Bilgi ve İletişim Güvenliği Rehberi kurumlardan ne istiyor

Bilgi ve İletişim Güvenliği Tedbirleri konulu 2019/12 sayılı Cumhurbaşkanlığı Genelgesi, 6 Temmuz 2019 tarihli ve 30823 sayılı Resmî Gazete'de yayımlanmıştır. Genelge 21 maddelik tedbir listesinin yanında, farklı güvenlik seviyeleri içeren bir Rehber hazırlanmasını, tüm kamu kurumları ile kritik altyapı hizmeti veren işletmelerde yeni kurulacak bilgi sistemlerinde Rehber'e uyulmasını ve mevcut altyapıların kademeli olarak uyumlu hâle getirilmesini öngörür.

Rehber'in ilk sürümü Temmuz 2020'de Dijital Dönüşüm Ofisi tarafından yayımlanmıştır. 177 sayılı Cumhurbaşkanlığı Kararnamesi ile kurulan Siber Güvenlik Başkanlığı, Ofis'in siber güvenlik alanındaki görevlerini devralmış; 19 Mart 2025 tarihinde yayımlanan 7545 sayılı Siber Güvenlik Kanunu ile Ofis'in bu alandaki uygulama ve envanteri Başkanlığa aktarılmıştır. Rehber'in güncel sürümü, 1 Mart 2026 tarihli 1.1 sürümüdür. Sürüm notunda değişikliğin nedeni, yetki devri nedeniyle belgede yapılan tasarımsal ve kurumsal değişiklikler olarak gösterilmektedir. Rehber ve Denetim Rehberi artık Siber Güvenlik Başkanlığı'nın internet sitesinde yayımlanmaktadır.

Rehber, bilgi işlem birimi barındıran veya bilgi işlem hizmetlerini sözleşmeler çerçevesinde üçüncü taraflardan alan, devlet teşkilatı içinde yer alan kurum ve kuruluşlar ile kritik altyapı hizmeti veren işletmeleri kapsar. Kurumlar varlıklarını Rehber'de tanımlanan altı ana başlık altında gruplandırır: Ağ ve Sistemler, Uygulamalar, Taşınabilir Cihaz ve Ortamlar, Nesnelerin İnterneti (IoT) Cihazları, Fiziksel Mekânlar ve Personel.

Her varlık grubunun kritiklik derecesi, işlenen verinin gizlilik, bütünlük ve erişilebilirlik açısından önemi ile bağımlı varlıklar, etkilenecek kişi sayısı, kurumsal, sektörel ve toplumsal sonuçlar dikkate alınarak bir anketle belirlenir. Anket puanı 18'in altındaysa Derece 1, 18 ile 28 arasındaysa Derece 2, 28 ve üzerindeyse Derece 3 kabul edilir. Tedbirler de temel, orta ve ileri olmak üzere üç seviyededir. Derece 1 gruplara temel, Derece 2 gruplara temel ve orta, Derece 3 gruplara ise üç seviyenin tamamı uygulanır.

Kurum, bu derecelendirmeye göre mevcut durum ve boşluk analizi yapar, eksikleri gidermek için bir uygulama yol haritası hazırlar ve teknik kısıtlar nedeniyle karşılanamayan tedbirler için üst yönetim onayıyla aynı amaç ve etkiye sahip telafi edici kontroller uygulayabilir.

Genelge, millî güvenlik ve gizliliğin korunması kapsamındaki faaliyetler hariç olmak üzere kurumların denetim mekanizmaları oluşturmasını ve Rehber'in uygulanmasını yılda en az bir defa denetlemesini öngörür. Rehber, denetimlerin Bilgi ve İletişim Güvenliği Denetim Rehberi esas alınarak yürütüleceğini belirtir.

Siber Güvenlik Başkanlığı'nın sıkça sorulan sorular belgesine göre kurumlar denetim sonuçlarını, denetim raporunun imzalanma tarihinden itibaren iki ay içinde, Bilgi ve İletişim Güvenliği Uyum ve Denetim İzleme Sistemi (BİGDES) üzerinden Başkanlığa iletir. Raporun ilgili bölümleri üst yönetici veya yetkilendirdiği personel tarafından güvenli elektronik imza ile imzalanır.

Genelge'nin 12. ve 13. maddeleri ile Rehber'in uygulama güvenliği, bulut bilişim ve tedarik başlıkları, kurumun yazılım alımlarında yükleniciden isteyeceği hususları doğrudan belirler. Aşağıdaki maddelerin teknik şartnameye ve sözleşmeye işlenmesi, kabul aşamasında da bu maddelere göre kontrol yapılması gerekir.

Rehber bunlara ek olarak teknik desteği sona ermiş veya güvenlik açığı barındıran istemci ve sunucu teknolojilerinin kullanılmamasını (Tedbir 3.2.6.5) ve geliştirilen uygulamaların arayüzünde Türkçe dil desteği sağlanmasını (Tedbir 4.6.1.4) ister. Kurum sistemlerinde sızma testi ve güvenlik denetimlerinin yılda en az bir defa yapılması ise orta seviye bir tedbir olarak tanımlanmıştır (Tedbir 3.1.11.8).

Rehber'deki tedbirlerin hangilerinin zorunlu olduğu, ilgili varlık grubunun kritiklik derecesine bağlıdır. Bu nedenle şartname hazırlığına, alınacak yazılımın hangi varlık grubuna gireceğinin ve bu grubun derecesinin belirlenmesiyle başlanmalıdır. Ardından o dereceye karşılık gelen tedbirler ile uygulama ve teknoloji alanlarına ait başlıklar (kişisel verilerin güvenliği, bulut bilişim güvenliği, yeni geliştirmeler ve tedarik gibi) şartnameye ve kabul test planına aktarılmalıdır.