SHT-SİBER Sivil Havacılık İşletmelerine Yönelik Siber Güvenlik Talimatı

Kapsam

(1) Bu Talimat, Genel Müdürlük tarafından yetkilendirilen tüm sivil havacılık işletmelerini kapsar.

Dayanak

(1) Bu Talimat; 20/10/2012 tarih ve 28447 sayılı Resmi Gazetede yayımlanan Ulusal Siber Güvenlik Çalışmalarının Yürütülmesi, Yönetilmesi ve Koordinasyonuna İlişkin Bakanlar Kurulu Kararına, 11/11/2013 tarih ve 28818 sayılı Resmi Gazete'de yayımlanan Siber Olaylara Müdahale Ekiplerinin Kuruluş, Görev ve Çalışmalarına Dair Usul Ve Esaslar Hakkında Tebliğine, 14/10/1983 tarih ve 2920 sayılı Türk Sivil Havacılık Kanunu'na, 15/07/2018 tarihli ve 30479 sayılı Resmi Gazetede yayımlanan Bakanlıklara Bağlı, İlgili, İlişkili Kurum Kuruluşlar ile Diğer Kurum ve Kuruluşların Teşkilatı Hakkında 4 sayılı Cumhurbaşkanlığı Kararnamesine, 2020-2023 Ulusal Siber Güvenlik Stratejisi ve Eylem Planı'na ve Milli Sivil Havacılık Güvenlik Programı Ek 19- Siber Tehditlere Karşı Yapılacak İşlemler Talimatı'na dayanılarak hazırlanmıştır.

Tanımlar ve kısaltmalar

(1) Bu Talimatta geçen tanımların açıklamaları aşağıda belirtildiği gibidir;

a) 1'inci Grup Havacılık İşletmeleri: Havayolu işletmeleri, havalimanı işletmeleri, terminal işletmeleri, seyrüsefer hizmet sağlayıcıları,

b) 2'nci Grup Havacılık İşletmeleri: A grubu Yer hizmeti kuruluşları, 100 kişiden daha fazla kişinin çalıştığı hava aracı bakım ve üs bakım kuruluşları ve SHGM tarafından belirlenerek resmi yazı ile bildirilen havacılık işletmeleri,

c) 3'üncü Grup Havacılık İşletmeleri: 1'inci ve 2'nci Grup Havacılık İşletmeleri dışında kalan tüm sivil havacılık işletmeleri,

ç) 7x24 Esası: Bir haftanın 7 günü 24 saat boyunca aralıksız olarak ilgili sistemin işletilmesi,

d) A Grubu Yer Hizmeti Kuruluşları: SHY-22 Havalimanları Yer Hizmetleri Yönetmeliği kapsamında A grubu çalışma ruhsatına sahip işletmeler,

e) Balküpü : Bilgi sistemlerine yetkisiz erişim sağlamak isteyen saldırganlar ya da kullanıcılar hakkında bilgi toplamaya yarayan tuzak sistemler (sunucu, uygulama, servis vb.),

f) Beyaz Liste Yazılımlar: İşletme bilgi teknolojileri ve operasyonel teknolojileri varlıklarına yüklenmesi uygun bulunan yazılımların listesi,

g) Bilgi Teknolojileri İş Süreklilik Komitesi: Bilgi teknoloji kritik varlık ve süreçlerin iş sürekliliğinin sağlanması adına üst yönetimin liderliğinde kurulan ve ilgili tüm paydaş yönetici ve ihtiyaç duyulması halinde uzmanlarının katılım sağladığı komitedir.

ğ) Bilinmesi Gerektiği Kadar Prensibi: Bir varlığı, süreci veya bilgiyi sadece görev ve sorumlulukları gereği öğrenmekle, incelemekle, gereğini yerine getirmekle ve korumakla sorumlu bulunanların yetkileri düzeyinde bilgi sahibi olması ve nüfuz etmesini ifade eder.

h) BT Varlıkları: Bilgi teknolojileri varlıkları,

ı) Genel Müdür: Sivil Havacılık Genel Müdürü,

i) Genel Müdürlük: Sivil Havacılık Genel Müdürlüğü,

j) Görevler Ayrılığı İlkesi: Görevler ayrılığı ilkesi hata, eksiklik, yanlışlık, usulsüzlük ve yolsuzluk risklerini azaltmak için faaliyetler ile karar ve işlemlerin onaylanması, uygulanması, kaydedilmesi ve kontrol edilmesi amacıyla görevlerin farklı personel tarafından yapılmasının sağlanması,

k) Havacılık İşletmeleri: Sivil havacılık sektöründe faaliyet gösteren işletmeler,

l) Hizmet Alınan Kuruluş: Siber güvenlik ile ilgili işletmeye hizmet veren kurum veya kuruluşlar,

m) İşletme: Sivil havacılık sektöründe faaliyet gösteren işletmeler,

n) İşletme Yönetimi: İşletme üst yönetimi ve varsa yönetim kurulu,

o) İz kaydı: Operasyonel bir işlemin başlangıcından bitişine kadar adım adım takip edilmesini sağlayacak kayıtlar,

ö) Kara Liste Yazılımlar: İşletme bilgi teknolojileri ve operasyonel teknolojileri varlıklarına yüklenmesi uygun bulunmayan yazılımların listesi,

p) Katmanlı Güvenlik Mimarisi: Bir güvenlik katmanının aşılması halinde diğer güvenlik katmanının devreye girdiği güvenlik mimarisi,

r) Kırmızı Takım Çalışması: Bir işletmenin güvenlik cihazlarını, ağlarını, çalışanları, uygulamalarını ve fiziksel güvenlik kontrollerini gerçekte bir saldırıya ne kadar dayanabileceğinin ölçülmesi için tasarlanan tam kapsamlı ve çok katmanlı saldırı simülasyon çalışmalarının tümü,

s) Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi,