Ulusal Bilgi Güvenliği Raporu ve Teknolojik
Gelişmeler
Bilgi ve iletişim teknolojilerindeki hızlı
gelişmeler yeni bir çağ yaratmıştır. Bilgi
çağı olarak adlandırılan bu çağda ekonomide
ve sosyal yaşamda klasik paradigmalar yetersiz
kalmakta; teknolojik gelişmeler yeni yapılar,
yaklaşımlar yaratmaktadır. Bu nedenle, bilgi
güvenliğine ilişkin ulusal bir politika oluşturmanın
temel koşullarından birisi, bilgi ve iletişim
teknolojilerinde gözlenen gelişmelerin bilinmesidir.
Bu noktada, söz konusu teknolojik gelişmelerin
ne olduğunu ve ne yönde olacağını doğru anlamak
ve içeriğini doğru belirlemek son derece önemlidir:
Kriptoloji, internetin yaygınlaşması ve bir
ticaret medyası halini almaya başlamasıyla,
bilgi güvenliğinin sivil uygulamalarına tanık
olmaya başlamıştır. Bu uygulamalar kısaca
"açık anahtarlı altyapılar (Public Key
Infrastructure-PKI)" olarak isimlendirilebilir.
Açık anahtarlı altyapılar, bir gizli ve açık
anahtar çifti ve bu çiftle sağlanan "elektronik
kimlik, sayısal imzalama ve şifreleme"
işlevleriyle, gerekli kurumsal ve yasal yapılanma
üzerine kurulmuştur. Burada şu noktalar önemlidir:
Kripto işlemleri donanım üzerinden yazılıma
kaymıştır. Örneğin kripto teçhizatı, saklanması,
imhası ve benzeri unsurlar bu altyapıda karşılaşılan
ve kullanılan terimler değildirler.
Söz konusu yazılımlarda kullanılan algoritmalar
tümüyle kamuya açıktır. Bunun anlamı, bu algoritmaların
çok sayıda taraf tarafından testinin yapılabilir
olması ve bu yolla güvenilirliğinin artmasıdır.
Anahtarların üretilmesi, saklanması ve tüm
işlevlerin yürütülmesi için uluslararası açık
standartlar belirlenmektedir (X.509 elektronik
kimlik belgesi standardı, PKCS açık anahtarlı
altyapılar standartları gibi). Bu standartların
dışına çıkmak pratik değildir.
Açık anahtarlı altyapıların gerektireceği
yasal düzenlemeler de, (onay kurumlarının
yapılandırılması, sayısal imzanın kabulü,
vb.) uluslararası uyumun gereği olarak yerine
getirilecektir.
Konu ile ilgili ilk yasa ABD'de Utah eyaletinde
kabul edilmiştir (1995). Bunu Almanya (1997)
ve Singapur (1998) sayısal imza yasaları izlemiştir.
Halen Avrupa Topluluğu üye ülkelerinde böyle
bir yasa için çalışmalar sürmektedir. Genel
eğilimlerin dışında geliştirilmeye çalışılacak
uygulamalar sosyal ve ekonomik açıdan zararlı
olabilecek, uluslararası standartlara uymayan
yapılanmalar ülkeleri yalnızlığa itecektir.
İnternet yalnızca bir iletişim altyapısı değildir.
Kimi yorumlara göre bilginin yaratılması ve
paylaşılması için bir "özgürlük ortamı"
anlamına da gelmektedir. Gerçekten de internet
sınırsız bilginin yayılmasının medyası olmuştur.
Bu bağlamda, kriptografik ürünler hızla ve
kolaylıkla yayılabilmektedir. Bu durum, ABD'deki
aksi yönde gayretlere karşın değişmemiş aksine
gelişmiştir. Örneğin, ABD tarafından sınırlandırılmış
pek çok ürünü, ABD üzerinden ya da dünyanın
başka bir köşesinden internet aracılığıyla
edinmek "teknik olarak" son derece
kolaydır. "Teknik yöntemlerle" bunun
önüne geçilmesi olanaksızdır. Dolayısıyla,
"İnternetteki bu durumun denetlenmesi"
amacıyla yapılacak girişimler "teknik
açıdan geçersizdir". Bunun yanında şu
noktalar da dikkat çekicidir:
İnternet protokolü IP'nin gelecekteki versiyonu
IP v6, IP düzeyinde "şifreleme"
sağlayacaktır. Bu durumda anahtarların saklanması
da olanaksızlaşacaktır.
Bilgi ve iletişim teknolojilerinde, ulusal
devlet politikaları "teknolojik yansızlık"
ilkesini benimsemişlerdir. Bunun anlamı kamunun,
gelişme aşamasında bir teknolojiyi diğerlerine
üstün saymaması ya da tercih etmemesidir.
Diğer bir deyişle, teknolojilerin açık rekabet
ortamında birbirlerine üstünlüklerinin sağlanmasıdır.
Bütün bu teknolojik gelişmeler göz önüne
alındığında oluşturulacak politika ilkelerinin
ve kurumsal yapılanma önerilerinin, ileride
sorunlar yaratabilecek uygulamalardan kaçınılması
gerektiğini göstermektedir. Yukarıda sözü
edilen teknolojik tarafsızlık ilkesi, teknolojik
açık rekabet ortamının sağlanması gibi konular
göz önüne alındığında oluşturulacak politikaların
bunlarla çatışmaması gerekmektedir. IP v6
ve sonrası gelişmelerin ışığında, teknik açıdan
gerçekleştirilemeyecek görevler, kurumsal
önerilerde yer almamalıdır. Bu nedenle, gelişmiş
ülkeler bu yeni gelişmelere karşı tedbirler
almak konusunda çok temkinli davranmaktadırlar.
Mevcut yasalarla sahip oldukları yetkileri
de, kulanım alanlarına açıklık getirerek sınırlamaktadırlar.
Diğer Ülkelerdeki Durum
Birkaç yüzyıllık geçmişi olan demokrasinin,
çağımızda ortaya çıkan çok yoğun bilgi transferi
ihtiyacına ayak uydurmasını sağlayacak arayışlar
sürmektedir. Demokratik ülkeler, kriptografik
yazılım ve donanım kullanımı söz konusu olduğunda
kişisel/ticari özgürlüklerle ve devlet/kamu
güvenliği arasında bir denge bulmaya çalışmaktadırlar.
Bilgi güvenliği, uzun yıllar boyunca ve özellikle
Soğuk Savaş döneminde, askeri ve diplomatik
haberleşmenin önemli bir parçası olarak ele
alınmıştır. Bu açıdan bakıldığında kavram,
bilginin güvenli iletimi kadar, "hasım
ulusların" elektronik istihbarat yöntemleriyle
dinlenmesi olarak anlaşılmıştır. Özellikle
gelişmiş uluslar, bu amaçlarla Soğuk Savaş
döneminin hemen başlarında çeşitli kurumlar
ihdas etmişlerdir.
Gelişmiş ülkelerdeki gelişmeler aşağıda özetlenmiştir.
ABD
Kişisel özgürlüklerin zedelenmemesi prensibinin
neredeyse anane haline geldiği bu ülkede,
devlet, yurttaşlarının haberleşmenin mahremiyeti
konusunda hakları ile terörizm, kaçakçılık
ve devlete karşı işlenen diğer suçların önlenmesi
konusunda dengeleri de kurmuş bulunmaktadır.
ABD'de 1952 yılında kurulan "Ulusal Güvenlik
Teşkilatı (National Security Agency)"
bu dengenin içinde kendine özgü bir yere sahiptir.
NSA, ABD çıkarları doğrultusunda bir yanda
uluslararası elektronik istihbarat yapmak
ve öte yanda Amerikan devletinin bilgi güvenliğini
sağlamaktan sorumludur. NSA, uzman teknik
fonksiyonları sağlamaktan sorumlu kılınan
Savunma Bakanı'nın yetki, kontrol ve yönlendirmesinde
ve Savunma Bakanlığı bünyesinde bağımsız bir
teşkilat olarak kurulmuştur.
NSA'nın günümüzde aldığı biçim hakkında şu
noktalar önemlidir:
NSA, tam olarak bir "elektronik istihbarat"
örgütüdür. Hatta bu öyledir ki; NSA "ABD
İsthibarat Topluluğu (US Intelligence Community)"
içinde, CIA, FBI, "Ordu İstihbarat (Army
Intelligence)" ve Savunma Bakanlığı gibi
toplam 13 federal kurumdan birisidir ve bu
kuruluşundan beri değişmemiştir. Ayrıca, 1972
yılında kurulan "Merkezi Güvenlik Birimiyle
(Central Security Service)" NSA ve ordu
istihbarat birimleri arasında tam bir işbirliği
sağlanarak Savunma Bakanlığının kriptografik
çalışmaları tek bir bünyede verilmeye başlanmıştır.
(1)
NSA "diğer uluslar ve onların tarafları
için istihbarat ve karşı istihbarat"
in istihbarat etkinlikleriyle sınırlıdır.
Amerika'da oturma izni olan yabancılar, Amerikan
vatandaşları ve Amerikan özel sektör kurumlarının
gizlilik haklarına aykırı yasadışı istihbarat
yürütmesi anayasa ve NSA'in kuruluş yasasıyla
kesinlikle yasaklanmıştır. Bunun ötesinde,
gizlilik ve haberleşme özgürlüğü yasalarıyla
kişiler kendileri hakkında NSA gizlilik yasasında
tanımlanan "kimlik bilgilerine"
erişme hakkına sahiptirler. Haberleşme özgürlüğü
kapsamına giren "hükümet kayıtlarının"
NSA tarafından tutulması yasayla engellenmiştir.
(2)
NSA "ithalat ve ihracat politikalarının"
belirlenmesinde görevli değildir ve kendi
dışında oluşan politikalara tabiidir. ABD'de
bu politikalar "Başkanlık" düzeyinde
saptanır.
NSA'in ABD'deki "kriptografi üretimini"
kontrol altında tutmak, söz konusu ürünleri
sertifikalandırmak türünden hiçbir işlevi
ve görevi yoktur. Hatta, özel üreticiler kamuya
ürünlerini satarlarken dahi, NSA'in onayını
almak zorunda değildirler. Tam aksine, NSA,
gelişmiş yeteneklerinden ABD özel sektörünün
de yararlanmasını sağlamak amacıyla, özel
sektörün isteğine bağlı olarak danışmanlık
vermektedir. (3)
Kamuda bilgi güvenliği standartlarının belirlenmesi
ve uygulanması da NSA'in görevleri arasında
değildir. ABD'de bu işlevi, Amerika Standartlar
Enstitüsü (National Institute of Standarts
and Technology) "Federal Bilgi İşleme
Standartları (Federal Information Processing
Standarts)" yayınlarıyla yerine getirmektedir.
Bu bağlamda Madde 8'in çeşitli bentlerinde
ve farklı biçimlerde tekrar edilen "usuller
ve yöntemler belirlemek, altyapıları korumak"
fiilleriyle ifade edilen ve temelde kamuda
bilgi güvenliği standartlarının altyapılar,
ürünler ve uygulamalar açısından saptanmasına
dönük olduğu anlaşılan işlevler bu kapsama
girmektedir.
1993 yılı Nisan ayında Clinton yönetimi NSA
tarafından hazırlanan/önerilen yeni bir kriptoloji
politikasını ortaya koymuştur. Başkan Bush
zamanından başlayarak yürütülen bu çalışmaların
odak noktası hükümet tarafından geliştirilen
Clipper adlı bir kripto çipidir. Özel sektör
tarafından üretilen her türlü güvenli iletişim
ürünlerine yerleştirilmesi önerilen bu çipe
karşı çok büyük bir tepki oluşmuştur. Bu tepkilerin
kaynağında, her çip için özel olarak üretilen
anahtarların bir kopyasının hükümet tarafından
tutulması ve tamamen yasal olmayan hiçbir
nedene dayanarak bu çipler üzerinden geçen
trafiğin dinlenmeyeceğinin hükümet tarafından
garanti edilmesine rağmen, yeterli güvenin
oluşturulamaması bulunmaktadır. Ayrıca, hükümet
tarafından geliştirilen anahtar algoritmasının
açıklanmaması sonucunda algoritmanın denenmesinin
ve güvenilirliğinin kanıtlanamayacak olması,
bunun sonucunda tüketicilerin bu ürünlere
rağbet etmeyeceğinin ortaya çıkması, gittikçe
önem kazanan kriptoloji sanayiinde dünya pazarlarında
rekabet şansının kapalı bir algoritma kullanılarak
üretilen ürünlere dayanarak korunamayacağı
gibi endişeler ortaya çıkmış ve bu çip istenen
kullanım yaygınlığına ulaşamamıştır. (4)
Öte yandan "yaşamsal altyapıların korunması"
(critical infrastructure protection) yeni
bir kavram olarak dünya ülkelerinin gündemine
girmiştir. Yaşamsal altyapıların korunması
kavramı, ekonominin ve devletin minimum düzeyde
işleyişi için gerekli fiziksel ve ağsal sistemleri
kapsamaktadır. Amaç, ülkenin düşmanlarının,
bunlar ister başka ülkeler, ister ülke içindeki
gruplar ve bireysel olsun, "geleneksel
olmayan" yöntemlerle yapacakları saldırıların
engellenmesidir. Açıktır ki, bu tehditler,
devletin elektronikleşmesi ve açık ağları
kullanmasının yaygınlığıyla doğru orantılıdır.
Yaşamsal altyapıların korunması için ABD Başkanı
Bill Clinton, 1998 yılında bir Beyaz Belge
direktifleri yayınlamıştır. Bu belgede dikkat
çeken unsurlar şunlardır:
Devlet içinde öncü kurumlar tespit edilmiştir.
Her öncü kurum çeşitli sektörleri paylaşmışlardır.
Örneğin, Ticaret Bakanlığı iletişim ve enformasyon
sektörüne; Hazine Bakanlığı bankacılık ve
finans sektörüne, FBI polis, acil durum ve
adalet konularına; CIA dış istihbarata; Dışişleri
Bakanlığı dışişleri sektörüne; Savunma Bakanlığı
savunma sektörüne liderlik edecek kurumlar
olarak belirlenmişlerdir. Ayrıcı, Bilim ve
Teknoloji Politika Genel Müdürlüğü, Ulusal
Bilim ve Teknoloji Konseyi'nin programları
aracılığıyla araştırma ve geliştirme çalışmalarını
eşgüdümlemekle görevlendirilmiştir. Öncü kurumların
seçilmesinin nedeni, bu konuda, özel sektör/kamu
sektörü işbirliğini gerektirmesi ve gereksiz
hükümet düzenlemeleri yaratmaktan kaçınılmasıdır.
Ulusal Eşgüdümcü: Güvenlik, Altyapı Koruma
ve Karşı-terörizm Ulusal Koordinatörü bu direktifin
eşgüdümünden sorumludur.
Uyarma ve Bilgi Merkezleri: Başkan, bu görevle
FBI'yı sorumlu kılmıştır.
National Infrastructure Protection Center
(NIIPC): Bu heyet, FBI, bilgisayar suç uzmanları,
Savunma Bakanlığı, İstihbarat topluluğu ve
önder kurumların temsilcilerinden oluşur.
(5)
İngiltere ve Almanya
NSA dışında gelişmiş ülkelerden anılan iki
diğer örnek kurum İngiltere'deki Kamu Haberleşmesi
Koordinasyonu (Government Communications Headquarters)
ve Almanya'daki Enformasyon Teknolojileri
Güvenlik Kurumudur (Bundesamt für Sicherheit
in der Informationstechnik). İngiltere'deki
Kamu Haberleşmesi Koordinasyonu (Government
Communications Headquarters), NSA'ya çok yakın
işlevler yürütmektedir. GCHQ'nun da oluşumu
Soğuk Savaş dönemine dayandırılmaktadır. (6)
Enformasyon Teknolojileri Güvenlik Kurumu
(BSI) ise NSA ve GCHQ örneklerinden farklı
olarak, istihbarat işlevi olmayan bir kurumdur.
BSI bir Alman kamu kurumu olarak, bilgi ve
bilgisayar sistemleri güvenliği konularında
araştırma yürüten bir kurumdur. Araştırma
sonuçları, kamuda söz konusu güvenlik uygulamalarının
yapılmasına yarar sağlamaya çalışmaktadır.
Kurum adli olaylarda da emniyete talep olduğu
takdirde danışmanlık hizmeti verebilmektedir.
(7)
Alman Hükümeti de söz konusu teknolojiyi yasaklamak
üzere girişimlerde bulunmaya başlamıştır.
4 Mayıs 1995 tarihinde Alman Parlamentosu
"Telekomünikasyon İzleme Kanunu"
adı altında ülkede tasarlanan ve kullanılan
telefon, GSM, ISDN ve bilgisayar şebekesi
tarayıcılarının, devlet birimleri tarafından
gerektiğinde dinlenmesini sağlamak için standart
bir ara bağlantı sağlamaları konusunda bir
kanun teklifini onaylamıştır. Kanunun özünü,
güçlü delillere dayanarak bağımsız bir yargıç
kararı olmadan özel haberleşmenin dinlenememesi
oluşturmaktadır. Yargıcın gerekli gördüğü
durumlarda, bu kanuna göre çağrı oluşturma
bilgilerine ve GSM kullanıcılarının hücreler
arasında izlenmesini sağlayacak bilgilere
erişilmesi mümkün hale gelmektedir. Almanya,
bu düzenlemesiyle, Avrupa ülkeleri arasında
bireyi devlete karşı üst düzeyde güvenceye
alan bir ülkelerin öncülüğünü yapmaktadır.
Norveç
Norveç'te kriptografik ürünlerin yurt içerisinde
kullanımında herhangi bir yasaklama yoktur
ve ithalatında da kontrol bulunmamaktadır.
(8)
Norveç Wassenaar anlaşmasının bir üyesidir
ve bu bağlamda kriptografik ürünlerin ihracatını
1987 tarihli bir yasayla kontrol etmektedir.
İhracat kontrolü Dışişleri Bakanlığı'nın sorumluluğundadır.
Norveç yasaları Wassenaar antlaşmasında yer
alan genel yazılım istisnasını gözetmektedir.
Ayrıca, internetin genel yazılım notunun uygulanması
ve kriptografik ürünlerin iletilmesi için
yeterli bir temeli teşkil ettiği benimsenmektedir.
Norveç'te yürütülmekte olan Kamu Sektörü
Ağ Projesinde, sayısal imza sayısal kimlik
belgesi ürünlerinin oluşturulması hedeflenmektedir.
Bu projenin "açık anahtarlı altyapılar"
(PKI) için yasal, teknik ve organizasyonel
düzenlemeler için deneme olduğu ve temel teşkil
edeceği planlanmaktadır.
SEIS-Secure Electronic Information in the
Society, kamu ve özel sektör örgütlerinin
ortaklaşa çalıştığı bir gruptur. Elektronik
kimlik kartları için kamuya açık standart
geliştirmişlerdir. (PAS) Norveç ulusal standartlar
kurumu SEIS temelli İsveç standardını Norveç
ulusal standardı olarak kabul etmeyi planlamaktadır.
(9)
Norveç, bir dizi şifreleme sisteminden oluşan
ve çalınamaz biçimde silisyuma yazdığı NSK
adlı milli algoritma yazmıştır. NSK (Norwegian
standart for cryptography) algoritmasını kullanan
NX1000 gibi kriptografik cihazlar Norveç pazarında
bulunabilmektedir.
ABD'de kriptografik teçhizat Wassenauer ilkeleri
gereğinde "mühimmat" gibi görmektedir.
"Mühimmat kavramı" askeri bir terim
olarak, kriptografik ürünlerin, 1998 Wassenaar
düzenlemesinde, "askeri ve ticari olmak
üzere çift kullanımlı" teknolojilerden
sayılmaya başlanmasıyla ilgilidir. Bunun anlamı,
bu düzenlemeye imza koyan ülkelerin, kriptografi
ürünlerinin ithalat ve ihracında "uyumlu"
politikalar izleme niyetinde olduklarıdır.
Ancak Wassenaar bir anlaşma değildir ve yaptırımı
yoktur. Nitekim, İsviçre hükümeti 1998 düzenlemesinin
"liberal politikalarında" bir değişikliğe
neden olmayacağını ve İsviçre firmalarının
dünya pazarından en yüksek payı almaları konusundaki
desteğinin devam edeceğini açıklamıştır (Bkz.
Crytography and Liberty 1999, EPIC). Wassenaar
üyesi İrlanda ise, en başından beri ABD ve
İngiltere'nin aksi yönünde politikalar izlemiştir.
İrlanda'nın bir firması olan "Baltimore
Inc." bugün dünyanın en önde gelen bilgi
güvenliği firmalarından birisidir.
ABD, 1998 Wassenaar düzenlemesinin aksi yönünde,
ihraç politikalarını 2000 yılıyla beraber
değiştirmiştir. Wassenaar 1998 açık bir biçimde
internet tarayıcılarında 56 bit anahtar uzunluğunda
kriptoya izin verirken, ABD bu yılın başından
itibaren 128 bit anahtar uzunluğunu ihraç
etmeye başlamıştır. ABD kökenli web sunucuları
da paralel bir biçimde 128 bit SSL destekler
bir biçimde ihraç edilmeye başlanmıştır. Ülkemizde
bazı bankaların internet sayfalarında bu konunun
uygulaması görülmektedir.
Bu değişimde, "ticari çıkarların"
ağır bastığı vurgulanmaktadır. Değişiklik,
tümüyle liberal bir politika değilse de, geçmiş
uygulamalara göre liberalleşme anlamına gelmektedir.
(10)
Fransa'da da kriptografik yazılım ve donanım
"mühimmat" olarak tanımlamakta ve
işlem görmektedir. Yasa ile kriptografik teçhizatın
ihracatı ve kullanımı devlet denetimine tabi
kılınmıştı. Bir süre, Fransa'da faaliyet gösteren
yabancı şirketler "ulusal güvenlik"
nedeni ile kullandıkları anahtarları Fransız
hükümetine bildirmek zorunda kaldılar. Ancak
daha sonra bu politikalardan vazgeçilmiştir.
Almanya, Finlandiya ve İtalya en başından
beri liberal politikalar izlerken, Fransa
1999 yılında gösterdiği değişimle ilginç bir
uyum örneği sergileşmiştir. Fransa'da da artık
sadece "beyan" yöntemi uygulanmaktadır.
Gerçekten de Fransa yakın zamana kadar, "sertifikalandırma"
yöntemiyle ihracat ve ithalatı kontrol altında
tutmaya çalışırken, 1999 yılı başında Başbakan'ın
birinci ağızdan açıklamalarıyla sadece ticari
politikalarında değil ancak tüm ulusal politikalarında
önemli değişikliklere gittiğini duyurmuştur.
(11)
Avrupa Birliği, diğer ulusal politika konularında
olduğu gibi, ihracat ve ithalat izinlerinde
de ABD'ye oranla çok daha liberal politikalar
izlemektedir. Son olarak, 22 Mayıs 2000 tarihinde
Lizbon'daki Dışişleri Bakanları toplantısında
onaylanması beklenen bir düzenlemeyle, kriptolojik
ürünlerin ihracatına getirilen sınırlamalar
büyük ölçüde kaldırılacaktır. Bu düzenlemeyle,
ihracat yapacak firmaların, ürünün son kullanıcısının
Avrupa Birliği ülkelerinde veya aralarında
Kanada, Japonya, ABD, Avustralya ve Yeni Zelanda'nın
da bulunduğu 10 ülkeden birinde olduğunu beyan
etmeleri yeterli olacaktır. Avrupa Birliği
ve adı geçen diğer ülkeler bu alanda dünya
pazarının % 80'ini oluşturmaktadırlar.
Bu hamleyle, AB ülkeleri firmaları bu pazarda
özellikle ABD'li firmalara karşı büyük avantaj
sağlamış olacaktır. Bu nedenle, çok yakında
ABD'li firmaların hükümete baskı yaparak kendi
ülkelerinde de benzer bir düzenlemenin yapılmasını
istemeleri beklenmektedir.
OECD'nin 1998 yılında gerçekleştirdiği "Kriptografi
Teknolojilerindeki Kontroller" başlıklı
envanter çalışmasının raporu 1999 yılında
yayınlanmıştır. Bu envantere göre kriptografik
ürünlerin ihracat ve ithalatından sorumlu
kurumlar büyük çoğunlukla ekonomiden ya da
sanayi ve ticaretten sorumlu bakanlıklardır.
Envantere göre yalnızca Avustralya ve Türkiye'de
sorumlu bakanlıklar olarak Savunma Bakanlıkları
belirtilmiştir. Türkiye'de ayrıca Dış Ticaret
Müsteşarlığı da sorumlu kurum olarak belirtilmektedir.
(12)
Türkiye'de Durum
Ulusal Güvenliği ilgilendiren bilginin örgütlenmesi
açısından,. "gizlilik dereceli"
bilginin ne olduğu, nasıl üretileceği, korunacağı,
nakledileceği, kullanılacağı ve imha edileceği
konusunda T.C. Devleti'nin yasal hazırlığı
ve düzenlemesi bulunmamaktadır. Bu yasal düzenlemeler
ise geçici olarak kurulup sonra dağıtılan
birtakım platformların üstesinden gelebileceği
gibi basit bir yasa ya da mevzuat değil, çok
karmaşık bir yasalar zinciridir ve gelişen
teknoloji nedeni ile sürekli güncellenmek
ve teknolojiye uygun hale getirilmek zorundadır.
Ulusal bir bilgi güvenliği politikasının
olmayışı ülkenin ulusal güvenliğini hassas
hale getirmektedir.
Bakanlıklar, kamu kurum ve kuruluşları arasında
ulusal güvenlik ihtiyaçları doğrultusunda
bilgi güvenliğini koordine edecek, yönlendirecek
ve ulusal bilgi güvenlik sistemini işletecek
bir yapı yoktur.
Ulusal bilgi güvenliği gibi karmaşık ve konunun
nasıl çözülebileceği hususunun müzakere etmek
için ortak anlayışı kolaylaştıracak, üzerinde
mutabakata varılmış tanımlar mevcut değildir.
Hassas bilgi altyapısına bağımlılık ve bu
altyapıya tehdit ve riskler, kurum ve kuruluşlarca
iyi anlaşılamamıştır.
Kriptografik ürünlerin ithalatı ve ihracatı
ile ilgili kontrol esasları net olarak belirlenmemiş
olup kontrol mekanizması tam olarak tesis
edilememiştir.
Politika Açısından
Sunuş
