YAN SANAYİDE GİZLİ TEHDİT: BURSA OTOMOTİV EKOSİSTEMİNDE BİLGİ GÜVENLİĞİ YOLCULUĞU Bu bildirinin amacı, otomotiv yan sanayi firmalarının bilgi guvenliği uygulamalarının mevcut durumunu ortaya koymak, TISAX, ISO/IEC 27001, ISO/SAE 21434 ve ISO 24089 gibi standartların beklentilerini irdeleyerek bu standartların yan sanayi firmalarına getirmesi beklenen yukleri ve gorevleri değerlendirmektedir. Bildiri; yaşanmış bilgi guvenliği vakaları, ana sanayilerin tedarikçi beklentileri ve sistematik iyileştirme alanlarına dair somut çıkarımlar da sunmaktadır. Renault Hyundai Şekil 1 OEM'ler Tarafından Talep Edilen Sertifika / Etiketler _ GÜÇLÜ YÖNLER • Genç ve adaptasyon kabiliyeti yuksek çalışanlar • Teknik kaliteye yatkınlık • OEM taleplerine uyum gosterebilme isteği FIRSATLAR • TISAX ve ISO 27001 gibi sistemlerin standartlaşması • Dijitalleşme fonları ve destekleri • Sureçlerin otomasyonu Şekil 2 Yan Sanayi SWOT Analizi _ 8.1. ORTALAMA BIR YAN SANAYI FIRMASINDA BILGI GÜVENLIĞI YAPISI ISO/IEC 27001 ve TISAX gibi bilgi guvenliği standartlarına uyum sağlamak için ortalama bir yan sanayi firmasında şu yapıların oluşturulması gerekmektedir: - Kurumsal sistemler: Bilgi guvenliği politikası, prosedurleri, risk değerlendirme ve iş etki analiz sureçleri. - Organizasyonel yapı: Bilgi guvenliği yoneticisi atanması, sorumlulukların netleştirilmesi. - Donanım ihtiyaçları: Uç nokta guvenliği, yedekleme sunucuları, ağ izleme sistemleri. - Yazılım ihtiyaçları: Erişim kontrol sistemleri, çok faktorlu kimlik doğrulama (MFA), şifreleme çozumleri, SIEM sistemleri. Her iki yonetim sistemi de genel bilgi guvenliği çerçeveleri gibi ortak kaygıları olan isteklere sahiptir. ISO/IEC 27001:2022 bilgi guvenliği yonetim sisteminin bilgi guvenliği yapısı ile ilgili uygulama beklentilerini içeren Ek.A (Annex A) ile TISAX'ın aynı yapıyı tanımlayan ISA kontrolleri çok buyuk olçude ortuşmektedir. 9.2. BILGI GÜVENLIĞI YÖNETIM SISTEMLERININ ÖNEMI 10.1. ISO/SAE 21434 ILE UYUM 10.2. ISO 24089 ILE YAZILIM GÜNCELLEMELERI VE TEDARIKÇI SORUMLULUĞU 21434 ve 24089'un her ikisi de, ozellikle tedarikçi-zincir guvenliğini bir butun olarak ele alır: Henuz ISO/IEC 27001 veya TISAX belgelendirme / etiketleme sureçlerini tamamlamamış yan sanayi şirketlerinin bilgi guvenliği konusundaki genel ve kategorik yeterlilikleri aşağıdaki gibidir: 1.3.3 - Kritik Tedarikçilerin Yonetimi 5.3.3 - Bulut Servislerinin Kullanımı 5.3.4 - Dış IT Servislerinin İzlenmesi 13.2. YERLI YAZILIM VE BULUT SAĞLAYICILARA OLASI ETKILER 14. AB CYBER RESILIENCE ACT VE TEDARIKÇILERE ETKISI TISAX Maddesi 1.2.4 Dış IT Servisleri | CLD 6.3.1 (Bulut Hizmeti Muşterisi ile İlişki) 1.3.3 Dış IT Servislerinde İşlenen Veriler 5.3.3 Dış IT Servislerinde Yer Alan Verinin İadesi 5.3.4 Dış IT Servislerinde Veri Koruması 13 (Haberleşme Guvenliği) Not: Bu makale 5 Aralık 2025'de Otomotiv Kongresi'nde bildiri olarak sunulmuştur.
Otomotiv sektoru yuksek teknoloji, hızlı tedarik donguleri ve kuresel rekabetin kesişiminde faaliyet gostermektedir. Ancak yan sanayi firmaları için bilgi guvenliği hala en zayıf halkalardan biridir. Dijitalleşme baskısı, ERP sistemleri, tedarikçi portalları ve dış IT servislerinin artan rolu, bu firmaları siber tehditlere karşı daha savunmasız hale getirmektedir. TISAX, ISO/IEC 27001, ISO/SAE 21434 ve ISO 24089 standartlarının entegrasyonu, yalnızca uyum gerekliliği değil; rekabet avantajı, iş surekliliği ve muşteri guveni açısından da kritik bir ihtiyaçtır. Bildiri, Turkiye'de otomotiv yan sanayinin mevcut bilgi guvenliği olgunluğunu, ana sanayi beklentilerini ve dış IT servislerinin getirdiği riskleri inceleyerek; iyi uygulamaları ve stratejik onerileri ortaya koymaktadır. Ayrıca, ISO/IEC 27017 ve 27018 gibi tamamlayıcı standartlarla birlikte yerli yazılım ve bulut sağlayıcılar uzerindeki etkiler değerlendirilmektedir. Sonuç olarak bilgi guvenliği, yalnızca teknik bir zorunluluk değil, otomotiv ekosisteminin surdurulebilirliği için temel bir rekabet faktorudur.
BILDIRININ AMACI VE KAPSAMI
2. BILGI GÜVENLIĞI KAVRAMI VE OTOMOTIV EKOSISTEMI
Otomotiv ekosisteminde bilgi guvenliği; hem uretim sureçlerinin hem de tedarik zincirinin butunluğunu korumak açısından kritik bir kavramdır. Gunumuzde otomobiller; yazılım, bağlantılı servisler, bulut sistemleri ve sensor teknolojileriyle donatılmış karmaşık siber-fiziksel sistemler haline gelmiştir. Bu durum, araçların yalnızca fiziksel değil, aynı zamanda dijital saldırılara da açık olmasına yol açmaktadır. OEM'ler ve tedarikçiler, muşteri verilerinin korunması, uretim hatlarının kesintisiz devam etmesi ve fikri mulkiyetin guvence altına alınması için ISO/IEC 27001, TISAX ve ISO/SAE 21434 gibi standartları uygulamaktadır. Ayrıca, veri gizliliği (KVKK ve GDPR gibi duzenlemelerle) ve iş surekliliği gereklilikleri de bilgi guvenliği stratejilerinin ayrılmaz parçalarıdır. Sonuç olarak bilgi guvenliği, otomotiv sektorunde yalnızca uyum zorunluluğu değil; guvenlik, guvenilirlik ve rekabet avantajı için de vazgeçilmez bir faktordur.
Otomotiv ekosistemi içinde yer alan bilişim urun ve hizmet firmaları da ulaşabildikleri veya etkiledikleri bilgi açısından ayrı bir oneme sahiptir. Dış IT servislerinin ozellikle de bulut tabanlı hizmet ve urunlerin yaygınlaşması ile bu tedarikçilerin tum ekosistem uzerinde bilgi guvenliği ve tedarik zincirinin butunluğune etkisi gun geçtikçe artmaktadır.
3. MEVCUT DURUM VE SORUN ALANLARI
6.1. SISTEMSEL DÜZEYDE SORUNLAR: Son yıllarda otomotiv sektorunde yaşanan bilgi guvenliği olayları, uç temel guvenlik kriterinin (gizlilik, butunluk, erişilebilirlik) ihlal edilmesiyle sonuçlanmıştır:
- Volkswagen/Audi orneğinde, tedarikçilerden birinin portal şifreleri çalınmış ve yetkisiz erişim yoluyla muşteri bilgileri sızdırılmıştır (gizlilik).
- Jaguar/Land Rover, uretim hattındaki sistemlerde sızan zararlı yazılımın nedeniyle uretim durmuştur (butunluk).
- Toyota, Japonya'daki sistemlerde yer alan HDD kapasitelerinin dolması nedeniyle uretim emirlerini işleyememiş, bu da birkaç fabrikada geçici uretim durmasına yol açmıştır (erişilebilirlik).
Bu ornekler, bilgi guvenliği ihlallerinin yalnızca dijital dunyada değil, fiziksel uretim ve sevkiyat sureçlerinde de etkili olabileceğini gostermektedir.
3.2. ÖNDE GELEN OEM'LERIN BILGI GÜVENLIĞI BEKLENTILERI (GÜNCEL DURUM)
Aşağıdaki tablo, otomotiv ana sanayi firmalarının bilgi guvenliği konusundaki guncel tedarikçi taleplerini ozetlemektedir:
OEM
| Talep Edilen Bilgi Guvenliği Sistemi / Sertifikası
---|---
| TISAX etiketi (
zorunlu) - iş birliğine gore Assessment Level 2 veya 3
Stellantis (Peugeot, Citro en, Opel, Fiat, vb.)
| TISAX etiketi (
zorunlu) - ISO/IEC 27001 artık kabul edilmemektedir
Volkswagen Grubu (VW, Audi, Skoda, Porsche, MAN, vb.)
| TISAX etiketi (
zorunlu) + ISO/SAE 21434 uyumu beklenmektedir
Ford
| ISO/IEC 27001
veya TISAX - her iki sistemden biri kabul edilebilir
BYD
| ISO/IEC 27001
veya TISAX - Avrupa operasyonları için
Toyota
| Belgelendirme talebi vaka bazlı; ISO/SAE 21434 ve ISO 27001 uyumu istenmektedir
| ISO/IEC 27001 onerilmekte; TISAX henuz zorunlu değil, ancak bilgi guvenliği formu ve risk değerlendirme sureçleri yurutuluyor
_
Ana sanayi firmaları; tedarikçilerin, kendi portallarına bağlanarak bilgi girişi yaptığı, belge yuklediği ve uretim planlamasını gerçekleştirdiği bir yapı kurmuşlardır. Bu durum, tedarikçi sistemlerine sızan tehditlerin doğrudan ana sanayiye sıçrama riskini artırmaktadır. Dolayısıyla bilgi guvenliği olgunluğu duşuk olan tedarikçilerin, tum zinciri tehdit eden birer zafiyet noktası haline geldiği açıktır.
6.2.1. YAPISAL YETERSIZLIKLER:
- Çoğu yan sanayi firmasında bilgi işlem altyapısı yetersizdir.
- Kritik sistemler dış servislerde veya kısmen yetkin personel tarafından yonetilmektedir.
- Bilgi işlem faaliyetlerine bakış sadece uretim ve sevkiyat faaliyetlerinin yurutulmesi için bir yardımcı aktivite olarak gorulmektedir. Bilgi guvenliği kavramı yerleşik değildir. 6.2.2. TEDARIK ZINCIRI RISKI: Tedarikçilerin sistemlerine sızan tehditler, doğrudan ana sanayiye sıçrama riski taşımaktadır. Tedarikçiler genellikle ana sanayi portallarına erişerek fatura, lojistik, uretim planlama gibi kritik verileri işlerler. Bu nedenle, ana sanayi firmaları artık tedarikçilerin de kendi bilgi guvenliği sistemlerine sahip olmalarını ve belli bir olgunluk duzeyini karşılamalarını beklemektedir.
| ZAYIF YÖNLER
---|---
| • Bilgi işlem altyapısının zayıflığı • Belge ve sureç odaklı yonetim eksikliği • Farkındalık eksikliği ve yetersiz personel
| TEHDİTLER • Ana sanayi denetimlerinde elenme riski • Siber saldırılarda artış • Çalışan değişkenliği / bilgi kaybı
_4. TÜRKIYE'DE OTOMOTIV YAN SANAYI VE BILGI GÜVENLIĞI GERÇEKLIĞI
Turkiye otomotiv yan sanayi, genel olarak kalite yonetimi konusunda guçlu bir altyapıya sahip olsa da bilgi guvenliği yonetim sistemleri henuz yaygınlaşmamıştır. Birçok firma bilgi işlem faaliyetlerini ya dış kaynakla çozmekte ya da çok sınırlı bir iç kaynakla yurutmektedir. Bu yaklaşım, dijitalleşme baskısıyla birleşince bilgi guvenliği açıklarına ve sevkiyat surekliliğinde kesintilere neden olabilmektedir. Özellikle marjinal karlarla çalışan firmalar için bu tur kesintiler ciddi finansal baskılar yaratmaktadır.
GÜNCEL DURUM VE SORUNLAR Sistemlerin dijitalleşmesi ve dijital donuşum baskısı, bilgi guvenliği zafiyetlerini artırmakta, sevkiyat problemleri yaratmakta ve tedarik zincirini aksatmaktadır. Bu durum, ozellikle marjinal kazançlarla rekabet eden yan sanayi firmaları uzerinde ciddi baskı oluşturmaktadır. Turkiye'de otomotiv yan sanayinde bilgi guvenliği kavramı ve uygulaması yeterince yerleşmemiştir. Bilgi işlem birimleri çoğu zaman asgari personelle ya da dış kaynakla yonetilmektedir. Bu yapı, ana sanayinin beklentileri ile uyumlu değildir ve surdurulebilir bir çozum sunmamaktadır.
8.2. YAN SANAYI FIRMALARININ TEDARIKÇILERINDEN BILGI GÜVENLIĞI BEKLENTILERI - Bilgi guvenliği politikalarının varlığı. - Tedarikçi erişimlerinin kontrollu yapılması. - Olay mudahale ve kurtarma planlarının olması. - Bilgi guvenliği sertifikasyonlarının sağlanması (ISO 27001, TISAX, ISO/SAE 21434).
9. TISAX VE ISO 27001'DEN BEKLENENLER TISAX ve ISO 27001 gibi çerçeveler; tedarikçi firmaların bilgi guvenliği olgunluğunu belirlemek için kullanılmaktadır. Bu standartlar aşağıdaki konulara vurgu yapar: - Risk temelli yaklaşım: Tum kararlar risk değerlendirme sonuçlarına dayalı olmalıdır. - Politika ve prosedurler: Kurumsal bilgi guvenliği politikaları oluşturulmalı ve işletilmelidir. - Kayıt tutma ve izleme: Loglama, olay yonetimi ve iç denetim sureçleri kurulmalıdır. - Tedarikçi yonetimi: Dış IT servislerinin seçimi, sozleşmesel ve yasal guvenlik kriterlerine gore yapılmalıdır. - Kriptografik kontrol: Şifreleme tekniklerinin seçimi ve yonetimi, risk analizleri sonucunda karara bağlanmalıdır.
Şekil 3 ISO/IEC 27001:2022 Ek.A - TISAX Eşleştirme Tablosu _
_Evrensel bir y onetim sistemi olan ISO/IEC 27001:2022 içinde daha yuvarlak ve adapte edilebilir olarak tanımlanmış olan benzer başlıklar TISAX içinde otomotiv sektorunun geçmiş tecrubesi ve endişeleri ile daha net ve keskin olarak tanımlanmıştır.
TISAX 6 versiyonuna geçerken iş surekliliği, kriz yonetimi ve kurum içinde kullanılan yazılım ve uygulamaya eskisinden daha buyuk onem veren eklemeler yapmıştır.
9.1. SISTEMSEL İLIŞKILER VE BILGI GÜVENLIĞI SÜREÇLERI Bilgi guvenliği sistemi butunleşik bir yapıdır: - Olay yonetimi çıktıları risk değerlendirmeye geri beslenmelidir. - Risk analizleri, duzeltici faaliyet planlarına donuşmelidir. - İş etki analizleri, iş surekliliği planlarına temel oluşturmalı; RTO / RPO hedefleri bu analizlerden turetilmelidir. - Kimlik yonetimi, tedarikçi seçim politikaları ve teknik kontroller, bu analizlerin çıktısına gore belirlenmelidir.
Dış IT servislerinin sistem içinde kullanımının artması ile muşteri ayrımından sistem guvenliğine, hizmet seviye anlaşmalarından (SLA) hizmetin sonlanmasında bilgilerin iadesi ve guvenli imhasına kadar pek çok konu bir butun içinde alınmalı ve bu hizmet sağlayıcıların performansı yakından ve surekli izlenmelidir.
İç ağların, ağlardaki aktif hizmetlerin ve bunların dayandığı kriptografik altyapının guvenliği ve guncelliği izlenmelidir.
- Risk temelli yaklaşım TISAX ve ISO/IEC 27001'de ortaktır. - Kimlik doğrulama, kriptografik seçimler, dış servis tedariki gibi kararlar risk değerlendirme çıktısına bağlı olmalıdır. - Olay yonetimi, iş surekliliği ve denetim mekanizmaları birbirini beslemeli, sureçler arası entegrasyon olmalıdır.
9.2.1. STANDARTLAR ARASINDA ENTEGRASYON İLIŞKISI
TISAX - ISO/IEC 27001: Karşılıklı kontrol eşleşmeleri ile uyum çok yuksektir. ISO/SAE 21434: - TARA ile siber risklerin değerlendirilmesi - Ürun yaşam dongusu boyunca izlenebilirlik ISO 24089: - Yazılım guncellemelerinde sureçsel bilgi guvenliği ve izlenebilirlik
OTOMOTİV BİLGİ GÜVENLİĞİ: ISO/SAE 21434 VE ISO 24089 BAĞLAMINDA YORUM
ISO/SAE 21434, ozellikle otomotiv siber guvenliği uzerine odaklanmakta olup, araç içerisinde ve tedarik zinciri boyunca gizlilik, butunluk ve erişilebilirlik ilkelerini siber risklere karşı guvence altına almayı hedefler. Bu standardın tedarikçiler için kritik gorduğu noktalar şunlardır:
Siber Guvenlik Risk Yonetimi: Yan sanayi firmaları urun yaşam dongusunde (V-Model) guvenlik analizleri (TARA - Threat Analysis and Risk Assessment) gerçekleştirmelidir. Bildiride onerilen "risk değerlendirmesinin tum kararların temelinde olması gerektiği" yaklaşımı, ISO/SAE 21434 ile tam uyumludur.
Guvenlik Önlemlerinin İzlenmesi: Kimlik doğrulama, erişim kontrolu, dış servis seçimleri ve kriptografik algoritmalar gibi tum kararlar risk değerlendirmesi sonuçlarına dayalı olmalıdır.
Olay Bildirimi ve İyileştirme Sureci: TISAX ve ISO 27001'de olduğu gibi, ISO/SAE 21434 de siber olayların değerlendirilerek hem urun guvenliğine hem de surece etkisinin analiz edilmesini şart koşar. Bildirinizde geçen "ihlal olaylarının risk değerlendirmeye yansıtılması" ifadesiyle ortuşmektedir.
ISO 24089, yazılım guncellemelerinin guvenli, izlenebilir ve surdurulebilir bir şekilde yonetilmesini zorunlu kılar. Bu bağlamda;
Tedarikçi Yazılım Guncelleme Sureci: Yazılım sağlayan yan sanayi firmaları, guncelleme paketlerinin sahte olmadığını doğrulayacak kriptografik mekanizmaları ve kayıt zinciri doğrulamasını kullanmalıdır.
Tersine Etki Analizi (Reverse Impact): Yapılacak bir guncellemenin bilgi guvenliği uzerindeki etkisi, RTO/RPO gibi iş surekliliği hedefleri ile ortuşmeli, iş etki analizi çıktıları dikkate alınmalıdır.
Sistem Mimarisi Uyumluluğu: Tedarikçilerin geliştirdiği yazılımın OTA (Over-the-Air) sistemler ve OEM servis altyapısıyla entegre olabilmesi için bilgi guvenliği politikaları ile yazılım mimarisi arasında uyum sağlanmalıdır.
TEDARIK ZINCIRI GÜVENLIĞINDE ENTEGRE YAKLAŞIM
Bilgi guvenliği sureçleri sadece kurum içinde değil, tedarikçiler ve dış servis sağlayıcılar için de geçerlidir.
Olay yonetimi, duzeltici faaliyetler ve erişim kontrolleri, tum bu standartlarda entegre bir sistem olarak ele alınmakta, ayrı sureçlerin çıktılarının birbirine yansıtılması beklenmektedir.
OEM'ler artık sadece urun kalitesi değil, bilgi guvenliği kapasitesi açısından da tedarikçilerini denetlemekte ve surekli gelişim beklentisi içindedir.
BIR BILGI GÜVENLIĞI YÖNETIM SISTEMI OLMAYAN OTOMOTIV YAN SANAYI ŞIRKETLERININ KATEGORIK YETERLILIKLERI
Genel Başarı % 48,88
Kategorik olarak:
Bilgi Guvenliği Politikaları % 33,17
Bilgi Guvenliği Organizasyonu % 43,00
İnsan Kaynakları Yonetimi % 46,67
Varlık Yonetimi % 20,67
Erişim Kontrolu % 56,83
Kriptografik Kontroller % 58,33
Fiziksel Guvenlik % 60,83
İşletim Guvenliği % 68,00
Haberleşme Guvenliği % 61,50
Tedarikçi Bilgi Guvenliği % 30,33
İhlal Olayları Yonetimi % 21,83
İş Surekliliği % 40,83
Yasal Uyum % 38,17
Şekil 4 Belgelendirme Öncesi BGYS Yeterliliği _
_Bu araştırma bilgi g uvenliği konusunda hiç çalışma yapmamış firmaların yanında çalışmalara başlamış ama henuz belgelendirme / etiket alma aşamasını geçmemiş yan sanayi şirketlerini içermektedir. Bursa, İstanbul, Kocaeli, Eskişehir ve Ankara'da yer alan firmalar uzerinde yapılan değerlendirmelerden aritmetik ortalama ile hesaplanmıştır.
Belge etiket aşamasındaki firmaların her başlıkta skoru %5 kadar yukselttiği gozlenmiştir. Bu da henuz bilgi guvenliği yonetim sistemleri uzerinde çalışmaya başlamamış olan firmaların daha da buyuk bir yuk ve çabayla karşı karşıya olduğunu gostermektedir.
13. TISAX VE DIŞ IT SERVISLERI - BÜTÜNLEŞIK DEĞERLENDIRME
TISAX (Trusted Information Security Assessment Exchange), otomotiv ekosisteminde bilgi guvenliği için OEM ve tedarikçiler arasında ortak bir guven çerçevesi istemektedir. Dış IT servisleri konusu, yalnızca 1.2.4 maddesi ile sınırlı değildir; 1.3.3, 5.3.3 ve 5.3.4 maddeleri de doğrudan bağlantılıdır. Ayrıca ISO/IEC 27017 ve 27018 standartları bulut ve kişisel veri koruması açısından tamamlayıcı rol oynar. Bu metinde, ilgili maddeler ve yerli yazılım/bulut sağlayıcılar uzerindeki olası etkiler bir arada sunulmaktadır.
13.1 TISAX BEKLENTILERI
1.2.4 - Dış IT Servisleri
Sozleşmelere bilgi guvenliği, gizlilik ve uyum yukumlulukleri eklenmeli.
ISO/IEC 27001, TISAX sertifikaları ve etiketi talep edilmeli.
Veri konumu, sınır otesi veri transferi ve yasal uygunluk belgelenmeli.
Kritik servisler için risk bazlı değerlendirme yapılmalı.
Kritik sağlayıcılar duzenli olarak denetlenmeli.
SLA/OLA'lar guvenlik kriterlerini kapsamalı.
Bulut sağlayıcılardan ISO/IEC 27017 ve 27018 uyumu beklenmeli.
Multi-tenant ortamlarda veri izolasyonu, şifreleme ve erişim kontrolu zorunlu.
Microsoft, AWS, Google, SAP gibi sağlayıcılar TISAX etiketi alarak dış IT servis sağlayıcı olma konusunda one geçiyor.
Sağlayıcılar duzenli log, denetim ve guvenlik değerlendirmeleri ile izlenmelidir.
SLA takibi guvenlik ihlallerini de kapsamalıdır.
İhlallerde muşteri hızlı bilgilendirilmelidir.
Yerli sağlayıcıların yalnızca ISO/IEC 27001 değil, aynı zamanda ISO/IEC 27017 ve 27018'e uyumlu olmaları gerekecektir.
TISAX etiketi, otomotiv sektorune giriş bileti haline gelmekte; bu sertifikasyona yatırım yapmayan sağlayıcılar rekabet dezavantajı yaşayabilir.
OEM ve Tier-1 şirketler, Turkiye'deki sağlayıcıları kritik tedarikçi olarak işaretleyebilir ve sıkı denetimler uygulayabilir.
Turkiye içindeki veri merkezleri KVKK açısından avantajlı olsa da, AB merkezli OEM'ler AB içi veri lokasyonu talep edebilir.
ISO/IEC 27017/27018 + TISAX + ISO/IEC 27001 sertifikasyon paketleri ciddi maliyet yaratır, ancak kuresel pazara erişim için zorunlu hale gelir.
Microsoft, AWS, Google, SAP gibi kuresel sağlayıcıların TISAX uyumluluğu, OEM'ler için guvenli liman oluşturmaktadır.
Avrupa Birliği tarafından kabul edilen Cyber Resilience Act (CRA), dijital unsurlar içeren tum urunler için minimum siber guvenlik gereklilikleri getirmektedir. CRA, yalnızca nihai urunleri değil, yazılım, donanım ve gomulu sistemleri de kapsamakta; bu nedenle otomotiv ekosisteminde yan sanayi ve IT tedarikçileri uzerinde doğrudan etki yaratmaktadır.
CRA'nın Temel Gereklilikleri:
- Guvenli tasarım: Yazılım ve donanım bileşenleri "secure by design" yaklaşımı ile geliştirilmelidir.
- Guncelleme yukumluluğu: Ürunler için omur boyu guvenlik guncellemeleri ve guvenlik açıklarının hızlı şekilde kapatılması zorunlu hale gelmektedir.
- Zafiyet yonetimi: Üreticiler, keşfedilen guvenlik açıklarını Avrupa Siber Guvenlik Ajansı (ENISA) uzerinden raporlamakla yukumludur.
- Tedarikçi zinciri guvenliği: OEM'ler, CRA uyumu için yalnızca kendilerinde değil, tum tedarik zincirinde uyum talep edecektir.
Otomotiv Yan Sanayi ve IT Tedarikçilerine Ek Yukumlulukler:
- Sertifikasyon genişlemesi: ISO/IEC 27001 ve TISAX gibi mevcut sertifikasyonlara ek olarak, CRA'nın talep ettiği AB odaklı uyum belgeleri gundeme gelecektir.
- Guncelleme desteği: Yazılım ve kontrol unitesi (ECU) geliştiren tedarikçiler, urunun yaşam dongusu boyunca guvenlik yamalarını sağlamak zorundadır.
- Zafiyet bildirimi: Tedarikçiler, guvenlik açıklarını OEM'e ve yetkili AB otoritelerine raporlamakla yukumlu olacaktır.
- Sozleşme yukumlulukleri: OEM'ler, tedarikçilerin CRA yukumluluklerine uyumunu SLA/OLA hukumlerine açıkça koyacak, uyumsuzluklar iş birliğini doğrudan etkileyecektir.
Stratejik Etki:
CRA ile birlikte, bilgi guvenliği yalnızca gonullu standart uyumundan çıkıp yasal zorunluluk haline gelmektedir. Bu durum, ozellikle kuçuk ve orta olçekli tedarikçilerin maliyetlerini artıracak, ancak AB pazarında kalabilmek için bu yukumluluklerin yerine getirilmesi zorunlu olacaktır.
STRATEJIK ÖNERILER
Kısa vadede ISO/IEC 27017 ve 27018 sertifikasyonlarının alınması, orta vadede TISAX etiketi hedeflenmeli.
Kritik tedarikçi konumundaki yerli sağlayıcılar, SLA'lara guvenlik ve uyum maddeleri eklemeli.
OEM ve Tier-1 beklentileri dikkate alınarak, veri konumu ve regulasyon uyumluluğu şeffaf şekilde belgelenmeli.
Uluslararası rekabette geri kalmamak için yalnızca KVKK değil, kuresel standartlarla uyum sağlanmalı.
| ISO/IEC 27001:2022 Annex A
| ISO/IEC 27017
| ISO/IEC 27018
---|---|---|---
| A.5.23
A.8.9
| A.11 (Kişisel Veri Bilgi Guvenliği)
| A.5.23
A.8.2
| 14.1.1 (Bilgi Guvenliği Gereksinimlerinin Analizi ve Tanımlanması)
| 11.2 (Denetim ve sozleşme uyumu)
| A.5.23
| CLD8.1.5 (Bulut Hizmeti Muşterisinin Varlıklarının Kaldırılması)
| A.10.3 (Kişisel Verilerin İadesi, Aktarımı ve Yok Edilmesi)
| A.8.9, A.8.12
| CLD 9.5.1 (Sanal Bilişim Ortamında Ayrım
9.5.2 (Sanal Makine Sıkılaştırması)
| 12 (İşletim Guvenliği)
Şekil 5 TISAX - ISO/IEC 27001 - ISO/IEC 27017/27018 Eşleştirmesi _
_16. SONUÇLAR VE ÖNERILER
Butun bu şartlar ve gelişmeler değerlendirildiğinde otomotiv yan sanayinin uzun donemde rekabetçi olabilmesi için butuncul bir yaklaşımla sektorler otesi bir stratejinin izlenmesi gereklidir.
Bu adımlar kısaca şu şekilde ozetlenebilir:
Muşteriler tarafından resmen istenmesini beklemeden şirketler bilgi guvenliği yonetim sistemlerini hayata geçirmeye başlamalıdır. Sistemlerin kurulması zaman almaktadır. Kulturun de değişimi soz konusu olduğu için bu değişime gerekli zaman tanınmalıdır.
Özellikle fiziki guvenlik ve siber guvenlik anlamında yatırım yapılması gerekeceği için butçelemede bu yatırımlar da değerlendirilmelidir.
Dosya, kimlik ve erişim yonetimi ile loglama ve yedekleme gibi siber guvenlik tedbirleri hızla geliştirilmelidir.
Proje yonetim ve değişiklik sureçlerinin ağır gereklerinde başarımın yuksek olması katma değeri yuksek projelerin alınması ve yurutulmesine katkı sağlayacağı için mevcut pratiklerin TISAX iyi uygulamaları ile guçlendirilmesi gerekmektedir.
Bilgi guvenliği, bilgi işlemin bir alt faaliyeti veya kolu olarak gorulmemeli, buna uygun organizasyon oluşturulmalıdır.
İş surekliliği başarımının geliştirilmesi için tum firmayı kapsayan çalışmalar, planlama faaliyetleri ve tatbikatlar ile yuksek başarım elde edilmelidir.
Tedarikçilerin tedarikçilerine de bilgi guvenliği yukumlulukleri geleceği için bir alt halkayı da bu konuda geliştirecek bir strateji gereklidir. Bu noktaya kadar yazdığımız oneriler bu halka tarafından da uygulamaya alınmalıdır.
Şirket içindeki Bilgi guvenliği sorumlulukları ile orantılı şekilde segmente edilmiş ve çeşitlendirilmiş bir eğitim konsepti oluşturulmalı ve uygulanmalıdır.
Otomotiv sektorune hizmet veren IT tedarikçileri de bilgi guvenliği çerçevelerine, ozellikle de TISAX gereklerine, adım adım uyum sağlamalıdır. Yazılım geliştiriciler, bulut hizmet sağlayıcıları, SOC ve benzeri hizmetleri veren veya IT gorevlerini dış kaynaklı olarak yuruten hizmet sağlayıcıların tamamı bu kapsamda değerlendirilmelidir. Çok sayıda muşteriye hizmet veren IT tedarikçilerinin TISAX etiketi alması bile duşunulmelidir.
Tum bu çalışmaların getireceği olağanustu yukun hafifletilebilmesi için T.C. Sanayi ve Teknoloji Bakanlığı başta olmak uzere devlet kurumlarının yatırım, danışmanlık ve belgelendirme destekleri başlatması yerinde olacaktır.
TISAX iso 21434 bilgi güvenliği otomotiv