Kamu Kurumlarında WhatsApp Kullanımı: Bilgi ve İletişim Güvenliği Rehberi Gerçekte Ne Diyor?

Rehber nereden çıktı?

Kamu kurum ve kuruluşları ile kritik altyapı hizmeti veren işletmelerin bilgi güvenliği risklerini azaltmak için alacağı tedbirler, 6 Temmuz 2019 tarihli ve 30823 sayılı Resmî Gazete'de yayımlanan 2019/12 sayılı Bilgi ve İletişim Güvenliği Tedbirleri Genelgesi ile belirlendi. Genelgenin uygulamasına yönelik ayrıntılı tedbirleri içeren Bilgi ve İletişim Güvenliği Rehberi, Cumhurbaşkanlığı Dijital Dönüşüm Ofisi tarafından hazırlanarak Temmuz 2020'de yayımlandı.

Rehber yalnız mesajlaşmayı değil; ağ güvenliğinden yazılım geliştirmeye, kimlik doğrulamadan e-posta ve bulut hizmetlerine kadar geniş bir alanı kapsar. Tedbirler, kurumun bilgi varlıklarının kritiklik derecesine göre uygulanır.

Mesajlaşma için ne öngörülüyor?

Rehberin anlık mesajlaşma güvenliği başlığındaki temel ilke kısadır: kurumsal haberleşme amacıyla sunucuları kurum kontrolünde olan mesajlaşma uygulamaları kullanılmalıdır. Kurumun kendine ait bir haberleşme uygulaması yoksa, sunucuları yurt içinde bulunan yerli uygulamaların tercih edilmesi istenir. Aynı başlıkta başka teknik tedbirler de yer alır:

• Gizlilik dereceli veri, mevzuatta kodlu veya kriptolu haberleşmeye yetkilendirilmiş kurumların geliştirdiği yerli uygulamalar dışında mobil uygulamalar üzerinden paylaşılmamalıdır.
• İletim katmanı güvenliği güncel ve bilinen zafiyeti olmayan bir SSL/TLS sürümüyle sağlanmalı, uygulamada SSL pinning kullanılmalıdır.
• Mesajlar ve sesli ya da görüntülü aramalar uçtan uca şifrelenmeli, uygulama cihazda sakladığı veriyi şifreli tutmalıdır.
• Uygulama birden fazla mobil cihazda eş zamanlı çalışmamalı, yönetim arayüzüne erişim en düşük yetkiyle yapılmalı ve denetim izi tutulmalıdır.

Bu maddelerin her birinin ne anlama geldiğini ve bir ürünü değerlendirirken nasıl sorgulanacağını rehberin anlık mesajlaşma tedbirleri yazısında madde madde anlattık.

Yasak mı, değil mi?

Rehberin yayımlanmasının ardından çıkan haberler üzerine Dijital Dönüşüm Ofisi, WhatsApp ve Telegram gibi uygulamaların yasaklandığı yönündeki haberlerin gerçeği yansıtmadığını açıkladı. Ofisin açıklamasına göre yabancı menşeli mesajlaşma uygulamalarına ilişkin tedbir maddesi yalnız gizlilik içeren kurumsal haberleşme ve belge paylaşımına yöneliktir; kamu personelinin kişisel haberleşmesinde kullandığı uygulamalara yönelik bir düzenleme ya da kısıtlama bulunmamaktadır.

Kısacası rehber, uygulamaları genel olarak yasaklamaz; kurumsal bilginin hangi altyapıda dolaşacağına dair bir çerçeve çizer. Bir yazışmanın kurumsal haberleşme sayılıp sayılmayacağı ve hangi kritiklik derecesine girdiği ise kurumun kendi değerlendirmesine kalır.

15 aylık süre haberleri ne anlama geliyordu?

2020'de basına yansıyan bazı haberlerde, kurumların kendi mesajlaşma altyapılarını kurabilmesi için 15 aylık bir süre tanındığı yazıldı. Bu süre rehberin ilk yayımlandığı döneme ilişkindir ve bugün itibarıyla geçmişte kalmıştır. Kurumunuzun uyum takvimi için rehberin güncel sürümünü ve kurumunuzun iç düzenlemelerini esas alın; eski haberlerdeki tarihler güncel bir yükümlülük takvimi olarak okunmamalıdır.

Rehber bugün kimin yetkisinde?

177 sayılı Cumhurbaşkanlığı Kararnamesi ile kurulan Siber Güvenlik Başkanlığı, mülga Dijital Dönüşüm Ofisi'nin siber güvenlik görevlerini devraldı; Başkanlığın yetkileri 7545 sayılı Siber Güvenlik Kanunu ile düzenlendi. Rehbere ilişkin uyum, denetim ve gözetim faaliyetleri artık Siber Güvenlik Başkanlığı bünyesinde yürütülmektedir. Kurumların rehberin güncel sürümüne ve uyum dokümanlarına Başkanlık üzerinden ulaşması gerekir.

Kurumlar pratikte ne yapmalı?

1. Hangi yazışmanın kurumsal olduğunu tanımlayın. Birim içi koordinasyon, vatandaş bilgisi içeren yazışma ve belge paylaşımı gibi türleri bilgi güvenliği politikasında açıkça sayın.
2. Kurumsal kanalı belirleyin. Bu yazışmaların yürütüleceği uygulamayı resmî kanal olarak ilan edin; sunucunun kurumun kontrolünde olduğundan emin olun.
3. Teknik tedbirleri ürünle eşleştirin. Seçtiğiniz uygulamanın rehberdeki her maddeyi karşılayıp karşılamadığını yazılı olarak doğrulayın; karşılanmayan maddeler için telafi edici tedbir belirleyin.
4. Personeli bilgilendirin. Politikayı okundu onayı alınan bir duyuruyla iletin; kişisel kullanımın kapsam dışı olduğunu da açıkça belirtin.
5. Geçişi planlayın. Mevcut iş gruplarını belirli bir tarihten sonra kurumsal kanala taşıyın, eski grupları yalnız okuma amaçlı bırakın.

SyncMessage, kurumun kendi sunucusunda çalışan bir kurumsal mesajlaşma yazılımıdır. Rehberdeki tedbirlere yönelik özelliklerini ve karşılamadığı maddeleri kamu kurumları sayfasında açık bir tabloyla gösterdik. Kişisel uygulamaların iş iletişimindeki genel riskleri için şirkette WhatsApp kullanımı yazısına bakabilirsiniz.