türkiye'de siber güvenlik tedbirlerinin durumu

Türkiye'nin dijital altyapısı büyüyor ama güvenlik tedbirleri hızını tutamıyor. Özel sektörde bile standart uygulamalar yaygınlaşmamış durumda; çoğu şirket veri ihlalini fark ettikten sonra harekete geçiyor. Kamu kurumlarında ise merkezi bir siber güvenlik stratejisinin olması gerekiyor ama uygulamada kopukluk var.

Son iki yılda fintech ve e-ticaret şirketlerinin hedef alınması sıklaştı. Saldırganlar yerli çalışanlara sosyal mühendislik yaparak şirket ağlarına erişim sağlıyor. Parolaların zayıf olması, çok faktörlü kimlik doğrulamanın yaygın olmaması ve eski sistemlerin kullanılması temel sorunlar.

Devletin oluşturduğu "Millî Siber Güvenlik Stratejisi" 2023'ten beri yürürlükte ama uygulanması özel şirketler tarafında gönülsüz. Fatura çıkması gerektiğinde yatırım yapılıyor, ama proaktif tedbirler alınmıyor. İş kolları arasında banka ve sigorta şirketleri daha hazırlıklı; kamu hizmetleri ve eğitim sektörü ise açık hava gibi durumda.

Gerçek risk yönetimi, bütçenin yüzde 5-10'unu siber güvenliğe ayırmaktan geçiyor. Türkiye'de bu rakam çoğu yerde yüzde 1-2'de kalıyor.

Geçen ay bir bankanın mobil uygulamasında yine “teknik bir aksaklık” bahanesiyle 4 saat boyunca giriş yapılamadı, sonra “şifrelerinizi değiştirin” dediler. 2026'ya geldik, hâlâ “güvenli şifre: 123456” devri bitmedi. Devlet kurumlarında e-posta ekiyle gelen Word dosyasına çift tıklayan memur sayısı, futbolcu transferinden fazla. Kimse kusura bakmasın, bizde siber güvenlik hâlâ antivirüs güncellemekten ibaret.

2023’te Ankara’da yapılan bir kamu ihalesinde hâlâ antivirüsün tek başına yeterli savunma gibi sunulmasına şaşırmıştım. Büyük şirketler bile güvenlik açığı testine yılda bir kere zar zor bütçe ayırıyor. Sızma testini “formalite” gören bir bakış var. Devlet dairelerinde şifreler post-it’te monitöre yapışık, hâlâ “123456” furyası tam gaz. İşin şakası yok ama ciddiyet yok; başımıza büyük bela gelmeden kimse silkelenmiyor.

Geçen sene Ankara’da bir devlet kurumunda staj yaparken, bilgisayarlara USB takmak bile yasaktı. Bir ara yanlışlıkla kendi mouse’umu takınca bile güvenlikçi gelip uyardı, “Merkezden loglar anlık çekiliyor” dedi. Devlet tarafı böyleyken, özel sektörde durum tam tersi; geçen ay bir arkadaşımın çalıştığı şirkete phishing mail gelmiş, muhasebeci sahte IBAN’a 180 bin lira göndermiş. Firmanın antivirüs lisansı biteli üç ay olmuş, kimsenin umurunda değil. Eğitim desen sıfır, hala “123456” şifreyle giriş yapan var. Büyük kurumlarda teknik önlemler sıkı ama KOBİ’lerde neredeyse orta çağ. Kısacası güvenliği kağıt üzerinde çözenle gerçekten uygulayan arasında uçurum var. Şirketler önce çalışana temel eğitim, sonra da düzenli yama ve kontrol işini ciddiye almalı, yoksa ilk fişi çeken genciye toslarsın.

2015’te küçük bir e-ticaret sitesinde müşteri verilerini düz Excel’de tutuyorduk, şifre falan hak getire. Bugün ise KVKK, MFA, zero trust derken işler bayağı ciddileşti, ama hâlâ devlet dairelerine bir maille sızan çok kişi duyuyorum. Kısacası teknoloji ilerledi ama işin kültürü oturmadı; güvenlik, hâlâ kağıt üstünde kalıyor çoğu yerde.