Ulusal Bilgi Güvenliği Raporu ve Teknolojik Gelişmeler
Bilgi ve iletişim teknolojilerindeki hızlı gelişmeler
yeni bir çağ yaratmıştır. Bilgi çağı olarak adlandırılan
bu çağda ekonomide ve sosyal yaşamda klasik paradigmalar
yetersiz kalmakta; teknolojik gelişmeler yeni yapılar,
yaklaşımlar yaratmaktadır. Bu nedenle, bilgi güvenliğine
ilişkin ulusal bir politika oluşturmanın temel koşullarından
birisi, bilgi ve iletişim teknolojilerinde gözlenen gelişmelerin
bilinmesidir. Bu noktada, söz konusu teknolojik gelişmelerin
ne olduğunu ve ne yönde olacağını doğru anlamak ve içeriğini
doğru belirlemek son derece önemlidir:
Kriptoloji, internetin yaygınlaşması ve bir ticaret medyası
halini almaya başlamasıyla, bilgi güvenliğinin sivil uygulamalarına
tanık olmaya başlamıştır. Bu uygulamalar kısaca "açık
anahtarlı altyapılar (Public Key Infrastructure-PKI)"
olarak isimlendirilebilir. Açık anahtarlı altyapılar,
bir gizli ve açık anahtar çifti ve bu çiftle sağlanan
"elektronik kimlik, sayısal imzalama ve şifreleme"
işlevleriyle, gerekli kurumsal ve yasal yapılanma üzerine
kurulmuştur. Burada şu noktalar önemlidir:
Kripto işlemleri donanım üzerinden yazılıma kaymıştır.
Örneğin kripto teçhizatı, saklanması, imhası ve benzeri
unsurlar bu altyapıda karşılaşılan ve kullanılan terimler
değildirler.
Söz konusu yazılımlarda kullanılan algoritmalar tümüyle
kamuya açıktır. Bunun anlamı, bu algoritmaların çok sayıda
taraf tarafından testinin yapılabilir olması ve bu yolla
güvenilirliğinin artmasıdır.
Anahtarların üretilmesi, saklanması ve tüm işlevlerin
yürütülmesi için uluslararası açık standartlar belirlenmektedir
(X.509 elektronik kimlik belgesi standardı, PKCS açık
anahtarlı altyapılar standartları gibi). Bu standartların
dışına çıkmak pratik değildir.
Açık anahtarlı altyapıların gerektireceği yasal düzenlemeler
de, (onay kurumlarının yapılandırılması, sayısal imzanın
kabulü, vb.) uluslararası uyumun gereği olarak yerine
getirilecektir.
Konu ile ilgili ilk yasa ABD'de Utah eyaletinde kabul
edilmiştir (1995). Bunu Almanya (1997) ve Singapur (1998)
sayısal imza yasaları izlemiştir. Halen Avrupa Topluluğu
üye ülkelerinde böyle bir yasa için çalışmalar sürmektedir.
Genel eğilimlerin dışında geliştirilmeye çalışılacak uygulamalar
sosyal ve ekonomik açıdan zararlı olabilecek, uluslararası
standartlara uymayan yapılanmalar ülkeleri yalnızlığa
itecektir.
İnternet yalnızca bir iletişim altyapısı değildir. Kimi
yorumlara göre bilginin yaratılması ve paylaşılması için
bir "özgürlük ortamı" anlamına da gelmektedir.
Gerçekten de internet sınırsız bilginin yayılmasının medyası
olmuştur. Bu bağlamda, kriptografik ürünler hızla ve kolaylıkla
yayılabilmektedir. Bu durum, ABD'deki aksi yönde gayretlere
karşın değişmemiş aksine gelişmiştir. Örneğin, ABD tarafından
sınırlandırılmış pek çok ürünü, ABD üzerinden ya da dünyanın
başka bir köşesinden internet aracılığıyla edinmek "teknik
olarak" son derece kolaydır. "Teknik yöntemlerle"
bunun önüne geçilmesi olanaksızdır. Dolayısıyla, "İnternetteki
bu durumun denetlenmesi" amacıyla yapılacak girişimler
"teknik açıdan geçersizdir". Bunun yanında şu
noktalar da dikkat çekicidir:
İnternet protokolü IP'nin gelecekteki versiyonu IP v6,
IP düzeyinde "şifreleme" sağlayacaktır. Bu durumda
anahtarların saklanması da olanaksızlaşacaktır.
Bilgi ve iletişim teknolojilerinde, ulusal devlet politikaları
"teknolojik yansızlık" ilkesini benimsemişlerdir.
Bunun anlamı kamunun, gelişme aşamasında bir teknolojiyi
diğerlerine üstün saymaması ya da tercih etmemesidir.
Diğer bir deyişle, teknolojilerin açık rekabet ortamında
birbirlerine üstünlüklerinin sağlanmasıdır.
Bütün bu teknolojik gelişmeler göz önüne alındığında
oluşturulacak politika ilkelerinin ve kurumsal yapılanma
önerilerinin, ileride sorunlar yaratabilecek uygulamalardan
kaçınılması gerektiğini göstermektedir. Yukarıda sözü
edilen teknolojik tarafsızlık ilkesi, teknolojik açık
rekabet ortamının sağlanması gibi konular göz önüne alındığında
oluşturulacak politikaların bunlarla çatışmaması gerekmektedir.
IP v6 ve sonrası gelişmelerin ışığında, teknik açıdan
gerçekleştirilemeyecek görevler, kurumsal önerilerde yer
almamalıdır. Bu nedenle, gelişmiş ülkeler bu yeni gelişmelere
karşı tedbirler almak konusunda çok temkinli davranmaktadırlar.
Mevcut yasalarla sahip oldukları yetkileri de, kulanım
alanlarına açıklık getirerek sınırlamaktadırlar.
Diğer Ülkelerdeki Durum
Birkaç yüzyıllık geçmişi olan demokrasinin, çağımızda
ortaya çıkan çok yoğun bilgi transferi ihtiyacına ayak
uydurmasını sağlayacak arayışlar sürmektedir. Demokratik
ülkeler, kriptografik yazılım ve donanım kullanımı söz
konusu olduğunda kişisel/ticari özgürlüklerle ve devlet/kamu
güvenliği arasında bir denge bulmaya çalışmaktadırlar.
Bilgi güvenliği, uzun yıllar boyunca ve özellikle Soğuk
Savaş döneminde, askeri ve diplomatik haberleşmenin önemli
bir parçası olarak ele alınmıştır. Bu açıdan bakıldığında
kavram, bilginin güvenli iletimi kadar, "hasım ulusların"
elektronik istihbarat yöntemleriyle dinlenmesi olarak
anlaşılmıştır. Özellikle gelişmiş uluslar, bu amaçlarla
Soğuk Savaş döneminin hemen başlarında çeşitli kurumlar
ihdas etmişlerdir.
Gelişmiş ülkelerdeki gelişmeler aşağıda özetlenmiştir.
ABD
Kişisel özgürlüklerin zedelenmemesi prensibinin neredeyse
anane haline geldiği bu ülkede, devlet, yurttaşlarının
haberleşmenin mahremiyeti konusunda hakları ile terörizm,
kaçakçılık ve devlete karşı işlenen diğer suçların önlenmesi
konusunda dengeleri de kurmuş bulunmaktadır. ABD'de 1952
yılında kurulan "Ulusal Güvenlik Teşkilatı (National
Security Agency)" bu dengenin içinde kendine özgü
bir yere sahiptir. NSA, ABD çıkarları doğrultusunda bir
yanda uluslararası elektronik istihbarat yapmak ve öte
yanda Amerikan devletinin bilgi güvenliğini sağlamaktan
sorumludur. NSA, uzman teknik fonksiyonları sağlamaktan
sorumlu kılınan Savunma Bakanı'nın yetki, kontrol ve yönlendirmesinde
ve Savunma Bakanlığı bünyesinde bağımsız bir teşkilat
olarak kurulmuştur.
NSA'nın günümüzde aldığı biçim hakkında şu noktalar önemlidir:
NSA, tam olarak bir "elektronik istihbarat"
örgütüdür. Hatta bu öyledir ki; NSA "ABD İsthibarat
Topluluğu (US Intelligence Community)" içinde, CIA,
FBI, "Ordu İstihbarat (Army Intelligence)" ve
Savunma Bakanlığı gibi toplam 13 federal kurumdan birisidir
ve bu kuruluşundan beri değişmemiştir. Ayrıca, 1972 yılında
kurulan "Merkezi Güvenlik Birimiyle (Central Security
Service)" NSA ve ordu istihbarat birimleri arasında
tam bir işbirliği sağlanarak Savunma Bakanlığının kriptografik
çalışmaları tek bir bünyede verilmeye başlanmıştır. (1)
NSA "diğer uluslar ve onların tarafları için istihbarat
ve karşı istihbarat" in istihbarat etkinlikleriyle
sınırlıdır. Amerika'da oturma izni olan yabancılar, Amerikan
vatandaşları ve Amerikan özel sektör kurumlarının gizlilik
haklarına aykırı yasadışı istihbarat yürütmesi anayasa
ve NSA'in kuruluş yasasıyla kesinlikle yasaklanmıştır.
Bunun ötesinde, gizlilik ve haberleşme özgürlüğü yasalarıyla
kişiler kendileri hakkında NSA gizlilik yasasında tanımlanan
"kimlik bilgilerine" erişme hakkına sahiptirler.
Haberleşme özgürlüğü kapsamına giren "hükümet kayıtlarının"
NSA tarafından tutulması yasayla engellenmiştir. (2)
NSA "ithalat ve ihracat politikalarının" belirlenmesinde
görevli değildir ve kendi dışında oluşan politikalara
tabiidir. ABD'de bu politikalar "Başkanlık"
düzeyinde saptanır.
NSA'in ABD'deki "kriptografi üretimini" kontrol
altında tutmak, söz konusu ürünleri sertifikalandırmak
türünden hiçbir işlevi ve görevi yoktur. Hatta, özel üreticiler
kamuya ürünlerini satarlarken dahi, NSA'in onayını almak
zorunda değildirler. Tam aksine, NSA, gelişmiş yeteneklerinden
ABD özel sektörünün de yararlanmasını sağlamak amacıyla,
özel sektörün isteğine bağlı olarak danışmanlık vermektedir.
(3)
Kamuda bilgi güvenliği standartlarının belirlenmesi ve
uygulanması da NSA'in görevleri arasında değildir. ABD'de
bu işlevi, Amerika Standartlar Enstitüsü (National Institute
of Standarts and Technology) "Federal Bilgi İşleme
Standartları (Federal Information Processing Standarts)"
yayınlarıyla yerine getirmektedir. Bu bağlamda Madde 8'in
çeşitli bentlerinde ve farklı biçimlerde tekrar edilen
"usuller ve yöntemler belirlemek, altyapıları korumak"
fiilleriyle ifade edilen ve temelde kamuda bilgi güvenliği
standartlarının altyapılar, ürünler ve uygulamalar açısından
saptanmasına dönük olduğu anlaşılan işlevler bu kapsama
girmektedir.
1993 yılı Nisan ayında Clinton yönetimi NSA tarafından
hazırlanan/önerilen yeni bir kriptoloji politikasını ortaya
koymuştur. Başkan Bush zamanından başlayarak yürütülen
bu çalışmaların odak noktası hükümet tarafından geliştirilen
Clipper adlı bir kripto çipidir. Özel sektör tarafından
üretilen her türlü güvenli iletişim ürünlerine yerleştirilmesi
önerilen bu çipe karşı çok büyük bir tepki oluşmuştur.
Bu tepkilerin kaynağında, her çip için özel olarak üretilen
anahtarların bir kopyasının hükümet tarafından tutulması
ve tamamen yasal olmayan hiçbir nedene dayanarak bu çipler
üzerinden geçen trafiğin dinlenmeyeceğinin hükümet tarafından
garanti edilmesine rağmen, yeterli güvenin oluşturulamaması
bulunmaktadır. Ayrıca, hükümet tarafından geliştirilen
anahtar algoritmasının açıklanmaması sonucunda algoritmanın
denenmesinin ve güvenilirliğinin kanıtlanamayacak olması,
bunun sonucunda tüketicilerin bu ürünlere rağbet etmeyeceğinin
ortaya çıkması, gittikçe önem kazanan kriptoloji sanayiinde
dünya pazarlarında rekabet şansının kapalı bir algoritma
kullanılarak üretilen ürünlere dayanarak korunamayacağı
gibi endişeler ortaya çıkmış ve bu çip istenen kullanım
yaygınlığına ulaşamamıştır. (4)
Öte yandan "yaşamsal altyapıların korunması"
(critical infrastructure protection) yeni bir kavram olarak
dünya ülkelerinin gündemine girmiştir. Yaşamsal altyapıların
korunması kavramı, ekonominin ve devletin minimum düzeyde
işleyişi için gerekli fiziksel ve ağsal sistemleri kapsamaktadır.
Amaç, ülkenin düşmanlarının, bunlar ister başka ülkeler,
ister ülke içindeki gruplar ve bireysel olsun, "geleneksel
olmayan" yöntemlerle yapacakları saldırıların engellenmesidir.
Açıktır ki, bu tehditler, devletin elektronikleşmesi ve
açık ağları kullanmasının yaygınlığıyla doğru orantılıdır.
Yaşamsal altyapıların korunması için ABD Başkanı Bill
Clinton, 1998 yılında bir Beyaz Belge direktifleri yayınlamıştır.
Bu belgede dikkat çeken unsurlar şunlardır:
Devlet içinde öncü kurumlar tespit edilmiştir. Her öncü
kurum çeşitli sektörleri paylaşmışlardır. Örneğin, Ticaret
Bakanlığı iletişim ve enformasyon sektörüne; Hazine Bakanlığı
bankacılık ve finans sektörüne, FBI polis, acil durum
ve adalet konularına; CIA dış istihbarata; Dışişleri Bakanlığı
dışişleri sektörüne; Savunma Bakanlığı savunma sektörüne
liderlik edecek kurumlar olarak belirlenmişlerdir. Ayrıcı,
Bilim ve Teknoloji Politika Genel Müdürlüğü, Ulusal Bilim
ve Teknoloji Konseyi'nin programları aracılığıyla araştırma
ve geliştirme çalışmalarını eşgüdümlemekle görevlendirilmiştir.
Öncü kurumların seçilmesinin nedeni, bu konuda, özel sektör/kamu
sektörü işbirliğini gerektirmesi ve gereksiz hükümet düzenlemeleri
yaratmaktan kaçınılmasıdır.
Ulusal Eşgüdümcü: Güvenlik, Altyapı Koruma ve Karşı-terörizm
Ulusal Koordinatörü bu direktifin eşgüdümünden sorumludur.
Uyarma ve Bilgi Merkezleri: Başkan, bu görevle FBI'yı
sorumlu kılmıştır.
National Infrastructure Protection Center (NIIPC): Bu
heyet, FBI, bilgisayar suç uzmanları, Savunma Bakanlığı,
İstihbarat topluluğu ve önder kurumların temsilcilerinden
oluşur. (5)
İngiltere ve Almanya
NSA dışında gelişmiş ülkelerden anılan iki diğer örnek
kurum İngiltere'deki Kamu Haberleşmesi Koordinasyonu (Government
Communications Headquarters) ve Almanya'daki Enformasyon
Teknolojileri Güvenlik Kurumudur (Bundesamt für Sicherheit
in der Informationstechnik). İngiltere'deki Kamu Haberleşmesi
Koordinasyonu (Government Communications Headquarters),
NSA'ya çok yakın işlevler yürütmektedir. GCHQ'nun da oluşumu
Soğuk Savaş dönemine dayandırılmaktadır. (6)
Enformasyon Teknolojileri Güvenlik Kurumu (BSI) ise NSA
ve GCHQ örneklerinden farklı olarak, istihbarat işlevi
olmayan bir kurumdur. BSI bir Alman kamu kurumu olarak,
bilgi ve bilgisayar sistemleri güvenliği konularında araştırma
yürüten bir kurumdur. Araştırma sonuçları, kamuda söz
konusu güvenlik uygulamalarının yapılmasına yarar sağlamaya
çalışmaktadır. Kurum adli olaylarda da emniyete talep
olduğu takdirde danışmanlık hizmeti verebilmektedir. (7)
Alman Hükümeti de söz konusu teknolojiyi yasaklamak üzere
girişimlerde bulunmaya başlamıştır. 4 Mayıs 1995 tarihinde
Alman Parlamentosu "Telekomünikasyon İzleme Kanunu"
adı altında ülkede tasarlanan ve kullanılan telefon, GSM,
ISDN ve bilgisayar şebekesi tarayıcılarının, devlet birimleri
tarafından gerektiğinde dinlenmesini sağlamak için standart
bir ara bağlantı sağlamaları konusunda bir kanun teklifini
onaylamıştır. Kanunun özünü, güçlü delillere dayanarak
bağımsız bir yargıç kararı olmadan özel haberleşmenin
dinlenememesi oluşturmaktadır. Yargıcın gerekli gördüğü
durumlarda, bu kanuna göre çağrı oluşturma bilgilerine
ve GSM kullanıcılarının hücreler arasında izlenmesini
sağlayacak bilgilere erişilmesi mümkün hale gelmektedir.
Almanya, bu düzenlemesiyle, Avrupa ülkeleri arasında bireyi
devlete karşı üst düzeyde güvenceye alan bir ülkelerin
öncülüğünü yapmaktadır.
Norveç
Norveç'te kriptografik ürünlerin yurt içerisinde kullanımında
herhangi bir yasaklama yoktur ve ithalatında da kontrol
bulunmamaktadır. (8)
Norveç Wassenaar anlaşmasının bir üyesidir ve bu bağlamda
kriptografik ürünlerin ihracatını 1987 tarihli bir yasayla
kontrol etmektedir. İhracat kontrolü Dışişleri Bakanlığı'nın
sorumluluğundadır. Norveç yasaları Wassenaar antlaşmasında
yer alan genel yazılım istisnasını gözetmektedir. Ayrıca,
internetin genel yazılım notunun uygulanması ve kriptografik
ürünlerin iletilmesi için yeterli bir temeli teşkil ettiği
benimsenmektedir.
Norveç'te yürütülmekte olan Kamu Sektörü Ağ Projesinde,
sayısal imza sayısal kimlik belgesi ürünlerinin oluşturulması
hedeflenmektedir. Bu projenin "açık anahtarlı altyapılar"
(PKI) için yasal, teknik ve organizasyonel düzenlemeler
için deneme olduğu ve temel teşkil edeceği planlanmaktadır.
SEIS-Secure Electronic Information in the Society, kamu
ve özel sektör örgütlerinin ortaklaşa çalıştığı bir gruptur.
Elektronik kimlik kartları için kamuya açık standart geliştirmişlerdir.
(PAS) Norveç ulusal standartlar kurumu SEIS temelli İsveç
standardını Norveç ulusal standardı olarak kabul etmeyi
planlamaktadır. (9)
Norveç, bir dizi şifreleme sisteminden oluşan ve çalınamaz
biçimde silisyuma yazdığı NSK adlı milli algoritma yazmıştır.
NSK (Norwegian standart for cryptography) algoritmasını
kullanan NX1000 gibi kriptografik cihazlar Norveç pazarında
bulunabilmektedir.
ABD'de kriptografik teçhizat Wassenauer ilkeleri gereğinde
"mühimmat" gibi görmektedir. "Mühimmat
kavramı" askeri bir terim olarak, kriptografik ürünlerin,
1998 Wassenaar düzenlemesinde, "askeri ve ticari
olmak üzere çift kullanımlı" teknolojilerden sayılmaya
başlanmasıyla ilgilidir. Bunun anlamı, bu düzenlemeye
imza koyan ülkelerin, kriptografi ürünlerinin ithalat
ve ihracında "uyumlu" politikalar izleme niyetinde
olduklarıdır. Ancak Wassenaar bir anlaşma değildir ve
yaptırımı yoktur. Nitekim, İsviçre hükümeti 1998 düzenlemesinin
"liberal politikalarında" bir değişikliğe neden
olmayacağını ve İsviçre firmalarının dünya pazarından
en yüksek payı almaları konusundaki desteğinin devam edeceğini
açıklamıştır (Bkz. Crytography and Liberty 1999, EPIC).
Wassenaar üyesi İrlanda ise, en başından beri ABD ve İngiltere'nin
aksi yönünde politikalar izlemiştir. İrlanda'nın bir firması
olan "Baltimore Inc." bugün dünyanın en önde
gelen bilgi güvenliği firmalarından birisidir.
ABD, 1998 Wassenaar düzenlemesinin aksi yönünde, ihraç
politikalarını 2000 yılıyla beraber değiştirmiştir. Wassenaar
1998 açık bir biçimde internet tarayıcılarında 56 bit
anahtar uzunluğunda kriptoya izin verirken, ABD bu yılın
başından itibaren 128 bit anahtar uzunluğunu ihraç etmeye
başlamıştır. ABD kökenli web sunucuları da paralel bir
biçimde 128 bit SSL destekler bir biçimde ihraç edilmeye
başlanmıştır. Ülkemizde bazı bankaların internet sayfalarında
bu konunun uygulaması görülmektedir.
Bu değişimde, "ticari çıkarların" ağır bastığı
vurgulanmaktadır. Değişiklik, tümüyle liberal bir politika
değilse de, geçmiş uygulamalara göre liberalleşme anlamına
gelmektedir. (10)
Fransa'da da kriptografik yazılım ve donanım "mühimmat"
olarak tanımlamakta ve işlem görmektedir. Yasa ile kriptografik
teçhizatın ihracatı ve kullanımı devlet denetimine tabi
kılınmıştı. Bir süre, Fransa'da faaliyet gösteren yabancı
şirketler "ulusal güvenlik" nedeni ile kullandıkları
anahtarları Fransız hükümetine bildirmek zorunda kaldılar.
Ancak daha sonra bu politikalardan vazgeçilmiştir. Almanya,
Finlandiya ve İtalya en başından beri liberal politikalar
izlerken, Fransa 1999 yılında gösterdiği değişimle ilginç
bir uyum örneği sergileşmiştir. Fransa'da da artık sadece
"beyan" yöntemi uygulanmaktadır. Gerçekten de
Fransa yakın zamana kadar, "sertifikalandırma"
yöntemiyle ihracat ve ithalatı kontrol altında tutmaya
çalışırken, 1999 yılı başında Başbakan'ın birinci ağızdan
açıklamalarıyla sadece ticari politikalarında değil ancak
tüm ulusal politikalarında önemli değişikliklere gittiğini
duyurmuştur. (11)
Avrupa Birliği, diğer ulusal politika konularında olduğu
gibi, ihracat ve ithalat izinlerinde de ABD'ye oranla
çok daha liberal politikalar izlemektedir. Son olarak,
22 Mayıs 2000 tarihinde Lizbon'daki Dışişleri Bakanları
toplantısında onaylanması beklenen bir düzenlemeyle, kriptolojik
ürünlerin ihracatına getirilen sınırlamalar büyük ölçüde
kaldırılacaktır. Bu düzenlemeyle, ihracat yapacak firmaların,
ürünün son kullanıcısının Avrupa Birliği ülkelerinde veya
aralarında Kanada, Japonya, ABD, Avustralya ve Yeni Zelanda'nın
da bulunduğu 10 ülkeden birinde olduğunu beyan etmeleri
yeterli olacaktır. Avrupa Birliği ve adı geçen diğer ülkeler
bu alanda dünya pazarının % 80'ini oluşturmaktadırlar.
Bu hamleyle, AB ülkeleri firmaları bu pazarda özellikle
ABD'li firmalara karşı büyük avantaj sağlamış olacaktır.
Bu nedenle, çok yakında ABD'li firmaların hükümete baskı
yaparak kendi ülkelerinde de benzer bir düzenlemenin yapılmasını
istemeleri beklenmektedir.
OECD'nin 1998 yılında gerçekleştirdiği "Kriptografi
Teknolojilerindeki Kontroller" başlıklı envanter
çalışmasının raporu 1999 yılında yayınlanmıştır. Bu envantere
göre kriptografik ürünlerin ihracat ve ithalatından sorumlu
kurumlar büyük çoğunlukla ekonomiden ya da sanayi ve ticaretten
sorumlu bakanlıklardır. Envantere göre yalnızca Avustralya
ve Türkiye'de sorumlu bakanlıklar olarak Savunma Bakanlıkları
belirtilmiştir. Türkiye'de ayrıca Dış Ticaret Müsteşarlığı
da sorumlu kurum olarak belirtilmektedir. (12)
Türkiye'de Durum
Ulusal Güvenliği ilgilendiren bilginin örgütlenmesi açısından,.
"gizlilik dereceli" bilginin ne olduğu, nasıl
üretileceği, korunacağı, nakledileceği, kullanılacağı
ve imha edileceği konusunda T.C. Devleti'nin yasal hazırlığı
ve düzenlemesi bulunmamaktadır. Bu yasal düzenlemeler
ise geçici olarak kurulup sonra dağıtılan birtakım platformların
üstesinden gelebileceği gibi basit bir yasa ya da mevzuat
değil, çok karmaşık bir yasalar zinciridir ve gelişen
teknoloji nedeni ile sürekli güncellenmek ve teknolojiye
uygun hale getirilmek zorundadır.
Ulusal bir bilgi güvenliği politikasının olmayışı ülkenin
ulusal güvenliğini hassas hale getirmektedir.
Bakanlıklar, kamu kurum ve kuruluşları arasında ulusal
güvenlik ihtiyaçları doğrultusunda bilgi güvenliğini koordine
edecek, yönlendirecek ve ulusal bilgi güvenlik sistemini
işletecek bir yapı yoktur.
Ulusal bilgi güvenliği gibi karmaşık ve konunun nasıl
çözülebileceği hususunun müzakere etmek için ortak anlayışı
kolaylaştıracak, üzerinde mutabakata varılmış tanımlar
mevcut değildir.
Hassas bilgi altyapısına bağımlılık ve bu altyapıya tehdit
ve riskler, kurum ve kuruluşlarca iyi anlaşılamamıştır.
Kriptografik ürünlerin ithalatı ve ihracatı ile ilgili
kontrol esasları net olarak belirlenmemiş olup kontrol
mekanizması tam olarak tesis edilememiştir.
Politika Açısından