Türkiye’nin bu alandaki kurumsal yapılanması da bu dönüşüme paralel olarak şekillenmektedir. Siber Güvenlik Başkanlığının kuruluşu ve 7545 sayılı Siber Güvenlik Kanunu ile oluşturulan çerçeve, siber güvenliği yalnızca olaylara müdahale perspektifinden çıkararak politika, koordinasyon, risk yönetimi, denetim, dayanıklılık ve ekosistem geliştirme ekseninde ele alan daha bütüncül bir modele taşımaktadır.
Kanun, siber güvenliği açık biçimde millî güvenliğin ayrılmaz bir parçası olarak tanımlamakta; kurumsallık, süreklilik, sürdürülebilirlik ve hesap verebilirlik ilkelerini esas almaktadır.
Bu nedenle Siber Güvenlik Başkanlığının rolünü yalnızca “siber saldırılara karşı mücadele eden merkezi kurum” şeklinde tanımlamak yetersizdir. Daha doğru bir perspektif şudur:
1. Yetki Alanı: Teknik Güvenlikten Ulusal Yönetişime
7545 sayılı Kanun, Başkanlığın görev alanını yalnızca siber olay müdahalesiyle sınırlamamaktadır. Başkanlığın görevleri arasında;
- Kritik altyapıların ve bilişim sistemlerinin siber dayanıklılığının artırılması,
- Siber tehditlerle mücadele ve tehdit istihbaratı,
- Varlık ve risk analizleri,
- SOME’lerin kurulması, denetlenmesi ve olgunluklarının artırılması,
- Siber güvenlik standartlarının oluşturulması,
- Ürün, hizmet ve uzmanlara yönelik test ve sertifikasyon,
- Siber güvenlik denetimi,
- Gerekli durumlarda yaptırım uygulanması
gibi birbirini tamamlayan çok sayıda yetki ve sorumluluk bulunmaktadır. Bu yapı önemli bir dönüşümü gösteriyor:
Siber güvenlik artık yalnızca “teknik olarak güvenli sistemler oluşturma” meselesi değildir.
Aynı zamanda;
- Hangi risklerin önceliklendirileceği,
- Hangi standartların uygulanacağı,
- Kimlerin hangi sorumluluğu üstleneceği,
- Uygulamanın nasıl ölçüleceği,
- Uyumsuzlukların nasıl yönetileceği
2. Koordinasyon: Ulusal Siber Güvenliğin Temel Çarpanı
Siber güvenliğin en önemli özelliklerinden biri, sorumluluğun tek bir kurumda toplanamamasıdır.
Kamu kurumları kendi bilgi sistemleri ve hizmetlerinden sorumludur. Kritik altyapı işletmecileri hizmet sürekliliğini sağlamak zorundadır. Özel sektör teknoloji ve güvenlik çözümleri üretir. Üniversiteler bilgi ve insan kaynağı sağlar.
Bu aktörlerin her birinin kendi alanında güçlü olması önemlidir; ancak birbirinden bağımsız çalışan güçlü kurumlar, tek başına güçlü bir ulusal siber güvenlik sistemi oluşturmaz.
Asıl kapasite, bu aktörlerin ortak güvenlik hedefleri ve standartları etrafında koordineli çalışmasıyla ortaya çıkar. Bu nedenle Başkanlığın stratejik rolünü şu model üzerinden okumak mümkündür:
3. Yetki–Sorumluluk Dengesi
Başkanlığın görev ve yetkileri kadar önemli bir diğer unsur, Kanunun siber güvenliği yalnızca Başkanlığın sorumluluğu olarak görmemesidir.
7545 sayılı Kanun, kapsamındaki kamu kurumları ve diğer aktörlere de siber güvenlik konusunda sorumluluklar yüklemektedir. Bu kapsamda gerekli tedbirlerin alınması, zafiyet ve siber olayların bildirilmesi ve Başkanlık tarafından oluşturulan politika, strateji, eylem planı ve düzenleyici işlemlere uyulması gibi yükümlülükler bulunmaktadır.
Bu ayrım özellikle üst yönetim açısından kritiktir. Çünkü etkili bir siber güvenlik modelinde soru yalnızca: “Güvenlikten kim sorumlu?” değil;
Bir stratejinin veya standardın yayımlanması tek başına güvenlik sağlamaz. Asıl değer, belirlenen gereksinimlerin kurumlarda uygulanması ve sonuçlarının ölçülmesiyle ortaya çıkar. Bu açıdan denetim mekanizması, Başkanlığın yönetişim modelindeki kritik bileşenlerden biridir.
Kanun, Başkanlığa siber güvenlik denetimi gerçekleştirme ve sonuçlarına göre yaptırım uygulama yetkisi verirken; bağımsız denetçiler ve denetim kuruluşlarının yetkilendirilmesine ilişkin mekanizmalar da öngörmektedir. Bu yapı;
Politika → Standart → Uygulama → Denetim → Düzeltici faaliyet → Yeniden değerlendirme
5. Teşkilat Yapısı: Stratejik Önceliklerin Yansıması
Başkanlığın güncel teşkilat yapısı da kurumun görev alanının genişliğini ortaya koymaktadır.
Yapıda Siber Savunma Genel Müdürlüğü, Siber Mukavemet Genel Müdürlüğü ve Ekosistem Geliştirme Genel Müdürlüğünün yanı sıra Dijital Devlet Genel Müdürlüğü, Kamu Yapay Zekâ Genel Müdürlüğü, Yönetim Hizmetleri Genel Müdürlüğü ve Strateji Geliştirme Dairesi Başkanlığı bulunmaktadır.
Bunlara ek olarak Denetim ve Gözetim Daire Başkanlığı, Araştırma, Analiz ve Kurul İşleri Daire Başkanlığı ve Dış İlişkiler Daire Başkanlığı gibi bağlı birimler de yer almaktadır.
Bu teşkilat yapısı yalnızca bir organizasyon şeması olarak görülmemelidir. Aynı zamanda Türkiye’nin siber güvenlik yaklaşımındaki önceliklerin kurumsal bir yansımasıdır:
Savunma + Mukavemet + Strateji + Denetim + Ekosistem + Dijital Devlet + Yapay Zekâ
6. Asıl Stratejik Hedef: Kurumu Değil, Sistemi Güvence Altına Almak
Üst düzey siber güvenlik yönetiminde başarı yalnızca kaç saldırının engellendiğiyle ölçülmez. Daha önemli olan, ülkenin siber risklere karşı ne kadar dayanıklı hale geldiğidir. Bu nedenle ulusal siber güvenlik kapasitesi;
- Kritik altyapıların dayanıklılığı,
- Kurumların siber olgunluk seviyeleri,
- Ortak güvenlik standartlarının uygulanma oranı,
- Olaylara müdahale kapasitesi,
- Tehdit istihbaratının etkin kullanımı,
- İnsan kaynağı kapasitesi,
- Yerli teknoloji ve ürün ekosistemi,
- Denetim sonuçları,
- Risklerin yönetim seviyesinde görünür hale getirilmesi
gibi göstergeler üzerinden değerlendirilmelidir. Başka bir ifadeyle:
Siber güvenlikte başarı, saldırıların hiç gerçekleşmemesi değil; saldırı gerçekleştiğinde ülkenin hizmetlerini, verisini ve kritik fonksiyonlarını sürdürebilecek dayanıklılığa sahip olmasıdır.
7. Yönetici Perspektifiyle Sonuç
Siber Güvenlik Başkanlığının yetki, görev ve koordinasyon modeli incelendiğinde temel dönüşüm açık biçimde görülmektedir:
- Operasyondan → Yönetişime
- Olay müdahalesinden → Risk yönetimine
- Tekil kurum güvenliğinden →Ulusal kapasiteye
- Uyumdan → Sürekli gelişime
doğru bir yaklaşım ortaya çıkmaktadır. Başkanlığın stratejik değerini yalnızca sahip olduğu teknik kapasiteyle değerlendirmek bu nedenle eksik olacaktır. Asıl başarı;
- Politikanın uygulanması,
- Sorumlulukların doğru dağıtılması,
- Kurumlar arası koordinasyonun güçlendirilmesi,
- Risklerin ölçülebilir hale getirilmesi,
- Denetim sonuçlarının iyileştirmeye dönüştürülmesi
- Ulusal siber güvenlik ekosisteminin sürdürülebilir biçimde geliştirilmesi
ile ortaya çıkacaktır. Sonuç olarak Siber Güvenlik Başkanlığı, yalnızca siber tehditlere karşı bir “kalkan” olarak değil;
Türkiye’nin siber güvenlik kapasitesini ortak politika, standart, sorumluluk, koordinasyon ve denetim mekanizmaları üzerinden şekillendiren stratejik bir yönetişim merkezi olarak değerlendirilmelidir.
Ulusal siber güvenliğin gücü, tek bir kurumun ne kadar güçlü olduğundan çok; ülke genelindeki tüm kritik aktörlerin ortak bir güvenlik mimarisi içerisinde ne kadar koordineli, ölçülebilir ve sürdürülebilir hareket edebildiğiyle belirlenir.