Giriş: Havacılık Emniyetinde Dijital Güvenlik Tehditleri
Havacılık emniyeti geçmişte yalnızca uçakların mekanik sağlamlığı, pilot eğitimi ve hava durumu ile ölçülürken; günümüz modern yolcu uçakları, havalimanları ve yer kontrol istasyonları devasa bir dijital veri ağının parçası haline gelmiştir.
Uçuş kontrol sistemleri, yolcu biletleme ve rezervasyon portalları, bagaj ayırma otomasyonu, pasaport kontrolü ve havaalanı güvenlik tarayıcılarının tamamı bilişim altyapısına dayanmaktadır. Bu sistemlerde meydana gelebilecek bir siber saldırı veya kesinti; uçuşların iptaline, hava sahasının kilitlenmesine, binlerce yolcunun mahsur kalmasına ve doğrudan can güvenliği tehditlerine yol açabilir.
Bu tehditler karşısında T.C. Ulaştırma ve Altyapı Bakanlığı Sivil Havacılık Genel Müdürlüğü (SHGM), havacılık ekosistemindeki tüm paydaşlar için TS ISO/IEC 27001 belgesi alma ve Kurumsal SOME kurma zorunluluğu getirmiştir.
Mevzuat Kapsamında Yer Alan Havacılık Kuruluşları
SHGM SHT-BGYS düzenlemeleri uyarınca aşağıdaki kuruluşlar bilgi güvenliği sistemini kurmak ve yetkilendirilmiş akredite belgelendirme sürecini tamamlamakla yükümlüdür:
- Havalimanı İşletmecileri: Ulusal ve uluslararası uçuşlara açık havalimanlarını işleten kamu ve özel sektör tüzel kişileri.
- Terminal İşletmecileri: Havalimanı yolcu ve kargo terminallerini işleten kuruluşlar.
- Hava Taşıma İşletmeleri (Havayolları): Tarifeli veya tarifesiz yolcu ve yük taşımacılığı yapan ticari havayolu şirketleri.
- Havaalanı Yer Hizmetleri Kuruluşları: A, B ve C grubu yer hizmeti çalışma ruhsatına sahip ramp, yolcu trafiği, yük kontrolü ve haberleşme hizmeti veren şirketler.
- Yetkili İkram ve Kargo Kuruluşları: Hava kargo taşımacılığı yapan acenteler ve ikram üretim tesisleri.
SHGM Uyumunun 3 Ana Gereksinimi
Havacılık kuruluşlarının denetimlerde ibraz etmekle yükümlü olduğu 3 temel bileşen bulunmaktadır:
+-------------------------------------------------------------+
| SHGM BİLGİ GÜVENLİĞİ UYUM SACAYAĞI |
| |
| 1. TS ISO/IEC 27001 BELGELENDİRMESİ |
| - TÜRKAK akreditasyonlu bağımsız denetimden geçmiş belge |
| - Kapsamda uçuş operasyonları ve kritik havacılık sistemleri|
| |
| 2. KURUMSAL SOME (Siber Olaylara Müdahale Ekibi) KURULUMU |
| - 7/24 esasına göre yetkin personelden oluşan ekip |
| - USOM ve Sektörel SOME ile kayıtlı entegrasyon |
| |
| 3. PERİYODİK SIZMA TESTİ (PENETRASYON TESTİ) VE RAPORLAMA |
| - TSE onaylı Kıdemli Sızma Testi Uzmanlarınca yapılan test|
| - Yıllık test ve iyileştirme raporlarının SHGM'ye tevsiki |
+-------------------------------------------------------------+Kurumsal SOME (Siber Olaylara Müdahale Ekibi) Sorumlulukları
SHGM mevzuatı ve BTK/USOM tebliğleri uyarınca Kurumsal SOME teşkili zorunludur:
- Kuruluş, siber olaylara 7/24 müdahale edebilecek yetkinlikte en az iki personelini Kurumsal SOME temas noktası olarak atamalı ve USOM’a bildirmelidir.
- Havacılık operasyonlarını etkileyebilecek veya yolcu kişisel verilerini tehlikeye atabilecek kritik siber olaylar derhal USOM ve SHGM’ye raporlanmalıdır.
- SOME personeli düzenli tatbikatlara katılmalı ve siber tehdit istihbaratı bildirimlerini izlemelidir.
4. Yayın Bağımlılıkları ve İç Bağlantılar
- İç Bağlantılar:
- Hizmet: Bilgi Güvenliği Danışmanlığı
- Sızma Testi Hizmeti: Penetrasyon Testi ve Güvenlik Açığı Analizi
- ISO 27001 Belgesi: ISO 27001 Belgesi Nasıl Alınır?
5. Resmî Kaynaklar ve Doğrulama Referansları
- SHGM SHT-BGYS Talimatı: Sivil Havacılık Bilgi Güvenliği Yönetim Sistemi Talimatı.
- 5809 Sayılı Elektronik Haberleşme Kanunu: Kurumsal ve Sektörel SOME Tebliği.
- ICAO Annex 17 & Aviation Cybersecurity Strategy.
- EASA Part-IS: Information Security Management in Aviation.