bir masa başı tatbikat yapılır.
Bu süreçte insan kaynağı eksikleri görünür
olur. Hangi kurumda eğitim ihtiyacı var, hangi rol için yedek personel
bulunmuyor, tedarikçi bağımlılığı hangi noktada riskli, uyum kanıtı hangi
süreçte üretilmiyor?
Ardından sınırlı sayıda iyileştirme seçilir ve bir sonraki
tatbikatta doğrulanır. Yüzlerce sayfalık bir strateji belgesi hazırlayıp
uygulamasını izlememektense, küçük bir hizmet zincirini gerçekten daha
dayanıklı kılmak kuruma daha çok şey öğretir.
Bu yaklaşımın başarılı olabilmesi için
merkezî standart ile kurumun gerçek kapasitesini dengelemek gerekir. Aynı hedef
farklı büyüklükteki kurumlarda farklı araçlarla gerçekleştirilebilir; önemli
olan güvenlik sonucunun ölçülebilir olmasıdır.
Ulusal koordinasyon, bütün
kurumların aynı ürünü kullanmasını zorlamak değildir. Uyumlu kurallarla,
güvenilir bilgiyle ve sınanmış süreçlerle birlikte hareket edebilmelerini
sağlamaktır.
Son
soruyu kim soracak: Hizmet gerçekten normale döndü mü?
Büyük bir kesintinin sonunda toplantı
odasında rahatlama yaşanır. Sistem ekranları yeşile dönmüş, teknik ekip
bağlantıların yeniden kurulduğunu bildirmiştir. Ancak; hizmet sahibi henüz iş
sonuçlarını doğrulamamışsa bu rahatlama erken olabilir. İşlemler sırada
birikmiş, bazı kayıtlar iki kez oluşmuş, gün boyunca çalışmayan dış
entegrasyonda tutarsızlık doğmuş veya kritik kullanıcıların alternatif iş
akışları yarım kalmış olabilir.
Bu nedenle toparlanma kararını iki aşamada
ele almak yararlıdır.
- Teknik toparlanmada; sistemin erişilebilirliği, veri
bütünlüğü, güvenlik kontrolleri ve entegrasyon sağlığı doğrulanır.
- İş
toparlanmasında; hizmet sahipleri gerçek kullanıcı senaryolarını çalıştırır,
bekleyen işleri kontrol eder ve gerekli iletişimi planlar.
Kurumlar arası
hizmetlerde bağımlı tarafların onayı veya doğrulaması da gerekebilir. “Sunucu
açıldı” ile “vatandaş işlemi güvenle tamamlıyor” arasındaki fark buradadır.
Olay sonrası raporda, sürelerin yanı sıra
koordinasyon kararlarını da incelemek gerekir. İlk doğru bilgi ne zaman alındı,
hangi kurum ne zaman haberdar oldu, hangi bağımlılık geç fark edildi, hangi
alternatif yöntem sonuç verdi? Bir sonraki kesintide süreyi azaltacak
değişiklik yalnızca yeni donanım olmayabilir; daha doğru iletişim, güncel yetki
listesi veya ortak tatbikat aynı ölçüde etkili olabilir. Büyük sistemlerde en
değerli iyileştirme bazen çok basit bir yönetişim eksikliğinin giderilmesidir.
Ulusal
dayanıklılığın ölçüsü: Birlikte karar verebilmek
Altı konuyu aynı anlatıda bir araya
getirdiğimizde ortak ilke belirginleşir.
- Bilgi paylaşımı doğru kişiye doğru
uyarıyı ulaştırır.
- Siber-fiziksel güvenlik dijital ve fiziksel etkileri
birlikte görmeyi sağlar.
- Eğitim, insanın sahada doğru karar verme yeteneğini
güçlendirir.
- İş sürekliliği kritik bağımlılıkları görünür kılar.
- Yerli
teknolojiye güvenilir geçiş, stratejik bağımsızlık hedefiyle işletme sorumluluğunu
buluşturur.
- BİGDES ve sürekli uyum yaklaşımı ise bütün bunların
belgelendirilmesini ve izlenmesini destekler.
Kurumlar arası bir kesinti yaşandığında en
değerli kaynak yalnızca yedek sunucu veya güçlü güvenlik ürünü değildir.
- Kimin
yetkili olduğunu bilen,
- Güvenilir bilgi paylaşan,
- Kritik hizmetin etkisini
anlayan ve doğru kararı zamanında alabilen insanlar ile kurumlar gerçek
dayanıklılığı oluşturur.
Teknoloji gerekli bir araçtır; karar verme düzeni ise
o aracın değerini belirler.
Buradan kamu yöneticiliğine ilişkin güçlü
bir sonuç çıkarıyorum: Başarı, yalnızca kendi kurumumuzun panellerini yeşil
tutmak değildir. Hizmet zincirinin tamamındaki zayıf halkaları görebilmek,
başka kurumlarla çalışabilmek ve belirsizliği azaltan kuralları inşa
edebilmektir.
Kriz anında gösterilen bireysel kahramanlık takdir edilebilir;
fakat kurumların birbirini anlayabildiği ve yardıma ihtiyaç duyduğunda doğru
mekanizmanın çalıştığı bir düzen çok daha kalıcıdır.
Bir kamu hizmeti ekranda birkaç saniyede
tamamlandığında vatandaş arka plandaki onlarca sistemin, kurumun ve insanın
emeğini görmez. Görmemesi de doğaldır. Asıl hedef; o karmaşık emeğin
kullanıcıya güvenilir, sürekli ve
erişilebilir hizmet olarak yansımasıdır. Ulusal siber dayanıklılık tam
olarak böyle bir görünmeyen ortak başarının adıdır.
Kaynaklar
