Ünite 5: Kritik Ulaştırma Bilişim Altyapılarının Korunması

Giriş

İnsanların, eşyaların ve bilginin kişisel ve ekonomik amaçlardan ötürü yer değiştirmesi ulaşım ; insanın ve eşyanın belli bir amaç doğrultusunda, sağlıklı ve sağlam olarak bir ulaşım aracıyla yer değiştirmesinin sağlanması ise ulaştırma olarak tanımlanmaktadır. Kitabın 143. sayfasındaki tablo 5.1 ve 144. sayfasındaki tablo 5.2’de görüldüğü gibi ulaştırma hizmetlerinin insanların günlük yaşantılarının ve iş hayatının ayrılmaz bir parçası olduğu ve büyük ekonomik değer oluşturmaktadır.

Hayatımızın her alanında köklü değişimlere neden olan bilgi ve iletişim teknolojilerindeki gelişmeler ve internet kullanımının hızlı bir şekilde artması, ulaştırma sektöründe de etkisini göstermiş ve ulaştırma hizmetlerinin her aşamasında bilişim sistemleri, yaygın ve etkili bir şekilde kullanılır olmuştur. Bu durum ulaştırma hizmetlerinin kalitesini arttırırken işletme maliyetlerini de düşürmektedir. Rekabetçi bir yapıya sahip olan ulaştırma sektöründe bilişim sistemlerinin kullanımı seçenek olmaktan çoktan çıkmış zorunluluk hâline gelmiştir.

Olumlu birçok katkısının yanında bilgi ve iletişim teknolojileri çok ciddi güvenlik sorunlarını da beraberinde getirmektedir. Bilişim sistemlerine yönelik siber tehdit ve saldırılar sonucunda ekonomik ve itibari kayıplar yaşanabileceği gibi afet ve acil durum yaratacak durumlar da oluşabilmektedir.

Ulaştırma Bilişim Altyapıları

Ulaştırma altyapılarının temel bileşenlerinden biri olan bilişim altyapıları, verilerin toplanmasını, işlenmesini, depolanmasını, ağlar aracılığı ile bir yerden bir yere iletilmesini sağlayan donanım ve yazılımlardan oluşmaktadır. Bilişim sistemleri bilişim altyapısını oluşturan bileşenler kullanılarak her türlü hizmetin üzerinden verildiği sistemlerdir.

Ulaştırma altyapılarının birçok noktasına muhtelif ölçümler yapmak üzere yerleştirilen ağa bağlı sensörlerden alınan verileri işleyen bilişim sistemleri, insan kaynaklı hataları en aza indirgeyerek, sistemlerin verimli ve güvenli çalışmasını sağlamakta, mevcut hizmetlerde iyileştirmeler yapılmasının yanında yeni hizmetler geliştirilmesinin de önünü açmaktadır.

Kara Yolu Ulaştırma Bilişim Altyapıları

Yurt içinde yapılan yolcu ve yük taşımacılığında kara yolu çok önemli bir yer tutmaktadır. Kitabın 146. sayfasındaki Şekil 5.2’de karayolunda kullanılan akıllı ulaşım sistemlerinin ortak noktaları görülmektedir. Karayollarındaki Akıllı ulaşım sistemlerinden elde edilen veriler aşağıda verilen hedeflere ulaşılması için kullanılmaktadır:

• Yolların, sürücülerin ve yayaların güvenlik ve emniyetinin arttırılması ve trafik kazalarının azaltılması,
• Trafiğin izlenmesi, yönlendirilmesi ve gerçek zamanlı yönetiminin sağlanması,
• Ulaşım sisteminin performansının iyileştirilmesi ve trafik sıkışıklığının azaltılması,
• Ulaşım sürelerinin optimizasyonu ve ulaşım maliyetlerinin azaltılarak ekonomiye katkıda bulunulması,
• Hizmet kalitesinin ve verimliliğin arttırılması,
• Kişisel mobilite ve rahatlığın arttırılması
• Çevreye verilen zararın asgariye indirilmesi ve enerji tasarrufunun sağlanması.

Yukarıda belirlenen hedeflere ulaşılması için geliştirilen sistemler vardır. Bu sistemler aşağıda verilmiştir:

• Yolcu ve Sürücü Bilgi Sistemi: Anlık trafik durumunun bildirilmesinden toplu taşıma bilgilendirmesine, güzergâh belirlenmesinden seyahat planlamasına, bilet satışından koltuk seçimine kadar ulaşım döngüsünün her noktasında yolcuların bilgilendirildiği ve işlem yapmalarına imkân sağlandığı bilişim sistemleridir.
• Trafik Yönetim Sistemi: Trafik sıkışıklığını azaltarak hizmet kalitesini artırmak, verimliliği sağlamak ve kazaları önlemek amacıyla trafik yönetim sistemleri için kullanılmaktadır.
• Toplu Taşıma Sistemi: Toplu taşıma araçlarının duraklara geliş zamanlarını bildiren akıllı durak ile elektronik bilet uygulaması da toplu taşımada kullanılan önemli bir uygulamadır.
• Elektronik Ücret Toplama Sistemleri: Ücretli otoyollar, tüneller, köprüler gibi ulaşım altyapılarından taşıtların yavaşlamaksızın, normal seyir hızında algılanması ve ücretlendirme işleminin yapıldığı, araç park hizmetleri kapsamında ücretlendirmenin yapıldığı bilişim sistemleridir.
• Yük ve Filo Sistemi: Filonun yük yönetimi ve planlamasından başlayarak yükün müşteriye teslimine kadar izlenmesi, yönetilmesi ve tüm süreçlerin iyileştirilmesini amaçlayan bir yönetim sistemidir.
• Sürücü Destek Sistemi: Sürücünün verdiği bir komutu uygulamaya sokan ileri sürücü destek ve güvenlik sistemleridir.
• Kaza ve Acil Durum Sistemleri : Acil müdahale gerektiren her türlü olayın tespiti, ilgililerin bilgilendirilmesi, olaya müdahale ve olay sonrası tahribat yönetiminin yapıldığı sistemlerdir.

Demir Yolu Ulaştırma Bilişim Altyapıları

Demir yollarının yurt içi yolcu ve yük taşımacılığında kullanılması ve hafif raylı sistemlerin kent içerisinde giderek daha çok pay alması ile birlikte demir yolu modunda da akıllı sistemler etkin olarak kullanılmaya başlamıştır. Demir yollarında kullanılan bilişim sistemlerinin bazıları aşağıda verilmiştir:

• Yolcu Bilgilendirme Sistemi: Mobil ve web tabanlı uygulamalar yolcuların seyahat planlamasına, bilet satışından koltuk seçimine kadar ulaşım döngüsü nün her noktasında yolcuların bilgilendirildiği ve işlem yapmalarına imkân sağlayan bilişim sistemleridir.
• Demir Yolu İşletim ve Denetim Sistemi: Trenlerin hız, yön, konum, görev bilgilerinin takip edilmesine, seyir güvenliğinin sağlanmasına, hemzemin geçitlerin izlenmesine olanak sağlayan sistemlerdir.
• Otomatik Tren Durdurma Sistemi: Hareket hâlindeki trenlerin güzergâhları üzerindeki konumlarına ve demir yolu sinyalizasyon sisteminin durumuna uygun olarak hız ve fren kontrolü yapmasına olanak sağlayan sistemdir.

Deniz Yolu Ulaştırma Bilişim Altyapıları

Yurt dışı yük taşımacılığının tamamına yakınının gerçekleştirildiği deniz yolu ve bu modda hizmet veren bilişim sistemleri özellikle iş dünyasını için çok kritiktir. Gemilerin güvenli bir şekilde yolculuk yapması için hizmet veren bilişim sistemleri aşağıda verilmiştir.

• Küresel Denizcilik Tehlike ve Güvenlik Sistemi (Global Maritime Distress And Safety SystemGMDSS): Karasal iletişim sistemlerinin de kullanılarak denizde ortaya çıkan tehlikelerde kurtarma birimlerini otomatik olarak uyaran uluslararası bir sistemdir.
• Gemi Trafik Hizmetleri (Vessel Traffic ServiceVTS): Sorumluluk sahasındaki deniz trafik verimliliğini de dikkate alarak, deniz emniyetini artırmak amacıyla, deniz trafiğini izleyerek değişen trafik koşullarına cevap veren ve aktif bir şekilde deniz trafiğini düzenleyip planlayan sistemdir.
• Otomatik Tanımlama Sistemi (Automatic Identification System-AIS): Yakın mesafeler içinde deniz araçlarının takip edilmesini sağlayan bir sistemdir.
• Uzun Mesafe Gemi Tanıma ve İzleme (The Long Range Identification and Tracking of Ships- LRIT): Gemilerin küresel anlamda tanımlanması ve takibi ile gemilerin bayrak devletlerine doğru raporlama yapılmasını sağlayan bir sistemdir.

Hava Yolu Ulaştırma Bilişim Altyapıları

Havalimanları, uçakların, yolcuların, bagajların ve yüklerin sürekli hareket halinde olduğu ve onlarca bilişim sistemi üzerinden hizmet verilen yerlerdir. Hava limanlarında kullanılan bilişim sistemleri aşağıda verilmiştir:

• Yolcu Hizmetleri: Seyahat planlamaları, bilet satışları, check-in hizmeti, bagaj hizmetleri, uçuş ile ilgili bilgilendirmeler gibi birçok hizmetin verildiği bilişim sistemleridir.
• Havaalanı Seyrüsefer Sistemleri: Hava taşıtlarına pozisyon bilgilerini sağlayan sistemlerdir. Özellikle kötü hava şartlarında güvenli iniş açısından kritik öneme haizdir. Radarlar, yön belirleme cihazı, mesafe ölçüm cihazı, aletli iniş sistemi ve yönlü olmayan radyo vericisi bu sistemin bileşenlerindendir.
• Kalkış Kontrol Sistemi: Havaalanlarındaki biniş kartı, bagaj kabul ve benzeri operasyonel işlemlerin otomatik olarak yapılmasını sağlayan sistemdir.
• Uçuş Bilgileri Görüntüleme Sistemi: Yolculara uçuşları hakkında bilgi veren sistemdir. Sistem tüm bilgilendirme ekranlarını kontrol etmektedir.
• Havaalanı Bilgi Sistemi: Yolcu ve uçuş koordinasyonlarının gerçekleştirilmesi ve işletme maliyetlerini optimize edilmesi amacıyla kullanılan sistemlerin tasarımı, temini, montajı ve birbirleri ile uyumlu çalışabilmesi sağlayan sistemdir.

Ulaştırma ve Siber Güvenlik

Ulaştırma sektörünün her noktasında bilişim sistemleri yoğun bir şekilde kullanılmakta, ulaştırma altyapıları ve vasıtaları ağa bağlı olarak çalışmakta, birbirleriyle ve/veya yönetim birimleriyle veri alışverişinde bulunmaktadırlar. Verinin birçok noktadan üretilmesi ve analiz edilerek hızlı bir şekilde işlenmesi, ulaştırma hizmetlerinin kalitesini, hızını, güvenilirliğini, verimliliğini, çeşitliliğini, ölçülebilirliğini arttırmakta maliyetleri düşürmektedir. Bu durum sektördeki iş yapma şekillerini de değiştirmiş, böylece ulaştırma hizmetlerinin yaygınlığı ve ekonomiye katkısı büyük bir hızla artmıştır. Ancak ulaştırma hizmetlerinin yaygın kullanımı ve kamu düzeni açısından önemi ulaştırma bilişim sistemlerini siber saldırganların hedefi haline getirmektedir. Kitabın 151. sayfasındaki Şekil 5.5’te ulaştırma sektöründe en sık görülen risklere yer verilmiştir.

Siber güvenliğin temel hedefi, siber ortamdaki bilginin gizlilik, bütünlük ve erişilebilirliğinin güvence altına alınmasıdır. Siber güvenliğin sağlanmasında beş anahtar fonksiyon aşağıdaki faaliyetleri içermektedir:

• Tanımlama : Sistemlere, varlıklara, veriye ve kabiliyetlere yönelik riskleri en aza indirmek için organizasyonel anlayışı kullanma
• . Koruma : Kritik servislere ve altyapıya yönelik potansiyel olayların etkisini sınırlandırmak için gerekli önlemleri tasarlama.
• Tespit etme : Bir siber güvenlik olayını tespit etmek için gerekli faaliyetleri hayata geçirme.
• Müdahale : Bir güvenlik olayının öğrenilmesini takiben gerekli aksiyonu almak.
• Kurtarma : Dayanıklılık için planlama ve ele geçirilmiş kabiliyet ve servislerin vakitlice telafi edilmesi.

Türkiye’de Siber Güvenlik

Siber güvenlikle ilgili olarak Türkiye’de adli, idari ve teknik düzenlemeler bulunmaktadır.

Adli açıdan : Siber suçlara yönelik Türkiye’deki ilk düzenleme, mülga 765 sayılı Türk Ceza Kanunu’na 1991 yılında eklenen “Bilişim Alanındaki Suçlar” bölümüdür.

2004 yılında kabul edilen 5237 sayılı yeni Türk Ceza Kanunu’nda hem bilişim sistemlerinin kullanılması suretiyle oluşan suçlar hem de doğrudan bilişim sistemlerine yönelik suçlar yer almıştır. Zaman içinde ortaya çıkan yeni durumlar dikkate alınarak birçok kanunda bilişim suçlarıyla ilgili hükümlere yer verilmiştir. Siber suçları, “Doğrudan” ve “Dolaylı” olarak 2 kategoriye ayırmak mümkündür. Doğrudan siber suçlarda amaç, bilişim sistemi veya bilişim sistemindeki verilerin elde edilmesi iken dolaylı siber suçlarda ise amaç suçun işlenmesinde araç olarak bilişim sistemlerinin kullanılmasıdır.

İdari açıdan: Türkiye’de siber güvenlik alanındaki ilk düzenleme 11.06.2012 tarihli 2012/3842 sayılı Ulusal Siber Güvenlik Çalışmalarının Yürütülmesi, Yönetilmesi ve Koordinasyonuna İlişkin Bakanlar Kurulu Kararı’dır (BKK).

Teknik açıdan: Türkiye’de siber güvenlikten teknik açıdan sorumlu olan USOM ve SOME’lerin hangi kurumlarda kurulacağı ve hizmet alanları kitabın 154. sayfasındaki Tablo 5.4’te ve USOM ile SOME’ler arasındaki ilişki ise Şekil 5.6’da gösterilmektedir.

Siber Saldırı ve Siber Savunma

Bilişim sistemlerinde işlenen bilginin gizlilik, bütünlük veya erişilebilirliğini ortadan kaldırmak amacıyla, siber uzayın herhangi bir yerindeki kişi ve/ veya bilişim sistemleri tarafından kasıtlı olarak yapılan işlemler siber saldırı olarak tanımlanmaktadır. Siber saldırıların, kurumların karına, itibarına, marka değerine, rekabet gücününe ve hatta operasyonel kabiliyetine verebileceği zarar çok büyüktür. Siber saldırılar sonucu siber suçlar oluşmaktadır. Siber saldırı ve saldırgan türleri ile siber saldırılarda kullanılan zararlı yazılım ve siber saldırılar sonucu oluşan siber suçlardan bazıları kitabın 156. sayfasındaki Şekil 5.7’de verilmektedir.

Siber savunma, bilişim sistemlerini ve bu sistemlere bağlı olarak çalışan araç, teçhizat, sistem ve altyapıları, oluşabilecek siber tehdit ve saldırılara karşı koruyabilmek için alınabilecek önlemler dizisi olarak tanımlanmaktadır. Siber savunma, siber saldırı ve tehditler ile ilgili olarak uyarı ve ikaz sistemlerinin kurulması ve analiz edilmesi, yetkisiz girişlerin engellenmesini hedeflemektedir. Kurumlar, siber risklerin farkında olmalı ve işleri üzerindeki etkisini sınırlandırmak için doğru ve güncel sistemler kullanmalıdırlar. Kitabın 157. sayfasındaki şekil 5.8’de bazı siber savunma unsurlarına yer verilmektedir.

Ulaştırma ve Kritik Altyapılar

İşlevini kısmen veya tamamen yerine getiremediğinde çevrenin, toplumsal düzenin ve kamu hizmetlerinin yürütülmesinin olumsuz etkilenmesi neticesinde, vatandaşların sağlık, güvenlik ve ekonomisi üzerinde ciddi etkiler oluşturacak ağ, varlık, sistem ve yapıların bütünü kritik altyapı olarak tanımlanmaktadır. Kritik altyapı kavramının ortaya çıkmasının en önemli nedeni bilgi ve iletişim teknolojilerinin tüm sektörlerde yaygın bir şekilde kullanılmasıdır. Kritik altyapıları tehdit eden unsurlar kitabın 159. sayfasındaki Şekil 5.10’da gösterilmektedir.

Toplumsal ve ekonomik hayatı doğrudan etkileyen kritik altyapıların zarar görmesi ülke güvenliğini doğrudan etkileyecektir. Siber güvenlik açısından kritik altyapı, işlediği bilgi/verinin gizliliği, bütünlüğü veya erişilebilirliği bozulduğunda, can kaybına, büyük ölçekli ekonomik zarara, ulusal güvenlik açıklarına veya kamu düzeninin bozulmasına yol açabilecek bilişim sistemlerini barındıran altyapılar olarak tanımlanmaktadır.

Farklı kabuller olmakla birlikte genel olarak enerji, sağlık, su, bankacılık ve finans, ulaştırma, haberleşme, acil kamu hizmetleri gibi sektörler kritik altyapı barındıran sektörler olarak kabul edilmektedir. Ulaştırma altyapılarında yaşanacak sorunlar sadece ulaştırma sektörünü değil diğer sektörleri de etkileyecektir. Ulaştırma hizmetlerinin sürekli ve düzenli bir şekilde sunulmasında yaşanabilecek aksamaların, can kaybına, büyük ölçekli ekonomik zarara, ulusal güvenlik açıklarına veya kamu düzeninin bozulmasına yol açabileceği öngörüldüğünden ulaştırma altyapıları, kritik altyapı olarak belirlemiştir.

Siber Olay Yönetimi

Siber olaylar, hukuki sonuçları itibarıyla siber suç, siber casusluk, siber terör ve siber savaş olarak sınıflandırılmaktadır. Bu kavramlar, yapılış yöntemi olarak çok benzer ve aynı ortamları kullanmakla birlikte, aktörleri ve hedefleri itibariyle birbirinden ayrılmaktadır. Kitabın 162. sayfasındaki Şekil 5.13 siber olayların aktörleri ve hedeflerine göre sınıflandırılmasını göstermektedir.

Kanunlarda tanımlanmış bir suçu içeren siber olaylar olabileceği gibi konusu suç teşkil etmeyen siber olaylar da bulunmaktadır. Örneğin bir bilişim sistemine erişilemiyor olması doğal afetlerden ya da sibersaldırılardan kaynaklanıyor olabilir. Bu iki durumda da yaşanan bir siber olaydır. Ancak siber saldırı sonucu erişimin engellenmesi aynı zamanda siber suçtur.

Kritik altyapılardaki bilişim sistemlerine yapılacak siber saldırılar “Afet ve Acil Durum” oluşturma potansiyeline sahip iken yaşanan bir afet ve acil durum da “Siber Güvenlik İhlali” oluşturma potansiyeline sahiptir.

Siber uzayda, %100 güvenlik mümkün değildir, ancak çeşitli önlemler alınarak siber tehdit ve saldırıları savuşturmak ya da etkisini en aza indirmek mümkündür. Kritik Ulaştırma Bilişim Altyapıları (KUBA)’nın korunması, bu altyapılarda işlenen bilginin gizlilik, bütünlük ve erişilebilirliğinin güvence altına alınması anlamına gelmektedir. Bunun içinde KUBA’ya yönelik siber tehdit ve saldırılara karşı öncelikle gerekli önlemlerin alınması gerekmektedir. Buna rağmen bir tehdit ya da saldırı olması durumunda siber olayın hızlı ve doğru bir şekilde tespit edilmesi, müdahale mekanizmalarının devreye alınarak tehlikenin savuşturulması, müteakiben de bilişim sistemlerinin yaşanan siber olay öncesi durumlarına döndürülmesi KUBA’nın korunması faaliyetleri olarak ifade edilebilecektir.

Siber olay yönetimi, bir siber güvenlik ihlali öncesinde, esnasında ve sonrasında hangi eylemlerin gerçekleştirilmesi gerektiğine ilişkin planlanmış yaklaşımdır. Siber olay yönetiminde amaç olası zararı en aza indirmek ve normal duruma dönmek için gerekli zamanı ve maliyeti azaltmaktır. Bu çerçevede, siber olay yönetimi, olay öncesi, esnası ve sonrasında yapılacak faaliyetleri içeren “Siber Olay Yönetim Planı” ile disipline edilmektedir. Kitabın 164. sayfasındaki Şekil 5.15 siber olay yönetim evrelerinde nelerin yer alması gerektiğini göstermektedir.