NDK’nin yeni yönetmeliğiyle nükleer tesislerde siber güvenlik yükümlülüğü getirildi. Kuruluşlar dijital varlıklarını korumakla sorumlu olacak.
Nükleer Düzenleme Kurumu’nun (NDK) ‘Nükleer Tesislerde Siber Güvenliğe İlişkin Yönetmeliği’ Resmi Gazete’de yayımlanarak yürürlüğe girdi. Yönetmelik, nükleer tesislerin dijital varlıklarını siber saldırılara karşı koruma yükümlülüğünü getiriyor.
Bu yeni düzenlemeye göre, nükleer tesisleri kuran, işleten veya işletmeden çıkaran kuruluşlar, tesislerin düzenleyici kontrolden çıkarılmasına kadar olan süreçte siber güvenliğin sağlanmasından sorumlu olacak. Kuruluşlar, dijital varlıkları siber saldırılara karşı korumak, saldırıları önlemek, tespit etmek, müdahale etmek ve etkilenen varlıkları kurtarmak için gerekli tüm faaliyetleri yürütecek.
Yönetmelik kapsamında, nükleer tesislerdeki tüm dijital varlıkların siber güvenliğinden sorumlu bir yönetici atanacak. Bu yönetici, organizasyon yapısı içinde görev alacak. Siber güvenlik önlemlerinin belirlenmesi ve uygulanmasında ‘dereceli yaklaşım’ ve ‘derinliğine savunma’ ilkeleri esas alınacak. Bu prensipler, dijital varlıkların güvenlik, emniyet ve nükleer güvence üzerindeki etkisine göre risk bazlı ve katmanlı bir koruma yapısı oluşturmayı hedefliyor.
Kuruluşlar, tüm dijital varlıklarını tanımlayacak, işlevlerini belirleyecek ve kritiklik derecesi atayacak. Kritik dijital varlıklar için güncel envanter tutulacak. Bu envanterde varlığın adı, tipi, yeri, yedekleme bilgisi, kritiklik derecesi ve sorumlusu gibi bilgiler yer alacak.
Ayrıca, siber güvenlik planı hazırlanarak NDK’ye sunulacak. Plan, yılda en az bir kez gözden geçirilecek ve risk değişimleri, organizasyon yapısındaki değişiklikler veya tehdit güncellemeleri gibi durumlarda yenilenecek. Reaktör içeren tesislerde yılda en az bir kez, diğer nükleer tesislerde ise en az üç yılda bir planlı siber güvenlik risk değerlendirmesi yapılacak.
Kritik dijital varlıkların kaybı veya zarar görmesi ihtimaline karşı yedekleme mekanizmaları kurulacak. Felaket, arıza veya siber saldırı durumlarında kritik dijital varlıkların ve elektronik haberleşme hizmetlerinin sürekliliğini sağlamak amacıyla, ana sistemlerden etkilenmeyecek uzaklıkta bir felaket kurtarma merkezi oluşturulacak. Güvenlik, emniyet veya nükleer güvenceye zarar veren ya da verme ihtimali bulunan siber olaylar ve tehditler, tespit edilmesini izleyen beş iş günü içinde NDK’ye ve Siber Güvenlik Başkanlığına bildirilecek.
Kuruluşlar, siber olaylara müdahale planının yeterliliğini test etmek için yılda en az bir kez kritik dijital varlıkları kapsayan senaryolarla siber olay tatbikatı yapacak. Bu tatbikatlar, en az iki yılda bir güvenlik ve emniyete yönelik senaryolarla birleştirilerek hibrit şekilde gerçekleştirilecek. Tüm tesis personeline yılda en az bir kez siber güvenlik eğitimi ve farkındalık programı uygulanacak.
Yorum Yap